6. De Visie op Control 2023 en verder van de gemeente Kaag en Braassem

Visie op Control 2023ev middels het 3L-interne risicobeheersingsmodel

Definitieve versie 27-10-2023

1

Inhoudsopgave 1.

Voorwoord

3

2.

Huidige en toekomstige ambitieniveau qua interne (risico) beheersing en het huidige stadium ervan

4

Interne beheersingssysteem, haar scope, componenten en risicobeheersingsdoelen

5

3.

3.1 3.2 3.3

4.

Scope van het interne beheersingssysteem gericht op kritische processen Risicobeheersing(sub)doelen van het interne beheersingssysteem bij de kritische processen Componenten van het interne beheersingssysteem

Het 3L-interne risicobeheersingsmodel als basis voor de implementatie van het interne beheersingssysteem en wie wordt waarvoor verantwoordelijk

5. Juridisch kader van de interne beheersing, (verbijzonderde) interne controle en accountantscontrole

2

5 5 10

15 24

1. Voorwoord Voor u ligt de Visie op Control 2023ev die gebaseerd is op de door de raad per 3 juli 2023 vastgestelde korte en lange termijn gemeentelijke ambitieniveau met betrekking tot de interne (risico)beheersing en de collegeverantwoording daarover. Van interne controle naar interne beheersing. Dit principe is gebaseerd op vertrouwen in de medewerker en de aangetoonde werking van de gemeentelijke kritische processen. Vanwege enerzijds de gewijzigde rechtmatigheidswetgeving en anderzijds de eisen van het af te sluiten Doorontwikkeling Horizontaal Toezichtbelastingconvenant (DHT-convenant) willen en moeten we vanaf het verslagjaar 2023 namelijk samen zichtbaar en aantoonbaar vaststellen dat onze gemeentelijke organisatie de interne beheersing (en de interne controle als sluitstuk daarvan) op orde heeft. Met deze visie als basis gaan we hieraan werken en willen met elkaar groeien naar een gemeentelijke organisatie die een systematisch zelf-controlerende, constaterende, ontwikkelende en daarmee een (bij)sturende organisatie wordt, waarbij de organisatie vanaf 2029 in brede zin ‘in control’ komt en hierna zal blijven. Dit vraagt om een doorontwikkeling van het huidige niveau van de interne beheersing en de (verbijzonderde) interne controle als sluitstuk-component daarvan, waartoe deze Visie op Control vanaf het verslagjaar 2023 als basiskader zal dienen.

3

2. Huidige en toekomstige ambitieniveau qua interne (risico)beheersing en het huidige stadium ervan Op 3 juli 2023 heeft de raad van Kaag en Braassem ten aanzien van de interne (risico)beheersing en (rechtmatigheids)verantwoording daarover door het college het volgende besloten: 1. Het gemeentelijke ambitieniveau met betrekking tot de interne (risico)beheersing en de collegeverantwoording daarover voor de verslagjaren 2023 t/m 2028 vooralsnog te beperken tot voldoening aan de wettelijk gestelde getrouwheids- en financiële rechtmatigheidseisen, waaronder de opname in de jaarstukken van de wettelijk voorgeschreven: A. intern onderbouwde en gecontroleerde Rechtmatigheidsverantwoording in de jaarrekening die gericht is op rapportering van de ontdekte financiële rechtsmatigheidsfouten en onduidelijkheden bij de voor de jaarrekening financieel kritische processen die de door de raad vastgestelde rechtmatigheidsverantwoordingsgrens van 1% van de totale lasten inclusief reservedotaties overschrijden; én B. intern onderbouwde extra collegetoelichting als onderdeel van de Bedrijfsvoeringparagraaf die ingaat op de kwaliteit van de interne beheersingsorganisatie. Het college zal hierin een toelichting geven op c.q.

ingaan op de getroffen en/of te treffen interne beheersmaatregelen ter voorkoming in de toekomst van: • de ontdekte financiële rechtmatigheidsfouten en onduidelijkheden, die de door de raad vastgestelde rechtmatigheidsverantwoordingsgrens van 1% overschrijden en daarmee wettelijk verplicht in de Rechtmatigheidsverantwoording opgenomen moeten worden; • de ontdekte kleinere financiële rechtmatigheidsfouten en onduidelijkheden ≥ €150.000, die niet wettelijk verplicht in de Rechtmatigheidsverantwoording opgenomen dienen te worden, maar vrijwillig door het college aan de raad gerapporteerd zullen worden. 2. Als de interne (risico)beheersing van de gemeentelijke processen en systemen qua getrouwheid en financiële rechtmatigheid in de gemeente Kaag en Braassem geoptimaliseerd is, en meer ervaring met de Rechtmatigheidsverantwoording vanaf het verslagjaar 2023 is opgedaan, heeft onze gemeente als toekomstige ambitie om de wettelijke verplichte Rechtmatigheidsverantwoording vrijwillig vanaf het verslagjaar 2029 uit te breiden naar een bredere ‘In Control Statement’. Hiermee zal het college naast de verantwoording over de waarborging van de financiële rechtmatigheid en getrouwheid (zie punt 1) ook verantwoording afleggen over de mate van waarborging van de doelmatigheid en doeltreffendheid binnen de gemeentelijke organisatie van Kaag en Braassem.

Op basis van de recent uitgevoerde onafhankelijke nulmetingen1 bevindt zich het huidige interne (risico)beheersingssysteem van onze gemeente in het beginstadium van fase 1 van de hieronder afgebeelde ontwikkelingsfasen van de interne beheersing, terwijl vanaf het verslagjaar 2029 fase 6 bereikt dient te zijn.

1 Zie het nulmeting-rapport EFK Belastingadviseurs van 24-4-2023 inzake de voorbereidheidsstatus van onze gemeente om een DHT-

convenant met de fiscus te kunnen afsluiten, zie het nulmeting-rapport BakerTilly Business Advisory van 12-4-2023 inzake de voorbereidheidstatus van onze gemeentelijke verbijzonderde interne controle/beheersing op de komst van de rechtmatigheidsverantwoording, en zie de interim-raadsletter 2022 van de raadsaccountant BakerTilly van 23-2-2023 met daarin de volgende hoofdbevinding: “Vanaf 2023 dient het college zelfstandig verantwoording af te leggen over de rechtmatigheid. De gemeente ligt in de voorbereiding achter op schema. We adviseren om daarin de nodige verbeterstappen te zetten om aan de gestelde hogere eisen aan het interne beheersingssysteem te voldoen”. 4

3. Interne beheersingssysteem, haar scope, componenten en risicobeheersingsdoelen 3.1 Scope van het interne beheersingssysteem gericht op kritische processen Uitgangspunt voor de scope van de interne beheersing (waaronder de (verbijzonderde) interne controle) van de gemeente Kaag een Braassem is om met een procesrisicogerichte insteek te komen tot een adequate mate van intern beheersing op het niveau van de processen die kritisch zijn voor de gemeentelijke jaarrekening en/of begroting. De mate van interne beheersing van deze kritische processen en daarmee de output van deze kritische processen zijn namelijk bepalend voor de mate van realisatie van de financiële en beleidsmatige gemeentelijke hoofddoelstellingen, zoals opgenomen in onder meer de gemeentelijke meerjarenbegroting, enerzijds maar zijn anderzijds ook bepalend of gemeente op concernniveau in control is. De gedachte hierbij is dat hoe meer financiële beheershandelingen met financiële gevolgen voor de begroting c.q. jaarrekening zich binnen een proces afspelen, hoe belangrijker het wordt om dat proces te beheersen c.q. te controleren.

Een proces is kwantitatief kritisch als hierin zich financiële beheershandelingen voordoen, die leiden tot financiële jaarrekeningmutaties én de absolute financiële jaaromvang van deze mutaties (baten, lasten of balansmutaties in €’s) ≥ 70% van de door de raad vastgestelde accountantscontrole-goedkeuringstolerantie voor fouten die de externe accountant van gemeente Kaag en Braassem voor het betreffende verslagjaar hanteert. Dit maakt dus dat een proces in het betreffend verslagjaar kritisch is, qua interne beheersing in control moet zijn/komen en daarmee tevens in de scope van de (verbijzonderde) interne controle valt als dat proces een financiële jaaromvangbedrag heeft ≥ het absolute bedrag van 0,7% (=1% x 70%) van de totale gemeentelijke lasten inclusief reservedotaties van het betreffende begrotings-/verslagjaar. Net als de huidige werkwijze van de accountant van de raad is voor de bepaling van kritische processen vanuit veiligheidsoverwegingen voor een lagere materialiteitsgrens (0,7% i.p.v. 1%) gekozen.

De onderbouwing hiervan is: • dat de interne beheersing en de (verbijzonderde) interne controle gericht is op de individuele processen die afzonderlijk een kleiner financieel omvang hebben dan de jaarrekening als geheel waarin de financiële mutaties vanuit alle processen verantwoord worden; • dat de financiële omvang van de bijna niet-materiële/niet-kritische processen t.o.v. de begrotingstand gedurende het jaar kunnen stijgen; • dat de interne beheersing van bepaalde kleinere niet-kritische processen nog niet op het gewenste niveau zijn, hetgeen ook blijkt uit de laatste (verbijzonderde) interne controle-rapportages, (DHT-)nulmetingen, het interim-raadsletter en het accountantsverslag van bevindingen van de accountant; en • dat bij de systeemgerichte (verbijzonderde) interne controles gebruik wordt gemaakt van deelwaarnemingen om de opzet, bestaan en werking van de interne risicobeheersmaatregelen te controleren resp. dat bij de gegevensgerichte (verbijzonderde) interne controles gebruik wordt gemaakt van steekproeven en hierdoor rekening moet worden gehouden met het risico op onjuiste conclusies als gevolg van ongelukkig of slecht gekozen deelwaarnemingen resp. steekproeven. Immers er worden logischerwijze geen totaalcontroles op alle financiële beheershandelingen van de processen uitgevoerd.

Verder kan een proces - ondanks dat dat vanuit bovenstaande kwantitatieve criterium niet als kritisch is bestempeld - vanuit kwalitatief optiek voor de interne beheersing en dus ook voor de (verbijzonderde) interne controle als kritisch worden bestempeld als dat proces vanuit haar aard significante inherente risico’s en/of vanuit de mate van interne beheersing van dat proces significante intern beheersingsrisico’s m.b.t. de getrouwheid en financiële rechtmatigheid op het niveau van de jaarrekeningniveau met zich meebrengt. Een lijst van de kritische processen voor de interne beheersing en daarmee ook voor de (verbijzonderde) interne controle zal elk verslagjaar in het Verbijzonderde Controle Plan worden opgenomen, die het college als bevoegd eindverantwoordelijke orgaan jaarlijks zal vaststellen.

3.2 Risicobeheersing(sub)doelen van het interne beheersingssysteem bij de kritische processen Gegeven de door de raad vastgestelde en de te realiseren financiële en beleidsmatige hoofddoelstellingen in onder meer de gemeentelijke meerjarenbegroting enerzijds en de door haar op 3 juli 2023 vastgestelde korte en lange termijn ambities qua interne (risico)beheersing en de kaders voor de collegeverantwoording daarover

5

anderzijds, moet ons algehele interne beheersingssysteem2 waarborgen dat de onderstaande zes hoofddoelen bij de voor de jaarrekening kritische processen worden bereikt zodat onze gemeente op deze risicodeelgebieden ‘intern in control c.q. in beheersing’ komt of blijft. Nr

Interne risicobeheersingshoofddoelen van het interne beheersingssysteem

1

Getrouwheid van de (financiële) informatieverstrekking zoals bijvoorbeeld van getrouwheid van de hieronder afgebeelde jaarrekening waaronder • de balans, exploitatie en toelichting op beide; • de SiSa-verantwoordingsbijlage; en • de Rechtmatigheidsverantwoording (nieuw m.i.v. 2023).

2

Financiële rechtmatigheid (waaronder ook o.a. de fiscale rechtmatigheid valt): omvat de naleving van wet- en regelgeving bij financiële beheershandelingen die aan de baten, lasten en balansmutaties van de gemeentelijke jaarrekening ten grondslag liggen en die dus voortkomen uit diverse processen en systemen zowel binnen als buiten de gemeenten. Denk hierbij aan voldoening 3 financiële rechtmatigheidskaders bestaande uit: • de door de raad vastgestelde Financiële rechtmatigheidsnormenkader voor het verslagjaar waarin externe en interne wet- en regelgeving is opgenomen, zoals de Europese aanbestedingsregels, fiscale wet- en regelgeving en overige wet- en regelgeving waarvan de niet-naleving van voornamelijk de bepalingen hierin ten aanzien van recht, duur en hoogte-aspecten leidt tot een financiële onrechtmatigheid; • de door de raad vastgestelde Financiële verordening ex GW 212 resp. het Accountantsjaarrekeningcontroleprotocol 2023ev waarin regelgeving is opgenomen ten aanzien van het begrotingscriterium en de accountantscontrole hiervan; en • de door het college vastgestelde Nota Misbruik & Oneigenlijk gebruik beleid ter voorkoming van misbruik en oneigenlijk gebruik.

3 4

In de Rechtmatigheidsverantwoording met ingang van het verslagjaar 2023 worden de geconstateerde financiële rechtmatigheidsfouten en/of onzekerheden over jaar t voor zover deze de door de raad vastgestelde verantwoordingsgrens voor financiële rechtmatigheid van 1% van de totale lasten inclusief reservedotaties overschrijden verplicht door het college opgenomen. In de wettelijk vereiste onderbouwde extra collegetoelichting als onderdeel van de Bedrijfsvoeringsparagraaf wordt met ingang van het verslagjaar 2023 conform de per 3 juli 2023 gemaakte afspraken met de raad door het college ingegaan op de kwaliteit van de interne organisatie. Het college zal hierin een toelichting geven op c.q. ingaan op de getroffen en/of te treffen beheersmaatregelen ter voorkoming in de toekomst van: • de geconstateerde financiële rechtsmatigheidsfouten en onduidelijkheden, die de rechtmatigheidsverantwoordingsgrens van 1% van de totale lasten inclusief reservedotaties overschrijden en daarmee wettelijk verplicht in de rechtmatigheidsverantwoording opgenomen moeten worden, en • de geconstateerde kleinere financiële rechtmatigheidsfouten en onduidelijkheden ≥€150.000 die conform afspraken op 3 juli 2023 met de raad door het college vrijwillig aan de raad gerapporteerd zullen worden. Beveiliging van middelen (activa en waarden) tegen fraude en ongeautoriseerd aankoop, verkoop of gebruik.

Beveiliging en continuïteit van de interne en externe informatieverstrekking en systemen die nodig is voor sturing, bijsturing en verantwoording.

m.i.v. verslagjaar 2023

2023

2023 2023

2 Ook wel Interne risicobeheersingssysteem, Internal Control Systeem, Internal Control Framework-risicobeheersingssysteem.

6

5

6

Juridische bredere niet-financiële rechtmatigheid (zgn. procedurele rechtmatigheid): omvat de naleving van wet- en regelgeving bij overige beheershandelingen welke niet leiden tot baten, lasten of balansmutaties in de jaarrekening, zoals bijvoorbeeld voldoening aan interne gemeentelijke procedurele regels bij verkiezingen. Doeltreffendheid en/of Doelmatigheid van de processen, systemen en/of organisatieonderdelen gebaseerd op de Verordening doelmatigheid en doeltreffendheid ex GW 213a van de gemeente Kaag en Braassem

2029

2029

Financiële Rechtmatigheid

Getrouwheid

Bij de 1e en 2e interne risicobeheersingshoofddoelen ten aanzien van ‘getrouwheid’ en ‘financiële rechtmatigheid’ zullen conform wet- en regelgeving de onderstaande nadere subdoelen gehanteerd worden die enerzijds overlap met elkaar vertonen en die anderzijds elkaar complementair aanvullen, namelijk:

x

x 1

Risicobeheersingssubdoelen Calculatie

x

x 2

Valutering

Het tijdstip van betaling en de verantwoording van verplichtingen is juist (juiste verslagperiode geboekt).

x

x 3

Levering

Juistheid van ontvangen goederen/diensten.

x

x 4

Adressering

x

x 5

Volledigheid

De persoon of organisatie, waar een financiële stroom naar toe is gegaan, is juist (rechthebbende). Alle opbrengsten, die verantwoord zouden moeten zijn, zijn ook verantwoord.

x

x 6

Aanvaardbaarheid

Omschrijving De vastgestelde bedragen zijn juist berekend.

Financiële beheershandelingen passen bij de activiteiten van de gemeente en i.r.t. de kosten is een aanvaardbare tegenprestatie overeengekomen.

Voorbeelden Legesbedragen, facturen. Aangaan en verantwoording van contracten en verplichtingen. Inkoop van goederen en/of diensten. Betalingsverkeer. Legesopbrengsten , OZB, riool- en afvalstoffenheffing , grondverkopen. Inkoop van goederen en/of diensten, subsidieverstrekki ng. Kostenoverschrijdi ng van een of meer programmabudget .

Link met interne en externe weten regelgeving (zie ook pagina 24).

o.a. BBV (Besluit begroting en verantwoording provincies en gemeenten)

7 Begroting

Financiële handelingen moeten passen binnen het (budget)kader van de geautoriseerde jaarlijkse programmabegroting en binnen het (budget)kader van de hiermee samenhangende programma’s.

8 Voorwaarden

De uitvoering van de financiële beheershandelingen voldoet aan de vigerende gestelde nadere eisen/voorwaarden m.b.t.: a. recht (doelgroep of projectomschrijving) b. heffings- of declaratiegrondslag normbedragen (hoogte en duur) c. bevoegdheden d. voeren van een administratie e. verkrijgen en bewaren van bewijsstukken f. aan te houden termijnen (voor besluitvorming, betaling, declaratie ed.)

Subsidievoorwaar den, aanbesteding, belastingwetgevin g.

9 Misbruik & Oneigenlijk gebruik

De interne toetsing op juistheid, volledigheid en tijdigheid van gegevens die door derden zijn verstrekt bij het gebruik van overheidsregelingen en bij de oplegging van heffingen/belastingen (= misbruik). --------------------------------------------------------De interne toetsing of derden bij het gebruik van overheidsregelingen geen (rechts)handelingen hebben verricht die in strijd zijn met het doel of de strekking van de regeling (= oneigenlijk gebruik).

M & O van o.a. Nota Misbruik & subsidieregelingen Oneigenlijk , kwijtschelding, gebruik beleid uitkeringen, of belastingheffingen .

7

o.a. BBV + Financiële verordening ex GW 212 + Controleprotocol 2023ev Financiële rechtmatigheids normenkader

De bovenstaande interne risicobeheersingssubdoelen 1 t/m 6 hebben naast ‘financiële rechtmatigheid’ ook betrekking op ‘getrouwheid’. Een geconstateerde risico op onvolkomenheid op het terrein van de getrouwheid is veelal ook een onvolkomenheid ten aanzien van de financiële rechtmatigheid omdat dan ook bijvoorbeeld de verslaggevingsregels ten aanzien van het getrouwe beeld (= lees BBV) veelal niet worden nageleefd. De risicobeheersingssubdoelen 7 t/m 9 zijn aanvullende risicobeheersingssubdoelen die alleen betrekking hebben op het 2e risicobeheersingshoofddoel ‘financiële rechtmatigheid’ en omvatten de 3 criteria van ‘begroting’, ‘voorwaarden’ en ‘misbruik & oneigenlijk gebruik’, die hieronder apart zijn toegelicht. Ad 7) Voor het risicobeheersingssubdoel van het ‘begrotingscriterium’ binnen de processen en de output van deze processen wordt gesteund op de reguliere P&C-cyclus met inachtneming van de (controle)regels hieromtrent. De toe te passen normen voor het ‘begrotingscriterium’ zijn bepaald in de Gemeentewet (GW), het BBV met de daarbij behorende uitspraken van cie BBV, en zijn door de raad zelf nader ingevuld en geconcretiseerd in de lokale ‘Financiële verordening ex GW 212’ en de programmabegroting van het betreffend verslagjaar.

De toe te passen controleregels voor de accountantscontrole op de begrotingsrechtmatigheid zijn bepaald in het Besluit accountantscontrole decentrale overheden (BADO), de landelijke Kadernota Rechtmatigheid van de cie BBV en het Accountantsjaarrekeningcontroleprotocol behorende bij de lokale Controleverordening ex GW213 van de gemeente Kaag en Braassem zelf. De procesrisicogerichte risicobeheersing door de proceseigenaren en (verbijzonderde) interne controle hierop zal dezelfde (controle)regels hanteren bij zijn financiële rechtmatigheidsbeheersing en (verbijzonderde) interne controles op de naleving van het ‘begrotingscriterium’ bij de te beheersen en te controleren kritische processen. Ad 8) Het risicobeheersingssubdoel van het ‘voorwaardencriterium’ houdt in dat de uitvoering van de financiële beheershandelingen binnen de processen en de output van deze processen moet voldoen aan de vigerende door de raad vastgestelde externe en interne wet- en regelgeving, zoals opgenomen in de lokaal door de raad vastgestelde Financiële rechtmatigheidsnormenkader voor dat verslagjaar. De niet-naleving van voornamelijk de bepalingen van de hierin opgenomen interne en externe wet- en regelgeving ten aanzien van aspecten recht, duur en hoogte leiden tot een financiële onrechtmatigheidsrisico die primair door de proces/risico-eigenaren beheerst moeten worden.

Om het door de raad vastgestelde financiële rechtmatigheidsnormenkader te kunnen gebruiken voor: • de gerichte interne beheersing van de financiële rechtmatigheidsrisico binnen de voor de jaarrekening kritische processen en systemen. Denk aan het ‘gericht’ kunnen treffen van kostbare interne risicobeheersmaatregelen die de naleving van de relevante artikelen/bepalingen/voorwaarden met financiële jaarrekeninggevolgen van de in het normenkader opgenomen wet- en regelgeving moeten waarborgen, • de procesrisicogerichte (verbijzonderde) interne controles op de opzet, bestaan en werking van de interne risicobeheersmaatregelen t.a.v. de financiële rechtmatigheidsrisico hierbij, en • de gerichte accountantscontrole op de getrouwheid van de rechtmatigheidsverantwoording, zal - conform de aanbeveling van de landelijke Kadernota Rechtmatigheid van de cie BBV - het door de raad lokaal vastgestelde financiële rechtmatigheidsnormenkader stapsgewijs per kritisch proces geoperationaliseerd worden naar een financiële rechtmatigheidstoetsingskader en wel in de vorm van bepaling, naleving van en controle op de naleving van toetspunten als onderdeel van enerzijds de voor de jaarrekening kritische processen en procesbeschrijvingen en anderzijds als onderdeel van de (verbijzonderde) interne controlechecklisten op deze.

Per vigerend wet, regelgeving, besluit of verordening van het vastgestelde financiële rechtmatigheidsnormenkader voor een bepaald voor de jaarrekening kritisch proces, zullen de geïdentificeerde bepalingen/artikelen/voorwaarden eerst verdeeld worden naar de volgende 7 componenten van het risicobeheersingssubdoel ‘voorwaardencriterium’: Bepalingen met Niet-naleving van deze bepaling leidt tot: financiële gevolgen 1 Recht-bepalingen Ja Financiële onrechtmatigheid 2 Hoogte-bepalingen Ja Financiële onrechtmatigheid 3 Duur-bepalingen Ja Financiële onrechtmatigheid 4 Termijn-bepalingen Nee Procedurele onrechtmatigheid 5 Administratieve bepalingen Nee Procedurele onrechtmatigheid 6 Bevoegdheden bepalingen Nee Procedurele onrechtmatigheid 7 Bewijsstukken bepalingen Nee Procedurele onrechtmatigheid Op basis van de onderverdeelde relevante bepalingen/artikelen/voorwaarden met mogelijke financiële jaarrekeninggevolgen, zal door de betreffende proceseigenaren aan de hand van een procesrisicogerichte risicoanalyse - gebaseerd op de ‘Nota Integraal Risicomanagement & Weerstandsvermogenbeleid (is in opmaak 8

en wordt in Q1-2024 ter vaststelling aangeboden aan de raad)’ worden bepaald, welke gerichte interne risicobeheersmaatregelen per proces m.b.t. het voorwaardencriterium moeten worden genomen. Conform de landelijke Kadernota Rechtmatigheid, die nadere voorschriften geeft voor de accountantscontrole op getrouwheid van de financiële Rechtmatigheidsverantwoording van het college voor wat betreft de naleving van het ‘voorwaardencriterium’, zal ook de (verbijzonderde) interne controle hiervan zodanig geschieden. Deze interne controle omvat dus de controle van de opzet, bestaan en werking van de getroffen interne risicobeheersmaatregelen die gericht zijn op de waarborging van de naleving van de voorwaarden (bepalingen/artikelen met financiële gevolgen) in de wetten en regels van het financiële rechtmatigheidsnormenkader t.a.v. sec de volgende drie aspecten, namelijk: 1. Recht, 2. Hoogte en 3. Duur. Alleen de categorie overtreding van deze drie aspecten van het voorwaardencriterium (m.a.w. van bepalingen met financiële gevolgen) bij financiële beheershandelingen binnen de kritische processen hebben namelijk financiële gevolgen voor de jaarrekening en zullen i.c. mits deze de door de raad vastgestelde rechtmatigheidsverantwoordingsgrens overschrijden in de Rechtmatigheidsverantwoording worden verantwoord.

Ad 9) De gemeente heeft een wettelijke taak in het voorkomen en beheersing van de risico op misbruik of oneigenlijk gebruik (M&O) binnen haar eigen gemeentelijke processen en bij de via haar of namens haar organisatie lopende externe overheidsregelingen. Dit zou namelijk tot een financiële onrechtmatigheid in haar eigen uitgaven of ontvangsten kunnen leiden waarvan de verantwoording via de eigen jaarrekening verloopt. De financiële rechtmatigheidseis omvat dus ook de verplichte gemeentelijke M&O-risico-voorkoming en beheersing van en de toetsing door de (verbijzonderde) interne controle op de opzet, bestaan en werking van deze M&O-interne risicobeheersmaatregelen gericht op de voorkoming en beheersing van mogelijk door de derden belanghebbenden verstrekte onjuiste en/of onvolledige gegevens om zodoende misbruik en oneigenlijk gebruik te maken van de toepasselijke (gemeentelijke)overheidsregelingen. Bijvoorbeeld bewust verstrekking van onvolledige gegevens door een derde belanghebbende om zodoende onterecht een uitkering op basis van de geldende voorwaarden van een sociale uitkeringsregeling via of namens de gemeente te kunnen krijgen. M&O kan zich op vele terreinen én in verschillende vormen voordoen.

Als zodanig is dit criterium zeer breed en hangt als het ware als een schil om de overige acht financiële rechtmatigheidscriteria (1 t/m 8) heen en uit zich vaak via specifiek geformuleerde bepalingen in externe overheidsregelingen die via de gemeentelijke organisatie direct of namens haar organisatie indirect verlopen. Onder ‘misbruik’ wordt verstaan: Het opzettelijk niet, niet tijdig, onjuist of onvolledig verstrekken van gegevens met als doel ten onrechte overheidssubsidies of -uitkeringen te verkrijgen of niet dan wel een te laag bedrag aan heffingen aan de (gemeentelijke) overheid te betalen. Misbruik van overheidsgelden wordt geregeld aangeduid met het plegen van fraude om zich onrechtmatig overheidsgelden toe te eigenen. Misbruik van overheidsregelingen moet echter wel duidelijk worden onderscheiden van fraude waarbij veelal één of meerdere medewerkers van de organisatie betrokken zijn. Bij Misbruik is altijd sprake van het financiële onrechtmatig gebruik van een regeling/faciliteit die de overheid biedt en leidt dus tot een financiële onrechtmatigheid voor de gemeentelijke jaarrekening. Wanneer sprake is van misbruik van overheidsgelden moeten deze gelden door de gemeente worden teruggevorderd.

Als in de jaarrekening van de gemeente geen terugvordering is verantwoord, is sprake van een getrouwheidsfout die niet wordt opgenomen in de Rechtmatigheidsverantwoording, omdat er dan ook sprake is van een getrouwheidsfout in de jaarrekening. Wanneer misbruik van overheidsgelden is geconstateerd en een terugvordering (met eventueel een boete) is opgelegd blijft staan dat misbruik van overheidsgelden heeft plaatsgevonden. Indien de omvang van dit misbruik samen met andere financiële rechtmatigheidsfouten bij de gemeente de rechtmatigheidsverantwoordingsgrens heeft overschreden - moet dit misbruik van overheidsgelden worden opgenomen in de Rechtmatigheidsverantwoording. In bijlage 4 van de landelijke Kadernota Rechtmatigheid 2023 van de cie BBV is een schematische voorstelling van de verschillende mogelijkheden opgenomen. Bij het bestrijden van misbruik passen interne risicobeheersmaatregelen zoals misbruikpreventie, handhaving, misbruik opsporing en sancties. Onder ‘oneigenlijk gebruik’ wordt verstaan: Het door het aangaan van rechtshandelingen, al dan niet gecombineerd met feitelijke handelingen, verkrijgen van overheidsbijdragen of het niet dan wel tot een te laag bedrag betalen van heffingen aan de (gemeentelijke) overheid, in overeenstemming met de bewoordingen van de regelgeving maar in strijd met het doel en de strekking daarvan.

Dit vereist dat de vigerende wet- en regelgeving/regeling duidelijk is, aangepast is aan actuele omstandigheden en te handhaven is zodat de regeling zijn beoogde doel(groep) en de strekking bereikt. Bij Oneigenlijk gebruik is er dus geen sprake van een financiële onrechtmatigheid voor de jaarrekening. De interne risicobeheersmaatregelen die daarbij passen zijn: handhaving, voorlichting, analyse toepassen en actualisering wet- en regelgeving. Conform aanbeveling van de cie BBV heeft het college van gemeente Kaag en Braassem een algemeen 9

kaderstellende en overkoepelende Nota M&O-beleid voor het eerst vanaf 2023 opgesteld. Zo’n overkoepelende Nota M&O-beleid was feitelijk echter niet wettelijke verplicht, maar de uitwerking van deze kadernota - in de vorm van (een mix van) concreet getroffen effectieve M&O-risicobeheersmaatregelen binnen en rondom de toepasselijke specifieke regelingen/processen van de gemeente en de (verbijzonderde) interne controle op de opzet, bestaan en werking van deze M&O-risicobeheersmaatregelen - was en is nog steeds altijd wettelijk verplicht (zie artikel 31 van de Financiële verordening gemeente Kaag en Braassem en de landelijke Kadernota Rechtmatigheid 2023 versie oktober 2023). Zo’n kadernota betreft de algemene uitgangspunten en de filosofie van de gemeentelijke organisatie met betrekking tot het voorkomen en beheersing van de risico op misbruik en oneigenlijk gebruik binnen de van toepassing zijnde gemeentelijke specifieke processen/regelingen. Deze mondt uit in de keuzes die de organisatie ter zake moet maken. Hoe de mix van M&O-risicobeheersmaatregelen eruit ziet wordt bepaald door een beleidsmatige keuze, gebaseerd op een M&O-risicoafweging en een kosten-baten(risicodekking)analyse aan de hand van deze Nota M&O-beleid van het college.

Bij de interne risicobeheersing en de (verbijzonderde) interne controle van het ‘misbruik & oneigenlijk gebruikscriterium’ van regelingen binnen de kritische processen en de output van deze processen wordt de opzet, bestaan en werking van de specifieke M&O-beheersmaatregelen, die gericht zijn op de naleving van de specifieke M&O-bepalingen welke opgenomen zijn in de diverse regelingen, door de proceseigenaren/ clustermanagers beheerst en door de (verbijzonderde) interne controle gecontroleerd. Deze aanvullende M&O-bepalingen maken dus ook deel uit van het toetsingskader voor de (verbijzonderde) interne controle op financiële rechtmatigheid (zie ad 8 hierboven). Wanneer het college op basis van o.a. de (verbijzonderde) interne controle gericht op M&O concludeert dat het M&O-beleid (op onderdelen) niet actueel is en/of dat de er geen M&O-beleid bestaat of het M&O-beleid feitelijk niet is nageleefd dan vermeldt het college dit in de Bedrijfsvoeringsparagraaf conform de landelijke Kadernota Rechtmatigheid van de cie BBV. Daadwerkelijke geconstateerde financiële onrechtmatigheid als gevolg van Misbruik-criterium voor zover deze niet het getrouwheidsaspect raken, worden betrokken bij het opstellen van de Rechtmatigheidsverantwoording. (zie bijlage 4 landelijke Kadernota Rechtmatigheid 2023 van de cie BBV).

3.3 Componenten van het interne beheersingssysteem Het interne beheersingssysteem van gemeente Kaag en Braassem bestaat uit een vijftal componenten die er samen voor moet zorgen dat de gemeentelijke organisatie vooraf beheersbaar is ingericht en dat daarna door het bestuur (college en DirectieTeam DT) en het proces(risico)eigenaren/clustermanagement feitelijk ook (bij)gestuurd wordt om de bovenstaande zes risicobeheersingshoofddoelen te bereiken. De inrichting van het interne beheersingssysteem zal organisatieafhankelijk zodanig ingericht moeten worden dat met een minimum aan maatregelen een optimale beheersing wordt bereikt. De risico’s (op afwijking van de gestreefde risicobeheersingsdoelen) moeten hierbij in voldoende mate beheerst worden en maar ook de kansen in voldoende mate benut worden. Deze (elkaar beïnvloedende) vijftal componenten van een adequate interne beheersingssysteem, met de bijbehorende algemeen aanvaarde principes, zijn hieronder afgebeeld en toegelicht:

10

1. Beheersomgeving (control environment): is de fundering voor de overige 4 componenten en voorziet in discipline en structuur. Het bepaalt het gevoeligheidsniveau van het personeel ten aanzien van de noodzaak van interne (risico)beheersmaatregelen. De factoren die een impact hebben op deze Beheersomgeving zijn onder meer integriteit, ethische waarden en deskundigheid van het personeel, de managementstijl en filosofie, de organisatiecultuur, het beleid rond delegatie van bevoegdheden en verantwoordelijkheden, het HRM beleid, maar ook deze Visie op control, het integriteits-, fraude-, M&O-, integraal risicomanagementbeleid, Financiële verordening ex GW212, Controleverordening ex GW213, Controleprotocol, Verordening doelmatigheid- en doeltreffendheid ex GW213a etc. 2. Integraal Risicomanagement (risk assessment/risicoanalyse): Ieder organisatie zoals ook onze gemeentelijke organisatie wordt geconfronteerd met interne en externe risico’s, die de realisatie van de vastgestelde gemeentelijke doelen in het gedrang kunnen brengen. De proceseigenaren/clustermanagers in de 1e lijn zijn primair zelf verantwoordelijk voor de realisatie van hun eigen (proces/cluster)doelstelen, die direct of indirect bijdragen aan de realisatie van de gezamenlijke doelen van de gemeente zoals onder meer opgenomen in de programmabegroting.

Deze proceseigenaren/clustermanagers in de 1e lijn worden ook wel de ‘risico-eigenaren/-managers’ van hun proces/cluster genoemd. Risico’s moeten gemanaged worden. Hiertoe moeten risico’s geïdentificeerd, geanalyseerd, ingeschat (kans x effect), waar mogelijk voor de bepaling van de benodigde weerstandscapaciteit gekwantificeerd, en geprioriteerd worden.

Afhankelijk van deze prioritering in een Internal Control Framework-risicobeheerssysteem en vanuit een vastgestelde integraal risicomanagementbeleid (waarin de hieronder afgebeelde risicobeheersingsmatrix als uitgangspunt zal dienen) zal moeten worden afgewogen welke risicobeheersingsstrategie per geïdentificeerde risico gehanteerd zal worden: dit leidt tot een bewuste overweging om een risico te aanvaarden/accepteren, te vermijden/voorkomen, te overdragen/delen of te reduceren/verminderen door treffen van liefst preventieve en repressieve interne (risico)beheersmaatregelen.

B A Risico-effect overdragen vermijden Hoog delen voorkomen D C Risico-effect aanvaarden reduceren Laag accepteren verminderen Risicokans Risicokans Laag Hoog C

Reduceer Risicokans * AO/IB maatregelen * Opleiding mensen

Preventief

* Eindvaluaties en controles Repressief om lessen voor toekomst te trekken

11

Reduceer Risico-effect * Contractuele afspraken * Afsluiten risicoverzekeringen * Vormen voorzieningen * Tussentijdse toezicht op proces * Communicatie * Garantie verlenen * Serviceverlening

Kwadranten van de risicobeheersingsmatrices nader toegelicht: A. risico vermijden/voorkomen: dit zijn risico’s die de gemeente vanwege hun potentiële risico-omvang (kans x effect) niet wil lopen, maar die ook niet over te dragen zijn aan derden. Daarom dienen deze risico’s zo snel mogelijk te worden geëlimineerd. Dit kan door risicokans, -effect of beide factoren weg te nemen door bijvoorbeeld het beleid/proces waar een risico door ontstaat te staken, qua schaalomvang te verkleinen of anders vorm te geven, B. risico overdragen/delen: dit zijn risico’s die de gemeente vanwege hun potentiële risico-omvang niet wil lopen, maar die ook niet zelfstandig door de gemeente te beheersen zijn. Overdracht van het risicovol proces kan door het (gedeeltelijk) onderbrengen bij een derde die daarmee ook het risico overneemt, verzekeren, contracteren, diversificeren of hedgen, C. risico reduceren/verminderen: dit zijn door de gemeente zelfstandig beïnvloedbare risico’s die de gemeente vanwege hun potentiële risico-omvang niet wil lopen. Afzwakken van de risicokans, -effect of beide factoren kan op een liefst preventieve en/of repressieve wijze door het treffen en onderhouden van voornamelijk interne risicobeheersmaatregelen zoals die hierboven in de laatste matrix van kwadrant C zijn weergegeven.

Het middels (verbijzonderde) interne controles toetsen van opzet, bestaan als werking van de interne risicobeheersmaatregelen is essentieel voor het onderhoud van deze maatregelen die de realisatie van de continu wijzigbare risico’s/doelen moet waarborgen. D. risico aanvaarden/accepteren: de op basis van de voorgaande genomen stappen resterende nettorisico’s die niet vermeden, overgedragen, of gereduceerd kunnen worden, zullen geaccepteerd worden mits hun risico-omvang onder het risico-acceptatieniveau (risk-appetite) van de gemeente blijft. Dit niveau is sterk afhankelijk van de actuele omvang van het beschikbare weerstandscapaciteit van de gemeente en de hieronder vallende componenten. Zie hiervoor de wettelijk verplicht gestelde ‘risicoparagraaf Weerstandsvermogen’ in de gemeentelijke jaarstukken en de ‘Nota integraal risicomanagement & weerstandsvermogenbeleid’ dat in opmaak is. Omdat de omstandigheden continu wijzigen, moet het managen van risico’s integraal en permanent gebeuren waarbij er binnen de gemeente Kaag en Braassem voor gekozen is om deze risico’s periodiek te registeren en minimaal jaarlijks bij te houden in een Internal Control Framework-risicobeheersingssysteem (voorlopige keuze is gevallen op het Engage-procesbeschrijving- en procesrisicoregistratie-systeem).

Om het integraal risicomanagementbeleid tot een succes te maken, dient risicomanagement proactief vanuit een weloverwogen beleidskader continu en gemeente breed op alle (proces-)managementlagen op een gecoördineerde systematische wijze integraal uitgevoerd te worden. Hierbij is het van belang rekening te houden met: • de brede integrale focus op risico’s: niet alleen op financiële kwantificeerbare risico’s, maar ook aandacht voor de maatschappelijke, politieke en legislatieve externe risico’s enerzijds en de interne risico’s m.b.t. strategie, beleid, proces, leiderschap, middelen (financiën, ict en techniek). • het risico-acceptatieniveau, de risicohouding en de culturele gedragsaspecten van de organisatieleden, en • de integratie van de integrale risicomanagementactiviteiten in de gemeentelijke organisatie in de vorm van bijvoorbeeld de risicoparagraaf bij agenda-/besluitvormings- maar ook de wettelijk verplicht gestelde ‘risicoparagraaf Weerstandsvermogen’ in de reguliere P&C-cyclus-producten (jaarrekening en begroting) waar het al een onderdeel van is. Derhalve is de ‘Nota integraal risicomanagement & weerstandsvermogenbeleid’ momenteel in de maak en zal in het eerste kwartaal van 2024 aan de raad te vaststelling worden voorgelegd. 3.

Interne (risico)beheersactiviteiten/maatregelen en procesbeschrijvingen in de 1e lijn): Het gaat hier om dat de kritische processen die nodig zijn voor het bereiken van de gemeentelijke doelen op basis van een hieraan voorafgaand analyse van het vigerend normenkader en toetsingskader en risicoanalyse per proces – per proces goed zijn opgezet, uniform en actueel zijn beschreven en dat de hierin beschreven getroffen interne risicobeheersmaatregelen in de 1e lijn adequaat, effectief en zichtbaar zijn vastgelegd in dezelfde procesbeschrijving om de risico’s m.b.t. de risicobeheersingshoofddoelen (zie § 3.2) per processtap te reduceren tot een aanvaardbaar risiconiveau. Deze interne risicobeheersmaatregelen in de 1e lijn moeten adequaat en effectief zijn, en kunnen een mix zijn van: • harde of zachte interne beheersmaatregelen, • handmatige of geautomatiseerde interne beheersmaatregelen, • algemene organisatorische interne beheersmaatregelen: deze hebben betrekking op de gehele organisatie, vormen als het ware de algemene kaders voor de te treffen proces- en systeem specifieke beheersmaatregelen, en hebben voornamelijk een preventieve werking bij de voorkoming van afwijkingen, fouten, onrechtmatigheden, ontvreemdingen etc. Voorbeelden hiervan zijn kaderstellende begroting, normen, richtlijnen, procedures, delegatie van bevoegdheden, autorisatie- en mandaatregeling, 12

4-ogenprincipe, controle technische functiescheiding, fysieke toegangsbeveiliging ruimten, general ITcontrols, en • proces-/systeem specifieke interne beheersmaatregelen: deze zijn proces- of systeem specifieke controls/ beheersmaatregelen, die in de operationele en ondersteunende processen en/of systemen van de 1e lijn zijn geïntegreerd, en kunnen zowel een preventieve als een repressieve werking hebben. Indien deze proces- of systeem-controls geautomatiseerd zijn, worden deze ook wel ‘application controls’ genoemd. Voorbeelden hiervan zijn zelfcontroles, collegiale toetsing, geautomatiseerde of handmatige invoercontroles, cijferanalyses, verbandcontroles tussen input en output proces, aansluitcontroles tussen jaarrekening en boekhouding, versturen van saldobiljetten, voorraadinventarisatiecontroles, toepassen van werkinstructies en -checklists.

Getrouwheid informatievoorziening

Stille waarden

Rechtmatigheid (in enge of brede zin)

Helderhe id Risicomanagem ent

Vertrou wen

ICT control

Wetgevin g

Juridische control

“In control”

Leidersc hapstijl

Realiseren (strategische) doelen

Uitvoerbaarheid

Taken, bevoegdhede n& verantwoor delijkheden

Projectcontrol

Eenvoud

Transparantie

Kwaliteit medewer kers

P&C instrumen ten

Duidelijke organisati edoelen

Tone at the top

Kaders, procedure s, etc.

Aanspreek baarheid

Bespreekbaarheid

Doelmatigheid en Doeltreffendheid

4. Informatie & communicatie (inclusief Rechtmatigheidsverantwoording): De kwaliteit van de bestuurlijke informatievoorziening, en de adequate interne en externe communicatie en verantwoording op basis hiervan, is essentieel om: • de (tussentijdse) ontwikkeling en realisatie van de financiële en beleidsmatige gemeentelijke doelen naar aanleiding van de uitvoering tijdig in beeld te krijgen, • deze te spiegelen aan de (bijgestelde) financiële en beleidsmatige begroting, • zo nodig op de juiste onderdelen bij te kunnen sturen, en • uiteindelijke over het gevoerd financieel en beleidsmatig bestuur verantwoording af te kunnen leggen middels onder meer de jaarstukken (waaronder de Rechtmatigheidsverantwoording) aan de raad, de provinciale toezichthouder, het Rijk (SiSa) en de burgers. De kwaliteit van de informatie kan gemeten worden op basis van de volgende criteria: getrouwheid (juist, volledig en tijdig), relevantie, actualiteit, accuraatheid, vergelijkbaarheid, toegankelijkheid en continuïteit van de informatie(verstrekking). 5.

Systeemgerichte controles (op de toereikendheid van de opzet, bestaan en werking van de interne risicobeheersmaatregelen) en/of Gegevensgerichte controles op de uitkomsten van processen, en Monitoring & Bijsturing: Het sluitstuk van het interne beheersingssysteem van gemeente Kaag en Braassem is het door uitvoeren van: • continue toezicht en (zelf)controles door proceseigenaren/clustermanagers en procesbetrokkenen in de 1e lijn, • periodieke interne controles door de 2e lijn IC-controleurs in de 2e lijn, • periodieke verbijzonderde interne controles (VIC) door de VIC’ers van team Control in de 3e lijn op onder 13

meer de kwaliteit van de uitgevoerde interne controles in de 2e lijn, en • jaarlijkse accountantscontrole door de externe accountant in de 4e lijn, vast te stellen of de feitelijke realisatie van de gemeentelijke doelen middels de kritische processen (zie §3.1) voorlopig t/m 2028 gericht op de sec enkele risicobeheersingshoofddoelen (zie § 3.2) getrouw en financieel rechtmatig is verlopen. Dit vereist het zichtbaar plannen, onderling afstemmen, uitvoeren, vastleggen van bevindingen en aanbevelingen en daarmee aantonen van het bestaan en de werking van de getroffen interne risicobeheersmaatregelen door uitvoeren van steekproefwijze liefst proces-systeemgerichte en/of gegevensgerichte controlewerkzaamheden door de 2e lijn IC, de 3e lijn VIC en de 4e lijn Accountant. Deze controlewerkzaamheden vormen, als onderdeel van de Monitoring-component, als het ware het sluitstuk van het interne beheersingssysteem. Naast constateren, helpen deze periodieke controleuitkomsten en -aanbevelingen de organisatie bij de noodzakelijke bijsturing, door te voeren correcties en voorkoming van toekomstige risico’s. Een vooraf goed ingerichte en werkende AO-procesbeschrijving inclusief de hierin opgenomen interne risicobeheersmaatregelen in de 1e lijn beperkt namelijk het risico op onvolkomenheden bij de bron (processen van de 1e lijn).

Zodoende kan dus met een kleiner aantal interne controles in de 2e en 3e resp. externe controles in de 4e lijn achteraf worden volstaan. Wanneer adequate interne risicobeheersmaatregelen in de processen (in de 1e lijn) zelf zijn opgenomen, kunnen de interne en externe controles bovendien zich primair richten op de opzet, bestaan en werking van die controles in de 1e lijn (systeemgerichte controles) en zullen de aanvullende kostbare gegevensgerichte controles beperkt kunnen worden. Op basis van de verkregen resultaten uit deze controles, die t.b.v. de proceseigenaren/ clustermanagers, het DT en het college verzameld moeten worden, in een nog in te richten periodieke ‘Interne Monitoring(actieen voortgangs)systeem’, kan de proceseigenaar/clustermanager/MT-lid, het DT en uiteindelijk het integraal eindverantwoordelijke college voor zover nodig bijsturende acties ondernemen om dit in de toekomst te voorkomen.

Dit kan vervolgens leiden tot: • aanpassingen in 1 of meer van de 5 componenten van het interne beheersingssysteem betekenen, en/of • uitbereiding van de vooraf bepaalde scope/ambitieniveau van het huidige interne beheerssysteem. Hierbij kan vervolgens, met de interne controles in de 2e en 3e lijn en met de externe accountantscontrole in de 4e lijn, getoetst worden of de doorgevoerde aanpassing het beoogde effect heeft gehad. Hiermee wordt op een cyclische wijze gewaarborgd dat het interne beheersingssysteem en daarmee de processen effectief en efficiënt zijn, en zo nodig worden aangepast aan de wijzigende omstandigheden waardoor uiteindelijk risico’s op afwijkingen steeds verder worden teruggedrongen en dus ook kansen optimaler worden benut.

14

4. Het 3L-interne risicobeheersingsmodel als basis voor de implementatie van het interne beheersingssysteem en wie wordt waarvoor verantwoordelijk

Hierboven is het in te voeren 3-Lines-interne risicobeheersingsmodel in relatie tot de wettelijke verplichte jaarstukken vanaf het verslagjaar 2023 (waaronder de Rechtmatigheidsverantwoording en de extra collegetoelichting in de Bedrijfsvoeringparagraaf) gevisualiseerd weergegeven. Het 3L-interne risicobeheersingsmodel is een veel beschreven methode om aan de buitenwereld te laten zien dat de organisatie in control is en dat de belangrijkste risico’s goed beheerst worden. Voor het adequaat beheersen van een organisatie en de risico’s is de (juiste) inrichting van de 3-lines binnen de organisatie en per proces essentieel. Dus een passende organisatorische inrichting, formatie & bezetting, procesonafhankelijke positionering van 2e lijn IC en organisatieonafhankelijke positionering van 3e lijn VIC Met dit 3L-interne risicobeheersingsmodel worden de taken, bevoegdheden en verantwoordelijkheden m.b.t. • de interne beheersing door de 1e lijn proceseigenaren/clustermanager van de getrouwheid- en financiële rechtmatigheidsrisico’s die uit primaire en ondersteunende kritische processen voortvloeien en die leiden tot jaarrekeningmutaties, • de interne controles (IC) door de 2e lijn Interne Controle (IC) resp.

de verbijzonderde interne controle (VIC) door de 3e lijn op de opzet, bestaan en werking van de in en rondom de processen getroffen interne risicobeheersmaatregelen die gericht zijn op waarborging van de getrouwheid en financiële rechtmatigheid van de hieruit voortvloeiende financiële beheershandelingen die leiden tot jaarrekeningmutaties, • de intern gecontroleerde en onderbouwde opstelling van de Rechtmatigheidsverantwoording namens het college door de 3e lijn VIC, gebruikmakend van de constateringen vanuit de 1e, 2e en 3e lijn, • de intern onderbouwde opstelling van de extra toelichting over de kwaliteit van de interne beheersing in de Bedrijfsvoeringparagraaf namens het college door de 3e lijn VIC, gebruikmakend van de constateringen vanuit de 1e, 2e en 3e lijn, en • de externe controle door de accountant van de 4e lijn op de getrouwheid van de jaarrekening en daarmee ook de getrouwheid van de Rechtmatigheidsverantwoording, voor alle betrokken actoren in de 1e, 2e, 3e en 4e lijn overzichtelijker en daardoor beheersbaarder door deze op elkaar af te stemmen. Dit risico- en controlekosten-reducerend model kent een procesgerichte insteek en is voornamelijk gefocust op 1) het op orde krijgen door de proceseigenaren/clustermanagers van de basis in de 1e lijn.

De basis wordt gevormd door processen en de hierbij getroffen risicogerichte interne risicobeheersmaatregelen in en rondom de processen en systemen. 15

2) de meer gedynamiseerde, gestandaardiseerde en gecoördineerde uitvoering van risicogeoriënteerde proces-, systeemgerichte (verbijzonderde) interne controles in de 2e en de 3e lijn, die vaktechnisch verantwoord en in afstemming met de externe accountant van de 4e lijn moeten worden uitgevoerd Als de basis in de 1e lijn op orde is (= procesbeschrijvingen en interne beheersmaatregelen zijn adequaat opgezet, bestaan een werken in de praktijk) kunnen de (verbijzonderde) interne controles door de 2e en 3e lijn op de procesbeheersing van de 1e lijn, en daarmee ook de externe accountantscontrole door de 4e lijn, meer steekproefsgewijze proces-/systeemgerichte controles uitvoeren op de opzet, bestaan en werking van de in en rondom de kritische processen getroffen handmatige of geautomatiseerde interne risicobeheersmaatregelen, die voorlopig t/m 2028 de getrouwheid- en financiële rechtmatigheidsrisico’s van de proceshandelingen moeten afdekken. Als uit deze minder arbeidsintensieve deelwaarnemingen blijkt dat er gesteund kan worden op het proces/systeem (en dus de hierin opgenomen interne risicobeheersmaatregelen), dan kunnen arbeidsintensieve en dus kostbare gegevensgerichte controles op een groot deel van de proceshandelingen van het onderzochte proces achterwege blijven.

Door middel van de ‘rode pijl’ is de richting van de interne controlewens van de gemeente Kaag en Braassem weergegeven. De focus ligt hierbij op fouten, onzekerheden en onduidelijkheden vooraf voorkomen (preventief) door treffen van risicogerichte interne risicobeheersmaatregelen, in plaats van het achteraf kostbaar herstellen van gedetecteerde fouten, onzekerheden en onduidelijkheden (detectief). Hierbij zal de nadruk van de gemeentelijke organisatie liggen op het aanbrengen van handmatige of liefst geautomatiseerde interne risicobeheersmaatregelen (‘application controls’) in en rondom de processen en de daarbij bijbehorende systemen. Op deze wijze zal de interne beheersing zo veel mogelijk in het proces worden geborgd en naar verwachting zal de kwaliteit van de (proces/systeem)output logischerwijze worden vergroot. Daarmee kan het controleaccent verlegd worden van interne controle op de output (gegevensgericht) naar de controles op de werking van het procesbeheersing-systeem (systeemgericht). De bevindingen en aanbevelingen die uit de interne controlewerkzaamheden van de 2e en 3e lijn voortvloeien, zullen gebruikt worden voor de doorontwikkeling van de processen door de 1e lijn proceseigenaren/ clustereigenaren/risico-eigenaren.

Hierdoor kan de gemeente haar doelen op een meer effectieve, efficiënte en rechtmatige wijze realiseren en kan zij hieromtrent op een meer betrouwbare en rechtmatigere wijze verantwoording afleggen. Hierna wordt ingegaan op de taken, bevoegdheden en verantwoordelijkheden van ieder actor binnen dit 3Linterne risicobeheersingsmodel.

16

Wie wordt waarvoor verantwoordelijk binnen het 3L-interne risicobeheersingsmodel 1e lijn: proceseigenaren/clustermanagers Gemeente Kaag en Braassem heeft er voor gekozen de integrale verantwoordelijkheid voor de procesbeheersing middels interne risicobeheersmaatregelen in de 1e lijn bij de proceseigenaren (zijnde clustermanagers) te beleggen. Elk proces heeft derhalve een formele proceseigenaar, die bevoegd en verantwoordelijk is voor de procesinrichting, procesbeschrijving, proces(risico)beheersing middels interne risicobeheersingsmaatregelen en procesverbetering en dus ook voor de output van zijn/haar proces. De proceseigenaar in de 1e lijn is dus samengevat primair verantwoordelijk voor: • de realisatie van de strategie en voor de daarvan afgeleide gemeentelijke doelen middels zijn/haar eigen proces, • de goede interne sturing en interne risicobeheersing binnen zijn/haar eigen proces, • het dagelijks procesrisicomanagement en kwaliteitsborging, het proces-risicogericht adequaat opzetten en inrichten van zijn/haar proces, het risicogericht en op een gemeente brede uniforme wijze op- en vaststellen van en centraal vastleggen van de procesbeschrijving (inclusief interne risicobeheersmaatregelen) van zijn/haar proces en het (laten) werken van de procesbetrokkenen volgens deze procesbeschrijving en het toezien daarop.

• het managen van de (nieuwe) risico’s die met zijn/haar proces samenhangen, • het treffen van en uitvoeren van proces-/systeemgerichte interne risicobeheersmaatregelen binnen hun eigen proces en hiermee samenhangende systemen, • de volledigheid en betrouwbaarheid van de verantwoordingsinformatie over hun eigen proces(output), en • de tijdig en adequaat doorvoeren van de door hem/haar zelf geconstateerde of door procesbetrokkenen of door derden buiten het proces geconstateerde procesverbeteringen. De 1e, en wel meest essentiële, lijn omvat dus het feitelijke proces, de procesbeschrijving met de daarin verweven interne risicobeheersmaatregelen hiervan, de proceseindverantwoordelijke proceseigenaar en zijn/haar medewerkers die betrokken zijn in de uitvoering van het proces. Een goed opgezette, beschreven en werkende proces(beschrijving met de daarin verweven interne risicobeheersmaatregelen) is namelijk onontbeerlijk voor de realisatie van de gemeentelijke doelen. Deze interne risicobeheersmaatregelen in de 1e lijn moeten adequaat, risicogericht en effectief zijn, en kunnen een mix zijn van: • harde of zachte interne beheersmaatregelen, • handmatige of geautomatiseerde interne beheersmaatregelen, en/of • algemene organisatorische interne beheersmaatregelen of proces-/systeem specifieke interne beheersmaatregelen.

Deze interne risicobeheersmaatregelen zijn om te waarborgen dat de processen en systemen conform de gewenste beschreven opzet werken. De borging van preventieve controls in de processen/systemen door proceseigenaren binnen de 1e lijn heeft altijd de voorkeur boven repressieve controls. Wanneer deze interne risicobeheersmaatregelen in de 1e lijn qua opzet goed op orde zijn en werken, voorkomt dit veel kostbare en onnodige repressieve controle- en reparatiewerk achteraf. Deze repressieve controls worden voornamelijk achteraf door de interne controleurs van de 2e lijn uitgevoerd resp. door de verbijzonderde interne controleurs van de 3e lijn achteraf gereviewed. De proceseigenaar: • heeft de bevoegdheid en (budget, personeel en materiele) middelen en is integraal verantwoordelijk voor de realisatie van de gemeentelijke (financiële en beleidsmatige) doelen binnen de vastgestelde (financiële en beleids- en rechtmatigheidsnormen)kaders middels hun bijdrage aan deze doelen vanuit hun eigen primaire, ondersteunende of besturende processen. Beoordeling van de proceseigenaar dient op den duur te geschieden op basis van de mate van realisatie van de procesdoelen en daarmee de gemeentelijk brede organisatiedoelen.

Voor hun eigen proces waarborgen zij als een zogenaamde procesrisico-eigenaar dat de uitvoering van de financiële beheershandelingen hierin, binnen de kaders van de vigerende interne en externe wet- en regelgeving, voorlopig op een rechtmatige en getrouwe wijze (en later ook op een doelmatige en doeltreffende wijze) verloopt. • heeft hiervoor permanent goed inzicht in de proces- en interne risicobeheersingsdoelen, omvang, kaders (beleidskader, budgetkader, normenkader, toetsingskader), beschikbare personele en materiele middelen, gelopen integrale risico’s van en de al getroffen interne risicobeheersmaatregelen binnen zijn/haar proces. • is verantwoordelijk voor het inzicht in en het melden van de tussentijdse wijzigingen in de interne en externe wet- en regelgeving t.a.v. zijn eigen proces/systemen aan de 2e lijn IC-medewerkers en de 3e lijn VIC17

medewerkers. Omgekeerd geldt dit ook. Dit i.v.m. onder meer de jaarlijkse actualisatie van het financiële rechtmatigheidsnormenkader van de gemeente. • is integraal verantwoordelijk voor de proceskwaliteitsborging en voor de risicobeheersing van zijn geïdentificeerde, geanalyseerde, ingeschatte (kans x effect), waar mogelijk voor de bepaling van de benodigde weerstandscapaciteit gekwantificeerde, en uiteindelijk geprioriteerde procesrisico’s. Op basis van het integrale risicomanagementbeleid van de gemeente Kaag en Braassem (zie ‘Nota integraal risicomanagement & weerstandsvermogenbeleid’) dienen de procesrisico’s door de proceseigenaren systematisch vastgelegd, geactualiseerd en gemonitord te worden in het centrale Internal Control Framework-risicobeheersingssysteem (voorlopige keuze is gevallen op het Engage-procesbeschrijving- en procesrisicoregistratie-systeem), waarbij de proceseigenaar tevens de procesrisico-eigenaar is en daarmee verantwoordelijk is voor de risicobeheersing op basis van een onderbouwde risicobeheersingsaanpak, zoals hieronder afgebeeld:

• is verantwoordelijk voor het zo veel mogelijk preventief voorkomen van significante procesrisico’s door het tijdig en adequaat (laten) nemen van interne risicobeheersmaatregelen binnen hun proces(systeem) welke voorlopig t/m 2028 minimaal gericht moeten zijn op de reductie van risico’s t.a.v. getrouwheid en de financiële rechtmatigheid. • is verantwoordelijk voor de opstelling en vaststelling van een op risicogerichte wijze opgezette, beschreven en actuele procesbeschrijving, die per processtap ingaat op de 6W-vragen en de te nemen zichtbaar gemaakte interne (procesrisico)beheersingsmaatregelen die minimaal gericht moeten zijn op de reductie van de gelopen getrouwheids- en financiële rechtmatigheidsrisico per processtap. Dit vereist dat periodiek (minimaal 1 x per jaar voor het start van het nieuwe verslagjaar) een procesrisicoanalyse door de proceseigenaar van de 1e lijn wordt uitgevoerd, en dat de procesbeschrijving eventueel zo nodig aangepast moet worden. Zonder zo’n actuele en risicogericht opgestelde procesbeschrijving kan geen kostenbesparende systeemgerichte interne of externe controle op de werking van de interne risicobeheersmaatregelen binnen en rondom de processen en de daarmee samenhangende automatiseringssystemen worden uitgevoerd.

Dit leidt tot hogere procesrisico’s en meer kostbare gegevensgerichte interne en externe controles, hetgeen wij als gemeente juist niet meer willen. • is verantwoordelijk voor het gedurende het jaar continue toezien op de naleving van de door haar zelf vastgestelde procesbeschrijving en de hierin opgenomen interne risicobeheersmaatregelen binnen zijn/haar proces. • is verantwoordelijk voor het tijdig, juist en volledig (laten) aanleveren of beschikbaar stellen van de gevraagde documenten, toelichtingen en ruimten voor een effectieve en efficiënte uitvoering van de (verbijzonderde) interne en externe controles. De proceseigenaar wordt op deze wijze directer betrokken in de uitvoering van de (verbijzonderde) interne controles waardoor een betere afstemming plaatsvindt tussen deze controleurs en de proceseigenaren. • is verantwoordelijk voor het tijdig oplossen en herstellen van de geconstateerde getrouwheids- en financiële rechtmatigheidsafwijkingen én de adequate opvolging van procesverbeteringsaanbevelingen t.a.v. zijn/haar proces (zoals bijv.

een voorgestelde nieuwe interne risicobeheersmaatregel door de accountant van de 4e lijn of de interne controleur van de 2e lijn of de verbijzonderde interne controleur van de 3e lijn), en • is verantwoordelijk voor het rapporteren van de geconstateerde, herstelde en niet-herstelde getrouwheidsen financiële rechtmatigheidsafwijkingen aan het DT, de 2e lijn IC-medewerkers en de 3e lijn VICmedewerkers van team Control in verband met de juiste, volledige en tijdige opstelling van de jaarrekening (waaronder de Rechtmatigheidsverantwoording) op gemeenteniveau.