[I25.18897] Boardletter 2025 Gemeente Lansingerland door BDO

13 OKTOBER 2025

CONCEPT BOARDLETTER 2025

Gemeente Lansingerland

BDO Audit ft Assurance B.V., Weena 764, 3014 DA Rotterdam, www.bdo.nl

Aan: Gemeente Lansingerland T.a.v. de gemeenteraad Tobias Asserlaan 1 2662 SB BERGSCHENHOEK

Rotterdam, 13 oktober 2025 Kenmerk: AK/JWB/RAxxx

4

S k

Geachte leden van de gemeenteraad, In het kader van de door u aan ons verstrekte opdracht tot controle van de jaarrekening 2025 van gemeente Lansingerland brengen wij met deze boardletter verslag uit over onze bevindingen naar aanleiding van onze interimcontrole. Voor een nadere omschrijving van onze opdracht, de reikwijdte en aanpak van onze controle en overige afspraken verwijzen wij naar de opdrachtbevestiging en ons dienstverleningsplan. De samenwerking met de ambtelijke organisatie is door ons als constructief en plezierig ervaren. Deze boardletter bevat onze belangrijkste observaties en bevindingen ten aanzien van de processen binnen gemeente Lansingerland en de daarin opgenomen beheersingssystemen. In deze rapportage richten wij ons met name op mogelijke verbeterpunten in de bedrijfsvoering en de processen die wij hebben onderzocht in het kader van de controle van de jaarrekening. Dit heeft tot doel een bijdrage te leveren aan de interne beheersing en het zelfcontrolerend vermogen binnen de organisatie. Tijdens onze bezoeken aan gemeente Lansingerland komen wij ook in aanraking met andere ontwikkelingen van de organisatie en bedrijfsvoering. We bespreken graag een aantal van die andere ontwikkelingen met u. In deze boardletter besteden we daarom ook aandacht aan ontwikkelingen op andere gebieden dan de processen. Wij hopen u met dit verslag van dienst te zijn.

Vanzelfsprekend zijn wij graag bereid om een nadere toelichting op de inhoud te geven. Met vriendelijke groet, BDO Audit & Assurance B.V. namens deze,

F.P. (Arne) Koole MSc RA Partner

3

BOARDLETTER 2025 - GEMEENTE LANSINGERLAND

Inhoudsopgave

01

02

03

Dashboard interim-controle

Ontwikkelingen en aandachtspunten

Observaties en bevindingen interim-controle

4

4=1

BOARDLETTER 2025 - GEMEENTE LANSINGERLAND

1. Dashboard interim-controle

1.1 Dashboard interim-controle

5

4=1

BOARDLETTER 2025 - GEMEENTE LANSINGERLAND

UW INTERNE BEHEERSING

ONTWIKKELINGEN Ŭ AANDACHTSPUNTEN

We hebben wederom een constructieve samenwerking ervaren. De kwaliteit van de oplevering is goed Voor boekjaar 2025 zijn wij voor de tweede keer de controlerend accountant van gemeente Lansingerland. De samenwerking is door ons weer als constructief en plezierig ervaren. De kwaliteit en tijdigheid van de oplevering zijn (goed) op orde. Daarnaast constateren wij dat we elkaar steeds beter weten te vinden, ook als het gaat om zaken die wat verder weg staan van de controle van de jaarrekening, zoals ontwikkelingen in specifieke grondexploitaties.

Aandachtspunten jaarrekening 2025 zijn het beperken van onzekerheden binnen het sociaal domein en besluitvorming in het kader van GR Bleizo V Vanaf 2025 worden fouten en onzekerheden bij elkaar opgeteld. Voorgaand jaar was nog sprake onzekerheden in het sociaal domein (C 0,7 miljoen). Wij adviseren het college een besluit te nemen over wel I niet (verder) beperken van de onzekerheden. V Van belang is dat de GR Bleizo na vaststelling van de nieuwe ontwikkelstrategie in 2026 beschikt over een (geactualiseerde) grondexploitatieberekening die gebaseerd is op de meest actuele en geformaliseerde uitgangspunten.

De interne beheersing is van voldoende niveau De processen en gerelateerde beheersingsmaatregelen zijn niet veel gewijzigd t.o.v. vorig jaar. We concluderen dat de interne beheersing en controleomgeving van gemeente Lansingerland, voor zover relevant voor de jaarrekeningcontrole, van voldoende niveau is, rekening houdend met de werkzaamheden van de VIC achteraf. Er wordt zichtbaar gewerkt aan verbetering We constateren dat gemeente Lansingerland actief aan de slag is en gaat met de opvolging van onze bevindingen. Daarnaast zien we dat de gemeente prioriteit geeft aan de doorontwikkeling van de organisatie. Dit zien we bijvoorbeeld terug bij de implementatie van het 3-lijnenmodel binnen een aantal teams en het project om te komen tot een contractenbank en verplichtingenadministratie. Conform vorig jaar blijven wij aandacht vragen voor het minimaliseren van gebruikers in de lijnorganisatie met superuserrechten (met prioriteit).

Geen (aanwijzingen of signalen van) fraude en non-compliance geïdentificeerd V De gemeente heeft corruptierisico’s toegevoegd aan de frauderisicoanalyse. Daarnaast is een frauderesponsplan opgesteld. Dit zijn sterke ontwikkelingen. V Om de frauderisicoanalyse verder te verbeteren raden we het college aan om de motivering achter de risicoclassificatie (kans * impact) met meer diepgang uit te werken. Onze inschatting is dat dit niet direct tot andere conclusies zal leiden. Ontwikkelingen in wet- en regelgeving zien toe op CybetfNIS2 en de APPA-voorziening V Lansingerland heeft een volwassen fundament voor informatiebeveiliging, waarbij meerdere elementen aantoonbaar zijn ingericht dat in lijn ligt met wetgeving. Enkele aspecten resteren die aandacht vereisen mede t.b.v. het verhogen van de digitale weerbaarheid. V Commissie BBV komt dit najaar met een bericht over de impact van de gewijzigde pensioenstelsel op de APPA-voorziening.

RECHTMATIGHEIDSVERANTWOORDING EN VIC

BELANGRIJKSTE BEVINDINGEN MATERIELE PROCESSEN

In het kader van de rechtmatigheidsverantwoording heeft de gemeente acties ondernomen om aanbestedingsonrechtmatigheden te verlagen V De gemeenteraad van gemeente Lansingerland heeft de verantwoordingsgrens in de aangepaste verordening voor 2025 vastgesteld op 2% (2024: 2%). De verantwoordingsgrens komt daarmee, op basis van de begroting, uit op C 4,5 miljoen (2024: C 4,8 miljoen). De rapportagegrens is bepaald op C 200.000. V In de rechtmatigheidsverantwoording 2024 heeft het college van gemeente Lansingerland aangeven dat de in de jaarrekening 2024 verantwoorde baten en lasten alsmede de balansmutaties die niet rechtmatig tot stand zijn gekomen, voornamelijk het gevolg zijn van aanbestedingsonrechtmatigheden. We zien dat de gemeente acties heeft ondernomen om de aanbestedingsonrechtmatigheden in het vervolg te minimaliseren (grotendeels onderhanden): ^ Het herstellen van bevindingen en onrechtmatigheden (waar mogelijk); ^ Het verminderen van (nieuwe) onrechtmatigheden door de implementatie van een verplichtingenadministratie en contractenbank, het werken aan bewustwording in de organisatie en het (verder) implementeren van het 3-lijnenmodel (zie hieronder).

Gemeente Lansingerland heeft in 2024 en 2025 de interne beheersing verder verbeterd. Van de openstaande bevindingen vanuit voorgaand jaar zijn er enkele bevindingen (deels) opgevolgd en wordt nog gewerkt aan de opvolging van enkele bevindingen. We hebben deze interim-controle een nieuwe bevinding geïdentificeerd (zie paragraaf 3.3).

Gemeente Lansingerland beschikt over een goed functionerende VIC. Op een aantal aspecten kan de kracht/meerwaarde van de VIC verhoogd worden. Ons advies om de meerwaarde en kracht van de VIC verder te verhogen: V Het concreet (en zichtbaar) vertalen van het normenkader naar het toetsingskader. V Gemeente Lansingerland maakt bij de uitvoering van de VIC-werkzaamheden in beperkte mate gebruik van innovatieve (AI-)tools of data-analyse. Daarnaast kan binnen een aantal kernprocessen efficiënter gewerkt worden door aan te sluiten op de verhoging van de materialiteit waardoor de omvang van steekproeven verlaagd kan worden.

Er resteren twee eerder gerapporteerde bevindingen met prioriteit ‘hoog’ Memoriaalboekingen - Binnen de gemeente is een proces geformaliseerd waarbij handmatige boekingen door twee functionarissen (financial control) worden geaccordeerd. Deze functiescheiding wordt in de administratie echter niet afgedwongen en de onderbouwing van die handmatige boeking wordt niet zichtbaar getoetst. Wel vindt er achteraf een VIC-controle plaats (vanaf 2025 ook via een risicogerichte data-analyse).

V

V

Inkopen en aanbesteden - Niet altijd zichtbare beoordeling van de prestatielevering in de lijn en niet altijd zichtbare centrale beheersmaatregelen m.b.t. (Europese) aanbestedingen.

6

BOARDLETTER 2025 - GEMEENTE LANSINGERLAND

2. Ontwikkelingen en aandachtspunten

2.1

Aandachtspunten jaarrekening 2025

2.2 Ontwikkelingen in relevante wet- en regelgeving

7

4=1

BOARDLETTER 2025 - GEMEENTE LANSINGERLAND

2.1 Aandachtspunten jaarrekening 2025 (1) In december 2025 zal de aangepaste financiële verordening en controleverordening ter vaststelling aan de gemeenteraad voorgelegd worden om aan te sluiten op de wijzigingen in het BBV en het BADO. De materialiteit voor gemeenten is verhoogd naar 2% Vanaf boekjaar 2025 is de wettelijke controlegrens voor de accountant verhoogd van ^ naar 2%. Voor gemeente Lansingerland komt dit, op basis van de begroting, uit op een controlegrens van C 4,5 miljoen. Deze wijziging betreft tevens de samenvoeging van de controlegrens van ^ voor fouten en 3% voor onzekerheden tot één norm van 2%. De omvangsbasis is gelijk aan de totale lasten van gemeente Lansingerland, exclusief de toevoegingen aan de reserves. In november 2025 zal de, in dit kader aangepaste, financiële verordening en controleverordening ter vaststelling aan de gemeenteraad voorgelegd worden. In 2024 was het oordeel van het college in de rechtmatigheidsverantwoording; ‘onrechtmatig’. Het college heeft hierop maatregelen genomen om onrechtmatigheden naar de toekomst toe te verkleinen Het wetgevingstraject rondom de rechtmatigheidsverantwoording (verder: RMV) is voor gemeenten afgerond op 21 maart 2025.

Naar aanleiding van de afgeronde wijzigingen in het BBV wijzigt vanaf boekjaar 2025 het maximum van de door de raad vastgestelde verantwoordingen naar 2% van de lasten exclusief dotaties aan reserves. Dit is gelijk aan de wettelijke materialiteit die in het kader van de jaarrekeningcontrole over 2025 door ons wordt gehanteerd (zie voorgaande paragraaf). Gemeente Lansingerland hanteerde al een verantwoordingsgrens van 2%. De rapportagegrens bedraagt conform voorgaande jaren C 200.000. In december 2025 zal de, in dit kader aangepaste, financiële verordening en controleverordening ter vaststelling aan de gemeenteraad voorgelegd worden. In de RMV 2024 heeft het college van Lansingerland verantwoord dat de in de jaarrekening 2024 verantwoorde baten en lasten alsmede de balansmutaties die niet rechtmatig tot stand zijn gekomen, voornamelijk het gevolg zijn van aanbestedingsonrechtmatigheden. Verderop in deze boardletter hebben wij aanbevelingen beschreven om aanbestedingsonrechtmatigheden in de toekomst te voorkomen. Wij zien dat gemeente Lansingerland (stap voor stap) actief bezig is om aanbestedingsonrechtmatigheden te verkleinen.

Voor de komende jaren staan in dit kader o.a. de volgende acties gepland: ^ Het herstellen van bevindingen en onrechtmatigheden (waar mogelijk); ^ Het verminderen van (nieuwe) onrechtmatigheden door de implementatie van een contractenbank en onderzoek naar een verplichtingenadministratie/ contractenbank, het werken aan bewustwording in de organisatie en het (verder) implementeren van het 3-lijnenmodel. Opvolging van deze acties is nog onderhanden. In ons accountantsverslag zullen wij rapporteren over de status van de opvolging en aanbevelingen in dit kader. Wij adviseren het college een besluit te nemen over wel I niet (verder) beperken van de onzekerheden in het sociaal domein (2024: C 0,7 miljoen) In 2024 had gemeente Lansingerland totaal C 17,9 miljoen lasten Wmo en Jeugzorg, bij C 15,3 miljoen van deze lasten was een productieverantwoording met controleverklaring. Daarnaast heeft de gemeente andere maatregelen getroffen waarmee zij waarborgt dat de prestatie voor deze lasten ook geleverd wordt. Deze maatregelen waren echter niet voldoende om de onzekerheden te beperken tot nihil. Daarom rapporteerden wij in ons accountantsverslag 2024 een onzekerheid van C 0,7 miljoen. Door de wijziging van de BADO en BBV vanaf verslagjaar 2025 geldt er voor onzekerheden geen aparte materialiteitsgrens meer; onzekerheden worden opgeteld bij de fouten.

Landelijk is bij een aantal gemeenten sprake van omvangrijke onzekerheden bij de Wmo en/of Jeugdzorg, omdat zijzelf geen controle op prestatielevering uitvoeren en de onzekerheden niet worden ondervangen door productieverantwoordingen en goedkeurende controleverklaring vanuit zorgaanbieders. Omvangrijke onzekerheden kunnen (in combinatie met ongecorrigeerde fouten uit de jaarrekeningcontrole) de materialiteit overschrijden. Als de materialiteit wordt overschreden, zal de gemeente alsnog werkzaamheden moeten uitvoeren om de onzekerheden te reduceren. Een herstelactie kan de bestuurlijke agenda en de jaarrekening(controle) beïnvloeden.

8

4=1

BOARDLETTER 2025 - GEMEENTE LANSINGERLAND

2.1 Aandachtspunten jaarrekening 2025 (2) Aandacht voor beperken onzekerheden m.b.t. prestatielevering Wmo en Jeugd en GR Bleizo.

Gemeente Lansingerland ontvangt vanuit de grotere zorgaanbieders productieverklaringen met controleverklaringen. Daarmee wordt voor deze grotere zorgaanbieders reeds zekerheid verkregen over het aspect prestatielevering. Maatregelen die gemeente Lansingerland kan inzetten om onzekerheden (verder) te beperken zijn: * Zichtbare toetsing in proces (vastgelegd contactmoment na afgifte beschikking); ^ Zichtbare toetsing in proces bij herindicatie en exitgesprekken; ^ Signalen uit eigen bijdrage worden opgepakt; ^ Signalen uit accountgesprekken met zorgaanbieders worden opgepakt; ^ Cliëntervaringsonderzoeken worden uitgevoerd en zichtbaar vastgelegd (er is bijvoorbeeld een 'belprotocol’); ^ Betrouwbare klachtenregistratie en procedure aanwezig; ^ Uitvoeren van controles bij zorgaanbieders zelf (risicogericht); ^ De VIC doet controles op bovenstaande maatregelen. Gemeente Lansingerland heeft preventief maatregelen genomen om de onzekerheden in het kader van de prestatielevering Wmo en Jeugd grotendeels te mitigeren. Wij adviseren het college een besluit te nemen over wel I niet (verder) beperken van de onzekerheden. Van belang is dat de GR Bleizo na vaststelling van de nieuwe ontwikkelstrategie in 2026 beschikt over een (geactualiseerde) grondexploitatieberekening die gebaseerd is op de meest actuele en geformaliseerde uitgangspunten.

De Gemeenschappelijke Regeling (GR) Bleizo is een samenwerkingsverband tussen de gemeenten Zoetermeer en Lansingerland, waarbij de GR verantwoordelijk is voor de uitvoering van de grondexploitatie Bleizo. Op dit moment wordt de grondexploitatie (GREX) berekend op basis van bedrijfsterreinen.

Er zijn echter signalen dat het project zich zal ontwikkelen tot een gemengd project, waarbij naast bedrijfsterreinen ook woningbouw wordt gerealiseerd. Formeel is hierover nog geen besluit genomen door het algemeen bestuur van de GR Bleizo en de gemeentelijke raden. Het is te verwachten dat dit besluit op 31 december 2025 nog niet genomen zal zijn. Indien wordt gekozen voor een gemengd project, zal de financiële positie van de GREX naar verwachting verslechteren, aangezien hiermee extra kosten gepaard gaan, zoals voor voorzieningen, infrastructuur en nutsleidingen. De gemeenten werken aan het opstellen van de ontwikkelstrategie voor BleizoWest. Doel van de ontwikkelstrategie is om inzichtelijk te maken op welke wijze de gemeenten Bleizo-West op een verantwoorde, haalbare en voortvarende manier kunnen ontwikkelen. De planning was erop gericht om de ontwikkelstrategie eind 2025 gereed te hebben voor besluitvorming in beide gemeenten. Deze planning, met een doorlooptijd van zes maanden, blijkt niet haalbaar. De planvorming van deze omvangrijke gebiedsontwikkeling vraagt meer tijd, aanvullende onderzoeken zijn nodig en de gemeenten willen meer tijd nemen om dit samen te doen met externe stakeholders. Naar verwachting wordt de ontwikkelstrategie, na de gemeenteraadsverkiezingen, in het najaar van 2026 ter besluitvorming aan beide gemeenteraden voorgelegd.

Van belang is dat de GR Bleizo na vaststelling van de nieuwe ontwikkelstrategie in 2026 beschikt over een (geactualiseerde) grondexploitatieberekening die gebaseerd is op de meest actuele en geformaliseerde uitgangspunten.

9

4=1

BOARDLETTER 2025 - GEMEENTE LANSINGERLAND

2.2 Ontwikkelingen in relevante wet- en regelgeving (1) Wij adviseren het college acties in het kader van NIS2 en Cyberbeveiligingswet verder te formaliseren. Hierdoor wordt tevens de digitale weerbaarheid van gemeente Lansingerland structureel en toekomstbestendig versterkt. Gemeente Lansingerland heeft op hoofdlijnen een volwassen fundament gelegd voor informatiebeveiliging, waarbij meerdere elementen aantoonbaar zijn ingericht dat in lijn ligt met de NIS2 en Cyberbeveiligingswet Vorig jaar hebben we in onze boardletter uitgebreid gerapporteerd over de implementatie van de NIS2 (Network and Information Security 2) richtlijn en welke stappen gemeente Lansingerland in dit kader nog moest zetten. Onderstaand geven wij een update over de huidige stand van zaken en sluiten we af met de meest urgentie acties in het kader van de implementatie van NIS2 & Cyberbeveiligingswet. Gemeente Lansingerland heeft op hoofdlijnen een volwassen fundament gelegd voor informatiebeveiliging, waarbij meerdere elementen aantoonbaar zijn ingericht dat in lijn ligt met de NIS2 en Cyberbeveiligingswet. Zo is er een gedocumenteerd en gecommuniceerd informatiebeveiligingsbeleid dat periodiek wordt herzien en zijn de rollen van CISO en ISO belegd met een duidelijke scheiding van verantwoordelijkheden ten opzichte van de IT-afdeling en de rest van de organisatie.

Hiermee wordt invulling gegeven aan het 3-lijnenmodel. Daarnaast is er structurele aandacht voor bewustwording en training onder de ambtenaren van gemeente Lansingerland, waaronder phishingcampagnes en awareness programma’s. Gemeente Lansingerland voert periodiek risicoanalyses uit, inclusief penetratietesten en vulnerability scans, en beschikt over procedures voor logische en fysieke toegang tot kritieke systemen. Het netwerk is gesegmenteerd ten aanzien van web-facing applicaties en systemen worden voorzien van de laatste patches. Logging en monitoring zijn operationeel ingericht en er is een incidentmanagementproces aanwezig dat in de praktijk wordt toegepast. Naast deze positieve basis zijn er enkele aspecten die aandacht vereisen in het kader van compliance met NIS2 en het verhogen van de digitale weerbaarheid Hoewel er een dataclassificatie aanwezig is, ontbreekt een actuele en integrale mapping van systemen en kroonjuwelen. Er is geen formeel beleid voor leveranciersrelaties. Omdat NIS2 expliciet de nadruk legt op

ketenverantwoordelijkheid en risicobeheersing bij leveranciers dient dit ontwikkeld te worden. Ondanks de aanwezigheid van een uitwijkplan, hebben wij begrepen dat een gedocumenteerd IT continuïteitsplan ontbreekt. Hoewel er sprake is van monitoring via FortiCloud en IDS-functionaliteit is de detectiecapaciteit voor security-incidenten nog niet aantoonbaar integraal ingericht. Dit is een aandachtspunt gezien de verscherpte eisen vanuit NIS2 op het gebied van incidentdetectie en respons. De NIS2-richtlijn vereist dat organisaties een risico-gebaseerde aanpak hanteren, waarbij niet alleen interne processen maar ook externe afhankelijkheden (zoals leveranciers en ketenpartners) worden meegenomen in het beveiligingsbeleid. De BIO sluit hierop aan door het loslaten van vaste BBN-niveaus en het centraal stellen van risicomanagement en proportionaliteit. Gemeenten worden geacht hun leveranciers te classificeren op basis van cyberrisico en hierop passende maatregelen te treffen. Lansingerland doet dit op systeemniveau. Daarnaast wordt verwacht dat de gemeente hun detectie- en responscapaciteit aantoonbaar versterken en continu verbeteren. Wij adviseren op basis van onze inzichten: * Een herijking van de kroonjuwelen; ^ Een formeel beleid op te stellen voor het beheer van leveranciersrelaties (incl.

koppelingen met derde partijen); ^ Een formeel BCP te implementeren dat jaarlijks wordt getest (incl. een IT continuïteitsplan); ^ Te starten met een risico-gebaseerde leveranciersanalyse en beveiligingsmaatregelen af stemmen op de impact en afhankelijkheid van externe partijen. NIS2 is nog niet werking getreden, desondanks is gemeente Lansingerland vergevorderd met de implementatie van de elementen van NIS2 en Cyberbeveiligingswet. Hiermee wordt tevens de digitale weerbaarheid van de organisatie structureel en toekomstbestendig versterkt. Wij raden aan om dit actief en continu te monitoren en blijvend te toetsen of er wordt voldaan aan vereisten vanuit de NIS2 en Cyberbeveiligingswet.

4=1

10 BOARDLETTER 2025 - GEMEENTE LANSINGERLAND

2.2 Ontwikkelingen in relevante wet- en regelgeving (2) Update: enkele relevante ontwikkelingen voor gemeente Lansingerland m.b.t. de APPA-voorziening, de Wet DBA en de Notitie Rente van de commissie BBV. De commissie BBV zal in november 2025 met een standpunt komen inzake de voorziening voor pensioenaanspraken van politieke ambtsdragers Met de invoering van het nieuwe pensioenstelsel is besloten dat ook de APPApensioenaanspraken van politieke ambtsdragers in een pensioenfonds ondergebracht moeten worden per 1 januari 2028. Het ministerie van Binnenlandse zaken heeft een onderzoek gedaan of de huidige pensioenvoorzieningen toereikend zijn voor de overdracht per 1 januari 2028. De gemeenten die hieraan mee hebben gewerkt, hebben een individuele brief ontvangen waarin verschillende bedragen worden genoemd, zoals het benodigd vermogen per 1 januari 2025 en een herberekening van de voorziening 2024. Gemeente Lansingerland heeft meegedaan aan dit onderzoek. De brief kan tot vragen leiden op welke manier de gemeente hier in de jaarrekening 2025 mee om moet gaan. Wij hebben van de commissie BBV begrepen dat zij hierover in november 2025 met een standpunt komen. Gemeente Lansingerland heeft de kwalificatie van arbeidsrelaties (Wet DBA) en de bijbehorende risico’s voldoende in beeld Sinds de introductie van de Wet DBA in 2016 is sprake van een handhavingsmoratorium.

Dit betekent dat de Belastingdienst niet controleert en handhaaft op het bestaan van een dienstbetrekking, tenzij sprake is van kwaadwillendheid. Vanaf 1 januari 2025 is het handhavingsmoratorium vervallen en gaat de Belastingdienst weer volledig handhaven. Er kunnen dus naheffingsrisico’s ontstaan. Organisaties die werken met zelfstandigen die eigenlijk werknemer zijn, lopen financiële risico’s. Zo is er vanaf 1 januari 2025 sprake van een naheffingsrisico vanuit de Belastingdienst. Ook kunnen zelfstandigen die eigenlijk werknemer zijn vorderingen instellen op grond van arbeidsrechtelijke verplichtingen en kunnen verplichte pensioenregelingen leiden tot pensioenvorderingen. Om dergelijke risico’s te voorkomen is het voor organisaties die zelfstandigen inhuren van belang om de huidige inhuur van zelfstandigen en het inhuurproces onder de loep te nemen.

Gemeente Lansingerland heeft in april een inhuuraudit uitgevoerd om vast te stellen welke risico’s de gemeente loopt. Hiermee heeft de gemeente de risico’s voldoende in beeld. Gemeente Lansingerland verwacht eind van het jaar met een standpuntennotitie te komen waarbij rekening wordt gehouden met de herziene Notitie Rente (commissie BBV) De belangrijkste wijziging uit de notitie rente betreft een aanpassing in de toerekening van de rentelasten aan de grondexploitaties. Met ingang van boekjaar 2025 wordt voor grondexploitaties geen onderscheid meer gemaakt in het BBV, waardoor de rentetoerekening plaatsvindt op basis van de reguliere omslagrente (feitelijk 2%). Voor gemeente Lansingerland leidt dit tot een verhoogde rentetoerekening die een negatief (en positief) effect heeft op de verwachte eindwaarde van de verschillende grondexploitaties. Gemeente Lansingerland heeft werksessies ingepland om het proces rondom actualisatie van de grondexploitaties te evalueren, waarbij ook rekening wordt gehouden met toerekening van Vennootschapsbelasting en de Notitie Rente. De verwachting is dat eind van het jaar een standpuntennotitie aan het college wordt aangeboden. Er is sinds kort een model beschikbaar om restwaarde te berekenen bij circulaire bouw Invest NL heeft een model ontwikkeld waarmee de restwaarde van een actief bepaald kan worden bij circulaire bouw.

Dit model/ deze berekening kan onder andere in de transitie van de onderwijshuisvesting een uitgangspunt vormen voor bepaling van de restwaarde van de betreffende gebouwen. Een aantal gemeenten zijn hiermee aan het experimenteren. Omdat circulair bouwen ook speelt bij gemeente Lansingerland geven wij de toepassing van dit model in de toekomst graag als aandachtspunt mee.

11

BOARDLETTER 2025 - GEMEENTE LANSINGERLAND

3. Observaties en bevindingen interimcontrole 3.1

Controleaanpak en aandacht voor fraude, corruptie en non-compliance

3.2 Onze werkzaamheden bij de processen

3.3 Overzicht van onze bevindingen bij de processen

3.4 Overzicht van onze bevindingen t.a.v. de IT

3.5 Verbijzonderde Interne Controle

4=1

12 BOARDLETTER 2025 - GEMEENTE LANSINGERLAND

3.1 Controleaanpak en aandacht voor fraude, corruptie en non-compliance (1) Belangrijke aandachtspunten in de controle: management override, (onjuiste) waardering grondexploitaties en gebruikers in de lijnorganisatie met superuserrechten. De belangrijke aandachtspunten in liggen in lijn met vorig jaar. Het doel van de jaarrekeningcontrole is om een oordeel tot uitdrukking te brengen over de getrouwheid van de jaarrekening van gemeente Lansingerland De controle heeft onder meer betrekking op het overwegen van de interne beheersing die relevant is voor het opstellen van de jaarrekening, teneinde controlewerkzaamheden op te zetten die in de gegeven omstandigheden passend zijn, maar niet met het doel om een oordeel te geven over de effectiviteit van de interne beheersing. Het gaat hierbij niet alleen om de kwaliteit van de accountantscontrole, maar ook over de wijze waarop gemeente Lansingerland hiervan kan profiteren. Op basis van onze bevindingen bij deze werkzaamheden, geven wij, in het kader van onze natuurlijke adviesfunctie, in deze boardletter aanbevelingen over de opzet van de administratieve organisatie en berichten wij u over vastgestelde tekortkomingen in de uitvoering daarvan en in hoeverre corrigerende maatregelen door het management zijn genomen.

De aangelegenheden waarover wij rapporteren, betreffen die tekortkomingen die tijdens de controle zijn geïdentificeerd en waarvan wij van mening zijn dat deze voldoende belangrijk zijn om verslag van te doen. Op basis van onze initiële risico-inschatting zien wij twee verhoogde risico’s voor de jaarrekeningcontrole 2025 In het kader van de controle van de jaarrekening 2025 en onze aanpak hebben wij een zogenaamde initiële risico-inschatting gemaakt. Wij zien de volgende belangrijke aandachtspunten bij de controle van de jaarrekening van gemeente Lansingerland (niet limitatief):

Het risico van management override of internal controls: In onze controlestandaarden (NV COS) wordt expliciet het risico van management override (bewuste beïnvloeding door het college, de directie of het management van de jaarcijfers) als een verplicht significant risico benoemd. Als accountant moeten wij in onze werkzaamheden hier specifiek aandacht aan besteden. Om het risico te mitigeren, beoordelen wij schattingsprocessen en verrichten we controlewerkzaamheden rondom memoriaalboekingen (handmatige boekingen). ^ Het risico van onjuiste waardering bouwgronden in exploitatie: gemeente Lansingerland heeft een omvangrijke grondportefeuille en daarnaast is sprake van verschillende schattingselementen.

*

In onze controleverklaring rapporteren wij over de belangrijke frauderisico’s en de inschatting van het college om risico’s vanuit de bedrijfsvoering financieel op te vangen Voor zover sprake is van belangrijke frauderisico’s zullen wij in onze controleverklaring bij de jaarrekening 2025 rapporteren welke werkzaamheden wij hebben uitgevoerd om de belangrijke frauderisico’s te mitigeren. Daarnaast rapporteren wij in onze controleverklaring over de inschatting van het college van gemeente Lansingerland om de risico’s vanuit de bedrijfsvoering financieel op te vangen en welke werkzaamheden wij op de inschatting van het college hebben uitgevoerd.

4=1

13 BOARDLETTER 2025 - GEMEENTE LANSINGERLAND

3.1 Controleaanpak en aandacht voor fraude, corruptie en non-compliance (2) Gemeente Lansingerland heeft de basis op orde en toont verbetering. Verdere verbetering is mogelijk door de motivering achter de risicoclassificatie (kans * impact) met meer diepgang uit te werken. Onze bevindingen ten aanzien van fraude(risicobeheersing) en corruptie Organisaties in het publieke domein zoals gemeente Lansingerland worden geconfronteerd met uiteenlopende uitdagingen, waaronder schaarste aan personeel en middelen, de impact van social media en de voortschrijdende digitalisering en automatisering. In deze dynamische omgeving is het cruciaal dat organisaties zich positioneren als stabiele en betrouwbare partners. Het publieke vertrouwen is daarbij van groot belang. Fraude kan aanzienlijke gevolgen hebben, niet alleen financieel maar ook op het gebied van reputatie. Een doeltreffende inrichting van frauderisicobeheersing bestaat minimaal uit de volgende onderdelen: een up-todate fraude- en corruptiebeleid, een doorlopende frauderisicoanalyse, doeltreffend werkende maatregelen voor het beheersen van frauderisico’s, het monitoren van de goede werking van de beheersmaatregelen en een actueel frauderesponsplan. ONZE BEVINDINGEN IN HET KADER VAN FRAUDE(RISICOBEHEERSING) EN CORRUPTIE Aandachtsgebieden

2025

Up-to-date fraude- en corruptiebeleid

Doorlopende frauderisicoanalyse

—

0

0

2024

Evaluatie

0

Door gemeente Lansingerland is een gedragscode en klokkenluiderregelingen geformaliseerd. Tevens wordt jaarlijks (o.a. vanuit de vertrouwenspersonen) gerapporteerd over incidenten (voor zover van toepassing). Inherent is bij gemeente Lansingerland sprake van een corruptierisico bij het verstrekken van subsidies, in het inkoopproces (aanbestedingen), grondtransacties en vergunningverleningen. Gemeente Lansingerland heeft geen centraal geformaliseerd beleid met betrekking tot het voorkomen van corruptie en ondermijning. (In)formeel is er overigens wel sprake van een mix aan (anti-) corruptiemaatregelen. Gemeente Lansingerland heeft de genoemde corruptierisico’s toegevoegd aan de geactualiseerde frauderisicoanalyse. Dit is een sterke ontwikkeling.

0

Gemeente Lansingerland heeft een frauderisicoanalyse voor de materiële processen opgesteld waarin tevens een risicoclassificatie (kans * impact) is opgenomen. De frauderisicoanalyse wordt jaarlijks geactualiseerd en aangeboden aan de BAC. Ten opzichte van vorig jaar zien we dat gemeente Lansingerland per frauderisico een koppeling heeft gelegd met de interne beheersingsmaatregel of de geplande VICwerkzaamheden die het frauderisico mitigeren. Dit is een goede ontwikkeling. Om de frauderisicoanalyse verder te verbeteren raden we aan om de motivering achter de risicoclassificatie (kans * impact) met meer diepgang uit te werken. Onze inschatting is dat dit niet direct tot andere conclusies zal leiden. Op dit moment is het risico-register rondom cyber onderhanden bij de gemeente.

Doeltreffend werkende maatregelen voor het beheersen van frauderisico’s

0

0

Effectieve frauderisicobeheersing vraagt niet alleen om beleid en analyse, maar ook om het nemen van concrete maatregelen zoals functiescheiding, autorisatiesystemen en controles. Vanuit onze werkzaamheden tijdens de interim-controle 2025 zien wij dat binnen de materiele processen van gemeente Lansingerland sprake is van een effectieve interne beheersing, rekening houdend met de werkzaamheden van de VIC achteraf. Bevindingen m.b.t. de doorontwikkeling zijn opgenomen in paragraaf 3.3.

Het monitoren van de goede werking van de beheersmaatregelen

0

0

Gemeente Lansingerland monitort de werking van de interne beheersingsmaatregelen, vooral door de werkzaamheden van de VIC achteraf. Tot en met medio 2025 is geen sprake van geconstateerde fraude. Daarnaast volgen vanuit de VIC-werkzaamheden geen aanwijzingen voor materiële bevindingen met betrekking tot misbruik en oneigenlijk gebruik.

Frauderesponsplan

0

0

Gemeente Lansingerland heeft een frauderesponsplan opgesteld dat binnenkort door het college zal worden vastgesteld. Op basis van de ontvangen conceptversie concluderen wij dat gemeente Lansingerland het frauderesponsplan met voldoende diepgang heeft uitgewerkt.

Totaal indruk

0

0

Gemeente Lansingerland heeft de basis op orde en toont verbetering. Verdere verbetering is mogelijk door de motivering achter de risicoclassificatie (kans * impact) met meer diepgang uit te werken.

geen waarneming

0 nieuwe bevinding

0 eerder gerapporteerd - geen progressie

0 eerder gerapporteerd - enigszins progressie

0 eerder gerapporteerd - veel progressie

0 toereikend opgevolgd

14 BOARDLETTER 2025 - GEMEENTE LANSINGERLAND

4=1

3.1 Controleaanpak en aandacht voor fraude, corruptie en non-compliance (3) Bij onze werkzaamheden en besprekingen hebben wij geen aanwijzingen voor materiële fraude en non-compliance geconstateerd. Op basis van onze besprekingen en controlewerkzaamheden hebben wij geen indicaties voor een materiële fraude Bij de planning voor de jaarrekeningcontrole van gemeente Lansingerland houden wij rekening met het risico dat de jaarrekening als gevolg van fraude en onregelmatigheden onjuistheden van materieel belang zou kunnen bevatten. Daarnaast hebben wij beoordeeld in hoeverre sprake kan zijn van een risico omtrent corruptie of een risico omtrent het niet-naleven van wet- en regel­ geving. Een van de door ons uitgevoerde maatregelen is het bespreken van de mogelijke frauderisico’s en fraudesituaties met de ambtelijke organisatie en de portefeuillehouder. Hiertoe hebben wij de mogelijke frauderisico’s en situaties, mede aan de hand van de door u opgestelde frauderisicoanalyse en de compliance vragenlijst, in kaart gebracht. Onze controlewerkzaamheden hebben geen indicaties voor materiële fraude opgeleverd.

Tijdens de interim-controle hebben geen materiële non-compliance geconstateerd Wij hebben aandacht besteed aan de compliance met de voor u van toepassing zijnde wet- en regelgeving en overige bepalingen voor zover wij die van belang achten in het kader van onze controle van de jaarrekening. Hierbij hebben wij de naleving van wet- en regelgeving besproken, mede aan de hand van de door u opgestelde analyse in de compliance vragenlijst. Bij die werkzaamheden hebben wij geen materiële non-compliance geconstateerd.

4=1

15 BOARDLETTER 2025 - GEMEENTE LANSINGERLAND

3.2 Onze werkzaamheden bij de processen Wij geven vanuit onze natuurlijke adviesrol aanbevelingen op welke wijze verbeteringen in de interne beheersing mogelijk zijn. Belangrijkste processen Aan de navolgende processen hebben wij specifiek aandacht geschonken tijdens onze interim-controle: * Begroten en verantwoording; ^ Memoriaalboekingen; ^ Inkopen en aanbesteden; ^ Treasury; ^ Factuurverwerking en betalingen; ^ Personeel; ^ Sociaal domein; ^ Subsidieverstrekkingen; ^ Inkomende (incidentele) subsidies (SiSa); ^ Belastingen en heffingen; ^ Grondexploitatie, grondaankopen en -verkopen; ^ Huuropbrengsten; ^ Verbonden partijen; ^ Omgevingsvergunningen; en ^ Verbijzonderde interne controle (zie paragraaf 3.5). Voor elk proces beoordelen wij de volgende onderdelen: ^ AO/IB: Is sprake van een actuele en toereikende procesbeschrijving met voldoende beheersmaatregelen? ^ IT-maatregelen: Zijn in en rondom het systeem voldoende waarborgen getroffen ten aanzien van de betrouwbaarheid van de gegevensverwerking? ^ VIC: Heeft de VIC de interne beheersmaatregelen getoetst en kunnen wij daar gebruik van maken?

Indien al deze vragen positief kunnen worden beantwoord, is gemeente Lansingerland optimaal in control en kunnen ook wij gebruikmaken van uw eigen interne beheersing. De vaak tijdrovende en gedetailleerde gegevensgerichte werkzaamheden (die ook nog eens achteraf plaatsvinden), kunnen dan beperkt blijven tot een minimum. Een totaaloverzicht van de effectiviteit van de processen is opgenomen in paragraaf 3.3. Vanzelfsprekend geven wij vanuit onze natuurlijke adviesrol aanbevelingen over de wijze waarop verbeteringen in de interne beheersing mogelijk zijn. Daarbij is het van belang dat gemeente Lansingerland zelf de keuze maakt welke mix van interne beheersingsmaatregelen (en dus ook risico's) acceptabel en optimaal worden gevonden. Onze controleaanpak en advisering zullen wij daarop afstemmen. Op de volgende pagina geven wij ons totaalbeeld van de significante processen.

4=1

16 BOARDLETTER 2025 - GEMEENTE LANSINGERLAND

3.3 Overzicht van onze bevindingen bij de processen (1) De interne beheersing en controleomgeving van gemeente Lansingerland zijn, met inachtneming van de achteraf uitgevoerde VIC-werkzaamheden, voldoende voor de jaarrekeningcontrole. Effectiviteit van de significante processen blijft nog achter voor het proces memoriaalboekingen, inkopen en aanbestedingen en factuurverwerking en betalingen In het overzicht hieronder geven wij weer in hoeverre de processen voldoen aan de normen. De onderstaande tabel bevat een overzicht van de status per proces. Waar wij hebben aangegeven dat het proces naar onze mening bevindingen bevat, betekent dit dat wij adviseren om hier actie op te ondernemen. Dit wil niet zeggen dat het gehele proces niet goed is opgezet of wordt uitgevoerd.

Overzicht van geconstateerde detailbevindingen met twee nieuwe bevindingen inzake factuurverwerking en betalingen In onderstaand overzicht geven wij ons totaalbeeld van de geconstateerde detailbevindingen. OVERZICHT DETAILBEVINDINGEN Nr.

Detailbevinding

Prio

Voortgang

1

Memoriaalboekingen: functiescheiding wordt niet afgedwongen.

Hoog

0

2

Factuurverwerking en betalingen: bevinding met betrekking tot controle betaalbatches.

Laag

^Ewļ

3

Inkopen en aanbesteden: geen zichtbare beoordeling van prestatielevering en geen centrale beheersmaatregelen m.b.t. aanbestedingen.

Hoog

0

PROCESSEN Opzet/ bestaan 2025

Opzet/ bestaan 2024

ITbevindin gen (zie 3.4)

Begroten en verantwoording

0

0

-

-

Memoriaalboekingen

0

0

0

0

Inkopen en aanbesteden

0

0

0

0

Treasury

0

0

0

0

Factuurverwerking en betalingen

0

0

0

0

Personeel

0

0

0

0

Sociaal domein

0

0

0

0

Subsidieverstrekkingen

0

0

-

0

Inkomende (incidentele) subsidies (SiSa)

0

0

-

-

Belastingen en heffingen

0

0

-

-

Grondexploitatie, grondaankopen en verkopen

0

0

-

0

Huuropbrengsten

0

0

-

0

Verbonden partijen

0

0

-

0

0

-

0

Proces

Omgevingsvergunningen

—

geen waarneming

0 nieuwe bevinding

0

®

eerder gerapporteerd - geen progressie

VIC (zie 3.5)

4

Huuropbrengsten: foutgevoelige registraties in Excel en geen zichtbare vastlegging leegstandscontroles.

Midden

0

5

Inkomende (incidentele) subsidies (SiSa): geen sprake van een geformaliseerd proces.

Laag

0

6

Personeel: beheersing serviceorganisatie BCS.

Midden

0

7

Sociaal domein: geen controle prestatielevering Pgb’s, handmatige vastlegging hercontroles en geen integrale controle beoordeling door tweede functionaris (Wmo & Participatiewet).

Midden

0

8

Grondexploitaties: actualiseren nota grondbeleid.

Laag

0

0 eerder gerapporteerd - enigszins progressie

Op basis van onze observaties tijdens de interim-controle concluderen wij dat de interne beheersing en controleomgeving van gemeente Lansingerland voor zover relevant voor de jaarrekeningcontrole van voldoende niveau is, rekening houdend met de werkzaamheden van de VIC achteraf. Belangrijk onderdeel van de interne beheersing van gemeente Lansingerland zijn de in-control gesprekken die periodiek gevoerd worden. We constateren dat gemeente Lansingerland actief aan de slag is/gaat met de opvolging van de bevindingen van voorgaand jaar en proactief hierover terugkoppelt richting haar accountant.

0 eerder gerapporteerd - veel progressie

0 toereikend opgevoígd

4=1

17 BOARDLETTER 2025 - GEMEENTE LANSINGERLAND

3.3 Overzicht van onze bevindingen bij de processen (2) We constateren dat gemeente Lansingerland actief aan de slag is/gaat met de opvolging van de bevindingen van voorgaand jaar en proactief hierover terugkoppelt richting haar accountant Overzicht van opgevolgde detailbevindingen vanuit de boardletter van voorgaand jaar In onderstaand overzicht geven wij ons totaalbeeld van de opgevolgde detailbevindingen. Voor de zesde bevinding (inzake de dubbele batchbetaling) geldt dat dit een gebeurtenis binnen het boekjaar betreft, echter aangezien procesaanpassingen direct hebben plaatsgevonden hebben wij deze bevinding als ‘opgevolgde’ bevinding in deze boardletter opgenomen. OVERZICHT OPGEVOLGDE DETAILBEVINDINGEN Nr.

—

geen waarneming

Detailbevinding

Voortgang

1

Factuurverwerking en betalingen: proces crediteurenstamgegevens voldoende ingericht, bevinding voorgaand jaar betrof incident

2

Verbonden partijen: centrale coördinatie ingericht en VIC ingericht voor controle mutaties en transacties

3

Subsidieverstrekkingen: middels onderzoek vastgesteld dat geen sprake is van langdurige betrokkenheid

4

Grondexploitaties: proces actualisaties is geformaliseerd en wordt zichtbaar getoetst

5

Sociaal domein: controleplan opgesteld voor GRJR over aanpak controle 2025

6

Factuurverwerking en betalingen: dubbele batchbetaling

0 nieuwe bevinding

0 eerder gerapporteerd - geen progressie

0 eerder gerapporteerd - enigszins progressie

0 eerder gerapporteerd - veel progressie

0 toereikend opgevoígd

4=1

18 BOARDLETTER 2025 - GEMEENTE LANSINGERLAND

3.4 Overzicht van onze bevindingen t.a.v. de IT (1) Het minimaliseren van gebruikers in de lijnorganisatie met superuserrechten behoeft opvolging (met prioriteit). Een belangrijke IT-ontwikkeling binnen de gemeente Lansingerland is de overgang van MotionPro naar AFAS per 1-1-2026. In het kader van de jaarrekeningcontrole is een IT-audit uitgevoerd De accountant dient op basis van artikel 2:393, lid 4 BW, aandacht te besteden aan de bevindingen met betrekking tot de betrouwbaarheid en continuïteit van de geautomatiseerde gegevensverwerking. De IT-audit is primair gericht op de betrouwbaarheid van de gegevensverwerking ten behoeve van de totstandkoming van de jaarrekening. Dit betekent dat de IT-audit zich niet primair richt op het doen van uitspraken omtrent de betrouwbaarheid en continuïteit van de geautomatiseerde gegevensverwerking als geheel of van onderdelen daarvan. Wij hebben de automatiseringsorganisatie dus uitsluitend in het kader van de jaarrekeningcontrole beoordeeld. Het inzicht in de gebruikte IT-applicaties en ondersteunende IT-infrastructuur vormt een onderdeel van het inzicht in de interne beheersing. Algemene ITbeheersingsmaatregelen (hierna: IT General Controls) rond de IT-processen leveren een belangrijke bijdrage aan het mitigeren van de risico's die voortkomen uit het gebruik van IT.

De scope van relevante IT General Controls wordt jaarlijks beoordeeld en kan hierdoor afwijken van de scope van voorgaande jaren. Vanuit de IT-audit werkzaamheden volgen een aantal belangrijke aandachtspunten Wij hebben in samenwerking met onze IT-auditors een aantal algemene ITbeheersmaatregelen beoordeeld voor Key2Financiën, Suite4Sociaaldomein en MotionPro. Dit om de impact van de risico’s van onbeheerste wijzigingen, ongeautoriseerde handelingen en verstoringen te kunnen vaststellen voor die systemen die gekoppeld zijn aan de voor ons relevante processen en posten. Vanaf de volgende pagina zijn de bevindingen opgenomen met betrekking tot de opzet en het bestaan van de door ons in het kader van de jaarrekeningcontrole onderzochte IT General Controls voor zover relevant voor de jaarrekeningcontrole. De impact van de bevindingen met betrekking tot de IT General Controls zal bij de betreffende processen worden behandeld.

Overgang van MotionPro naar AFAS per 1 januari 2026 Een belangrijke IT-ontwikkeling binnen de gemeente Lansingerland is de overgang van MotionPro naar AFAS. Op dit moment is de gemeente Lansingerland bezig is met de voorbereidingen en testwerkzaamheden en staat de overgang gepland op 1 januari 2026. Het is van belang dit proces op een beheerste manier te laten verlopen en de nodige vastleggingen te doen en controles te documenteren met betrekking tot uitvallijsten, juistheid van loonruns en de overgang van belangrijke data als bankrekeningnummers, salarissen, cumulatieven, etc. Inmiddels heeft een gesprek plaatsgevonden met de projectleider en is een afspraak gepland om (samen) verder uit te werken welke controles (o.a. door de VIC) uitgevoerd kunnen worden om de juistheid en volledigheid van de datamigratie vast te stellen. Gemeente Lansingerland maakt nog beperkt gebruik van AI. Wel hangen met het gebruik van AI de risico’s inzake ethiek, privacy- en cyberbeveiliging samen De toepassing van kunstmatige intelligentie (Artificial Intelligence (AI)) is in toenemende mate zichtbaar in de dagelijkse praktijk binnen de overheid. Overheidsinstellingen zetten AI in voor de dienstverlening aan burgers, maar ook om de werkdruk van kantoorpersoneel te verlagen. Gemeente Lansingerland zet vooralsnog beperkt in op AI, maar vanuit onze rol wijzen wij het college op de risico’s.

Denk hierbij aan ethische vraagstukken, privacy- en cyberbeveiligingsrisico’s en mogelijke financiële consequenties. Het is belangrijk te benadrukken dat deze risico’s beheersbaar zijn, mits ze tijdig worden geïdentificeerd en adequaat worden gemanaged. Wij adviseren het college daarom om een AI-beleid op te stellen. Hierin dient vastgelegd te worden hoe de organisatie omgaat met AI-gerelateerde risico’s, hoe monitoring en incidentafhandeling worden ingericht (inclusief meldingen vanuit burgers), hoe kennis over AI binnen de organisatie wordt beheerd en welke rollen en verantwoordelijkheden hiervoor gelden. Op deze manier kan de organisatie de kansen van AI optimaal benutten en tegelijkertijd de risico’s beheersen.

4=1

19 BOARDLETTER 2025 - GEMEENTE LANSINGERLAND

3.4 Overzicht van onze bevindingen t.a.v. de IT (2) Wij hebben de automatiseringsorganisatie uitsluitend in het kader van de jaarrekeningcontrole beoordeeld. Overzicht en evaluatie van ITCG - per applicatie, waarbij belangrijkste bevinding toeziet op de administrator- en superuser-accounts in Key2Financiën In onderstaand overzicht geven wij een overzicht en evaluatie van de bevindingen per applicatie. De impact van de bevindingen ten aanzien van de applicaties op de processen zijn meegenomen in paragraaf 3.3. Voor de achterliggende detailbevindingen wordt verwezen naar de volgende pagina. OVERZICHT EN EVALUATIE VAN ITCG - PER APPLICATIE

Suite4Sociaaldomein

Key2Financiën

Logische toegangsbeveiliging

2025

2024

LT.1 - Procedure autorisatiebeheer

2025

MotionPro

2024

2025

2024

•*

LT.2 - Periodieke controle op toegang en juistheid ingerichte autorisaties LT.3 - Identificatie van gebruikers voor toegang tot applicaties LT.4 - Authenticate

•**

LT.5 - Administrator- en superuser-accounts Change management CM.1 - Wijzigingsbeheer applicaties

-

-

-***

-

CM.2 - Gescheiden IT-omgevingen

-

-

-***

-

CON.1 - Back-up maatregelen

-

-

-***

-

CON.2 - Restoretests

—

—

—***

—

Beheersmaatregelen in het proces

* Ondanks dat we vorig jaar opmerkingen hadden bij de opzet van de procedure autorisatiebeheer rapporteerden we deze als ‘groen’ omdat er geen sprake was van mutaties in de gebruikers. Voor 2025 geldt dat wel sprake is van mutatie in gebruikers, terwijl de opzet van het proces autorisatiebeheer (nog) niet optimaal ingericht is. Hierdoor rapporteren wij in de boardlet 2025 de procedure autorisatiebeheer als ‘oranje’. ** In 2025 hebben we ten opzichte van 2024 aanvullend een toets gedaan op ‘lock-out’. Binnen de applicatie is geen sprake van een lock-out maatregel waardoor we voor 2025 authenticate voor deze applicatie als ‘oranje’ rapporteren. *** Het assurance-rapport over 2025 is nog niet beschikbaar, waardoor wij nog geen inzicht hebben verkregen in deze maatregelen.

—

geen waarneming

0 nieuwe bevinding

0 Onvoldoende ® verbetermogelijkheden

) eerder gerapporteerd ~ progressie

toereikend opgevolgd

4=1

20 BOARDLETTER 2025 - GEMEENTE LANSINGERLAND

3.4 Overzicht van onze bevindingen t.a.v. de IT (3) Wij hebben de automatiseringsorganisatie uitsluitend in het kader van de jaarrekeningcontrole beoordeeld. Overzicht en evaluatie van ITCG - Operating system (Active Directory) toont voldoende beheersmaatregelen net als voorgaand jaar In onderstaand overzicht geven wij een overzicht en evaluatie van de bevindingen v.w.b. het operating system. OVERZICHT EN EVALUATIE VAN ITGC Beheersmaatregelen in het proces

2025

2024

OS.1 - Toegang met hoge privileges

9

9

OS.2 - Periodieke controle op toegang en juistheid van ingerichte autorisaties

9

9

Overzicht detailbevindingen t.a.v. IT bevat twee nieuwe bevindingen, één inzake authenticatie en één inzake wijzigingsbeheer In onderstaand overzicht geven wij een overzicht van de bevindingen, de prioritering en de voortgang van de bevindingen vanuit voorgaand jaar. OVERZICHT DETAILBEVINDINGEN T.A.V. DE IT Detailbevinding

Nr.

—

geen waarneming

Prio

Voortgang

i

LT.1 - Procedure autorisatiebeheer Key2Financiën

Midden

9

2

LT.2 - Periodieke controle op juistheid ingerichte autorisaties Key2Financiën en MotionPro

Midden

9

3

LT.4 - Authenticatie-instellingen Suite4Sociaaldomein

Midden

ĮÑĒwļ

4

LT.5 - Administrator- en superuser-accounts

Hoog

9

5

CM.1 - Wijzigingsbeheer Suits4Sociaaldomein

Midden

ĮÑĒwļ

0 nieuwe bevinding

9 eerder gerapporteerd - geen progressie

9 eerder gerapporteerd - enigszins progressie

9 eerder gerapporteerd - veel progressie

9 toereikend opgevoígd

21

4=1

BOARDLETTER 2025 - GEMEENTE LANSINGERLAND

3.5 Verbijzonderde Interne Controle (1) Het implementeren van het 3-lijnenmodel binnen de verschillende teams is een van de speerpunten van gemeente Lansingerland voor de komende periode. Dit is een ontwikkeling die wij onderschrijven. Er is een belangrijke coördinerende rol voor de Verbijzonderde Interne Controle (VIC) weggelegd ten aanzien van de rechtmatigheidsverantwoording De VIC van gemeente Lansingerland, is gericht op het verkrijgen van inzicht vanuit de eigen organisatie in de getrouwe en rechtmatige totstandkoming van de baten, lasten en balansmutaties, zoals deze in de jaarrekening (inclusief de rechtmatigheidsverantwoording) tot uitdrukking komen. Gemeente Lansingerland heeft de processen zo ingericht dat met name de VIC-werkzaamheden, vastleggingen en uitkomsten de basis vormen voor de rechtmatigheidsDe verantwoordelijkheden voor de rechtmatigheidsverantwoording. verantwoording liggen echter veel breder; alle organisatieonderdelen en het voltallige college zijn hiervoor verantwoordelijk. Het toetsen op de werking van systemen of het eventueel aanvullen met gegevensgerichte werkzaamheden kan ook bij de teams zelf (eerste lijn) of in de tweede lijn worden belegd. Dan kan de VIC meer acteren als derde lijn waarbij het hun taak is om de betrouwbaarheid van informatievoorziening van de eerste en tweede lijn te beoordelen.

Er vindt dan een verschuiving plaats van ‘de VIC als onderbouwing van de rechtmatigheidsverantwoording naar ‘de VIC als bevestiging van de getrouwheid van de rechtmatigheidsverantwoording van de verschillende teams’. Dit is een ontwikkeling waar gemeente Lansingerland mee gestart is en die helpt meer in control te zijn in de lijn, fouten te voorkomen en het lerend vermogen in en het zelfcontrolerend vermogen van de organisatie te vergroten. In de volgende paragraaf lichten wij dit verder toe. Het implementeren van het 3-lijnenmodel binnen de verschillende teams is een van de speerpunten voor de komende periode Gemeente Lansingerland heeft de doelstelling om het 3-lijnenmodel (verder) te implementeren in de organisatie. Dit is een ontwikkeling die wij, mede vanuit het perspectief dat wij beschrijven in de voorgaande alinea, onderschrijven. Gemeente Lansingerland implementeert dit model binnen de drie domeinen Samenleving, Bedrijfsvoering en Ruimte en Economie.

Als de gemeente het 3-lijnenmodel implementeert binnen het domein Samenleving wordt bijvoorbeeld onderscheid gemaakt tussen de consulenten (1e lijn), de kwaliteitsmedewerkers (2e lijn) en de VIC (3e lijn) die een onafhankelijk en objectieve steekproef uitvoert op het proces van toekenningen van zorg. Daarbij is in het kader van de verdere implementatie van het 3-lijnenmodel onder ander een risicoanalyse gemaakt waarbij inzichtelijk is gemaakt welke maatregelen waar en door wie worden uitgevoerd om risico’s af te dekken. In het kader van de optimalisatie van de beheersing langs het 3-lijnenmodel zal voor het domein bedrijfsvoering in dit kader worden gekeken naar het proces rondom memoriaalboekingen (handmatige boekingen). Voor het ruimtelijk domein is in dit kader gekeken naar de processen en beheersing rondom anterieure overeenkomsten (faciliterend grondbeleid). De teammanagers en de domeindirecteur zijn verantwoordelijk voor de sturing en beheersing in de eerste lijn. Stapsgewijs zullen de tweedelijnscontroles uitgevoerd gaan worden door kwaliteitsmedewerkers en/of businesscontrollers. De concernstaf gaat in samenwerking met concern control een meer zuivere rol vanuit de derde lijn invullen. Dit model wordt gefaseerd geïmplementeerd binnen alle processen. Daarnaast zijn stappen gezet voor implementatie van de RPA-BOT.

Het doel van deze verdere implementatie van het 3-lijnenmodel is het creëren van een cultuur waarin risicobeheersing en verantwoording centraal staan. Wij vinden dat gemeente Lansingerland een goede basis heeft gelegd door de implementatie van het 3-lijnenmodel binnen het sociaal domein. Wij bevelen verder aan om de rollen en verantwoordelijkheden binnen het 3lijnenmodel per proces duidelijk vast te leggen. Dit kan bijvoorbeeld door deze rollen en verantwoordelijkheden expliciet op te nemen in het VIC-plan van 2026. Deze is op dit moment nog onderhanden.

4=1

22 BOARDLETTER 2025 - GEMEENTE LANSINGERLAND

3.5 Verbijzonderde Interne Controle (2) Gemeente Lansingerland beschikt over een stevige, goed functionerende VIC. Verbeterpunt: zichtbaar vertalen van het (volledige) normenkader naar het toetsingskader. Efficiëntie is te behalen vanuit risicoanalyse en toepassen (hogere) materialiteit en verantwoordingsgrens. ^ Meer risicogericht controleren: De verhoging van de materialiteit leidt voor Vanuit de tussentijdse rapportage 2025 van de VIC zien we cumulatief relatief beperkte getrouwheids- en rechtmatigheidsbevindingen. Onze werkzaamheden bij de interim-controle 2025 bevestigen dit beeld. De aanbevelingen van de VIC richten zich vooral op aanscherping van interne procedures. Wij maken zoveel mogelijk gebruik van de door u uitgevoerde VICwerkzaamheden. Vooraf heeft afstemming hierover plaatsgevonden met de ambtelijke organisatie, zodat de juiste werkzaamheden door u worden gedaan wat een korte doorlooptijd van de controle bevordert. De tijdigheid van de werkzaamheden van de VIC is van belang. In het kader van een goede samenwerking hebben wij o.a. onze werkprogramma’s ten aanzien van SiSa en aanbestedingsrechtmatigheid met de ambtelijke organisatie gedeeld. Wij hebben enkele observaties en aanbevelingen om de kwaliteit van de VICwerkzaamheden en het lerend en zelfcontrolerend vermogen van de organisatie te vergroten.

In het kader van onze interim-controle hebben wij het VIC-plan 2025, de vertaling van het normenkader naar het toetsingskader, de steekproefmethodiek, de kwaliteit en diepgang van de documentatie, de foutevaluatie en de (tussentijdse) rapportages van de VIC beoordeeld. Hieruit volgen de volgende observaties en aanbevelingen: * Vertalen van normenkader naar toetsingskader: Een belangrijk verbeterpunt is het concreet (en zichtbaar) vertalen van het (volledige) normenkader naar het toetsingskader om de volledigheid van de toetspunten binnen de geplande VIC-werkzaamheden te waarborgen. Voor wat betreft de toetspunten vanuit de landelijke wetgeving is volledigheid van de toetspunten geborgd in de applicatie, echter die ondervangt niet de gemeentelijke verordeningen en de toetspunten voor de andere materiële processen.

veel gemeenten tot een lagere diepgang van uit te voeren VICwerkzaamheden. Wij benadrukken om risicogericht keuzes te maken in het uitvoeren van VIC-werkzaamheden en niet sec alleen het noodzakelijke voor de accountantscontrole te doen. Vanuit het perspectief van het verhogen van de kwaliteit, effectiviteit en efficiëntie van de bedrijfsvoering kunnen voor de accountantscontrole niet-materiële processen wel voor de gemeentelijke organisatie relevant en waardevol zijn om door de VIC-medewerkers te laten onderzoeken. ^ Meer risicogericht controleren: Vanuit de gemeente is gevraagd of de werkzaamheden binnen de verbijzonderde interne controle (VIC) kunnen worden verminderd, omdat er nauwelijks tot geen fouten zijn gevonden. Dit is mogelijk. Op dit moment voert de VIC de controles uit met het uitgangspunt dat het risico op fouten in de administratie hoog is. Daardoor moeten er meer controles (steekproeven) worden gedaan. Het is aan de gemeente zelf om het risico op fouten opnieuw te beoordelen en, indien terecht, lager in te schatten. Hierdoor vermindert het aantal steekproeven. Dit betekent dat er minder steekproeven hoeven te worden uitgevoerd en dus minder werk nodig is. Het is wel belangrijk dat we deze verlaging van het risicoprofiel goed met elkaar afstemmen.

Verder is het mogelijk nietmateriële processen gedurende de jaren te rouleren (mits geen sprake is van wijzigingen of bijzonderheden - zoals frauderisico’s in het proces). ^ Meer datagedreven controleren: Gemeente Lansingerland maakt bij de uitvoering van de VIC-werkzaamheden in beperkte mate gebruik van innovatieve (AI-)tools of data-analyse. Graag bespreken wij de mogelijkheden en welke efficiencyvoordelen dit voor u kan betekenen. ^ Onzekerheden sociaal domein omlaag brengen: Doordat fouten en onzekerheden vanaf boekjaar 2025 bij elkaar worden opgeteld, wordt het reduceren van onzekerheden in het kader van de prestatielevering van de Wmo en/of Jeugdzorg naar verwachting voor gemeente Lansingerland meer relevant. Voor een verdere uitwerking verwijzen wij naar paragraaf 2.1 van deze boardletter.