23. Collegebrief inzake Management Letter 2023

GEMEENTE HILVERSUM POSTBUS 9900 1201 GM HILVERSUM BEZOEKADRES: RAADHUIS

Aan de gemeenteraad cc commissieleden cc pers

DUDOKPARK 1 TELEFOONNUMMER: 14 035 WWW.HILVERSUM.NL

26 februari 2024 ZAAKNUMM ER 1406031 BEHA NDELD DOOR M. van Oosterom TELEFOON (035) 629 2945 DATUM

UW KENMERK BIJLAGEN BETREFT

2 Bestuurlijke reactie Managementletter (ML) 2023 Geachte raads- en commissieleden, Op 9 januari 2024 ontvingen wij de definitieve Managementletter 2023 van onze accountant PSA. In de Audit- en Rekeningcommissie van 28 februari 2024 wordt in aanwezigheid van de wethouder Financiën de Managementletter 2023 besproken. De raad heeft de accountant (PSA) opdracht gegeven om de jaarrekening 2023 te controleren. In november 2023 heeft PSA de zgn. interim-controle uitgevoerd. Het laten uitvoeren van een interimcontrole is onderdeel van het continue proces van het verbeteren van de beheersing van de bedrijfsvoering. Doel van de interim-controle is ook om specifieke aandachtspunten te signaleren voor (de totstandkoming van) de eerstvolgende jaarrekening (2023). De accountant heeft zijn bevindingen en adviezen opgenomen in bijgaande managementletter. De invoering van de Rechtmatigheidsverantwoording (RMV) is een feit. Vanaf het boekjaar 2023 geeft het college in de jaarrekening de verklaring af het gehele boekjaar financieel rechtmatig te hebben gehandeld en laat conform de spelregels de eventuele financiële onrechtmatigheden overzichtelijk zien. Bij de jaarrekening die wordt vastgesteld is de RMV vanaf nu een vast (lees verplicht) onderdeel.

Het college geeft in de paragraaf bedrijfsvoering een toelichting op alle afwijkingen, die in de rechtmatigheidsverantwoording zijn opgenomen en welke maatregelen worden genomen om deze afwijkingen in de toekomst te voorkomen. Wij herkennen ons in het beeld zoals geschetst door de accountant. PSA spreekt de laatste jaren in het algemeen zijn waardering uit over de samenwerking t.a.v. het vroegtijdig afstemming zoeken bij vraagstukken, aanpak interne controle en complexe dossiers. Deze prettige samenwerking onderschrijven wij nog altijd. PSA geeft in deze managementletter aan dat we op meerdere vlakken stappen hebben gezet en onze interne beheersing goed op orde hebben. Er zijn in 2023 wederom belangrijke stappen gezet in het traject om de interne beheersing van de gemeentelijke processen verder te verbeteren wat gaat bijdragen aan de totstandkoming van de rechtmatigheidsverantwoording (RMV). We zetten als organisatie belangrijke stappen in het beheer van risico’s en het behalen van doelen doordat we onze processen controleren en werken volgens het “3-lines” model. Met het steeds verder in kaart

brengen van de AO/IC en het verder uitrollen van risicomanagement worden de belangrijkste risico’s en bijbehorende beheersmaatregelen steeds beter in inzichtelijk gemaakt. Tegen deze achtergrond kunnen de controles dan ook steeds beter binnen het primair proces gericht worden uitgevoerd. Wel constateren zij (en wij) de afgelopen jaren dat op dit punt nog de nodige stappen te zetten zijn en de doorontwikkelingen achter lopen ten opzichte van de eerder gestelde ambities. Het college wil de interne audit functie verder versterken door het “3-lines” model goed te implementeren in de organisatie. Des te meer zijn we verheugd te constateren dat de indruk van onze interne beheersing positief is en blijft. De externe accountant stelt dat we een heldere visie hebben op de interne beheersing en dat de verantwoordelijkheden binnen onze gemeente helder zijn geregeld. De interne controle biedt ook voldoende aanknopingspunten om inzicht te krijgen in de getrouwheid en rechtmatigheid van belangrijke financiële stromen. PSA vraagt daarnaast specifiek aandacht voor het blijven monitoren van frauderisico’s en adviseert hierover periodiek het gesprek met de raad te voeren. De grip op opvolging van bevindingen uit de interne- en externe controle is verbeterd.

Daarnaast merkt PSA op dat de organisatie stappen maakt om de betrouwbaarheid van de IT-omgeving aan te tonen en actief is op het verhogen van het bewustzijn op het gebied van cyber- en beveiligingsbeleid. Op korte termijn zien wij net zoals de externe accountant een aantal specifieke aandachtspunten voor de jaarrekeningcontrole 2023. Deze betreffen onder andere het volgende: 1. Voldoende aandacht voor uw onderhoudsplannen – analyses in januari 2024 moeten uitwijzen of deze nog toereikend zijn; 2. Ontwikkeling Anna’s Hoeve nadert het einde – er worden geen forse afwijkingen ten opzichte van eerdere resultaatsprognoses door het college verwacht; 3. Grondexploitatie Stationsplein – actualiseer bij de jaarrekening 2023 de berekening van het verwachte resultaat; 4. Bewaak de volwaardigheid van uw vordering inzake de overdracht van gronden aan de GEM Crailo B.V.; 5. Blijf de waardering van uw kapitaalbelang in de Regionale Ontwikkelingsmaatschappij Utrecht volgen; 6. Stel vast of de voorziening verlofsparen toereikend is. Ter voorbereiding op de jaarrekeningcontrole en de bijbehorende SiSa-bijlage geeft de accountant ons als college nog algemene uitgangspunten mee welke we ter harte nemen bij de voorbereiding en adressering van onze werkzaamheden richting de jaarrekeningcontrole.

Tijdens behandeling in ons college op 13 februari 2024 is op basis van een gedetailleerde bijlage aangegeven hoe en wanneer opvolging wordt gegeven aan de gestelde bevindingen en/of adviezen. De directie ziet er namens het college op toe dat de adviezen daadwerkelijk tijdig en adequaat worden geïmplementeerd en de concerncontroller toetst de vorderingen in de tijd. De managementletter inclusief de bestuurlijke reactie op de bevindingen en adviezen worden in de audit- en rekeningencommissie van 28 februari 2024 inhoudelijk behandeld. Wij vertrouwen erop u hiermee voldoende te hebben geïnformeerd. Hoogachtend, Burgemeester en wethouders van Hilversum, de gemeentesecretaris,

de burgemeester,

mr. C.P. Torres Barrera

dr. ir. G.M. van den Top

Managementletter 2023 Gemeente Hilversum

Aan het college van burgemeester en wethouders van de gemeente Hilversum Postbus 9900 1201 GM HILVERSUM Onderwerp Managementletter 2023 Datum 9 januari 2024 Kenmerk 312018008.23.479

Geacht college, Wij hebben, als onderdeel van de controle van de jaarrekening 2023, de interim-controle voor uw gemeente uitgevoerd. Deze controle is primair gericht op de analyse en evaluatie van de interne beheersingsomgeving en de daarin opgenomen maatregelen van interne controle. In onze managementletter zijn onze bevindingen en aanbevelingen opgenomen. Tevens heeft deze controle als doelstelling om de aandachtspunten voor de jaarrekening 2023 te signaleren en onder uw aandacht te brengen. Volledigheidshalve merken wij op dat onze analyse en evaluatie is uitgevoerd in het kader van de door de raad verstrekte opdracht tot controle van de jaarrekening. De geselecteerde werkzaamheden zijn afhankelijk van de door de accountant toegepaste oordeelsvorming, met inbegrip van het inschatten van de risico's dat de jaarrekening een afwijking van materieel belang bevat als gevolg van fraude of fouten. Wij merken op dat deze brief is opgesteld ten behoeve van het college van burgemeester en wethouders van de gemeente Hilversum en niet zonder onze toestemming aan derden mag worden verstrekt. De bevindingen en aanbevelingen dienen te worden gelezen als constructieve aanwijzingen voor het college als onderdeel van het continue proces van het veranderen en verbeteren van de beheersing van de bedrijfsvoering en de kwaliteit van de jaarrekening.

Graag willen wij deze rapportage en de daarin opgenomen bevindingen en aanbevelingen nader met u bespreken. Met vriendelijke groet, Publieke Sector Accountants B.V.

A. Booij RA

Publieke Sector Accountants B.V. is ingeschreven in het handelsregister van de Kamer van Koophandel te Utrecht onder nummer 69411409.

Inhoudsopgave

Contact De volgende personen kunnen benaderd worden bij vragen met betrekking tot deze managementletter:

Overzicht van adviezen............................................. 2 1. Inleiding ............................................................... 5

Arie Booij Tel: 06 1509 2689

2. Onze evaluatie van uw interne beheersomgeving . 9

Jan Scholten Tel: 06 2832 1383

3. Procesbevindingen ............................................. 21 4. Overige onderwerpen en aandachtspunten voor de jaarrekening ...................................................... 34

Overzicht van adviezen

312018008.23.479 - 1

Overzicht van adviezen Hierna hebben wij een overzicht van adviezen opgenomen die wij in de managementletter hebben opgenomen. Wij hebben daarbij een verwijzing naar de pagina opgenomen en een prioritering aangegeven. Een aantal adviezen is van belang voor de jaarrekening 2023, en moet dan ook bij oplevering van de concept-jaarrekening zijn opgevolgd. Bij de overige adviezen hebben wij onderscheid gemaakt tussen adviezen waarvan wij het belangrijk vinden dat deze binnen een jaar (2024) zijn opgevolgd en adviezen waar de periode van opvolging wat langer kan zijn (bijvoorbeeld 2025-2026). Wij gebruiken daarvoor de hiernaast opgenomen legenda: Nr.

1

2

3 4 5

Advies Om stappen te kunnen maken om een volgend niveau van verbijzonderde interne controle, conform de Bado-notitie "De verbijzonderde interne controle bij decentrale overheden" te kunnen halen, is het van belang om uw ambitie hierin helder te maken en een daarbij passend tijdspad te benoemen. Hierbij is het van belang dat u blijft investeren in de kwaliteit van de bedrijfsvoering, waarbij de 1e lijn (proceseigenaar) en 2e lijn (business control) zichtbaar meer eigenaarschap voor de interne beheersing (kwaliteit processen en interne controle) neemt en de 3e lijn (CCA) in een meer toetsende en adviserende rol komt. Investering in de risicoanalyse en de kracht van uw IT-omgeving zijn daarbij ook van belang.

Pag.

Prio

9 t/m 13

Neem kennis van de (geactualiseerde) kadernota van de commissie Bbv en de bijhorende vraag- en antwoordrubriek in de aanloop naar de op te stellen rechtmatigheidsverantwoording welke voor het eerst in de jaarrekening 2023 zal worden opgenomen. Daar worden momenteel vragen met bijhorende antwoorden gepubliceerd, die u mogelijk ook van belang kunnen zijn voor uw rechtmatigheidsverantwoording. Wij merken dat naarmate de tijd verstrijkt er sprake is of kan zijn van gewijzigde inzichten waar 13 t/m 16 mogelijk ook u iets mee kunt, wilt of moet doen. Wij adviseren u verder om de ervaringen die met de eerste rechtmatigheidsverantwoording bij de jaarrekening 2023 zullen worden opgedaan, te evalueren en voor zover u dat noodzakelijk acht, mee te nemen in beleidsmatige wijzigingen hieromtrent. Voor de jaarrekening 2023 geven wij u in overweging om, eventueel op een eerder moment dat u met de jaarrekening doet, de eventuele begrotingsafwijkingen over 2023 aan de raad te melden Houdt zicht op verder te verbeteren zaken in het kader van informatiebeveiliging en ontwikkelingen daarbij en stuur actief bij waar Continue 16 noodzakelijk. proces Geef opvolging aan bevindingen uit IT-controles en bepaal de impact op de te verrichten interne controlewerkzaamheden. Actualiseer 17 uw bijhorende audit-kalender.

Laat een IT-auditor meekijken (aan de voorkant) naar de mogelijke opzet van beheersmaatregelen in de (nieuwe) financiële applicatie.

17

312018008.23.479 - 2

6

Blijf aandacht besteden aan de inschatting van frauderisico’s en de beheersing daarvan. Rond de actualisatie van de frauderisicoanalyse op korte termijn af. De huidige opzet biedt daarvoor een prima basis.

18

Bespreek de door u onderkende risico's ook met de Audit- en Rekeningcommissie. 7

Blijf sturen op de opvolging van adviezen uit interne en externe controle en zorg dat de onderliggende rapportage actueel en betrouwbaar is. Ook hier zien wij een belangrijke rol voor de 1e en 2e lijn.

8

Uit de interne controle zijn bevindingen gebleken voor diverse processen die opvolging voor de jaarrekening 2023 behoeven of nog onderwerp van controle zijn richting de jaarrekening. Deze zijn bekend en geadresseerd binnen team CCA en worden in overleg met PSA verder afgerond. Voor een meer inhoudelijke toelichting verwijzen wij naar hoofdstuk 3.

21 t/m 32

9

Stel vast, door middel van “back-testing” dat de aannames en veronderstellingen die ten grondslag liggen aan uw beheerplannen voor groot onderhoud, nog valide zijn. Dit kan door van geplande werkzaamheden vast te stellen of deze ook daadwerkelijk zijn uitgevoerd en of dat tegen de ingeschatte hoeveelheden en prijzen is gebeurd. Wanneer sprake is van afwijkingen, dient u de impact op de getroffen voorziening en meerjarendotatie te bepalen. Blijf daarbij ook aandacht houden voor investeringen in uw kapitaalgoederen versus groot onderhoud. De verantwoording van bijhorende kosten is immers anders (o.g.v. Bbv).

34

10

Actualiseer de resultaatprognoses van uw lopende grondexploitaties en bepaald de impact op de waardering en resultaatneming in de jaarrekening 2023. Betrek daarbij de resterende looptijd van de exploitaties, de programmering, en het risicoprofiel. Onderbouw uw uitgangspunten en veronderstellingen op basis van valideerbare informatie.

35

11 12 13 14

15

Beoordeel, op basis van de jaarrekening 2023 van de GEM Crailo en de geactualiseerde grondexploitatie per 1-1-2024 van de GEM Crailo de volwaardigheid van uw uitstaande vordering van € 16 miljoen, en werk dit uit in een positionpaper.

19

36 t/m 37

Beoordeel de waardering van uw kapitaalbelang in de Regionale Ontwikkelingsmaatschappij Utrecht en werk dit uit in een 37 positionpaper. Beoordeel de toereikendheid van de voorziening verlofsparen. 37 Wij hebben een aantal (algemene) aandachtspunten voor de jaarrekening 2023 geformuleerd. Voor een efficiënte en effectieve jaarrekeningcontrole is het van belang dat bij aanvang van de controle de jaarrekening volledig beschikbaar is, welke intern (zichtbaar) 38 t/m 39 is gecontroleerd. Wij verwijzen verder naar pagina 35 en 36. Het aantal SiSa-regelingen waarover u verantwoording in de jaarrekening moet afleggen, neemt ook in 2023 weer toe. De voorbereiding van de SiSa-bijlage met bijhorend (interne) controledossier is een belangrijk aandachtspunt.

39 t/m 40

312018008.23.479 - 3

1.

Inleiding

312018008.23.479 - 4

1. Inleiding Onze controleaanpak is risicogericht

In het kader van onze interim-controle hebben wij de interne beheersingsomgeving onderzocht voor zover dit relevant is voor de bijdrage daarvan aan de getrouwheid van de jaarrekening. De geselecteerde werkzaamheden zijn afhankelijk van de door de accountant toegepaste oordeelsvorming, met inbegrip van het inschatten van de risico's dat de jaarrekening een afwijking van materieel belang bevat als gevolg van fraude of fouten. Bij het maken van deze risico-inschattingen neemt de accountant de interne beheersing in aanmerking, die relevant is voor het opmaken van de jaarrekening en voor het getrouwe beeld daarvan. Deze risicoinschattingen hebben echter niet tot doel een oordeel tot uitdrukking te brengen over de effectiviteit van de interne beheersing. Hierdoor is onze analyse en evaluatie beperkter dan dat deze zou zijn geweest in het kader van een opdracht tot het geven van een oordeel omtrent de opzet, het bestaan, de effectiviteit en de efficiency van de interne beheersing als geheel en bestrijkt daarom niet noodzakelijkerwijze alle in de interne organisatie vervatte tekortkomingen. Daarnaast hebben wij een aantal aandachtspunten benoemd waarvan wij het zinvol achten daar bij de controle aandacht aan te besteden. Wij hebben bij de interim-controle vooral aandacht besteed aan de inrichting van uw interne beheersomgeving en de financiële processen.

Daarbij hebben wij extra aandacht besteed aan de verbijzonderde interne controle, omdat dit een belangrijk onderdeel is voor het opstellen van de rechtmatigheidsverantwoording door het college over 2023. In hoofdstuk 2 gaan wij daar op in. Hierna geven wij aan welke belangrijkste risicogebieden en aandachtspunten voor de jaarrekeningcontrole 2023 van uw gemeente zijn geïdentificeerd. Deze zijn mede bepaald op basis van het overleg wat wij op 31 oktober 2023 met de audit- en rekeningcommissie hebben gehad.

Aandachtspunten voor controle en rapportage

Voor de jaarrekeningcontrole 2023 onderkennen wij een aantal aandachtspunten, die een verhoogd risico met zich mee (kunnen) brengen op een materiële fout in uw jaarrekening en die een mogelijke impact op de bedrijfsvoering kunnen hebben. Opname van een risicogebied of aandachtspunt in deze opsomming betekent niet dat daadwerkelijk sprake is van risico’s die zich daadwerkelijk voordoen, maar is enkel bedoeld om aan te geven dat wij hier tijdens onze controle (extra) aandacht aan zullen besteden. De risicogebieden zijn hieronder weergegeven. ▪ ▪ ▪ ▪

De voortgang van de investeringsplanning en beheersing van investeringskredieten. Grip op de GEM Crailo B.V. en de waardering van uw vordering op de GEM Crailo B.V. in verband met de uitgestelde betalingsverplichting van de GEM. De waardering van uw kapitaalbelang in de Regionale Ontwikkelingsmaatschappij Utrecht. De voortgang en status ontwikkeling grondexploitaties: Waardering Stationsgebied (in relatie tot de reeds getroffen verliesvoorziening en de bijdrage aan het Mobiliteitsfonds). Financiële ontwikkeling Anna’s Hoeve. 312018008.23.479 - 5

▪ ▪ ▪ ▪ ▪

▪ ▪

▪ ▪ ▪ ▪ ▪ ▪

Het beheer van vorderingen, specifiek de belastingvorderingen en vorderingen op cliënten sociale zaken (uitvoering invorderingsbeleid en bepaling voorziening oninbaarheid). De dekking van investeringen in de riolering in relatie tot het saldo van de spaarvoorziening, mede in verband tot de gerealiseerde overbesteding in 2021 en 2022 ten opzichte van het spaarsaldo. De verantwoording en waardering van voorzieningen voor onderhoud aan uw kapitaalgoederen in relatie tot de aanwezigheid van actuele beheerplannen (vanwege schattingselementen en oplopende prijzen). Verlofsparen – ontwikkeling en inschattingen voorziening in 2023. Risico’s en onzekerheden in het sociaal domein, waaronder de afwikkeling van de over boekjaar 2022 gerapporteerde onzekerheden (€ 326.000) rondom de prestatielevering Wmo en Jeugd en de uitkomsten van uw onderzoek naar de levering van zorg in 2023. Naleving van de (Europese) aanbestedingsregels, mede in relatie tot fouten in voorgaande jaren (2022 € 582.000). “ Veronderstelde risico’s” vanuit de voorschriften voor de accountantscontrole. Dit betreft de mogelijkheid die het management heeft om specifieke controlemaatregelen te omzeilen, bijvoorbeeld door memoriaalboekingen of het schattingsproces en de opbrengstverantwoording.

De specifieke aandacht voor deze risico’s is voorgeschreven vanuit de controlerichtlijnen en is niet uniek voor de gemeente Hilversum. De voortgang en implementatie van de rechtmatigheidsverantwoording door het college. Uw ambities en ontwikkelperspectief van de verbijzonderde interne controle richting een Interne Audit Functie. De follow-up ten aanzien van eerder gerapporteerde aandachtspunten vanuit de interne en externe controle. De follow up rapportages 2022 intern (vanuit VIC) en accountant (managementletter en accountantsverslag). Ontwikkelingen en actualiteiten op IT-gebied. De actualisatie van de (fraude-)risicoanalyse.

Ter voorkoming van een materiële fout in de jaarrekening heeft u voor bovenstaande risicogebieden beheersmaatregelen getroffen. Wij hebben ons tijdens de interim-controle gericht op de opzet en het bestaan van de door u ingerichte beheersingsomgeving, die deze risico’s moeten verkleinen.

Aandachtspunten Raad en Audit- en rekeningcommissie

Op 31 oktober 2023 hebben wij, in een pre-auditmeeting, de focus van de controle 2023 met de Audit- en rekeningcommissie afgestemd. Op basis van de uitkomsten van deze bespreking, de aandachtspunten uit voorgaande controles en de actuele ontwikkelingen zijn de speerpunten voor de uitvoering van onze controle over het jaar 2023 bepaald. Voor het jaar 2023 is, in aanvulling op de hiervoor opgenomen onderwerpen, ons verzocht om specifiek aandacht te besteden aan de volgende onderwerpen en is ingestemd met deze aandachtspunten: ▪ ▪ ▪

De grip op de verbonden partij GEM Crailo B.V., inclusief de beoordeling van de potentiële risico’s en de verwachte resultaatontwikkeling, in relatie tot de waardering van de openstaande vordering. De kwalificatie van het kapitaalbelang in de Regionale Ontwikkelingsmaatschappij Utrecht. De voortgang en risico inschatting met betrekking tot het IHP. 312018008.23.479 - 6

Op een aantal onderwerpen komen wij reeds in deze managementletter terug. In ons accountantsverslag bij de jaarrekening zullen wij u informeren over onze aanvullende bevindingen over deze onderwerpen en de voortgang van de realisatie van de grote projecten.

Materialiteit

De materialiteitsbepaling bij de gemeente Hilversum is gebaseerd op het Besluit Accountantscontrole Decentrale Overheden (BADO) en het door de raad op 15 november vastgestelde Controleprotocol 2023 – 2026. Voor fouten is deze gebaseerd op 1% van de lasten inclusief toevoegingen aan de reserves en voor onzekerheden op 3% van de lasten inclusief toevoegingen aan de reserves. Bij onze controleplanning zijn wij vooralsnog uitgegaan van de cijfers volgens de (primaire) Begroting 2023. Wanneer de jaarrekening 2023 beschikbaar is, zullen wij onze materialiteitbepaling op basis van de werkelijke cijfers over 2023 herzien. Bij de interim-controle is derhalve uitgegaan van:

Bron: Programmabegroting 2023

Fouten

Materialiteit

€ 3.100.000

Onzekerheden € 9.300.000

Voor de controle op naleving van de Wet Normering Topinkomens (WNT) hanteren wij een lagere materialiteit. Deze specifieke materialiteitsberekening is verplicht gesteld vanuit het controleprotocol WNT.

Kernboodschappen

De kernboodschappen uit onze interim-controle 2023 hebben wij steeds in de linker kantlijn weergegeven.

312018008.23.479 - 7

2.

Onze evaluatie van uw interne beheersomgeving

312018008.23.479 - 8

2. Onze evaluatie van uw interne beheersomgeving Welke stappen moet u zetten om het volgende niveau van de verbijzonderde interne controle te kunnen halen?

In onze voorgaande rapportages hebben wij uitvoerig stil gestaan bij de inrichting van uw administratieve organisatie en interne beheersomgeving en adviezen gegeven om deze, ook in de aanloop naar de rechtmatigheidsverantwoording, verder te verbeteren. Wij constateerden daarbij dat uw gemeente steeds concrete stappen aan het zetten was. Onze indruk van uw interne beheersing was en is positief. Wij vinden dat uw gemeente een heldere visie heeft op de interne beheersing en dat de verantwoordelijkheden binnen uw gemeente helder zijn geregeld. Uw interne controle biedt ook voldoende aanknopingspunten om inzicht te krijgen in de getrouwheid en rechtmatigheid van belangrijke financiële stromen. In 2023 hebben we specifiek van u de vraag gekregen hoe de verbijzonderde interne controle (VIC) kwalificeert als auditfunctie. In de notitie van commissie BADO “De verbijzonderde interne controle bij decentrale overheden” zijn vier niveaus voor de verbijzonderde interne controle (VIC) beschreven: 1. instrument om de aanlevering van stukken aan de accountant te verbeteren; 2. onderdeel van het interne beheersingskader om toezicht te houden op de uitvoering van interne beheersingsmaatregelen; 3. interne beheersingsmaatregel, waarop de accountant kan steunen bij zijn organisatiegerichte werkzaamheden; 4. interne auditfunctie (IAF, zoals bedoeld in Standaard 610).

Hierna schetsen wij eerst het kader, zoals ook is uitgewerkt in de genoemde notitie van de commissie Bado. Het kader Bij de 1e variant is de VIC vooral behulpzaam bij het verzamelen van gegevens en onderliggende stukken, die nodig zijn voor de controle door de accountant. Door bijvoorbeeld tijdig een kwaliteitstoets uit te voeren op de volledigheid van de stukken, kan een positieve invloed worden uitgeoefend op de controle door de accountant. Voorts kan een goede aanlevering van stukken, een bijdrage leveren aan de efficiency van de accountantscontrole. Bij de 2e variant gebruikt de accountant de VIC als een van de belangrijke informatiebronnen om kennis te verkrijgen van de gemeente en zo richting te geven aan de controle. Op deze wijze worden risico’s geïdentificeerd en ingeschat, om een basis voor het opzetten en uitvoeren van verdere controlewerkzaamheden te verkrijgen. De accountant zal in deze situatie onder meer kennisnemen van de geaccordeerde jaarplannen van de VIC en de werkzaamheden en de bevindingen van de VIC. De derde variant is de situatie waarin de accountant kan en wil steunen, op de interne beheersingsmaatregelen van de gemeente. De VIC omvat interne beheersingsmaatregelen, die de accountant kan toetsen in het kader van zijn organisatie- en procesgerichte werkzaamheden.

Het gaat er in de kern om of de VIC-werkzaamheden zijn gericht op het voorkomen of het detecteren en corrigeren van fouten in de jaarrekening. In het kader van de VIC worden in deze “theoretische” situatie interne controles uitgevoerd, waarbij de externe accountant zelfstandig de effectieve werking toetst. Onderstaande tabel, welke is overgenomen uit de notitie “De 312018008.23.479 - 9

verbijzonderde interne controle bij decentrale overheden” geeft een aantal factoren weer die de accountant in de praktijk kan ondersteunen om de effectieve opzet van de VIC te evalueren en daarover transparant te communiceren: Aspect

Wat

Wie?

Dit aspect betreft de deskundigheid en objectiviteit van de VIC. Elementen die een rol spelen zijn de positie in de organisatie en de persoonlijke competenties: ▪ rechtstreekse rapportage aan directie en college. ▪ bevoegdheid om zonder nader overleg naar de auditcommissie te gaan indien hij dat noodzakelijk acht. ▪ afdelingsbudget beschikbaar voor onderhouden van kennis en vaardigheden. ▪ zichtbare aandacht voor training-on-the-job (bespreken casussen, interne mailwisselingen, werkoverleg, overnemen van elkaars werk). ▪ persoonlijke attitude van de VIC. ▪ relevante opleiding en werkervaring Dit betreft de wijze waarop de werkzaamheden van de VIC worden vormgegeven. Elementen die hierbij een rol spelen zijn: ▪ de planning is periodiek (per jaar) vastgelegd in een door de auditcommissie of rekeningcommissie of het College vastgesteld jaarplan. Dit houdt in dat duidelijk is welke processen gecontroleerd worden en wat (welke geldstromen) hieronder worden verstaan. ▪ de accountant wordt (na vaststelling van het jaarplan) geïnformeerd over het jaarplan. Optie is ook vooraf afstemming en gezamenlijke bespreking in de auditcommissie of rekeningcommissie. ▪ de opzet van de controles kent een vast stramien, waarin o.a.

evaluatie van het proces, een risico-inschatting, bepaling van de massa, bepaling van de deelwaarneming en specifieke aandachtspunten uit voorgaande jaren een plaats hebben. ▪ indien er een rapportage wordt opgesteld, wordt deze zichtbaar afgestemd met de betreffende afdeling / verantwoordelijke medewerker, bijvoorbeeld doordat de reactie wordt verwerkt in de rapportage. Dit betreft de timing van de werkzaamheden van de VIC. Als de VIC een maandelijkse cyclus van het uitvoeren van werkzaamheden, inclusief het terugkoppelen van de resultaten en de follow-up van verbetervoorstellen bewaakt en monitort, levert dit vanzelfsprekend een betere interne beheersingsmaatregel op dan wanneer de VIC eenmalig aan het eind van of na afloop van het jaar de werkzaamheden uitvoert. Dit betreft dus de frequentie waarmee de activiteiten worden uitgevoerd, alsmede het continue karakter daarvan.

Wat?

Wanneer?

Als de VIC en de vastleggingen van de werkzaamheden aan de eisen voldoen, kan de accountant gebruikmaken van deze werkzaamheden bij het toetsen van interne beheersingsmaatregelen. Zoals eerder opgemerkt kan dit onder andere van invloed zijn op de wijze waarop de accountant de risico’s inschat en de risicogebieden selecteert. Bij het uitvoeren van gegevensgerichte waarnemingen (de eigen waarnemingen van de accountant), steunt de accountant niet op de VIC. Het betreft hier dus uitsluitend de organisatie- en procesgerichte waarnemingen. In de situatie dat sprake is van een VIC als interne auditfunctie concludeert de accountant op basis van zijn werkzaamheden, dat de VIC voldoet aan de eisen die Standaard 610 bevat voor de interne auditfunctie. Met de Standaard 610 bedoelt de commissie Bado de Controlestandaard voor de accountant welke ingaat op verantwoordelijkheden van de accountant indien hij gebruik maakt van de werkzaamheden van interne auditors. In hoofdlijnen houdt dit in: 312018008.23.479 - 10

▪ ▪ ▪

dat de organisatorische positie en relevante beleidslijnen alsmede procedures van de interne auditfunctie, op adequate wijze de objectiviteit van de interne auditors ondersteunen; dat het competentieniveau van de interne auditfunctie gewaarborgd is; dat binnen de interne auditfunctie een systematische en gedisciplineerde benadering gehanteerd wordt, inclusief de kwaliteitsbeheersing.

Waar staat u? Op dit moment is uw (verbijzonderde) interne controle er nog vooral op gericht om toereikende controle informatie aan de accountant aan te leveren en op basis van “gegevensgerichte controles” achteraf te komen tot zekerheid. Er worden vanuit uw (verbijzonderde) interne controle wel interne beheersingsmaatregelen betrokken bij de uitgevoerde detailcontroles en de werking van deze interne beheersingsmaatregelen wordt getoetst. Vanuit deze werkzaamheden volgen nog bevindingen en is uw conclusie dat deze relevante interne beheersingsmaatregelen nog niet voldoende robuust zijn en in de praktijk niet volledig werken. Daarmee zijn deze nog niet toereikend om als effectieve interne beheersingsmaatregelen te classificeren, waardoor er dan ook nog niet op gesteund kan worden en blijven de gegevensgerichte controles noodzakelijk. Dit is in de basis een prima werkwijze, maar als het streven is om te groeien voor naar een niveau van interne auditfunctie, wat u als ambitie heeft opgenomen in het verbijzonderde interne controleplan 2023-2026, dan dient uw kwaliteitsbeoordeling nog meer in te gaan op een beoordeling van de kwaliteit van de interne beheersing en het vaststellen van een effectieve werking daarvan en zal dit ook verder versterkt moeten worden in de 1e en 2e lijn van de organisatie.

In dit laatste geval wordt gedurende en verspreid over het jaar vastgesteld dat de getroffen beheersmaatregelen in de processen ook daadwerkelijk werken, waardoor de kans op fouten achteraf afneemt. Er zijn immers meer momenten om op basis van bevindingen bij te sturen. Onderdeel van uw visie op verantwoordelijkheden in de (verbijzonderde) interne controle is uw streven om de rollen van de 1 e ((proceseigenaar), 2e (business control) en 3e lijn (CCA) hierin te veranderen. Daarbij is uw streven om steeds meer de controlehandelingen te beleggen in de 1e en 2e lijn en komt het team van Concern Control & Concern Audit (CCA, de 3 e lijn) steeds meer in een rol die is gericht op het vaststellen van de goede werking van de 1e en 2e lijn en het adviseren daarover. In de loop van de tijd worden stappen gezet, waarbij het natuurlijk zo is dat veranderingen tijd kosten. Het komt nog steeds regelmatig voor dat de 3e lijn (CCA) werkzaamheden overneemt van de 2e lijn (business control) of werkzaamheden oppakt die de 2e lijn heeft laten liggen. De transitie is dan ook nog zeker niet voltooid en om deze door te zetten zal dit van het management de komende jaren blijvende aandacht, inspanning en ondersteuning vragen.

Op basis van de inrichting en uitvoering van de verbijzonderde interne controle (VIC) op dit moment schatten we uw VIC op dit moment in op niveau 2 (onderdeel van het interne beheersingskader om toezicht te houden op de uitvoering van interne beheersingsmaatregelen). De processen welke overzichtelijker zijn en minder betrokken medewerkers en afdelingen betreffen zijn op delen al verder en groeit de VIC al in een rol van niveau 3 (bijvoorbeeld de processen als algemene uitkering, treasury, lonen en salarissen, onderdelen binnen het sociaal domein en subsidieverleningen). Deze processen vragen nog wel aandacht, maar zien wij een gestage groei in het drielijnenmodel. Wanneer u steeds meer processen systeemgericht als 3e lijnscontrole kan toetsen op basis 312018008.23.479 - 11

van de controles in de 1e en 2e lijn, kan uw VIC functie doorgroeien naar niveau 3 (interne beheersingsmaatregel, waarop de accountant kan steunen bij zijn organisatiegerichte werkzaamheden). Met het project “Hilversum in Control” heeft u enkele jaren geleden een verbeter- en bewustwordingstraject ingezet in de eigen organisatie. Eén van de uiteindelijke doelen was, dat dit traject diende te leiden tot een bewustere afweging om interne controlehandelingen uit te voeren, gericht op de ingeschatte risico’s. Kern van het traject vormt het beleggen van controlehandelingen in de (1e en 2e) lijn en het uitvoeren van een Verbijzonderde Interne Controle (VIC, 3e lijn) gericht op het vaststellen van de goede werking van de 1e en 2e lijn en het adviseren daarover, ofwel het realiseren van het 3e niveau zoals hiervoor beschreven. Hoewel het project “Hilversum in Control” heeft gezorgd voor meer bewustwording binnen de organisatie dat verbetering van de interne beheersing noodzakelijk was, is de beoogde situatie nog niet geheel gerealiseerd is. We merken op dat, met name door druk op de personele capaciteit in de 1e en 2e lijn, er in 2023 net als in 2022 minder progressie in de ontwikkeling van de organisatie is geweest dan u had gepland.

De capaciteit wordt vooral ingezet op de dienstverlening aan de burgers, waardoor aandacht en het eigenaarschap voor procesverbetering en interne controle in de eerste en tweede lijn minder aanwezig is geweest. Door het uitvoeren van gegevensgerichte verbijzonderde interne controles (VIC) wordt u achteraf geïnformeerd over de kwaliteit van de interne beheersing. Op deze wijze krijgt u wel een beeld of er getrouw en rechtmatig gehandeld is, maar doordat deze controles achteraf plaatsvinden, heeft dit tot gevolg dat uw organisatie niet tijdig kan bijsturen en daarmee investeert in de doorontwikkeling van de organisatie. Wat belangrijk is om de volgende stap naar niveau 3 te kunnen maken is: ▪

▪

▪

Maak helder wat uw ambitie is en zorg ervoor dat daar een passend tijdspad bij gekozen wordt. Hierbij is het van belang dat, op elk niveau, hier hetzelfde over wordt gedacht. Naar onze mening zou het CMT hier een belangrijke voortrekkersrol in kunnen (en moeten) spelen en een visie moeten uitspreken over de invulling van de 3 lijnen (wie is procesverantwoordelijk (1 e of 2e lijn), wie controleert wat en adviseert (2e lijn of 3e lijn)). Haal meer waarde, oftewel meerwaarde, uit uw interne beheersing door het vergroten van de rol in de 1e en 2e lijn op het gebied van interne beheersing en zorg ervoor dat binnen elk domein, op elke afdeling en in elk proces sprake is van gedragen eigenaarschap en dit periodiek in het CMT te bespreken. Daarbij hoort in ieder geval dat elke verantwoordelijke medewerker tijdig zorgt voor geactualiseerde en uniforme procesbeschrijvingen, waarbij controls concreet beschreven zijn (volgens het 6-Wprincipe, zie daarvoor onze rapportages uit eerdere jaren) en een adequate opgezette IT-omgeving (General IT-controle en application controls) welke ook aantoonbaar werkt. Maak uw interne beheersing “integraal” en stuur deze top down aan. Een brede risicoanalyse, waarbij aandacht is voor procesrisico’s, fraude risico’s en IT-risico’s draagt bij aan een efficiënte en effectieve aanpak.

De basis voor de uit te voeren interne controlewerkzaamheden is een grondige analyse van risico’s die zich binnen processen of activiteiten kunnen voordoen. Daarbij maakt u onderscheid tussen (financiële) rechtmatigheidsrisico’s, fraude risico’s en getrouwheidsrisico’s. Uw insteek, om onderscheid te maken naar (financiële) rechtmatigheidsrisico’s, fraude risico’s en getrouwheidsrisico’s is wat ons betreft een 312018008.23.479 - 12

▪

Rechtmatigheidsverantwoording zal worden opgenomen in de jaarrekening 2023

goede basis om sturing te geven aan de interne controle. Door de onderkende risico’s te verbinden en verder te “pinpointen” kan de geplande controleaanpak specifieker gemaakt worden. Hiermee borgt u dat u de juiste dingen doet en geen overbodige. Wij zien bijvoorbeeld ook dat er per proces een frauderisicoanalyse is opgesteld, maar dat daarbij risico’s niet altijd voldoende duidelijk en concreet beschreven zijn. Ook zien wij dat er relatief veel risico’s als frauderisico worden geïdentificeerd. Wanneer er een teveel aan frauderisico’s is geïdentificeerd, maakt dat het lastig om goede keuzes qua beheersing te maken op de meest relevante frauderisico’s. De zichtbare verbinding met de VIC zien wij niet altijd terug. De betrouwbaarheid van IT, informatieveiligheid en privacy vormt nog geen vast (en jaarlijks) onderdeel van de VIC. In de procescontroles wordt IT als een apart proces en een afzonderlijke audit gezien.

Om de opzet van processen en risico’s in die processen goed te beoordelen is het van belang om jaarlijks onderdelen van de IT, zoals toegangsbeveiliging en rechten en rollen mee te nemen in de audits op de reguliere processen .Wanneer u (jaarlijks) een IT-audit uitvoert of laat uit voeren op de IT General Controls (ITGC’s) en de voor de jaarrekening relevante automatiseringsapplicaties, verkrijgt u (integraal) inzicht in de vraag of u voldoet aan de noodzakelijke eisen die in het kader van de betrouwbaarheid aam het systeem van geautomatiseerde (financiële) gegevensverwerking gesteld worden. Dit kan de organisatie verder helpen bij het professionaliseren en inrichten van controles gericht op de effectiviteit van de IT General Controls (ITGC’s).

Na enkele jaren van uitstel zal het college met ingang van 2023 voor het eerst zelfstandig verantwoording afleggen over de rechtmatigheid van het gevoerde financieel beheer. Hiertoe zal de “Rechtmatigheidsverantwoording (hierna: RMHV) in de jaarrekening worden opgenomen en zal, voor zover nodig, ook in de paragraaf Bedrijfsvoering een toelichting op afwijkingen worden gegeven. In de RMHV dient het college verantwoording af te leggen over de rechtmatigheid van het gevoerde financieel beheer ten aanzien van een drietal criteria: het voorwaardencriterium, het begrotingscriterium en het misbruik & oneigenlijk gebruik (M&O) criterium. Ondanks uitstel van de invoering van de RMVH, bent u de afgelopen jaren door gegaan met de voorbereidende werkzaamheden hiervoor. Voor het verslagjaar 2023 zult u, op basis van uw “Verbijzonderd Interne Controleplan 2023-2026 gemeente Hilversum” een beeld verkrijgen van de rechtmatigheid binnen uw gemeente welke zal dienen ter onderbouwing voor de op te nemen RMHV. Hierna gaan wij in op een aantal ontwikkelingen, randvoorwaarden en uitgangspunten die van belang zijn voor de RMHV 2023. Publicatie kadernota 2023 Op 29 september 2023 is de kadernota rechtmatigheid 2023 gepubliceerd, welke in november vervolgens is geactualiseerd.

De commissie BBV geeft via de kadernota rechtmatigheid haar visie over de invulling van het begrip rechtmatigheid in de RMVH van de decentrale overheden. Een eerdere versie van deze kadernota is in augustus 2021 gepubliceerd. In de periode na publicatie zijn diverse vragen gesteld en hebben stakeholders verzoeken ingediend om de kadernota op onderdelen te verduidelijken. Naar aanleiding van deze vragen en verzoeken zijn enkele teksten (enigszins) gewijzigd. Daarnaast hebben wetgevingstrajecten effect op eerder gecommuniceerde uitgangspunten.

312018008.23.479 - 13

De belangrijkste elementen uit de (nieuwe) kadernota betreffen de volgende onderwerpen: ▪

Als gevolg van een wijziging in de gemeentewet inzake de invoering van de rechtmatigheidsverantwoording is SiSa onderdeel van de rechtmatigheidsverantwoording. Fouten en onduidelijkheden met betrekking tot specifieke uitkeringen (SiSa) dienen derhalve wel te worden betrokken bij de rechtmatigheidsverantwoording.

▪

Indien de normen uit de gids proportionaliteit veelvuldig niet nageleefd worden of slecht gedocumenteerd en/of gemotiveerd zijn, dan moet het college hierover rapporteren via de paragraaf bedrijfsvoering (stellige uitspraak).

▪

Bij complexe situaties waarin er verschillende onderbouwde standpunten zijn en specialisten niet tot een eenduidig oordeel komen, kan het voor het college onduidelijk zijn of financieel rechtmatig is gehandeld. Het college betrekt deze situatie bij het opstellen van de rechtmatigheidsverantwoording en neemt deze op indien het totaal aan onduidelijkheden de verantwoordingsgrens overschrijdt (stellige uitspraak).

▪

De prestatielevering is een onderdeel van het getrouwe beeld (het leveringscriterium) en daarmee onderwerp van de accountantscontrole. Dit aspect komt dus niet terug in de rechtmatigheidsverantwoording. Uiteraard is het mogelijk om over dit aspect toelichting te geven, bijvoorbeeld in de paragraaf bedrijfsvoering.

▪

Bij de beoordeling van de naleving van de Europese aanbestedingsregels geldt dat de omvang van de totale fout gelijk is aan de omvang van de besteding (last of investering) in het jaar waarin de onrechtmatigheid wordt geconstateerd, verhoogd met de bestedingen van de jaren erna voor de duur van het afgesloten contract. Dit is alleen het geval indien de bestedingen in de jaren erna (contractueel) verplicht zijn.

▪

Ontbrekende afrekeningen waarvoor het college een deugdelijke onderbouwing voor wat betreft de rechtmatigheid kan verstrekken, leiden niet tot een fout of onduidelijkheid voor de rechtmatigheidsverantwoording.

▪

Staatssteun kan in allerlei vormen voorkomen. Bij grondtransacties kan er sprake te zijn van een veiling of een onafhankelijke taxatie. Indien geen sprake is van deze twee mogelijkheden van waardebepaling moet er sprake zijn van (juridische) onderbouwing. Indien de onderbouwing niet ondubbelzinnig uitwijst dat geen sprake is van staatssteun moet de gemeente de transactie melden aan de Europese Commissie (EC). Het is dan nog onzeker of sprake is van geoorloofde staatssteun. Dat beslist immers de EC. Deze onduidelijkheid betrekt het college bij het opstellen van de rechtmatigheidsverantwoording.

▪

Via de rechtmatigheidsverantwoording wordt inzicht gegeven op het totaalniveau van alle afwijkingen ten opzichte van de begroting op het door de raad vastgestelde niveau aangezien deze formeel wel onrechtmatig zijn. Het begrip begrotingsrechtmatigheid is in de kadernota nader beschreven, maar wordt ook continue verduidelijkt met een vraag en antwoord rubriek welke de komende maanden naar verwachting steeds concreter zal worden. Bij de afwijkingen van dit totaalniveau wordt gebruik gemaakt van de door de raad vastgestelde verantwoordingsgrens. De nieuwe kadernota stelt dat als 312018008.23.479 - 14

een wijziging niet meer in het jaar zelf is vastgesteld, de bestedingen afwijkend van het begrotingsbedrag onrechtmatig zijn. Het uitgangspunt is dat iedere afwijking van de begroting onrechtmatig is. In de verantwoording moet het college toelichten wat de begrotingsonrechtmatigheden zijn. Begrotingsonrechtmatigheden die binnen de beleidskaders van de raad passen, moeten worden opgenomen in de rechtmatigheidsverantwoording (voor zover de verantwoordingsgrens is overschreden), maar worden dan niet nader toegelicht in de rechtmatigheidsverantwoording. Wel vindt een toelichting plaats in de paragraaf bedrijfsvoering. Wij benadrukken daarom het belang dat het college en de raad concrete afspraken maken hoe wordt omgegaan met begrotingsonrechtmatigheden. Concreet adviseren wij u om: o duidelijk vast (bijvoorbeeld in de financiële verordening of een afzonderlijk vast te stellen document) te leggen hoe afwijkingen van de begroting geïnterpreteerd moeten worden in het kader van het uitoefenen van het budgetrecht van de raad; o de aandacht te verscherpen voor mogelijke begrotingsoverschrijdingen en waar begrotingswijzigingen nodig zijn; o begrotingswijzigingen tijdig voor te leggen aan de raad.

Zoals eerder aangegeven en wij hierna ook nogmaals herhalen, is het onze verwachting dat de komende maanden, in de aanloop naar de jaarrekening 2023 waarin de rechtmatigheidsverantwoording voor het eerst wordt opgenomen, er meer duidelijkheid komt vanuit de commissie Bbv hoe gemeenten verder vorm en inhoud kunnen geven aan de vraag hoe omgegaan moet worden met begrotingsonrechtmatigheden. Dat zal voor zowel de over- en onderschrijdingen van de baten en lasten als de afwijkingen op (meerjarige) investeringskredieten gelden en wat u daar als gemeente voor kunt regelen. In de praktijk zal het immers niet altijd mogelijk zijn om afwijkingen bijvoorbeeld “tijdig” te melden. Wij adviseren u daarom ook om de ervaringen die met de eerste rechtmatigheidsverantwoording bij de jaarrekening 2023 zullen worden opgedaan, te evalueren en voor zover u dat noodzakelijk acht, mee te nemen in beleidsmatige wijzigingen hieromtrent. Voor de jaarrekening 2023 geven wij u in overweging om, eventueel op een eerder moment dat u met de jaarrekening doet, de eventuele begrotingsafwijkingen over 2023 aan de raad te melden. ▪

De mutaties in de bestemmingsreserves vormen een onderdeel van de (al dan niet herziene) gemeentelijke begroting. In de jaarrekening moeten de toevoegingen en onttrekkingen aan elk van de bestemmingsreserves worden verwerkt overeenkomstig het bedrag dat via de begroting(swijzigingen) door de raad is goedgekeurd voor de betreffende bestemmingsreserve.

▪

Samenloop van getrouwheid- en rechtmatigheidsbevindingen: in de nieuwe kadernota is een beslisboom uitgewerkt waarin wordt ingegaan op samenloop van getrouwheid- en rechtmatigheidsbevindingen. Hierin wordt onderscheid gemaakt tussen getrouwheid- en rechtmatigheidsbevindingen, wanneer een rechtmatigheidsbevinding meeweegt bij het opstellen van de rechtmatigheidsverantwoording en wanneer er sprake is van een formele rechtmatigheidsfout (die mogelijk moet worden vermeld in de paragraaf bedrijfsvoering). Wij adviseren u deze toe te passen bij het evalueren van uw interne controlebevindingen en het opstellen van de rechtmatigheidsverantwoording over 2023.

312018008.23.479 - 15

Wij adviseren u kennis te nemen van de kadernota rechtmatigheid 2023 (en de aanvullingen hierop te volgen) en hiermee rekening te houden bij de nadere uitwerking van de RMVH. De kadernota gaat verder uitgebreid in op de aspecten begrotingsrechtmatigheid en verbonden partijen. Deze onderwerpen zijn hier vanwege de omvang niet volledig uitgewerkt, wij verwijzen hiervoor naar de kadernota. Daarnaast adviseren wij u om de vraag- en antwoordrubriek van de Commissie Bbv te (blijven) volgen. Daar worden momenteel vragen met bijhorende antwoorden gepubliceerd, die u mogelijk ook van belang kunnen zijn voor uw RMHV. Wij merken dat naarmate de tijd verstrijkt er sprake is of kan zijn van gewijzigde inzichten waar mogelijk ook u iets mee kunt, wilt of moet doen. Modelverantwoording De Commissie BBV heeft in de Kadernota rechtmatigheid 2023 een model voor de RMHV opgenomen. Deze modelverantwoording dient (verplicht) te worden opgenomen in de jaarrekening 2023. Vaststelling verantwoordings- en rapporteringsgrens en normenkader 2023 De verantwoordingsgrens is een door de raad vastgesteld bedrag, waarboven het college de afwijkingen moet opnemen in de rechtmatigheidsverantwoording. De verantwoordingsgrens valt binnen de bandbreedte van 0% tot 3% van de totale lasten van de gemeente, inclusief toevoegingen aan de reserves.

Voor zowel fouten als voor onduidelijkheden afzonderlijk geldt hetzelfde percentage. Fouten en onduidelijkheden worden niet bij elkaar opgeteld. Voor afwijkingen die lager zijn dan de verantwoordingsgrens, kan de raad het college een rapporteringsgrens meegeven. Bevindingen die groter zijn dan de rapporteringsgrens maar lager dan de verantwoordingsgrens worden in de paragraaf bedrijfsvoering toegelicht. In de vergadering van 15 november 2023 heeft de raad de verantwoordingsgrens vastgesteld op 1% en de rapporteringsgrens op € 150.000. Ook is het normenkader 2023 op 15 november 2023 vastgesteld. Daarmee zijn belangrijke kaders vastgesteld. De paragraaf Bedrijfsvoering wordt belangrijker De paragraaf ‘Bedrijfsvoering’ kent geen voorgeschreven wettelijke structuur. Rechtmatigheidsbevindingen zullen naar aanleiding van de wijziging in de kadernota rechtmatigheid 2023 relevanter worden voor de raad. Rechtmatigheidsbevindingen groter dan de rapporteringsgrens, moeten in de paragraaf bedrijfsvoering worden toegevoegd en toegelicht. De paragraaf bedrijfsvoering zal daarmee een andere informatiewaarde krijgen ten opzichte van voorgaande jaren voor wat betreft rechtmatigheidsbevindingen: van beschouwend naar verantwoorden en verklaren. Dit vraagt om een scherpe uitwerking met details van u.

Houdt zicht op verder te verbeteren zaken in het kader van informatiebeveiliging en ontwikkelingen daarbij en

Uw gemeente is een kennisintensieve organisatie en de hoeveelheid informatie die de gemeente beheert neemt jaarlijks enorm toe. In dat kader is het van belang dat de gemeente vanuit haar zorgplicht de beveiliging van deze gegevens op een hoog niveau inricht. Uw informatiebeveiligingsbeleid is actueel en wordt ook door de CISO actief uitgedragen. De gemeente heeft de risico’s in kaart en houdt deze bij aan de hand van informatie vanuit betrouwbare bronnen zoals het National Cyber Security Center en de informatiebeveiligingsdienst. Aan de hand van de actuele risico’s, gesignaleerde verbeterpunten uit technische controles en audits wordt een plan opgesteld. De CISO werkt aan de hand van dit plan en monitort de voortgang. Hierover wordt ook gerapporteerd via 312018008.23.479 - 16

stuur actief bij waar noodzakelijk

de PIT rapportages. Op grond van het bovenstaande komen we tot de conclusie dat de gemeente Hilversum een werkend information security management system (ISMS) heeft ingericht. Dit ISMS (feitelijk de PDCA cyclus van informatiebeveiliging) zorgt ervoor dat de gemeente het behaalde niveau weet te behouden en van daaruit steeds verder kan verbeteren. Vanuit een cyberoefening is naar voren gekomen dat er behoefte bij u is aan een calamiteitenplan. Bij een calamiteitenplan gaat het om centrale zaken als het management van een incident, maar op operationeel niveau gaat het ook over hele praktische zaken als data herstel wanneer data verloren gaat ”Kan de dienstverlening worden voortgezet op een andere tijdelijke locatie of bij uitval van de primaire ICT voorziening?” In het komende jaar zal de gemeente ook geconfronteerd gaan worden met verscherpte regelgeving vanuit de Network Information Security 2 directive (NIS2). Deze EU regeling wordt momenteel omgezet naar lokale wetgeving. De nieuwe wet zal extra eisen stellen aan de organisatie waarbij de Baseline Informatiebeveiliging Overheid (BIO) wettelijk verplicht gaat worden en er ook meer toezicht gaat komen. Het is dus van belang dat de gemeente hier nu vast mee aan de slag gaat.

Wij adviseren u, mede gelet op de nieuwe lokale wetgeving die gaat gelden, zicht te houden op de nog te verbeteren zaken en actief bij te sturen waar noodzakelijk. Dit zodat de gemeente straks zonder problemen kan voldoen aan de eisen die vanuit de wetgever en de maatschappij aan haar worden gesteld.

Blijf stappen maken om de Uw gemeente heeft veel aandacht om de betrouwbaarheid van de IT-omgeving en het aantonen van die betrouwbaarheid, te betrouwbaarheid van uw IT- verbeteren. U beschikt over een kalender van 2019 tot en met 2023, waaruit blijkt welke IT-audits u heeft laten uitvoeren en welke nog uitgevoerd gaan worden. De IT General Controls (ITGC’s) en tevens diverse applicaties zijn in de kalender verwerkt. In deze ITomgeving aan te tonen en audit-kalender is een haalbare planning gemaakt van de controles die uitgevoerd zijn en dienen te worden. Hierdoor heeft de optimaal gebruik van te gemeente een goed beeld van waar zij staan ten aanzien van het IT-landschap en waar nog opvolging nodig is. De meeste geplande kunnen maken onderzoeken zijn inmiddels afgewikkeld en zijn de uitkomsten bekend waaruit verbetermogelijkheden inzichtelijk zijn gemaakt. Momenteel loopt er nog een IT-onderzoek vanuit een externe partij. De resultaten daarvan worden begin 2024 door u verwacht. Voor veel applicaties is uw conclusie dat voor de interne en externe controle (nog) niet volledig gesteund kan worden op de ITomgeving. Volgend jaar start u waarschijnlijk met de SAP implementatie. Vanuit interne beheersing en controle adviseren wij u om vroegtijdig een IT auditor mee te laten kijken naar de opzet van de beheermaatregelen.

Daarmee krijgt u antwoorden op vragen of u systemen en applicaties goed heeft ingericht of dat u mogelijk risico’s loopt. Wij adviseren om de kalender binnenkort weer te actualiseren en hierbij een haalbare planning voor opvolging van de bevindingen en verbetermogelijkheden mee te nemen voor de onderzochte applicaties. Deze zullen ook in samenspraak moeten gaan met de verantwoordelijken in de eerste lijn, door de verbetermogelijkheden daar concreet te beleggen en te dragen. Wanneer u van 312018008.23.479 - 17

mening bent dat de verbeteringen zijn gerealiseerd, dan kunnen hierop inhoudelijke audits worden uitgevoerd en kan de automatiseringsomgeving mogelijk gaan bijdragen aan de interne controles.

U heeft aandacht voor fraudepreventie en beheersing

In voorgaande jaren hebben wij het college geadviseerd om, als onderdeel van haar verantwoordelijkheid hierin, een frauderisicoanalyse op te stellen, deze regelmatig te actualiseren en ook te bespreken met de Audit- en rekeningcommissie. Dit heeft ertoe geleid dat u inmiddels beschikt over een frauderisicoanalyse. In het “Verbijzonderd Interne Controleplan 2023-2026 gemeente Hilversum” heeft u in paragraaf 4.3, naar onze mening terecht, opgenomen dat één van de jaarlijks proces overstijgende activiteiten het actualiseren van de frauderisicoanalyse is. Dat is voor 2023 niet gerealiseerd. Wel is bij de actualisatie van de processen en het inschatten een analyse van frauderisico’s per proces gemaakt. Daarbij is vervolgens ook per risico de kans en impact en eventuele beheersingsmaatregelen benoemd. De risico’s zijn vervolgens besproken binnen het team CCA. De terugkoppeling en bespreking met medewerkers uit de 1ste en 2de lijn heeft daarbij plaatsgevonden. Wij willen het volgende meegeven: ▪ Zorg ervoor dat de frauderisicoanalyse een dynamisch proces is. Nu worden de risico’s geïdentificeerd op het moment dat het interne controleplan per jaarrekeningpost of transactiestroom geactualiseerd wordt. Neem alle onderkende frauderisico’s vervolgens op in een integrale frauderisicoanalyse.

▪ In de analyse voor 2022 heeft u bij onderkende risico’s ook de impact en de kans opgenomen en zijn deze uitgeschreven. Naar onze mening zou het sterk zijn om in vervolgrapportages de inschatting van de kans en impact van onderkende risico’s verder te kwantificeren. Dat inzicht kan u weer verder helpen bij het maken van keuzes om de risico’s te beheersen. Door dit element te betrekking in de concretisering van het feitelijke risico, kan de beheersmaatregelen overigens ook specifieker gemaakt worden. ▪ Rond de frauderisicoanalyse voor 2023 op korte termijn af en neem deze op in één overzichtelijke rapportage. De beheersmaatregelen die u heeft benoemd om onderkende risico’s te beheersen, zijn veelal het uitvoeren van controles achteraf, zoals het testen van functiescheidingen of gegevensgerichte controles. Bij de verbijzonderde interne controle wordt dan getoetst of geen sprake is geweest van onrechtmatig handelen, met fraude als gevolg. Hieruit zijn, bij de onderdelen die getoetst zijn over verslagjaar 2023, zijn vooralsnog geen fraudesignalen naar voren gekomen. Hoewel de verbijzonderde interne controle een sterk controlemiddel is, is het wel goed om te beseffen dat dit een controlemaatregel “achteraf” is. In het kader van fraudepreventie is het naar onze mening vooral van belang om maatregelen ter voorkoming, dus aan de voorkant, te treffen.

Deze zijn er uiteraard ook bij u, zoals functiescheidingen in de diverse processen en de periodieke zichtbare toetsing vooraf van de toegekende rechten in systemen. Dit wordt nu grotendeels achteraf door middel van een steekproeven gecontroleerd, terwijl een periodieke beoordeling vooraf van de toegekende rechten, waarmee ook functiescheidingen worden afgedwongen, naar onze mening sterker is. Gelet op het belang van fraudepreventie en ook de rol en verantwoordelijkheid van de raad hierin, vinden wij het belangrijk dat regelmatig gecommuniceerd wordt over de uitkomsten van uw frauderisicoanalyses met de raad of audit- en rekeningencommissie. Voor 2023 heeft dit nog niet plaatsgevonden. Wij vinden dit belangrijk om de raad te ondersteunen in haar toezichthoudende 312018008.23.479 - 18

functie. Daarvan is immers een onderdeel dat de Raad vast kan stellen dat het college conform de financiële verordening een toereikende interne beheersing heeft opgezet om (fraude) risico’s te ondervangen. Het regelmatig bespreken van een (actuele) frauderisicoanalyse is daarbij een sterk hulpmiddel om de frauderisico’s te monitoren en periodiek te evalueren of de interne beheersmaatregelen nog voldoende effectief zijn om frauderisico’s naar een (door u gedefinieerd) acceptabel en door u geaccepteerd niveau te brengen.

U stuurt op de opvolging van bevindingen uit de interne- en externe controle

In de managementletters en accountantsverslagen van voorgaande jaren, maar ook in interne controleverslagen, zijn aanbevelingen opgenomen om de bedrijfsvoering te versterken en de risico’s te verminderen. Bij de actualisatie van de processen over 2023 is per proces inzicht gegeven in de follow up van deze aanbevelingen. Dit maakt dat de “eigenaar” van de aanbeveling snel inzicht heeft in de aanbevelingen die vaar dat proces gelden. Voor zover wij konden nagaan wordt er geen totaaloverzicht meer bijgehouden en besproken, waardoor de centrale sturing minder is. In de rapportages per proces is per gerapporteerde bevinding de huidige status aangegeven en heeft, de “eigenaar” een prioriteit opgenomen. Bij een aantal bevindingen zien wij dat de opvolging nog niet is gerealiseerd binnen de gestelde deadline. In meerdere gevallen wordt daar dan ook een toelichting bij gegeven. Overigens zien wij ook dat de status van een aanbeveling soms niet overeenkomt met toelichtingen op andere plekken in de follow up rapportage of bijvoorbeeld uw interne controlerapportages. Wij hebben bijvoorbeeld geconstateerd dat een aanbeveling op “gereed” gezet is, terwijl de status “geen voortgang” aangeeft of uit een toelichting blijkt dat een opvolging “gepland is”, maar vervolgens wel op afgewikkeld is gezet. Ons advies is hier secuur en consistent mee om te gaan.

Naar onze mening leveren dergelijke rapportages een bijdrage aan de verdere doorontwikkeling van de financiële bedrijfsvoering wanneer voldoende sprake is van progressie. Realisatie van actiepunten kan immers een positieve impact hebben op het ingeschatte risicoprofiel en daarmee op de aard en omvang van eventuele verdere controlewerkzaamheden. In dat verband vragen wij u wel aandacht voor ook een meer centrale sturing, waarbij ook aandacht kan zijn voor proces overstijgende aanbevelingen. Verbeterpunten zouden kunnen zijn dat u de follow-up van de controlebevindingen regelmatiger monitort (bijvoorbeeld periodiek in het gemeente brede MT) en de voortgang regelmatig bespreekt met het college en in de auditen rekeningencommissie. Wij vinden dit van belang in het kader van de doorontwikkeling van uw financiële bedrijfsvoering, de ambities die u hierin heeft en de verder te plannen en uit te voeren interne controlewerkzaamheden.

312018008.23.479 - 19

3.

Procesbevindingen

312018008.23.479 - 20

3. Procesbevindingen Bevindingen uit de interne procesbeoordeling en interne controle 2023

Intern rapporteert het team van CCA haar bevindingen en aanbevelingen naar aanleiding van de beoordeling van de financiële processen en overige relevante werkzaamheden door CCA. Voor het jaar 2023 is wederom de keuze door CCA gemaakt om per proces te rapporteren over de geconstateerde bevindingen en daarbij ook de ontwikkeling ten opzichte van 2022 te schetsen. In de rapportage over 2023 is ook ingegaan op de invulling van de “Three Lines” en zijn eventuele aanbevelingen gedaan. Uit onze controlewerkzaamheden blijkt dat wij tot soortgelijke bevindingen als CCA komen. Deze rapportage vormt naar onze mening dan ook een goede basis om verdere verbetermaatregelen te identificeren en uit te voeren. Hierna hebben wij de resultaten van de uitgevoerde interne controlewerkzaamheden geciteerd uit de interne rapportage, waarbij wij tevens onze bevindingen en adviezen hebben opgenomen en de actiepunten voor de jaarrekening 2023 hebben benoemd. De bevindingen en conclusies liggen nog veelal in lijn met voorgaande jaren en blijft de controleaanpak volledig gegevensgericht om tot oordeelsvorming te komen.