[I24.19333] Boardletter voor de raad. Betreft interimcontrole 2024.

CONCEPT boardletter 2024

Gemeente Lansingerland

BDO Audit ft Assurance B.V., Weena 764, 3014 DA Rotterdam, www.bdo.nl

Aan: Gemeente Lansingerland T.a.v. de gemeenteraad Tobias Asserlaan 1 2662 SB BERGSCHENHOEK Rotterdam, 2 december 2024

4 ^ k

Geachte leden van de raad, In het kader van de aan ons verstrekte opdracht tot controle van de jaarrekening 2024 (en verder) van gemeente Lansingerland brengen wij met onze eerste boardletter, verslag uit over onze bevindingen naar aanleiding van onze interim-controle. De samenwerking met de ambtelijke organisatie is door ons als constructief en plezierig ervaren. Deze boardletter bevat onze belangrijkste observaties en bevindingen ten aanzien van de processen binnen gemeente Lansingerland en de daarin opgenomen beheersingssystemen. In deze rapportage richten wij ons met name op mogelijke verbeterpunten in de bedrijfsvoering en de processen die wij hebben onderzocht tijdens deze 0meting/interim-controle. Dit heeft tot doel een bijdrage te leveren aan de interne beheersing en het zelf controlerend vermogen van de organisatie. Tijdens onze bezoeken aan gemeente Lansingerland komen wij ook in aanraking met andere ontwikkelingen van uw organisatie en bedrijfsvoering. In deze boardletter besteden we in hoofdstuk 2 daarom ook aandacht aan ontwikkelingen op andere gebieden dan de processen. Het vervolg van onze werkzaamheden voor de controle van de jaarrekening staat gepland in maart 2025. Hier zijn met uw concerncontroller afspraken over gemaakt.

Op basis van Nederlands recht en overige beroepsregels, zoals de ‘Verordening inzake de onafhankelijkheid van accountants bij assurance-opdrachten’ (ViO), is vereist dat wij onafhankelijk zijn ten opzichte van onze controlecliënten. Wij zijn van mening dat door ons is voldaan aan deze eisen. Wij hebben de overige dienstverlening naast de controle van de jaarrekening beoordeeld aan de hand van onze beroepsregels en hebben geconcludeerd dat het type dienstverlening en de vergoeding onze onafhankelijkheid niet beïnvloeden. Wij hopen u met dit verslag van dienst te zijn. Vanzelfsprekend zijn wij graag bereid om een nadere toelichting op de inhoud te geven. Met vriendelijke groet, BDO Audit & Assurance B.V. namens deze,

F.P. Koole MSc RA Verantwoordelijk accountant

3

4

boardletter 2024 - GEMEENTE LANSINGERLAND

Inhoudsopgave

01

02

03

Dashboard interim-controle

Ontwikkelingen ä Aandachtspunten

Observaties en Bevindingen interim-controle

4

4

boardletter 2024 - GEMEENTE LANSINGERLAND

1. Dashboard interim-controle

1.1 Dashboard interim-controle

^ k

5

4

boardletter 2024 - GEMEENTE LANSINGERLAND

Uw interne beheersing We hebben een constructieve samenwerking ervaren. De kwaliteit van oplevering is goed. Voor boekjaar 2024 zijn wij voor de eerste keer de controlerend accountant van gemeente Lansingerland. De samenwerking is door ons als constructief en plezierig ervaren. De interne beheersing is voldoende en de kwaliteit en tijdigheid van de oplevering is (goed) op orde. De interne beheersing is van voldoende niveau. Er wordt zichtbaar gewerkt aan verbetering. We concluderen dat de interne beheersing en controleomgeving van gemeente Lansingerland voor zover relevant voor de jaarrekeningcontrole van voldoende niveau is, rekening houdend met de werkzaamheden van de VIC achteraf. Belangrijk onderdeel van de interne beheersing van gemeente Lansingerland zijn de in-control gesprekken die periodiek gevoerd worden. We constateren dat gemeente Lansingerland actief aan de slag is/gaat met de opvolging van de bevindingen van de voorgaande accountant. Op aspecten ruimte voor doorontwikkeling in de interne beheersing Wij snappen dat vanuit kosten/baten perspectief processen pragmatisch zijn ingericht, maar het is onze rol om het college in het kader van de doorontwikkeling van de interne beheersing en controleomgeving (breder) te adviseren. Wij ruimte voor verbetering m.b.t. (niet limitatief): ^ Minimaliseren van gebruikers in de lijn met superuserrechten (prioriteit).

^ Toetsing en documentatie van de prestatielevering in de lijn. ^ Aanscherping van de procedures m.b.t. het wijzigen van crediteurenstamgegevens; ^ Verstevigen van beheersing in de lijn m.b.t. naleving (EU-) aanbestedingsrichtlijnen.

Rechtmatigheidsverantwoording en VIC In het kader van de rechtmatigheidsverantwoording is er een nieuwe kadernota ^ De Kadernota Rechtmatigheid 2024 is recent gepubliceerd maar de veranderingen hebben zeer beperkt impact voor gemeente Lansingerland. ^ De gemeenteraad van gemeente Lansingerland heeft de verantwoordingsgrens in de aangepaste financiële verordening voor 2024 vastgesteld op 2% (2023: 1%). De rapportagegrens is bepaald op EUR 200.000. Gemeente Lansingerland beschikt over een goed functionerende derdelijns controle (VIC). We onderstrepen de interne ambitie om meer te beleggen in de eerste en tweede lijn. Gemeente Lansingerland beschikt over een stevige, goed functionerende VIC. Ons advies om de meerwaarde/kracht van de VIC verder te verhogen: ^ Het toetsen op de werking van systemen kan gemeente Lansingerland bij de teams zelf (eerste lijn) of in de tweede lijn worden belegd. Dan kan de VIC meer acteren als derde lijn waarbij het hun taak is om de betrouwbaarheid van informatievoorziening van de eerste en tweede lijn te beoordelen (3-lines of defense model). ^ Het concreet (en zichtbaar) vertalen van het (volledige) normenkader naar het toetsingskader om de volledigheid van de toetspunten binnen de geplande VICwerkzaamheden te waarborgen. ^ Taken in het kader van de Jeugdzorg zijn door gemeente Lansingerland gemandateerd aan GRJR.

Voor 2024 is afgesproken dat de accountant van de GRJR verantwoordelijk is voor de controle van de getrouwheid en rechtmatigheid van deze bestedingen. Voor 2025 e.v. adviseren wij het college zelf VIC-werkzaamheden in dit kader te plannen.

Ontwikkelingen & aandachtspunten Geen (aanwijzingen of signalen van) fraude geïdentificeerd. ^ We hebben geen (aanwijzingen of signalen van) fraude of non-compliance geïdentificeerd. ^ De intern opgestelde frauderisicoanalyse wordt jaarlijks geactualiseerd en die wordt geagendeerd bij zowel het college als de BAC. Dat vinden we een goede zaak. ^ We raden aan om een frauderesponsplan te formaliseren. ^ Er is geen geformaliseerd centraal beleid met betrekking tot corruptie. (In)formeel is overigens wel sprake van een mix aan (anti-)corruptiemaatregelen. Aanscherpingen in het kader van Wet DBA en nieuwe BBV notities hebben impact ^ Gemeente Lansingerland huurt een aantal zelfstandigen in. Gemeente Lansingerland heeft de risico’s in het kader van de Wet DBA in beeld. ^ De Commissie BBV heeft de notities Overhead, Rente en Grondbeleid 2023 geactualiseerd. Deze notities dienen vanaf boekjaar 2025 (verplicht) toegepast te worden. Actualisatie van financiële verordening en eventuele andere beleidsstukken volgen in 2025. NIS2 wetgeving (cybersecurity) is van toepassing. De GAP-analyse is onderhanden. De NIS2 wetgeving is van toepassing. De gap-analyse tussen BIO en NIS2 is onderhanden. Gemeente Lansingerland is voorloper op het gebied van duurzaamheidsverantwoording In gemeente Lansingerland zijn veel initiatieven rondom duurzaamheid en daar wordt reeds verantwoording over afgelegd.

Lansingerland is daarin koploper. Over duurzaamheid in relatie tot het ambtelijk apparaat wordt echter nog minder expliciet verantwoording afgelegd. Effectiviteit van de significante processen Er wordt zichtbaar gewerkt aan verbetering in de interne beheersing. Er is een uitgebreid overzicht van de detailbevindingen vanuit interne en externe controles. Deze bevindingen en observaties komen ter sprake bij (in-control) gesprekken. Bevindingen en aanbevelingen worden gewogen en waar wenselijk c.q. mogelijk opgevolgd. Er resteren drie bevindingen met prioriteit ‘hoog’. ^ Handmatige boekingen - functiescheiding wordt niet afgedwongen en onderbouwing wordt niet zichtbaar getoetst. Binnen de gemeente is een proces geformaliseerd waarbij handmatige boekingen door twee functionarissen (financial control) worden geaccordeerd. De onderbouwing van die handmatige boeking wordt echter niet zichtbaar getoetst. Wel vindt er achteraf een VIC-controle plaats. We raden aan om de toets op de onderbouwing van een handmatige boeking meer zichtbaar vast te leggen. ^ Factuurverwerking en betalingen - tekortkoming in proces wijzigen crediteurenstamgegevens. Wij hebben bij één deelwaarneming vastgesteld dat de controle op de wijziging van bankrekeningnummers met onvoldoende diepgang is uitgevoerd. Dit lijkt een incident te zijn maar nadere analyse is nu onderhanden.

Wij bevelen de gemeente aan om verdere diepgang aan te brengen in het proces van wijzigen van crediteurenstamgegevens. ^ Inkopen en aanbesteden - niet altijd zichtbare beoordeling van prestatielevering en niet altijd zichtbare centrale beheersmaatregelen m.b.t. aanbestedingen. Volgens de budgethoudersregeling moet een budgethouder die een factuur accordeert, ook een controle doen op prestatielevering aan de hand van onderliggende controle-informatie. De onderliggende controle-informatie voor prestatielevering moet (centraal) opgeslagen worden. Bij de controle achteraf blijkt dat dit niet altijd het geval is.

6

4

boardletter 2024 - GEMEENTE LANSINGERLAND

2. Ontwikkelingen ä Aandachtspunten

2.1

Rechtmatigheidsverantwoording

2.2 Wet DBA ŭ relevante wijzigingen in het BBV

2.3 Duurzaamheidsverantwoording

7

4

boardletter 2024 - GEMEENTE LANSINGERLAND

^ k

2.1 Rechtmatigheidsverantwoording (1) Gemeente Lansingerland kan in de beheersing van het aanbestedingsproces nog stappen zetten

Rechtmatigheidsverantwoording Het college van gemeente Lansingerland heeft voorgaand jaar voor het eerst expliciet verantwoording afgelegd over de financiële rechtmatigheid. De totstandkoming van de rechtmatigheidsverantwoording is een proces met interactie tussen verschillende gremia dat start bij het bepalen van de verantwoordingsgrens door de raad. Deze verantwoordingsgrens heeft gemeente Lansingerland in de aangepaste financiële verordening voor 2024 vastgesteld op 2% (2023: 1%) van de lasten inclusief dotaties reserves. In de aangepaste financiële verordening is tevens het begrip ‘tijdigheid’ van melden van overschrijdingen van baten en/of onderschrijdingen van lasten en baten concreter uitgewerkt. Terugblik naar 2023 In de rechtmatigheidsverantwoording 2023 heeft het college aangegeven dat baten en lasten en balansmutaties niet rechtmatig tot stand zijn gekomen binnen de daarvoor gestelde verantwoordingsgrens, met name door begrotingsen aanbestedingsonrechtmatigheden. Door de verhoging van de verantwoordingsgrens naar 2% sorteert de gemeente voor op de aanpassing van de wet- en regelgeving zoals deze voor 2025 te verwachten is. Overschrijdingen van baten en/of onderschrijdingen van lasten en baten zijn rechtmatig als deze tijdig (op basis van de aangepaste financiële verordening: in de jaarrekening) aan de raad gemeld worden.

Daarnaast is voor de rechtmatigheidsverantwoording 2024 sprake van een aantal doorlopende aanbestedingsonrechtmatigheden. In de beheersing van het aanbestedingsproces kan gemeente Lansingerland nog stappen zetten. In hoofdstuk 3 van deze boardletter gaan wij daar nader op in.

Wijziging wet - en regelgeving Het wetgevingstraject rondom de rechtmatigheidsverantwoording is nog niet afgerond. Bij het schrijven van deze boardletter zijn de wijzigingen in het BBV en BADO in verband met de invoering van de rechtmatigheidsverantwoording voor advisering voorgelegd aan de Raad van State. Wijzigingen met betrekking tot de wettelijke materialiteit in het kader van de jaarrekeningcontrole en de bandbreedte voor de verantwoordingsgrens zijn voor boekjaar 2024 niet (meer) te verwachten. Wij houden u uiteraard op de hoogte omtrent de ontwikkelingen op dit vlak en de mogelijke impact hiervan op de organisatie en de jaarrekeningcontrole. De recent uitgebrachte Kadernota Rechtmatigheid 2024 is op aspecten gewijzigd Op 22 oktober 2024 is de aangepaste Kadernota Rechtmatigheid 2024 gepubliceerd. Na het jaar van invoering heeft de Commissie BBV vragen, ervaringen, aanbevelingen en adviezen ontvangen. Deze hebben geleid tot aanpassingen in de Kadernota Rechtmatigheid 2024. Hierin heeft de Commissie BBV ook de Q&A rechtmatigheidsverantwoording, die in november 2023 is gepubliceerd, verwerkt.

De belangrijkste wijzigingen in de Kadernota Rechtmatigheid 2024 zijn (voor zover relevant voor gemeente Lansingerland): ^ Tekstuele aanpassing in de modelverantwoording ten aanzien van de geconstateerde bevindingen, specifiek in relatie tot de omvang van niet rechtmatig tot stand gekomen verantwoorde baten, lasten en balansmutaties en welk deel acceptabel is op basis van de vastgestelde afspraken. ^ Een aangepast hoofdstuk 2 om het bestuurlijk belang van rechtmatigheid voor raadsleden te verduidelijken. ^ Er is een overzicht opgesteld dat als voorbeeld kan dienen op welke wijze de (begrotings)onrechtmatigheden inzichtelijk kunnen worden gemaakt en in de rechtmatigheidsverantwoording kan worden opgenomen met daarbij de vermelding van fouten en/of onduidelijkheden (tabel uit de Q&A van november 2023).

8

4

boardletter 2024 - GEMEENTE LANSINGERLAND

^ k

2.1 Rechtmatigheidsverantwoording (2) Voor gemeente Lansingerland leiden de wijzigingen in de Kadernota 2024 zeer beperkt tot veranderingen ten opzichte van vorig jaar Verduidelijking wanneer overschrijdingen ten aanzien van wel of niet tijdig melden als onrechtmatig worden beschouwd. Daarnaast verduidelijking van wanneer welke begrotingsonrechtmatigheden als gevolg van overschrijding van lasten en/of investeringen als acceptabel (passend in het beleid) worden beschouwd (dus wel onrechtmatig, maar acceptabel). ^ Het niet meer in de rechtmatigheidsverantwoording opnemen van geconstateerd misbruik waarbij het M&O beleid is toegepast en heeft geleid tot bijvoorbeeld terugvorderingen en het opleggen van sancties. De jaarrekening is in deze situatie immers getrouw en de financiële effecten van het misbruik zijn teniet gedaan. Wel dient via de paragraaf bedrijfsvoering inzicht te worden gegeven in de aard en (financiële) impact van het bij de gemeente geconstateerde misbruik.

^

Voor gemeente Lansingerland leiden de wijzigingen in de Kadernota 2024 zeer beperkt tot veranderingen ten opzichte van vorig jaar. Het inhoudelijke gesprek over financiële rechtmatigheid wordt in den lande nog onvoldoende gevoerd We merken dat de invoering van de rechtmatigheidsverantwoording er toe leidt dat de discussie over rechtmatigheid (steeds) vaker op de agenda van de raad en het college staat. Wij concluderen echter dat het echte gesprek over rechtmatigheid vaak uitblijft en dat het (te) vaak over de technische details als tijdigheid, acceptabel of niet acceptabel, etc. gaat. De daadwerkelijke discussie over de financiële rechtmatigheid komt nog onvoldoende op gang. Terwijl dat van groot belang is; het zorgt er namelijk voor dat raadsleden hun controlerende functie kunnen vervullen. Dit zorgt voor meer aansluiting met de bedoeling van de invoering van de rechtmatigheidsverantwoording. Er is een belangrijke coördinerende rol voor de Verbijzonderde Interne Controle (VIC) weggelegd ten aanzien van de rechtmatigheidsverantwoording Gemeente Lansingerland heeft de processen zo ingericht dat met name de

VIC-werkzaamheden, vastleggingen en uitkomsten de basis vormen voor de rechtmatigheids-verantwoording. De verantwoordelijkheden voor de rechtmatigheidsverantwoording liggen veel breder, alle organisatieonderdelen en het voltallige college zijn hiervoor verantwoordelijk. Het toetsen op de werking van systemen of het eventueel aanvullen met gegevensgerichte werkzaamheden kan ook bij de teams zelf (eerste lijn) of in de tweede lijn worden belegd. Dan kan de VIC meer acteren als derde lijn waarbij het hun taak is om de betrouwbaarheid van informatievoorziening van de eerste en tweede lijn te beoordelen. Er vindt dan een verschuiving plaats van ‘de VIC als onderbouwing van de rechtmatigheidsverantwoording naar ‘de VIC als bevestiging van de getrouwheid van de rechtmatigheidsverantwoording van de verschillende teams’. Dit is een ontwikkeling waar gemeente Lansingerland al mee gestart is en die het college helpt meer in control te zijn in de lijn, fouten te voorkomen en het lerend vermogen in de organisatie te vergroten. In de toekomst streeft de gemeente ernaar om de VIC meer in eigen huis te organiseren in plaats van via inhuur.

Wij maken zoveel mogelijk gebruik van de door intern uitgevoerde VICwerkzaamheden Vooraf heeft hierover afstemming plaatsgevonden met de ambtelijke organisatie, zodat de juiste werkzaamheden door de organisatie worden gedaan wat een korte doorlooptijd van de controle bevordert. De tijdigheid van de werkzaamheden van de VIC is van belang. In het kader van een goede samenwerking hebben wij o.a. onze werkprogramma’s ten aanzien van SiSa en aanbestedingsrechtmatigheid met de ambtelijk organisatie gedeeld. Op basis van onze eerste observaties zien wij dat de organisatie met name ten aanzien van de uitvoering van de spend-analyse stappen aan het zetten is. In paragraaf 3.6 reflecteren wij (verder) op de kwaliteit, diepgang en tijdigheid van de tot en met heden uitgevoerde VIC-werkzaamheden.

9

4

boardletter 2024 - GEMEENTE LANSINGERLAND

^ k

2.2 Wet DBA ft relevante wijzigingen in het BBV (1) Gemeente Lansingerland heeft de risico’s in het kader van de Wet DBA in beeld

Kwalificatie van arbeidsrelaties (Wet DBA) Het aantal zelfstandigen zonder personeel (zzp) is de afgelopen jaren landelijk flink gestegen. Een deel van deze groep kwalificeert als schijnzelfstandige. Dit betekent dat op basis van wet- en regelgeving eigenlijk sprake is van een arbeidsovereenkomst. Het kabinet vindt deze situatie onwenselijk, omdat de beschermende werking van het arbeidsrecht wordt ontlopen en het sociale stelsel onder druk komt te staan. Daarom zet het kabinet de komende jaren in op het aanscherpen van regels en handhaving. Sinds de introductie van de Wet DBA in 2016 is sprake van een handhavingsmoratorium. Dit betekent dat de Belastingdienst niet controleert en handhaaft op het bestaan van een dienstbetrekking, tenzij sprake is van kwaadwillendheid. Vanaf 1 januari 2025 komt het handhavingsmoratorium naar verwachting te vervallen en gaat de Belastingdienst weer volledig handhaven. Hierdoor kunnen naheffingsrisico’s ontstaan. Daarnaast werkt het kabinet aan nieuwe wetgeving voor de beoordeling van arbeidsrelaties. In het Hoofdlijnenakkoord is te lezen dat de behandeling van deze wetgeving door het nieuwe kabinet zal worden voortgezet. Kortgezegd zal de nieuwe wetgeving meer nadruk leggen op de vraag of het werk en de werkende organisatorisch zijn ingebed in de organisatie van de werkverschaffer.

Daarmee wordt bedoeld of het werk een kernactiviteit van de organisatie vormt en zij aan zij met werknemers wordt verricht. In dat geval zal eerder sprake zijn van een arbeidsovereenkomst. De nieuwe wetgeving zal naar verwachting niet eerder ingaan dan 2026. Organisaties die werken met zelfstandigen die eigenlijk werknemer zijn lopen financiële risico’s. Zo is er vanaf 1 januari 2025 sprake van een naheffingsrisico vanuit de Belastingdienst. Ook kunnen zelfstandigen die eigenlijk werknemer zijn vorderingen instellen op grond van arbeidsrechtelijke verplichtingen en kunnen verplichte pensioenregelingen leiden tot pensioenvorderingen. Om dergelijke risico’s te voorkomen is het voor organisaties die zelfstandigen inhuren van belang

om de huidige inhuur van zelfstandigen en het inhuurproces onder de loep te nemen. Gemeente Lansingerland huurt een aantal zelfstandigen in. Gemeente Lansingerland heeft de risico’s in het kader van de Wet DBA in beeld. Met de grootste contractpartij voor inhuur zijn hier afspraken over gemaakt in de aanbesteding. Notitie Rente De belangrijkste wijziging uit de notitie rente betreft een aanpassing in de toerekening van de rentelasten aan de grondexploitaties. Tot en met 2023 is het alleen toegestaan om de werkelijke rente over het vreemd vermogen (naar rato) toe te rekenen aan de grondexploitaties. Dit geldt tevens voor de toekomstige rentelasten. Met ingang van boekjaar 2025 (en eventueel 2024) wordt voor grondexploitaties geen onderscheid meer gemaakt in het BBV, waardoor de rentetoerekening plaatsvindt op basis van de reguliere omslagrente. Voor gemeente Lansingerland leidt dit tot een verhoogde rentetoerekening die een negatief effect heeft op de verwachte eindwaarde van de verschillende grondexploitaties. Wij adviseren om de notitie rente vanaf boekjaar 2024 toe te passen, zodat de rente-effecten verwerkt kunnen worden in de waardering van de grondexploitaties. Wij adviseren een weloverwogen keuze te maken in het toepassen van de toerekening van rente aan eigen vermogen en voorzieningen.

Notitie Grondbeleid in begroting en jaarstukken De belangrijkste wijzigingen in de notitie grondexploitatie zien toe op de omgevingswet, die onder andere hebben geleid tot een aanpassing van de lijst met verhaalbare kostensoorten. Deze wijzigingen gaan, in verband met de invoering van de Omgevingswet in per 1 januari 2024. Deze wijzigingen hebben met name invloed op verslaggevingsaspecten bij faciliterend grondbeleid. De overige wijzigingen zien met name toe op de voorwaarden voor warme gronden, de voorbereidingskosten en gemengde projecten. Daarnaast is de rentetoerekening, zoals hierboven is toegelicht gewijzigd.

4

10 boardletter 2024 - GEMEENTE LANSINGERLAND

^ k

2.2 Wet DBA ft relevante wijzigingen in het BBV (2) De Commissie BBV heeft de notities Overhead, Rente en Grondbeleid 2023 geactualiseerd. Deze notities dienen vanaf boekjaar 2025 (verplicht) toegepast te worden. Gemeente Lansingerland heeft de wijzigingen nog niet verwerkt in de financiële verordening Notitie Overhead van toepassing vanaf 2025 en moet een plek krijgen in de nieuwe financiële verordening De Commissie BBV heeft in de notitie overhead 2023 de regelgeving met betrekking tot de toerekening van overhead geactualiseerd, verduidelijkt en samengevoegd in één notitie. De notitie is van toepassing vanaf begroting 2025. De belangrijkste uitspraken en aanbevelingen zijn als volgt: ^ Stellige uitspraak: Voor de berekening van de tarieven voor de lokale heffingen moet de methodiek voor toerekening van overhead worden gebruikt zoals deze is opgenomen in de financiële verordening. Deze methodiek mag niet afwijken van de overige methodieken voor het toerekenen van overhead. ^ Stellige uitspraak: De definitie van overhead is aangescherpt waardoor alle functies die onderdeel uitmaken van een specifieke taak geen onderdeel zijn van de overhead. ^ Aanbevelingen: De Commissie BBV adviseert om overhead niet bij de begroting vorm te geven maar door middel van de financiële verordening of door een notitie overhead aan de raad voor te leggen en deze periodiek te herzien.

In deze nota neemt de gemeente keuzes op ten aanzien van: kaderstelling, methodiek en onderscheiding primaire processen en overhead. De Commissie BBV heeft de notities Overhead, Rente en Grondbeleid 2023 geactualiseerd. Deze notities dienen vanaf boekjaar 2025 (verplicht) toegepast te worden. Gemeente Lansingerland heeft de wijzigingen nog niet verwerkt in de financiële verordening.

Voorziening voor pensioenaanspraken van politieke ambtsdragers Met de invoering van het nieuwe pensioenstelsel is besloten dat ook de APPApensioenaanspraken van politieke ambtsdragers in een pensioenfonds ondergebracht moeten worden. Dit zal naar verwachting per 1 januari 2028 plaatsvinden. Dat betekent dat per die datum de APPA-voorzieningen toereikend moeten zijn. Door het moeten laten vervallen van of toevoegen aan opgebouwde voorzieningen ten gevolge schommelingen in de rekenrente kunnen mogelijk aanzienlijke tekorten ontstaan op het moment van overdracht per 1 januari 2028. Een lagere rekenrente in het laatste jaar voor de overdracht kan een aanzienlijk gevolg hebben. De overgang van de politieke ambtsdragers naar het nieuwe pensioenstelsel leidt tot een vrijval van de al beschikbare voorzieningen. Op grond van het BBV is geen vrijstelling mogelijk voor een verplichte vrijval van de voorzieningen. Een alternatief in het BBV is dat de voorziening tegen nominale waarde kan worden verantwoord. Dit heeft als gevolg dat rente-effecten geen rol meer spelen en de middelen voor de berekende nominale verplichting in de voorziening zijn opgenomen. Het is aan de raad om te besluiten of bij de berekening van de pensioenverplichting wel of niet rekening gehouden wordt met de rentecomponent.

Een aanpassing van de methodiek leidt tot een stelselwijziging die als zodanig moet worden verwerkt middels onder andere een raadsbesluit en/of een begrotingswijziging. Wij adviseren gemeente Lansingerland de impact te bepalen.

11

4

boardletter 2024 - GEMEENTE LANSINGERLAND

^ k

2.3 Duurzaamheidsverantwoording (1) Voor gemeenten geldt de CSRS regelgeving (nog) niet, maar vanuit de waardeketen krijgen gemeenten er wel steeds vaker mee te maken Context & ontwikkelingen Voor grote, niet-beursgenoteerde ondernemingen is het vanaf 2025 verplicht te rapporteren over de impact van hun activiteiten op duurzaamheid (de CSRD). In deze regels is vastgelegd waarover verantwoording moet worden afgelegd, waarbij een actieve dialoog met de belangrijkste belanghebbenden een wezenlijk onderdeel vormt. Deze standaarden verdelen duurzaamheid in drie onderdelen: ESG (environment, social, governance). Voor gemeenten geldt deze verplichting (nog) niet. Gemeenten vervullen echter wel een belangrijke rol bij het realiseren van verduurzaming in de samenleving vanuit hun maatschappelijke en regisserende rol. Denk aan de regionale energiestrategie (RES), het toezicht op energie labels van kantoorgebouwen in de gemeente en de aandacht voor meer circulariteit in de bouwopgaven. Tal van gemeenten maken inmiddels afspraken en sluiten zich aan bij diverse initiatieven. Een goed voorbeeld hiervan is het SDG-initiatief van de VNG (https://www.sdgnederland.nl/) waar circa 140 gemeenten bij zijn aangesloten.

Een bredere en diepere uitwerking van duurzaamheid wordt gevonden in het gedachtegoed van ‘brede welvaart’, een begrip dat meer gangbaar is binnen overheden en bijvoorbeeld ook door CBS wordt gemonitord. Al de activiteiten die gemeenten bedenken en uitvoeren komen nog maar beperkt concreet en meetbaar terug in beleid en verantwoording. Dit blijkt ook uit onderzoek dat de Rijksuniversiteit Groningen voor BDO heeft uitgevoerd in 2023 en waarvan begin 2025 een actualisatie wordt gepubliceerd. Deze observaties en de CSRD die voor het bedrijfsleven gaat gelden, hebben geleid tot de oprichting van “the coalition of the willing”, een samenwerking van o.a. gemeenten, banken, BDO en het CBS. Door deze groep is een concept handreiking opgesteld om decentrale overheden te ondersteunen bij het selecteren, structureren en inzicht bieden in de voor hen meest relevante duurzaamheidsthema’s.

Deze handreiking gaat ook in op de wijze waarop u als gemeente deze informatie in uw begroting en jaarstukken kan opnemen, zodat hierin ook de gewenste transparantie ontstaat voor uw belanghebbenden. Alhoewel nog geen wettelijke plicht bestaat voor gemeenten hierover te rapporteren, krijgen gemeenten wel steeds meer te maken met dit thema vanuit de waardeketen van bedrijven en banken waartoe gemeenten ook behoren. Het is niet ondenkbaar dat op termijn ook voor gemeenten een rapportageverplichting over de belangrijkste duurzaamheidsindicatoren volgt. Hierover is geen verdere informatie bekend, anders dan dat het Ministerie van Binnenlandse Zaken zich hier over buigt en al dan niet via de Commissie BBV een nadere duiding aan geeft. Duurzaamheidsindicatoren Met de betrokkenheid van het CBS bij de totstandkoming van de concept handreiking is gerealiseerd dat een set aan relevante indicatoren is opgesteld. Het CBS heeft van veel van deze indicatoren data beschikbaar, dan wel werkt aan de ontsluiting en monitoring hiervan. Het voordeel hiervan is dat voor gemeenten de externe data zodoende eenvoudig beschikbaar is, naast de eigen data.

1 Nulmeting í Bewustzijn ^1 Strategie ã Waardeketen

<l Rapportage

Stakeholder interactie

Mensen, Processen ä Systemen

Dubbele Materìaliteit

Data kwaliteit

Governance ä Beleid

'ÿT

______________________ : Actieplannen, Doelen ft KPľs

4

12 boardletter 2024 - GEMEENTE LANSINGERLAND

^ k

2.3 Duurzaamheidsverantwoording (2) Gemeente Lansingerland kan meer doen als het gaat om het rapporteren over eigen (interne) inspanningen in het kader van duurzaamheid. Een kosten/batenafweging dient gemaakt te worden. Gemeente Lansingerland is een voorloper Gemeente Lansingerland zet in op de hoofdthema’s energietransitie, circulaire economie en klimaatadaptatie om de gemeente duurzaam, toekomstbestendig en leefbaar te houden. Gemeente Lansingerland doet dit door een effectieve inzet op de onderwerpen met de grootste impact en door de hoofdthema’s meer onderdeel te maken van het beleid. Gemeente Lansingerland is al aangesloten bij de Gemeenten4GlobalGoals en voor 2024 focust de gemeente zich binnen programma 6 - beleidsveld duurzaamheid - op: ^ Gemeente Lansingerland is onderdeel van de doorontwikkeling van de Regionale Energie Strategie en verankeren klimaat- en energiebeleid in de omgevingsvisie en -plannen. ^ Binnen de energietransitie focust de gemeente zich op de glastuinbouwsector (~70% van de CO2-emissies in gemeente Lansingerland) en het ondersteunen van inwoners in de bestaande wijken. Concreet werkt de gemeente voor de glastuinbouw bijvoorbeeld aan warmte-infrastructuur en stimuleren we zonnepanelen op waterbassins. ^ Voor de inwoners zet gemeente Lansingerland in op stimulering en voorlichting om hen te helpen hun huis te verduurzamen.

^ Verbetering van afvalinzameling en de inzet van duurzame materialen zijn belangrijke onderwerpen op het gebied van een circulaire economie. ^ Op het gebied van materialen focust gemeente Lansingerland zich op maatschappelijk verantwoord inkopen en onderzoeken we de mogelijkheden van bio-based bouwen. ^ Op het gebied van klimaatadaptatie geeft gemeente Lansingerland uitvoering aan de projecten in de uitvoeringsagenda klimaatadaptatie. De gemeente zet daarbij voornamelijk in op risico's en ambities per gebiedstype en de bijbehorende maatregelen.

Pak de handschoen verder op Gemeente Lansingerland borgt duurzaamheid als standaard binnen de gemeente. De gemeente hanteert duurzaamheidsnormen op het gebied van gebiedsontwikkelingen en projecten. Voor 2024 stond bijvoorbeeld de actualisatie van de Transitievisie Wamte gepland en in 2024 zijn eerder gestarte acties gecontinueerd, zoals de collectieve inkoopactie voor isolatie en het verstrekken van de duurzaamheidslening, gratis kleine energiebesparende maatregelen of extra subsidie op isolatie, samenwerken met de energiecoöperatie en het stimuleren ook slimme verduurzaming bij ondernemers. De inspanningen op het gebied van klimaat- en energiebeleid richten zich op effecten op de lange termijn. Gemeente Lansingerland rapporteert al over de voortgang op een aantal lange termijn doelen: Duurzaamheid Totale C02-emİ5-sie Lansingedandl (in ton C02J

n.v.t.

De tvŕee gnxitste subcategorieën:

n.v.t.

C02-neutraal in 2050

GOZ-neutraal in 2050

- (ũla5)tuinbouw - Geboif^'i'de omge'-nng

n.v.t.

C02-neutraal in 2050

GOZ-neutraal in 2050

n.v.t.

C02-neutraal in 2050

GOZ-neutraal in 2050

Aandeel hernieu^\ibai‘e enei^e (K)

n.v.t.

1Ŭ0īíbin205Ū

100^ in 2050

Huishoudelijk restaf/al (ir kg per inwoner per jaar)

n.v.t. Reductie tot 10Ö kg in 2025

Reductie tot 100 kg in 20Z5

Circulariteit gemeentelijke inkoop

n.v.t.

50í!hin2030

50^ ir 2030

Robuust vŕater- en groensysteem

n.v.t.

Gerealiseerd in 2050

Gerealiseerd ir Z050

Gemeente Lansingerland kan meer doen als het gaat om het rapporteren over eigen (interne) inspanningen in het kader van duurzaamheid. Uiteraard kost dit capaciteit. Wij hebben het college geadviseerd kennis te nemen van de handreiking zodra deze beschikbaar komt. Middels deze handrekening kunnen het college en de raad (nog) meer de dialoog aangaan om tot een route naar een verder meetbaar en transparant beleid te komen. Wij verwachten de komende periode nog meer informatie en praktische handvatten en op termijn zal ook vanuit het Ministerie van Binnenlandse Zaken, dan wel vanuit de Commissie BBV een reactie volgen.

4

13 boardletter 2024 - GEMEENTE LANSINGERLAND

3. Bevindingen interim-controle jaarrekening

3.1

Controleaanpak en aandacht voor fraude en non-compliance

3.2 Onze werkzaamheden bij de processen

3.3 Overzicht van onze bevindingen bij de processen

3.4 Overzicht van onze bevindingen t.a.v. de IT General Controls

3.5 Informatiebeveiliging en cybersecurity

3.6 Verbijzonderde Interne Controle

4

14 boardletter 2024 - GEMEENTE LANSINGERLAND

^ k

3.1 Controleaanpak en aandacht voor fraude en non-compliance (1) Belangrijkste aandachtspunten in de controle: management override, waardering grondexploitaties en bevindingen ten aanzien van de interne beheersing Controleaanpak en doel van de interim-controle Het doel van de jaarrekeningcontrole is een oordeel tot uitdrukking brengen over de getrouwheid van de jaarrekening van gemeente Lansingerland. De controle heeft onder meer betrekking op het overwegen van de interne beheersing die voor het opstellen van de jaarrekening relevant is, teneinde controlewerkzaamheden op te zetten die in de gegeven omstandigheden passend zijn, maar niet met het doel een oordeel over de effectiviteit van de interne beheersing tot uitdrukking te brengen. Het gaat hierbij niet alleen over de kwaliteit van de accountantscontrole, maar ook over de wijze waarop gemeente Lansingerland hiervan kan profiteren. Op basis van onze bevindingen bij deze werkzaamheden, geven wij, in het kader van onze natuurlijke adviesfunctie, in deze b aanbevelingen over de opzet van de administratieve organisatie en berichten wij u over vastgestelde tekortkomingen in de uitvoering daarvan en in hoeverre corrigerende maatregelen door management zijn genomen.

De aangelegenheden waarover wij rapporteren betreffen die tekortkomingen die tijdens de controle zijn geïdentificeerd en waarbij wij van mening zijn dat deze voldoende belangrijk zijn om verslag van te doen.

Onze inschatting van de aandachtspunten In het kader van de controle van de jaarrekening 2024 en onze aanpak hebben wij een zogenaamde initiële risico-inschatting gemaakt. Wij zien de volgende aandachtspunten bij de controle van de jaarrekening van gemeente Lansingerland: ^ In onze controlestandaarden (NV COS) wordt expliciet het risico van management override (bewuste beïnvloeding door college, directie of management van de jaarcijfers) als belangrijk te onderkennen theoretisch risico benoemd. Als accountant moeten wij in onze werkzaamheden hier specifiek aandacht aan besteden. Wij zijn van mening dat de mogelijkheden, om buiten de getroffen interne beheersmaatregelen invloed uit te oefenen op de in de jaarrekening gepresenteerde uitkomsten, beperkt zijn. Om het resterende risico te beperken beoordelen wij schattingsprocessen en bijzondere journaalposten in detail. ^ Onjuiste waardering bouwgronden in exploitatie (materiële post met verschillende schattingselementen). ^ Gevolgen van bevindingen in het kader van de interne beheersing: » Ongeautoriseerde handelingen in de IT-systemen a.g.v. bevindingen vanuit de IT-audit (gebruikers met superusers rechten in de lijn). » Tekortkoming in de het proces van wijziging van crediteurenstamgegevens. » Niet altijd sprake van een zichtbare beoordeling van de prestatielevering binnen het inkoopproces. In opzet zijn hierover o.a.

in de budgethoudersregeling wel procesafspraken gemaakt. Aandachtspunt ziet toe op de constatering dat de budgethoudersregeling v.w.b. de controle van de prestatieakkoordverklaarder niet altijd consequent wordt nageleefd danwel dit achteraf niet altijd zichtbaar is.

4

15 boardletter 2024 - GEMEENTE LANSINGERLAND

^ k

3.1 Controleaanpak en aandacht voor fraude en non-compliance (2) Benodigde acties: opstellen van een frauderesponsplan en corruptie/ondermijning integreren in de frauderisicoanalyse

Onze bevindingen Bij de planning voor de jaarrekeningcontrole van gemeente Lansingerland houden wij rekening met het risico dat de jaarrekening als gevolg van fraude en onregelmatigheden onjuistheden van materieel belang zou kunnen bevatten. Daarnaast hebben wij beoordeeld in hoeverre sprake kan zijn van een risico omtrent corruptie of een risico omtrent het niet-naleven van wet- en regelgeving. Eén van de door ons uitgevoerde maatregelen is het bespreken van de mogelijke frauderisico’s en mogelijke fraudesituaties met de ambtelijke organisatie en portefeuillehouder. Hiertoe hebben wij de mogelijke frauderisico’s en -situaties, mede aan de hand van de door de organisatie opgestelde frauderisicoanalyse en de compliance vragenlijst, besproken met ambtelijke organisatie en portefeuillehouder. Deze besprekingen en onze controlewerkzaamheden hebben geen indicaties voor materiële fraude opgeleverd.

Frauderisicoanalyse uitgevoerd

©

Gemeente Lansingerland heeft een frauderisicoanalyse voor de materiële processen opgesteld waarin tevens een risicoclassificatie (kans * impact) is opgenomen. In de diepgang van het controleplan dat volgt uit de frauderisicoanalyse kan gemeente Lansingerland nog stappen zetten. Wij adviseren om te (her)overwegen in hoeverre de geplande werkzaamheden het frauderisico echt mitigeert. Zie ook opmerking met betrekking tot corruptie verderop in deze tabel. De frauderisicoanalyse wordt jaarlijks geactualiseerd en aangeboden aan de BAC en de gemeenteraad.

Gedragscode, klokkenluidersregeling en incidentenregistratie

©

Door gemeente Lansingerland is een gedragscode en klokkenluidersregelingen geformaliseerd. Tevens wordt jaarlijks (o.a. vanuit de vertrouwenspersonen) gerapporteerd over incidenten (voor zover van toepassing).

Frauderesponsplan

©

Gemeente Lansingerland beschikt niet over een geformaliseerd frauderesponsplan. Een frauderesponsplan stelt gemeente Lansingerland in staat om adequaat en voortvarend te handelen om schade voor de organisatie, in welke vorm dan ook, zoveel mogelijk te beperken. Ter inspiratie: de werkgroep Fraude van de NBA heeft de handreiking ‘Opstellen frauderesponsplan Aanbevelingen voor bestuurders en toezichthouders’ ontwikkeld.

Incidenten

©

Tot en met medio 2024 is geen sprake van geconstateerde fraude. Daarnaast volgen vanuit de VIC-werkzaamheden geen aanwijzingen voor materiële bevindingen met betrekking tot misbruik en oneigenlijk gebruik.

Corruptie/ ondermijning

Gemeente Lansingerland heeft geen centraal geformaliseerd beleid met betrekking tot het voorkomen van corruptie/ondermijning. (In)formeel is overigens wel sprake van een mix aan (anti-)corruptiemaatregelen. Wij dringen erop aan dit toe te voegen aan de frauderisicoanalyse.

Totaal indruk

Benodigde acties: opstellen van een frauderesponsplan en corruptie/ondermijning integreren in de frauderisicoanalyse.

Wij hebben aandacht besteed aan de compliance met de voor u van toepassing zijnde wet- en regelgeving en overige bepalingen voor zover wij die van belang achten in het kader van onze controle van de jaarrekening. Bij die werkzaamheden hebben wij geen materiële non-compliance geconstateerd.

0 nieuwe observatie

© niet aanwezig

© verbetermogelijkheden

© aanwezig en werkend

4

16 boardletter 2024 - GEMEENTE LANSINGERLAND

^ k

3.2 Onze werkzaamheden bij de processen Wij geven vanuit onze natuurlijke adviesrol aanbevelingen op welke wijze verbeteringen in de interne beheersing mogelijk zijn Belangrijkste processen Aan de navolgende processen hebben wij specifiek aandacht geschonken tijdens onze interim-controle: ^ ^ ^ ^ ^ ^ ^ ^ ^ ^ ^ ^ ^ ^ ^

Begroten en verantwoording; Memoriaalboekingen; Inkopen en aanbesteden; Treasury; Factuurverwerking en betalingen; Personeel; Sociaal domein; Subsidieverstrekkingen; Inkomende (incidentele) subsidies (SiSa); Belastingen en heffingen; Grondexploitatie, grondaankopen en -verkopen; Huuropbrengsten; Verbonden partijen; Omgevingsvergunningen; Verbijzonderde Interne controle (zie paragraaf 3.6).

Voor elk proces beoordelen wij de volgende onderdelen: ^ AO/IB: Is sprake van een actuele en toereikende procesbeschrijving met voldoende beheersmaatregelen? ^ IT-maatregelen: Zijn in en rondom het systeem voldoende waarborgen getroffen ten aanzien van de betrouwbaarheid van de gegevensverwerking? ^ VIC: Heeft de VIC de interne beheersmaatregelen getoetst en kunnen wij daar gebruik van maken?

Indien al deze vragen positief kunnen worden beantwoord, is gemeente Lansingerland optimaal in control en kunnen ook wij gebruik maken van de eigen interne beheersing. De vaak tijdrovende en gedetailleerde gegevensgerichte werkzaamheden (die ook nog eens achteraf plaatsvinden), kunnen dan beperkt blijven tot een minimum. Een totaaloverzicht van de effectiviteit van de processen is opgenomen in paragraaf 3.3. Vanzelfsprekend geven wij vanuit onze natuurlijke adviesrol aanbevelingen op welke wijze verbeteringen in de interne beheersing mogelijk zijn. Daarbij is het wel van belang dat gemeente Lansingerland zelf de keuze maakt welke mix van interne beheersingsmaatregelen (en dus ook risico’s) het college acceptabel en optimaal vindt. Onze controleaanpak en advisering zullen wij daarop afstemmen. Op de volgende pagina geven wij ons totaalbeeld van de significante processen.

4

17 boardletter 2024 - GEMEENTE LANSINGERLAND

^ k

3.3 Overzicht van onze bevindingen t.a.v. de processen Totaaloverzicht processen Effectiviteit van de significante processen In het overzicht hieronder geven wij weer in hoeverre de processen voldoen aan de genoemde normen. Onderstaande tabel bevat een overzicht van de status per proces. Waar wij hebben aangegeven dat het proces naar onze mening bevindingen bevat, wil zeggen dat wij adviseren om hier actie op te ondernemen. Dit wil niet zeggen dat het gehele proces niet goed is opgezet of wordt uitgevoerd. Processen gemeente Lansingerland Opzet/ bestaan 2024

Proces

Begroten en verantwoording Memoriaalboekingen Inkopen en aanbesteden Treasury Factuurverwerking en betalingen Personeel Sociaal domein Subsidieverstrekkingen Inkomende (incidentele) subsidies (SiSa) Belastingen en heffingen Grondexploitatie, grondaankopen en -verkopen Huuropbrengsten Verbonden partijen Omgevingsvergunningen

— geen waarnemins

© onvoldoende

© verbetermogelijkheden

© © © © © © © © © © © © © ©

ITbevinding en (zie 3.4)

© © © © ©

©

© © -

-

© toereikend (opgevolgd)

VIC (zie 3.6)

© © © © © © ©

© © © ©

Overzicht van geconstateerde detailbevindingen In onderstaand overzicht geven wij ons totaalbeeld van de geconstateerde bevindingen. Overzicht detailbevindingen gemeente Lansingerland Nr.

Detailbevinding

Prio

1

Memoriaalboekingen: functiescheiding wordt niet afgedwongen en onderbouwing wordt niet zichtbaar getoetst.

Hoog

2

Factuurverwerking en betalingen: tekortkoming in proces wijzigen crediteurenstamgegevens.

Hoog

3

Inkopen en aanbesteden: niet altijd zichtbare beoordeling van prestatielevering en niet altijd zichtbare centrale beheersmaatregelen m.b.t. aanbestedingen.

Hoog

4

Huuropbrengsten: foutgevoelige registraties in Excel en geen leegstandscontroles.

Midden

5

Verbonden partijen: beperkt zichtbare centrale coördinatie en beoordeling van risico’s.

Laag

6

Inkomende (incidentele) subsidies (SiSa): geen sprake van een geformaliseerd proces.

Laag

7

Personeel: beheersing serviceorganisatie BCS.

Midden

8

Subsidieverstrekkingen: (mogelijke) langdurige betrokkenheid en nevenfuncties functionarissen.

Laag

9

Sociaal domein: geen controle prestatielevering Pgb’s in de lijn, handmatige vastlegging hercontroles en geen integrale controle beoordeling door tweede functionaris

Midden

10

Sociaal domein: onvoldoende grip op aan GRJR gemandateerde taken Jeugdzorg.

Midden

11

Grondexploitatie, grondaankopen en -verkopen: proces actualisaties dient (verder) geformaliseerd te worden en actualiseren nota grondbeleid.

Midden

Op basis van onze observaties tijdens de 0-meting/interim-controle concluderen wij dat de interne beheersing en controleomgeving van gemeente Lansingerland voor zover relevant voor de jaarrekeningcontrole van voldoende niveau is, rekening houdend met de werkzaamheden van de VIC achteraf. Belangrijk onderdeel van de interne beheersing van gemeente Lansingerland zijn de in-control gesprekken die periodiek gevoerd worden. We constateren dat gemeente Lansingerland actief aan de slag is/gaat met de opvolging van de bevindingen van de voorgaande accountant.

4

18 boardletter 2024 - GEMEENTE LANSINGERLAND

^ k

3.4 Overzicht van onze bevindingen t.a.v. de IT General Controls (1) Wij hebben de automatiseringsorganisatie uitsluitend in het kader van de jaarrekeningcontrole beoordeeld. Het minimaliseren van eindgebruikers met superuserrechten behoeft opvolging (met prioriteit) IT-audit algemeen In het kader van de jaarrekeningcontrole is een IT-audit uitgevoerd. De IT-audit is primair gericht op de betrouwbaarheid van de gegevensverwerking ten behoeve van de totstandkoming van de jaarrekening. Dit betekent dat de ITaudit zich niet primair richt op het doen van uitspraken omtrent de betrouwbaar­ heid en continuïteit van de geautomatiseerde gegevensverwerking als geheel of van onderdelen daarvan.

Bevindingen IT General Controls Wij hebben in samenwerking met onze IT-auditors een aantal algemene ITbeheersmaatregelen maatregelen beoordeeld voor Key2Financiën, Suite4SociaalDomein en MotionPro. Dit om de impact van de risico’s van onbeheerste wijzigingen, ongeautoriseerde handelingen en verstoringen te kunnen vaststellen voor die systemen die gekoppeld zijn aan de voor ons relevantie processen en posten.

Het inzicht in de gebruikte IT-applicaties en ondersteunende IT-infrastructuur, vormen een onderdeel van het inzicht in de interne beheersing. Algemene ITbeheersingsmaatregelen (hierna: IT General Controls) rond de IT-processen leveren een belangrijke bijdrage aan het mitigeren van de risico's die voort­ komen uit het gebruik van IT.

Vanaf de volgende pagina zijn de bevindingen opgenomen met betrekking tot de opzet en het bestaan van de door ons in het kader van de jaarrekeningcontrole onderzochte IT General Controls voor zover relevant voor de jaarrekeningcontrole. De impact van de bevindingen met betrekking tot de IT General Controls zal bij de betreffende processen worden behandeld.

De scope van relevante IT General Controls wordt jaarlijks beoordeeld. Geautomatiseerde gegevensverwerking De accountant dient op basis van artikel 2:393, lid 4 BW aandacht te besteden aan de bevindingen met betrekking tot de betrouwbaarheid en continuïteit van de geautomatiseerde gegevensverwerking.

4

19 boardletter 2024 - GEMEENTE LANSINGERLAND

3.4 Overzicht van onze bevindingen t.a.v. de IT General Controls (2) Per applicatie

Overzicht en evaluatie van ITCG - per applicatie In onderstaand overzicht geven wij een overzicht en evaluatie van de bevindingen per applicatie. OVERZICHT EN EVALUATIE VAN ITCG - PER APPLICATIE

KEY2FINANCIEN

SUITE4SOCIAALDOMEIN

MOTIONPRO

Logische toegangsbeveiliging

2024

2024

2024

LT.1 - Procedure autorisatiebeheer

©

©

©

LT.2 - Periodieke controle op toegang en juistheid ingerichte autorisaties

©

©

©

LT.3 - Identificatie van gebruikers voor toegang tot applicaties

©

©

©

LT.4 - Authenticatie

©

©

©

LT.5 - Administrator- en superuser-accounts

©

©

©

Change management CM.1 - Wijzigingesbeheer applicaties CM.2 - Gescheiden IT-omgevingen

— geen waarneming

B nieuwe bevinding

© onvoldoende

© verbetermogetijkheden

© eerder gerapporteerd - progressie

© toereikend (opgevolgd)

^ k

4

20 boardletter 2024 - GEMEENTE LANSINGERLAND

^ k

3.5 Informatiebeveiliging en cybersecurity (1) Er is nog geen integrale IT strategie met betrekking tot o.a. cybersecurity. Wij hebben het college geadviseerd hiermee aan de slag te gaan Vanuit onze natuurlijke adviesrol attenderen wij u graag op een aantal ontwikkelingen op het gebied van informatiebeveiliging. Digitale weerbaarheid is hierin een belangrijk thema, mede door de toenemende eisen voor digitale veiligheid vanuit Europese wet- en regelgeving. Om de juiste weerbaarheid te bereiken dient een zorgvuldige afweging te worden gemaakt tussen het implementeren en continu bewaken van beheersingsmaatregelen en het accepteren van risico's anderzijds. Gemeenten zijn in toenemende mate afhankelijk van de continuïteit van IT-systemen en digitale verbindingen met de buitenwereld, waardoor verstoring, uitval of een cybersecurity incident grote gevolgen kan hebben. Op basis van onze cyber in de audit aanpak hebben wij in afstemming met gemeente Lansingerland een drietal hoofdthema’s op het gebied van cybersecurity besproken: 1. Security governance & management Dit thema ziet toe op inzicht in het IT-landschap en kritieke IT-systemen, aanwezigheid van een informatiebeveiligingsbeleid, verantwoordelijkheden rondom informatiebeveiliging beleggen, informatiebeveiligingsbewustzijn, ITrisicomanagement, classificatie van data en/of IT-systemen, en leveranciersmanagement.

Bij de IT-auditwerkzaamheden hebben we de getroffen maatregelen m.b.t. security governance & management geïnventariseerd en bewijsstukken geïnspecteerd. 2. Beveiliging van IT-systemen Om kwetsbaarheden tegen te gaan is het van belang om IT-systemen te beveiligen. Dit houdt in dat de organisatie de IT-systemen op een consistente manier conform de BIO configureert zodat cybersecurityincidenten, ongeautoriseerde handelingen en gijzeling van data kunnen worden tegengegaan. Voor bevindingen in dit kader wordt verwezen naar paragraaf 3.4.

3. Security operations Security operations heeft betrekking op de activiteiten en getroffen maatregelen uitgevoerd door de organisatie om cybersecurity kwetsbaarheden te monitoren, preventief tegen te gaan, te onderzoeken en te reageren. Wij adviseren een intern security incident management proces op te stellen en organisatie breed te communiceren zodat beveiligingsincidenten worden beheerst en tijdig worden opgevolgd. Daarnaast adviseren wij u een IT continuïteitsplan op te stellen en jaarlijks te testen met de betreffende serviceorganisaties (o.a. BCS). Wij hebben begrepen dat gemeente Lansingerland dit reeds in concept beschikbaar heeft. NIS2 - digitale weerbaarheid verankerd in wet- en regelgeving vanuit de EU Om de digitale weerbaarheid van organisaties te verhogen is de NIS2 (Network and Information Security 2) richtlijn vanuit de EU vastgesteld. De NIS2 richtlijn is een update van de in 2016 ingevoerde NIS-richtlijn. In Nederland ook wel bekend als NIB2 (Netwerk- en informatiebeveiligingsrichtlijn) en/of de Wbni (Wet Beveiliging Netwerk- en Informatiesystemen). Gemeenten zijn door de NIS2 aangewezen als organisaties die van vitaal belang zijn voor de samenleving. Gemeente Lansingerland is dus verplicht om de NIS2-maatregelen te implementeren.

In het vierde kwartaal 2024 wordt NIS2 naar Nederlandse wetgeving vertaald en nadien van kracht onder de noemer ‘Cyberbeveiligingswet’. Belangrijk is dat NIS2 aanvullende eisen stelt, die niet volledig door de huidige Baseline Informatiebeveiliging Overheid (BIO) worden afgedekt, wat betekent dat in de komende periode additionele maatregelen moeten worden getroffen ten einde aan NIS2 te voldoen.

21

boardletter 2024 - GEMEENTE LANSINGERLAND

3.5 Informatiebeveiliging en cybersecurity (2) Network and Information Security 2 (NIS2) is van toepassing op gemeente Lansingerland

De volgende verplichtingen vallen onder NIS2: ^ Zorgplicht: organisaties dienen een risicobeoordeling uit te voeren en op basis daarvan passende maatregelen te nemen om hun diensten te beveiligen. ^ Opleidingsplicht: bestuursorganen dienen opgeleid te zijn, en optioneel ook werknemers, om cyberrisico’s te identificeren, impact te bepalen en beveiligingsmaatregelen te selecteren. ^ Meldplicht: cyberincidenten dienen binnen 24 uur bij de toezichthouder te worden gemeld. Tevens dient een cyberincident ook bij een sectorspecifiek Computer Security Incident Response Team (CSIRT) te worden gemeld, wat eventueel hulp en bijstand kan verlenen. ^ Toezicht: een onafhankelijk toezichthouder zal naleving van de verplichtingen uit de richtlijn borgen. Gemeente Lansingerland heeft de uitvoering van de gap-analyse tussen BIO en NIS2 momenteel onderhanden. Naar aanleiding van de geconstateerde gaps worden uitdagingen verwacht op het gebied van: ^ Scholing van bestuurders op het gebied van informatiebeveiliging en risicomanagement. ^ Het implementeren van een gedegen incident management procedure, waarbij onderscheid wordt gemaakt tussen de verschillende typen incidenten. De bestaande procedure dient hiervoor herijkt te worden, doordat de procedure momenteel beperkt is tot datalekken en ICT-incidenten. Gemeente Lansingerland heeft o.a.

een benchmark laten uitvoeren (eindrapport naar een toekomstbestendige concernstaf). Informatiebeveiliging en cybersecurity is hier een belangrijk onderdeel van. De begroting waarin de uitbreiding Informatieveiligheid (ISO en TISO) is opgenomen is vastgesteld. Deze uitbreiding is op basis van de benchmark Toekomstgerichte concernstaf door Berenschot.

4

^ k

4

22 boardletter 2024 - GEMEENTE LANSINGERLAND

^ k

3.6 Verbijzonderde Interne Controle Gemeente Lansingerland beschikt over een stevige, goed functionerende VIC. Verbeterpunt: zichtbaar vertalen van het (volledige) normenkader naar het toetsingskader om volledigheid van de gepland VIC werkzaamheden te waarborgen Verbijzonderde Interne Controle De afgelopen jaren is veel discussie geweest over de eisen die gesteld moeten worden aan de onafhankelijkheid, positie en kwaliteit van de Verbijzonderde Interne Controle (VIC) en de wijze waarop organisaties en accountants hierin kunnen samenwerken. Wij onderscheiden hierbij een aantal varianten / situaties voor een organisatie: ^ De VIC voldoet aan de eisen van COS 610. ^ De VIC werkt samen met de accountant in de uitvoering van gegevensgerichte controles. ^ De organisatie kiest er voor om geen VIC uit te voeren of besteed dit uit. Samen met gemeente Lansingerland concluderen wij dat het op dit moment niet realistisch om te voldoen aan de eisen van de COS 610 c.q. dit op korte termijn ook niet het streven is / moet zijn. Wel is de kwaliteit zodanig dat in goede samenwerking in belangrijke mate gebruik kan worden gemaakt van de door de VIC (in overleg met ons) voorbereide werkzaamheden; ofwel de tweede variant. Het gaat er in de kern om of de VIC werkzaamheden zijn gericht op het voorkomen of het detecteren en corrigeren van fouten in de jaarrekening.

VIC-werkzaamheden gemeente Lansingerland Binnen gemeente Lansingerland zijn VIC-werkzaamheden gepland uitgevoerd ten aanzien van de materiële processen: ^ Verbonden partijen; ^ Personele lasten (lonen en salarissen); ^ Factuurverwerking en betalingen (inkoop en betalingen); ^ Grondexploitatie, grondaankopen en grondverkopen; ^ Omgevingsvergunningen; ^ Huur- en overige opbrengsten; ^ Europese aanbestedingen; ^ Subsidieverstrekkingen.

danwel

Daarnaast is nog sprake van controles die 1x per jaar door de VIC worden uitgevoerd. Het is aan de gemeente om in het kader van de verdere doorontwikkeling van de organisatie te evalueren welke werkzaamheden in de eerste of tweede lijn belegd kunnen worden (zie ook paragraaf 2.1). Vanuit de tussentijdse rapportage 2024 van de VIC zien we cumulatief relatief beperkt getrouwheid- en rechtmatigheidsbevindingen. Onze werkzaamheden bij de interim-controle 2024 bevestigen dit beeld. De aanbevelingen van de VIC richten zich vooral op aanscherping van interne procedures. Aanbevelingen Naar aanleiding van het doornemen van de VIC-jaarplannen, review van de uitgevoerde VIC-werkzaamheden en de eerste tussentijdse rapportage over de periode januari tot en met mei 2024 zien wij de volgende aanbevelingen: ^ Een belangrijk verbeterpunt is het concreet (en zichtbaar) vertalen van het (volledige) normenkader naar het toetsingskader om de volledigheid van de toetspunten binnen de geplande VIC-werkzaamheden te waarborgen. V.w.b. de toetspunten vanuit de landelijke wetgeving is volledigheid van de toetspunten geborgd in de applicatie, echter die ondervangt niet de gemeentelijke verordeningen en de toetspunten voor de andere materiele processen. ^ Taken in het kader van de Jeugdzorg zijn door gemeente Lansingerland gemandateerd aan GRJR.

Dit betekent dat de bestedingen in de jaarrekening 2024 van gemeente Lansingerland verwerkt worden. Voor 2024 is afgesproken dat de accountant van de GRJR verantwoordelijk is voor de controle van de getrouwheid en rechtmatigheid van deze bestedingen. Voor 2025 e.v. adviseren wij de organisatie zelf VIC-werkzaamheden in dit kader te plannen. ^ Andere verbeterpunten zijn: » Een controle op het bruto-netto traject binnen de salarisadministratie; » Een toetsing op de bestedingen en interne uren binnen de SiSaverantwoording (SPUK’s).