[T23.01701] Managementletter 2022

PUBLIEKE SECTOR ACCOUNTANTS

Managementletter 2022 Gemeente Lansingerland

GEMEENTE

Lansingerland

Publieke Sector Accountants B.V. Jan Sluijtersstraat 21 3059 VC Rotterdam www.publiekesectoraccountants.nl info@psa-ra.nl

PUBLIEKE SECTOR ACCOUNTANTS

Geacht college, Aan het college van burgemeester en wethouders van de gemeente Lansingerland Postbus 1 2650 AA BERKEL EN RODENRIJS Onderwerp Managementletter 2022 Datum 3 maart 2023 Kenmerk 312019015.22.441

Wij hebben met veel genoegen, als onderdeel van de controle van de jaarrekening 2022, de interim-controle voor uw gemeente uitgevoerd. Deze controle is primair gericht op de analyse en evaluatie van de interne beheersingsomgeving en de daarin opgenomen maatregelen van interne controle. In onze managementletter zijn onze bevindingen en aanbevelingen opgenomen. Tevens heeft deze controle als doelstelling om de aandachtspunten voor de jaarrekening 2022 te signaleren en onder uw aandacht te brengen. Wij merken op dat deze brief is opgesteld ten behoeve van het college van burgemeester en wethouders van de gemeente Lansingerland en niet zonder onze toestemming aan derden mag worden verstrekt. De bevindingen en aanbevelingen dienen te worden gelezen als constructieve aanwijzingen voor het college als onderdeel van het continue proces van het veranderen en verbeteren van de beheersing van de bedrijfsvoering en de kwaliteit van de jaarrekening. Graag willen wij deze rapportage en de daarin opgenomen bevindingen en aanbevelingen nader met u bespreken. Met vriendelijke groet, Publieke Sector Accountants B.V. ValidS^^door W. Kalkman RA 03-03-2023

Was getekend: W. Kalkman RA

PUBLIEKE SECTOR ACCOUNTANTS

Inhoudsopgave

Contact: De volgende personen kunnen benaderd worden bij vragen met betrekking tot deze managementletter:

Managementsamenvatting...................................... 1 Inleiding....................................................................3 Onze evaluatie van uw interne beheersing...............6

Wouter Kalkman Tel: 06 - 2127 2977 Ralf van Hattem Tel: 06 - 1234 5175

PUBLIEKE SECTOR ACCOUNTANTS

Onze procesbevindingen.........................................13 Overige aandachtspunten...................................... 15 Follow-up eerdere bevindingen.............................. 18

Managementsamenvatting

PUBLIEKE SECTOR ACCOUNTANTS

Managementsamenvatting I nleiding

Procesbevindingen

Het boekjaar 2022 is het vierde controlejaar voor uw gemeente door Publieke Sector Accountant en het derde jaar dat wij naar aanleiding van de interimcontrole een managementletter uitbrengen. De samenwerking met uw gemeente de afgelopen periode hebben wij als prettig ervaren. Wij zien uw organisatie als een positief-kritische gemeente met een professionele instelling. Dit jaar zijn er veel wisselingen geweest bij de verantwoordelijke functionarissen met betrekking tot de interim-controle en de jaarrekening. Om deze reden hebben wij onze interim-controle later dan gewoonlijk uitgevoerd.

Onderstaand hebben wij de hoofdlijn van de procesbevindingen opgenomen. " "

Wij vragen uw aandacht voor de inrichting van uw contractensysteem. Wij vragen uw aandacht voor de zichtbare vastlegging van controles bij de grondexploitaties.

De kernboodschappen uit onze interim-controle 2022 hebben wij steeds in de linker kantlijn weergegeven. In de bijlage hebben wij onze aanbevelingen kort en bondig in een tabelvorm opgenomen. Ons totaaloordeel is dat de interne beheersing voor uw gemeente van voldoende niveau is, wel zijn er enkele aandachtspunten uit de controle naar voren gekomen.

Interne beheersing

Aandachtspunten jaarrekening

Onderstaand enkele hoofdpunten op het gebied van de interne beheersing.

Om de jaarrekeningcontrole over het boekjaar 2022 zo soepel mogelijk te laten verlopen, benoemen wij een aantal aandachtspunten die in dit kader van belang zijn:

" "

" "

Over het algemeen heeft uw gemeente de basis goed op orde. Uw gemeente heeft nog een aantal stappen te zetten in de voorbereiding op de rechtmatigheidsverantwoording, waaronder de koppeling tussen de jaarrekening en de verbijzonderde interne controle. Wij zien nog verbeterpunten in de samenwerking met de verbijzonderde interne controle (VIC), maar zien ook zeker positieve ontwikkelingen. Fraude (en mogelijk ook continuïteit) wordt vanaf 2022 een verplicht onderdeel van de controleverklaring. Hierbij wordt ook een toelichting verwacht in de paragraaf bedrijfsvoering in de jaarstukken, met name op de wijze waarop de gemeente met fraude omgaat.

PUBLIEKE SECTOR ACCOUNTANTS

"

"

Wij vragen uw aandacht voor de onderbouwing van de grondexploitaties. Tijdens de jaarrekeningcontrole 2022 zullen wij ons naar verwachting vooral richten op het project Wilderszijde. Wij vragen uw aandacht voor het (reguliere 5-jaarlijkse) onderzoek van de belastingdienst en de eventuele effecten op de jaarrekening 2022.

312019015.22.441 - 1

Inleiding

PUBLIEKE SECTOR ACCOUNTANTS

Inleiding Onze controleaanpak is risicogericht

In het kader van onze interim-controle hebben wij de interne beheersingsomgeving onderzocht, voor zover dit relevant is voor de bijdrage daarvan aan de getrouwheid en rechtmatigheid van de jaarrekening. De geselecteerde werkzaamheden zijn afhankelijk van de door de accountant toegepaste oordeelsvorming, met inbegrip van het inschatten van de risico's dat de jaarrekening een afwijking van materieel belang bevat als gevolg van fraude of fouten. Bij het maken van deze risico-inschattingen neemt de accountant de interne beheersing in aanmerking, die relevant is voor het opmaken van de jaarrekening en voor het getrouwe beeld daarvan. Deze risico-inschattingen hebben echter niet tot doel een oordeel tot uitdrukking te brengen over de effectiviteit van de interne beheersing. Hierdoor is onze analyse en evaluatie beperkter dan dat deze zou zijn geweest in het kader van een opdracht tot het geven van een oordeel omtrent de opzet, het bestaan, de effectiviteit en de efficiency van de interne beheersing als geheel en bestrijkt daarom niet noodzakelijkerwijze alle in de interne organisatie vervatte tekortkomingen. Daarnaast hebben wij een aantal aandachtspunten benoemd waarvan wij het zinvol achten daar bij de controle aandacht aan te besteden. De controle van het verslagjaar 2022 is de vierde (jaarrekening)controle die wij voor uw gemeente uitvoeren.

Wij merken dat uw gemeente nog stappen kan zetten in het nog scherper uitwerken van de procesbeschrijvingen(beheersmaatregelen) en het documenteren van het bestaan van deze beheersmaatregelen. Voor 2022 hebben wij ook niet voor ieder proces een update ontvangen van de lijncontroles van uw gemeente. Op basis van interviews met de betrokkenen in het proces hebben wij de beheersmaatregelen aangevuld ten behoeve van onze controle. Wij hebben bij de interim-controle vooral aandacht besteed aan de inrichting van uw interne beheersomgeving en de financiële processen. Hierna geven wij aan welke belangrijkste risicogebieden en aandachtspunten voor de jaarrekeningcontrole 2022 van uw gemeente zijn geïdentificeerd.

Aandachtspunten voor controle en rapportage

Voor de jaarrekeningcontrole 2022 onderkennen wij een aantal aandachtspunten, die een verhoogd (bruto) risico met zich mee (kunnen) brengen op een materiële fout in uw jaarrekening en die een mogelijke impact op de bedrijfsvoering kunnen hebben. Opname van een risicogebied of aandachtspunt in deze opsomming betekent niet dat daadwerkelijk sprake is van risico's die zi ch daadwerkelijk voordoen, maar zijn enkel bedoeld om aan te geven dat wij hier tijdens onze controle (extra) aandacht aan zullen besteden. De risicogebieden zijn hieronder weergegeven. " "

PUBLIEKE SECTOR ACCOUNTANTS

(

Bestaan en waardering van activa als gevolg van schattingselementen (inschatting van levensduur en restwaarden). De waardering en risico inschatting met betrekking tot lopende grondexploitaties, inclusief sturing en beheersing van plankosten en de risico inschatting bij winstname.

312019015.22.441 - 3

" " "

" " " " "

De verantwoording en waardering van voorzieningen in relatie tot de aanwezigheid van actuele onderbouwingen. Uw fiscale positie in het kader van de vennootschapsbelasting (Vpb). "Management override of controls". Dit betreft de mogelijkheid die het management heeft om specifieke controlemaatregelen te omzeilen, bijvoorbeeld door memoriaalboekingen of het schattingsproces. De specifieke aandacht voor dit risico is voorgeschreven vanuit de controlerichtlijnen en is niet uniek voor Lansingerland. Wij hebben op dit moment geen indicaties dat dit zich heeft voorgedaan. De voortgang en status van de (noodzakelijke en gewenste) verbeteringen met betrekking tot de grondslag van de rechtmatigheidsverantwoording. De naleving van de (Europese) aanbestedingsregels. Risico's en onzekerheden in het sociaal domein, waaronder prestatielevering Wmo. De follow-up ten aanzien van eerder gerapporteerde aandachtspunten vanuit de interne en externe controle. De kwaliteit van de IT-omgeving in 2022 en de aandacht hiervoor in de (verbijzonderde) interne controle.

Ter voorkoming van een materiële fout in de jaarrekening heeft u voor bovenstaande risicogebieden beheersmaatregelen getroffen. Wij hebben ons tijdens de interim-controle gericht op de opzet en het bestaan van de door u ingerichte beheersingsomgeving, die deze risico's moeten verkleinen. In het verlengde van het voorgaande hebben wij ook in hoofdstuk 4 nog een aantal aandachtspunten voor de jaarrekening benoemd.

Materialiteit

De materialiteitsbepaling bij de gemeente Lansingerland is gebaseerd op het Besluit Accountantscontrole Decentrale Overheden (BADO). Voor fouten is deze gebaseerd op 1% van de totale lasten inclusief dotaties aan de reserves en voor onzekerheden op 3% van de lasten inclusief stortingen in reserves. Bij onze controleplanning zijn wij vooralsnog uitgegaan van de cijfers volgens de begroting 2022. Wanneer de jaarrekening 2022 beschikbaar is, zullen wij onze materialiteitbepaling op basis van de werkelijke cijfers over 2022 herzien. Bij de interim-controle is derhalve uitgegaan van: Bron: begroting 2021* Goedkeuringsmaterialiteit

Fouten

Onzekerheden C 1.900.000

C 5.700.000

*de totale lasten (incl. stortingen in de reserves) op basis van de primaire begroting 2022 bedragen C 192.353.000.

Wij hebben vastgesteld dat de gemeente Lansingerland tijdens de uitvoering van de interim-controle nog niet beschikt over een door de gemeenteraad vastgesteld controleprotocol en normenkader. Wij hebben begrepen dat het controleprotocol en het normenkader inmiddels is vastgesteld in de raadsvergadering van 22 december 2022. Dit controleprotocol en normenkader is van belang voor de uitvoering van de eindejaarscontrole 2022. Voor de controle op naleving van de WNT hanteren wij een lagere materialiteit. Deze specifieke materialiteitsberekening is verplicht gesteld vanuit het controleprotocol WNT.

PUBLIEKE SECTOR ACCOUNTANTS

312019015.22.441 - 4

Onze evaluatie van uw interne beheersomgeving

PUBLIEKE SECTOR ACCOUNTANTS

Onze evaluatie van uw interne beheersing De basis van uw interne beheersing is op orde

De basis van de interne beheersing is in voldoende mate op orde. Onze controleaanpak is naast het controleren van de jaarrekening gericht op het verbeteren van uw bedrijfsvoering inclusief digitalisering hiervan. In onze controle hanteren wij daarvoor het zogenaamde "3-lines model" (de drie verdedigingslinies). Dit model geeft handvatten om te beoordelen waar in de interne beheersing risico's worden ondervangen:

^ ^ ^

In de eerste lijn: in het primaire proces, onder verantwoordelijkheid van de proceseigenaar. In de tweede lijn: in de ondersteunende processen zoals financiën, HR en projectmanagement, waar "checks and balances" zijn ingericht om fouten te signaleren. In de derde lijn: in uw verbijzonderde interne controle achteraf.

In de eerste en tweede lijn hebben wij een aantal waarnemingen waar verbetering mogelijk is. Hiervoor verwijzen wij naar onderdeel 3 van deze managementletter. Resumerend kan gesteld worden dat doorontwikkeling op onderdelen mogelijk is, en dat u

PUBLIEKE SECTOR ACCOUNTANTS

(

312019015.22.441 - 6

zal moeten bepalen in welke lijn u maatregelen wilt implementeren. Hierbij is het van belang dat u maatregelen implementeert die passen binnen de wijze waarop de u interne controle wilt inrichten. Ook met de huidige inrichting is een totstandkoming van een getrouwe en rechtmatige jaarrekening mogelijk, echter kost dit op onderdelen (voor zowel de organisatie als ons) extra tijd doordat niet gesteund kan worden op maatregelen in het primaire proces.

Rechtmatigheidsverantwoording wordt ingevoerd in 2023

De Tweede Kamer heeft op 25 mei 2022 en de Eerste Kamer op 27 september 2022 besloten dat met ingang van het boekjaar 2023 het college zelf een rechtmatigheidsverantwoording bij de jaarrekening moet afgeven. Tot en met de jaarrekening 2022 geeft de accountant bij de jaarrekening van uw gemeente een controleverklaring af, met daarin een oordeel over de getrouwheid en rechtmatigheid. Dat tweede oordeel, de rechtmatigheid, verdwijnt naar verwachting vanaf de jaarrekening 2023. Dit betekent dat na deze besluitvorming onze controleverklaring over 2023 alleen een oordeel over de getrouwheid van de jaarrekening bevat. Dit oordeel omvat dan ook de rechtmatigheidsverantwoording van het college van burgemeester en wethouders, die in de jaarrekening moet worden opgenomen. Vanaf het verslagjaar 2023 moet het college zichzelf dus over de rechtmatigheid verantwoorden. In de jaarrekening dient daartoe de rechtmatigheidsverantwoording te worden opgenomen. In de paragraaf Bedrijfsvoering kan een uitgebreidere toelichting op rechtmatigheidsbevindingen door het college worden gegeven. Voor de rechtmatigheidsverantwoording heeft de commissie BBV een model tekst ontwikkeld. Zie hiervoor de kadernota 2023. Met dit verplichte model moet het college zich verantwoorden over de rechtmatigheid, eventuele afwijkingen en onduidelijkheden. Relevant hiervoor is de "verantwoordingsgrens".

Dit is het bedrag, dat ligt tussen 0% en 3% van de lasten, inclusief toevoegingen aan reserves, waarboven afwijkingen in de rechtmatigheidsverantwoording moeten worden gerapporteerd door het college. Fouten en onduidelijkheden (zie verderop in dit onderdeel) worden niet bij elkaar opgesteld. In de paragraaf Bedrijfsvoering moet vervolgens een toelichting worden gegeven op de afwijkingen en de maatregelen die het college neemt om deze in de toekomst te voorkomen. Een rapporteringsgrens kan gebruikt worden om geconstateerde fouten die onder de verantwoordingsgrens vallen toch inzichtelijk te maken voor de gemeenteraad. De gemeenteraad zou bijvoorbeeld kunnen bepalen dat deze afwijkingen door het college moeten worden vermeld in de paragraaf Bedrijfsvoering. Door deze laatste afwijkingen in de paragraaf Bedrijfsvoering te rapporteren, informeert het college de gemeenteraad over de kwaliteit van de interne beheersing en de uitkomsten daarvan. Meer hierover kunt u ook lezen in de Notitie Bedrijfsvoering van de commissie BBV. Een belangrijke wijziging met betrekking tot het normenkader is dat vanaf 2023 het normenkader expliciet door de gemeenteraad moet worden vastgesteld.

De commissie BBV heeft inmiddels de herziene kadernota uitgebracht (hierna Kadernota rechtmatigheid 2023), waarin zij haar visie geeft over de invulling van het begrip rechtmatigheid in de rechtmatigheidsverantwoording. Het doel is uiteindelijk dat uw gemeente zelfstandig de in de Kadernota rechtmatigheid 2023 benoemde rechtmatigheidscriteria (het begrotingscriterium, het M&O-criterium en het voorwaardencriterium) afdekt. De Kadernota rechtmatigheid 2023 is daarmee vooral een belangrijk

PUBLIEKE SECTOR ACCOUNTANTS

312019015.22.441 - 7

document voor de gemeenteraad en het college van decentrale overheden geworden. In paragraaf 1.4 van de Kadernota rechtmatigheid 2023 is een tiental stellige uitspraken gedaan en zijn zeven aanbevelingen gedaan. Deze worden in de Kadernota rechtmatigheid 2023 verder uitgewerkt. Deze stellige uitspraken en aanbevelingen kunnen u helpen bij de verdere implementatie van de rechtmatigheidsverantwoording binnen uw gemeente. Een aantal van deze stellige uitspraken en aanbevelingen willen wij graag onder de aandacht brengen: "

" " "

"

De Kadernota rechtmatigheid 2023 introduceert het begrip 'onduidelijkheden'. Dit begrip geeft aan dat er situaties zijn waarin het ook voor het college niet duidelijk is of er rechtmatig gehandeld is. Deze moeten dan worden toegelicht en worden gewogen door het college. In de kadernota rechtmatigheid 2023 wordt ook ingegaan op de toepassing van tolerantiegrenzen, afwijkingen en de weging hiervan. Deze begrippen zijn vooral van belang voor uw intern controleplan. De commissie adviseert ook fraude door eigen medewerkers toe te lichten in de paragraaf Bedrijfsvoering. Hierover heeft de commissie BBV in de Notitie Bedrijfsvoering meer geschreven. De invoering betekent eveneens dat de verordeningen 212, 213 en het normenkader moeten worden geactualiseerd. Ook moeten afspraken worden gemaakt of herzien met de accountant. Hierbij moet u vooral denken aan de scope van de interne controle (getrouwheid versus rechtmatigheid), de documentatie van de uitgevoerde interne controles en de planning van de interne controle. U beschikt over een intern controleplan 2022. Deze moet voor 2023 geactualiseerd worden. Het intern controleplan, de daarin opgenomen risicoanalyse en de tijdige uitvoering van de geplande interne controles, zijn belangrijke randvoorwaarden om in 2024 een rechtmatigheidsverantwoording op te kunnen stellen met betrekking tot boekjaar 2023.

Bij aan derden uitbestede werkzaamheden is het belangrijk als gemeente zelf zekerheid te krijgen over de rechtmatigheid. De wijze waarop dat kan is in de kadernota rechtmatigheid 2023 uitgewerkt.

Wij adviseren u overigens om (voor zover u dit nog niet heeft gedaan) kennis te nemen van de kadernota rechtmatigheid 2023. Deze kadernota kan ondersteunend zijn aan het verder vormgeven aan de invulling van de rol van verschillende actoren binnen uw gemeente. De invoering van de rechtmatigheidsverantwoording stelt hogere eisen aan het college van burgemeester en wethouders om voldoende en actief toezicht te houden op de interne beheersing, tijdig en adequaat bij te sturen aan de hand van bevindingen en hierover zich te verantwoorden aan de gemeenteraad. Dat betekent dat de invoering van de rechtmatigheidsverantwoording het moment is om het gehele systeem van interne beheersing (de 'checks and balances') naar een hoger niveau te tillen. Dit heeft mogelijk ook gevolgen voor de inrichting van de organisatie en de inzet van medewerkers. Een goede onderbouwing van de rechtmatigheidsverantwoording is ons gedeeld belang. De accountant moet straks immers verklaren dat de door het college afgegeven rechtmatigheidsverantwoording getrouw is. Wij zijn als uw accountant dus in belangrijke mate afhankelijk van de (interne controle) werkzaamheden van het college. Uiteraard maken wij hier graag gebruik van en willen wij graag samen optrekken om tot een goede invulling van de rechtmatigheidsverantwoording te komen.

De jaarlijkse beoordeling van het intern controleplan van het college, de door haar uitgevoerde risicoanalyse en de beoogde interne controle

PUBLIEKE SECTOR ACCOUNTANTS

(

312019015.22.441 - 8

aanpak bespreken wij diepgaand met elkaar. Een belangrijke verandering ten opzichte van voorgaande jaren is, dat wij dit vooral vroegtijdig, meer concreet in het eerste of tweede kwartaal willen doen. Het doel is uiteindelijk dat uw gemeente geheel zelfstandig de 3 rechtmatigheidscriteria (het begrotingscriterium, het M&O-criterium en het voorwaardencriterium) afdekt en dat wij door goede afspraken aan de voorkant kunnen volstaan met een marginale review achteraf. Dan is het in onze optiek logisch dat wij vroeg in het jaar met elkaar in gesprek zijn. De manier waarop u nu de interne controle uitvoert, biedt hiervoor een goede basis. Wij adviseren u de noodzakelijke vervolgstappen te zetten. In dit kader hebben wij eerder de volgende elementen benoemd: besluitvorming gemeenteraad (verantwoordingsgrens, rapporteringsgrens, tolerantie en normenkader) voorbereiden; uitwerking rechtmatigheidscriteria, in kaart brengen relevante wet- en regelgeving, uitvoeren risicoanalyse (wat kan er misgaan en wat is de impact hiervan), relevante beheersmaatregelen identificeren, het bepalen van gegevensgerichte detailcontroles (afdekken restrisico) en opstellen van werkprogramma's waar nodig.

Samenwerking en voortgang verbijzonderde interne controle

Wij vinden het belangrijk om de aansluiting tussen de accountantscontrole en de interne controlefunctie verder te optimaliseren. Onderstaand benoemen wij nog een aantal aandachtspunten ter verdere verbetering. "

"

"

Verplichte rapportage over fraude en continuïteit in de controleverklaring

Ten behoeve van de interim-controle is het van belang dat wij inzicht verkrijgen in opzet en bestaan van een aantal relevante en materiële processen. Bij de controle is gebleken dat er nog een aantal lijncontroles ontbraken of niet volledig waren. Voor onze controle is het van belang dat er een duidelijke koppeling wordt gemaakt tussen de opzet (beschrijving van de relevante processtappen) en het bestaan hiervan (onderbouwing dat de processtappen in de praktijk daadwerkelijk in overeenstemming met de opzet worden uitgevoerd). Deze koppeling is nog onvoldoende door uw organisatie gemaakt. Wij adviseren om het onderdeel IT en de interne controlewerkzaamheden op dit onderdeel toe te voegen aan de uitgevoerde verbijzonderde interne controle.

Bij gebruikers van jaarrekeningen in brede zin leeft al langere tijd de behoefte aan informatie over de werkzaamheden die de accountant op het gebied van fraude en continuïteit bij de controle van een jaarrekening. Ook is er in toenemende mate behoefte aan transparantie in zowel de jaarrekening als in het jaarverslag over deze onderwerpen. Om aan deze behoefte tegemoet te komen, zijn accountants vanaf controlejaar 2022 verplicht in hun controleverklaring te rapporteren over fraude en continuïteit. Niet in algemene bewoordingen, maar specifiek per klant, met aandacht voor de onderkende risico's, de uitgevoerde werkzaamheden en indien mogelijk en relevant ook de uitkomsten van die werkzaamheden. Uiteraard hebben gemeenten een bijzondere positie binnen het domein van de wettelijke controles als het gaat om het aspect continuïteit. Wel dient er ook bij gemeenten, zij het in mindere mate, aandacht te zijn voor dit onderwerp, omdat deze verplichting geldt voor alle wettelijke controles. Fraude Fraude kan een groot effect hebben op de reputatie van uw gemeente en kan tot grote financiële schade leiden. Het is daarom zowel in uw belang als dat van al uw stakeholders, waaronder raadsleden en burgers, dat u in uw jaarverslag expliciet aandacht besteedt aan het beheersen van frauderisico's. Van u wordt daarom verwacht dat u frauderisico's in kaart brengt en adequate

PUBLIEKE SECTOR ACCOUNTANTS

(

312019015.22.441 - 9

maatregelen neemt om deze te beheersen. Omdat bij fraude sprake is van bewust handelen van personeel of management, is een goede frauderisicoanalyse ook in uw belang, in het belang van uw management en van uw organisatie; dit ter voorkoming van daadwerkelijke fraude. Wanneer u vervolgens informatie geeft over de wijze van beheersing (bijvoorbeeld in de paragraaf bedrijfsvoering) en indien van toepassing over vermoedens van fraude, onderzoek dat is verricht en maatregelen om herhaling te voorkomen - voor zover deze openbaar is - draagt dit bij aan het vertrouwen van stakeholders in uw gemeente. Tijdens de accountantscontrole spreken wij met vertegenwoordigers van de gemeente over: 1. 2. 3.

de frauderisicoanalyse van de organisatie en de organisatiespecifieke frauderisico's; de evaluatie van frauderisico's die voor de controle het meest van belang zijn; eventuele fraude-incidenten en de bijbehorende opvolging.

Continuïteit De gebruikers van de jaarrekening hebben een toenemende behoefte aan transparante informatie over bijvoorbeeld gemeente specifieke inzichten en langetermijnperspectieven. Omdat bij het opstellen van jaarrekeningen wordt uitgegaan van de continuïteitsveronderstelling, is continuïteit ook een belangrijk aandachtspunt voor accountants bij de controle van de jaarrekening. Zoals hiervoor aangegeven speelt het continuïteitsrisico bij gemeenten een beperktere rol door de achtervang van hogere overheden en het provinciaal toezicht. Wel is het natuurlijk van belang dat uw gemeente een structureel sluitende meerjarenbegroting heeft. In die zin speelt het 'continuïteitsrisico' ook bij gemeenten. Wel is het nog onderwerp van discussie of dit onderdeel bij specifiek gemeentes niet kan worden geschrapt. Advies Wij dringen er op aan dat het college van burgemeester en wethouders zelf rapporteert over deze onderwerpen in het jaarverslag (bijvoorbeeld in de paragraaf bedrijfsvoering). In de controleverklaring zullen wij naar deze tekst verwijzen. De beheersing van frauderisico's blijft immers primair de verantwoordelijkheid van het college van burgemeester en wethouders.

Naarmate de vermoedens en signalen van fraude duidelijker of de mate van continuïteitsrisico's groter zijn, zullen de toelichting in de jaarrekening en de tekst in de desbetreffende paragrafen in de controleverklaring uitgebreider zijn.

Interne controle Europese aanbestedingen

In 2022 is ten tijde van de interim-controle nog geen spendanalyse uitgevoerd met betrekking tot de naleving van de Europese aanbestedingsrichtlijnen. Wij hebben met uw organisatie nadere afspraken gemaakt om deze controle uit te voeren in de periode januari en februari 2023. Het is van belang dat uw gemeente deze controle eerder uitvoert, om te voorkomen dat de gehele controle ten tijde van de jaarrekeningcontrole nog door ons moet worden beoordeeld. Dit kan voor een aanzienlijke vertraging in het proces zorgen.

IT-audit

Wij adviseren u blijvend om een integraal overzicht van de aanwezige IT-controls op te stellen en de uitgevoerde testwerkzaamheden daaromtrent. Er is geen IT-audit uitgevoerd op de voor de jaarrekening relevante automatiseringsapplicaties.

PUBLIEKE SECTOR ACCOUNTANTS

312019015.22.441 - 10

Wij adviseren u om de interne controlewerkzaamheden op het gebied van IT centraal te coördineren en vast te leggen en te zorgen voor een IT-audit als nulmeting, gericht op het (integraal) inzicht krijgen in de noodzakelijke eisen in het kader van de betrouwbaarheid van het systeem van geautomatiseerde (financiële) gegevensverwerking. Dit kan uw gemeente verder helpen bij het professionaliseren en inrichten van interne controles gericht op de effectiviteit van de IT General Controls (ITGC's). Deze opmerking is gelijk aan onze opmerkingen in voorgaande jaren. Wij hebben begrepen dat uw gemeente gericht werkt aan de verbetering van IT-controls. Wij hebben ingevolge de bespreking met vertegenwoordigers van uw organisatie de volgende bevindingen op het gebied van IT: Gap-analyse en opvolging BIO Intern is een document aanwezig waarin de GAP-analyse ten aanzien van de BIO is opgenomen en waaruit de opvolgingsacties blijken. De punten uit de BIO zijn opgenomen alsmede het resultaat. Op basis hiervan is de score van de GAP-analyse 71,11%. Hieruit blijkt dat op basis van de puntenindeling 43 punten van het maximum aantal punten van 137 punten nog niet voldoet. Wij vragen uw aandacht hiervoor. Datalekken Op basis van het datalekkenregister 2022 (t/m 30-11-2022) is vastgesteld dat er tot op heden sprake is van de melding van 18 datalekken, waarvan er 2 zijn gemeld.

Wij hebben begrepen dat de overige meldingen niet meldingsplichtig waren, wij hebben dit niet getoetst. Ensia Het assurance rapport van de onafhankelijke IT-auditor ENSIA verantwoordingsjaar 2021 en 2022 zijn uitgebracht. Dit betreft een goedkeurend oordeel op de informatiebeveiligingsnormen voor DigiD en Suwinet. Periodieke review rechten K2F Op 14 december 2022 is er door de applicatiebeheerder Key2Financiën een periodieke review op de actualiteit van de gebruikers en gebruikersrechten uitgevoerd. In het intern controleplan was dit voor Q1 en Q3 van 2022 gepland, dit is later uitgevoerd dan gepland. Hierbij is specifieke aandacht geweest voor het team van financiën met de kritische rechten. Bij de review bleek dat de applicatiebeheerder welke per 1 mei 2022 uitdienst was getreden ten onrechte nog rechten had. Deze zijn per direct ingetrokken. Wij vragen uw aandacht voor de procedures in de eerste lijn rondom het intrekken van rechten. Log4j in relatie tot K2F Log4shell (log4j) is een wereldwijde kwetsbaarheid, een java-log-tool die door veel webapplicaties en- diensten wordt gebruikt, w.o. door Centric voor Key2Finance. Het pakket dat de gemeente gebruikt voor de financiële administratie. Naar aanleiding van de interimcontrole hebben wij geconstateerd dat diverse updates van key2Finance niet zijn uitgevoerd.

Daarmee loopt u een extra risico in combinatie met de blootstellingsrisico's voor misbruik a.g.v. kwetsbaarheid in Log4J. Wij adviseren u de laatste updates van Key2Finance tijdig uit te voeren, hiermee verkleint u uw beveiligingsrisico's.

PUBLIEKE SECTOR ACCOUNTANTS

(

312019015.22.441 - 11

Procesbevindingen

PUBLIEKE SECTOR ACCOUNTANTS

Onze procesbevindingen Vastlegging verplichtingen 7 contracten

Bevinding: Vanuit het interview omtrent het inkoopproces is gebleken dat er intern een beleid is over welke documentatie aanwezig moet zijn in een inkoopdossier. De wijze van archiveren van het inkoopdossier inclusief het inkoopcontract varieert per afdeling en is decentraal belegd. Vanwege de decentrale werkwijze is het beheer van het inkoopdossier primair de verantwoordelijkheid van de afdeling. Risico: Op dit moment is er vanuit centraal oogpunt onvoldoende zicht op de afgesloten inkoopcontracten en bestaat het risico dat diverse afdelingen contracten worden aangegaan bij één en dezelfde leverancier. Hierdoor ontstaat het risico op onrechtmatige inkopen. Daarnaast kan de volledigheid van de contracten niet worden gemonitord. Aanbeveling: Wii adviseren een uniforme werkwijze voor het archiveren van inkoopcontracten te implementeren, bijvoorbeeld door gebruik te maken van het zaaksysteem. Op deze wijze kan ook vanuit centraal oogpunt het contractenregister worden bewaakt. In de huidige spendanalyse moet handmatig per crediteur een uitsplitsing van de crediteuren worden gemaakt. Wanneer de raming en contractwaarde per contract per leverancier inzichtelijk is kan de uitputting worden afgezet tegen de raming en contractwaarde. Daarmee kan een efficiëntere spendanalyse worden uitgevoerd en geeft dit beter inzicht in de uitputting ten opzichte van de contractwaarde.

Zichtbare interne controle grondexploitaties

Bevinding: In de procesbeschrijvingen bij de grondexploitaties worden een aantal relevant interne controle maatregelen genoemd. Dit betreft: " "

Een zichtbare controle door de planeconoom op de (concept-)afrekening van de notaris bij grondtransacties. Een zichtbare controle op de geactualiseerde parameters door de business controller fysiek domein.]

Bij de door ons uitgevoerde procescontroles kon niet worden aangetoond dat deze controles (zichtbaar) zijn uitgevoerd. Risico: U loopt het risico dat de afrekening van de notaris en/of de parameterbrief fouten bevatten of dat niet kan worden aangetoond dat interne controles zichtbaar zijn uitgevoerd. Aanbeveling: Wij adviseren keuzes te maken in controles die voor uw organisatie relevant zijn en deze controles zichtbaar vast te leggen.

1 PUBLIEKE 1 SECTOR 1 ACCOUNTANTS

312019015.22.441 - 13

Overige aandachtspunten

PUBLIEKE SECTOR ACCOUNTANTS

Overige aandachtspunten Grondexploitaties

Als onderdeel van onze risicoanalyse is inzicht nodig in de belangrijkste (schattings)risico's bij de waardering en tussentijdse winstneming van de grondexploitatie en de hiermee samenhangende maatregelen van interne beheersing. Voor schattingen is onder andere het volgende van belang: " "

" "

" "

Zijn de gegevens die uw gemeente gebruikt zichtbaar aangesloten met door het college en de raad goedgekeurde besluiten en budgetten en zijn ze in lijn met strategische en operationele plannen, zoals de nota grondbeleid? Zijn de belangrijkste veronderstellingen waarop de schatting berust (programma, planning, prijs, parameters (zoals rente en inflatie en plankosten) herijkt aan gewijzigde marktomstandigheden, adequaat vastgelegd en goedgekeurd door het college en/of de raad, inclusief alternatieve scenario's? Kunt u de belangrijkste veronderstellingen onderbouwen met betrouwbaar bewijsmateriaal en externe bronnen? Wat ligt er vast van de manier waarop u bewaakt dat (belangrijke) gebeurtenissen na balansdatum zijn betrokken in de schatting? Hoe gaat uw gemeente om met het verklaren van verschillen tussen werkelijke uitkomsten en eerder gedane schattingen, bijvoorbeeld uit een voorgaand boekjaar? Is hier een rapportageprocedure voor die illustreert op welke manier u de kwaliteit van de schattingen uit het voorgaand boekjaar betrekt in de monitoring en versterking van het schattingsproces? Wat is de rol hierbij van het college en de raad? Wat meldt de toelichting op de jaarrekening over het schattingsproces en is deze toelichting in lijn met geldende voorschriften? Het identificeren en wegen van risico's alsmede het aanmerken van risico's als project specifiek, met name indien

sprake is van winstgevende projecten.

Naar aanleiding van de interim-controle lopen wij tegen de volgende aandachtspunten voor de jaarrekening aan: Wilderszijde Eind 2021 is de grondexploitatie Wilderszijde door de gemeenteraad vastgesteld. Wilderszijde is een omvangrijk project waar binnen een periode van 10 jaar ongeveer 2.700 woningen gerealiseerd zullen worden. Door de omvang van dit project is er sprake van een hoge mate van schattingsonzekerheden, die een risico kunnen vormen voor de waardering en voor de resultaten in de jaarrekening de komende jaren. Wij zullen dit project meenemen bij onze controlewerkzaamheden per jaareinde. Locatie Sporthoekpad In het kader van de wettelijke taak om Oekraïners te huisvesten werkt de gemeente samen met 3B Wonen aan een project aan het Sporthoekpad in Bergschenhoek. De bedoeling is dat de flexwoningen worden gebruikt voor Oekraïense ontheemden en voor lokale spoedzoekers. De gemeente is eigenaar van de grond (locatie Sporthoekpad). De gemeente maakt de grond bouw- en woonrijp en

PUBLIEKE SECTOR ACCOUNTANTS

312019015.22.441 - 15

zorgt voor verplaatsing van de beachvolleybal (die is nu gevestigd op deze locatie). De grond wordt daarna om niet aan 3B Wonen ter beschikking gesteld. Vanwege de eigenheid van dit project bestond er onduidelijkheid over de wijze waarop dit project zou moeten worden verantwoord. Over dit punt hebben wij diverse keren overleg gehad met medewerkers van uw organisatie. Uiteindelijk is overeengekomen om de vraag voor te leggen aan Commissie BBV. De Commissie BBV heeft aangegeven dat in de ontwikkelfase is sprake van een grondexploitatie. Nadat de ontwikkelfase is afgerond blijft de grond eigendom van de gemeente en wordt de grond bij de materiële vaste activa opgenomen tegen de historische uitgaafprijs (ontwikkelkosten), dan wel duurzaam lagere marktwaarde. Dit project zal daarom als grondexploitatie moeten worden toegevoegd aan het MPG 2023 op basis van het reeds genomen raadsbesluit tot het instellen van de GREX Sporthoeklaan."

Onderzoek belastingdienst

Wij hebben begrepen dat er bij uw gemeente momenteel een breed (regulier 5-jaarlijks) onderzoek loopt van de belastingdienst op de onderwerpen: loonheffing, BTW/BCF en VPB. Wij vragen u de uitkomsten hiervan nauwlettend te blijven volgen. Wij hebben begrepen dat dit onderzoek medio 2023 zal zijn afgerond.

Spendanalyse

Voorgaande jaren zijn er een aantal rechtmatigheidsfouten ten aanzien van de Europese aanbestedingsregels geconstateerd. De gemeente is voor de controle van de naleving Europese aanbestedingsregels op dit moment met name nog afhankelijk van de controles achteraf. Wij hebben tijdens de interim-controle vastgesteld dat er nog geen spendanalyse voor 2022 is uitgevoerd en hebben begrepen dat dit zal worden uitgevoerd door een externe partij. Voorgaand jaar heeft er geen zichtbare toets plaatsgevonden op de naleving van het interne inkoop- en aanbestedingsbeleid 2019, omdat de focus met name lag bij de naleving van de Europese aanbestedingsregels. Het interne inkoop- en aanbestedingsbeleid valt overigens buiten de scope van de accountantscontrole op basis van het meest recente normenkader. Wanneer de spendanalyse niet tijdig wordt uitgevoerd bestaat het risico dat fouten aanzien van de naleving Europese aanbestedingsregels niet tijdig worden opgemerkt en dat er niet tijdig acties kunnen worden genomen met als gevolg rechtmatigheidsfouten. Bovendien bestaat het risico dat daarnaast afwijkingen van het interne inkoop- en aanbestedingsbeleid 2019 niet volledig in beeld zijn. Wij adviseren om periodiek een spendanalyse uit te voeren. Dan kunnen tijdig(er) maatregelen getroffen worden om een onrechtmatige inkoop te voorkomen.

Daarnaast is het van belang om uw interne inkoop- en aanbestedingsbeleid 2019 tevens mee te nemen in deze toets.

PUBLIEKE SECTOR ACCOUNTANTS

(

312019015.22.441 - 16

A Follow-up eerdere bevindingen

PUBLIEKE SECTOR ACCOUNTANTS

Opgelost 2

Follow-up eerdere bevindingen

Onderhanden

X Niet opgelost

Samenvattend overzicht van de aanbevelingen en actiepunten uit eerdere managementletters en accountantsverslagen en de status. No

Oorsprong en bevinding

Prioriteit

Toelichting follow-up

1

Grondexploitatie - plankosten (ACV 2020) Wij hebben uw aandacht gevraagd voor de kwaliteit van de plankostenramingen en het vormgeven van sturing en beheersing op de plankosten binnen uw grondexploitaties. Grondexploitatie - risico's (ACV 2020) Via het accountantsverslag 2020 hebben wij geadviseerd de procedure rondom het identificeren en kwantificeren van risico's te formaliseren en dit nader uit te werken in bijvoorbeeld de nota grondbeleid. Grondexploitatie - taxaties (ACV 2020) Via het accountantsverslag 2020 hebben wij geadviseerd nadere invulling te geven aan de procedure bij het opvragen van taxaties bij het aangaan van grondtransacties, in het bijzonder in situaties waarbij er geen taxatie wordt opgevraagd en de procedure uit de nota grondbeleid niet wordt nageleefd. Automatisering - toetsing IT beheersing (ML 2020) Het uitgangspunt van onze controle op het gebied van IT is dat wij hiervoor gebruik maken van de werkzaamheden die door de gemeente zelfstandig zijn uitgevoerd. Wij adviseren u een IT-audit te laten uitvoeren als nulmeting, gericht op het (integraal) inzicht krijgen in de noodzakelijke eisen in het kader van de betrouwbaarheid van het systeem van geautomatiseerde (financiële) gegevensverwerking. Dit kan de organisatie verder helpen bij het professionaliseren en inrichten van controles gericht op de effectiviteit van de IT General Controls (ITGC's).

Wij hebben u geadviseerd de diverse beheersmaatregelen op het gebied van IT en de toetsing hiervan integraal inzichtelijk te maken en te documenteren.

Midden

Wij beoordelen dit bij de controle per jaareinde 2022.

Midden

Uw gemeente heeft inmiddels stappen gezet op dit onderdeel.

Midden

Momenteel wordt de nota grondbeleid geactualiseerd en zal in 2023 gereed komen.

2

3

4

PUBLIEKE SECTOR ACCOUNTANTS

Status ii yi V/

ii yi V J

lr\ Midden

Dit onderdeel is geïntegreerd in het interne controleplan voor 2022. Een externe toetsing middels een IT-audit heeft nog niet plaatsgevonden.

U i' VJ

312019015.22.441 - 18

5

6

7

8

9

Implementatie rechtmatigheidsverantwoording (ML 2020) Wij hebben geadviseerd een intern controleplan op te stellen om invulling te geven aan de vereisten rondom de rechtmatigheidsverantwoording. Controle technische functiescheiding memoriaalboekingen (ML 2020) De medewerkers financieel beheer kunnen vanuit hun rol zowel memoriaalboekingen aanmaken als goedkeuren, hierdoor is er geen sprake van functiescheiding. Wij adviseren hier functiescheiding in aan te brengen, zodat het muteren van de administratie via het memoriaal alleen mogelijk is op basis van het vier-ogenprincipe.

Frauderisico-analyse (ML 2020) Uw gemeente heeft medio 2021 een geactualiseerde frauderisicoanalyse opgesteld en aan ons verstrekt. Deze frauderisico-analyse is nog niet in de BAC besproken. Wij adviseren dit document te bespreken met (vertegenwoordigers van) de gemeenteraad. Vooral omdat dit document dient als verantwoording richting gemeenteraad over de volledigheid van frauderisico's, de beheersmaatregelen en de acceptatie van een eventueel restrisico. Zichtbare controle mutatieverslagen personeel (ML 2021) In 2021 zien wij dat er zichtbaar controles vastgelegd worden op de maandelijkse mutatieverslagen. Echter door thuiswerken is dit niet van alle maanden (zichtbaar) vast te stellen. Brevettering consulenten WMO (ML 2020) Wij hebben geadviseerd u om de vereisten voor het brevetteren van consulenten vast te leggen en vast te laten stellen, zodat er een eenduidige en toetsbare richtlijn is. Wij hebben u tevens geadviseerd om een controlemechanisme op te zetten waarmee gewaarborgd wordt dat de gebrevetteerde consulenten ook blijven voldoen aan de gestelde kwaliteitseisen en wat de consequenties zullen zijn als deze consulenten er niet aan voldoen.

PUBLIEKE SECTOR ACCOUNTANTS

Midden

Uw gemeente heeft een intern controleplan opgesteld.

Hoog

Voor een deel van de memorialen dwingt het systeem functiescheiding af. Voor een gedeelte ook niet. Ons advies blijft om de functiescheiding voor alle memorialen af te dwingen in het systeem.

Midden

Hoog

Laag

ii

Tevens vragen wij u de memorialen 2022 alsnog te beoordelen aan de hand van loggegevens en data-analyse. Wij adviseren u de frauderisico-analyse periodiek te agenderen in de BAC. Wij hebben begrepen dat deze geagendeerd zal worden als onderdeel van het IC-plan medio 2023.

In het jaar 2022 hebben wij waargenomen dat er opvolging is gegeven aan de bevinding omtrent de zichtbare controle op de mutatieverslagen personeel door de salarisadministrateurs. Er zijn stappen gezet om de brevetering van consulenten ander in te kaderen. Uw gemeente hanteert hierbij echter nog geen eenduidige lijn.

yi \ J

\ J

U i' Vy AA ' '

‘i ļ' \ Z AA

312019015.22.441 - 19

10

Preventieve maatregelen EU-aanbesteding (ML 2020) Midden Binnen uw gemeente is de inkoopfunctie momenteel decentraal belegd en zijn, in opzet, goede beheersmaatregelen getroffen zoals het verplicht opstellen van een startdocument voor opdrachten groter dan C 50.000 voor diensten en leveringen en groter dan C 150.000 voor werken voorafgaand aan de daadwerkelijke inkoop. Uit gesprekken is gebleken dat het startdocument niet structureel wordt ingevuld, waardoor het risico bestaat dat, vanuit perspectief van de gemeente, een onjuiste aanbestedingsvorm wordt toegepast. Hierdoor bestaat in opzet een groter risico dat de (Europese) aanbestedingswet niet wordt nageleefd of dat __________________aanbestedingen niet overeenkomstig uw eigen beleid plaatsvinden.__________ 11 Interne controlemaatregelen mutaties salarisadministratie niet Midden zichtbaar vastgelegd (ML 2021) Wij hebben op basis van de ontvangen documentatie vastgesteld dat er geen zichtbare controle wordt uitgevoerd op het maandelijkse boekingsvoorstel (journaalpost), de salarisstroken en de betaalbatch die door de salarisverwerker wordt aangeleverd. 12

13

14

U heeft nog geen maatregelen getroffen die waarborgen dat startformulieren structureel worden toegepast. Wel hebben wij vastgesteld dat uw organisatie diverse maatregelen heeft getroffen om de rechtmatigheid van inkopen te borgen

Wij hebben wij begrepen en vastgesteld op basis van de procesbeschrijving dat de interne controlemaatregelen rondom de salarisstroken en de betaalbatch die van Centric ontvangen wordt, geen zichtbare controles op verricht wordt.

Betalingsorganisatie (ML 2021) De interne beheersmaatregel die nu is ingericht bij uw gemeente bestaat uit een controle vooraf op de betalingen op de betaaladvieslijst uit de financiële administratie. De tweede handtekening wordt gezet als het totaalbedrag van de betaaladvieslijst aansluit op de gegevens in de bank. Monitoring investeringskredieten Preventief is er geen sprake van ingerichte interne beheersing omtrent de monitoring van investeringskredieten.

Hoog

Wij hebben bij de interimcontrole 2022 geen procesafwijkingen geconstateerd.

Hoog

Tussenrekeningen De tussentijdse controle op tussenrekeningen is nog onvoldoende vastgelegd en geformaliseerd.

Midden

Monitoring van de investeringskredieten vindt plaats via het MIP. Er is nog geen sprake van zichtbare vastlegging van de gesprekken over de uitputting van investeringskredieten met de verantwoordelijke teams. De tussenrekeningen worden gedeeltelijk tussentijds beoordeeld. Wij hebben met uw organisatie afgesproken dat de tussenrekeningen bij de controle van de jaarrekening volledig zijn opgeschoond.

PUBLIEKE SECTOR ACCOUNTANTS

312019015.22.441 - 20

15

16

Documentatie ID-check Sociaal Domein WMO Er vindt geen consistente vastlegging plaats van de waarneming van de ID check in het dossier van een WMO-cliënt. Hierdoor is achteraf niet vast te stellen of werkelijk een ID-check heeft plaatsgevonden. Voortgang afwikkeling IB-signalen De IB-signalen worden niet altijd tijdig en zichtbaar gedocumenteerd.

PUBLIEKE SECTOR ACCOUNTANTS

Hoog

Wij hebben begrepen dat uw organisatie ervoor heeft gekozen om dit niet expliciet vast te leggen.

^ ^

Hoog

Op basis van uw vastleggingen blijkt dat er slechts oude IB signalen openstaan. Er is een interne beheersmaatregel ingericht om te voorkomen dat er vaker voor een langere tijd IB signalen openstaand blijven.

^----\ J

312019015.22.441 - 21