4.1 Managementletter 2023
Tekst van het document
Managementletter 2023 22 januari 2024
Aan het college van burgemeester en wethouders van de gemeente IJsselstein Postbus 26 3400 AA IJSSELSTEIN
Dordrecht, 22 januari 2024 Ref.: 2340/ED/AH
Geacht college,
Ter voorbereiding op de controle van de jaarrekening 2023 van gemeente IJsselstein hebben wij een tussentijdse controle uitgevoerd. Deze tussentijdse controle richt zich hoofdzakelijk op het inventariseren en analyseren van risico’s van afwijkingen van materieel belang in de jaarrekening. Deze risicoanalyse vormt de basis voor de controlewerkzaamheden die wij in het voorjaar 2024 zullen uitvoeren op de jaarrekening 2023. In deze managementletter rapporteren wij de bevindingen van onze werkzaamheden en andere aandachtspunten, voornamelijk op het gebied van uw administratieve organisatie en interne beheersing, deels ook in de context van actuele ontwikkelingen bij de gemeente. De belangrijkste risico’s en aandachtspunten zijn samengevat in hoofdstuk 1 van de managementletter. In deze samenvatting zijn ook de verwijzingen opgenomen naar de paragrafen waarin de betreffende bevindingen en aanbevelingen verder zijn uitgewerkt. Deze managementletter is uitsluitend bedoeld om u te informeren over onze controlebevindingen en aanbevelingen. Wij vragen u om deze managementletter ook te delen met de Auditcommissie, voorzien van een bestuurlijke reflectie. Onze belangrijkste bevindingen hebben wij op 15 december 2023 voorgelegd en vervolgens op 9 januari 2024 besproken met uw organisatie en op 17 januari nader toegelicht aan uw MT.
Onze managementletter lichten wij nader toe aan de Auditcommissie op 15 februari 2024. Externe toezichthoudende instanties kunnen u vragen om een afschrift van onze rapportages. Wij benadrukken dat wij niet aansprakelijk zijn voor eventuele gevolgen van externe verspreiding. Uiteraard zijn wij graag bereid tot een nadere toelichting en afstemming over onze aanbevelingen. Met vriendelijke groet,
W.P. de Vries RA
INHOUDSOPGAVE 1.
Gemeente IJsselstein in beeld ..................................................................................................... 4
2.
Gemeente IJsselstein in het perspectief van het sectorbeeld ....................................................... 9 2.1. Ontwikkeling gemeentefonds en meerjarenbegroting ..................................................................... 9 2.2. Hervormingsagenda Jeugd............................................................................................................... 10
3.
Financieel beheer en risicomanagement ................................................................................... 11 3.1. Resultaatontwikkeling...................................................................................................................... 11 3.2. Managementinformatie en resultaatbeheersing ............................................................................ 12 3.3. Risicobeheersings- en controlesysteem .......................................................................................... 12 3.4. Frauderisicobeheersing en M&O beleid .......................................................................................... 13 3.5. SiSa-regelingen................................................................................................................................. 14 3.6. Rechtmatigheidsverantwoording .................................................................................................... 15
4.
Administratieve processen ....................................................................................................... 18 4.1. Verbijzonderde interne controle ..................................................................................................... 18 4.2. Normen- en toetsingskader ............................................................................................................. 20
5.
IT-beheersingsmaatregelen ...................................................................................................... 21 5.1. Controlebevindingen ....................................................................................................................... 21 5.2. Uitbesteding IT bij derde partijen .................................................................................................... 22 5.3. Informatiebeveiliging ....................................................................................................................... 23 5.4. NIS2-Richtlijn .................................................................................................................................... 24
6.
Administratieve processen ....................................................................................................... 24 6.1. Algemeen ......................................................................................................................................... 24 6.2. Inkopen en aanbestedingen (incl. betalingsverkeer)....................................................................... 25 6.3. Uitgaven Jeugdzorg en Wmo ........................................................................................................... 25 6.4. Uitgaven Participatiewet en andere inkomensregelingen .............................................................. 26 6.5. Leges omgevingsvergunningen ........................................................................................................ 26 6.6. Memoriaalboekingen ....................................................................................................................... 27 6.7. Grondexploitaties ............................................................................................................................ 27 6.8. Btw en Vpb ....................................................................................................................................... 28 6.9.
Opvolging eerdere aanbevelingen ................................................................................................... 28
7.
Overige bevindingen ................................................................................................................ 30 7.1. Naleving wet- en regelgeving .......................................................................................................... 30
8.
Vooruitblik (controle) jaarstukken 2023 .................................................................................... 32
9.
Slot .......................................................................................................................................... 32
Managementletter 2023
Gemeente IJsselstein
Pagina 3
1. Gemeente IJsselstein in beeld In onderstaand overzicht geven wij een samenvatting van onze bevindingen van de interim-controle, met daarbij een kleur-signalering. De genoemde onderwerpen komen in de managementletter nader aan de orde. De legenda voor de signalering is: Geen noemenswaardige bevindingen
Tekortkomingen en/of aandachtspunten met een verhoogd risico/verhoogde impact
Geen tekortkomingen, wel relevante bevindingen en/of aandachtspunten
Tekortkomingen en/of aandachtspunten met een hoog risico/grote impact
Tekortkomingen en/of aandachtspunten met een beperkt risico/beperkte impact
Signalering Onderwerp
Bevindingen 2023
§ 2023
2022
FINANCIEEL BELEID EN BEHEER
Begroting en meerjarenraming
De begroting 2024-2027 laat tot en met 2025 een structureel sluitend beeld zien. Vanaf 2026 is een (fors) negatief resultaat begroot. Dit is in lijn met het sectorbeeld. 2.1 Er is sprake van onzekerheid over de hoogte van de algemene uitkering vanaf het boekjaar 2026. Voor begrotingsjaar 2026 is uw gemeente uitgegaan van een daling van de algemene uitkering. De financiële resultaten over 2023 van gemeente IJsselstein vertonen een iets verslechterd beeld ten opzichte van de begroting 2023.
Resultaatontwikkeling
Tegenover een begroot resultaat van € 1,3 miljoen positief over geheel 2023, ligt de meest actuele resultaatprognose voor 2023 op een bedrag van € 1,0 miljoen positief. De begroting en financiële voortgangsrapportages geven voldoende inzicht in de financiële positie van IJsselstein.
3.1 3.2
De tussentijdse bestuursrapportages omvatten een financiële en een beleidsmatige rapportage, voorzien van tekstuele toelichtingen per programma.
Managementletter 2023
Gemeente IJsselstein
Pagina 4
Signalering Onderwerp
Bevindingen 2023
§ 2023
2022
Het evalueren van risico’s en beheersingsmaatregelen heeft voldoende de aandacht in de planning- en control cyclus. Dit is ook voldoende zichtbaar en aantoonbaar in de periodieke voortgangsrapportages hierover. Risicobeheersingssysteem
De afgelopen jaren is de kwaliteit verder toegenomen. Wij zien mogelijkheden voor de verdere (door)ontwikkeling van de processen rondom risicobeheersing.
3.3
Gemeente IJsselstein heeft dit jaar de frauderisicoanalyse geformaliseerd. Door middel van een frauderisicoanalyse heeft de gemeente IJsselstein de beheersing van frauderisico’s in beeld. Voor de komende periode is doorontwikkeling en verdere implementatie van deze analyse gewenst, Frauderisicobeheersing en waaronder de nadrukkelijke verankering van de M&O beleid frauderisicoanalyse en fraudepreventie in de interne beheersingsmaatregelen en de verbijzonderde interne controle.
3.4
De gemeente IJsselstein heeft het afgelopen jaar een overkoepelend M&O beleid opgesteld en bestuurlijk laten vaststellen.
Rechtmatigheidsverantwoording
Gemeente IJsselstein heeft voldoende geacteerd op de rechtmatigheidsverantwoording die vanaf 1 januari van dit verslagjaar (2023) geldt. Gemeente IJsselstein heeft nog diverse actiepunten.
3.6
IT-BEHEERSING Met het outsourcen van IT en de toepassing van SAASoplossingen, verschuift de focus van IT-beheersingsmaatregelen naar toegangsbeheer, product/leveranciersmanagement en beheersing van het risico van cybercriminaliteit. Algemene IT-beheersings- De IT-omgeving van gemeente IJsselstein kent een maatregelen hoge mate van afhankelijkheid van externe IT-partners en bevat als zodanig de nodige uitdagingen om ‘in control’ te blijven in het uitoefenen van de regiefunctie. In het bijzonder benoemen wij de gemeente Gouda waarbij de automatiseringsomgeving is uitbesteed.
Managementletter 2023
Gemeente IJsselstein
5
Pagina 5
Signalering Onderwerp
Bevindingen 2023
§ 2023
2022
Om ‘in control’ te komen is het hebben van alleen een overeenkomst, al dan niet in de vorm van een zogenaamde SLA (Service Level Agreement), onvoldoende voor gemeente IJsselstein. Het is daarom van belang dat gemeente IJsselstein per IT-partner de minimaal te treffen interne beheersingsmaatregelen in zogeheten KPI’s vertaalt en integreert in de op te stellen, dan wel aan te passen, overeenkomsten (al dan niet in de vorm van een SLA). ADMINISTRATIEVE PROCESSEN Gemeente IJsselstein verricht verbijzonderde interne controle (VIC) voor de belangrijkste processen van de gemeente. De VIC wordt door gemeente IJsselstein hoofzakelijk gegevensgericht uitgevoerd en op onderdelen ook systeemgericht. Verbijzonderde interne controle (VIC)
Wij merken op dat IJsselstein in de voorliggende periode veel tijd en aandacht heeft besteed aan de verdere kwaliteitsimpuls van de VIC. De verbijzonderde interne controle levert hiermee een belangrijke bijdrage aan de rechtmatigheidsverantwoording die met ingang van dit verslagjaar (2023) van toepassing is.
4.1 4.2
De VIC van de gemeente IJsselstein wordt tijdig en kwalitatief goed uitgevoerd.
Inkopen en aanbestedingen (incl. betalingsverkeer)
Investeringen
Managementletter 2023
Dossiervorming in het zaaksysteem is een blijvend aandachtspunt. De matching van facturen met bestellingen/opdrachten/contracten enerzijds en prestatieregistraties anderzijds wordt (nog) onvoldoende systematisch vastgelegd. Daarnaast is het opstellen van een inkoopstrategie bij nieuwe opdrachten een belangrijk ontwikkelpunt.
6.2
IJsselstein stelt tussentijds een (spend)analyse op om te toetsen of de (Europese) aanbestedingsregels juist worden toegepast. Aandachtspunt is de vastlegging van de bevindingen en conclusies in relatie tot mogelijke rechtmatigheidsafwijkingen voor opname in de rechtmatigheidsverantwoording. De interne beheersingsmaatregelen ten aanzien van dit n.v.t proces zijn in grote lijnen op orde.
Gemeente IJsselstein
Pagina 6
Signalering Onderwerp
Bevindingen 2023
§ 2023
Personeels- en salarisadministratie
De interne beheersingsmaatregelen ten aanzien van dit n.v.t proces zijn in grote lijnen op orde.
Sociaal domein, uitgaven Jeugdzorg en Wmo
Geen bijzonderheden te rapporteren in het kader van het administratieve proces. De financiële beheersing 6.3 van de PGB’s is een blijvend aandachtspunt.
Sociaal domein, uitgaven Participatiewet en andere inkomensregelingen
Geen bijzonderheden te rapporteren in het kader van 6.4 het administratieve proces.
Subsidies en bijdragen
Geen bijzonderheden te rapporteren in het kader van n.v.t het administratieve proces.
Belastingen en heffingen
De beheersmaatregelen zijn in hoofdlijnen op orde. De gemeente en Verstegen ontvangen per balansdatum een gewaarmerkte belastingverantwoording vanuit de BSR om de getrouwheid en rechtmatigheid van de opbrengsten te onderbouwen.
n.v.t
Leges omgevingsvergunningen
De uitvoering van de taken door OdrU leidt tot aanvullende aandachtspunten. De gemeente IJsselstein heeft inzicht verkregen in de reikwijdte van de VIC van OdrU en kan op basis hiervan aanvullende werkzaamheden plannen en uitvoeren gericht op getrouwheid en rechtmatigheid van de opbrengsten.
6.5
Grondexploitatie
Tussentijds geen bijzonderheden te rapporteren in het kader van het administratieve proces. De waardering van het onderhanden werk in de balans is een (regulier) 6.7 aandachtspunt in het jaarrekeningproces en de controle van de jaarrekening.
Huren en pachten
De interne beheersingsmaatregelen ten aanzien van dit proces zijn in grote lijnen op orde. Het juist en tijdig doorvoeren van indexaties bij lopende contracten zijn n.v.t een aandachtspunt.
Memoriaalboekingen
De interne beheersingsmaatregelen ten aanzien van dit 6.6 proces zijn in grote lijnen op orde.
Managementletter 2023
Gemeente IJsselstein
2022
Pagina 7
Signalering Onderwerp
Bevindingen 2023
§ 2023
Parkeeropbrengsten
2022
IJsselstein en Verstegen hebben over 2022 aanvullende assurance-rapportages ontvangen over de getroffen beheersingsmaatregelen binnen het parkeerproces dat is uitbesteed bij P1. Het is van belang dat deze rapportages voor boekjaar 2023 wederom opgevraagd n.v.t en ontvangen worden, zodat de gemeente de getrouwheid en rechtmatigheid van de opbrengsten vast kan stellen.
Onze interim-controle stond gepland in de periode 23 oktober tot en met 3 november 2023. Voorafgaand aan onze controle hebben wij onder meer de lijst met op te leveren stukken, de selectie van detailwaarnemingen en de uitvraag voor onder meer lijncontroles gedeeld. Tijdens de geplande controleweken is door ons gevraagde en benodigde informatie en stukken volledig aangeleverd voor onze controle. Onze managementletter 2023 hebben wij opgesteld naar de stand van 8 december 2023. In deze managementletter maken wij onderscheid in adviespunten ter verbetering van de interne beheersing en actiepunten voor de jaarrekening. Van de actiepunten is het noodzakelijk dat deze voor aanvang van de jaarrekeningcontrole 2023 zijn opgevolgd door IJsselstein. De samenwerking tussen IJsselstein en Verstegen verloopt goed en constructief. Met de afspraken die wij hebben gemaakt verwachten wij een goed verloop van de controle van de jaarrekening 2023 in 2024, binnen de tijdsafspraken van uw bestuurlijke planning.
Managementletter 2023
Gemeente IJsselstein
Pagina 8
2. Gemeente IJsselstein in het perspectief van het sectorbeeld 2.1. Ontwikkeling gemeentefonds en meerjarenbegroti ng Gemeenten hebben de afgelopen jaren veelal positieve financiële resultaten kunnen realiseren en hun vermogenspositie daarmee kunnen versterken. Deze positieve resultaten zijn in belangrijke mate veroorzaakt door incidentele middelen (in de vorm van specifieke uitkeringen). Gemeenten ervaren een disbalans tussen het aandeel van financiering via specifieke uitkeringen en structurele gelden in het gemeentefonds1. Gemeenten worden geconfronteerd met een korting op het budget uit het gemeentefonds van ongeveer € 3 miljard in totaal vanaf 2026. De financiële opgave waar gemeenten voor staan gaat gepaard met grote opgaves zoals investeringen in het fysieke domein op het gebied van woningbouw (900.000 woningen tot 2030) en investeringen om de klimaat- en energietransitie (van het gas af) te realiseren. Opgaves in het sociaal domein, zoals oplopende kosten Jeugdzorg en een toenemend beroep op Wmo voorzieningen (vergrijzing), alsook vraagstukken rondom minimabeleid, bestaanszekerheid en veiligheid, nemen voor gemeenten ook toe en vragen veel inspanning, capaciteit en middelen van gemeenten. De VNG heeft gelet op de onzekerheden in het gemeentefonds medio juli 2023 in een ledenbrief aan de gemeenten een begrotingsadvies 2024-2027 gegeven.
Dit advies bestaat uit twee onderdelen: Presenteer voor 2024 en 2025 van de meerjarenraming 2024-2027 een sluitende begroting. Breng de lasten in de meerjarenramingen voor 2026 en 2027 in beeld, in de vorm van een realistische begroting. Baseer dit voor de gemeente op het huidige takenpakket, de noodzakelijke investeringen, de inflatie, de stijgende rente, de ambities uit het coalitieakkoord en geschatte mee- en tegenvallers. Naar verwachting zullen de meerjarenramingen 2026 en 2027 dan duidelijk tekorten aangeven. Met het presenteren van een sluitende begroting voor 2024 en een tekort in de laatste twee jaren, kan de provincie in haar rol als toezichthouder naar overtuiging van de VNG tot een positief oordeel komen. Volgens de VNG kunnen gemeenten ervoor kiezen om onder het kopje ‘Problematiek niet-taakgebonden kortingen rijk’ wel alvast inzicht te geven in keuzes, die in dit kader door de gemeente gemaakt of overwogen worden. De verschillende overheden voeren overleg met elkaar hoe dit structureel opgelost kan worden. Voor de korte termijn worden de mogelijkheden door de VNG verkend om incidentele middelen en overschotten in te zetten als structureel dekkingsmiddel.
1
Managementletter 2023
BMC taken en middelen in balans, 9 augustus 2023
Gemeente IJsselstein
Pagina 9
Vanwege de hierboven beschreven financiële onzekerheden heeft de gemeente IJsselstein meerjarige ramingen opgesteld die niet structureel in evenwicht zijn. In de meerjarenbegroting 2024-2027 van de gemeente wordt het effect zichtbaar met een negatieve begroting in 2026 en 2027 van € 3,6 miljoen respectievelijk € 4,6 miljoen structureel tekort. Dit houdt verband met de zogenaamde Ravijnjaren. In 2026 en 2027 is de algemene uitkering fors lager dan daarvoor. 2.2. Hervormingsag enda Jeugd De Hervormingsagenda Jeugd is een plan van het Rijk en de gemeenten om de jeugdzorg te verbeteren en financieel houdbaar te maken. Het plan heeft twee hoofddoelen: betere en tijdige zorg en ondersteuning, op de juiste plek en wanneer dit nodig is; een beheersbaar en daarmee duurzaam financieel houdbaar stelsel. Om deze doelen te bereiken, zijn er zeven thema’s uitgewerkt in de Hervormingsagenda Jeugd. We benoemen hieronder de thema’s die de financiën van gemeenten raken: Inkoop- en administratieve lasten: Er wordt gestreefd naar meer uniformiteit, transparantie en samenwerking in de inkoop van jeugdhulp door gemeenten. Er komt ook een vereenvoudiging van de administratieve processen, waardoor er minder bureaucratie is en meer tijd voor zorg overblijft.
Interbestuurlijke en financiële verhoudingen: Er wordt een nieuwe financieringssystematiek ingevoerd die voor meer stabiliteit, voorspelbaarheid en solidariteit gaat zorgen in de bekostiging van de jeugdzorg. Er komt ook een beter toezicht op de financiële positie en prestaties van gemeenten op het gebied van Jeugdzorg. Meerjarig Financieel kader: Er wordt een meerjarig financieel kader vastgesteld dat aangeeft hoeveel geld er beschikbaar is voor de jeugdzorg tot 2028. Het kader houdt rekening met de verwachte ontwikkelingen in de vraag, het aanbod en de kosten van de jeugdzorg. Er zijn schattingen gemaakt van de verwachte kosten en baten van de Hervormingsagenda Jeugd voor verschillende jaren en scenario’s. Volgens deze schattingen zou de Hervormingsagenda Jeugd in 2028 moeten leiden tot een structurele besparing van ongeveer € 1 miljard per jaar op het totale Jeugdzorgbudget van ongeveer € 5,5 miljard per jaar. Dit zou betekenen dat het Jeugdzorgbudget in 2028 ongeveer gelijk zou zijn aan het niveau van 2019. Voor de gemeenten ligt er dus een stevige opgave om de Hervormingsagenda Jeugd daadwerkelijk te realiseren en de gewenste doelen te behalen. Het risico bestaat anders dat door het Rijk wel de besparing op het budget wordt doorgevoerd, zonder dat de verwachte besparingen bij de gemeente worden gerealiseerd.
Inzicht in de (lokale) voortgang van de Hervormingsagenda Jeugd en monitoring van de voortgang en financiële resultaten is daarom belangrijk voor uw gemeente.
Managementletter 2023
Gemeente IJsselstein
Pagina 10
De gemeente IJsselstein heeft aangegeven de Hervormingsagenda Jeugd niet budgetneutraal te hebben begroot in de primitieve begroting, maar alleen realistische besparingen te hebben ingerekend. Hiermee is het risico op financiële tegenvallers op dit punt beperkt volgens de gemeente.
3. Financieel beheer en risicomanagement 3.1. Resultaatontwikkeling Wij hebben kennisgenomen van de Q3 Rapportage 2023 van het college aan de gemeenteraad over de periode tot en met september 2023. Samengevat geeft deze rapportage voor IJsselstein de volgende uitkomsten: Jaarbegroting Jaarprognose 2023 in € 2023 in €
Gerapporteerd resultaat
1.310.833
Bijzondere/incidentele posten: - Overschot Leefgelden Oekraïne - Hogere uitgaven sociaal domein - Hogere uitgaven infrastructuur - Voordeel Treasury bij uitstellen investeringen - Effecten algemene uitkering IJsselstein
1.038.215
-
1.150.000 -1.040.000 -827.790
-
498.000 -480.828
De verschillen tussen de begroting en de prognose betreffen vooral structurele mutaties en enkele incidentele posten, waaronder verhoogde bijdragen aan uitbestede processen bij verbonden partijen, hogere leefgelden Oekraïne en hogere uitgaven infrastructuur dan begroot. In de bestuursrapportage 2023 is per programma toegelicht wat de verschillen zijn en of dit incidentele of structurele verschillen zijn. Uit de Q3 rapportage 2023 blijkt een verwacht (geprognosticeerd) resultaat over 2023 van € 1,0 miljoen (positief). Dit is € 0,3 miljoen lager dan het primair geraamd resultaat voor 2023 van € 1,3 miljoen (positief). De bestuursrapportage bevat, naast een financiële rapportage, tevens een beleidsmatige rapportage. Hierin wordt per programma en per thema de voortgang beschreven van de beoogde effecten en de opgaven. Hierin wordt per beleidsdoel het te realiseren product genoemd met een stoplichtschema en toegelicht of de gemeente verwacht het doel te realiseren. Een aanbeveling voor gemeente IJsselstein is het ontwikkelen van kritische prestatie-indicatoren voor (nieuwe) beleidsdoelstellingen op basis waarvan voortgang en realisatie objectiever gemeten kan worden.
Managementletter 2023
Gemeente IJsselstein
Pagina 11
3.2. Manag ementinfor matie en res ultaatbeheersing Het management van gemeente IJsselstein wordt periodiek geïnformeerd over de financiële ontwikkelingen in relatie tot de begroting en enkele daarmee samenhangende financiële en niet-financiële kengetallen. Deze managementinformatie is bedoeld om het management te ondersteunen bij het sturen op/beheersen van de financiële resultaten. Wij hebben op hoofdlijnen kennisgenomen van de opzet en inhoud van de managementinformatie. Daarbij zijn door ons – behoudens hetgeen is opgemerkt in paragraaf 3.1 van deze managementletter – geen bijzondere tekortkomingen of aandachtspunten geconstateerd.
3.3. Risicobeheersing s- en c ontr olesysteem Overeenkomstig de voor ons geldende standaarden nemen wij kennis van het risicobeheersings- en controlesysteem zoals dat binnen gemeente IJsselstein operationeel is. Wij hebben in dat kader onderzocht of risico’s en beheersingsmaatregelen systematisch worden geëvalueerd door gemeente IJsselstein. Onze indruk is dat het risicobeheersings- en controlesysteem van gemeente IJsselstein in opzet voldoet. In de begroting en de jaarrekening wordt op uniforme wijze inzicht gegeven in de onderkende risico’s van IJsselstein. Risico’s en kansen en financiële gevolgen zijn vermeld en gekwantificeerd en per risico is benoemd welke beheersmaatregelen (kunnen) worden getroffen. IJsselstein geeft hiermee invulling aan risicomanagement. Belangrijke risico’s die in de laatste risicorapportage (begroting 2024) van gemeente IJsselstein aan de orde komen zijn onder meer: risico’s voor verstrekte middelen aan derde partijen en gegarandeerde geldleningen; risico voor de baten omgevingsvergunningen mede in verband met de aankomende Omgevingswet per 1-1-2024; risico bij Jeugdwet mede samenhangend met de al eerder vermelde Hervormingsagenda Jeugd; algemene risico’s bij de verbonden partijen en in het bijzonder WIL, OdrU en RMN.
Managementletter 2023
Gemeente IJsselstein
Pagina 12
Wij hebben geen nadere opmerkingen bij deze risicorapportage. Wij geven ter overweging de volgende ontwikkelpunten mee: De analyses worden veelal ingestoken op de kans van optreden en financiële impact voor risico’s met economische gevolgen. Gezien de maatschappelijke rol van gemeente IJsselstein is het ook aan te bevelen om de maatschappelijke risico’s te identificeren en verder uit te werken conform het kans maal impact model. In de analyses wordt geen onderscheid gemaakt tussen bruto risico’s (de kans en impact voor het treffen van interne beheersingsmaatregelen) en de netto risico’s (het resterend risico na het treffen van de interne beheersmaatregelen). Voor dit restrisico is het van belang om overeenstemming te bereiken met het governance orgaan (gemeenteraad) of de restrisico’s acceptabel zijn of middels beheersmaatregelen verder afgedekt moeten worden. IJsselstein heeft in voorliggende periode veel tijd en aandacht besteed aan verdere optimalisatie van risicomanagement. Gemeente IJsselstein beschikt nog niet over een specifiek risicobeheersingssysteem, waarmee de belangrijkste risico’s periodiek worden geïnventariseerd, geadresseerd, geëvalueerd en besproken met het college en de gemeenteraad. Wij adviseren u de invoering van een risicobeheersingssysteem te overwegen.
3.4. Frauderisicobeheersing en M&O beleid De gemeenteraad heeft de verantwoordelijkheid om toezicht te houden op de fraudepreventie en fraudebeheersing door het college. Dit gegeven maakt het voor het college noodzakelijk om een toereikende frauderisicoanalyse op te stellen en periodiek te actualiseren. Gemeente IJsselstein heeft in het najaar een frauderisicoanalyse opgesteld. In de frauderisicoanalyse is vanuit de zogenoemde fraudedriehoek (gelegenheid-drukrationalisatie) een inschatting gemaakt van de frauderisico’s. Bij het uitwerken van de frauderisicoanalyse heeft de gemeente IJsselstein zowel soft controls als hard controls benoemd om deze risico’s te beheersen en is er inzichtelijk gemaakt welke acties vereist zijn om restrisico’s te ondervangen. Hiermee heeft de gemeente IJsselstein een goede basis gelegd voor fraudepreventie. Het is van belang dat de frauderisicoanalyse afgestemd wordt met de gemeenteraad en vervolgens periodiek geactualiseerd wordt. Ten aanzien van de frauderisicoanalyse hebben wij de volgende adviezen: In de beleidsnota Fraude, integriteit en misbruik & oneigenlijk gebruik wordt benoemd dat er periodiek een extern onderzoek naar de ‘soft controls’ uitgevoerd wordt. Wij adviseren dit onderzoek uit te voeren en op basis van de uitkomsten de frauderisicoanalyse te actualiseren.
Maak inzichtelijk wat de restrisico’s zijn na beheersmaatregelen en expliciteer de risicostrategie (voorkomen, verminderen, uitbesteden, accepteren).
Managementletter 2023
Gemeente IJsselstein
Pagina 13
Geef de toetsing op de onderkende beheersmaatregelen een plaats in de verbijzonderde interne controle (VIC) en rapporteer vanuit de VIC over de effectiviteit van de fraudebeheersmaatregelen. Wij hebben vernomen dat hier voor boekjaar 2023 met terugwerkende kracht al invulling aan zal worden gegeven. Neem een toelichting op dit fraude risicomanagementsysteem op in de paragraaf bedrijfsvoering van de jaarstukken. Een algemeen verbeterpunt vanuit onze managementletter voorgaand jaar was naast het formaliseren van een frauderisicoanalyse om een overkoepelend misbruik en oneigenlijk gebruik beleid (M&O beleid) te ontwikkelen. M&O beleid gaat veelal verder dan de definitie van fraude door ook aandacht te besteden aan situaties waar de letter van de wet feitelijk wordt nageleefd, maar niet het doel van de wet. Hierbij is dan sprake van oneigenlijk gebruik. IJsselstein heeft de risico’s voor oneigenlijk gebruik identificeert en gekwantificeerd, op basis hiervan kan vastgesteld worden of passende beheersmaatregelen aanwezig zijn om dit risico af te kunnen dekken. Gemeente IJsselstein heeft dit jaar een overkoepelend M&O vastgesteld, zodat naast fraudepreventie ook maatregelen ten aanzien van misbruik en oneigenlijk gebruik van wet- en regelgeving inzichtelijk zijn gemaakt.
3.5. SiSa-regeling en In de afgelopen jaren is het aantal SiSa-regelingen fors toegenomen. Voor gemeente IJsselstein waren dit in 2022 29 regelingen. Ter vergelijking, in 2021 waren dat 21 regelingen. Uit de Concept invulwijzer over 2023 van het Rijk blijkt dat er landelijk gezien opnieuw meer nieuwe regelingen bij zijn gekomen, dan dat er regelingen zijn vervallen. Uit het concept verantwoordingsoverzicht SiSa 2023 blijkt dat gemeente IJsselstein tot nu toe 30 regelingen moet verantwoorden. Dit vraagt aandacht en capaciteit van uw organisatie. Het correct invullen van de voorgeschreven indicatoren voor deze regelingen én de juiste verantwoording van de doeluitkeringen in de jaarrekening is een tijdrovend en complex proces voor gemeenten. Het is van belang om tijdig te starten met de voorbereiding van uw (verbijzonderde) interne controles en vastleggingen en het verzamelen van brondocumentatie voor alle regelingen. Als onduidelijk is wat ingevuld moet worden en/of vastgelegd moet worden, adviseren wij u tijdig afstemming te zoeken met de Rijksoverheid en/of het controleteam van Verstegen. Gezien de hoeveelheid regelingen voor de gemeente IJsselstein en het unieke karakter per regeling, geven wij u in overweging de SiSa-verantwoordingen vanuit de gemeente centraal te coördineren.
Managementletter 2023
Gemeente IJsselstein
Pagina 14
3.6. Rechtmatighei dsverantwoor ding Met het aannemen van de Wet versterking decentrale rekenkamers is de rechtmatigheidsverantwoording een feit geworden. Vanaf boekjaar 2023 legt het college van B&W verantwoording af over rechtmatigheid door middel van de rechtmatigheidsverantwoording in de jaarrekening. De accountant zal in 2023 alleen nog een getrouwheidsoordeel geven bij de jaarrekening. De rechtmatigheidsverantwoording maakt onderdeel uit van de jaarrekening en valt daarmee binnen de scope van het getrouwheidsoordeel van de accountant. Voor de specifieke uitkeringen (SiSa) is in de Gemeente- en provinciewet bepaald dat de accountant in de controleverklaring opneemt of de baten en lasten (alsmede de balansmutaties) met betrekking tot specifieke uitkeringen rechtmatig tot stand zijn gekomen. Dit betekent dat naast het getrouwheidsoordeel bij de jaarrekening als geheel, nog een oordeel van de accountant wordt gevraagd bij de rechtmatigheid van de specifieke uitkeringen in de SiSa-bijlage. Deze bepaling is door de wetgever opgenomen met de bedoeling om te expliciteren dat er in de controle van de specifieke uitkering niets zal veranderen. Dat betekent dat wij ook in ons accountantsverslag bij de jaarrekening 2023 een tabel met bevindingen opnemen over de specifieke uitkeringen. Gemeenten moeten een aantal zaken regelen voor de invoering van de rechtmatigheidsverantwoording.
Hieronder hebben wij de status voor de gemeente IJsselstein opgenomen: Te regelen
Status
1.
Het aanpassen van de financiële verordening (artikel 212 van de Gemeentewet).
Afgerond
2.
Het aanpassen van de controleverordening (artikel 213 van de Gemeentewet).
Afgerond
3.
Het aanpassen van de verordening onderzoeken doelmatigheid en doeltreffendheid bestuur (artikel 213a van de Gemeentewet).
Afgerond
4.
Actualiseren overkoepelend beleid voor Afgerond misbruik en oneigenlijk gebruik (M&O-beleid). Het vaststellen van de scope en de criteria van de rechtmatigheidsverantwoording, in overeenstemming met de regelgeving van het Rijk en de commissie BBV. 5.
Managementletter 2023
Actualiseren van het controleprotocol rechtmatigheid en bepalen van de verantwoordingsgrens en rapportagegrens rechtmatigheid.
Gemeente IJsselstein
Onderhanden, gemeente voornemens een gewijzigde versie in februari 2024 vast te stellen
Pagina 15
6.
Actualiseren van het normen- en eventueel toetsingskader.
Vast te stellen bij wijziging controleprotocol
7.
Bepalen binnen welke financiële stromen zich materiële rechtmatigheidsafwijkingen kunnen voordoen. Op basis van de verantwoordingsgrens wordt per stroom de diepgang van de controle bepaald.
Afgerond, onderdeel Controleplan VIC
8.
Opzet en bestaan van de interne beheersmaatregelen in kaart brengen voor de (relevante) onderkende transactiestromen/processen, bijvoorbeeld via 6W’s: Wie? Doet Wat? Waarom? Wanneer? Waarmee? en Met Welk doel? Actualiseren van het intern controleplan met daarin de controleaanpak per materiële transactiestroom (de zogenoemde systeemgerichte of gegevensgerichte controletechnieken), inclusief de controledoelstellingen) op basis van de stappen 5-8.
Afgerond, onderdeel Controleprogramma’s
Uitvoering rechtmatigheidscontroles door onder andere het:
Onderhanden
9.
10.
Afgerond, onderdeel Controleprogramma’s.
Opstellen werkprogramma’s met checklists en toetspunten Uitvoering controles Evalueren en rapporteren
Bovenstaande stappen moeten uiteindelijk resulteren in een rechtmatigheidsverantwoording van het college. Alle rechtmatigheidsafwijkingen boven de verantwoordingsgrens worden in deze verantwoording kort en bondig benoemd. Verder is de paragraaf bedrijfsvoering in de jaarstukken de plek om een nadere toelichting te geven door het college ten aanzien van onderwerpen die de rechtmatigheid raken en hoe de beheersing is vormgegeven. In deze paragraaf worden de speerpunten van de bedrijfsvoering toegelicht. Ook moet in ieder geval een nadere toelichting worden gegeven op alle afwijkingen die in de rechtmatigheidsverantwoording zijn opgenomen voor zover deze de rapportagegrens overschrijden. Aspecten die hierbij aan de orde komen zijn de tussentijdse communicatie met de raad – of de reden waarom deze achterwege is gebleven – alsmede de maatregelen die zijn genomen om verbeteringen aan te brengen om het handelen conform wet- en regelgeving afdoende in processen te waarborgen.
Managementletter 2023
Gemeente IJsselstein
Pagina 16
Begrotingsonrechtmatigheid In de gewijzigde Kadernota Rechtmatigheid versie november 2023 is nadere duiding gegeven aan het begrip Begrotingsonrechtmatigheid. (1) Er is hiervan sprake als het college van B&W bij de realisatie van doelen en het realiseren van activiteiten de door de gemeenteraad vastgestelde budgetten voor wat betreft de lasten of investeringsbudgetten overschrijdt. (2) Toevoegingen en onttrekkingen aan de reserves die niet door de gemeenteraad zijn vastgesteld voor het einde van het boekjaar. (3) Bij onderschrijdingen van lasten of investeringsbudgetten en ook bij lagere /hogere baten dan begroot de begroting niet tijdig* met begrotingswijzigingen is aangepast. * Wat “niet tijdig” betekent, wordt bepaald door de ‘spelregels’ tussen de gemeenteraad en het college van B&W. De spelregels met betrekking tot het informeren en vaststellen van begrotingswijzigingen bij onderschrijdingen van lasten, investeringsbudgetten en bij wijzigingen in de baten ten opzichte van de begroting zijn veelal in de financiële verordening art. 212 Gemeentewet opgenomen. Het derde onderdeel is een uitbreiding van het begrip begrotingsonrechtmatigheid. Wij hebben geconstateerd dat uw vernieuwde financiële verordening art. 212 Gemeentewet nog geen afspraken bevat over wat in dit opzicht tijdig is.
Wij adviseren duidelijke afspraken te maken tussen de raad en het college om te bepalen wat tijdig is. Zo kan worden afgesproken dat afwijkingen van de begroting die in de laatste vier maanden van het begrotingsjaar ontstaan, in december nog in de gemeenteraad moeten worden behandeld en vastgesteld. Er kan ook gekozen worden dat het tijdig is als deze afwijkingen bij de jaarrekening worden gemeld en toegelicht. Deze interne afspraken bepalen wat tijdig en niet tijdig is. Ondanks bovenstaande (nieuwe) vereisten verwacht de gemeente IJsselstein de bestendige gedragslijn van eerdere jaren te handhaven. Deze werkwijze is dat de gemeente IJsselstein alleen begrotingswijzigingen doorvoert voor inhoudelijke aanpassingen ten opzichte van de primaire begroting (2023). Dit betekent dat voor lastenoverschrijdingen zonder (taak)inhoudelijke wijziging IJsselstein geen begrotingswijziging zal doorvoeren. In de raadsinformatiebrief d.d. 12 december 2023 is de raad apart geïnformeerd over het gevolg van het handhaven van de werkwijze binnen IJsselstein.
De interpretatie van de gemeente IJsselstein en van ons is dat dit naar verwachting voor het huidige boekjaar 2023 zal betekenen dat er onrechtmatigheden in de rechtmatigheidsverantwoording in de jaarrekening gepresenteerd zullen worden die vervolgens als acceptabel aangemerkt zullen worden door de raad, omdat deze onrechtmatigheden passen binnen de geldende werkwijze zoals is afgesproken met de raad. Het controleprotocol zal worden aangevuld om deze werkwijze te herbevestigen. Het college verwacht het controleprotocol in februari 2024 ter vaststelling aan te bieden aan de raad.
Managementletter 2023
Gemeente IJsselstein
Pagina 17
4. Administratieve processen 4.1. Verbijzonder de i nter ne contr ole Algemeen In overeenstemming met het VIC plan voor 2023 verricht gemeente IJsselstein tussentijds verbijzonderde interne controles (hierna: VIC) voor de volgende voor ons relevante financiële processen: Inkopen en aanbestedingen Betalingen Personeels- en salarisadministratie Grondexploitatie Investeringen Omgevingsvergunningen Huren en pachten Subsidieverstrekkingen Subsidiebaten Lasten in verband met de opvang van Oekraïners Overige opbrengsten Beschikkingen Sociaal domein Mutaties voorzieningen Een aantal financiële processen worden niet tussentijds gecontroleerd maar na het afsluiten voor het boekjaar voor het gehele jaar. Dit betreffen de volgende processen: Memoriaalboekingen Mutaties reserves Gemeentelijke belastingen Gemeentelijke bijdragen Rentelasten Subsidiebaten Deze verbijzonderde interne controle is voor uw organisatie van belang, omdat de VIC inzicht geeft in de kwaliteit van de belangrijkste processen en de naleving van de rechtmatigheidseisen waaraan gemeente IJsselstein moet voldoen.
Managementletter 2023
Gemeente IJsselstein
Pagina 18
In de verbijzonderde interne controle is rekening gehouden met de materiële processen en stromen. Wij hebben de interne beheersing van de processen gecontroleerd die van materieel belang zijn voor de jaarrekening en de controle van de jaarrekening van gemeente IJsselstein. Bovendien valt op dat er VICwerkzaamheden worden uitgevoerd op niet-materiële processen. Dit is een positief punt. Uitvoering VIC en aanbevelingen De controlewerkzaamheden zijn in nauw overleg met het controleteam voorbereid door uw Kwaliteitsmedewerker AO/IC. Hierbij zijn de geselecteerde detailwaarnemingen als eerste beoordeeld door de Kwaliteitsmedewerker AO/IC. De kwaliteit van de ontvangen verbijzonderde interne controle is goed. Wij kunnen bij onze controlewerkzaamheden goed gebruik maken van deze voorbereide werkzaamheden. De samenwerking met uw organisatie rondom de VIC verloopt constructief en prettig. IJsselstein heeft de nadrukkelijke ambitie om de VIC nog verder te professionaliseren.
Onze focus tijdens onze interim-controle ligt vooral op de vraag of de gemeente: alle processen en posten in beeld heeft die kunnen leiden tot een materiële afwijking in de jaarrekening van de gemeente (scoping); per proces en per post alle relevante risico’s heeft benoemd die kunnen leiden tot een materiële afwijking in de jaarrekening van de gemeente; voor alle onderkende relevante risico’s een maatregel van interne beheersing benoemt ter afdekking van deze risico’s; werkprogramma’s opstelt voor de interne controle per proces en per post die van voldoende kwaliteit is om materiële afwijkingen in de jaarrekening te kunnen signaleren; de verbijzonderde interne controle per proces en per post zichtbaar uitvoert in aansluiting met het werkprogramma; de verbijzonderde interne controle toereikend vastlegt en documenteert (achteraf toetsbaar en “reperformbaar”); naar aanleiding van de verbijzonderde interne controle de juiste, relevante en volledige bevindingen en afwijkingen opmerkt en adequaat documenteert; op basis van de geconstateerde bevindingen en afwijkingen de juiste conclusies trekt; evalueert wat het effect is van de bevindingen en de afwijkingen, evalueert of voldoende werkzaamheden zijn uitgevoerd door de gemeente en evalueert welke aanvullende werkzaamheden voorafgaand aan het opstellen van de jaarrekening nodig zijn door de gemeente.
Managementletter 2023
Gemeente IJsselstein
Pagina 19
Wij volstaan met het rapporteren op hoofdlijnen van de belangrijkste bevindingen en/of aandachtspunten over de uitvoering van de VIC-processen over 2023: Er is een (zichtbare) risicoanalyse uitgevoerd en relevante risico’s worden onderkend. In de uitvoering van de VIC wordt hierop gecontroleerd. Er heeft een zichtbare koppeling plaatsgevonden tussen de geïdentificeerde risico’s en de interne beheersingsmaatregelen die getroffen zijn om deze risico’s af te dekken. Er wordt door een werkprogramma zichtbaar gemaakt dat alle geïdentificeerde risico’s daadwerkelijk worden getoetst in de VIC. Gemeente IJsselstein heeft de belangrijkste frauderisico’s in concept beschreven maar nog niet verder geïmplementeerd. Deze risico’s worden hierdoor nog niet nadrukkelijk een-op-een vertaald naar de VIC. De VIC voert de werkzaamheden uit in een gestandaardiseerd werkprogramma en rapporteert per kwartaal over de resultanten van de VIC werkzaamheden per proces met detailbevindingen, conclusies en verbetervoorstellen en afstemming daarvan met de proceseigenaren (hoor & wederhoor). Samenvattend constateren wij dat de gemeente IJsselstein beschikt over een in opzet goede en volledige VIC. Wij verwachten hierdoor ook over de resterende maanden van 2023 goed gebruik te kunnen maken van de voorbereide werkzaamheden door uw kwaliteitsmedewerker AO/IC. Tot slot merken wij het volgende op.
De verbijzonderde interne controle wordt in onafhankelijkheid uitgevoerd door één kwaliteitsmedewerker AO/IC. De belangrijke uitvoerende en coördinerende rol wordt op dit moment door één medewerker voor alle processen ingevuld. Wij signaleren dat gemeente IJsselstein hierdoor kwetsbaar is. De rechtmatigheidsverantwoording die vanaf 2023 van toepassing is en de ontwikkelingen zoals genoemd in paragraaf 3.5 vergen aanvullende capaciteit van de VIC. Om een kwalitatief goede verbijzonderde interne controle in continuïteit uit te blijven voeren, adviseren wij u na te gaan of en welke maatregelen nodig zijn om een tijdige uitvoering van de verbijzonderde interne controle binnen gemeente IJsselstein blijvend te kunnen waarborgen.
4.2. Normen- en toets ingskader Het Normenkader Rechtmatigheid is door het college op 14 februari 2023 vastgesteld, maar is echter nog niet vastgesteld door de gemeenteraad. Het is noodzakelijk dat het normenkader rechtmatigheid wordt vastgesteld door de gemeenteraad als basis voor de rechtmatigheidsverantwoording. Wij adviseren om voor de start van de controle van de jaarrekening het definitieve normenkader vast te stellen voor het verslagjaar 2023. Het college verwacht het normenkader in februari 2024 ter vaststelling aan te bieden aan de raad.
Managementletter 2023
Gemeente IJsselstein
Pagina 20
5. IT-beheersingsmaatregelen 5.1. Controlebevindingen Bij het opzetten van onze controleaanpak van de IT-beheersingsmaatregelen richten wij ons op de applicaties die relevant zijn voor het (financiële) verslaggevingsproces van gemeente IJsselstein. Als eerste onderzoeken wij daarbij het risicoprofiel van deze applicaties. Dit risicoprofiel is afhankelijk van onder meer: het belang van de continue beschikbaarheid van de applicatie en de daarmee gegenereerde gegevensbestanden; de aard en complexiteit van de applicatie en gegevensverwerking; de mate waarin gemeente IJsselstein in de bedrijfsvoering en Verstegen bij onze accountantscontrole steunen op het goed functioneren (werking) en de output van de applicatie. De kernapplicaties waarvoor door ons een verhoogd risicoprofiel is onderkend betreffen: Key2Financiën als applicatie voor de financiële administratie; Visma|Raet als applicatie voor de salarisadministratie en uitbetaling; het zaaksysteem Djuma als standaard applicatie voor het registreren en bewaren van documentatie. Daarnaast wordt bij de uitbestede processen ook gebruik gemaakt van geautomatiseerde gegevensverwerking binnen applicaties.
De verantwoordelijkheid voor de Participatiewet, Wmo en Jeugdwet en dus ook de bewaking van de geautomatiseerde gegevensverwerking is de verantwoordelijkheid van de GR Werk en Inkomen Lekstroom (WIL) en Regionale Backoffice Lekstroom (RBL), onderdeel van de gemeente Houten, aangezien deze taken gedelegeerd of gemandateerd zijn bij deze organisaties. Voor de belastingopbrengsten zijn deze taken gemandateerd aan de BSR en valt hierdoor onder de reikwijdte en scope van die organisatie en haar accountant. Voor de applicaties waarvoor de gemeente IJsselstein verantwoordelijk is, hebben wij kennisgenomen van de algemene IT-beheersingsmaatregelen en de applicatie-specifieke beheersingsmaatregelen. Daarbij richten wij ons met name op de kwaliteit van de toegangsbeveiliging en het leveranciersmanagement rond IT-systemen en applicaties.
Managementletter 2023
Gemeente IJsselstein
Pagina 21
Wij hebben de volgende observaties ten aanzien van de IT-beheersingsmaatregelen: Wij hebben vastgesteld dat het gebruik van Multi-factor authentication (MFA) volledig afgedwongen is binnen de gemeente IJsselstein. Wij hebben geen inzicht verkregen of de samenwerking Gouwe-IJssel voor de gemeente IJsselstein een periodieke leveranciersbeoordeling uit heeft gevoerd. Wij hebben geen inzicht verkregen of certificering of periodieke controle op beveiliging van gegevensverwerking door leverancier van applicaties plaats heeft gevonden. Wij hebben nog niet vast kunnen stellen of de toegangsbeveiliging van de kernapplicaties met verhoogd risicoprofiel goed ingericht en afgedekt wordt. Wij hebben nog niet vast kunnen stellen dat de back-up en recovery periodiek is uitgevoerd voor de belangrijkste data en applicaties van de gemeente IJsselstein. Deze observaties staan niet helemaal los van elkaar. Een gemeenschappelijk thema hierin is dat de gemeente IJsselstein haar automatiseringsfunctie heeft uitbesteed bij de ICT samenwerking Gouwe-IJssel. Het gevolg hiervan is dat de gemeente IJsselstein afhankelijk is van de informatievoorziening namens de gemeente Gouda en/of haar accountant. Deze informatievoorziening heeft vorig jaar hoofzakelijk plaatsgevonden door een IT-Audit die is uitgevoerd vanuit de gemeente Gouda.
Deze IT-Audit zag enkel toe op de interne beheersing van de uitbestede automatiseringsfunctie, inclusief de betrouwbaarheid van de geautomatiseerde gegevensverwerking. Onderdelen waar de gemeente Gouda niet verantwoordelijk voor is, zoals leveranciersmanagement, IT (beveiligings)beleid en het afsluiten en monitoren van SLA’s, dient uitgevoerd te worden door de gemeente IJsselstein zelf. De uitkomsten en bevindingen als het gaat over de betrouwbaarheid en continuïteit van de geautomatiseerde gegevensverwerking van gemeente IJsselstein, zullen wij meenemen in ons accountantsverslag bij de jaarrekening 2023 of tussentijds melden indien de bevindingen daar aanleiding voor geven.
5.2. Uitbestedi ng IT bij derde partij en Gemeente IJsselstein heeft een aantal kernapplicaties als SaaS betrokken van de leverancier waaronder Visma|Raet (Youforce/Gemal). De IT-omgeving van gemeente IJsselstein kent hiermee een hoge mate van afhankelijkheid van externe IT-partners en bevat als zodanig de nodige uitdagingen om ‘in control’ te komen en blijven (ofwel het uitoefenen van de regiefunctie).
Managementletter 2023
Gemeente IJsselstein
Pagina 22
Echter om daar (‘in control’) te komen is ‘slechts’ het hebben van een overeenkomst, al dan niet in de vorm van een SLA, onvoldoende. Het is daarom van belang dat per IT-partner de minimaal te treffen maatregelen in zogeheten KPI’s worden vertaald en worden geïntegreerd in de op te stellen, dan wel aan te passen, overeenkomsten (al dan niet in de vorm van een SLA). Verder is het aan te bevelen om per IT-partner de wijze van verantwoording te inventariseren welke zij af kunnen leggen over de kwaliteit van de dienstverlening (denk hierbij naast SLA’s en ISO-certificeringen, ook aan Assurance rapportages in de vorm van ISAE 3402 en/of SOC (1/2/3)). Doordat de automatiseringsomgeving volledig belegd is bij de samenwerking Gouwe-IJssel hebben wij niet vast kunnen stellen in hoeverre deze leveranciersmonitoring al gerealiseerd is. Voor de salarisadministratie ontvangt de gemeente en wij jaarlijks een ISAE3402 Type II verklaring waardoor het risico op onbetrouwbare gegevensverwerking verminderd wordt.
5.3. Informatiebev eiliging Omdat onze controle van de IT-beheersingsmaatregelen van gemeente IJsselstein een beperkte reikwijdte heeft – voortvloeiend uit onze controleopdracht voor de jaarrekening – benadrukken wij dat er sprake kan zijn van specifieke continuïteits- en beveiligingsrisico’s die niet door ons zijn of worden ontdekt. Deze risico’s manifesteren zich over het algemeen vooral als sprake is van datalekken en/of cybercriminaliteit. Het is daarom van belang dat gemeente IJsselstein zelf ‘in control’ is als het gaat om informatiebeveiliging. De Baseline informatiebeveiliging Overheid (BIO) is het basisnormenkader voor informatiebeveiliging binnen alle overheidslagen (Rijk, gemeenten, provincies, waterschappen en veiligheidsregio’s). Gemeenten dienen daarom te werken volgens de normen zoals beschreven in de BIO. De BIO is verplicht geworden per 1 januari 2019. Gemeente IJsselstein moet vooraf bepalen of de informatie in de processen adequaat beveiligd zijn. Hierbij moet gericht worden op de aspecten integriteit, vertrouwelijkheid & beschikbaarheid. Periodiek wordt er een IT-audit uitgevoerd en hierover gerapporteerd aan gemeente IJsselstein op de uitbestede ICT-diensten. Hiermee wordt de naleving van de BIO getoetst en worden risicogebieden en verbetermogelijkheden geïdentificeerd.
Bij het opstellen van deze rapportage wordt door de IT-auditor getoetst of de inrichting van de automatiseringsomgeving in opzet en bestaan afdoende is om te kunnen voldoen aan de BIO-maatregelen inzake informatiebeveiliging. In voorgaande jaren is deze TPM-Rapportage ontvangen met betrekking tot ICT Gouwe-IJssel waaruit bleek dat op enkele onderdelen de ICT-inrichting nog niet voldeed aan de BIO-maatregelen. Wij hebben de opvolging van de aandachtspunten nog niet vast kunnen stellen, omdat de rapportage voor 2023 nog niet beschikbaar is.
Managementletter 2023
Gemeente IJsselstein
Pagina 23
5.4. NIS2-Richtlijn Begin dit jaar is de NIS2-richtlijn in werking getreden. Deze richtlijn is onderdeel van de EU-strategie voor cybersecurity en heeft als doel kritieke sectoren beter te beschermen. Op 17 oktober 2024 moet de richtlijn in alle EU-lidstaten zijn geïmplementeerd. Overheidsdiensten behoren tot de kritieke sectoren waarop de NIS2-richtlijn van toepassing is. NIS staat voor Network and Information Security directive. De NIS2-richtlijn wordt momenteel naar Nederlandse wetgeving vertaald. Naar verwachting zullen de wetten eind 2024 in werking treden, nadat deze door het parlement zijn behandeld. De organisaties die onder de NIS2-richtlijn vallen moeten vanaf dat moment aan de zorgplicht en meldplicht voldoen. De NIS2-richtlijn behelst op hoofdlijnen: Een zorgplicht – De richtlijn bevat een zorgplicht die entiteiten verplicht om zelf een risicobeoordeling te doen. Op basis daarvan nemen zij passende maatregelen om hun diensten zoveel mogelijk te waarborgen en de gebruikte informatie te beschermen. Een meldplicht – De richtlijn schrijft voor dat entiteiten incidenten binnen 24 uur bij de toezichthouder moeten melden. Het gaat om incidenten die de verlening van de essentiële dienst sterk (kunnen) verstoren. Een cyberincident moet ook bij het Computer Security Incident Response Team (CSIRT) gemeld worden. Dit team kan vervolgens hulp en bijstand leveren.
Factoren die een incident meldingswaardig maken, zijn bijvoorbeeld het aantal personen dat door de verstoring is geraakt, de tijdsduur van een verstoring en de mogelijke financiële verliezen. Toezicht – Organisaties die onder de richtlijn vallen, komen ook onder toezicht te staan. De NIS2-richtlijn schrijft voor dat een onafhankelijk toezichthouder naar de naleving van de verplichtingen uit de richtlijn kijkt; zoals de zorg- en meldplicht. Wij adviseren om de ontwikkelingen ten aanzien van de implementatie van de NIS2-richtlijn te volgen en zo snel mogelijk te betrekken in het informatiebeveiligingsbeleid.
6. Administratieve processen 6.1. Algemeen Uit hoofde van onze controleopdracht voor de jaarrekening hebben wij – in samenhang met onze risicoanalyse – de interne beheersingsmaatregelen binnen de administratieve processen geëvalueerd. Onze bevindingen komen in de hierna volgende paragrafen aan de orde voor elk van de belangrijke administratieve processen van gemeente IJsselstein.
Managementletter 2023
Gemeente IJsselstein
Pagina 24
6.2. Inkopen en aanbesteding en (i ncl. betalingsverkeer) Prestatielevering inkopen IJsselstein beschikt (nog) niet over een formele werkinstructie voor prestatieverklaarders (PAV-ers), waarin beschreven is aan welke eisen moet zijn voldaan alvorens de prestatielevering mag worden goedgekeurd in het financieel systeem door prestatieverklaarders. Daarnaast is er geen beleid ten aanzien van het bewaren van deze onderliggende bewijsstukken. De matching van facturen met bestellingen/opdrachten/contracten enerzijds en prestatieregistraties anderzijds wordt (nog) onvoldoende zichtbaar (reproduceerbaar) vastgelegd. Inkopen en aanbesteden Het inkoop- en aanbestedingsproces is binnen IJsselstein decentraal belegd. De verantwoordelijkheid voor het op een rechtmatige wijze verrichten van inkopen en aanbestedingen ligt bij de budgetverantwoordelijke per team. Door middel van een zogeheten spendanalyse op de crediteuren is door de Kwaliteitsmedewerker AO/IC tussentijds getoetst of opdrachten met een opdrachtwaarde boven de EUaanbestedingsgrens conform de EU-aanbestedingsregels zijn aanbesteed. Deze spendanalyse is aan ons voorgelegd. Wij hebben de totstandkoming van de spendanalyse en de wijze van vastlegging en onderbouwing beoordeeld en onze opmerkingen en aanbevelingen hierbij meegegeven. Wij hebben geconstateerd dat de spendanalyse goed wordt uitgevoerd.
Wij vragen u de spendanalyse bij te werken met de volledige crediteurenadministratie tot en met 2023 en uw conclusies en rechtmatigheidsoordeel op crediteurenniveau toe te voegen. Wij hebben afgesproken dat wij bij de start van de jaarrekeningcontrole per aanbesteding toetsen of wij ons kunnen vinden in de conclusies die uw gemeente heeft getrokken, aan de hand van de voorbereiding, toelichting en onderbouwing door IJsselstein. Tot slot zullen wij gebruik maken van uw standpunt en vastleggingen waarmee u onderbouwt dat IJsselstein terecht een beroep doet op dwingende spoed, indien dit het geval is.
6.3. Uitgaven Jeug dzorg en Wmo De uitgaven Wmo en Jeugdwet vormen sinds de decentralisatie van het Rijk naar de gemeenten een substantieel deel van de gemeentelijke uitgaven. De (verbijzonderde) interne en externe controle op deze uitgaven wordt bemoeilijkt, omdat de prestatielevering niet aan de gemeente zelf plaatsvindt, maar aan de burgers die recht op zorg hebben. De contractering van Jeugdzorg en Wmo aanbieders en de administratieve verwerking van zorgdeclaraties is door gemeente IJsselstein uitbesteed aan de Regionale Backoffice Lekstroom, onderdeel van de gemeente Houten. De gemeente IJsselstein heeft de Jeugdwet en Wmo taken gemandateerd aan deze organisatie.
Managementletter 2023
Gemeente IJsselstein
Pagina 25
Via deze systematiek blijft de gemeente IJsselstein eindverantwoordelijk voor de getrouwheid en rechtmatigheid van de bestedingen in het kader van de Jeugdwet en Wmo, hierbij werken fouten of onzekerheden door naar de gemeente IJsselstein. Daarnaast is het van belang dat het resultaat van de uitbestede taken getrouw opgenomen wordt in de jaarrekening van IJsselstein. Om deze reden is het van belang dat het definitieve jaarrekeningresultaat en de controleverklaring bij de financiële verantwoording tijdig bekend wordt, zodat dit verwerkt kan worden in de jaarrekening van de gemeente IJsselstein.
6.4. Uitgaven Participatiewet en andere inkomensregeling en De gemeente IJsselstein maakt gebruik van de GR Werk en Inkomen Lekstroom (WIL) voor de uitvoering van de (SiSa-)regelingen vanuit de Participatiewet, Wet BUIG, Participatiedeel Integratie-uitkering Sociaal Domein, ToZo en BBZ 2004. Wij hebben afspraken gemaakt met de accountant van GR WIL ten aanzien van de volgende onderdelen: te toetsen of de baten en lasten in het verslagjaar met betrekking tot bovenstaande regelingen juist en volledig zijn en of de bestedingen en ontvangsten rechtmatig zijn conform het normenkader van IJsselstein; de opgave van de SiSa-regelingen te controleren en de uitkomsten van deze controle aan IJsselstein en Verstegen te rapporteren; een controleverklaring af te geven over de SiSa-verantwoording bij de bovengenoemde regelingen, als ook de totale baten en lasten die in de administratie van IJsselstein verantwoord dienen te worden.
6.5. Leges omgevingsvergunningen Het verstrekken van omgevingsvergunningen en het opstellen van bijbehorende legesbrieven heeft uw gemeente uitbesteed aan de Gemeenschappelijke Regeling Omgevingsdienst Regio Utrecht (OdrU). In eerdere managementletters hebben wij gerapporteerd dat geen nadere verantwoordings- en rapporteringsafspraken zijn gemaakt tussen OdrU en IJsselstein omtrent de door OdrU verstrekte omgevingsvergunningen en dat uw gemeente geen beheersmaatregelen heeft getroffen om de juistheid en volledigheid van de leges uit omgevingsvergunningen zelf vast te stellen en te waarborgen. Op basis van een ontvangen VIC rapportage van de OdrU heeft de gemeente inzicht gekregen in de waarborgen die getroffen worden bij de OdrU in dit proces en welke risico’s OdrU (nog) niet afdekt in proces. Het is van belang dat de gemeente de resterende risico’s beoordeelt en indien noodzakelijk aanvullende (verbijzonderde) interne controlewerkzaamheden uitvoert. Daarnaast zal de voorgaande applicatie SquitXo uitgefaseerd worden. Het is van belang dat deze informatie beschikbaar blijft binnen de gemeente in verband met de verplichte bewaringstermijn die geldt vanuit de wet.
Managementletter 2023
Gemeente IJsselstein
Pagina 26
6.6. Memoriaalboekingen Binnen het proces van het administratief verwerken van memoriaalboekingen in de financiële administratie bestaat functiescheiding tussen het opstellen, het controleren en het verwerken van memoriaalboekingen. Het goedkeuren van de definitieve doorboeking van memoriaalboekingen gebeurt door de financieel consulent. Wanneer de aanvraag voor een memoriaalboeking van de budgetbeheerder afkomstig is, hebben wij vastgesteld dat de definitieve memoriaalboeking niet altijd zichtbaar gecontroleerd wordt door de budgethouder. Wij adviseren IJsselstein om voor de autorisatie van correcties via memoriaalboekingen dezelfde grenzen te hanteren die in de budgethoudersregeling voor verplichtingen genoemd worden: