1.1 Managementletter 2024
Tekst van het document
14 januari 2025
MANAGEMENTLETTER 2024
Aan het college van burgemeester en wethouders van de gemeente IJsselstein Postbus 100 3925 ZJ IJSSELSTEIN
Dordrecht, 14 januari 2024 Ref.: 2279/ED/LdJ
Geacht college,
Ter voorbereiding op de controle van de jaarrekening 2024 van gemeente IJsselstein (hierna: IJsselstein) hebben wij een tussentijdse controle uitgevoerd. Deze tussentijdse controle richt zich hoofdzakelijk op het inventariseren en analyseren van risico’s van afwijkingen van materieel belang in de jaarrekening. Deze risicoanalyse vormt de basis voor de controlewerkzaamheden die wij in het voorjaar 2025 zullen uitvoeren op de jaarrekening 2024. In deze managementletter rapporteren wij de bevindingen van onze werkzaamheden en andere aandachtspunten. De belangrijkste risico’s en aandachtspunten zijn samengevat in hoofdstuk 1 van de managementletter. In deze samenvatting zijn ook de verwijzingen opgenomen naar de paragrafen waarin de betreffende bevindingen en aanbevelingen verder zijn uitgewerkt. Onze managementletter is uitsluitend bedoeld om u te informeren over onze controlebevindingen en aanbevelingen. Wij adviseren u om deze managementletter ook te delen met de Auditcommissie/de gemeenteraad, voorzien van een bestuurlijke reflectie. Externe toezichthoudende instanties kunnen u vragen om een afschrift van onze rapportages. Wij benadrukken dat wij niet aansprakelijk zijn voor eventuele gevolgen van externe verspreiding.
Wij hebben onze managementletter op 29 november 2024 in concept voorgelegd aan uw organisatie en vervolgens op 4 december en 11 december 2024 toegelicht aan uw organisatie. Op 13 februari 2025 lichten wij onze managementletter toe aan uw Auditcommissie Uiteraard zijn wij graag bereid tot een nadere toelichting en afstemming over onze aanbevelingen. Met vriendelijke groet,
W.P. de Vries RA
INHOUDSOPGAVE 1.
IJsselstein in beeld...................................................................................................................... 4
2.
Inleiding ..................................................................................................................................... 7
3.
IJsselstein in het perspectief van het sectorbeeld ........................................................................ 7
4.
Financieel beheer en risicomanagement ..................................................................................... 8 4.1.
Resultaatontwikkeling ................................................................................................................................ 8
4.2.
Managementinformatie en resultaatbeheersing ....................................................................................... 9
4.3.
Risicobeheersings- en controlesysteem ................................................................................................... 10
4.4.
Frauderisicobeheersing ............................................................................................................................. 10
4.5.
SiSa-regelingen .......................................................................................................................................... 11
5.
Rechtmatigheidsverantwoording .............................................................................................. 12
6.
IT-beheersingsmaatregelen ...................................................................................................... 13
7.
8.
9.
6.1.
Algemeen................................................................................................................................................... 13
6.2.
Informatiebeveiliging ................................................................................................................................ 14
6.3.
NIS2-Richtlijn ............................................................................................................................................. 15
6.4.
Uitbesteding IT bij derde partij ................................................................................................................. 15
Administratieve processen ....................................................................................................... 16 7.1.
Algemeen................................................................................................................................................... 16
7.2.
Verbijzonderde interne controle .............................................................................................................. 16
7.3.
Personeels- en salarisadministratie.......................................................................................................... 19
7.4.
Proces inkopen en betalingen .................................................................................................................. 19
7.5.
Aanbestedingsrechtmatigheid .................................................................................................................. 19
7.6.
Omgevingsvergunningen .......................................................................................................................... 20
7.7.
Sociaal Domein .......................................................................................................................................... 20
7.8.
Normen- en toetsingskader ...................................................................................................................... 21
7.9.
Memoriaalboekingen ................................................................................................................................ 22
7.10.
Projectadministratie ................................................................................................................................. 22
7.11.
Grondexploitaties...................................................................................................................................... 23
Naleving wet- en regelgeving, informatieplicht duurzaamheid ................................................... 23 8.1.
Informatieplicht energiebesparing ........................................................................................................... 23
8.2.
Rapportageverplichting werkgebonden personenmobiliteit .................................................................. 24
8.3.
Rapportageverplichting in de jaarverslaglegging (CSRD) ......................................................................... 24
8.4.
Overige informatieverplichtingen rond duurzaamheid ........................................................................... 25
Opvolging eerdere aanbevelingen............................................................................................. 26
10. Vooruitblik (controle) jaarstukken 2024 .................................................................................... 26 11. Slot .......................................................................................................................................... 27
Gemeente IJsselstein
Managementletter 2024
3
1. IJsselstein in beeld In onderstaand overzicht geven wij een samenvatting van onze bevindingen van de interim-controle, met daarbij een kleur-signalering. De legenda voor de signalering is: Geen noemenswaardige bevindingen
Tekortkomingen en/of aandachtspunten met een verhoogd risico/verhoogde impact
Geen tekortkomingen, wel relevante bevindingen en/of aandachtspunten
Tekortkomingen en/of aandachtspunten met een hoog risico/grote impact
Tekortkomingen en/of aandachtspunten met een beperkt risico/beperkte impact
Signalering Onderwerp
Bevindingen 2024
§ 2024
2023
FINANCIEEL BELEID EN BEHEER De financiële resultaten in 2024 van IJsselstein vertonen een positief beeld. Tegenover een primair begroot resultaat van € 0,1 miljoen positief ligt de meest actuele resultaatprognose voor 2024 op €1,2 miljoen positief. Resultaatontwikkeling en financieel toezicht
De tussentijdse bestuursrapportages omvatten een 4.1 financiële en een beleidsmatige rapportage, voorzien van tekstuele toelichting per programma. Hierin worden onder meer per taakveld en beleidsdoelstelling de belangrijkste gerealiseerde resultaten, de voorgenomen acties/plannen en de eventuele (budgettaire) bijsturingsmaatregelen genoemd. In de begroting en meerjarenraming van IJsselstein wordt inzicht gegeven in toekomstige baten en lasten en financiële uitdagingen voor 2024 en verder. Daarnaast bevat de begroting een beleidsmatige toelichting.
Begroting meerjarenraming
Gemeente IJsselstein
en
De op 7 november door de raad vastgestelde meerjarenraming 2025-2028 laat voor boekjaar 2025 4.1 een beperkt tekort zien. De boekjaren 2026-2028 laten grote nadelige begrotingssaldi zien. Financiële uitdagingen en tekorten zijn in lijn met het sectorbeeld. Het tijdig doorvoeren van bezuinigingen is een belangrijk aandachtspunt voor de planning- en control cyclus. IJsselstein heeft hier prioriteit voor.
Managementletter 2024
4
Signalering Onderwerp
Bevindingen 2024
§ 2024
2023
Financiële voortgangsrapportages geven voldoende retrospectieve informatie. Er is ook voldoende aandacht Instrumenten resultaat- en voor prospectieve informatie, waaronder bijvoorbeeld 4.2 liquiditeitsbeheersing een prognose van de resultaatontwikkeling en de impact van structurele afwijkingen op de meerjarenbegroting. Het evalueren van risico’s en beheersingsmaatregelen heeft voldoende de aandacht in de planning- en control cyclus. Dit is ook voldoende zichtbaar en aantoonbaar in de rapportages hierover. IJsselstein heeft in 2023 een frauderisicobeleid Risicobeheersings- en opgesteld als kader voor de uit te voeren frauderisico4.3/ controlesysteem (inclusief analyse. Het frauderisicobeleid en de frauderisicoanalyse worden periodiek geactualiseerd. Actualisatie is 4.4 fraudebeheersing) onderhanden. IJsselstein heeft hiermee belangrijke stappen gemaakt in de (fraude)risicobeheersing. Wij zien mogelijkheden voor verdere (door)ontwikkeling van de risico- en frauderisicobeheersing.
IT-BEHEERSING Gemeente IJsselstein heeft belangrijke automatiseringsfuncties uitbesteed. De IT-omgeving van IJsselstein kent een hoge mate van afhankelijkheid van externe ITpartners en bevat als zodanig de nodige uitdagingen om ‘in control’ te komen en te blijven in het uitoefenen van de regiefunctie. Met het outsourcen van IT en de toepassing van SaaSoplossingen, verschuift de focus van IT-beheersingsnaar toegangsbeheer, productAlgemene IT-beheersings- maatregelen /leveranciersmanagement en beheersing van het risico maatregelen van cybercriminaliteit.
6
IJsselstein heeft nog belangrijke stappen te gaan om volledig klaar te zijn voor de komende Cyberbeveiligingswet (NIS2). Vanuit de BIO-audit op de ICT samenwerking Gouwe-IJssel blijkt dat verbetering nodig is op de aspecten incidentenmanagement, beheer van gebruikersrechten, technische kwetsbaarheden van informatiesystemen en leveranciersmonitoring.
ADMINISTRATIEVE PROCESSEN
Gemeente IJsselstein
Managementletter 2024
5
Signalering Onderwerp
Bevindingen 2024
§ 2024
2023
IJsselstein verricht verbijzonderde interne controle (VIC) voor de belangrijkste (financiële) processen. Verbijzonderde interne controle
Inkopen en aanbestedingen (incl. betalingsverkeer)
De VIC wordt goed uitgevoerd, op basis van een gedegen risicoanalyse, interne beheersingsmaatregelen in het 7.2 proces en duidelijke werkprogramma’s. Het integreren van controles voor alle relevante frauderisico’s is een mogelijk onderwerp voor verdere doorontwikkeling. Wij hebben een aantal adviespunten gesignaleerd. Deze hebben voornamelijk betrekking op de naleving van het interne beleid voor inkopen. IJsselstein verricht een tussentijdse spendanalyse en 7.4/ stelt jaarlijks een inkoopkalender op. Uit de VIC op de 7.5 tussentijdse spendanalyse over de periode januari 2024 tot en met juni 2024 zijn (financiële) onrechtmatigheden gebleken.
Personeels- en salarisadministratie
Het proces is in grote lijnen op orde, wij signaleren een aandachtspunt voor het vormen van personele 7.3 voorzieningen per ultimo 2024.
Subsidieverstrekkingen
Geen bijzonderheden te rapporteren in het kader van n.v.t het administratieve proces.
Belastingen en heffingen
De beheersmaatregelen zijn in hoofdlijnen op orde. IJsselstein en Verstegen ontvangen per balansdatum een gewaarmerkte belastingverantwoording en controleverklaring van Belasting Samenwerking n.v.t Rivierenland om de getrouwheid en rechtmatigheid van de opbrengsten te onderbouwen.
Omgevingsvergunningen
De uitvoering van de taken door de Omgevingsdienst regio Utrecht leidt tot aandachtspunten voor IJsselstein. IJsselstein verricht aanvullende werkzaamheden om de 7.6 getrouwheid en rechtmatigheid van de opbrengsten te kunnen waarborgen.
Sociaal domein
Geen bijzonderheden te rapporteren in het kader van 7.7 het administratieve proces.
Memoriaalboekingen
De interne beheersingsmaatregelen ten aanzien van dit 7.9 proces zijn in grote lijnen op orde.
Gemeente IJsselstein
Managementletter 2024
6
Signalering Onderwerp
Bevindingen 2024
§ 2024
Projectadministratie
IJsselstein registreert haar projecten in een projectenmodule. Tekortkomingen in deze projectenmodule leiden ertoe dat verantwoorde baten en lasten in de projectadministratie niet juist en/of niet volledig worden verantwoord in de programmarekening. IJsselstein past dit proces aan om deze tekortkoming te 7.10 verhelpen. Deze aanpassing zal doorgevoerd worden in boekjaar 2025. Voor de jaarrekening 2024 is een juiste en volledige aansluiting van belang tussen de projectenadministratie en de programmarekening.
Grondexploitatie
Geen bijzonderheden te rapporteren in het kader van 7.11 het administratieve proces.
Parkeeropbrengsten
De interne beheersingsmaatregelen ten aanzien van dit n.v.t proces zijn in grote lijnen op orde.
2023
2. Inleiding Wij hebben conform uw opdracht, als onderdeel van de controle van de jaarrekening 2024, de interim-controle voor IJsselstein uitgevoerd. Deze controle is primair gericht op de analyse en evaluatie van de interne beheersingsomgeving en de daarin opgenomen maatregelen van interne controle. Deze controle heeft als doelstelling om de aandachtspunten voor de jaarrekening 2024 te signaleren en onder uw aandacht te brengen. Volledigheidshalve merken wij op dat onze analyse en evaluatie is uitgevoerd in het kader van de door u verstrekte opdracht tot controle van de jaarrekening. In deze managementletter rapporteren wij ook actiepunten voor de jaarrekening 2024. Het is noodzakelijk dat deze voor aanvang van de jaarrekeningcontrole 2024 zijn opgevolgd door IJsselstein. De samenwerking tussen IJsselstein en Verstegen is tijdens de interim-controle wederom goed en prettig verlopen. Onze managementletter 2024 hebben wij opgesteld naar de stand van 27 november.
3. IJsselstein in het perspectief van het sectorbeeld De gemeentesector ziet zich de laatste jaren geconfronteerd met financiële uitdagingen. Veel gemeenten rapporteren bezuinigingen die op enig moment – mogelijk in gewijzigde vorm – doorgevoerd (moeten) worden. Gemeenten ervaren een disbalans tussen het aandeel van financiering via specifieke uitkeringen en structurele gelden in het gemeentefonds. Gemeenten worden (fors) gekort op het budget uit het gemeentefonds.
Gemeente IJsselstein
Managementletter 2024
7
Op basis va de begroting 2025 verwacht IJsselstein dat vanaf 2026 het zogeheten ‘ravijnjaar’ van toepassing zal zijn. Wij hebben ons een beeld gevormd hoe IJsselstein hierop voorsorteert. Onze observatie is dat IJsselstein een gedegen proces uitvoert om de financiële houdbaarheid van IJsselstein te verbeteren.
4. Financieel beheer en risicomanagement 4.1.
Resultaatontwikkeling Wij hebben kennisgenomen van de begroting 2025 en de meerjarenraming 2026-2028. De begroting 2025 is vastgesteld door de gemeenteraad op 7 november 2024. Het financieel beeld hieruit is: begroot resultaat 2025: € 0,1 (negatief); begroot resultaat 2026: € 1,9 miljoen (negatief); begroot resultaat 2027: € 3,3 miljoen (negatief). De provincie voert repressief financieel (begrotings-)toezicht uit op IJsselstein. IJsselstein heeft naar aanleiding van de verwachte financiële tekorten een onderzoek naar de bezuinigingsmogelijkheden en mogelijkheden voor extra inkomsten uitgevoerd. Dit onderzoek raakt alle beleidsterreinen. Op basis hiervan heeft het college keuzes gemaakt en deze ter besluitvorming voorgelegd aan de raad. Deze voorstellen raken onder andere de volgende terreinen: Jeugd en Wmo; Sport en recreatie; Ambtelijke organisatie en overhead; Inkomsten uit leges; Wonen. Ook kiest het college ervoor rekening te houden met het scenario waarin de financiële impact van de herijking gefaseerd wordt opgevangen omdat de herijking naar verwachting ook gefaseerd wordt doorgevoerd. Naar verwachting zal de raad begin 2025 beslissen over de voorstellen en zullen deze als uitgangspunt voor het kadernotaproces worden gebruikt.
Hervormingsagenda Jeugd De Hervormingsagenda Jeugd is een plan van het Rijk en de gemeenten om de jeugdzorg te verbeteren en financieel houdbaar te maken. Wij hebben u in onze managementletter 2023 hier uitgebreid over geïnformeerd.
Gemeente IJsselstein
Managementletter 2024
8
Er zijn schattingen gemaakt van de verwachte kosten en baten van de Hervormingsagenda Jeugd voor verschillende jaren en scenario’s. Voor de gemeenten ligt er een stevige opgave om de Hervormingsagenda Jeugd daadwerkelijk te realiseren en de gewenste doelen te behalen. De begrote kortingen vanuit de hervormingsagenda zijn definitief geschrapt door het kabinet. De doelstelling van de hervormingsagenda om structureel 1 miljard te besparen op de jeugdzorg blijft nog van kracht. 4.2.
Managementinformatie en resultaatbeheersing IJsselstein heeft door middel van tussentijdse bestuursrapportage(s) inzicht verstrekt in de realisatie ten opzichte van de begroting. Wij hebben kennisgenomen van de Q3 rapportage 2024, die naar verwachting vastgesteld zal worden in de raadsvergadering van 12 december 2024. Samengevat komt de financiële rapportage Q3 2024 uit op een verwacht resultaat na mutaties in de reserves van € 1,2 miljoen voordelig over geheel 2024. Primair was voor 2024 een resultaat van € 0,1 miljoen positief geraamd, terwijl het bijgestelde resultaat op basis van de verzamelbegrotingswijziging 2024 € 1,1 miljoen negatief betrof. Het geprognosticeerde resultaat valt aan de batenkant hoger uit door de verkoop van een pand aan de Abbink Spainkstraat, voordelige uitkomsten voor de opvang van Oekraïners en de bijstelling van de septembercirculaire. Een afboeking van de boekwaarde van het Pand Abbink Spainkstraat, lasten voor Jeugdzorg, Werk en inkomen en Kunst en cultuur zorgen voor hogere lasten. Deze worden grotendeels gecompenseerd door lagere lasten Wmo en Wet inburgering en het vrijvallen van een aantal stelposten. De afwijkingen ten opzichte van de begroting zijn helder toegelicht en er is vermeld of de gerapporteerde afwijkingen een incidenteel dan wel structureel karakter kennen.
In de toelichting onder de financiële overzichten per programma worden de afwijkingen op taakvelden toegelicht. Eveneens is in de bijlage een gedetailleerd totaaloverzicht van alle voordelen en nadelen gepresenteerd. Het meerjarenoverzicht van de baten en lasten geeft inzicht in incidentele effecten en structurele saldi en reservemutaties. Belangrijke pijlers voor de resultaatbeheersing van IJsselstein zijn de begroting en de financiële informatievoorziening aan het management. Wij hebben op hoofdlijnen kennisgenomen van de opzet hiervan en merken daarbij het volgende op: De gemeenteraad heeft de wens uitgesproken om “smart” geformuleerde kritische prestatie indicatoren (KPI’s) te betrekken in de informatievoorziening. In de begroting 2024 en de tussentijdse rapportages wordt hier nog beperkt gebruik van gemaakt. In de begroting 2025 zien wij dat er een aantal KPI’s opgenomen is en dat dus deels vorm wordt gegeven aan deze informatiewens. Wellicht ten overvloede merken wij op dat wij de bestuursrapportage(s) hebben gebruikt om een indruk te krijgen van de financiële gang van zaken en de kwaliteit van de managementinformatie. Wij hebben de bestuursrapportage(s) niet gecontroleerd.
Gemeente IJsselstein
Managementletter 2024
9
4.3.
Risicobeheersings- en controlesysteem Overeenkomstig de voor ons geldende standaarden nemen wij kennis van het risicobeheersings- en controlesysteem zoals dat binnen IJsselstein operationeel is. Wij hebben in dat kader onderzocht of risico’s en beheersingsmaatregelen systematisch worden geëvalueerd door IJsselstein. Onze indruk is dat het risicobeheersings- en controlesysteem van IJsselstein in opzet voldoet. IJsselstein besteedt in de begroting en de jaarrekening aandacht aan risicomanagement in de paragraaf ‘Weerstandsvermogen en risicobeheersing’. In de begrotingen 2024 en 2025 en de jaarrekening (2023) wordt inzicht gegeven in de geïdentificeerde risico's. Hierbij zijn financiële risico's en kansen, evenals de benodigde weerstandscapaciteit, toegelicht en is benoemd welke (beheersings)maatregelen worden getroffen. Wij hebben de volgende observaties: De analyses worden veelal ingestoken op de kans van optreden en financiële impact voor risico’s met economische gevolgen. Gezien de maatschappelijke rol van gemeente IJsselstein is het ook aan te bevelen om de maatschappelijke risico’s te identificeren en verder uit te werken conform het kans maal impact model.
In de analyses wordt sinds de begroting 2025 onderscheid gemaakt tussen bruto risico’s (de kans en impact voor het treffen van interne beheersingsmaatregelen) en de netto risico’s (het resterend risico na het treffen van de interne beheersmaatregelen). Voor dit restrisico is het van belang om overeenstemming te bereiken met het governance orgaan (gemeenteraad) of de restrisico’s acceptabel zijn of middels beheersmaatregelen verder afgedekt moeten worden. Wij zien mogelijkheden voor de verdere (door)ontwikkeling van de processen rondom risicobeheersing. Advies blijft om een volgende stap te zetten in risicomanagement, bestaande uit het opzetten en implementeren van een structureel risicobeheersingssysteem. Aanvullend op het inventariseren en adresseren van de belangrijkste risico’s, kunnen deze risico’s hiermee ook adequaat onderbouwd en geëvalueerd worden. Het geeft IJsselstein de mogelijkheid om risico’s te volgen: heeft het risico zich voorgedaan, in welke vorm en in welke mate en was de inschatting juist. Wij benadrukken dat ons adviespunt niet het aanschaffen van een (geautomatiseerd) risicomanagementsysteem of andere applicaties of systemen inhoudt. Wij hebben wel begrepen dat er in 2024 in het kader de bedrijfsvoeringsrisico’s een dasboard ontwikkeld is waarin de belangrijkste operationele risico’s gemonitord worden. Dat is een positieve ontwikkeling.
Het evalueren van risico’s en beheersingsmaatregelen heeft voldoende de aandacht in de planning- en control cyclus van IJsselstein. Dit is voldoende zichtbaar en aantoonbaar in de begroting (o.a. paragraaf weerstandsvermogen en risicobeheersing), de tussentijdse rapportages (voorjaars- en najaarsnota) en de jaarstukken.
4.4.
Frauderisicobeheersing De gemeenteraad heeft de verantwoordelijkheid om toezicht te houden op de fraudebeheersing door het college. Dit gegeven maakt het voor het college noodzakelijk om een toereikende frauderisicoanalyse op te stellen en periodiek te actualiseren.
Gemeente IJsselstein
Managementletter 2024
10
IJsselstein heeft in 2023 een frauderisicoanalyse opgesteld en actualiseert deze jaarlijks. Hiermee beschikt IJsselstein over een uitgewerkte en formeel vastgestelde frauderisicoanalyse. Per proces en activiteit zijn onder meer de frauderisico’s geïnventariseerd, geanalyseerd (op kans en financiële impact) en zijn de getroffen interne beheersmaatregelen beschreven. Hiermee heeft IJsselstein een belangrijke basis gelegd voor fraudepreventie. De in de frauderisicoanalyse onderkende beheersmaatregelen maken onderdeel uit van de verbijzonderde interne controle. Hiermee wordt inzicht verkregen in de implementatie van deze beheersmaatregelen. Voor een beperkt aantal processen wordt ook getoetst op de werking van deze interne beheersingsmaatregelen. Een algemeen verbeterpunt is om naast de frauderisicoanalyse het overkoepelend misbruik en oneigenlijk gebruik beleid (M&O beleid) verder te ontwikkelen. Bijvoorbeeld ten aanzien van de Wet Inburgering. Voor de komende periode is verdere (door)ontwikkeling van de frauderisicoanalyse mogelijk bij IJsselstein, evenals een nadrukkelijkere verankering van de fraudepreventie in de verbijzonderde interne controle. Het is aan te bevelen de frauderisicoanalyse te implementeren in een structureel risicobeheersingssysteem, waarmee de belangrijkste frauderisico’s periodiek worden geïnventariseerd, geadresseerd en geëvalueerd.
Gelet op de controlerende en toezichthoudende rol van de gemeenteraad herhalen wij onze aanbeveling om de frauderisicoanalyse periodiek op te nemen op de agenda van de gemeenteraad. Onder meer in de vorm van functiescheidingen, interne beheersingsmaatregelen, interne en externe toetsingen op de naleving van regels en procedures treft IJsselstein maatregelen om het frauderisico zoveel mogelijk te beheersen. Tot slot hebben wij het volgende advies: De frauderisicoanalyses van gemeenten beperken zich vaak tot het aspect ‘gelegenheid’ van de fraudedriehoek en specifiek op het onderdeel hard controls. Om inzicht te krijgen in de ‘soft controls’ en ook in de onderdelen druk en rationalisatie van de fraudedriehoek is het van belang om ook de organisatiecultuur onderdeel van de analyse te maken. Hierin is de eerste stap gemaakt door te onderzoeken hoe de organisatie vanuit beleid zorgt voor een cultuur van openheid en integriteit. De volgende stap is om te onderzoeken in hoeverre dit leidt tot een cultuur waarin eventuele misstanden ook daadwerkelijk besproken kunnen worden.
4.5.
SiSa-regelingen In de afgelopen jaren is het aantal SiSa-regelingen fors toegenomen voor gemeenten en gemeenschappelijke regelingen. Voor IJsselstein waren dit in 2023 32 regelingen. Uit de invulwijzer over 2024 van het Rijk blijkt dat er landelijk gezien opnieuw meer nieuwe regelingen bij zijn gekomen, dan dat er regelingen zijn vervallen. Uit het concept verantwoordingsoverzicht SiSa 2024 blijkt dat IJsselstein tot nu toe 29 regelingen moet verantwoorden. Dat zijn 3 regelingen minder dan vorig jaar, bestaande uit nieuwe regelingen en vervallen regelingen. De verwachting is echter dat nog regelingen aan dit overzicht toegevoegd zullen worden.
Gemeente IJsselstein
Managementletter 2024
11
Het correct invullen van de voorgeschreven indicatoren voor deze regelingen én de juiste verantwoording van de doeluitkeringen in de jaarrekening is een tijdrovend en complex proces voor gemeenten en gemeenschappelijke regelingen. Het is van belang om tijdig te starten met de voorbereiding van uw (verbijzonderde) interne controles en vastleggingen en het verzamelen van brondocumentatie voor alle regelingen. Als onduidelijk is wat ingevuld moet worden en/of vastgelegd moet worden, adviseren wij u tijdig afstemming te zoeken met de Rijksoverheid en/of het controleteam van Verstegen.
5. Rechtmatigheidsverantwoording Met het aannemen van de Wet versterking decentrale rekenkamers is de rechtmatigheidsverantwoording een feit geworden. Vanaf boekjaar 2023 leggen het college van B&W van een gemeente en het dagelijks bestuur van een gemeenschappelijke regeling verantwoording af over rechtmatigheid door middel van de rechtmatigheidsverantwoording in de jaarrekening. De aanpassingen van het BBV en BADO zijn eind augustus 2024 voorgelegd aan de Raad van State. Voor het boekjaar 2024 zal de situatie gelijk zijn aan het boekjaar 2023, omdat de wijzigingen van BBV en BADO op zijn vroegst vanaf 2025 kunnen en zullen ingaan is aan u en ons gecommuniceerd. Het eerste jaar rechtmatigheidsverantwoording (2023) heeft diverse inzichten opgeleverd voor gemeenten en gemeenschappelijke regelingen in het algemeen en voor IJsselstein in het bijzonder. Voor IJsselstein was over 2023 sprake van een onrechtmatig oordeel bij de jaarrekening 2023. Dit werd veroorzaakt door overschrijdingen op de lasten van programma’s en inkopen die ten onrechte niet aanbesteed waren. Samenvattend zijn een aantal aspecten relevant voor de rechtmatigheidsverantwoording 2024: 1. Via uw financiële verordening is in het controleprotocol uitgewerkt wanneer hogere uitgaven of investeringen acceptabel zijn. 2.
In uw financiële verordening is uitgewerkt wanneer lagere uitgaven of afwijkingen op baten tijdig zijn. IJsselstein heeft begin 2024 via een afzonderlijk besluit alsnog nader invulling gegeven aan het begrip tijdigheid. 3. Het is verder goed om een evaluerend gesprek te voeren tussen ambtelijke organisatie, college en gemeenteraad over rechtmatigheid en de eerder gemaakte keuzes. Denk aan de definiëring van acceptabel en tijdig, verantwoordingsgrenzen en rapportagegrenzen, maar ook de huidige cyclus van tussentijdse rapportages. Voldoen de huidige set aan afspraken voor alle partijen of is aanpassing gewenst? 4. Evalueer het proces tussen ambtelijke organisatie, college en gemeenteraad. Is er voldoende dialoog tussen college en gemeenteraad over rechtmatigheid en is het onderwerp niet alleen een gespreksonderwerp tussen de financiële medewerkers en de accountant? Wij adviseren u om de rechtmatigheidsverantwoording op te nemen op de agenda van de gemeenteraad, zodat voor het vaststellen van de jaarrekening duidelijk is wat de standpunten zijn van college en gemeenteraad ten aanzien van begrotingsafwijkingen en onrechtmatigheden.
Gemeente IJsselstein
Managementletter 2024
12
5. Uw gemeente heeft in 2023 M&O fouten gerapporteerd. Indien misbruik of oneigenlijk gebruik van overheidsgeld is geconstateerd en een terugvordering is opgelegd moet dit misbruik of oneigenlijk gebruik niet worden opgenomen in de rechtmatigheidsverantwoording 2024. Wel dient via de paragraaf bedrijfsvoering inzicht te worden gegeven in de aard en (financiële) impact van het bij de gemeente geconstateerde misbruik. Als voorbeeld geven wij fraudevorderingen van bijstandsuitkeringen. Wij adviseren u hier in 2024 scherp op toe te zien en waar nodig M&O bevindingen op te nemen in de rechtmatigheidsverantwoording 2024 (niet gecorrigeerd misbruik), danwel in de paragraaf bedrijfsvoering (gecorrigeerd misbruik). 6. Evalueer het proces van totstandkoming van de rechtmatigheidsverantwoording. Heeft het college voldoende grondslag gehad en voldoende kennis en ervaring om zelfstandig te komen tot de rechtmatigheidsverantwoording en een rechtmatigheidsoordeel?
6. IT-beheersingsmaatregelen 6.1.
Algemeen Bij het opzetten van onze controleaanpak van de IT-beheersingsmaatregelen richten wij ons op de applicaties die relevant zijn voor het (financiële) verslaggevingsproces van IJsselstein. Als eerste onderzoeken wij daarbij de relevantie en het risicoprofiel van deze applicaties. Daarbij besteden wij aandacht aan onder meer: het belang van de continue beschikbaarheid van de applicatie en de daarmee gegenereerde gegevensbestanden; de aard en complexiteit van de applicatie en gegevensverwerking; de mate waarin IJsselstein in de bedrijfsvoering en wij bij onze accountantscontrole steunen op het goed functioneren (werking) en de output van de applicatie. Vanuit ons onderzoek blijkt dat de volgende applicaties in het bijzonder relevant zijn voor IJsselstein, waarbij tevens is aangegeven of wij een verhoogd risicoprofiel onderkennen: Key2financiën als applicatie voor de financiële administratie. Youforce/Gemal als applicatie voor de salarisadministratie en uitbetaling. Het zaaksysteem Djuma als applicatie voor het registreren en bewaren van documentatie. Voor deze applicaties met een verhoogd risicoprofiel hebben wij kennisgenomen van de algemene IT-beheersingsmaatregelen en de applicatie-specifieke beheersingsmaatregelen. Daarbij richten wij ons met name op de kwaliteit van de toegangsbeveiliging en het leveranciersmanagement rond IT-systemen en applicaties.
Gemeente IJsselstein
Managementletter 2024
13
De volgende observaties vormen naar onze mening aanleiding om de IT-beheersingsmaatregelen aan te scherpen: Wij hebben vastgesteld dat het gebruik van Multi-factor authentication (MFA) volledig afgedwongen is binnen de gemeente IJsselstein. Wij hebben vernomen dat de ICT samenwerking Gouwe-IJssel geen periodieke leveranciersbeoordeling uitvoert. Hierdoor is IJsselstein zelfstandig verantwoordelijk voor monitoring van haar leveranciers. Wij hebben geen inzicht verkregen of certificering of periodieke controle op beveiliging van gegevensverwerking door de leveranciers van applicaties plaats heeft gevonden. Hierbij merken wij op dat een aandachtspunt is dat nog niet voor alle belangrijke applicaties een ‘SLA’ is afgesproken die voldoet aan de BIO-vereisten. Wij hebben voor 2024 nog niet vast kunnen stellen of de toegangsbeveiliging van de kernapplicaties met verhoogd risicoprofiel goed ingericht en afgedekt wordt. Uit het BIO-audit rapport 2023 opgesteld door Duijnborgh Audit blijkt dat de toegangsbeveiliging voldoet maar dat het toegangsbeheer een aandachtspunt is en verbeterd dient te worden. Wij hebben nog niet vast kunnen stellen dat de back-up en recovery in 2024 is uitgevoerd voor de belangrijkste data en applicaties van de gemeente IJsselstein. De IT-auditor van de ICT-samenwerking Gouwe-IJssel toetst normaliter jaarlijks of de back-up procedure voldoet en getest wordt.
Het actief hierop sturen vanuit de ICT samenwerking Gouwe-IJssel blijkt ook uit het uitwijkrapport d.d. 15 december 2023.
6.2.
Informatiebeveiliging Omdat onze controle van de IT-beheersingsmaatregelen van IJsselstein een beperkte reikwijdte heeft – voortvloeiend uit onze controleopdracht voor de jaarrekening – benadrukken wij dat er sprake kan zijn van specifieke continuïteits- en beveiligingsrisico’s die niet door ons zijn of worden ontdekt. Deze risico’s manifesteren zich over het algemeen vooral als sprake is van datalekken en/of cybercriminaliteit. Het is daarom van belang dat IJsselstein zelf ‘in control’ is als het gaat om informatiebeveiliging. Het implementeren van de kwaliteitsnorm NEN-7510/ISO27001 Informatiebeveiliging en het uitvoeren van periodieke IT-scans door gespecialiseerde bureaus, biedt hiervoor houvast. Verder is de Baseline informatiebeveiliging Overheid (BIO) het basisnormenkader voor informatiebeveiliging binnen alle overheidslagen (Rijk, gemeenten, provincies en waterschappen). De BIO is verplicht per 1 januari 2023. IJsselstein moet vooraf bepalen of de informatie in de processen adequaat beveiligd zijn. Hierbij moet gericht worden op de aspecten integriteit, vertrouwelijkheid & beschikbaarheid. Dit heeft de aandacht en het is momenteel bij de organisatie in uitvoering.
Gemeente IJsselstein
Managementletter 2024
14
6.3.
NIS2-Richtlijn De NIS2-richtlijn (Network and Information Security Directive) is eind 2022 vastgesteld door de Europese Unie en richt zich op het versterken van de digitale en economische weerbaarheid van de lidstaten. In Nederland wordt deze richtlijn omgezet in de nieuwe Cyberbeveiligingswet, die de huidige Wet beveiliging netwerk- en informatiesystemen (Wbni) zal vervangen. Op 17 oktober 2024 is de Europese NIS2-richtlijn in werking getreden. Vanuit Nederland zal aan deze richtlijn invulling worden gegeven middels de Cyberbeveiligingswet (Cbw). De implementatiedeadline van 17 oktober om de NIS2-richtlijn te vertalen naar nationale wetgeving is vanuit de Rijksoverheid niet gehaald. De publieke consultatie van de Cbw is afgerond en de Cbw zal naar verwachting in het derde kwartaal 2025 in werking treden. Gemeenten vallen onder de NIS2-richtlijn en moeten dan ook voldoen aan de in de NIS2-richtlijn opgenomen verplichtingen: Een zorgplicht – De richtlijn bevat een zorgplicht die entiteiten verplicht om zelf een risicobeoordeling te doen. Op basis daarvan nemen zij passende maatregelen om hun diensten zoveel mogelijk te waarborgen en de gebruikte informatie te beschermen. Een meldplicht – De richtlijn schrijft voor dat entiteiten incidenten binnen 24 uur bij de toezichthouder moeten melden.
Het gaat om incidenten die de verlening van de essentiële dienst sterk (kunnen) verstoren. Een cyberincident moet ook bij het Computer Security Incident Response Team (CSIRT) gemeld worden. Dit team kan vervolgens hulp en bijstand leveren. Factoren die een incident meldingswaardig maken, zijn bijvoorbeeld het aantal personen dat door de verstoring is geraakt, de tijdsduur van een verstoring en de mogelijke financiële verliezen. Toezicht – Organisaties die onder de richtlijn vallen, komen ook onder toezicht te staan. De NIS2-richtlijn schrijft voor dat een onafhankelijk toezichthouder naar de naleving van de verplichtingen uit de richtlijn kijkt; zoals de zorg- en meldplicht. Wij adviseren om de ontwikkelingen ten aanzien van de implementatie van de NIS2richtlijn te volgen en zo snel mogelijk te betrekken in het informatiebeveiligingsbeleid.
6.4.
Uitbesteding IT bij derde partij IJsselstein heeft een aantal kernapplicaties als SaaS betrokken van de leverancier, waaronder Youforce en Djuma. De IT-omgeving van IJsselstein kent hierdoor een hoge mate van afhankelijkheid van externe IT-partners. Een deel van de financiële applicaties binnen IJsselstein wordt beheerd door externen. Om te kunnen constateren dat externe dienstverleners voldoen aan de wettelijke veiligheidsnormen, dient IJsselstein actief kennis te nemen van de ISAE 3402 rapportages en verklaring die de externe dienstverleners moeten laten opstellen. Om ‘in control’ te blijven is ‘slechts’ het hebben van een overeenkomst, al dan niet in de vorm van een Service Level Agreement (SLA), onvoldoende. Het is daarom van belang dat IJsselstein per IT-partner de minimaal te treffen maatregelen in zogeheten KPI’s vertaalt en integreert in de op te stellen, dan wel aan te passen overeenkomsten (al dan niet in de vorm van een SLA).
Gemeente IJsselstein
Managementletter 2024
15
Verder is het aan te bevelen om per IT-partner de wijze van verantwoording te inventariseren welke zij af kunnen leggen over de kwaliteit van de dienstverlening (denk hierbij naast SLA’s en ISO-certificeringen, ook aan assurance-rapportages in de vorm van ISAE 3402 en/of SOC (1/2/3)). Wij adviseren IJsselstein daarom om structureel kennis te nemen van deze rapportages en op basis daarvan een doorvertaling te maken naar eventuele interne beheersingsmaatregelen die IJsselstein zelf moet nemen.
7. Administratieve processen 7.1.
Algemeen Uit hoofde van onze controleopdracht voor de jaarrekening hebben wij – in samenhang met onze risicoanalyse – de interne beheersingsmaatregelen binnen de administratieve (financiële) processen geëvalueerd. Onze bevindingen komen in de hiernavolgende paragrafen aan de orde. Met betrekking tot de administratieve processen zijn door ons geen tekortkomingen of bijzondere aandachtspunten geconstateerd. Onze bevindingen komen in de hiernavolgende paragrafen aan de orde voor elk van de belangrijke administratieve processen binnen IJsselstein.
7.2.
Verbijzonderde interne controle IJsselstein verricht verbijzonderde interne controle (hierna: VIC) voor de belangrijkste financiële processen. Deze VIC is voor uw organisatie van belang omdat het inzicht geeft in de kwaliteit van de belangrijkste processen en de naleving van de rechtmatigheidseisen waaraan IJsselstein moet voldoen, voorafgaand aan onze controle. In het kader van de controle van de jaarrekening hebben wij de interne beheersing van processen gecontroleerd die van materieel belang zijn voor de jaarrekening van IJsselstein. Hieronder is opgenomen welke processen wij hebben getoetst tijdens onze interim-controle. Inkopen en aanbestedingen Betalingen Personeels- en salarisadministratie Grondexploitatie Investeringen Omgevingsvergunningen Huren en pachten Subsidieverstrekkingen Subsidiebaten Lasten in verband met de opvang van Oekraïners Overige opbrengsten Beschikkingen Sociaal domein Mutaties voorzieningen
Gemeente IJsselstein
Managementletter 2024
16
De overige financiële processen worden niet tussentijds gecontroleerd maar na het afsluiten voor het boekjaar voor het gehele jaar. Op basis van het vastgestelde interne controleplan verricht uw kwaliteitsmedewerker AO/IC verbijzonderde interne controles. De VIC-werkzaamheden worden door IJsselstein op basis van een gedegen risicoanalyse, interne beheersingsmaatregelen in het proces en duidelijke werkprogramma’s uitgevoerd. De bevindingen en aanbevelingen die voortkomen uit de verbijzonderde interne controles worden gerapporteerd in afzonderlijke auditrapportages per proces. Deze auditrapportages worden besproken met de proceseigenaren, de betrokken medewerkers en de concerncontroller. De VIC-werkzaamheden zijn in overleg met ons controleteam voorbereid door IJsselstein. Wij hebben in lijn met eerdere jaren afspraken gemaakt over de reikwijdte van de verbijzonderde interne controles, de omvang en selecties van posten en de werkprogramma’s. De kwaliteit van de uitgevoerde VIC voldoet, wij kunnen van deze werkzaamheden goed gebruik maken bij onze externe controle. Een kanttekening is dat IJsselstein een aantal VIC’s over 2024 op een later moment zal afronden en daarna aan ons zal voorleggen voor onze externe controle.
Dit betreffen de volgende processen: Gemeentelijke belastingen Gemeentelijke bijdragen Rentelasten Subsidiebaten PGB’s Parkeeropbrengsten Memoriaalboekingen De VIC is voor uw organisatie van belang, omdat de VIC inzicht geeft in de kwaliteit van de belangrijkste processen en de naleving van de rechtmatigheidseisen waaraan IJsselstein moet voldoen. Uitvoering VIC en aanbevelingen Zoals hierboven opgemerkt heeft de VIC een aantal processen nog niet uitgevoerd en afgerond. Dit betekent dat wij de VIC op deze processen tijdens onze interim-controle niet hebben kunnen beoordelen. Dit is tijdig besproken en conform afspraak. Tijdens de jaarrekeningcontrole toetsen wij de uitkomsten van deze VIC processen. Onze focus tijdens onze interim-controle ligt vooral op de vraag of de gemeente: alle processen en posten in beeld heeft die kunnen leiden tot een materiële afwijking in de jaarrekening van de gemeente (scoping); per proces en per post alle relevante risico’s heeft benoemd die kunnen leiden tot een materiële afwijking in de jaarrekening van de gemeente; voor alle onderkende relevante risico’s een maatregel van interne beheersing benoemt ter afdekking van deze risico’s;
Gemeente IJsselstein
Managementletter 2024
17
werkprogramma’s opstelt voor de interne controle per proces en per post die van voldoende kwaliteit is om materiële afwijkingen in de jaarrekening te kunnen signaleren; de VIC per proces en per post zichtbaar uitvoert in aansluiting met het werkprogramma; de verbijzonderde interne controle toereikend vastlegt en documenteert (achteraf toetsbaar en “reperformbaar”); naar aanleiding van de VIC de juiste, relevante en volledige bevindingen en afwijkingen opmerkt en adequaat documenteert; op basis van de geconstateerde bevindingen en afwijkingen de juiste conclusies trekt; evalueert wat het effect is van de bevindingen en de afwijkingen, evalueert of voldoende werkzaamheden zijn uitgevoerd door de gemeente en evalueert welke aanvullende werkzaamheden voorafgaand aan het opstellen van de jaarrekening nodig zijn door de gemeente. Wij volstaan met het rapporteren op hoofdlijnen van de belangrijkste bevindingen en/of aandachtspunten over de uitvoering van de VIC-processen over 2024: IJsselstein heeft alle processen en posten die kunnen leiden tot een materiële afwijking in de jaarrekening van de gemeente (scoping) in beeld gebracht. Er is een (zichtbare) risicoanalyse uitgevoerd en relevante risico’s worden onderkend. In de uitvoering van de VIC wordt hierop gecontroleerd.
Er heeft een zichtbare koppeling plaatsgevonden tussen de geïdentificeerde risico’s en de interne beheersingsmaatregelen die getroffen zijn om deze risico’s af te dekken. IJsselstein heeft de belangrijkste frauderisico’s beschreven. Deze risico’s zijn vertaald naar de VIC. Het is van belang dat de VIC bij de geconstateerde afwijkingen bij het toetsen van de processen onderzoekt in hoeverre dit gevolgen heeft voor de frauderisico-inschattingen en of de afwijkingen het gevolg kunnen zijn van bewuste doorbreking van de interne beheersing. De VIC voert de werkzaamheden uit in een gestandaardiseerd werkprogramma en rapporteert per kwartaal over de resultaten van de VIC werkzaamheden per proces met detailbevindingen, conclusies en verbetervoorstellen en afstemming daarvan met de proceseigenaren (hoor & wederhoor). Samenvattend constateren wij dat de gemeente IJsselstein beschikt over een in opzet goede en volledige VIC. Wij verwachten hierdoor ook over de resterende maanden van 2024 goed gebruik te kunnen maken van de voorbereide werkzaamheden door uw kwaliteitsmedewerker AO/IC. Wel signaleren wij dat de VIC doorontwikkeld kan worden op het aspect fraude. 2024 betreft het tweede jaar dat het aspect ‘fraude’ een onderdeel uitmaakt van de VIC. Eerder rapporteerden wij dat de VIC in onafhankelijkheid wordt uitgevoerd, door één kwaliteitsmedewerker AO/IC.
Naast onze positieve bevindingen bij de VIC, signaleren wij dat gemeente IJsselstein hierdoor potentieel kwetsbaar is.
Gemeente IJsselstein
Managementletter 2024
18
7.3.
Personeels- en salarisadministratie RVU-regeling In uw cao is een zogenaamde RVU-regeling opgenomen, de Regeling voor Vervroegde Uittreding. Onder strikte voorwaarden kunnen medewerkers aanspraak maken op deze regeling en maximaal twee jaar eerder stoppen met werken. Indien aan de voorwaarden van de RVU-regeling wordt voldaan, heeft de werknemer recht op een maandelijkse uitkering gelijk aan de fiscale drempelvrijstelling voor RVU. Tussen de werknemer en werkgever kunnen (aanvullend) individuele afspraken worden gemaakt. Graag vragen wij uw aandacht voor de financiële en administratieve verwerking indien aanspraak wordt gemaakt op de RVU-regeling. In dit geval dient IJsselstein een voorziening te vormen op de balans voor de resterende verplichtingen richting de medewerker(s). Deze voorziening is noodzakelijk omdat de gemeente nog wel verplichtingen heeft richting de medewerker, maar de medewerker wordt vrijgesteld van werk. Verder vragen wij uw aandacht voor de toetsing op de voorwaarden voor de RVUdrempelvrijstelling. Zolang aan de voorwaarden wordt voldaan, is de gemeente geen RVUheffing verschuldigd. Indien IJsselstein niet aan de voorwaarden voldoet, dient er een eindheffing te worden betaald. Uit navraag verwacht de gemeente dat er in 2024 gebruikt wordt gemaakt van de RVU-regeling.
7.4.
Proces inkopen en betalingen Met betrekking tot het inkoopproces hebben wij een steekproef uitgevoerd op de inkoopfacturen. Op basis hiervan is een aantal verbeterpunten te melden. Het gaat daarbij om het volgende: De verplichtingenadministratie die medio 2023 is ingevoerd wordt nog niet altijd consistent gebruikt door IJsselstein. Bij circa een derde van de inkopen 2024 die getoetst zijn door de verbijzonderde interne controle stelt IJsselstein vast dat er geen inkoopstrategie opgesteld is voorafgaand aan de gunning. Hierdoor bestaat het risico dat een onjuiste inkoopprocedure wordt toegepast. Dossiervorming voor de inkopen is een aandachtpunt. In de inkoopdossiers van de steekproefposten geldt dat documenten die volgens de interne afspraken aanwezig zouden moeten zijn er niet zijn. Hierbij komt het ontbreken van een prestatieverklaring het meeste voor als ontbrekend document. Wij adviseren IJsselstein om de naleving van de interne inkoopafspraken onder de aandacht te brengen en strakker te toetsen.
7.5.
Aanbestedingsrechtmatigheid Door middel van een spendanalyse op de crediteuren toetst IJsselstein of opdrachten met een opdrachtwaarde boven de EU-aanbestedingsgrens conform de EU-aanbestedingsregels worden aanbesteed. Daarnaast hanteert IJsselstein een inkoopkalender, waarmee tijdig en actief door inkoopadviseurs geacteerd kan worden bij een mogelijk toekomstig aanbestedingsvraagstuk.
Gemeente IJsselstein
Managementletter 2024
19
De VIC heeft met de tussentijdse spendanalyse tot en met juni 2024 één financiële onrechtmatigheid geconstateerd en twee inkopen die nog nader uitgezocht moeten worden. Wij vragen u de spendanalyse bij te werken met de volledige crediteurenadministratie tot en met 2024 en uw conclusies en rechtmatigheidsoordeel op crediteurenniveau hieraan toe te voegen. Wij hebben afgesproken dat wij tijdens de jaarrekeningcontrole 2024 per aanbesteding zullen toetsen of wij ons kunnen vinden in de conclusies die IJsselstein per crediteur heeft onderbouwd en getrokken. Voor de beheersing van contracten en aanbestedingen adviseren wij om een contractenregister toe te passen. Een contractenregister biedt uitkomst om een volledig overzicht van lopende contracten, vervaldata, contractwaardes en de uitputting ervan inzichtelijk te maken en te bewaken.
7.6.
Omgevingsvergunningen Het verstrekken van omgevingsvergunningen en het opstellen van bijbehorende legesbrieven heeft IJsselstein uitbesteed aan de Gemeenschappelijke Regeling Omgevingsdienst Regio Utrecht (OdrU). In eerdere managementletters hebben wij gerapporteerd dat geen nadere verantwoordings- en rapporteringsafspraken zijn gemaakt tussen OdrU en IJsselstein omtrent de door OdrU verstrekte omgevingsvergunningen en dat uw gemeente geen interne beheersmaatregelen heeft getroffen om de juistheid en volledigheid van de leges uit omgevingsvergunningen volledig zelf vast te kunnen stellen en te waarborgen. In eerdere jaren hebben er fouten plaatsgevonden bij de toepassing van tarieven door OdrU. IJsselstein controleert om deze reden zelfstandig nog de juistheid van de opgelegde leges en verricht aanvullende werkzaamheden om de getrouwheid en rechtmatigheid van de baten te kunnen waarborgen. Interne beheersingsmaatregelen met betrekking tot het vaststellen van de volledigheid van de afgehandelde aanvragen moet plaatsvinden bij OdrU. Wij hebben vernomen dat de OdrU het proces omtrent de interne controle op omgevingsvergunningen wil verbeteren. Dit blijkt ook uit correspondentie tussen OdrU en IJsselstein.
Het is van belang dat bij de uitvoer van deze in te stellen (verbijzonderde) interne controle de eventuele tekortkomingen in de interne beheersing in kaart gebracht worden en middels gegevensgerichte werkzaamheden gecompenseerd worden, zodat OdrU vast kan stellen dat de omgevingsvergunningen juist en volledig afgehandeld zijn voor IJsselstein.
7.7.
Sociaal Domein Jeugdwet en WMO De uitgaven Jeugdzorg en Wmo vormen sinds de decentralisatie van het Rijk naar de gemeenten een substantieel deel van de gemeentelijke uitgaven. De (verbijzonderde) interne en externe controle op deze uitgaven wordt bemoeilijkt, omdat de prestatielevering niet aan de gemeente zelf plaatsvindt, maar aan de burgers die recht op zorg hebben.
Gemeente IJsselstein
Managementletter 2024
20
De contractering van Jeugdzorg en Wmo aanbieders en de administratieve verwerking van zorgdeclaraties is door gemeente IJsselstein gemandateerd aan de Regionale Backoffice Lekstroom (RBL), onderdeel van de gemeente Houten. Via deze systematiek blijft de gemeente IJsselstein eindverantwoordelijk voor de getrouwheid en rechtmatigheid van de bestedingen in het kader van de Jeugdwet en Wmo, hierbij werken fouten of onzekerheden door naar de gemeente IJsselstein. Daarnaast is het van belang dat het resultaat van de uitbestede taken getrouw opgenomen wordt in de jaarrekening van IJsselstein. Om deze reden is het van belang dat het definitieve jaarrekeningresultaat en de controleverklaring bij de financiële verantwoording tijdig bekend wordt, zodat dit verwerkt kan worden in de jaarrekening van de gemeente IJsselstein. De RBL is niet verantwoordelijk voor het vaststellen van het recht op zorg. Het toeleidingsproces en de (verbijzonderde) interne controle hierop vindt derhalve nog plaats bij IJsselstein. Participatiewet IJsselstein maakt gebruik van de GR Werk en Inkomen Lekstroom (WIL) voor de uitvoering van de (SiSa-)regelingen vanuit de Participatiewet, Wet BUIG, Participatiedeel Integratieuitkering Sociaal Domein, ToZo en BBZ 2004.
Wij hebben afspraken gemaakt met de accountant van GR WIL ten aanzien van de volgende onderdelen: te toetsen of de baten en lasten in het verslagjaar met betrekking tot bovenstaande regelingen juist en volledig zijn en of de bestedingen en ontvangsten rechtmatig zijn conform het normenkader van IJsselstein; de opgave van de SiSa-regelingen te controleren en de uitkomsten van deze controle aan IJsselstein en Verstegen te rapporteren; een controleverklaring af te geven over de SiSa-verantwoording bij de bovengenoemde regelingen, als ook de totale baten en lasten die in de administratie van IJsselstein verantwoord dienen te worden.
7.8.
Normen- en toetsingskader Het normenkader rechtmatigheid voor 2024 is door het college op 29 oktober 2024 vastgesteld en zal op 12 december 2024 behandeld worden door de gemeenteraad. Het normenkader van IJsselstein bevat de interne wet- en regelgeving die relevant zijn voor de financiële rechtmatigheidscontrole. De externe wet- en regelgeving is altijd van toepassing waardoor IJsselstein ervoor gekozen heeft deze niet apart op te nemen. Een toetsingskader is een relevant document voor de interne beheersing op rechtmatigheid door IJsselstein. Een toetsingskader bevat alle relevante artikelen/bepalingen uit de (interne en externe) wet- en regelgeving van het normenkader die betrekking hebben op financiële beheershandelingen en die, bij niet-naleving, kunnen leiden tot een materiële financiële rechtmatigheidsfout of rechtmatigheidsonduidelijkheid. Met een adequaat toetsingskader maakt IJsselstein inzichtelijk aan welke voorwaarden wordt getoetst en kan IJsselstein zichtbaar maken dat wordt voldaan aan de bepalingen met mogelijke financiële consequenties uit de relevante interne en externe wet- en regelgeving.
Gemeente IJsselstein
Managementletter 2024
21
Dit toetsingskader maakt onderdeel uit van het interne controleplan voor de verbijzonderde interne controle. Hiermee is IJsselstein in het kader van rechtmatigheid in staat om zichtbaar vast te stellen dat de gemeente aan alle relevante (financiële) bepalingen van de externe wet- en regelgeving uit het normenkader voldoet, inclusief nieuwe wet- en regelgeving.
7.9.
Memoriaalboekingen Binnen het proces van het administratief verwerken van memoriaalboekingen in de financiële administratie bestaat functiescheiding tussen het opstellen, het controleren en het verwerken van memoriaalboekingen. Het goedkeuren van de definitieve doorboeking van memoriaalboekingen gebeurt door de financieel consulent. Wij hebben vastgesteld dat een definitieve memoriaalboeking niet altijd zichtbaar gecontroleerd wordt door de budgethouder indien een aanvraag voor een memoriaalboeking van de budgetbeheerder afkomstig is. Wij adviseren IJsselstein om voor de autorisatie van correcties via memoriaalboekingen dezelfde grenzen te hanteren die in de budgethoudersregeling van IJsselstein voor verplichtingen genoemd worden. Dat zijn:
Wij hebben begrepen dat het toepassen en het geautomatiseerd afdwingen van deze grenzen en de toets op naleving daarvan gepland staat voor 2025.
7.10.
Projectadministratie IJsselstein maakt sinds 2023 gebruik van een projectadministratie om de uitvoering van meerjarige projecten administratief te kunnen registreren en bewaken. Over deze projecten legt IJsselstein verantwoording af in de jaarstukken via de paragraaf projecten (jaarverslag). De keerzijde van het administratief scheiden van de projecten in de financiële administratie van de projectadministratie is dat dit leidt tot complexe (handmatige) overboekingen vanuit de staat van baten en lasten naar de projectadministratie en andersom. Dit heeft in het jaarrekeningtraject 2023 tot omvangrijke correcties geleid in aantallen en in Euro’s.
Gemeente IJsselstein
Managementletter 2024
22
Het is van belang dat IJsselstein per jaareinde vaststelt dat de baten en lasten in de projectadministratie nauwkeurig en volledig verantwoord worden in de programmarekening. Voor boekjaar 2025 heeft de gemeente een nieuwe werkwijze en procesinrichting voorgesteld op basis waarvan deze handmatige overboekingen niet meer noodzakelijk zullen zijn. Omdat dit voor boekjaar 2024 niet meer geïmplementeerd kan worden volgens IJsselstein, stelt IJsselstein ter voorbereiding op de jaarrekeningcontrole 2024 een totaalopstelling op van de gerealiseerde projectboekingen. Hiermee stelt IJsselstein vast dat de werkelijke baten en lasten die gemoeid zijn met de projectadministratie nauwkeurig en volledig verwerkt zijn in de programmarekening.
7.11.
Grondexploitaties IJsselstein kent in 2024 nog één actieve grondexploitatie, te weten Europakwartier-Oost. Het project Binnenstad is formeel afgesloten in de raadsvergadering van 11 juli 2024. De waardering van deze projecten in de jaarrekening is gebaseerd op het Meerjarenperspectief Gebiedsontwikkeling (MPG). De grondexploitatieberekeningen worden jaarlijks geactualiseerd. Actualisatie vindt plaats voorafgaand aan het opstellen van de jaarrekening 2024. Op basis van nog op te stellen actualisaties toetsen IJsselstein en wij een juiste (actuele en reële) waardering van de grondexploitaties en dus het onderhandenwerk per ultimo 2024 van IJsselstein. Wij toetsen ook de uitgangspunten en de onderbouwing van de ramingen. Dit om een oordeel te geven over het proces bij IJsselstein van totstandkoming van een kwalitatieve en betrouwbare grondexploitatieberekening en de uitgangspunten en onderbouwingen die IJsselstein toepast. Deze zijn gebaseerd op gedegen onderzoek door en namens IJsselstein. Over de uitkomsten van onze werkzaamheden rapporteren wij in ons accountantsverslag bij de jaarrekening 2024.
8. Naleving wet- en regelgeving, informatieplicht duurzaamheid 8.1.
Informatieplicht energiebesparing De informatieplicht energiebesparing is gekoppeld aan de energiebesparingsplicht uit het Activiteitenbesluit milieubeheer, het Besluit activiteiten leefomgeving (Bal) en het Besluit bouwwerken leefomgeving (Bbl). De energiebesparingsplicht geldt voor alle ‘drijvers’ die op een locatie meer dan 25.000 m3 gas verbruiken of meer dan 50.000 kWh energie. Op de website van de Rijksdienst voor Ondernemend Nederland (RVO) is hierover nadere informatie te vinden. Heeft u een energiebesparingsplicht, dan moet u hierover ook eens in de vier jaar rapporteren aan het voor uw organisatie bevoegde gezag, zoals gemeente (regulier) of provincie (locaties met een specifieke milieubelastende activiteit). Dit is de informatieplicht. Toezicht en handhaving op de energiebesparingsplicht, en de daarbij behorende informatie- en onderzoekplicht, is opgenomen in het basistakenpakket van de omgevingsdiensten. Dit houdt in dat de gemeenten verplicht het mandaat voor toezicht en handhaving aan hun omgevingsdienst moeten geven. De omgevingsdiensten doen daarom voor vrijwel alle locaties de uitvoering van deze taken.
Gemeente IJsselstein
Managementletter 2024
23
Algemene informatie is te vinden op Informatieplicht energiebesparing vanaf 2023 (rvo.nl). Om verder inzicht te krijgen in de voor een organisatie geldende vereisten is de volgende link handig: Stappenplan Energiebesparing Rapportageplicht. | RVO.nl. Wij adviseren om de informatieplicht van IJsselstein te onderzoeken en daaraan passende opvolging te geven. Wij hebben vernomen dat aan de informatieplicht voor boekjaar 2023 voldaan is.
8.2.
Rapportageverplichting werkgebonden personenmobiliteit Vanaf 1 juli 2024 moeten werkgevers met 100 of meer werknemers – op grond van het Besluit CO2-reductie werkgebonden personenmobiliteit – jaarlijks gegevens bijhouden over de mobiliteit van hun werknemers. Het gaat daarbij om woon-werk en zakelijke mobiliteit. Werkgevers moeten vervolgens voor 30 juni van het opvolgende jaar (voor het eerst dus voor 30 juni 2025) deze gegevens aanleveren op een digitaal formulier. Het gaat om jaartotalen van gereisde kilometers per vervoermiddel en per brandstofsoort. Het vorenstaande impliceert dat reeds vanaf 1 januari 2024 een aanzienlijke gegevensverzameling moet gaan plaatsvinden1. Voor meer informatie en handreikingen hieromtrent verwijzen wij naar de websites van de Rijksdienst voor Ondernemend Nederland (RVO) en www.co2reductiemobiliteit.nl.