Collegebrief inzake Management Letter 2022

GEMEENTE HILVERSUM POSTBUS 9900 1201 GM HILVERSUM BEZOEKADRES:

Aan de gemeenteraad cc commissieleden cc pers

RAADHUIS DUDOKPARK 1 TELEFOONNUMMER: 14 035 WWW.HILVERSUM.NL

7 februari 2023 1238720 BEHA NDELD DOOR M. van Oosterom TELEFOON 06 18878449 DATUM

ZAAKNUMM ER

UW KENMERK BIJLAGEN BETREFT

Bestuurlijke reactie ML 2022 Geachte raadsleden,

Op 16 december 2022 ontvingen wij de definitieve Managementletter 2022 van onze accountant PSA. In de Audit- en Rekeningcommissie van 15 februari 2023 wordt in aanwezigheid van een vertegenwoordiger van ons college de Managementletter 2022 besproken. De raad heeft de accountant (PSA) opdracht gegeven om de jaarrekening 2022 te controleren. In november 2022 heeft PSA de zgn. interim-controle uitgevoerd. Het laten uitvoeren van een interimcontrole is onderdeel van het continue proces van het verbeteren van de beheersing van de bedrijfsvoering. Doel van de interim-controle is ook om specifieke aandachtspunten te signaleren voor (de totstandkoming van) de eerstvolgende jaarrekening (2022). De accountant heeft zijn bevindingen en aanbevelingen opgenomen in bijgaande managementletter. In toenemende mate komen gemeenten voor uitdagingen te staan die elkaar in rap tempo opvolgen. Denk hierbij aan de opvangproblematiek, woningbouwopgave, klimaattransitie (verduurzaming en stikstofproblematiek), een mobiliteitsopgave en de toename van wet- en regelgeving door onder andere het sterk groeiend aantal SiSa-regelingen. Dit alles in een tijd van algehele prijsstijging en tekort aan (bouw)materiaal en een effect op het uitgavenniveau van de reguliere begroting.

Gevolg is dat de prognoses van de woningbouwproductie onzekerder worden en het risicoprofiel van de grondexploitaties, ook door de stijgende rente, toeneemt. Gelijktijdig is sprake van een krapte op de arbeidsmarkt waardoor vacatures minder snel worden ingevuld en binnen de organisatie meer inhuurkrachten worden ingezet. Deze uitdagingen vragen veel van het college en de ambtelijke organisatie en benadrukken het belang van prioritering van ambities. Het is prettig om met elkaar te constateren dat de gemeente Hilversum deze uitdagingen aan kan gaan met een interne beheersing die in de basis op orde is. Er zijn in 2022 wederom belangrijke stappen gezet in het traject om de interne beheersing van de gemeentelijke processen verder te verbeteren wat gaat bijdragen aan de totstandkoming van de

rechtmatigheidsverantwoording vanaf het boekjaar 2023. Wel constateren zij (en wij) dat op dit punt nog de nodige stappen te zetten zijn en de doorontwikkelingen achter lopen ten opzichte van de eerder gestelde ambities. PSA vraagt daarnaast specifiek aandacht voor het blijven monitoren van frauderisico’s en adviseert hierover periodiek het gesprek met de raad te voeren. De grip op opvolging van bevindingen uit de interne- en externe controle is verbeterd. Daarnaast merkt PSA op dat de organisatie stappen maakt om de betrouwbaarheid van de IT-omgeving aan te tonen en actief is op het verhogen van het bewustzijn op het gebied van cyber- en beveiligingsbeleid. Op korte termijn zien wij net zoals de externe accountant door de huidige turbulente tijden een aantal specifieke aandachtspunten voor de jaarrekeningcontrole 2022. Deze betreffen onder andere het volgende: 1. Voldoende aandacht voor de onderhoudsplannen – analyses in januari 2023 moeten uitwijzen of deze nog toereikend zijn; 2. Grondexploitatie Stationsplein loopt vertraging op en impact van de prijsstijgingen en tekort aan (bouw)materiaal; 3. Bewaken van de volwaardigheid van de vordering inzake de overdracht van gronden aan de GEM Crailo B.V.; 4. Alert te blijven op de borg- en garantiestellingen met het oog op financiële risico’s voor de gemeente Hilversum.

De algehele strekking van de Managementletter 2022 beschouwen wij daarom als een stimulans om door te gaan op de ingeslagen weg. De aanbevelingen van de accountant nemen wij ter harte en voor het overgrote deel volledig over. Tijdens behandeling in ons college op 24 januari 2023 is op basis van een gedetailleerde bijlage aangegeven hoe en wanneer opvolging wordt gegeven aan de gestelde bevindingen en/of aanbevelingen. De directie zier er namens het college op toe dat de aanbevelingen daadwerkelijk tijdig en adequaat worden geïmplementeerd en de concerncontroller toetst de vorderingen in de tijd. De managementletter inclusief actiepunten en verbeteracties worden in de audit- en rekeningencommissie van 15 februari 2023 behandeld. Wij vertrouwen erop u hiermee voldoende te hebben geïnformeerd. Hoogachtend, Burgemeester en wethouders van Hilversum, de gemeentesecretaris,

de burgemeester,

mr. C.P. Torres Barrera

dr. ir. G.M. van den Top

Managementletter 2022 Gemeente Hilversum

Aan het college van burgemeester en wethouders van de gemeente Hilversum Postbus 9900 1201 GM HILVERSUM Onderwerp Managementletter 2022 Datum 16 december 2022 Kenmerk 312018008.22.432

Geacht college, Wij hebben, als onderdeel van de controle van de jaarrekening 2022, de interim-controle voor uw gemeente uitgevoerd. Deze controle is primair gericht op de analyse en evaluatie van de interne beheersingsomgeving en de daarin opgenomen maatregelen van interne controle. In onze managementletter zijn onze bevindingen en aanbevelingen opgenomen. Tevens heeft deze controle als doelstelling om de aandachtspunten voor de jaarrekening 2022 te signaleren en onder uw aandacht te brengen. Volledigheidshalve merken wij op dat onze analyse en evaluatie is uitgevoerd in het kader van de door de raad verstrekte opdracht tot controle van de jaarrekening. De geselecteerde werkzaamheden zijn afhankelijk van de door de accountant toegepaste oordeelsvorming, met inbegrip van het inschatten van de risico's dat de jaarrekening een afwijking van materieel belang bevat als gevolg van fraude of fouten. Wij merken op dat deze brief is opgesteld ten behoeve van het college van burgemeester en wethouders van de gemeente Hilversum en niet zonder onze toestemming aan derden mag worden verstrekt. De bevindingen en aanbevelingen dienen te worden gelezen als constructieve aanwijzingen voor het college als onderdeel van het continue proces van het veranderen en verbeteren van de beheersing van de bedrijfsvoering en de kwaliteit van de jaarrekening.

Graag willen wij deze rapportage en de daarin opgenomen bevindingen en aanbevelingen nader met u bespreken. Met vriendelijke groet, Publieke Sector Accountants B.V.

A. Booij RA

Publieke Sector Accountants B.V. is ingeschreven in het handelsregister van de Kamer van Koophandel te Utrecht onder nummer 69411409.

Inhoudsopgave

Contact De volgende personen kunnen benaderd worden bij vragen met betrekking tot deze managementletter: Arie Booij Tel: 06 1509 2689 Arjan Sallehart Tel: 06 1509 2694 Jan Scholten Tel: 06 2832 1383

Overzicht van adviezen...................................................... 2 1. Inleiding ....................................................................... 5 2. Onze evaluatie van uw interne beheersomgeving ......... 6 3. Procesbevindingen ......................................................14 4. Overige onderwerpen en aandachtspunten voor de jaarrekening .....................................................................22

Overzicht van adviezen

312018008.22.432 - 1

Overzicht van adviezen Hierna hebben wij een overzicht van adviezen opgenomen die wij in de managementletter hebben opgenomen. Wij hebben daarbij een verwijzing naar de pagina opgenomen en een prioritering aangegeven. Een aantal adviezen is van belang voor de jaarrekening 2022, en moet dan ook bij oplevering van de concept-jaarrekening zijn opgevolgd. Bij de overige adviezen hebben wij onderscheid gemaakt tussen adviezen waarvan wij het belangrijk vinden dat deze binnen een jaar (2023) zijn opgevolgd en adviezen waar de periode van opvolging wat langer kan zijn (bijvoorbeeld 2024-2025). Wij gebruiken daarvoor de hiernaast opgenomen legenda:

Nr. 1 2

3 4 5 6

Advies Blijf investeren in de kwaliteit van de bedrijfsvoering, waarbij de 1e lijn (proceseigenaar) en 2e lijn (business control) zichtbaar meer eigenaarschap voor de interne beheersing (kwaliteit processen en interne controle) neemt en de 3 e lijn (CCA) in een meer toetsende en adviserende rol komt. Maak een plan van aanpak om de invoering van de rechtmatigheidsverantwoording in 2023 soepel in te kunnen voeren. Besteed daarbij aandacht aan de stellige uitspraken van de commissie BBV die zij in de Kadernota rechtmatigheid heeft gedaan. Stel het intern controleplan 2023 zo spoedig mogelijk op en bespreek dit met de accountant. Stel de verantwoordinggrens en rapporteringsgrens vast. Combineer dit zo mogelijk met het actualiseren van de verordeningen 212 en 213 GW. Blijf aandacht besteden aan de inschatting van frauderisico’s en de beheersing daarvan. Rond de actualisatie van de frauderisicoanalyse op korte termijn af. De huidige opzet biedt daarvoor een prima basis. Blijf sturen op de opvolging van adviezen uit interne en externe controle en zorg dat de onderliggende rapportage actueel en betrouwbaar is. Ook hier zien wij een belangrijke rol voor de 1e en 2e lijn. Geef opvolging aan bevindingen uit IT-controles en bepaal de impact op de te verrichten interne controlewerkzaamheden Uit de interne controle zijn bevindingen gebleken die opvolging voor de jaarrekening 2022 behoeven.

In hoofdlijnen heeft dit betrekking op de volgende processen en onderwerpen: Algemene uitkering; Belastingen en heffingen; Specifieke uitkeringen / inkomende subsidies; Exploitatie gemeentelijk vastgoed; Parkeeropbrengsten; Bouwleges (Wabo); Leges burgerzaken; Personele kosten; Factuurverwerking; Inkoop en aanbesteding;

Pag. 6/7

Prio

7/8

8/9 10/11 11 14/20

312018008.22.432 - 2

-

7

8 9

10 11 12

Financieel beheer; en Uitkeringen (PW/Tozo).

Voor een meer inhoudelijke toelichting verwijzen wij naar hoofdstuk 3. Stel vast, door middel van “back-testing” dat de aannames en veronderstellingen die ten grondslag liggen aan uw beheerplannen voor groot onderhoud, nog valide zijn. Dit kan door van geplande werkzaamheden vast te stellen of deze ook daadwerkelijk zijn uitgevoerd en of dat tegen de ingeschatte hoeveelheden en prijzen is gebeurd. Wanneer sprake is van afwijkingen, dient u de impact op de getroffen voorziening en meerjarendotatie te bepalen. Beoordeel de impact van de huidige economische ontwikkelingen op de waardering van uw grondexploitaties (Anna’s Hoeve en Stationsplein). Besteed daarbij (stationsplein) ook aandacht aan de reeds geactiveerde voorbereidingskosten onder de immateriële vaste activa. Beoordeel, op basis van de jaarrekening 2022 van de GEM Crailo en de geactualiseerde grondexploitatie per 1-1-2023 van de GEM Crailo de volwaardigheid van uw uitstaande vordering van € 16 miljoen. Gelet op het financieel belang geven wij u in overweging om een second opinion op de resultaatprognose uit te (laten) voeren en ook, in het kader van uw risicomanagement, een “worst-case-scenario” door te (laten) rekenen Rond de interne controle op de bestedingen in het kader van de energietoeslag begin 2023 af.

Onderzoek of sprake is van mogelijke risico’s ten aanzien van borg- en garantstellingen Onderzoek of in de jaarrekening 2022 een voorziening verlofsparen opgenomen moet worden.

22

22/23 24

25 25 25

312018008.22.432 - 3

1.

Inleiding

312018008.22.432 - 4

1. Inleiding Onze controleaanpak is risicogericht

In het kader van onze interim-controle hebben wij de interne beheersingsomgeving onderzocht voor zover dit relevant is voor de bijdrage daarvan aan de getrouwheid en rechtmatigheid van de jaarrekening. De geselecteerde werkzaamheden zijn afhankelijk van de door de accountant toegepaste oordeelsvorming, met inbegrip van het inschatten van de risico's dat de jaarrekening een afwijking van materieel belang bevat als gevolg van fraude of fouten. Bij het maken van deze risico-inschattingen neemt de accountant de interne beheersing in aanmerking, die relevant is voor het opmaken van de jaarrekening en voor het getrouwe beeld daarvan. Deze risico-inschattingen hebben echter niet tot doel een oordeel tot uitdrukking te brengen over de effectiviteit van de interne beheersing. Hierdoor is onze analyse en evaluatie beperkter dan dat deze zou zijn geweest in het kader van een opdracht tot het geven van een oordeel omtrent de opzet, het bestaan, de effectiviteit en de efficiency van de interne beheersing als geheel en bestrijkt daarom niet noodzakelijkerwijze alle in de interne organisatie vervatte tekortkomingen. Daarnaast hebben wij een aantal aandachtspunten benoemd waarvan wij het zinvol achten daar bij de controle aandacht aan te besteden. Wij hebben bij de interim-controle vooral aandacht besteed aan de inrichting van uw interne beheersomgeving en de financiële processen.

Daarbij hebben wij de doorkijk gemaakt naar 2023, het jaar waarover voor het eerst de rechtmatigheidsverantwoording door het college moet worden afgegeven. In de managementletter gaan wij daar, in hoofdstuk 2, ook op in. Hierna geven wij aan welke belangrijkste risicogebieden en aandachtspunten voor de jaarrekeningcontrole 2022 van uw gemeente zijn geïdentificeerd. Deze zijn mede bepaald op basis van het overleg wat wij op 25 oktober 2022 met de audit- en rekeningcommissie hebben gehad.

Aandachtspunten voor controle en rapportage

Voor de jaarrekeningcontrole 2022 onderkennen wij een aantal (bruto) aandachtspunten, die een verhoogd (bruto) risico met zich mee (kunnen) brengen op een materiële fout in uw jaarrekening en die een mogelijke impact op de bedrijfsvoering kunnen hebben. Opname van een risicogebied of aandachtspunt in deze opsomming betekent niet dat daadwerkelijk sprake is van risico’s die zich daadwerkelijk voordoen, maar is enkel bedoeld om aan te geven dat wij hier tijdens onze controle (extra) aandacht aan zullen besteden. De risicogebieden zijn hieronder weergegeven. ▪ ▪ ▪

▪ ▪

De waardering van de vordering op de GEM Crailo B.V. in verband met de uitgestelde betalingsverplichting van de GEM. De voortgang van de investeringsplanning en beheersing van investeringskredieten. Voortgang en status ontwikkeling grondexploitaties: Financiële ontwikkeling Anna’s Hoeve Waardering Stationsgebied, mede in relatie tot de geactiveerde voorbereidings- en sloopkosten. Naleving van de (Europese) aanbestedingsregels, mede in relatie tot fouten in voorgaande jaren (2021 € 518.500). Het beheer van vorderingen (uitvoering invorderingsbeleid en bepaling voorziening oninbaarheid). 312018008.22.432 - 5

▪ ▪

▪ ▪

▪ ▪ ▪ ▪ ▪

De verantwoording en waardering van voorzieningen in relatie tot de aanwezigheid van actuele onderbouwingen (vanwege schattingselementen en oplopende prijzen). “ Veronderstelde risico’s” vanuit de voorschriften voor de accountantscontrole. Dit betreft de mogelijkheid die het management heeft om specifieke controlemaatregelen te omzeilen, bijvoorbeeld door memoriaalboekingen of het schattingsproces en de opbrengstverantwoording. De specifieke aandacht voor deze risico’s is voorgeschreven vanuit de controlerichtlijnen en is niet uniek voor de gemeente Hilversum. De uitvoering van de Tozo in 2022, waaronder de werking van het M&O-beleid. Risico’s en onzekerheden in het sociaal domein, waaronder de afwikkeling van de over boekjaar 2021 gerapporteerde onzekerheden (€ 614.000) rondom de prestatielevering Wmo en Jeugd en de uitkomsten van uw onderzoek naar de levering van zorg in 2022. De dekking van investeringen in de riolering in relatie tot het saldo van de spaarvoorziening, mede in verband tot de gerealiseerde overbesteding in 2021 ten opzichte van het spaarsaldo. De impact van inflatie op de begroting en meerjarenplannen. De follow-up ten aanzien van eerder gerapporteerde aandachtspunten vanuit de interne en externe controle. De actualisatie van de (fraude-)risicoanalyse.

De voortgang en status van de (noodzakelijke en gewenste) verbeteringen met betrekking tot de kwaliteit van de interne beheersing in relatie tot de af te geven rechtmatigheidsverantwoording door het college (over boekjaar 2023).

Ter voorkoming van een materiële fout in de jaarrekening heeft u voor bovenstaande risicogebieden beheersmaatregelen getroffen. Wij hebben ons tijdens de interim-controle gericht op de opzet en het bestaan van de door u ingerichte beheersingsomgeving, die deze risico’s moeten verkleinen.

Aandachtspunten Raad en Audit- en rekeningcommissie

Op 25 oktober 2022 hebben wij, in een pre-auditmeeting, de focus van de controle 2022 met de Audit- en rekeningcommissie afgestemd. Op basis van de uitkomsten van deze bespreking, de aandachtspunten uit voorgaande controles en de actuele ontwikkelingen zijn de speerpunten voor de uitvoering van onze controle over het jaar 2022 bepaald. U heeft ons voor het jaar 2022, in aanvulling op de hiervoor opgenomen onderwerpen, verzocht om specifiek aandacht te besteden aan de volgeden onderwerpen: ▪ ▪ ▪ ▪ ▪

De grip op de verbonden partij GEM Crailo B.V., inclusief de beoordeling van de potentiële risico’s en de verwachte resultaatontwikkeling, in relatie tot de waardering van de openstaande De haalbaarheid van het verwachte positieve toekomstige resultaat van de grondexploitatie Stationsplein. De aanwezigheid van de frauderisicoanalyse in het kader van de toezichthoudende rol van de raad en de beheersing van eventuele risico’s. De kwaliteit van de geautomatiseerde gegevensverwerking. De grip op langlopende subsidies (meerjarig).

312018008.22.432 - 6

Op een aantal onderwerpen komen wij reeds in deze managementletter terug (waaronder de GEM Crailo en de grondexploitatie Stationsplein). In ons accountantsverslag bij de jaarrekening zullen wij u informeren over onze aanvullende bevindingen over deze onderwerpen en de voortgang van de realisatie van de grote projecten.

Materialiteit

De materialiteitsbepaling bij de gemeente Hilversum is gebaseerd op het Besluit Accountantscontrole Decentrale Overheden (BADO) en het door de raad op 29 januari 2020 vastgestelde Controleprotocol 2019 – 2022. Voor fouten is deze gebaseerd op 1% van de lasten inclusief toevoegingen aan de reserves en voor onzekerheden op 3% van de lasten inclusief toevoegingen aan de reserves. Bij onze controleplanning zijn wij vooralsnog uitgegaan van de cijfers volgens de (primaire) Begroting 2022. Wanneer de jaarrekening 2022 beschikbaar is, zullen wij onze materialiteitbepaling op basis van de werkelijke cijfers over 2022 herzien. Bij de interim-controle is derhalve uitgegaan van:

Bron: Programmabegroting 2022

Fouten

Materialiteit

€ 2.835.000

Onzekerheden € 8.505.000

Voor de controle op naleving van de Wet Normering Topinkomens (WNT) hanteren wij een lagere materialiteit. Deze specifieke materialiteitsberekening is verplicht gesteld vanuit het controleprotocol WNT.

Kernboodschappen

De kernboodschappen uit onze interim-controle 2022 hebben wij steeds in de linker kantlijn weergegeven.

312018008.22.432 - 7

2.

Onze evaluatie van uw interne beheersomgeving

312018008.22.432 - 8

2. Onze evaluatie van uw interne beheersomgeving Onze indruk van uw interne beheersing is positief; verstevig de rol en verantwoordelijkheid van de 1e en 2e lijn

In onze voorgaande rapportages hebben wij uitvoerig stil gestaan bij de inrichting van uw administratieve organisatie en interne beheersomgeving en adviezen gegeven om deze, ook in de aanloop naar de rechtmatigheidsverantwoording, verder te verbeteren. Wij constateerden daarbij dat uw gemeente ook steeds concrete stappen aan het zetten was. Onze indruk van uw interne beheersing was en is positief. Wij vinden dat uw gemeente een heldere visie heeft op de interne beheersing en dat de verantwoordelijkheden binnen uw gemeente helder zijn geregeld. Uw interne controle biedt ook voldoende aanknopingspunten om inzicht te krijgen in de getrouwheid en rechtmatigheid van belangrijke financiële stromen. We zien dat u bij de interne controle nog wel veel uitgaat van het door de verbijzonderde interne controle laten uitvoeren van zogenaamde “gegevensgerichte controles” achteraf om te komen tot zekerheid. Dit is in de basis een prima werkwijze, maar wat ons betreft zou uw kwaliteitsbeoordeling nog meer in mogen gaan op een beoordeling van de kwaliteit van de interne beheersing en het vaststellen van een effectieve werking daarvan. In dit laatste geval wordt gedurende en verspreid over het jaar vastgesteld dat de getroffen beheersmaatregelen in de processen ook daadwerkelijk werken, waardoor de kans op fouten achteraf afneemt.

Er zijn immers meer momenten om op basis van bevindingen bij te sturen. Een dergelijke kwaliteitsimpuls aan uw eigen organisatie vinden wij daarnaast een goede ontwikkeling die past bij de ontwikkeling dat het college vanaf het boekjaar 2023 zelfstandig de rechtmatigheidsverantwoording moet afgeven. In de afgelopen jaren heeft u veel nagedacht over de invulling van de rol van de diverse actoren in de verantwoordings- en controleketen. Dit ervaren wij als goede ontwikkeling, omdat dit duidelijkheid moet geven over verantwoordelijkheden in processen en kan gaan bijdragen aan de totstandkoming van de rechtmatigheidsverantwoording vanaf het boekjaar 2023. In de afgelopen jaren heeft u veel geïnvesteerd in uw beheers instrumentarium. Door goede randvoorwaarden te scheppen (zoals bijvoorbeeld eigenaarschap voor de interne beheersing, het opstellen van procesbeschrijvingen en deze ook op een hoger niveau te krijgen door deze in het “Key Control Dashboard” (KCD) op te nemen, de actualisatie van de frauderisicoanalyse en het uitvoeren van audits op het gebied van IT) creëert u een goede basis om, in opzet, in control te zijn. Onderdeel van uw visie op verantwoordelijkheden in de (verbijzonderde) interne controle is uw streven om de rollen van de 1 e ((proceseigenaar), 2e (business control) en 3e lijn (CCA) hierin te veranderen.

Daarbij is uw streven om steeds meer de controlehandelingen te beleggen in de 1e en 2e lijn en komt het team van Concern Control & Concern Audit (CCA, de 3e lijn) steeds meer in een rol die is gericht op het vaststellen van de goede werking van de 1e en 2e lijn en het adviseren daarover. In de loop van de tijd worden stappen gezet, waarbij het natuurlijk zo is dat veranderingen tijd kosten. Het komt nog steeds regelmatig voor dat de 3e lijn (CCA) werkzaamheden overneemt van de 2e lijn (business control) of werkzaamheden oppakt die de 2e lijn heeft laten liggen. De transitie is dan ook nog zeker niet voltooid en om deze door te zetten zal dit van het management de komende jaren blijvende aandacht, inspanning en ondersteuning vragen.

312018008.22.432 - 6

We merken op dat, met name door druk op de personele capaciteit in de 1e en 2e lijn, er in 2022 minder progressie in de ontwikkeling van de organisatie is geweest dan u had gepland. De capaciteit wordt vooral ingezet op de dienstverlening aan de burgers, waardoor aandacht en het eigenaarschap voor procesverbetering en interne controle in de eerste en tweede lijn minder aanwezig is geweest. Door het uitvoeren van gegevensgerichte verbijzonderde interne controles (VIC) wordt u achteraf geïnformeerd over de kwaliteit van de interne beheersing. Op deze wijze krijgt u een wel beeld of er getrouw en rechtmatig gehandeld is, maar doordat deze controles achteraf plaatsvinden, heeft dit tot gevolg dat uw organisatie niet tijdig kan bijsturen en dat daardoor het proces van jaarafsluiting en het opstellen van de jaarrekening een langdurig en kostbaar ‘’ad hoc’’ proces is, waar nog veel achteraf uitgezocht en gecorrigeerd moet worden. Wij zijn ervan overtuigd dat u veel meer waarde uit uw interne beheersing kunt halen, wanneer het bewustzijn in de 1e en 2e lijn van de dingen die gedaan moeten worden (door middel van het ‘’6W-principe’’, waarmee in de beschrijving van de procesmodellen ook rekening wordt gehouden) toeneemt, in plaats van dat er “alleen maar vinkjes” worden gezet.

Het niet (kunnen) nemen van het eigenaarschap in de eerste en tweede lijn ten aanzien van de interne beheersing is een belangrijke reden dat de doorontwikkeling van de organisatie in en over 2022 in de breedte nog niet tot het gewenste resultaat heeft geleid, namelijk een organisatie die aantoonbaar in control is. Wij blijven benadrukken dat het voor u een belangrijk aandachtspunt is, om het samenspel tussen de eerste, tweede en derde lijn te verbeteren en tijd en energie te blijven steken in de ontwikkeling van uw medewerkers en een breed gedragen kwaliteitsgerichte cultuur waarbij uw medewerkers elkaar ook coachen. Wij verwijzen u ook naar hetgeen wij hierover in onze managementletter over 2021 hebben gerapporteerd.

Rechtmatigheidsverantwoording wordt ingevoerd in 2023

Het Ministerie van BZK heeft via de nieuwsbrief IBI (nummer 109, juni 2022) aangegeven dat de introductie van de rechtmatigheidsverantwoording wordt uitgesteld tot de jaarrekening voor het verslagjaar 2023, welke in het kalenderjaar 2024 wordt vastgesteld. Dit betekent dat vanaf dan onze controleverklaring alleen een oordeel inzake de getrouwheid van de jaarrekening (inclusief de getrouwheid van de rechtmatigheidsverantwoording die door het college in de jaarrekening wordt opgenomen) bevat. De Commissie BBV heeft de herziene kadernota uitgebracht (hierna: Kadernota rechtmatigheid 2023), waarin zij haar visie geeft over de invulling van het begrip rechtmatigheid in de rechtmatigheidsverantwoording. Het doel is uiteindelijk dat gemeente Hilversum zelfstandig de in de Kadernota rechtmatigheid 2023 benoemde rechtmatigheidscriteria (het begrotingscriterium, het M&O-criterium en het voorwaardencriterium) afdekt. De Kadernota rechtmatigheid 2023 is daarmee vooral een belangrijk document voor het college geworden. In paragraaf 1.4 van de Kadernota rechtmatigheid 2023 is een tiental stellige uitspraken gedaan en zijn zeven aanbevelingen gedaan. Deze worden in de Kadernota rechtmatigheid 2023 verder uitgewerkt. Deze stellige uitspraken en aanbevelingen kunnen u helpen bij de verdere implementatie van de rechtmatigheidsverantwoording binnen gemeente Hilversum.

Een aantal van deze stellige uitspraken en aanbevelingen willen wij graag onder de aandacht brengen:

312018008.22.432 - 7

▪

▪ ▪ ▪

▪

De Kadernota rechtmatigheid 2023 introduceert het begrip ‘onduidelijkheden’. Dit begrip geeft aan dat er situaties zijn waarin het ook voor het college niet duidelijk is of er rechtmatig gehandeld is. Deze moeten dan worden toegelicht en worden gewogen door het college. In de Kadernota rechtmatigheid 2023 wordt ook ingegaan op de toepassing van tolerantiegrenzen, afwijkingen en de weging hiervan. Deze begrippen zijn vooral van belang voor uw intern controleplan 2023 en verder. De commissie adviseert ook fraude door eigen medewerkers toe te lichten in de Paragraaf Bedrijfsvoering. Hierover heeft de Commissie BBV in de Notitie Bedrijfsvoering meer geschreven. De commissie adviseert eveneens de verordeningen 212, 213 en het normenkader te actualiseren, waarbij zij tevens adviseert om zowel de verantwoordingsgrens als de rapportagegrens op te nemen in de financiële verordening of een beleidsnota rechtmatigheid c.q. normenkader. De modelverordeningen van de VNG zijn hier inmiddels op aangepast. Op dit moment is bijvoorbeeld het inrichten van het rechmatigheidsbeheer, waaronder de verantwoordingsgrens (verplicht) en de rapporteringsgrens (optioneel), nog geen onderdeel van verordening 212. Bij aan derden uitbestede werkzaamheden is het belangrijk als gemeente zelf zekerheid te krijgen over de rechtmatigheid. De wijze waarop dat kan is in de kadernota rechtmatigheid 2023 uitgewerkt.

Ook moeten afspraken met de accountant worden herzien of gemaakt. Hierbij moet u vooral denken aan de scope van de interne controle (getrouwheid versus rechtmatigheid), de documentatie van de uitgevoerde interne controles en de planning van de interne controle. Het, nog op te stellen, intern controleplan voor 2023 moet de randvoorwaarden bevatten om in kalenderjaar 2024 een rechtmatigheidsverantwoording op te kunnen stellen met betrekking tot verslagjaar 2023. In uw geval, ook in het licht van het vorige blok in deze managementletter, vragen wij we aandacht voor een actieve betrokkenheid bij de uitvoering van het intern controleplan van de 1e en 2e lijn. De rechtmatigheidscriteria zijn, in lijn met de kadernota, onderverdeeld in het begrotingscriterium, voorwaardecriterium en misbruik & oneigenlijk gebruik criterium. Bij het voorwaardecriterium is aangegeven dat getoetst wordt of bij de uitvoer van beheershandelingen aan de voorwaarden in het geldende normenkader is voldaan. De voorwaarden kunnen hierbij betrekking hebben op: doelgroep, termijn, grondslag, administratieve bepalingen, normbedragen, bevoegdheden, recht, hoogte en duur. Uw zult hierin een keuze moeten maken, waarbij wij u adviseren vooralsnog voor de minimumvariant (recht, hoogte en duur) te blijven kiezen.

Voor verdere informatie omtrent de invoering van de rechtmatigheidsverantwoording en de gevolgen hiervan voor gemeente Hilversum verwijzen wij tevens naar de managementletter 2021 en het accountantsverslag 2021.

U heeft aandacht voor fraudepreventie en beheersing

De komende jaren zal er vanuit de accountantscontrole nog nadrukkelijker aandacht worden gegeven aan fraudepreventie. Op 13 september 2021 publiceerde de Nederlandse Beroepsorganisatie van Accountants (“NBA”) een consultatiedocument waarin werd voorgesteld dat accountants verplicht worden om over fraude en continuïteit te rapporteren in de controleverklaring. In 2022 heeft de NBA de notitie ‘Frauderisicobeheersing: aanbevelingen voor bestuurders en toezichthouders’ uitgebracht. In deze notitie komt 312018008.22.432 - 8

nadrukkelijk de rol van bestuurders en toezichthoudende organen, zoals de raad en het college, bij het voorkomen en detecteren van fraude aan de orde. Door de nadruk te leggen op het voorkomen van fraude, kunnen de gelegenheden die tot fraude leiden, afnemen. Dit vraagt om actief toezicht op risico’s en beheersmaatregelen ter voorkoming van fraude. Ook de accountant heeft hierin een belangrijke rol. De verplichte frauderapportage in de controleverklaring wordt overigens “gefaseerd” ingevoerd. Bij “wettelijke controles”, zoals bijvoorbeeld gemeenten, zal dit voor verslagjaar 2022 al het geval zijn, bij “niet wettelijke controles”, zal dit vanaf verslagjaar 2023 het geval zijn. Fraude kan een groot effect hebben op de reputatie van organisaties en kan tot grote financiële schade leiden. Het is daarom zowel in uw belang als dat van al uw belanghebbenden, bijvoorbeeld in de paragraaf bedrijfsvoering (als onderdeel van het jaarverslag), expliciet aandacht wordt besteed aan het beheersen van frauderisico’s. De Commissie BBV heeft hier ook adviezen over gegeven. Van u, zowel de raad als het college, wordt verwacht dat u frauderisico’s in kaart brengt en adequate maatregelen neemt om deze te beheersen. Omdat bij fraude sprake is van bewust handelen van personeel of management, is een goede frauderisicoanalyse ook in uw belang, ter voorkoming van daadwerkelijke fraude.

Door over frauderisico’s te spreken zal het fraudebewustzijn en de frauderisicobeheersing immers vergroot worden. De door u zelf uitgevoerde frauderisicoanalyse vormt voor controlerend accountants het startpunt van hun werkzaamheden ten aanzien van frauderisco’s. Met het oog op de voor verslagjaar 2022 ingaande rapportageverplichting voor accountants, waardoor zij in hun controleverklaring gaan rapporteren over fraude, zullen wij in 2022 nog nadrukkelijker het gesprek met u (raad en college) aangaan over dit onderwerp. Tijdens de controle spreken wij met u over: ▪ ▪ ▪

De frauderisicoanalyse van de organisatie en de organisatie specifieke frauderisico’s. De evaluatie van frauderisico’s die voor de controle het meest van belang zijn. Eventuele fraude incidenten en de bijbehorende opvolging.

Vanaf 2022 bespreken wij ook met u wat er in de controleverklaring gerapporteerd wordt, en hoe verwezen wordt naar de door u beschreven risicoanalyse in het jaarverslag. Door tijdig met elkaar in gesprek te gaan over frauderisicofactoren, eerder geïdentificeerde frauderisico’s en de rapportage daarover door de accountant, bent u beter in staat om relevante risico’s te onderkennen en uw interne beheersing daarop aan te passen of effectiever te maken. In voorgaande jaren hebben wij het college geadviseerd om, als onderdeel van haar verantwoordelijkheid hierin, een frauderisicoanalyse op te stellen, deze regelmatig te actualiseren en ook te bespreken met de Audit- en rekeningcommissie. Dit heeft ertoe geleid dat u inmiddels beschikt over een frauderisicoanalyse. Voor het jaar 2022 is de actualisatie hiervan momenteel nog onderhanden. Deze actualisatie vindt plaats op basis van de beschikbare procesmodellen binnen uw gemeente en eerdere uitgevoerde frauderisicoanalyses. Bij fraude risico's die in eerdere fraude inventarisaties zijn benoemd, beoordeelt u of deze nog steeds van toepassing zijn. Bij de door u onderkende frauderisico’s per (deel)proces benoemd worden vervolgens per risico ook de impact en eventuele beheersingsmaatregelen benoemd. Tenslotte zijn de risico's besproken binnen het team CCA worden deze nog besproken met medewerkers uit de 1ste en 2de lijn.

312018008.22.432 - 9

Wij willen het volgende meegeven: ▪

▪

▪

Zorg ervoor dat de frauderisicoanalyse een dynamisch proces is, bijvoorbeeld door al in startgesprekken te sparren over mogelijke risico’s en vervolgens een daarbij horende aanpak. Voor het jaar 2022 vindt de actualisatie op een relatief laat moment plaats. Op eventueel onderkende risico’s kunt u daarom pas laat actie ondernemen. Voor het jaar 2022 missen wij vooralsnog de verbinding tussen onderkende frauderisico’s en (geplande) interne controlewerkzaamheden. In de concept analyse heeft u bij onderkende risico’s ook de impact en de kans opgenomen en zijn deze uitgeschreven. Naar onze mening zou het sterk zijn om in vervolgrapportages de inschatting van de kans en impact van onderkende risico’s verder te kwantificeren. Dat inzicht kan u weer verder helpen bij het maken van keuzes om de risico’s te beheersen. Rond de frauderisicoanalyse op korte termijn af en neem deze op in één overzichtelijke rapportage.

De beheersmaatregelen die u heeft benoemd om onderkende risico’s te beheersen, zijn veelal het uitvoeren van controles achteraf, zoals het testen van functiescheidingen of gegevensgerichte controles. Bij de verbijzonderde interne controle wordt dan getoetst of geen sprake is geweest van onrechtmatig handelen, met fraude als gevolg. Hieruit zijn, bij de onderdelen die getoetst zijn over verslagjaar 2022, vooralsnog geen fraudesignalen naar voren gekomen. Hoewel de verbijzonderde interne controle een sterk controlemiddel is, is het wel goed om te beseffen dat dit een controlemaatregel “achteraf” is. In het kader van fraudepreventie is het naar onze mening vooral van belang om maatregelen ter voorkoming, dus aan de voorkant, te treffen. Deze zijn er uiteraard ook bij u, zoals functiescheidingen in de diverse processen en de periodieke zichtbare toetsing van de toegekende rechten in systemen. Dit wordt nu grotendeels achteraf door middel van een steekproeven gecontroleerd, terwijl een periodieke beoordeling van de toegekende rechten, waarmee ook functiescheidingen worden afgedwongen, naar onze mening sterker is. Gelet op het belang van fraudepreventie en ook de rol en verantwoordelijkheid van de raad hierin, vinden wij het belangrijk dat regelmatig gecommuniceerd wordt over de uitkomsten van uw frauderisicoanalyses met de raad of audit- en rekeningencommissie.

Voor 2022 heeft dit nog niet plaatsgevonden. Wij vinden dit belangrijk om de raad te ondersteunen in haar toezichthoudende functie. Daarvan is immers een onderdeel dat de Raad vast kan stellen dat het college conform de financiële verordening een toereikende interne beheersing heeft opgezet om (fraude) risico’s te ondervangen. Het regelmatig bespreken van een (actuele) frauderisicoanalyse is daarbij een sterk hulpmiddel om de frauderisico’s te monitoren en periodiek te evalueren of de interne beheersmaatregelen nog voldoende effectief zijn om frauderisico’s naar een (door u gedefinieerd) acceptabel en door u geaccepteerd niveau te brengen.

U stuurt op de opvolging van bevindingen uit de interne- en externe controle

In de managementletters en accountantsverslagen van voorgaande jaren, maar ook in interne controleverslagen, zijn aanbevelingen opgenomen om de bedrijfsvoering te versterken en de risico’s te verminderen. Ten behoeve van onze recente interim controle heeft u met de rapportage “Follow-up interne en externe aanbevelingen 2019 tot en met 2021” inzicht in de opvolging van de bevindingen gegeven, die in uw interne rapportages over 2019 tot en met 20201, onze managementletter 2019 tot en met 2021 en onze accountantsverslagen 2019 tot en met 2021 zijn opgenomen.

312018008.22.432 - 10

In de rapportage is per gerapporteerde bevinding de huidige status aangegeven. In de rapportages zijn ook het Domein waarop de bevinding betrekking heeft, de “eigenaar” en een prioriteit opgenomen. Bij een aantal bevindingen zien wij dat de opvolging nog niet is gerealiseerd op de gestelde deadline. In meerdere gevallen wordt daar dan ook een toelichting bij gegeven. Overigens zien wij ook dat de status van een aanbeveling soms niet overeenkomt met toelichtingen op andere plekken in de follow up rapportage of bijvoorbeeld uw interne controlerapportages. Wij hebben bijvoorbeeld geconstateerd dat een aanbeveling op “gereed” gezet is, terwijl de status “geen voortgang” aangeeft of uit een toelichting blijkt dat een opvolging “gepland is”, maar vervolgens wel op afgewikkeld is gezet. Ons advies is hier secuur en consistent mee om te gaan. Naar onze mening levert een dergelijk rapportage een bijdrage aan de verdere doorontwikkeling van de financiële bedrijfsvoering wanneer voldoende sprake is van progressie. Deze is in 2022 enigszins achtergebleven. Realisatie van actiepunten kan immers een positieve impact hebben op het ingeschatte risicoprofiel en daarmee op de aard en omvang van eventuele verdere controlewerkzaamheden.

Verbeterpunten zouden kunnen zijn dat u de follow-up van de controlebevindingen regelmatiger monitort (bijvoorbeeld periodiek in het gemeente brede MT) en de voortgang regelmatig bespreekt met het college en in de audit- en rekeningencommissie. Wij vinden dit van belang in het kader van de doorontwikkeling van uw financiële bedrijfsvoering, de ambities die u hierin heeft en de verder te plannen en uit te voeren interne controlewerkzaamheden.

Blijf stappen maken om de Uw gemeente heeft veel aandacht om de betrouwbaarheid van de IT-omgeving en het aantonen van die betrouwbaarheid, te betrouwbaarheid van uw IT- verbeteren. U beschikt over een kalender van 2019 tot en met 2023, waaruit blijkt welke IT-audits u heeft laten uitvoeren en welke nog uitgevoerd gaan worden. De IT General Controls (ITGC’s) en tevens diverse applicaties zijn in de kalender verwerkt. In deze ITomgeving aan te tonen en audit-kalender is een haalbare planning gemaakt van de controles die uitgevoerd zijn en dienen te worden. Hierdoor heeft de optimaal gebruik van te gemeente een goed beeld van waar zij staan ten aanzien van het IT-landschap en waar nog opvolging nodig is. De meeste geplande kunnen maken onderzoeken zijn inmiddels afgewikkeld en zijn de uitkomsten bekend waaruit verbetermogelijkheden inzichtelijk zijn gemaakt. Voor veel applicaties is uw conclusie dat voor de interne en externe controle (nog) niet volledig gesteund kan worden op de IT-omgeving. Wij adviseren om de kalender binnenkort weer te actualiseren en hierbij een haalbare planning voor opvolging van de bevindingen en verbetermogelijkheden mee te nemen voor de onderzochte applicaties. Deze zullen ook in samenspraak moeten gaan met de verantwoordelijken in de eerste lijn, door de verbetermogelijkheden daar concreet te beleggen en te dragen.

Wanneer u van mening bent dat de verbeteringen zijn gerealiseerd, dan kunnen hierop inhoudelijke audits worden uitgevoerd en kan de automatiseringsomgeving mogelijk gaan bijdragen aan de interne controles.

312018008.22.432 - 11

Uw gemeente stuurt actief op het verhogen van het bewustzijn op het gebied van cyber- en beveiligingsbeleid

Uw gemeente voert diverse activiteiten uit om het bewustzijn van medewerkers op het gebied van cyber- en beveiligingsbeleid te vergroten en tevens de veiligheid zelf te verbeteren. Niet limitatief betreft dit onder meer het volgende: ▪ ▪ ▪ ▪ ▪ ▪

De gemeente heeft een project inzake Identity and Acces Management (IAM). Zichtbaar bewustzijn inzake cybercrime en digitale veiligheid en deze continue te verbeteren. Er lopen trainingen op het gebied van beveiliging, zoals bijv. posters, awareness op het intranet, cursussen inzake cyber en gijzelsoftware. Er is een extra beveiliging aanwezig: als in een e-mail een applicatie wordt geactiveerd dat het systeem nog niet kent, dan kan deze bijlage niet worden geopend. Daarmee worden veel pogingen tot phishing onderschept/teniet gedaan. In 2022 is dit uitgebreid door de algemene digitale beveiliging te vergroten bij medewerkers. Daarmee wordt niet alleen cyber en veiligheid aangehaald, maar algemeen belang van digitaal werken. Continue aandacht voor ENSIA-audits en positieve uitkomsten over 2021. Per kwartaal wordt gerapporteerd over privacy en informatiebeveiliging. Hierin komen knelpunten en de opvolging hiervan aan de orde, worden datalekken en beveiligingsincidenten gerapporteerd, en wordt gerapporteerd over de voortgang van de implementatie van de Baseline Informatievoorziening Overheid (BIO), de verantwoording in Eenduidige Normatiek Single Information Audit (ENSIA) en Algemene Verordening Gegevensbescherming (AVG). Directie en lijnmanagement krijgen hiermee een beeld van de compliance ten aanzien van deze onderwerpen.

Wij concluderen dat de gemeente goed aandacht heeft voor de materie en serieus met deze problematiek omgaat en over alle lijnen in de organisatie wordt gedeeld en besproken. Ook is de gemeente zich ervan bewust dat dit onderwerp echter nooit ‘af’ is. Waar digitaal en online wordt gewerkt, zullen altijd nieuwe manieren worden gevonden om uw data te stelen of te corrumperen. Uw blijvende aandacht op dit onderwerp is daarmee te allen tijde nodig.

Accountant is verplicht te rapporteren over continuïteit

De accountant is bij “wettelijke controles”, waaronder de controles van gemeenten, vanaf verslagjaar 2022 verplicht om naast fraude, zoals hiervoor aangegeven, tevens te rapporteren over continuïteit. Een aanleiding voor het verplicht rapporteren over continuïteit is de toenemende behoefte aan transparante informatie over bijvoorbeeld gemeente specifieke inzichten en langetermijnperspectieven. Omdat bij het opstellen van de jaarrekening wordt uitgegaan van de continuïteitsveronderstelling, is continuïteit ook een belangrijk aandachtspunt voor accountants bij de controle van de jaarrekening. Het continuïteitsrisico bij gemeenten speelt echter een beperktere rol door de achtervang van hogere overheden en het provinciaal toezicht. Ook is het natuurlijk van belang dat uw gemeente een structureel sluitende meerjarenbegroting heeft. In die zin speelt het ‘continuïteitsrisico’, zij het in mindere mate, ook bij gemeenten. U heeft aandacht voor dit onderwerp. Wij adviseren u de ontwikkelingen te blijven volgen richting het opstellen van de jaarrekening 2022, omdat het verplicht rapporteren hierover (vooralsnog) geldt bij alle wettelijke controles, dus ook bij gemeenten. De vereisten en noodzakelijke inhoud voor de jaarrekening 2022 zullen in de komende periode moeten gaan blijken zodat u meer duidelijkheid krijgt over de eventuele vervolgstappen. 312018008.22.432 - 12

3.

Procesbevindingen

312018008.22.432 - 13

3. Procesbevindingen Bevindingen uit de interne procesbeoordeling en interne controle 2022

Intern rapporteert het team van CCA haar bevindingen en aanbevelingen naar aanleiding van de beoordeling van de financiële processen en overige relevante werkzaamheden door CCA. Over het jaar 2021 betrof dit nog een uitvoerige managementletter. Over het jaar 2022 is de keuze door u gemaakt om per proces uitsluitend te rapporteren over de geconstateerde bevindingen, de ontwikkeling ten opzichte van 2021 te schetsen, kort in te gaan op de invulling van de “Three Lines of Defense”, de follow up ten opzichte van eerdere rapportages en eventuele aanbevelingen te doen. Uit onze controlewerkzaamheden blijkt dat wij tot soortgelijke bevindingen komen. Deze rapportage vormt naar onze mening dan ook een goede basis om verdere verbetermaatregelen te identificeren en uit te voeren. Hierna hebben wij de resultaten van de uitgevoerde interne controlewerkzaamheden geciteerd uit de interne rapportage, waarbij wij tevens onze bevindingen en adviezen hebben opgenomen en de actiepunten voor de jaarrekening 2022 hebben benoemd. Voor de goede orde vermelden we nog dat processen die niet genoemd zijn, geen onderdeel van de interne procesbeoordeling zijn geweest.

De legenda die bij de door CCA gehanteerde stoplichten hoort, is – op basis van de interne rapportage – als volgt: Rood: Relatief veel verbeterpunten urgent of hoog, proces in de basis onvoldoende Oranje: Enkele verbeterpunten urgent of hoog, relatief veel overige verbeterpunten Groen: Hooguit enkele verbeterpunten hoog, proces in de basis voldoende op orde dan wel geen verbeterpunten urgent of hoog, beperkt overige verbeterpunten.

Proces / onderwerp

Algemene uitkering

Dashboard (oordeel over mate “in control” 2021 2022

Toelichting op bevindingen (intern en/of PSA) en actiepunten voor de jaarrekening 2022 (vanuit CCA en/of PSA)

Bevindingen intern: ▪ Nog geen afbouw rol lijn 3 ten faveure van lijn 2 (FC/BC). ▪ Opvolging is toegezegd maar nog niet opgepakt. ▪ De controle op de opgave van de belastingcapaciteit vanuit Ministerie heeft niet tijdig plaatsgevonden. Er zijn verschillen geconstateerd. Dit heeft mogelijk effect op de definitieve vaststelling van de omvang van de algemene uitkering over 2022. Er heeft nog geen interne berekening plaatsgevonden van de effecten. Bevindingen PSA: ▪ Geen aanvullende bevindingen.

312018008.22.432 - 14

Advies of actie voor de jaarrekening: ▪ Bepaal de impact van de verschillen op de te verantwoorden algemene uitkering en communiceer hierover met het Ministerie van BZK. Belastingen en heffingen

Bevindingen intern: ▪ Lijn 2 (BC) nog geen rol bij voorbereiding interimdossier ▪ Geen opvolging (IT-audit + interne en externe aanbevelingen) ▪ Geen tussentijdse aansluiting gelegd tussen de applicaties key2belastingen en Key2financien en geen cijferanalyses uitgevoerd voor het duiden van opvallende ontwikkelingen. ▪ Daarnaast is er een kritisch rapport ontvangen van de Waarderingskamer over de kwaliteit van het waarderingsproces. ▪ Besteed meer aandacht aan de analyses van onderliggend cijfermateriaal en documenteer de uitgevoerde IC werkzaamheden goed, zodat deze achteraf raadpleegbaar zijn. ▪ Prioriteit te geven aan de aanbevelingen van de Waarderingskamer en het werkproces snel op orde te brengen. Bevindingen PSA: ▪ Er worden veel controles uitgevoerd binnen dit proces, maar deze worden nog in onvoldoende mate zichtbaar vastgelegd. Daardoor kan er niet optimaal gebruik worden gemaakt van de uitgevoerde controlewerkzaamheden. Wij adviseren u uitgevoerde interne controlewerkzaamheden beter te documenteren, zodat hier gebruik gemaakt van kan worden bij de interne (en externe) controlewerkzaamheden. Advies of actie voor de jaarrekening: ▪ Stel de aansluiting tussen Key2belastingen en Key2financiën zichtbaar vast en documenteer deze. ▪ Voer een cijferanalyse uit op de gerealiseerde belastingopbrengst ten opzichte van de begroting 2022 en de gerealiseerde opbrengsten 2021.

Specifieke uitkeringen / inkomende subsidies

Bevindingen intern: ▪ Lijn 2 (BC) nog geen rol bij voorbereiding interimdossier ▪ Opvolging eerdere aanbevelingen is aangegeven. Voortgang eind 2022 monitoren. ▪ Een procesmodel op basis van een risicoanalyse en een tussentijdse beoordeling van de volledigheid van de subsidiedossiers ontbreekt. ▪ Het geactualiseerde subsidieregister is laat opgeleverd, waardoor de beoordeling van de onderliggende subsidiedossiers pas kan plaatsvinden in het 4e kwartaal. ▪ Breng het proces van inkomende subsidies in kaart, waarbij expliciet aandacht wordt besteed aan: • de rollen, taken, bevoegdheden en verantwoordelijkheden van betrokken functionarissen; • de risico’s, beheersmaatregelen en interne controles; • de wijze van vastleggen (subsidievolgsysteem: via zaaksysteem, extracomptabel excel-bestand of een subsidie-administratie); en • de wijze en periodiciteit van monitoring en verantwoording afleggen. Elke subsidie heeft zijn eigen regels waaraan voldaan moet worden. Bevindingen PSA: ▪ Wij zijn geconfronteerd met een ‘’ad-hoc’’ verzoek om een controleverklaring af te geven bij een subsidieverantwoording ter verantwoording van ontvangen subsidiegelden. Hieruit blijkt dat er aandacht nodig is om dit proces strakker te monitoren (timing afronding en verantwoording).

312018008.22.432 - 15

Exploitatie gemeentelijk vastgoed

Advies of actie voor de jaarrekening: ▪ Maak een overzicht van alle specifieke uitkeringen en inkomende subsidies waaruit het toegekende subsidiebedrag blijkt, waaruit eventueel ontvangen voorschotten of te ontvangen bedragen blijkt en waaruit de bestedingen blijken. ▪ Stel vast en toon aan dat de bestedingen subsidiabel zijn in het kader van de betreffende regeling. ▪ Leg zichtbaar, voor zover van toepassing, relaties met het overzicht van baten en lasten, de SiSa-bijlage en eventuele overlopende posten in de jaarrekening 2022. Bevindingen intern: ▪ Lijn 2 (BC) nog geen rol bij voorbereiding interimdossier ▪ Opvolging eerdere aanbevelingen is aangegeven. Voortgang eind 2022 monitoren. ▪ Een (goede) aansluiting tussen VBS en Key2financien voor wat betreft de huurbaten en een standenregister in de verhuuradministratie, waarmee periodiek verbandscontroles kunnen worden uitgevoerd, wordt gemist. Gezien het belang van een dergelijk aansluitingen wordt geadviseerd om: • middels een IT-audit te laten onderzoeken of dergelijke aansluiting überhaupt technische wel mogelijk is tussen beide applicaties, • dan wel bij de vervanging van Key2finacieen en/of de verhuuradministratie dit aspect een meer prominente rol te geven.

▪ Er is sprake van verbetering in de procesbeheersing door het inventariseren van de risico’s, het benoemen van de noodzakelijke beheersmaatregelen en de uitvoering tussentijds van diverse interne controles door de controller Vastgoed. ▪ Breng naast het proces verhuur/pacht, ook de processen voor aan- en verkoop van onroerende zaken en de onderhoudsplanning en uitvoering van objecten in beeld brengen, bij voorkeur op dezelfde wijze als gedaan is bij de verhuur/pacht. Bevindingen PSA: ▪ Geen aanvullende bevindingen.

Parkeerexploitatie

Advies of actie voor de jaarrekening: ▪ Stel de aansluiting tussen VSS en Key2Finaciën zichtvaar vast. ▪ Beoordeel en documenteer de juistheid van niet in rekening gebrachte bedragen (bijvoorbeeld omdat geen sprake is geweest van verhuur/leegstand of andere redenen). Opmerking PSA: Dit proces is geen onderdeel geweest van de interne procesbeoordeling. Ten behoeve van de jaarrekening 2022 verzoeken wij u de afspraken met de serviceorganisatie in beeld te brengen en tijdig afspraken over de financiële verantwoording te maken op basis waarvan u de volledigheid van de verantwoorde opbrengsten kunt vaststellen. De bevindingen en adviezen uit voorgaande jaren gelden nog steeds: Bij de tussentijdse controle stelden wij vast dat u nog geen definitief inzicht heeft in de afspraken die zijn gemaakt met de serviceorganisatie die voor uw gemeenten de parkeergelden heffen en innen. De nog te concretiseren afspraken zullen in lijn moeten liggen met de afspraken zoals deze jaarlijks zijn vastgelegd, maar zijn momenteel nog onderhanden. Wij gaan ervan uit dat er geen wijzigingen zijn in deze afspraken en dat deze in opzet zullen bijdragen aan het verkrijgen van toereikende controle informatie over de volledige verantwoording van de parkeeropbrengsten.

Wanneer sprake is van significante wijzigingen ten aanzien van eerder gemaakte afspraken, dan hebben wij met uw organisatie afgesproken dat wij vooraf met u meekijken om te voorkomen dat op een later moment onverwachte bijzonderheden geconstateerd worden die zouden moeten leiden tot andere controlewerkzaamheden. Overigens was van dit proces geen procesbeschrijving beschikbaar volgens het 6W-principe en was ook geen sprake van vastleggingen in het KCD. 312018008.22.432 - 16

Bouwleges

Bevindingen intern: ▪ Nog geen afbouw rol lijn 3 ten faveure van lijn 2 (FC, review). ▪ De aanbevelingen zijn opgevolgd. ▪ Verbetering procesbeheersing door implementatie 4-ogen principe voor aanvragen met bouwsom > 1 miljoen. Bevindingen PSA: ▪ Geen aanvullende bevindingen. Advies of actie voor de jaarrekening: ▪ Voer een zichtbare controle uit en leg deze vast op de juistheid van de gehanteerde tarieven (uitdraai maken van systeemtabel en deze zichtbaar aansluiten met vastgestelde verordeningen); en ▪ Stel de aansluiting tussen Squit en Key2Finaciën zichtvaar vast.

Burgerzaken

Beheer personeel administratie

(NB: betreft reguliere werkzaamheden) Opmerking PSA: Dit proces is geen onderdeel geweest van de interne procesbeoordeling. Ten behoeve van de jaarrekening 2022 verzoeken wij u een zichtbare controle uit te voeren en vast te leggen van op de juistheid van de gehanteerde tarieven (uitdraai maken van systeemtabel en deze zichtbaar aansluiten met vastgestelde verordeningen) en de aansluiting tussen Key2burgerzaken en Key2Finaciën zichtvaar vast te stellen (reguliere werkzaamheden). Bevindingen intern: ▪ Lijn 1 (proces-eigenaar) meer betrekken bij periodieke aansluitingen en cijferanalyses. ▪ Opvolging eerdere aanbevelingen is aangegeven. Voortgang eind 2022 monitoren. ▪ Geen bijzonderheden geconstateerd. De procesuitvoering is op dit moment “in – control”. Vanuit de interne beoordeling is aan de proceseigenaar meegegeven om de samenwerking tussen de 1e en 2e lijn van interne beheersing voor wat betreft het uitvoeren van periodieke cijferanalyses en aansluitingen verder verbeteren. Nu concentreren deze werkzaamheden zich in hoofdzaak bij de BC (2e lijn). Bevindingen PSA: ▪ Geen aanvullende bevindingen.

Factuurafhandeling en betalingsorganisatie

Advies of actie voor de jaarrekening: ▪ Stel de aansluiting tussen de salarisadministratie en Key2Finaciën zichtvaar vast en voer een cijferanalyse uit op de verantwoorde personeelskosten (reguliere werkzaamheden). Bevindingen intern: ▪ Nog geen afbouw rol lijn 3 ten faveure van lijn 2 (F&C, uitvoeren deel-waarneming) ▪ Opvolging eerdere aanbevelingen is aangegeven. Voortgang eind 2022 monitoren. ▪ We zien verbetering in het vastleggen van de controle op de prestatielevering en het aanmaken verplichtingen. Aanbevelingen van voorgaande jaren zijn nog niet opgevolgd. Deels in afwachting van de (keuze en) implementatie van een nieuw financieel systeem. Te denken valt aan beleid prestatielevering, screening (nieuwe) crediteuren en evaluatie verplichtingenprocedure. ▪ Wij adviseren F&C om de opvolging in de tijd uit te zetten en te bewaken op voortgang.

312018008.22.432 - 17

Bevindingen PSA: ▪ Geen aanvullende bevindingen.

Inkopen / aanbesteding en (EU)

Advies of actie voor de jaarrekening: ▪ Rond de VIC op het proces inkopen tijdig af. De controle van de prestatielevering maakt daar onderdeel van uit. Evalueer bevindingen. Bevindingen intern: ▪ Nog geen afbouw rol lijn 3 (CCA) ten faveure van lijn 2 (IA, uitvoeren deelwaarneming). ▪ Verschil van inzicht met betrekking tot het zichtbaar vastleggen kwartaalgesprekken en spendanalyse inkoop. ▪ De nieuwe gevallen in 2022 van onrechtmatige aanbestedingen waren intern al bekend en zijn opgepakt. Inkopen inzake opvang Oekraïners leiden niet tot onrechtmatigheid in verband met dwingende spoed voor 2022. Voor 2023 is het vooralsnog een aandachtspunt. Samenwerking projectteam ‘opvang Oekraïners’ en inkoop blijft van belang. Bevindingen PSA: ▪ Bij de interne controle heeft u onrechtmatigheden geconstateerd over het eerste deel van 2022 voor een bedrag van € 492.500. Er staan daarnaast nog enkele vragen open naar aanleiding van uw controles. De spendanalyse over 2022 is daarmee intern nog onderhanden en moet nog worden doorgetrokken over heel 2022. Over het vervolgproces zijn wij in overleg met CCA.

Financieel beheer

Advies of actie voor de jaarrekening: ▪ Rond de spendanalyse en controle op rechtmatigheid van de EU-aanbestedingen tijdig in 2023 af. Bevindingen intern: ▪ Nog geen afbouw rol lijn 3 ten faveure van lijn 2 (FC, uitvoeren deelwaarneming). ▪ Opvolging inzake memorialen is toegezegd, maar nog niet opgepakt. ▪ Aanbevelingen inzake proces jaarrekening zijn niet opgevolgd. ▪ Het is vanaf 2021 mogelijk om de onderbouwingen bij memoriaalboekingen te documenteren in Key2Financiën. Dit vindt echter niet in alle gevallen plaats. Ook wordt autorisatie door een budgethouder niet zichtbaar vastgelegd. Bevindingen PSA: ▪ Geen aanvullende bevindingen.

Subsidieverlening

Advies of actie voor de jaarrekening: ▪ Analyseer de verrichte memoriaalboekingen vanuit de diverse dagboeken. ▪ Maak daarbij een totaal aansluiting met de dump over geheel 2022. ▪ Voer een steekproef uit op de memoriaalboekingen. Bevindingen intern: ▪ Nog geen afbouw rol lijn 3 ten faveure van lijn 2 (BC, review). ▪ Cijferanalyse vindt ‘slechts’ bij jaarrekening plaats. ▪ De tijdigheid van de besluitvorming is verbeterd maar blijft een aandachtspunt. Ook de volledigheid van de dossiervorming blijft aandachtspunt. ▪ Verbeterpunten zijn onder meer het volledig beantwoorden van de toetsvragen in Case en volledig uploaden van documenten.

312018008.22.432 - 18

Bevindingen PSA: ▪ Vanuit de gegevensgerichte werkzaamheden was 1 dossier nog niet intern gecontroleerd omdat deze stukken niet beschikbaar waren. Inmiddels zijn de stukken beschikbaar en kan de (interne) controle op dit dossier worden uitgevoerd en vastgelegd. Wij zullen hier op een later moment naar kijken. Er is aandacht nodig voor het volledig uploaden en vastleggen van documenten. ▪ Er is een exploitatiebijdrage verantwoord onder de lasten, welke aangemerkt is als een subsidieverlening. Wij adviseren u om de inrichting van de journalisering voor de exploitatiebijdrage aan te passen, zodat de exploitatiebijdrage juist geboekt wordt en betrokken wordt bij andere controlewerkzaamheden (inkoop in plaats van subsidieverstrekking).

Treasury

Advies of actie voor de jaarrekening: Geen. Bevindingen intern: ▪ Lijn 2 (BC) nog geen rol bij voorbereiding interimdossier. ▪ Opvolging is toegezegd maar nog onderhanden. Treasurystatuut is vertraagd. ▪ Het treasury statuut treedt naar verwachting per 1/1/2023 in werking. De interne controle (4-ogen principe) is hierin aangescherpt. ▪ Naleving statuut reeds in 1e halfjaar 2023 laten toetsen door een BC. De interne controle is namelijk aangescherpt ten opzichte van de huidige situatie. Bevindingen PSA: ▪ Geen aanvullende bevindingen.

Uitkeringen (PW/Tozo)

Advies of actie voor de jaarrekening: Geen. Bevindingen intern: ▪ Nog geen afbouw rol lijn 3 ten faveure van lijn 2 (BC, review). ▪ Advies inzake (tussentijdse) ouderdomsanalyse vorderingen is niet opgevolgd. ▪ Geen bijzonderheden bij de dossiercontroles uitkeringen PW. Bij Tozo dient de afwikkeling van de M&O-werkzaamheden en openstaande voorschotten urgent opgepakt te worden. ▪ CCA heeft ten tijde van de interimcontrole door F&C uit te voeren werkzaamheden (aansluitingen, cijferanalyse) nog niet ontvangen. ▪ De F&C-capaciteit op de uitkeringen PW is al enkele jaren lager dan gewenst, onder meer door langdurige ziekte. Actie hierop is aan te raden. Bevindingen PSA: ▪ Geen aanvullende bevindingen. Advies of actie voor de jaarrekening: ▪ Uitvoeren en afwikkelen dossiercontroles over geheel 2022. ▪ Vaststellen aansluitingen tussen GWS4ALL en Key2Finaciën. ▪ Toetsen en documenteren werking M&O-beleid Tozo. ▪ Beoordelen volwaardigheid (inschatting voorziening voor oninbaarheid) van de vorderingen op bijstandscliënten.

312018008.22.432 - 19

Jeugd

Bevindingen intern: ▪ Nog geen afbouw rol lijn 3 ten faveure van lijn 2 (BC, review). ▪ Advies verkorten doorlooptijd onderzoek naar prestatie-levering PGB is overgenomen. ▪ De dossiercontroles leverden enkele aandachtspunten op die in het 4e kwartaal nog verder onderzocht dienen te worden: (1) Rechtmatigheid onderbouwing in geval van overdracht op basis van nieuw woonplaatsbeginsel; en (2) Aanbesteding van contracten, die niet via DLP lopen. Bevindingen PSA: ▪ Geen aanvullende bevindingen.