Collegebrief inzake Bestuurlijke reactie Managementletter 2021

GEMEENTE HILVERSUM POSTBUS 9900 1201 GM HILVERSUM BEZOEKADRES:

Aan de gemeenteraad cc college van B en W cc pers

RAADHUIS DUDOKPARK 1 TELEFOONNUMMER: 14 035 WWW.HILVERSUM.NL

27 januari 2022 1095602 BEHA NDELD M. van Oosterom DATUM

ZAAKNUMM ER

DOOR TELEFOON (035)

629 2945

UW KENMERK

2 BETREFT Bestuurlijke reactie Managementletter 2021

BIJLAGEN

Geachte raads- en commissieleden,

Op 3 januari 2022 ontvingen wij de definitieve Managementletter 2021 van onze accountant PSA. In de Audit- en Rekeningcommissie van 27 januari wordt in aanwezigheid van de wethouder Financiën de Managementletter 2021 besproken. De raad heeft de accountant (PSA) opdracht gegeven om de jaarrekening 2021 te controleren. Dit zal komend voorjaar plaatsvinden. In november 2021 heeft PSA de zgn. interim-controle uitgevoerd. Het laten uitvoeren van een interim-controle is onderdeel van het continue proces van het verbeteren van de beheersing van de bedrijfsvoering. Doel van de interim-controle is ook om specifieke aandachtspunten te signaleren voor (de totstandkoming van) de eerstvolgende jaarrekening (2021). De accountant heeft zijn bevindingen en aanbevelingen opgenomen in bijgaande managementletter. De opmerkingen van de accountant zijn grofweg onder te verdelen in opmerkingen over het huidige functioneren van de organisatie en belangrijke tips voor de organisatie op basis van ontwikkelingen die van belang zijn voor de jaarrekening 2021 en volgende jaren. In deze brief geven wij u onze bestuurlijke reactie daarop. Een managementletter is van nature kritisch van aard, omdat deze zich richt op te verbeteren aspecten. De algemene tendens is positief.

De managementletter is technisch en uitgebreid, maar de toonzetting is vriendelijk en biedt ruimte voor gesprek tussen het college en de accountant. Ook dit jaar geeft de managementletter diverse handvatten die de directie onder verantwoordelijkheid en aansturing van het college meeneemt bij het verder verbeteren van de organisatie. Wij herkennen ons in het beeld zoals geschetst door de accountant. PSA spreekt de laatste jaren in het algemeen zijn waardering uit over de samenwerking t.a.v. het vroegtijdig afstemming zoeken bij vraagstukken, aanpak interne controle en complexe dossiers. Deze prettige samenwerking onderschrijven wij nog altijd. PSA geeft in deze management letter aan dat we op meerdere vlakken stappen hebben gezet en onze interne beheersing goed op orde hebben.

PSA constateert dat Hilversum concrete stappen aan het zetten is op het gebied van de interne beheersing als opmaat naar de invoering van de rechtmatigheidsverantwoording over boekjaar 2022. Met name het nadenken over de invulling van de rol van de diverse actoren in de verantwoordings- en controleketen ervaart PSA als een goede ontwikkeling. Er zijn in 2021 belangrijke stappen gezet in het traject om de interne beheersing van de gemeentelijke processen verder te verbeteren wat gaat bijdragen aan de totstandkoming van de rechtmatigheidsverantwoording vanaf het boekjaar 2022. PSA vraagt daarnaast specifiek aandacht voor het blijven monitoren van frauderisico’s en adviseert hierover periodiek het gesprek met de raad te voeren. De grip op opvolging van bevindingen en aanbevelingen uit de interne- en externe controle is verbeterd. Daarnaast merkt PSA op dat de organisatie stappen maakt om de betrouwbaarheid van de IT-omgeving aan te tonen en actief is op het verhogen van het bewustzijn op het gebied van cyber- en beveiligingsbeleid. Naast deze generieke aanbevelingen die bijdragen aan de bewustwording binnen de organisatie, zijn er ook specifieke aanbevelingen gedaan die direct betrekking hebben op te verbeteren processen. Dit zijn: ✓ ✓ ✓ ✓ ✓ ✓

Volledigheid van verhuuropbrengsten; Inkomende subsidies; Verantwoording van de parkeeropbrengsten; Rechtmatigheid van Europese aanbestedingen; Vordering inzake overdracht gronden aan GEM Crailo B.V.; Drempelbedrag schatkistbankieren.

De algehele strekking van de Managementletter 2021 beschouwen wij daarom als een stimulans om door te gaan op de ingeslagen weg. De aanbevelingen van de accountant nemen wij ter harte en voor het overgrote deel volledig over. Tijdens behandeling in ons college op 25 januari is op basis van een gedetailleerde bijlage aangegeven hoe en wanneer opvolging wordt gegeven aan de bevindingen en aanbevelingen. De directie ziet er namens het college op toe dat de aanbevelingen daadwerkelijk tijdig en adequaat worden geïmplementeerd en de concerncontroller toetst de vorderingen. De managementletter inclusief follow up bevindingen en aanbevelingen worden in de audit- en rekeningencommissie (ARC) van 27 januari behandeld. Wij vertrouwen erop u hiermee voldoende te hebben geïnformeerd.

Hoogachtend, Burgemeester en wethouders van Hilversum, de gemeentesecretaris,

de burgemeester,

P. Torres Barrera

P.I. Broertjes

Managementletter 2021 Gemeente Hilversum

Aan het college van burgemeester en wethouders van de gemeente Hilversum Postbus 9900 1201 GM HILVERSUM Onderwerp Managementletter 2021 Datum 3 januari 2022 Kenmerk 312018008.21.372

Geacht college, Wij hebben, als onderdeel van de controle van de jaarrekening 2021, de interim-controle voor uw gemeente uitgevoerd. Deze controle is primair gericht op de analyse en evaluatie van de interne beheersingsomgeving en de daarin opgenomen maatregelen van interne controle. In onze managementletter zijn onze bevindingen en aanbevelingen opgenomen. Tevens heeft deze controle als doelstelling om de aandachtspunten voor de jaarrekening 2021 te signaleren en onder uw aandacht te brengen. Volledigheidshalve merken wij op dat onze analyse en evaluatie is uitgevoerd in het kader van de door de raad verstrekte opdracht tot controle van de jaarrekening. De geselecteerde werkzaamheden zijn afhankelijk van de door de accountant toegepaste oordeelsvorming, met inbegrip van het inschatten van de risico's dat de jaarrekening een afwijking van materieel belang bevat als gevolg van fraude of fouten. Wij merken op dat deze brief is opgesteld ten behoeve van het college van burgemeester en wethouders van de gemeente Hilversum en niet zonder onze toestemming aan derden mag worden verstrekt. De bevindingen en aanbevelingen dienen te worden gelezen als constructieve aanwijzingen voor het college als onderdeel van het continue proces van het veranderen en verbeteren van de beheersing van de bedrijfsvoering en de kwaliteit van de jaarrekening.

Graag willen wij deze rapportage en de daarin opgenomen bevindingen en aanbevelingen nader met u bespreken. Met vriendelijke groet, Publieke Sector Accountants B.V.

A. Booij RA

Publieke Sector Accountants B.V. is ingeschreven in het handelsregister van de Kamer van Koophandel te Utrecht onder nummer 69411409.

Inhoudsopgave

Contact De volgende personen kunnen benaderd worden bij vragen met betrekking tot deze managementletter: Arie Booij Tel: 06 1509 2689 Arjan Sallehart Tel: 06 1509 2694 Jan Scholten Tel: 06 2832 1383

Managementsamenvatting ............................................... 2 1. Inleiding ....................................................................... 4 2. Onze evaluatie van uw interne beheersomgeving ......... 6 3. Procesbevindingen ......................................................18 4. Overige onderwerpen en aandachtspunten voor de jaarrekening .....................................................................24

Managementsamenvatting

312018008.21.372 - 1

Managementsamenvatting Uw interne beheersing

Status rechtmatigheidsverantwoording

▪

▪

▪

▪

Er worden goede stappen gezet op het gebied van interne beheersing. De betrokkenheid en rol van de eerste en tweede lijn is verder versterkt. Het team van CC&CA komt meer en meer in de rol van coaching, advisering en kwaliteitscontrole. De frauderisicoanalyse wordt geactualiseerd. Verbind de uitkomsten met de (verbijzonderde) interne controle en deel de onderkende frauderisico’s ook met de raad (via de Audit- en rekeningcommissie). Door te sturen op de voortgang van de realisatie van de aanbevelingen uit voorgaande controles realiseert u dat de kwaliteit van de bedrijfsvoering verbetert. Ons advies is om op hoofdlijnen hierover ook aan de Audit- en rekeningcommissie te rapporteren, met daarbij de interne en externe managementletter als bijlage.

▪

▪

De invoering van de rechtmatigheidsverantwoording is voorlopig uitgesteld naar 2022. Recent heeft de commissie BBV de Kadernota rechtmatigheid 2022 uitgebracht. Hierin is belangrijke informatie (waaronder stellige uitspraken) opgenomen die ondersteunend kunnen zijn aan het verder vormgeven aan de invulling van de rol van verschillende actoren binnen uw gemeenschappelijke regeling. In 2021 heeft u een pas op de plaats gemaakt omdat u de ontwikkelingen wilde volgen en doorvertalen in uw aanpak. Met het opstellen van het intern controleplan 2022-2023 zal weer een belangrijke stap gezet worden waarmee u in staat moet zijn om in 2023 de rechtmatigheidsverantwoording over 2022 op te stellen.

(Verbijzonderde) interne controle

Belangrijkste bevindingen

▪

▪

▪

▪

▪

Verdere mogelijkheden tot professionalisering van de (verbijzonderde) interne controle staat bij u op de planning en zal meelopen in het proces om te komen tot de rechtmatigheidsverantwoording. Proceseigenaarschap komt daarbij meer en meer bij de 1e en 2e lijn te liggen. Sturing op de kwaliteit van de interne beheersing zal in de nabije toekomst met het “Key Control Dashboard” (KCD) gaan plaatsvinden. Hierin worden actuele processen opgenomen en relevante controles vastgelegd. Aandacht voor tijdigheid en uniformiteit is daarbij van belang. In de interne managementletter (CC&CA) is uitgebreid ingegaan op de (interne) bevindingen naar aanleiding van de onderzochte processen. De bevindingen die gerapporteerd zijn kunnen bijdragen aan de verdere ontwikkeling van uw organisatie. Wij adviseren u kennis te nemen van deze interne managementletter. Onderzoeken naar de kwaliteit van uw IT-omgeving geven handvatten om verdere verbeteringen door te voeren, met als uiteindelijk resultaat dat in de toekomst gesteund kan gaan worden op applicatieve controls.

▪

▪ ▪

▪

Er zijn aandachtpunten met betrekking tot de interne beheersing rondom de volledige verantwoording van verhuuropbrengsten, inkomende subsidies en parkeeropbrengsten. Uit de interne controle over het eerste deel van 2021 komen afwijkingen van het Europees aanbestedingsbeleid naar voren. In één geval betreft dit een nieuwe bevinding, daarnaast is sprake van een viertal doorlopende fouten vanuit voorgaande jaren. Er komt meer inzicht in de vastgoedportefeuille en het onderhoudsniveau daarvan. Prijsontwikkelingen kunnen impact hebben op de waardering en tussentijdse winstneming bij uw grondexploitaties. De toerekening van baten en lasten aan het juiste jaar is een aandachtspunt. Er is, vooralsnog, geen sprake van een waarderingsrisico ten aanzien van uw vordering op de GEM Crailo B.V.

312018008.21.372 - 2

1.

Inleiding

312018008.21.372 - 3

1. Inleiding Onze controleaanpak is risicogericht

In het kader van onze interim-controle hebben wij de interne beheersingsomgeving onderzocht voor zover dit relevant is voor de bijdrage daarvan aan de getrouwheid en rechtmatigheid van de jaarrekening. De geselecteerde werkzaamheden zijn afhankelijk van de door de accountant toegepaste oordeelsvorming, met inbegrip van het inschatten van de risico's dat de jaarrekening een afwijking van materieel belang bevat als gevolg van fraude of fouten. Bij het maken van deze risico-inschattingen neemt de accountant de interne beheersing in aanmerking, die relevant is voor het opmaken van de jaarrekening en voor het getrouwe beeld daarvan. Deze risico-inschattingen hebben echter niet tot doel een oordeel tot uitdrukking te brengen over de effectiviteit van de interne beheersing. Hierdoor is onze analyse en evaluatie beperkter dan dat deze zou zijn geweest in het kader van een opdracht tot het geven van een oordeel omtrent de opzet, het bestaan, de effectiviteit en de efficiency van de interne beheersing als geheel en bestrijkt daarom niet noodzakelijkerwijze alle in de interne organisatie vervatte tekortkomingen. Daarnaast hebben wij een aantal aandachtspunten benoemd waarvan wij het zinvol achten daar bij de controle aandacht aan te besteden.

Wij hebben daarbij onder meer gebruik gemaakt van de input die wij hebben verkregen uit de “domeingesprekken” die wij hebben gevoerd in aanloop naar onze interim controle. Daarin hebben wij met de directie en de “1e, 2e en 3e lijn” uit de domeinen gesproken over ontwikkelingen, aandachtspunten en de opvolging van eerdere adviezen. Naar onze mening dragen dit soort gesprekken bij aan een duurzame verankering van onze samenwerking, en willen wij deze gesprekken dan ook tweemaal per jaar blijven voeren. Wij hebben bij de interim-controle vooral aandacht besteed aan de inrichting van uw interne beheersomgeving en de financiële processen. Daarbij hebben wij de doorkijk gemaakt naar 2022, het jaar waarover waarschijnlijk voor het eerst de rechtmatigheidsverantwoording door het college moet worden afgegeven. In de managementletter gaan wij daar, in hoofdstuk 2, ook uitvoerig op in. Hierna geven wij aan welke belangrijkste aandachtspunten voor de jaarrekeningcontrole 2021 van de gemeente Hilversum zijn geïdentificeerd.

Aandachtspunten voor controle en rapportage

Voor de jaarrekeningcontrole 2021 onderkennen wij een aantal (bruto) aandachtspunten, die een verhoogd (bruto) risico met zich mee (kunnen) brengen op een materiële fout in uw jaarrekening en die een mogelijke impact op de bedrijfsvoering kunnen hebben. Opname van een risicogebied of aandachtspunt in deze opsomming betekent niet dat daadwerkelijk sprake is van risico’s die zich daadwerkelijk voordoen, maar is enkel bedoeld om aan te geven dat wij hier tijdens onze controle (extra) aandacht aan zullen besteden. De risicogebieden zijn hieronder weergegeven. ▪ ▪ ▪

De waardering van de vordering op de GEM Crailo B.V. in verband met de uitgestelde betalingsverplichting van de GEM. De voortgang van de investeringsplanning en beheersing van investeringskredieten. Voortgang en status ontwikkeling grondexploitaties: 312018008.21.372 - 4

▪ ▪ ▪ ▪

▪ ▪ ▪ ▪ ▪ ▪

Financiële ontwikkeling Anna’s Hoeve Waardering en presentatie van eventuele nieuw geopende grondexploitaties in 2021. Naleving van de (Europese) aanbestedingsregels, mede in relatie tot fouten in voorgaande jaren (2020 € 541.000). Het beheer van vorderingen (uitvoering invorderingsbeleid en bepaling voorziening oninbaarheid). De verantwoording en waardering van voorzieningen in relatie tot de aanwezigheid van actuele onderbouwingen (vanwege schattingselementen). “ Veronderstelde risico’s” vanuit de voorschriften voor de accountantscontrole. Dit betreft de mogelijkheid die het management heeft om specifieke controlemaatregelen te omzeilen, bijvoorbeeld door memoriaalboekingen of het schattingsproces en de opbrengstverantwoording. De specifieke aandacht voor deze risico’s is voorgeschreven vanuit de controlerichtlijnen en is niet uniek voor de gemeente Hilversum. De uitvoering van de Tozo in 2021, waaronder de werking van het M&O-beleid. Risico’s en onzekerheden in het sociaal domein, waaronder de afwikkeling van de over boekjaar 2020 gerapporteerde onzekerheden (€ 481.000) rondom de prestatielevering Wmo en Jeugd. De verantwoording van lasten (investeringen, w.o. SAAS-oplossingen versus exploitatie en juiste boekjaar) en baten (juiste boekjaar) De follow-up ten aanzien van eerder gerapporteerde aandachtspunten vanuit de interne en externe controle.

De actualisatie van de (fraude-)risicoanalyse. De voortgang en status van de (noodzakelijke en gewenste) verbeteringen met betrekking tot de kwaliteit van de interne beheersing in relatie tot de af te geven collegeverklaring rechtmatigheid (over boekjaar 2022).

Ter voorkoming van een materiële fout in de jaarrekening heeft u voor bovenstaande risicogebieden beheersmaatregelen getroffen. Wij hebben ons tijdens de interim-controle gericht op de opzet en het bestaan van de door u ingerichte beheersingsomgeving, die deze risico’s moeten verkleinen.

Aandachtspunten Raad en Audit- en rekeningcommissie

Op 26 oktober 2021 hebben wij, in een pre-auditmeeting, de focus van de controle 2021 met de Audit- en rekeningcommissie afgestemd. Op basis van de uitkomsten van deze bespreking, de aandachtspunten uit voorgaande controles en de actuele ontwikkelingen zijn de speerpunten voor de uitvoering van onze controle over het jaar 2021 bepaald. U heeft ons voor het jaar 2021, in aanvulling op de hiervoor opgenomen onderwerpen, verzocht om specifiek aandacht te besteden aan de volgende punten: ▪ ▪ ▪

De grip op de verbonden partij GEM Crailo B.V., inclusief de beoordeling van de potentiële risico’s en de verwachte resultaatontwikkeling. Verantwoording en waardering van de grondexploitatie Stationsplein. De voortgang van de realisatie van grote projecten.

Op een aantal onderwerpen komen wij reeds in deze managementletter terug (waaronder de GEM Crailo en de grondexploitatie Stationsplein). In ons accountantsverslag bij de jaarrekening zullen wij u informeren over onze aanvullende bevindingen over deze onderwerpen en de voortgang van de realisatie van de grote projecten. 312018008.21.372 - 5

Materialiteit

De materialiteitsbepaling bij de gemeente Hilversum is gebaseerd op het Besluit Accountantscontrole Decentrale Overheden (BADO) en het door de raad op 29 januari 2020 vastgestelde Controleprotocol 2019 – 2022. Voor fouten is deze gebaseerd op 1% van de lasten inclusief toevoegingen aan de reserves en voor onzekerheden op 3% van de lasten inclusief toevoegingen aan de reserves. Bij onze controleplanning zijn wij vooralsnog uitgegaan van de cijfers volgens de (primaire) Begroting 2021. Wanneer de jaarrekening 2021 beschikbaar is, zullen wij onze materialiteitbepaling op basis van de werkelijke cijfers over 2021 herzien. Bij de interim-controle is derhalve uitgegaan van:

Bron: Programmabegroting 2021

Fouten

Materialiteit

€ 2.650.000

Onzekerheden € 7.950.000

Voor de controle op naleving van de Wet Normering Topinkomens (WNT) hanteren wij een lagere materialiteit. Deze specifieke materialiteitsberekening is verplicht gesteld vanuit de Regeling Controleprotocol WNT.

Kernboodschappen

De kernboodschappen uit onze interim-controle 2021 hebben wij steeds in de linker kantlijn weergegeven.

312018008.21.372 - 6

2.

Onze evaluatie van uw interne beheersomgeving

312018008.21.372 - 7

2. Onze evaluatie van uw interne beheersomgeving Uw interne beheersing blijft Onze controleaanpak is naast het controleren van de jaarrekening gericht op het verbeteren van uw bedrijfsvoering inclusief de digitalisering hiervan. In onze controle hanteren wij daarvoor (net als u) het zogenaamde “3-lines model” (de drie zich positief ontwikkelen verdedigingslinies). Dit model geeft handvatten om te beoordelen waar in de interne beheersing risico’s worden ondervangen:

▪ ▪ ▪

In de eerste lijn: in het primaire proces, onder verantwoordelijkheid van de proceseigenaar. In de tweede lijn: in de ondersteunende processen zoals financiën, HR en projectmanagement, waar “checks and balances” zijn ingericht om fouten te signaleren. In de derde lijn: in uw verbijzonderde interne controle achteraf.

312018008.21.372 - 6

In het algemeen zien wij dat de afgelopen jaren steeds meer, bij organisaties als uw gemeente, wordt ingestoken op een verdere versterking van processen en de kwaliteitsverbetering van de interne beheersing. Dit laatste heeft grote raakvlakken met de accountantscontrole. Bij de accountantscontrole wordt steeds meer naar de kwaliteit van de interne beheersing gekeken (de waarborgen die een organisatie moet treffen of heeft getroffen om risico’s te beperken) in plaats van achteraf vaststellen of zaken goed of fout gegaan zijn. De controle van het verslagjaar 2021 is de vierde (jaarrekening)controle die wij voor uw gemeente uitvoeren. Wij constateren dat uw gemeente concrete stappen aan het zetten is op het gebied van de interne beheersing. Met name het nadenken over de invulling van de rol van de diverse actoren in de verantwoordings- en controleketen ervaren wij als goede ontwikkeling. Dit moet duidelijkheid gaan geven over verantwoordelijkheden in processen en kan gaan bijdragen aan de totstandkoming van de rechtmatigheidsverantwoording vanaf het boekjaar 2022. Belangrijke resultaten van het project “Hilversum in Control” (zie hiervoor ook onze eerdere managementletters) zijn in 2021 dat de rollen van de 1e, 2e en 3e lijn zichtbaar aan het veranderen zijn.

Steeds meer worden controlehandelingen belegd in de 1e en 2e lijn en komt het team van Concern Control & Concern Audit (CC&CA, de 3e lijn) steeds meer in een rol die is gericht op het vaststellen van de goede werking van de 1e en 2e lijn en het adviseren daarover. In de loop van de tijd worden stappen gezet, waarbij het natuurlijk zo is dat veranderingen tijd kosten. De transitie is dan ook nog zeker niet voltooid en om deze door te zetten zal dit van het management de komende jaren blijvende aandacht, inspanning en ondersteuning vragen. In de eerste lijn, de primaire afdelingen, hebben wij een aantal waarnemingen waar verbetering mogelijk is. Hiervoor verwijzen wij naar hoofdstuk 3 van deze managementletter. De verantwoordelijkheid voor het actueel houden van de procesbeschrijvingen is nadrukkelijker bij het lijnmanagement komen te liggen. De “eerste lijn” is dan vervolgens ook aan zet om, door middel van een lijncontrole, aan te tonen dat het proces ongewijzigd is gebleven ofwel aan te tonen dat sprake is van wijzigingen. Wat hierbij naar onze mening belangrijk is, is dat procesbeschrijvingen op uniforme wijze zijn opgesteld en dat ook voor wat betreft de lijncontroles een eenduidige systematiek wordt toegepast. Hier is de organisatie nog zoekende. Procesbeschrijvingen worden nu in verschillende methodieken bijgehouden.

Deels in Excel, deels in het “Key Control Dashboard” (KCD) en soms ook in een andere structuur, zoals bijvoorbeeld het subsidieproces in “Case”. Wij adviseren u hierin een keuze te maken en één uniforme werkwijze te gaan toepassen. In geval van wijzigingen in de inrichting van processen moet de impact op de (verbijzonderde) interne controle beoordeeld worden. In het kader van “eigenaarschap” denken wij dat de “vakafdelingen” hierin komende jaren een nadrukkelijke rol toebedeeld zullen moeten krijgen. Nu doet het team CC&CA dit veelal nog. Momenteel wordt door CC&A het overkoepelend intern controleplan 2022-2023 opgesteld. Hierin zijn relevante interne controles in kaart gebracht en wordt beoordeeld welke functionaris deze controles uit zou moeten voeren. Uw bedoeling was dat er controles zouden verschuiven van het team CC&CA naar de 1e en 2e lijn en dat het team CC&CA meer in de kwaliteitsbeoordelende en coachende rol zou gaan komen. Deze ontwikkeling is nog niet volledig doorgevoerd in dit plan, maar wordt beoogd voor het 312018008.21.372 - 7

volgende jaar. Wij denken dat het daarbij kan helpen als de Domeinen nog meer betrokken worden bij de totstandkoming van het controleplan, waardoor het meer als “de eigen controles” kan gaan voelen. Voor de directie zien wij hierin een belangrijke rol om te sturen op de gewenste ontwikkeling. Wij denken hierin graag met u mee. Ook is het uw streven om met ingang van het boekjaar 2022 controles per kwartaal te gaan doen. Hierbij hoort naar onze mening ook de tijdige actualisatie van de processen en het uitvoeren en documenteren van een risicoanalyse. Het eerder dan “normaal” uitvoeren van interne controles betekent dat u eerder zicht heeft op de inhoud van de rechtmatigheidsverantwoording die u moet gaan opnemen in de jaarrekening 2022 en verder. Dat is een goede ontwikkeling. Om een optimale afstemming tussen de interne controle en de accountantscontrole te realiseren, vragen wij u om uw intern controleplan, de uitgevoerde risicoanalyse en de uitgevoerde controles tijdig met ons af (blijven) te stemmen. Wat verder helpt is dat als wij bij het uitvoeren van onze interim controle, naast de controlememoranda per onderzocht proces, voortaan kunnen beschikken over de “interne managementletter” van CC&A zodat we hun bevindingen kunnen meenemen in de gesprekken en kunnen toetsen. Waar wij verder zien dat u nog stappen kunt maken is hoe omgegaan moet worden met afwijkingen.

Uit de door u uitgevoerde lijncontroles of detailcontroles blijken soms afwijkingen. Deze worden ook door u in de interne controlerapportages, waaronder de interne managementletter, gerapporteerd, echter een goede oorzaakanalyse en het geven van opvolging aan deze bevindingen verdient nog uw aandacht. Verder hebben wij vastgesteld dat uw gemeente stappen zet in het uitwerken van overkoepelende beheersmaatregelen, zoals de uitwerking van de frauderisico-analyse en het eerder genoemde interne controleplan. Ook de verbijzonderde interne controle heeft u zelf opgepakt, wat naar onze mening goed is. Op deze wijze krijgt u immers eerder scherp dat er getrouw en rechtmatig gehandeld is, of waar sprake is van risico’s of afwijkingen, zodat u daar gelijk op kunt reageren. Wel blijven wij uw aandacht vragen voor de betrokkenheid van de eerste en tweede lijn bij de doorontwikkeling van de interne beheersing.

Rechtmatigheidsverantwoording: (voorlopig) uitgesteld naar 2022

Inleiding Het ministerie van BZK heeft via de nieuwsbrief IBI (nummer 103, juni 2021) aangegeven dat de invoering van de rechtmatigheidsverantwoording uitgesteld wordt tot in ieder geval de jaarrekening 2022. Dit betekent dat vanaf dan onze controleverklaring alleen een oordeel inzake de getrouwheid van de jaarrekening (inclusief de rechtmatigheidsverantwoording door het college, die in de jaarrekening wordt opgenomen) bevat. De Commissie BBV heeft inmiddels de herziene kadernota uitgebracht (Kadernota rechtmatigheid 2022), waarin zij haar visie geeft over de invulling van het begrip rechtmatigheid in de rechtmatigheidsverantwoording. De Kadernota rechtmatigheid 2022 is daarmee vooral een belangrijk document voor het bestuur van decentrale overheden geworden. Met de rechtmatigheidsverantwoording van het college beoogd de wetgever onder meer de volgende doelen te realiseren: ▪

Een expliciete rechtmatigheidsverantwoording benadrukt de politieke aanspreekbaarheid van het College van B&W en GS;

312018008.21.372 - 8

▪

Het kan een kwaliteitsverhogend effect op de financiële bedrijfsvoering bij gemeenten en provincies hebben;

▪

De voorgestelde methodiek sluit bovendien aan bij een bredere maatschappelijke trend, waarbij het bestuur verantwoording aflegt over de rechtmatigheid.

Omdat het separate oordeel van de accountant over rechtmatigheid gaat verdwijnen, is de Kadernota rechtmatigheid 2022 niet (meer) gericht op de accountantscontrole. Dit laatst is in het Besluit accountantscontrole decentrale overheden geregeld. Hierna gaan wij op een aantal aspecten met betrekking tot de invoering van de rechtmatigheidsverantwoording nader in en geven we aan, op basis van onze uitgevoerde interim controle, waar u momenteel staat. Wij adviseren u overigens om kennis te nemen van de Kadernota rechtmatigheid 2022. Deze Kadernota kan ondersteunend zijn aan het verder vormgeven aan de invulling van de rol van verschillende actoren binnen uw gemeente. Daarnaast vragen wij u aandacht voor paragraaf 1.4 van de Kadernota. Daarin is een tiental stellige uitspraken gedaan en zijn zeven aanbevelingen gedaan. Deze worden in de Kadernota verder uitgewerkt. Deze stellige uitspraken en aanbevelingen kunnen u helpen bij de verdere implementatie van de rechtmatigheidsverantwoording binnen uw organisatie. Verschuiving van rollen In navolging van een advies van de commissie Depla in 2015 over de vernieuwing van de begroting en verantwoording wordt naar verwachting met ingang van 2022 een ‘rechtmatigheidsverantwoording’ voor gemeenten en gemeenschappelijke regelingen ingevoerd.

Dit betekent dat vanaf dan onze controleverklaring alleen een oordeel inzake de getrouwheid van de jaarrekening bevat. In de jaarrekening is dan ook de rechtmatigheidsverantwoording van het college opgenomen. Nadere verduidelijkingen op de rechtmatigheidsverantwoording of aanvullende toelichtingen worden in de paragraaf bedrijfsvoering opgenomen. De invoering van de rechtmatigheidsverantwoording betekent ook een verschuiving van rollen in het kader van de accountantscontrole: Gemeenteraad: ▪ Vaststelling normenkader, verantwoordingsgrens (tussen 0% en 3% van incl. toevoegingen aan reserves) en rapporteringsgrens; ▪ Afstemming vooraf en verantwoordingsgesprek voeren met college (niet met accountant). College: ▪ Organiseren van de onderbouwing van de rechtmatigheidsverantwoording; ▪ Opstellen van de verantwoording en opname in jaarstukken. Accountant: ▪ Controleert alleen nog de getrouwheid van de jaarrekening (incl. de getrouwheid van de rechtmatigheidsverantwoording); ▪ Adviseren van college over aanpak.

312018008.21.372 - 9

Het is van belang dat uw gemeente hier op een goede wijze invulling aan geeft. Hierbij is met name het investeren in de kwaliteit van de bedrijfsvoering, het verder professionaliseren van de interne controlefunctie, en het vergroten van bewustwording op het gebied van rechtmatigheid van belang. Hierna hebben wij de wijzigingen gevisualiseerd.

312018008.21.372 - 10

Waar staat u? Vanuit het team CC&CA is een voorstel uitgewerkt om de organisatie voor te bereiden om tot een rechtmatigheidsverantwoording over 2022 te komen. Onderdeel van dit voorstel is de doorontwikkeling van de financiële keten, het eerder genoemde “3-linesmodel”. De rol van de verbijzonderde interne controle (VIC) zal meer en meer in de 2e lijn belegd worden en de 3e lijn (team CC&CA) zal in een zogenaamde review rol komen. Een goede ontwikkeling wat ons betreft, die ervoor moet gaan zorgen dat u over de benodigde verantwoordingsinformatie beschikt. Het jaar 2022 zal mogelijk nog wel een overgangsjaar zijn, waarbij werkende weg per domein de gewenste ontwikkeling zal worden geïmplementeerd. Dit heeft deels te maken met het feit dat op managementniveau, maar ook bij de business en domeincontrollers momenteel sprake is van een relatief groot personeelsverloop. Het uitstellen vanuit de wetgever heeft gevolgen gehad voor uw planning. Deze heeft u bewust wat doorgeschoven, omdat u de ontwikkelingen ook wilt blijven volgen en deze gelijk wilt doorvertalen in uw plan van aanpak. Uw gemeente werkt inmiddels aan het intern controleplan 2022-2023 om mede invulling te geven aan de ontwikkelingen rondom de rechtmatigheidsverantwoording. Op basis van dit plan kunt u borgen dat u in 2023 in staat bent om de rechtmatigheids-verantwoording voor het boekjaar 2022 op te stellen.

Voor uw gemeente is dit document vooral van belang omdat dit dient als kapstok voor de werkzaamheden op het gebied van rechtmatigheid die al eerder binnen uw organisatie werden uitgevoerd. Wij adviseren tevens om ook een eindrapport op te stellen waarin de bevindingen en adviespunten samenkomen ter onderbouwing van de rechtmatigheidsverantwoording en de toelichting in de paragraaf bedrijfsvoering. In de huidige situatie zijn wij van mening dat uw gemeente voldoende in staat zou moeten zijn om invulling te geven aan de rechtmatigheidsverantwoording. Wij hebben begrepen dat in december 2021 nog een presentatie aan de Audit- en rekeningcommissie gegeven zal gaan worden, waarin ook ingegaan zal worden op de reikwijdte van de rechtmatigheidscontrole, het nog vast te stellen normenkader en de verantwoordingsgrens. Verantwoordingscriteria rechtmatigheid in relatie tot de interne controle In de jaarrekening legt het college verantwoording af over alle negen criteria van rechtmatigheid. De zes criteria, die betrekking hebben op getrouwheid en óók onderdeel zijn van rechtmatigheid, komen tot uitdrukking in de balans en het overzicht van baten en lasten. Drie specifieke rechtmatigheidscriteria komen tot uitdrukking in de rechtmatigheidsverantwoording.

De negen criteria gelden ook als uitgangspunt vanuit de wetgever, waarbij de reikwijdte van de verantwoording niet wijzigt ten opzichte van de situatie tot en met 2021, waarin de accountant het oordeel over rechtmatigheid afgeeft. Omdat er zes criteria worden afgedekt door het getrouwe beeld hoeven deze reden niet afzonderlijk vermeld te worden in de rechtmatigheidsverantwoording. Vanzelfsprekend maken deze zes criteria wel onderdeel uit van de reguliere jaarrekeningcontrole. In het onderstaande schema is dit in beeld gebracht.

312018008.21.372 - 11

Overblijvende rechtmatigheidscriteria

Rechtmatigheidscriteria afgedekt door controle ‘getrouw beeld

NU: Toetsingscriteria specifiek voor het rechtmatigheidsoordeel van de accountant. STRAKS: Scope van de door het college af te geven oordeel over de rechtmatigheid (rechtmatigheidsverantwoording). In artikel 23 van uw financiële verordening (per 1-1-2022) is in lid 1 het volgende opgenomen: “Het college zorgt ten behoeve van het getrouwe beeld van de jaarrekening, bedoeld in artikel 213, derde lid, onder a, van de Gemeentewet, en de rechtmatigheid van de baten en lasten en de balansmutaties, bedoeld in artikel 213, derde lid, onder b, van de Gemeentewet, voor de jaarlijkse interne toetsing van de getrouwheid van de informatieverstrekking en de rechtmatigheid van de beheers-handelingen. Bij afwijkingen neemt het college maatregelen tot herstel”. De scope zoals in uw verordening beschreven gaat, naar onze mening terecht, verder dan de interne controle op uitsluitend de criteria van rechtmatigheid zoals in de Kadernota rechtmatigheid 2022 is beschreven. Wij adviseren u hier goed rekening mee te houden bij het plannen van controlewerkzaamheden, maar ook bij de evaluatie van bevindingen. Niet elke bevinding uit de interne controle op de getrouwheid van baten en lasten is immers ook een fout die als rechtmatigheidsafwijking in de rechtmatigheidsverantwoording moet worden opgenomen.

312018008.21.372 - 12

Raakvlakken met de interne beheersing De invoering van de rechtmatigheidsverantwoording heeft voor een belangrijk deel te maken met het feit dat het college verantwoordelijk is voor de rechtmatige uitvoering van de begroting. Het is daarom ook aan het college om daar verantwoording over af te leggen. Het is daarbij van belang dat de verantwoording over de rechtmatigheid efficiënt en effectief wordt vormgegeven en dat de administratieve- en controlelasten niet stijgen. Binnen uw gemeente wordt de benodigde informatie om de rechtmatigheidsverantwoording op te kunnen stellen vooral verzameld op basis van de (verbijzonderde) interne controle die u uitvoert. Het is daarom van belang om de opzet en inrichting van de interne controle periodiek goed tegen het licht te (blijven) houden. Aandachtspunten daarbij zijn naar onze mening: ▪ ▪ ▪ ▪ ▪

▪ ▪

U beschikt over een intern controleplan 2021-2022. Evalueer dit plan jaarlijks en stel zo nodig bij. Maak goede keuzes aan de voorkant en stem deze af met de accountant. Stuur actief op de aanbevelingen uit de interne en externe controle. Werk risico-gericht en daarmee doelmatig. Maak, waar mogelijk, gebruik van beheersmaatregelen in processen in plaats van (te) uitgebreide steekproeven achteraf. In het verlengde van het vorige punt. Het is naar onze mening waardevol als uw organisatie in het interne controleplan ook expliciet aandacht blijft besteden aan de interne beheersing rondom de IT-omgeving en de betekenis daarvan voor de Verbijzonderde Interne Controle (VIC) aangeeft. Voer de geplande werkzaamheden overeenkomstig uw planning (dus tijdig) uit. Evalueer bevindingen en aanpak, maak oorzaakanalyses bij afwijkingen en stel indien noodzakelijk bij.

Wij adviseren u overigens om kennis te nemen van de Kadernota rechtmatigheid 2022 en op basis daarvan te bepalen of uw intern controleplan voldoet aan de uitgangspunten zoals deze daarin zijn benoemd. In paragraaf 1.4 van de Kadernota is een tiental stellige uitspraken gedaan en zijn zeven aanbevelingen gedaan. Deze worden in de Kadernota verder uitgewerkt.

Blijf de frauderisico’s monitoren en voer hierover periodiek het gesprek met de raad

Wij hebben het college in voorgaande jaren geadviseerd om, als onderdeel van haar verantwoordelijkheid hierin, een frauderisicoanalyse op te stellen, deze regelmatig te actualiseren en ook te bespreken met de Audit- en rekeningcommissie. Recent is de frauderisicoanalyse / -inventarisatie geactualiseerd en besproken in de directie. De uitkomsten zijn reeds besproken met de desbetreffende proceseigenaren en worden ook meegenomen in de verbeterplannen bij deze processen. Dit is onderdeel van een gemeente-breed bewustwordingsproces. De directeur bedrijfsvoering stuurt (via de regietafel) dit proces de komende periode actief aan. Naar onze mening zijn dit prima stappen die onder verantwoordelijkheid en aansturing van het college zijn genomen en welke ook in de nabije toekomst kunnen leiden tot één overkoepelende gemeente brede frauderisicoanalyse. Een dergelijk document kan dan ook actief met de Audit- en rekeningencommissie gedeeld en besproken worden. Wanneer de frauderisicoanalyse ook met de Audit- en rekeningencommissie besproken wordt, geeft u met uw aanpak naar onze mening voldoende invulling aan het belang om regelmatig (minimaal eens per jaar) met de raad (via de Audit- en rekeningencommissie) een gesprek over frauderisico’s te voeren. Dit is nodig om de raad te ondersteunen in haar toezichthoudende 312018008.21.372 - 13

functie. Daarvan is immers een onderdeel dat de Raad vast kan stellen dat het college conform de financiële verordening een toereikende interne beheersing heeft opgezet om (fraude) risico’s te ondervangen. Een (actuele) frauderisicoanalyse is daarbij een sterk hulpmiddel om de frauderisico’s te monitoren en periodiek te evalueren of de interne beheersmaatregelen nog voldoende effectief zijn om frauderisico’s naar een (door u gedefinieerd) acceptabel en door u geaccepteerd niveau te verlagen.

De grip op opvolging van bevindingen uit de interneen externe controle is verbeterd

In de managementletters en accountantsverslagen van voorgaande jaren, maar ook in interne controleverslagen, zijn aanbevelingen opgenomen om de bedrijfsvoering te versterken en de risico’s te verminderen. Ten behoeve van onze recente interim controle heeft u met de rapportage “Follow-up interne en externe aanbevelingen 2019 en 2020” inzicht in de opvolging van de bevindingen gegeven, die in uw interne rapportages over 2019 en 2020, onze managementletter 2019 en 2020 en ons accountantsverslagen 2019 en 2020 zijn opgenomen. Bevindingen uit voorgaande interne rapportages en accountantsrapportages zijn daarbij niet opgenomen. In de rapportage is per gerapporteerde bevinding de huidige status is aangegeven. In de rapportages zijn ook het Domein waarop de bevinding betrekking heeft, de “eigenaar” en een prioriteit opgenomen. Bij een aantal bevindingen zien wij dat de opvolging nog niet is gerealiseerd op de gestelde deadline. In meerdere gevallen wordt daar dan ook een toelichting bij gegeven. Naar onze mening levert deze rapportage een bijdrage aan de verdere doorontwikkeling van uw financiële bedrijfsvoering en de verder te plannen en uit te voeren interne controlewerkzaamheden. Realisatie van actiepunten kan immers een positieve impact hebben op het ingeschatte risicoprofiel en daarmee op de aard en omvang van eventuele verdere controlewerkzaamheden.

Met de rapportage “Follow-up interne en externe aanbevelingen 2019 en 2020” heeft u naar onze mening een sterk instrument in handen om de opvolging van eerdere aanbevelingen uit zowel interne als externe controles te monitoren. Verbeterpunten zouden kunnen zijn dat u de follow-up van de controlebevindingen regelmatiger monitort (bijvoorbeeld periodiek in het gemeente brede MT) en de voortgang regelmatig bespreekt met het college en in de Audit- en rekeningencommissie. Wij vinden dit van belang in het kader van de doorontwikkeling van uw financiële bedrijfsvoering, de ambities die u hierin heeft en de verder te plannen en uit te voeren interne controlewerkzaamheden. Wij zouden ons voor kunnen stellen dat de follow-up rapportage onderdeel wordt van uw periodieke controle- en verantwoordingscyclus en gelijktijdig met de interne en externe managementletter (beide als bijlage) wordt besproken in de Audit- en rekeningcommissie.

Uw gemeente is actief om de betrouwbaarheid van uw IT-omgeving, en het aantonen van die betrouwbaarheid, te verbeteren. U U maakt stappen om de betrouwbaarheid van uw IT- beschikt over een kalender met daarin een planning voor vier jaar, waaruit blijkt welke IT-audits u wilt (laten) uitvoeren. De IT General Controls (ITGC’s) en tevens diverse applicaties zijn in de kalender verwerkt. Zo staat opvolging van de bevindingen omgeving aan te tonen. voortkomend uit de onderzoeken naar E-HRM, Key2Belastingen en de ITGC’s gepland in de jaren 2022 en 2023. In deze IT-auditkalender is een haalbare planning gemaakt van de controles die uitgevoerd dienen te worden. Hierdoor heeft de gemeente een goed beeld van waar zij staan ten aanzien van het IT-landschap en waar nog opvolging nodig is. Wij adviseren hierbij wel om ook andere pakketten, waaronder het nieuwe pakket Case, in deze meerjarenkalender te verwerken. 312018008.21.372 - 14

Uw gemeente heeft diverse onderzoeken onderhanden naar de opzet, het bestaan en de werking van het IT-landschap, zowel gericht op ITGC’s en diverse applicaties. Deze zijn in 2019 gestart, maar lopen, conform bovengenoemde agenda, door tot in 2023. Voor de ITGC’s zien we in de voorlopige interne rapportering dat uw gemeente een ontwikkeling heeft doorgemaakt, en dat een belangrijk deel van de bevindingen opgelost lijken, maar daarin is alleen de opzet en het bestaan van de controls betrokken. De werking is daarin nog niet getoetst, en zal nog moeten worden getoetst. Vorig jaar heeft u een nulmeting laten uitvoeren op de applicatieve controls in Key2Belastingen. In de rapportage hierover van de ITauditor, was opgenomen dat de processen voor de belastingheffing via Key2Belastingen zorgvuldig verlopen, onder andere op basis van routine van de betrokken medewerkers, maar kwetsbaar zijn. In het rapport waren diverse aanbevelingen opgenomen. Wij adviseerden u vorig jaar om deze aanbevelingen ook te volgen en vervolgens een vervolgaudit uit te laten voeren. U heeft deze adviezen ter harte genomen, en heeft dit vervolgonderzoek laten uitvoeren. Bij de actualisering van de opvolging van bevindingen met betrekking Key2Belastingen blijkt evenwel dat veel bevindingen nog openstaan. Uw gemeente is zich hiervan bewust en is gestart met een verbeterplan hieromtrent.

Het uitvoeren van het verbeterplan is ten tijde van de interim-controle onderhanden. Voor de applicatie Key2Financiën en de BNG-betaalapplicatie is eveneens een onderzoek uitgevoerd. De gemeente is ten tijde van de interim-controle in afwachting van de uitkomsten van dit onderzoek. In het bijzonder wordt getoetst op het 4-ogenprincipe op aanpassen van crediteurenstamgegevens. Als dit in de applicatie is afgedwongen, is dit een sterke geautomatiseerde control. De werking van deze control staat of valt nog steeds met de werking van de ITGC’s die nog wordt getoetst. Wij wachten deze uitkomsten af alvorens een conclusie te trekken of wij op de betaalapplicatie kunnen steunen voor onze controle. Omdat de meeste geplande onderzoeken voor 2021 nog of onderhanden zijn, of nog niet definitief gerapporteerd, of gepland staan voor 2022/2023, dienen de uitkomsten van de IT-onderzoeken afgewacht te worden, en komen wij ten tijde van de interim-controle tot de conclusie dat wij voor onze controle (nog) niet kunnen steunen op de IT-omgeving van de gemeente. Als dit project verder afgerond wordt, kan dit alles bijdragen aan een automatiseringsomgeving die (zichtbaar) ondersteunend is aan de interne controles in uw IT-omgeving. Dan zullen overigens ook de achterliggende controles inhoudelijk aantoonbaar goed moeten worden uitgevoerd (de mens-factor).

Op dit moment bent u nog niet zo ver en voert u interne controles uit, die voornamelijk buiten de geautomatiseerde omgeving omgaan.

Uw gemeente stuurt actief op het verhogen van het bewustzijn op het gebied van cyber- en beveiligingsbeleid

Uw gemeente heeft een aantal activiteiten opgezet om het bewustzijn van al uw medewerkers op het gebied van cyber- en beveiligingsbeleid te vergroten en tevens de veiligheid zelf te verbeteren. Daarmee laat de gemeente zien veel initiatieven te ontplooien en actief met deze materie om te gaan. Niet limitatief betreft dit onder meer het volgende: ▪ ▪

De gemeente heeft een project inzake Identity and Acces Management (IAM) onderhanden. In 2021 is een project opgezet om bewustzijn inzake cybercrime en digitale veiligheid te verbeteren. Er lopen trainingen op het gebied van beveiliging, zoals bijv. posters, awareness op het intranet, cursussen inzake cyber en gijzelsoftware.

312018008.21.372 - 15

▪ ▪ ▪ ▪

Er is een extra beveiliging ingesteld: als in een e-mail een applicatie wordt geactiveerd dat het systeem nog niet kent, dan kan deze bijlage niet worden geopend. Daarmee worden veel pogingen tot phishing onderschept/teniet gedaan. Vanaf 2022 wordt dit uitgebreid door de algemene digitale beveiliging te vergroten bij medewerkers. Daarmee wordt niet alleen cyber en veiligheid aangehaald, maar algemeen belang van digitaal werken. In 2020 heeft de gemeente ENSIA-audits uitgevoerd op DigiD en Suwinet. Per kwartaal wordt gerapporteerd over privacy en informatiebeveiliging. Hierin komen knelpunten en de opvolging hiervan aan de orde, worden datalekken en beveiligingsincidenten gerapporteerd, en wordt gerapporteerd over de realisatie van het actieplan opgenomen in het Tactisch Informatiebeveiligingsplan 2021.

Wij concluderen dat de gemeente aandacht heeft voor de materie en serieus met deze problematiek omgaat. Ook is de gemeente zich ervan bewust dat dit onderwerp echter nooit ‘af’ is. Waar digitaal en online wordt gewerkt, zullen altijd nieuwe manieren worden gevonden om uw data te stelen of te corrumperen. Uw blijvende aandacht op dit onderwerp is daarmee te allen tijde nodig. Eventuele zwaktes zouden naar onze mening ook onderdeel uit moeten maken van de gesprekken tussen de 2 e en de 1e lijn, waarbij aandacht is voor de betekenis daarvan voor de interne beheersing.

312018008.21.372 - 16

3.

Procesbevindingen

312018008.21.372 - 17

3. Procesbevindingen De belangrijkste bevindingen uit de interne managementletter

In de “Interne Management Letter 2021” van het team van Concern Control & Concern Audit (CC&CA) zijn bevindingen en aanbevelingen opgenomen naar aanleiding van de beoordeling van de financiële processen en overige relevante werkzaamheden door CC&CA over het jaar 2021 opgenomen. Deze rapportage vormt naar onze mening een goede basis om verdere verbetermaatregelen te identificeren en uit te voeren. Het toont aan dat er nog een duidelijk verbeterpotentieel aanwezig is, maar ook dat in 2021 belangrijke stappen zijn gezet om de interne beheersing in de eerste en tweede lijn te verbeteren. Hierna hebben wij de resultaten van de uitgevoerde interne controlewerkzaamheden geciteerd uit de interne managementletter. Resultaten uitgevoerde controlewerkzaamheden:

312018008.21.372 - 18

De legenda die bij de hiervoor genoemde stoplichten hoort, is – op basis van de interne managementletter – als volgt: Rood: Relatief veel verbeterpunten urgent of hoog, proces in de basis onvoldoende Oranje: Enkele verbeterpunten urgent of hoog, relatief veel overige verbeterpunten Groen: Hooguit enkele verbeterpunten hoog, proces in de basis voldoende op orde dan wel geen verbeterpunten urgent of hoog, beperkt overige verbeterpunten

Bij het stoplichtoverzicht is in de interne managementletter nog het volgende toegelicht: “Zoals uit het stoplichtenoverzicht is af te lezen is het GREX-proces als zodanig bij de interim-controle niet beoordeeld. De IT audit op de applicatie E-HRM/Motion is in 2021 nieuw. De beoordeling van de overige processen leidde niet tot een wijziging in de kleur van het stoplicht. Dit betekent niet dat er geen positieve ontwikkelingen zijn te melden per proces. In de diverse hoofdstukken is per proces de bevindingen, aanbevelingen en follow up van eerdere bevindingen/aanbevelingen weergegeven. Het kan zijn dat monitoring en beheersing is verbeterd maar dat de resultaten van de controlewerkzaamheden nog geen aanleiding geven om het proces van kleur te doen veranderen. Waar nodig is de proceseigenaar in het gedetailleerdere controlememo over het betreffende proces geïnformeerd over de redenen waarom de status niet is gewijzigd”.

312018008.21.372 - 19

Voor een nadere toelichting verwijzen wij naar de interne managementletter. In grote lijnen delen wij de bevindingen en conclusies van het team CC&CA ook. Hierna brengen wij in dit hoofdstuk nog een aantal bevindingen onder uw aandacht die (ook) uit onze controle zijn gebleken.

Volledigheid van uw verhuuropbrengsten kent aandachtspunten

Uw vastgoedsysteem (VBS) vormt de basis voor de volledigheid van de verhuuropbrengsten. Het is daarom van belang dat u intern vaststelt dat het VBS volledig is. Wij constateerden dat de interne controles op volledigheid van objecten in het vastgoedsysteem verbeterd kunnen worden. Voorbeelden hiervan zijn een zichtbare controle met ontvangen belastingenaanslagen WOZ, koppeling met verzekering, maar ook een periodieke controle met het kadaster. De afdeling Openbare Ruimte was voornemens om in 2021 tweemaal een leegstandscontrole uit te voeren. Uiteindelijk heeft dit slechts één keer plaatsgevonden. Daarbij hebben wij geconstateerd dat de uitvoering en vastlegging van deze leegstandscontrole voor verbetering vatbaar is. Dit begint met het tot stand komen van de leegstandsoverzichten van VBS. Op dit moment is niet duidelijk hoe de bij de leegstandscontrole gebruikte lijst tot stand is gekomen. Daarnaast is niet duidelijk gemaakt welke stappen zijn ondernomen om de conclusies te trekken over de juistheid van de leegstand in VBS. Wij adviseren u de leegstandscontroles frequenter uit te voeren en aandacht te besteden aan de vastleggingen in uitkomsten en conclusies. Door het ontbreken van goede informatie uit VBS van te factureren huurtermijnen kan uw gemeente op dit moment niet goed inzichtelijk maken of de verhuuropbrengsten volledig zijn verantwoord in de financiële administratie.

De aansluiting tussen VBS en de financiële administratie dient dan ook nog vervaardigd te worden bij het opstellen van de jaarrekening 2021 voor de verhuuropbrengsten. Ten slotte constateerden wij dat het proces van beëindigen of wijzigen van verhuurcontracten nog niet is beschreven door uw organisatie. Een dergelijke beschrijving geeft u inzicht of de interne beheersing voor het tijdig en juist verwerken van wijzigingen in de contracten toereikend is.

Inkomende subsidies

Door de gemeente zijn tot en met 2020 stappen gemaakt in de verdere beheersing van het proces van inkomende subsidies en waren er duidelijke doelstelling geformuleerd. In 2021 zijn de beoogde doelstellingen uit 2020 voor verdere ontwikkeling en concretisering nog niet gerealiseerd ten aanzien van processtappen, risico’s en interne beheersingsmaatregelen. Hierbij valt te denken aan het vormgeven van een concrete procesbeschrijving conform de 6W’s en het uitvoeren van tussentijdse interne controlewerkzaamheden, om de betreffende subsidies ook periodiek en tussentijds zichtbaar te monitoren en te controleren. Hierdoor blijft de inhoudelijke controle op de inkomende subsidies nog veelal achteraf om vast te stellen of er voldaan is aan de voorwaarden van de subsidieverstrekker.

312018008.21.372 - 20

De gemeente heeft momenteel inzicht in de inkomende subsidies welke belegd is bij het team JIS en wordt bijgehouden in een Excel bestand. De doelstelling is om dit in het zaaksysteem Case verder in te gaan richten en informatie daaruit te kunnen hanteren voor informatievoorziening in periodieke rapportages alsook de genoemde processtappen, risico’s en interne beheersingsmaatregelen verder te kunnen concretiseren. Wij adviseren u bij de inrichting van de projectadministraties in Case goed rekening te houden met de administratie- en subsidievoorwaarden die per subsidie gelden. Deze kunnen uiteraard per subsidie anders zijn.

De verantwoording van de parkeeropbrengsten heeft uw aandacht nodig

Bij de tussentijdse controle stelden wij vast dat u nog geen definitief inzicht heeft in de afspraken die zijn gemaakt met de serviceorganisatie die voor uw gemeenten de parkeergelden heffen en innen. De nog te concretiseren afspraken zullen in lijn moeten liggen met de afspraken zoals deze in 2020 waren vastgelegd, maar zijn momenteel nog onderhanden. Wij gaan ervan uit dat er geen wijzigingen zijn in deze afspraken en dat deze in opzet zullen bijdragen aan het verkrijgen van toereikende controle informatie over de volledige verantwoording van de parkeeropbrengsten. Wanneer sprake is van significante wijzigingen ten aanzien van eerder gemaakte afspraken, dan hebben wij met uw organisatie afgesproken dat wij vooraf met u meekijken om te voorkomen dat op een later moment onverwachte bijzonderheden geconstateerd worden die zouden moeten leiden tot andere controlewerkzaamheden. Overigens was van dit proces geen procesbeschrijving beschikbaar volgens het 6W-principe en was ook geen sprake van vastleggingen in het KCD.

Uit uw interne onderzoek naar de rechtmatigheid van Europese aanbestedingen blijken nog enkele doorlopende fouten uit voorgaande jaren

Binnen uw gemeente is de inkoopfunctie decentraal belegd en zijn, in opzet, goede waarborgen getroffen zoals periodieke gesprekken tussen Concerninkoop en de 'interne klanten' over de klantbehoefte, over gedane uitgaven en lopende contracten, en eventuele acties op bestaande contracten en de voortgang van aanbestedingen. In de afgelopen jaren is gebleken dat met name bij de inhuur van personeel het voor kwam dat budgethouders buiten de centrale inkoop contracten aan zijn gegaan. Uit de controles op de naleving van de Europese aanbestedingsrichtlijnen in voorgaande jaren zijn onrechtmatigheden vastgesteld. Over het boekjaar 2020 betrof dit nog een totale afwijking van € 541.000 Wij hebben voor het boekjaar 2021 met uw VIC-medewerkers gesproken over de aanpak van de controle. In de lijn van voorgaande jaren zal deze nog achteraf plaatsvinden, aan de hand van de SDO-notitie 'Uitvoering van de controle op aanbestedingsrechtmatigheid bij de jaarrekeningcontrole van decentrale overheden'. Uw medewerkers hebben inmiddels over het eerste half jaar 36 crediteuren geselecteerd, waarbij één nieuwe rechtmatigheidsfout is geconstateerd (fout zal op een later moment voor geheel 2021 in beeld gebracht worden) en nog sprake is van een aantal doorlopende fouten uit voorgaande jaren (fout vooralsnog € 422.500).

Een volledig overzicht van de bevindingen is ook opgenomen in de interne managementletter. De spendanalyse over 2021 is intern nog onderhanden en diverse vragen staan uit bij uw organisatie. Ook moet deze nog worden doorgetrokken over heel 2021.

312018008.21.372 - 21

De tussentijdse bevindingen hebben wij nog niet volledig inhoudelijk getoetst, dit ronden wij af bij de controle van de jaarrekening. Wij zullen met uw afdeling CC&CA nog nadere afspraken maken over de controle over het gehele boekjaar 2021. Wij adviseren u het intern onderzoek overigens wel tijdig (eerste kwartaal 2022) af te ronden.

312018008.21.372 - 22

4.

Overige onderwerpen en aandachtspunten voor de jaarrekening

312018008.21.372 - 23

4. Overige onderwerpen en aandachtspunten voor de jaarrekening Inzicht in de uitputting van uw onderhoudsplannen is verbeterd

Er is in 2021 doorgepakt in het verbeteren van uw beheersing van de voorzieningen voor het meerjarige onderhoud van uw gebouwen. Daarbij wordt inmiddels gebruikt gemaakt van de in 2020 aangeschafte software (O-prognose) om de gebouwinspecties en meerjarige onderhoudsplannen overzichtelijker te beheren dan tot nu toe het geval geweest is. Daarmee kunt u, in opzet, de voorzieningen beter monitoren en meer grip krijgen op de toereikendheid van benodigde middelen, omdat u hiermee meerjarig inzicht kunt krijgen in de bestede middelen en de voortgang van gemaakte planningen en verwachtingen. Voor het einde van het jaar zal er een analyse plaatsvinden op de bestedingen van de middelen. Daarbij is het van belang dat u daarbij een goede vastlegging maakt van het effect dat wijzigingen in de planning van de uitvoering en/of de kosten van het onderhoud betekenen voor de (verwachte) uitgaven in de resterende planperiode en het effect op de benodigde omvang van de onderhoudsvoorziening. Wij zien dit als een goede ontwikkeling en zien graag de eerste analyses tegemoet welke momenteel onderhanden zijn.

Enige vertraging in ontwikkeling Anna’s Hoeve

Uit de meest recente voortgangsrapportage (1 september 2021) blijkt dat de realisatie van Anna’s Hoeve iets langer zal gaan doorlopen. De reden hiervan is de beroepsprocedure welke met betrekking tot bouwveld 5.2 heeft gelopen, waardoor kosten en opbrengsten naar achteren zullen doorschuiven. Vooralsnog schat u in dat de financiële effecten gering zullen zijn, echter bij de actualisatie per 1-1-2022 zal dit geheel duidelijk worden. Hoewel de exploitatie steeds meer richting het einde tendeert, zal de komende jaren nog wel een fors bedrag aan kosten worden gemaakt voor onder meer woonrijp maken. Wat wij momenteel breed zien in de praktijk is dat de geraamde kosten van investeringen momenteel niet toereikend zijn, omdat de vraag naar aannemers en het aanbod van bouwmaterialen momenteel voor aanzienlijke prijsstijgingen zorgt. Door de aantrekkende economie komt het voor dat het soms lastig is om aannemers te vinden die (voor geraamde bedragen) de werkzaamheden (volgens uw planning) kunnen uitvoeren. De kostenstijgingspercentages die in de huidige plannen zijn opgenomen, zijn wellicht in de huidige markt niet meer passend. Wij adviseren u om voor de jaarrekening 2021 een analyse te maken van de nog te maken kosten (in activiteiten en bedragen) waarbij nadrukkelijk rekening gehouden wordt met de kostenstijgingen als gevolg van de thans optredende schaarste.

Grondexploitatie Stationsplein geopend

Op 15 september 2021 heeft de raad de grondexploitatie Stationsplein vastgesteld. Op basis van uw huidige inzichten verwacht u een positief resultaat van € 1.045.000. Voor de jaarrekening 2021 verwachten wij dat u een grondige analyse maakt van de waardering van deze grondexploitatie. De 312018008.21.372 - 24

looptijd is lang en ook de nog te maken kosten zijn omvangrijk. Daarnaast zullen eerder geactiveerde voorbereidingskosten, waaronder de sloopkosten van het voormalige GAK-gebouw, in de grondexploitatie ingebracht moeten worden. Op basis van uw analyse zal moeten blijken of de waardering tegen de thans gemaakte “historische kosten” aanvaardbaar is. Ook hier geldt dat mogelijk sprake is van risico’s ten aanzien van de toekomstige nog te maken kosten als gevolg van de druk op de aannemersmarkt momenteel. Wanneer sprake is van materiële schattingsonzekerheden, zullen deze verwerkt moeten worden in de jaarrekening.

Vordering inzake overdracht gronden aan GEM Crailo B.V.

De gemeenten Gooise Meren, Hilversum en Laren werken samen bij de (her)ontwikkeling van Crailo. Deze gemeenten hebben grond - benodigd voor de (her)ontwikkeling - verworven van de provincie Noord-Holland. Om de (her)ontwikkeling zo efficiënt en optimaal mogelijk te realiseren is GEM Crailo B.V. (hierna: GEM Crailo) opgericht. De (her)ontwikkeling heeft als doel de ontwikkeling en realisatie van een innovatieve en ambitieuze woonwijk, waarbij duurzaamheid en de groene omgeving centraal staan, in combinatie met ruimte voor vormen van bedrijvigheid en natuur. Daarbij is het uitgangspunt om een ten minste sluitende grondexploitatie te realiseren, waarbij GEM Crailo zal streven naar een maximale grondopbrengst binnen de gestelde kaders en randvoorwaarden. In 2020 zijn de gronden Crailo door uw gemeente verkocht en ook geleverd aan de GEM Crailo. De GEM Crailo heeft bij de overdracht de koopsom nog niet voldaan, omdat er een uitgestelde betaling is overeengekomen. Derhalve is, in uw administratie, een vordering van € 16,1 miljoen op de GEM Crailo onder de Financiële vaste activa verantwoord. Bij de interim-controle zijn wij nagegaan in hoeverre uw college informatie heeft om eventuele risico’s ten aanzien van de volwaardigheid van deze vordering in te kunnen schatten. Uw college maakt onderdeel uit van de algemene vergadering van aandeelhouders (AvA) van de GEM Crailo.