6. De Visie op Control 2023 en verder van de gemeente Kaag en Braassem

18

2e lijn: IC-medewerkers De 2e lijn interne controlefunctie/medewerker • mag niet betrokken zijn bij de door hem/haar onderzochte processen/systemen, en • mag zo nodig altijd escaleren naar de 3e lijn VIC-medewerker of de Concerncontroller van Team Control, waardoor zijn/haar onafhankelijke oordeelsvorming hierdoor gewaarborgd is. De 2e lijn IC-functies/medewerkers zijn verantwoordelijk voor de risicogeoriënteerde en proces/systeemgerichte opzet (IC-plan per proces) en uitvoering van de periodieke interne controles op de kritische processen van het 1e lijn, zoals dat in het overkoepelende VIC-plan van de 3e lijn VIC bepaald is. Zij zijn tevens verantwoordelijk voor de rapportage van de hieruit voortvloeiende bevindingen, aanbevelingen en getrouw- en rechtmatigheidsafwijkingen richting enerzijds de proceseigenaar en anderzijds, na afstemming met de proceseigenaar, richting de 3e lijn VIC-medewerker van Team Control.

De kwaliteit qua opzet, uitvoering en rapportage van deze 2e lijn interne controles is primair hun eigen verantwoordelijkheid, maar de 3e lijn VIC-medewerker zien middels: • beoordeling van het opzet van het IC-plan per proces vooraf, • voortgangsgesprekken tijdens de uitvoering, en • reviews van het IC-procescontroledossier en de rapporteringen achteraf, toe dat de interne controlewerkzaamheden van de 2e lijn voldoet aan de minimale vaktechnische kwaliteitseisen en de eisen zoals die in het vastgestelde VIC-plan is bepaald (welke processen, hoeveel deelwaarnemingen per proces etc.). De startgesprekken van de 2e lijn IC-medewerker met de proceseigenaren van de 1e lijn en de 3e lijn VICmedewerker vormen het startpunt van het jaarlijkse interne controlewerkzaamheden door de 2e lijn op de kritische processen en de daarmee samenhangende automatiseringssystemen van de 1e lijn.

Op basis van deze afstemming en rekening houdende met onder andere: • de actuele ontwikkelingen, • controledoelen/risicobeheersingshoofd/subdoelen, • (normen- en toetsing)kaders, • risico’s gericht op de getrouwheid en financiële rechtmatigheid, • de actuele procesbeschrijvingen en de hierin getroffen interne risicobeheersmaatregelen, • de nog niet opgevolgde aanbevelingen uit voorgaande controlejaren blijkende uit het nog in te richten centrale ‘Interne Monitoring(actie- en voortgangs)systeem’ dat periodiek gevoed wordt vanuit (verbijzonderde) interne controles, accountantscontrole en andere (rekenkamer/fiscale/provinciale IBT)onderzoeken vanaf het verslagjaar 2023 en verder, wordt door de IC-medewerker per kritisch proces een risico georiënteerd procesgerichte IC-plan opgesteld dat mede rekening houdt met de aanwezige IT-general en applicationcontrols binnen en rondom het proces. De door de 2e lijn IC-medewerkers uit te voeren risico georiënteerde, zichtbare en onafhankelijke en vaktechnisch verantwoorde interne controles zijn gericht op: a) de beoordeling van de kwaliteit van de interne procesrisicobeheersingsmaatregelen m.b.t. de kritische processen waarin zich financiële beheershandelingen voordoen, die aan de baten, lasten en balansmutaties van de jaarrekening ten grondslag liggen (controlefunctie).

Deze interne proces-/systeemgerichte controles zijn gericht op de beoordeling van opzet, bestaan en werking van procesbeschrijvingen en de hierin opgenomen specifieke interne (procesrisico) beheermaatregelen ter waarborging van voorlopig t/m 2028 sec de getrouwheid en financiële rechtmatigheid van de hieruit voorkomende jaarrekeningmutaties. Als een proces-/systeemgerichte controle niet mogelijk is worden noodgedwongen meer arbeidsintensievere en dus kostbare gegevensgerichte interne controlewerkzaamheden uitgevoerd. Alle, dus ook niet de kritische, processen worden door de 1e lijn proceseigenaren normaliter conform de vigerende procesbeschrijvingen uitgevoerd en de bepaling van de te beoordelen kritische processen worden jaarlijks in het geactualiseerde VIC-plan door de 3e lijn VIC-medewerker van Team Control i.s.m. de onafhankelijk gepositioneerde Concerncontroller bepaald. b) de rapportering van interne controlebevindingen en aanbevelingen (adviesfunctie) over de kwaliteit van de interne beheersing m.b.t.

de getrouwheid en financiële rechtmatigheid bij de onderzochte kritische processen, zodat enerzijds de proceseigenaren van de 1e lijn verbeteringen kunnen doorvoeren en anderzijds het college uiteindelijk in de extra toelichting in de paragraaf Bedrijfsvoering jaarlijks een passage kan opnemen over de kwaliteit van de interne beheersing op gemeenteniveau (= opstelsom van de interne beheersing van processen). c) de rapportering door de 2e lijn IC van de tijdens de beoordeling van de kwaliteit van de interne procesbeheersing ontdekte en nog niet-herstelde getrouwheids- en financiële rechtmatigheidsafwijkingen, die niet eerder door de 1e lijn zijn gerapporteerd aan het DT. Deze bijvangst is van belang omdat door de 3e lijn VICmedewerker namens het college uiteindelijk op gemeenteniveau een onderbouwde en volledige Rechtmatigheidsverantwoording kan worden opgesteld. 19

3e lijn: VIC-medewerker van Team Control onder functionele leiding van de Concerncontroller: De 3e lijn VIC-functie wordt centraal en onafhankelijk van de te onderzoeken processen en de gemeentelijke organisatie als staf belegd bij de VIC-medewerker van Team Control en de onafhankelijk gepositioneerde Concerncontroller als functie inhoudelijke leidinggevende van deze VIC-medewerker. De onafhankelijke oordeelsvorming van de VIC-medewerker is hiermee gewaarborgd. Deze VIC-medewerker is vrij van beperkingen bij de planning, uitvoering en rapportering van zijn/haar verbijzonderde interne controlewerkzaamheden. Ook kan deze VIC-medewerker (en de Concerncontroller) in voorkomende noodzakelijke gevallen na verplichte voorafgaande consultatie van de Concerncontroller en AD/GS escaleren naar het college.

De VIC-medewerker stelt, onder leiding van de functie inhoudelijke leidinggevende Concerncontroller, een meerjarig VIC-masterplan op dat door het college wordt vastgesteld en stelt vervolgens op basis hiervan jaarlijks namens het college het VIC-plan op, dat gericht is op de beoordeling van de kwaliteit van de interne risicobeheersmaatregelen bij de kritische processen (opzet, bestaan en werking van de procesbeschrijving en de hierin opgenomen procesrisicobeheermaatregelen voorlopig t/m 2028 gericht op sec de waarborging van de getrouwheid- en de financiële rechtmatigheid van de hieruit voorvloeiende jaarrekeningmutaties). Dit meerjarig VIC-masterplan en het op basis hiervan jaarlijks opgestelde VIC-plan: • wordt risico- en procesgericht opgesteld en is dus gericht op de kritische processen die qua financieel omvang materieel zijn voor de jaarrekening en is daarbinnen gefocust op de meest risicovolle processen m.b.t.

de getrouwheid en financiële rechtmatigheid, • maakt gebruikt van het vigerend normenkader en de hiervan afgeleide toetsingskader (toetspunten in de ICplannen van de 2e lijn) per proces, • maakt gebruik van de door de 1e lijn in Engage vastgelegde risico-inschattingen en -analyses van de inherente risico’s en intern beheersingsrisico’s per proces, • maakt gebruik van de actuele procesbeschrijvingen die door de 1e lijn in Engage zijn/zullen worden vastgelegd, • maakt zoveel mogelijk gebruik van een systeemgerichte controle-aanpak per proces, • maakt zoveel mogelijk gebruik van de aanwezige IT-controls in en rondom de geautomatiseerde systemen (general IT- en application controls) bij processen, • draagt bij aan het dynamiseren van de interne controles in de tijd (gedurende het jaar uitvoeren van de controles en niet aan het eind), • draagt bij aan het dynamiseren van de interne controles qua periodiciteit (o.b.v.

roulatiesysteem niet elk jaar goed draaiende processen controleren), • wordt vaktechnisch verantwoord opgesteld en bevat een juiste mix van controlemaatregelen om de opzet, bestaan en werking van de getroffen interne risicobeheersmaatregelen te toetsen, • maakt zoveel mogelijk gebruik van formats voor de planning en rapportering ter waarborging van uniformiteit en standaardisatie, • wordt systematisch, zorgvuldig, met voldoende ingecalculeerde controletijd en objectiviteit (niet betrokken bij het beoordeelde en geen opgelegde belemmeringen), met vaktechnische bekwame en inhoudelijke deskundige controleurs opgesteld en uitgevoerd, zodat onder meer de externe accountant conform NV COS 610 maximaal gebruik kan maken van de uitgevoerde (verbijzonderde) interne controles en de daaruit voortkomende bevindingen en aanbevelingen. Het meerjarig VIC-masterplan en het op basis hiervan jaarlijks opgestelde VIC-plan wordt, met behoud van eigen bepalende verantwoordelijkheid van de 3e lijn VIC, vervolgens met de externe accountant van de 4e lijn, de 2e lijn IC-medewerkers, de Proceseigenaren/Clustermanager van de 1e lijn afgestemd. Het meerjarig VIC-masterplan en het op basis hiervan jaarlijks opgestelde VIC-plan wordt na behandeling in het DT (waarin Algemeen Directeur/Gemeentesecretaris zitting in heeft) door het college formeel vastgesteld.

Nadat het jaarlijkse VIC-plan door het college is vastgesteld, bewaakt de 3e lijn VIC-functie: • voorafgaand aan de interne controle van de 2e lijn de kwalitatieve nadere uitwerking van het VIC-plan per proces (= het kwalitatieve opzet van de door de 2e lijn per te controleren kritische proces uit te werken ICplan per proces) en laat het indien nodig bijstellen. • middels tussentijdse voortgangsgesprekken de voortgang van de uitvoering van de IC-plannen per kritisch proces door de 2e lijn IC-functie, en • middels reviews (gehele of gedeeltelijke re-performance) van het IC-procescontroledossier (IC-plan per proces, onderbouwing en rapporteringen), de juiste en volledige uitvoering van de interne controlewerkzaamheden van de 2e lijn en juistheid en volledigheid van de hieruit getrokken bevindingen, aanbevelingen en getrouwheid- en rechtmatigheidsafwijkingen. De 3e lijn VIC-functie kan qua opzet, uitvoering en rapportage van de interne controle hierbij bindende instructies geven aan de 2e lijn IC-medewerkers. 20

De 3e lijn VIC-functie stelt op basis van de beschikbare informatie vanuit • de 1e lijn (w.o. de rapportage over geconstateerde, herstelde en nog niet-herstelde getrouwheids- en financiële rechtmatigheidsafwijkingen aan het DT), • de uitgevoerde 2e lijn IC-controles (w.o. de tijdens de beoordeling van de kwaliteit van de interne procesbeheersing door de 2e lijn ontdekte en nog niet-herstelde getrouwheids- en financiële rechtmatigheidsafwijkingen, die niet eerder door de 1e lijn zijn gerapporteerd aan het DT). • de eigen 3e lijn VIC-functie, en • de externe accountantscontrole van de 4e lijn (interim management-letter en eindejaarcontrolebevindingen) de volgende documenten op: a) halfjaarlijks een voortgangsrapportage van de uitvoering en uitkomsten van het jaarlijkse VIC-plan ter behandeling in het DT en vervolgens ter behandeling in het college. Met de bevindingen en aanbevelingen vanuit de bovenstaande controles kunnen enerzijds de proceseigenaren en de DT-leden de interne (risico)beheersing van hun processen verder verbeteren, zodat de gemeente “in control komt en blijft”. b) jaarlijks namens het college een intern onderbouwde en gecontroleerde Rechtmatigheidsverantwoording op.

c) jaarlijks namens het college een onderbouwde extra college toelichting in de Bedrijfsvoeringparagraaf op over de kwaliteit van de interne beheersing conform de op 3 juli 2023 gemaakte afspraken met de raad. Tenslotte is de 3e lijn VIC-functie verantwoordelijk voor: • het bijstaan van de accountantscontrole als eerste aanspreekpunt, en • - in voorkomende gevallen - het informeren en adviseren van het college, het DT (incl. AD/GS), de proceseigenaren van de 1e lijn en de 2e lijn IC-medewerkers omtrent de beheersing(wijze) van de risico’s, processen en systemen op een zodanige wijze dat de eigen onafhankelijkheid(soordeel) gewaarborgd blijft. • het volgen van landelijke ontwikkelingen en trends op het gebied van (verbijzonderde) interne controle en rechtmatigheidsverantwoording en het signaleren van de gevolgen en risico’s hiervan voor de interne sturing, beheersing en Rechtmatigheidsverantwoording. 4e lijn: externe accountant De externe controle wordt uitgevoerd door de externe accountant in de 4e lijn. Deze heeft een eigen verantwoordelijkheid voor de oordeelsvorming bij de jaarrekening en geeft tussentijds een interimmanagementletter en -raadsletter resp. een accountantsverslag van bevindingen en een controleverklaring af m.b.t. de getrouwheid van de jaarrekening waarin de Rechtmatigheidsverantwoording is opgenomen.

Vanaf het verslagjaar wijzigt de accountantscontrole op de jaarstukken. T/m verslagjaar 2022 was het:

Vanaf verslagjaar 2023 is het geworden:

21

Zoals in art 213 GW is voorgeschreven, zal de controle door de accountant van de in artikel 197 Gemeentewet bedoelde jaarrekening gericht zijn op het afgeven van een getrouwheidsoordeel in hoeverre : a. de jaarrekening een getrouw beeld geeft van zowel de baten en lasten als de grootte en samenstelling van het vermogen in overeenstemming met het Besluit begroting en verantwoording provincies en gemeenten (BBV); b. de baten en lasten, alsmede de balansmutaties met betrekking tot specifieke uitkeringen als bedoeld in artikel 17 van de Financiële-verhoudingswet rechtmatig tot stand zijn gekomen; c. de rechtmatigheidsverantwoording van het college als onderdeel van de jaarrekening een getrouw beeld geeft van de geconstateerde financiële rechtmatigheidsfouten en/of onzekerheden over jaar t voor zover deze de door de raad vastgestelde verantwoordingsgrens voor rechtmatigheid overschrijden; d. de jaarrekening is opgesteld in overeenstemming met de bij of krachtens algemene maatregel van bestuur te stellen regels, bedoeld in artikel 186; en e. het jaarverslag met de jaarrekening qua beeld verenigbaar is.

Met behoud van de eigen verantwoordelijk van de gemeente voor de eigen interne controles, en ter bevordering van een efficiënte en effectieve reguliere accountantscontrole en voorkoming van doublures, is het noodzakelijk om het jaarlijks opgesteld VIC-plan van de 3e lijn (inclusief de daaronder liggende IC-plannen per proces van de 2e lijn) vóór de start van de interne controles met de accountant (in de hoedanigheid van adviseur) af te stemmen. In daarop volgende periodieke afstemming-overleggen kan de voortgang en de controleresultaten van de uitgevoerde (verbijzonderde) interne controles door de 3e en 2e lijn met de externe accountant gedeeld worden, zodat de accountant optimaal hier gebruik van kan maken. Voor de accountant is de omvang en kwaliteit van de 1e lijn procesbeschrijvingen (inclusief interne risicobeheersmaatregelen) en werking daarvan en van de (verbijzonderde) interne controles bepalend voor de noodzakelijke breedte en diepgang van zijn eigen controle. Hoe hoger de kwaliteit en omvang van de 1e lijn procesbeschrijvingen en de werking daarvan en van de (verbijzonderde) interne controles, hoe minder hij/zij externe controlewerkzaamheden zelf hoeft uit te voeren.

Met ingang van het jaar 2014 mag de accountant formeel alleen gebruik maken van de intern uitgevoerde en vastgelegde (verbijzonderde) interne controles, mits deze aan de criteria van NV COS 610 (= controlestandaarden van de accountant) voldoen. Dit houdt in dat deze (verbijzonderde) interne controles op: 1) een objectieve wijze moeten zijn uitgevoerd: Dit betreft • de vraag of de uitvoering van de verbijzonderde interne controlewerkzaamheden zijn uitgevoerd door een onafhankelijk gepositioneerd organisatieonderdeel (Team Control) die niet betrokken zijn geweest bij het gecontroleerd proces, • de aanwezigheid van beleid en procedures rondom de (verbijzonderde) interne controle, • de besluitvorming over arbeidscontracten door de toezichthoudende organen, en • het vrij van beperkingen kunnen opereren en rapporteren door interne controleurs aan de toezichthoudende organen, 2) een deskundige wijze moeten zijn uitgevoerd: Dit betreft • de opleiding en kwaliteiten van de controleurs, • de omvang van de functie (in kwantiteiten) en • het lidmaatschap van een professionele beroepsorganisatie waardoor verplicht professionele standaarden moeten worden toegepast en nageleefd, en 3) een systematische, gedisciplineerde en zorgvuldige wijze moeten zijn uitgevoerd: Dit betreft • de werkcultuur, • het permanent opleiden en trainen van medewerkers, en • het toepassen van een kwaliteitssysteem

(performance-evaluatie, supervisie en review). Dit alles vereist dus zeker een vaktechnisch verantwoorde formatie, bezetting, planning en uitvoering van de (verbijzonderde) interne controles. College Het college is primair eindverantwoordelijk voor de naleving van de wet- en regelgeving en daarmee voor de rechtmatigheid van de besteding en inning van de publieke middelen binnen de gemeente. Daarbij is zij verantwoordelijk voor het treffen van interne beheersingskaders die een adequate AO/IB waarborgen en daarmee de kans op onvolkomenheden c.q. onrechtmatigheden worden beperken. Het college is tevens verantwoordelijk voor een toereikende beleid ter voorkoming en bestrijding van misbruik & oneigenlijk gebruik van de vigerende wet- en regelgeving. Het college dient daarom zodanige maatregelen te 22

treffen dat de getrouwheid en rechtmatigheid van de algehele uitvoering gewaarborgd is. Bij afwijkingen moet het college maatregelen voor herstel van de tekortkomingen (laten) treffen. Het college is tevens conform artikel 212 GW en Financiële verordening ex GW 212 verplicht zorg te dragen voor de verplichte jaarlijkse systematische interne controle van de getrouwheid en de financiële rechtmatigheid van de jaarrekening, en voor het daaraan ten grondslag liggende (financiële) beheer. Eén van die maatregelen is het laten opstellen van een jaarlijkse VIC-plan, die zij formeel vaststelt. Het college legt verantwoording af aan de raad over de uitvoering en adequate vastlegging hiervan middels de jaarstukken, waaronder de Rechtmatigheidsverantwoording en de extra collegetoelichting over de kwaliteit van de interne beheersing in de Bedrijfsvoeringparagraaf met ingang van het verslagjaar 2023. Het college geeft bij de opgestelde jaarrekening een schriftelijke bevestiging (LOR) af aan de accountant waarin het de juiste en volledige informatieverstrekking verklaart voor zaken die in het kader van de getrouwheid en rechtmatigheid van belang kunnen zijn. Raad De raad stelt bij verordening (Controleverordening ex GW213) regels vast voor de controle op het financiële beheer en op de inrichting van de financiële organisatie.

De opdrachtverstrekking aan de externe accountant vindt plaats door de raad. In het BADO (inclusief SiSa) is vastgelegd wat deze controle minimaal behelst. De raad stelt met: a. de Controleverordening en het daarmee verbonden Controleprotocol, b. het Financieel rechtmatigheidsnormenkader, en c. de Opdrachtverstrekking aan de accountant, de nadere reikwijdte en accountantscontrole-goedkeurings- en rapporteringstoleranties van de jaarlijkse accountantscontrole van de jaarrekening vast. De op 3 juli 2023 door de raad van gemeente Kaag en Braassem vastgestelde kaders • voor de accountantscontrole-goedkeuringstolerantie zijn:

• voor de accountantscontrole-rapporteringsgrens ten aanzien van niet-SiSa-gerelateerde processen is: rapportering van geconstateerde fouten en/of onzekerheden ≥ €150.000, zonder de controle uit te bereiden. De raad stelt voor de Rechtmatigheidsverantwoording vanaf het verslagjaar 2023, de rapporteringsgrens vast voor de in de Rechtmatigheidsverantwoording op te nemen rechtmatigheidsafwijkingen door het college. Ook stelt de raad de wijze vast waarop het college als een extra collegetoelichting in de Bedrijfsvoeringparagraaf een passage moet opnemen over de kwaliteit van de interne beheersing. Conform besluitvorming van de raad van gemeente Kaag en Braassem op 3 juli 2023 worden in de Rechtmatigheidsverantwoording vanaf het verslagjaar 2023 de bij de voor de jaarrekening financieel kritische processen ontdekte financiële rechtmatigheidsfouten en/of onzekerheden over jaar t opgenomen voor zover deze de door de raad vastgestelde rechtmatigheidsverantwoordingsgrens van 1% van de totale lasten inclusief reservedotaties overschrijden verplicht opgenomen. Verder zal in de wettelijk vereiste onderbouwde extra collegetoelichting als onderdeel van de Bedrijfsvoeringsparagraaf conform de per 3 juli 2023 gemaakte afspraken met de raad door het college ingegaan worden op de kwaliteit van de interne organisatie. Het college zal hierin een toelichting geven op c.q.

ingaan op de getroffen en/of te treffen beheersmaatregelen ter voorkoming in de toekomst van: • de ontdekte financiële rechtsmatigheidsfouten en onduidelijkheden, die de rechtmatigheidsverantwoordingsgrens van 1% overschrijden en daarmee wettelijk verplicht in de rechtmatigheidsverantwoording opgenomen moeten worden, en • de ontdekte kleinere financiële rechtmatigheidsfouten en onduidelijkheden ≥ €150.000 die door het college vrijwillig aan de raad gerapporteerd zullen worden zonder de controle uit te breiden. De accountant stelt de getrouwheid van de jaarrekening (inclusief de Rechtmatigheidsverantwoording) vast. In de controleverklaring wordt geen afzonderlijk oordeel meer gegeven over het aspect van de rechtmatigheid. Het college neemt de Rechtmatigheidsverantwoording als onderdeel op in de jaarrekening. 23

5. Juridisch kader van de interne beheersing, (verbijzonderde) interne controle en accountantscontrole Hieronder is het juridische kader voor de interne beheersing, (verbijzonderde) interne controle en accountantscontrole enerzijds (oranje) en de relatie met de werkzaamheden van de rekenkamer en de doelmatigheids- en doeltreffendheidsonderzoeken van de gemeente afgebeeld.

24