[T23.01806] Controleplan 2023 - jaarplan interne controle

Intern controleplan 2023

www.lansingerland.nl

T23.01806

Controleplan 2023

Auteur: WB Afdeling: Concernstaf Versienummer: 1.0 Datum: 14 juni 2023 Corsanummer: T23.01806

2/40

T23.01806

Controleplan 2023

Inhoudsopgave 1. Aanleiding en doelstelling van het controleplan 2023 ............................................................... 4 1.1. Doelstelling ........................................................................................................... 4

2.

3.

4.

1.2.

Scope .................................................................................................................. 5

1.3.

Samenwerking met de accountant ............................................................................... 5

1.4.

Te gebruiken toleranties ........................................................................................... 5

Rechtmatigheidsverantwoording ........................................................................................ 7 2.1 Financiële rechtmatigheidsverantwoording (SOLL)............................................................ 7 2.2

Waar staan we nu (IST) ............................................................................................. 9

2.3

Van IST naar SOLL ................................................................................................. 11

Lansingerland in control - Integrale aanpak ......................................................................... 12 3.1 Privacy............................................................................................................... 12 3.2

Informatieveiligheid .............................................................................................. 13

3.3

Misbruik en oneigenlijk gebruik ................................................................................. 14

3.4

Beheersing financiële stromen .................................................................................. 15

Transactiestromen en risicoanalyse .................................................................................. 17 4.1 Significante transactiestromen (en processen) - VIC’s 2023 ............................................... 17 4.2

5.

6.

Risico-inschatting .................................................................................................. 18

Verbijzonderde interne controles 2023 – aanpak en uitvoering ................................................. 20 5.1 Procesgerichte VIC ................................................................................................ 20 5.2

Scope gegevensgerichte VIC ..................................................................................... 21

5.3

VIC’s met specifieke controle aanpak ......................................................................... 29

Samenwerking, planning en capaciteit ............................................................................... 34 6.1 Samenwerking betrokken partijen ............................................................................. 34 6.2

Planning – wat wordt er wanneer gecheckt in de organisatie ............................................. 35

7. Rapportage ................................................................................................................ 37 Bijlage 1 – Integrale planning 2023 met effect op de organisatie .................................................... 38 Bijlage 2 - Op te leveren producten 2023 uit hoofdstuk 2 en 3 ....................................................... 38 Bijlage 3 - Controleplan sociaal domein 2023 T23.03816............................................................... 39 Bijlage 4 – Risicoanalyse Lansingerland 2023: T23.03703 .............................................................. 39 Bijlage 5 – Frauderisicoanalyse 2023: T23.03705 ........................................................................ 39 Bijlage 6 – Langere termijn agenda ........................................................................................ 40

3/40

T23.01806

1.

Controleplan 2023

Aanleiding en doelstelling van het controleplan 2023

Het college van B&W is verantwoordelijk voor het rechtmatig handelen van de gemeente en de getrouwheid van de jaarstukken. Met ingang van het verslagjaar 2023 legt het college zelfstandig, met de rechtmatigheidsverantwoording in de jaarstukken, verantwoording af over de financiële rechtmatigheid. Vervolgens zal de accountant de getrouwheid van het geheel (dus inclusief rechtmatigheidsverantwoording) vaststellen. De interne controle moet daarom zo georganiseerd zijn dat de verantwoording van het college deugdelijk is onderbouwd en vastgelegd. Door deze vastlegging en onderbouwing kan de accountant (mede) zijn oordeel daar op bouwen. Deugdelijk houdt in dit geval in dat de verantwoording juist, toereikend en volledig is en overeenkomt met de feiten. De accountant zal vanaf dit jaar minder de leiding nemen en het college dient de interne controle naar behoren te organiseren. Het organiseren van de interne controle ‘naar behoren’ betekent dat we meer aandacht moeten hebben voor de kop en de staart van een interne controle. We starten met een plan en eindigen met een rapportage. De start van de VIC begint in dit Interne controleplan. De afspraken over rapportering staan in hoofdstuk 7. In hoofdstuk 2 en 5 worden doel en werkwijze van de VIC verder uitgelegd. Deze werkwijze sluit aan op de adviezen van de accountant die opgenomen zijn in de rapportages 2020, 2021 en 2022.

Daarin werd namelijk geconstateerd dat onze organisatie de interne controles zelf goed uitvoerde. De accountant maakte gebruik van die werkzaamheden. Adviezen die de accountant gaf: In lijn met het controleplan moet het normenkader geoperationaliseerd worden naar een toetsingskader voor de interne beheersing om daarmee richting te geven aan de aard en omvang van het controlewerk. Daarbij moet onderbouwd worden welke aan derden uitbestede activiteiten wel of geen effect kunnen hebben op de rechtmatigheidsverantwoording (bevinding MML 2020). Het controleplan moet steeds integraler worden. Dat betekent dat ook privacy en informatieveiligheid op hoofdlijnen deel uit gaan maken van dit controleplan (naast hun eigen jaarplannen) én dat er een periodieke IT-audit plaats moet vinden (bevinding MML 2020). Zie hiervoor hoofdstuk 3.2. Vanwege de rechtmatigheidsverantwoording er specifieke en expliciete aandacht te zijn voor Misbruik en Oneigenlijk gebruik (bevinding accountantscontrole 2021). Zie hiervoor hoofdstuk 3.3. Het controleplan Sociaal domein zou ook deel moeten uitmaken van dit Interne controleplan. Op basis van een risico-inventarisatie stelden we voorgaande jaren een separaat controleplan Sociaal Domein op dat als bijlage werd toegevoegd bij het interne controleplan.

De reden hiervoor was dat het controleplan sociaal domein meer gedetailleerd is dan het brede interne controleplan. Dat doen we in 2023 ook op die manier. In hoofdstuk 6 staat de hoofdlijn van de interne controle sociaal domein. Verder wordt verwezen naar corsanummer T23.03816.

1.1.

Doelstelling

Het doel van het interne controleplan 2023 is in de eerste plaats een kader te bieden voor de interne controlewerkzaamheden, deze te plannen en hierbij de focus te leggen op de belangrijkste processen, (balans)posten en transactiestromen omtrent de financiële rechtmatigheid en getrouwheid van de jaarstukken. Hierbij is inzicht nodig in de relevante normenkaders voor de controle, de belangrijkste processen en de risico’s gerelateerd aan de zogenoemde controledoelstellingen. Dit plan behandelt deze onderwerpen en komt op basis van de analyses tot een planning van de uit te voeren interne controles. In de tweede plaats bevat dit Interne controleplan 2023 ook een strategischer deel hetgeen van waarde is voor het geven van betekenis aan de interne controle op procesniveau. Zie hiervoor hoofdstuk 2.

4/40

T23.01806

1.2.

Controleplan 2023

Scope

De scope van het interne controleplan 2023 is daarmee anders dan voorgaande jaren. Centraal staat het voldoen aan de vereisten die de rechtmatigheidsverantwoording (RMV) stelt. Dat betekent dat het college aantoont te voldoen aan de drie rechtmatigheidscriteria (het begrotingscriterium, het Misbruik en Oneigenlijk gebruik (M&O-criterium) en het voorwaardencriterium (alle financiële beheershandelingen zijn verricht in overeenstemming met (externe en interne wet- en regelgeving)). Op basis van dit controleplan en de verslaglegging hierover maakt het college zichtbaar voldoende en actief toezicht te houden op de interne beheersing, tijdig en adequaat bij te sturen aan de hand van bevindingen en zich hierover te verantwoorden aan de gemeenteraad. De accountant zal controleren of er getrouw is gehandeld. De VIC richt zich op de rechtmatige totstandkoming van baten, lasten en balansmutaties en de getrouwheid van de jaarstukken van het jaar 2023. Het gaat dan om financiële inclusief fiscale rechtmatigheid. De nietfinanciële rechtmatigheid valt niet onder de scope van de VIC maar maakt wel deel uit van dit controleplan.

Dat betekent dat compliance audits zoals de ENSIA-controle (informatiebeveiliging), controles in het kader van de AVG en Wet politiegegevens wel genoemd worden maar verder zijn opgenomen in aparte auditplannen en controles die worden uitgevoerd (hiernaar wordt verwezen). Praktisch houdt dit in dat gemeente Lansingerland met het team Verbijzonderde Interne Controle (VIC) tussentijds financiële transacties toetst op zowel getrouwheid als rechtmatigheid. Getrouwheid geeft antwoord op de vraag “Klopt er wat er staat en staat alles er wat er moet staan?”, terwijl (financiële) rechtmatigheid de vraag “Zijn wet- en regelgeving (W&R) in financiële zin correct nageleefd door de gemeente?” beantwoordt.

1.3.

Samenwerking met de accountant

De interne controle draagt bij aan het verbeteren van de organisatie, het opmerken van eventuele onrechtmatigheden en het vroegtijdig kunnen signaleren van risico’s binnen de organisatie zodat beheersmaatregelen genomen kunnen worden. Daarnaast biedt de interne controle ook de voorbereiding voor de accountantscontrole van de gemeente. Om ervoor zorg te dragen dat de interne controle een goede voorbereiding biedt voor de controle van onze externe accountant, stemmen wij de aanpak met hem af. Hierbij maken wij afspraken over het aantal waarnemingen, de selectiemethode van de te controleren posten en mutaties en de te controleren punten. Door die afspraken vooraf te bespreken, kan de accountant gebruik maken van onze werkzaamheden om de getrouwheid en rechtmatigheid vast te stellen. De accountant maakt gebruik van en zal altijd gebruik maken van (delen van) de interne controle werkzaamheden.

1.4.

Te gebruiken toleranties

In voorgaande jaren werden de te gebruiken toleranties opgenomen in het Interne controleplan van het betreffende boekjaar omdat het controleprotocol tegelijk met het Interne controleplan werd vastgesteld. Dat is dit jaar vanwege de rechtmatigheidsverantwoording anders. Het Interne controleplan 2023 wordt in de eerste helft van het jaar vastgesteld. Het controleprotocol wordt eind 2023 ter besluitvorming aangeboden ter voorbereiding op de accountantscontrole. In het controleprotocol volgt de gemeente Lansingerland het Besluit Accountantscontrole Decentrale Overheden (BADO). In het controleprotocol worden de toleranties voor de jaarrekening bepaald als percentage van de totale lasten (inclusief reservemutaties) voor fouten en ook als percentage van de totale lasten (inclusief reservemutaties) voor onzekerheden. In de kadernota rechtmatigheid 2023 (commissie BBV) zijn ook onduidelijkheden opgenomen. Onduidelijkheid ontstaat wanneer deskundigen niet op lijn kunnen komen aangaande een rechtmatigheidsvraagstuk. 5/40

T23.01806

Controleplan 2023

Uiteindelijk is het de gemeenteraad die deze percentages en bedragen definitief vaststelt (door het vaststellen van het controleprotocol 2023), waarbij de accountant als eis stelt dat van de minimum wettelijke percentages wordt uitgegaan. Indien de Raad een lagere ‘goedkeuringstolerantie’ of rapportagetolerantie wenst, heeft dat effect op de omvang van de interne controlewerkzaamheden en de accountantscontrole en daarmee op de kosten. Voor 2023 wordt voorgesteld om voor de toetsing van rechtmatigheid het wettelijk minimum van tolerantie voor toetsing van zowel het getrouw beeld als de rechtmatigheid te hanteren. De te gebruiken verantwoordingsgrens (percentage) voor de rechtmatigheids-verantwoording en de rapporteringsgrens voor de bedrijfsvoering paragraaf worden in het controleprotocol opgenomen.

6/40

T23.01806

2.

Controleplan 2023

Rechtmatigheidsverantwoording

Een gemeente verkrijgt, verwerft en besteedt publiek geld en moet daarbij voldoen aan wet- en regelgeving. De wetten en regels waar gemeenten aan moeten voldoen zijn vastgelegd in een normenkader. Rechtmatigheid betekent dat je via een rechtmatigheidstoets aan kunt tonen dat je werkt binnen het normenkader. Het doel daarvan is om met een bepaalde mate van zekerheid vast te stellen dat de financiële handelingen hebben plaatsgevonden binnen de kaders van wet- en regelgeving. Met andere woorden, dat er sprake is van rechtmatig handelen. De aantoonbaarheid daarvan is van belang voor het vertrouwen in de overheid. Onze inwoners, ondernemers en partners verwachten dat we publieke gelden rechtmatig verkrijgen, verwerven en besteden én dat hierop een goede controle is. Wij willen als gemeente onze inwoners, ondernemers en partners ook verzekeren dat we een betrouwbare overheid zijn. Het kader van de (financiële) rechtmatigheidsverantwoording waaraan het college dient te toetsen bestaat uit de volgende drie criteria:  Het begrotingscriterium;  Het voorwaardencriterium;  Het criterium van misbruik en oneigenlijk gebruik. De overige zes criteria van rechtmatigheid 1 vallen ook onder het getrouw beeld en vallen na januari 2023 nog steeds onder de verantwoording van de accountant, ook al is de rechtmatigheidsverantwoording van kracht.

De invoering van de rechtmatigheidsverantwoording stelt hogere eisen aan het college van burgemeester en wethouders om voldoende en actief toezicht te houden op de interne beheersing. Om tijdig en adequaat bij te sturen aan de hand van bevindingen en zich hierover te verantwoorden aan de gemeenteraad. Dat betekent dat de invoering van de rechtmatigheidsverantwoording een natuurlijk moment is om het systeem van interne beheersing (de 'checks and balances') wat aan te scherpen.

2.1

Financiële rechtmatigheidsverantwoording (SOLL)

De commissie BBV (Besluit Begroting en Verantwoording) heeft een standaardtekst opgesteld voor de verplichte rechtmatigheidsverantwoording2 (bijlage 1). Deze tekst wordt voor het eerst opgenomen in de jaarstukken 2023. Dit betekent dat we in boekjaar 2023 de financiële rechtmatigheidstoets overnemen van de accountant. De eisen die gesteld worden aan de administratieve organisatie, interne controle, dossiervorming en audittrail3 lijken op basis van de verbijzonderde controle in afgelopen jaren afdoende geborgd. Dat betekent dat we dat moeten voortzetten.

1

Calculatie, Valutering, Adressering, Volledigheid, Aanvaarbaarheid, Levering.

2

In de kadernota rechtmatigheid van de commissie BBV staan 9 criteria die van toepassing zijn op rechtmatigheid. De 6

3

Alle vastgelegde stappen die leiden tot een transactie, klantcontact, beschikking, toekenning etc.

toetsingscriteria voor getrouwheid die ook gelden voor rechtmatigheid en 3 aanvullende criteria voor rechtmatigheid. 7/40

T23.01806

Controleplan 2023

Rollen en verantwoordelijkheden De organisatie draagt zorg voor een adequate financiële rechtmatigheidsverantwoording die het college opneemt in de jaarstukken. De organisatie draagt zorg voor dossiervorming. Uit het een controledossier moet blijken wat de conclusie is ten aanzien van de rechtmatigheidsverantwoording en ter onderbouwing hiervan dient het volgende in het dossier opgenomen te zijn: a. Wat er is gecontroleerd; b. Aansluitingen van de controle-documentatie met de financiële verantwoording; c. Documentatie van de controle met bewijsstukken (bijvoorbeeld aanbestedingsdossiers) d. Waarom dit is gecontroleerd; e. Hoe en door wie dit is gecontroleerd; f. Het gebruikte normenkader waaraan diverse toetsingskaders en toetspunten gekoppeld kunnen zijn; g. Wat de bevindingen waren en wat daaraan is gedaan; h. Conclusie over rechtmatigheid (die op basis van audittrail en dossier herleidbaar is). Voor de financiële rechtmatigheidstoets is een door de raad vastgesteld normenkader nodig die alle, voor de financiële beheershandelingen relevante wet- en regelgeving en interne regelgeving (verordeningen, raadsbesluiten en (wettelijk verplichte) kader stellende collegebesluiten) bevat. Dit normenkader moet jaarlijks door de raad worden vastgesteld op basis van de Kadernota/Kaderbrief.

Dit normenkader voor het college is gelijk aan het normenkader dat voorheen aan de accountant werd voorgelegd. Naast het normenkader is er een controleprotocol waarin de goedkeuringstolerantie staat. Dit wordt vastgesteld door de gemeenteraad. De raad moet vaststellen wat de goedkeuringstolerantie is. Bron hiervoor zijn de minimale eisen die door de commissie BADO4 worden gesteld aan materialiteit. Dat betreft in de accountantscontrole de som van fouten en onzekerheden. In de rechtmatigheidsverantwoording die het college opstelt betreft het fouten en onduidelijkheden. Met onduidelijkheden wordt bedoeld dat er situaties zijn waarin het ook voor het college niet duidelijk is of er rechtmatig gehandeld is. Deze moeten door het college worden toegelicht in de rechtmatigheidsverantwoording en gewogen. Zowel fouten, onzekerheden als onduidelijkheden worden uitgedrukt in euro’s die maximaal in de jaarrekening mogen voorkomen. Het is kostbaar en tijdrovend om iedere euro die kan leiden tot een rechtmatigheidsfout te verantwoorden. Daarnaast is niet elke afwijking relevant. Alleen over afwijkingen boven een bepaalde grens wil de raad informatie ontvangen. Overwegingen bij de bepaling van de hoogte van de verantwoordingsgrens.  Informatiepositie van de raad: De raad zal een afweging moeten maken over wat wel en niet opgenomen moet worden in de rechtmatigheidsverantwoording.

Hoe hoger de grens, hoe minder snel er informatie opgenomen zal worden in de rechtmatigheidsverantwoording.  Kosten van de verantwoording: Informatie verzamelen en vastleggen over de rechtmatigheid is niet kosteloos, dit hangt samen met de interne beheersing van de gemeente.  Eenduidigheid van normen en communicatie: De raad kan ervoor kiezen om aan te sluiten bij percentages die al herkend worden binnen en buiten de gemeente. Hierbij kan gedacht worden aan

4

Besluit Accountantscontrole Decentrale Overheden. 8/40

T23.01806

Controleplan 2023

percentages die een rol spelen bij de interne controle, of het percentage dat de controlerend accountant hanteert in het kader van de materialiteit5. Een rechtmatigheidsverantwoording dient vergezeld te zijn van een door de accountant opgestelde controleverklaring en een verslag van bevindingen ten aanzien van getrouwheid.

2.2

Waar staan we nu (IST)

De gemeentelijke organisatie dient haar processen zodanig te organiseren dat zij haar doelen op een doelmatige en doeltreffende (effectieve en efficiënte) - binnen de geldende wet en regelgeving - wijze realiseert. In eerste instantie dient iedere medewerker als een volwaardig ‘vakprofessional’ zelf te handelen conform de voor zijn werk geldende wetten, regels en afspraken. Maar om onafhankelijk te kunnen vaststellen dat deze vakprofessionals ook zodanig handelen en hen hierbij te ondersteunen, zijn er extra ‘checks and balances’ aangebracht binnen het operationele proces. De organisatie volgt hierbij grotendeels het ‘Three lines Model’ (3LM).

Het 3LM in Lansingerland 1e Lijn: De vakafdelingen (teams) zijn onder leiding van de teammanagers en directeuren Bedrijfsvoering, Samenleving en Ruimte & Economie integraal verantwoordelijk voor de organisatie- en procesbeheersing in de teams. Dat betekent dat de teams zelf ‘in control’ (lees, beheersing van taken) dienen te zijn door het treffen van adequate beheersmaatregelen en de monitoring van de werking. 2e Lijn: De juridische control, de HR-control, ICT-control, financial & business control en privacy faciliteren de 1e lijn maar denken vanuit hun adviesrol ook kritisch mee en tegen. 3e Lijn: De concerncontroller, de VIC, de Chief Information Security Officer (CISO) en de Functionaris Gegevensbescherming (FG) hebben een toetsende, signalerend, initiërende en adviserende rol m.b.t. de kwaliteit, de getrouwheid, rechtmatigheid en het functioneren van de 1e en 2e lijn. Zij kunnen ook – indien nodig geacht – externe audits laten uitvoeren.

5

Dit is een maatstaf die bepaalt op een bepaald bedrag al dan niet significant is. 9/40

T23.01806

Controleplan 2023

Alignment Naast het werken vanuit het 3LM geven we ook continue aandacht aan alignment. Dat betekent in deze context dat er sprake is een logische samenwerking tussen richten – inrichten – verrichten. Waarbij richten het strategisch niveau is, inrichten vindt plaats op managementniveau en verrichten betreft proces op operationeel vlak. En dat er op elk niveau sprake is van een werkende Plan-Do-Check-Act-cyclus (Demming) die alle drie op elkaar ingrijpen. Dat betekent ten aanzien van het sturen dat als er richting is bepaald, er gelegenheid staat om zaken in te richten en daarna te verrichten. En andersom, als het gaat om ‘beheersing’ is er informatie nodig vanuit het verrichten om de inrichting te verbeteren alsmede de richting bij te stellen. Dit betekent ook dat het nodig is dat 1e en 2e lijn samenwerken en de 3e lijn een toezichthoudende rol heeft (buitencirkel). Juist de samenwerking tussen de 1 e en 2e lijn is noodzakelijk om uiteindelijk te kunnen spreken van alignment. De 1 e lijn is gericht op de primaire processen. De 2 e lijn stelt kaders en faciliteert op het gebied van security, communicatie, organisatie, personeel, administratie, financien, informatie&archivering, inkoop, juridische expertise, ICT (technologie), huisvesting en meubilair. Het acroniem hiervan is SCOPAFIJTH.

Een groot deel van deze aspecten zijn belegd in het domein bedrijfsvoering (denk aan financien, personeel, communicatie). Anderzijds zijn veel werkzaamheden decentraal belegd en ligt de primaire verantwoordelijkheid in de lijn bij teammanagers. Hoe dit proces loopt wordt zichtbaar in onderstaand model: de integrale interne controle cyclus. Dit model maakt duidelijk dat op de verschillende niveaus in de organisatie invulling moet worden gegeven aan het bepalen van doelen, het sturen op realisatie van doelen en het afleggen van verantwoording ten behoeve van beheersing van de processen. Daarmee organiseren we een continu proces van sturen en beheersen.

10/40

T23.01806

2.3

Controleplan 2023

Van IST naar SOLL

Er is al veel op afdoende niveau geborgd in de gemeente Lansingerland. Daarnaast is doorontwikkeling mogelijk. Uit de Managementletters, opgesteld door de accountant, blijkt dat er steeds minder bevindingen zijn. Dat betekent dat de basis op orde is. Zo worden er al jaarlijks Verbijzonderde interne controles uitgevoerd op basis van controleplannen (zie hoofdstuk 5). Bevindingen worden vastgelegd en opgevolgd. Deze lijn zetten we voort. Vanuit dit controleplan wordt de basis behouden om de Administratieve Organisatie/Interne Controle (AO/IC) op orde te houden. Op grond van bovenstaand model is het van belang om het gesprek blijvend te voeren over wie heeft welke verantwoordelijkheden en ‘wat heeft de 1e lijn van de 2e lijn nodig’ en vise versa. Juist in tijden van krapte op de arbeidsmarkt is dat belangrijk zodat besproken kan worden ‘doen we de juiste dingen en doen we die op de juiste manier’. Om als organisatie door te ontwikkelen is bewustwording van groot belang. Dat bewustzijn wordt vergroot door te communiceren en in gesprek te blijven over kwaliteitsverbetering, over de bevindingen en de opvolging daarvan en ook over risico’s en beheersmaatregelen. Eén van de instrumenten daarvoor zijn de In controlgesprekken. Zie hiervoor het directiebesluit met agenda en bijlage (T23.01557 en T23.01578).

Ook kunnen deze gesprekken in het DT, het CMT en in de domein MT’s worden gevoerd. Daarnaast is er in mei gecommuniceerd over de effecten van de implementatie van de rechtmatigheidsverantwoording in het DT, CMT, PHO, college en de BAC. Ook is het nodig een aantal zaken op basis van de rechtmatigheidsverantwoording te actualiseren.  De controleverordening (Gemeentewet art. 213) die vastgesteld is door de raad in 2013, moet op basis van de Rechtmatigheidsverantwoording geactualiseerd worden (Raadsbesluit).  Er is een controleprotocol met normenkader. Die dienen in 2023 geactualiseerd te worden op basis van de RMV en daarbij dient aanvullend op het controleprotocol en normenkader ook een toetsingskader op- en vastgesteld te worden. Hierin worden ook de tolerantiegrenzen (goedkeuringstolerantie en rapportagetolerantie) opgenomen (Raadsbesluit).  Jaarlijks wordt door de organisatie op basis van de controleverordening een dienstverleningskader opgesteld (vastgesteld door het college) waarin de controleaanpak van de accountant is opgenomen. In de aanbesteding wordt meegenomen om de controleaanpak met ingang van 2024 door de accountant te laten opstellen.  De Financiële verordening Lansingerland 2019 (Gemeentewet art. 212) moet op grond van de RMV geactualiseerd moet worden.  Daarnaast moet ook de verordening 213A (onderzoeken doelmatigheid en doeltreffendheid) herzien te worden.

 Eén van de criteria binnen de rechtmatigheidsverantwoording is het criterium van Misbruik en oneigenlijk gebruik. Zie hiervoor hoofdstuk 3.3. Vanwege de rechtmatigheidsverantwoording door het college heeft de VNG modelverordeningen opgesteld. Die vormen samen met de geldende verordening die basis voor het actualiseren. Planning Q2-2023 Intern controleplan 2023 gemeente vaststellen Controleverordening vaststellen (art. 213)

Q3-2023

Q4-2023

BW

Q1-2024 BW

Raad

Controleprotocol – normenkader - toetsingskader

Raad

Financiële verordening vaststellen (art. 212)

Raad

Verordening doelmatigheid (art 213A)

Raad 11/40

T23.01806

3.

Controleplan 2023

Lansingerland in control - Integrale aanpak

We streven naar een integrale aanpak als het gaat om het ‘in control’ zijn van de organisatie. Dat betekent dat we een aantal onderwerpen opnemen die in het kader van de (financiële) rechtmatigheidsverantwoording niet direct relevant zijn maar waarvan het wel zinvol is om deze in het kader van een integrale aanpak van het ‘in control’ zijn op te nemen. Denk aan privacy, informatie-veiligheid, uitvoering van de Wet politiegegevens en Misbruik en oneigenlijk gebruik. Hiermee volgen we enkele adviezen van de accountant (managementletter 2022) op. Deze onderwerpen benaderen we allemaal op gelijke wijze. Dat betekent dat we bij elk onderwerp uitgaan van een vaste opbouw: we benoemen de kaders (beleid) of verwijzen naar de besluiten, geven het normenkader aan (of verwijzen), geven inzicht in het toetsingskader, benoemen hoe (en wanneer) we dit controleren en wat dit betekent voor de organisatie.

3.1

Privacy

De Algemene Verordening Gegevensbescherming (hierna: AVG) regelt dat bedrijven en organisaties persoonsgegevens zorgvuldig verwerken. De AVG is ingevoerd om onze privacy beter te beschermen. De AVG dwingt organisaties zorgvuldig om te gaan met persoonsgegevens van klanten, personeel of andere personen. De gemeente heeft een vastgesteld Privacybeleidskader 2019 (T19.05349). Dit beleid is op 25 juni 2019 vastgesteld door het College. Jaarlijks wordt door het college via de P&C-cyclus over privacy gerapporteerd aan de raad. Daarnaast wordt er door de Functionaris Gegevensbescherming ter informatie een jaarverslag uitgebracht aan het DT en College. De jaarverslagen 2021 en 2022 geven aan dat in Lansingerland verdere stappen nodig zijn op het gebied van compliance met de AVG. Daarom stelde de directie begin 2023 een plan van aanpak vast voor een verbeterprogramma. In 2023 ligt het accent op het uitvoeren van dit verbeterprogramma. Op basis van het Privacy beleidskader wordt elk jaar een Jaarplan Privacy opgesteld met daarin de uit te voeren activiteiten op het gebied van privacy voor de komende periode. De bevoegdheid voor het vaststellen en uitvoeren hiervan ligt bij het DT (T21.09952). Door dit jaarplan uit te voeren voldoen we aan de eisen die de AVG aan een organisatie stelt.

Door het uitvoeren van de in het jaarplan genoemde activiteiten streeft de gemeente op een structurele manier naar het voldoen aan de geldende privacywetgeving. Om te rapporteren over de voortgang worden kwartaalrapportages opgesteld door de privacy officer en de CISO deze worden voorgelegd aan de directie, het management en de wethouder. In de rapportages wordt een toelichting gegeven wat de status van het jaarplan is en worden bijzonderheden en knelpunten toegelicht. Tevens worden ambities indien nodig bijgesteld en worden bevindingen neergelegd bij de proceseigenaren. Indien er aanleiding toe is worden bevindingen uit de kwartaalrapportages gedeeld met het College. Samenvattend kan gezegd worden dat de activiteiten om gegevensbescherming aantoonbaar onderdeel te laten worden van een organisatie gezien moet worden als een continu proces. Het uitvoeren en voldoen aan de AVG vraagt om structurele borging van dit onderwerp waarbij we zowel op strategisch/tactisch als tactisch/operationeel vlak werken met een PDCA-cyclus waar sturen via kaders en beheersen middels informatie beiden onderdeel van zijn. Beoogde resultaten 2023: - Privacy jaarverslag en jaarverslag FG opleveren aan het DT (Q2-2023 en Q1-2024) - Uitvoeren jaarplan privacy - Vaststellen geactualiseerd beleidskader (raad) - Via P&C-producten rapporteren aan de raad 12/40

T23.01806

Controleplan 2023

De Wet politiegegevens (Wpg) is een Nederlandse wet die de rechten en de plichten van de politie zelf, maar ook die van de burger regelt, voor wat betreft het verwerken van politiegegevens. Politiegegevens zijn persoonsgegevens die in het kader van de politietaak worden verwerkt. De gemeente Lansingerland heeft bijzondere opsporingsambtenaren (boa’s) in dienst. Boa’s sporen strafbare feiten op en dragen bij aan de handhaving van de openbare orde en veiligheid. Aan de verwerking van politiegegevens door boa’s, zoals het verzamelen, bewaren en delen van deze gegevens, zijn op grond van de Wpg strikte eisen gesteld, zodat misbruik van gegevens wordt voorkomen en de privacy van burgers wordt gewaarborgd. De verwerking van persoonsgegevens door boa’s valt onder twee privacywetten, de Algemene verordening gegevensbescherming (hierna: Avg). Deze geldt voor de toezichtstaken van de boa. Voor de opsporingstaken van de boa geldt de Wet politiegegevens (hierna: Wpg). In onze organisatie hebben de boa’s openbare orde en veiligheid, milieu en de leerplichtambtenaren opsporingstaken. Lansingerland is verplicht haar wettelijke verantwoordelijkheid te nemen en wil deze ook nemen. Naast de politie moeten ook andere organisaties zich aan de Wpg houden: de bijzondere opsporingsdiensten (BOD) en de buitengewoon opsporingsambtenaren (boa's).

Op grond van deze wet zijn we als gemeente verplicht elke 4 jaar een externe audit te doen en die te verstrekken aan de Autoriteit Persoonsgegevens. Indien niet voldaan is aan alle normen (31 + 5) dient er in het jaar volgend op het auditjaar een hercontrole plaats te vinden om aan te tonen dat bevindingen zijn opgevolgd. Daarnaast zijn we verplicht om jaarlijks een interne audit te doen. Die moet gedaan worden door iemand die daar aantoonbaar verstand van heeft en onafhankelijk is. Op basis van een auditplan dient de audit uitgevoerd te worden. Op basis van bevindingen dient een controleplan opgesteld te worden. In 2022 heeft de externe audit (I23.04562) plaatsgevonden, gericht op de periode tot en met 2021. Omdat aan veel normen nog niet voldaan was dient een hercontrole plaats te vinden in 2023. In 2022 is er een auditplan gemaakt (T22.07014), waarin staat wat er zou moeten/kunnen worden geaudit. Deze audit is overeenkomstig het auditplan uitgevoerd en zijn er verbeteringen benoemd en vastgesteld door het DT (T23.01689). Op basis van deze verbeteringen dient een controleplan te worden opgesteld in 2023. Daarnaast dient een volgende interne audit te worden uitgevoerd.

Beoogde resultaten 2023: - Op basis van auditplan uitvoeren van een interne audit en opstellen controleplan - Uitvoeren verbeterpunten zoals vastgelegd in het controleplan - Uitvoeren externe audit en na vaststelling door college indienen bij Autoriteit Persoonsgegevens (AP)

3.2

Informatieveiligheid

De basis voor de inrichting van het strategisch informatiebeveiligingsbeleid (T19.20329) zijn de ISO 27001, de ISO 27002 en de hieruit afgeleide Baseline Informatiebeveiliging Overheid (BIO) – het normenkader voor informatiebeveiliging binnen de gehele overheid. Het strategisch beleid wordt gebruikt om de basis te leggen voor de tactische beleidsplannen en om hiermee richting te geven aan de verdere invulling van informatiebeveiliging op tactisch en operationeel niveau. In het jaarplan informatieveiligheid worden deze tactische en operationele aspecten van informatiebeveiliging verder uitgewerkt en geconcretiseerd naar inhoud, verantwoordelijkheid en tijdsplanning. Het jaarplan komt tot stand op basis van een jaarlijkse GAPanalyse t.o.v. de BIO, uitkomsten vanuit het Information Security Management System (ISMS), uitkomsten van securitytesten, de jaarlijkse Eenduidige Normatiek Single Information Audit (ENSIA)-verantwoording, dataclassificaties, het Cybersecuritybeeld, het Dreigingsbeeld Informatiebeveiliging Nederlandse Gemeenten, informatie afkomstig vanuit de Informatie BeveiligingsDienst (IBD) en de Vereniging Nederlandse Gemeenten (VNG) en evaluaties van (grootschalige) incidenten. Om informatie te geven 13/40

T23.01806

Controleplan 2023

zodat het proces beheerst kan worden, worden kwartaalrapportages opgesteld die worden gedeeld met directie, het management en de wethouder. In de rapportages wordt een toelichting gegeven wat de status van het jaarplan is en worden bijzonderheden en knelpunten toegelicht. Indien er aanleiding toe is worden bevindingen uit de kwartaalrapportages gedeeld met het College. De raad krijgt in het kader van de P&C-cyclus gerapporteerd over informatiebeveiliging. Dit gebeurt via het jaarverslag van de gemeente en daarnaast gebeurt dit via de ENSIA. ENSIA help gemeenten in één keer verantwoording af te leggen over informatieveiligheid gebaseerd op de normen die gelden voor de Nederlandse overheid, de BIO. Met ENSIA sluit de verantwoording over informatieveiligheid aan op de planning en control-cyclus van de gemeente. Input voor de ENSIA wordt ieder jaar vanaf juni tot en met december binnen de organisatie opgehaald middels zelfevaluaties. Jaarlijks wordt in het eerste kwartaal een audit gedaan door een gecertificeerd IT-auditor over de collegeverklaring Suwinet en DigiD. Over alle onderdelen van ENSIA wordt jaarlijks door het college horizontale verantwoording afgelegd aan de raad als lokale toezichthouder. Tevens wordt verticale verantwoording afgelegd aan de centrale toezichthouders van de verschillende informatiestelsels (BRP, PUN, DigiD, Suwinet, BAG, BGT, BRO en WOZ).

De deadline voor het aanleveren van de stukken (getekende collegeverklaringen en verantwoordingsrapportages) richting de toezichthouders is eind april. Conform de bevinding uit de Managementletter (MML) 2020 zal vanaf 2023 jaarlijks een IT-audit uitgevoerd worden. Input uit deze audit wordt wat betreft informatiebeveiliging meegenomen in de jaarplannen. In 2023 zal het accent liggen op het verkennen waar de audit zich op moet richten en welke applicaties hier al dan niet in worden betrokken. Beoogde resultaten 2023: - Jaarverslag informatieveiligheid via de paragraaf bedrijfsvoering van de jaarrekening - Uitvoeren jaarplan informatieveiligheid - Vaststellen geactualiseerd beleidskader - Via P&C-producten rapporteren aan de raad

3.3

Misbruik en oneigenlijk gebruik

Vertrouwen speelt een grote rol in het gemeentebreed verlenen c.q. vaststellen van vergunningen, heffingen, belastingen en subsidies. Burgers en gemeentebestuur moeten er op kunnen vertrouwen dat overheidsbesluiten correct genomen en uitgevoerd worden en dat geen misbruik wordt gemaakt van gemeenschapsgelden. Misbruik of oneigenlijk gebruik van overheidsgeld leidt niet alleen tot financiële schade, maar levert ook een deuk op in het vertrouwen tussen overheid en burger. Niet voor niets krijgt ook in de controle door de accountant het onderwerp fraude een steeds prominentere plek. De rechtmatigheidsverantwoording die met ingang van boekjaar 2023 van kracht is, stelt aanvullende eisen. Vanuit de rechtmatigheidsverantwoording gaat het om het aantoonbaar maken dat derden hebben gehandeld conform het doel of de strekking van de regeling zoals met hen is afgesproken. Dat betreft bijvoorbeeld subsidiepartners, partijen waarmee een inkooprelatie is aangegaan en inwoners die te maken hebben met een uitkering en/of kwijtschelding. Diverse overige criteria van rechtmatigheid vallen tevens onder de toetsing van het ‘getrouw beeld’ en worden door de accountant getoetst. Integriteit en misbruik en/of fraude kunnen nauw verweven zijn. Denk bijvoorbeeld aan samenspanning tussen een ambtenaar en aanbesteder of aanvrager (bijvoorbeeld familiebanden) en aan steekpenningen.

Dit kan in financiële zin hetzelfde effect hebben als bijvoorbeeld een door derden bewust onjuist ingediende subsidieaanvraag. 14/40

T23.01806

Controleplan 2023

In dit kader sluit een geformaliseerd M&O-beleid niet alleen aan bij de actualiteit en breed maatschappelijke aandacht voor fraudebestrijding, maar ook op integriteitsbewaking. De huidige Financiële verordening van de gemeente Lansingerland 6 bepaalt in artikel 13 dat het college zorg draagt voor beleid en interne regels voor het voorkomen van misbruik en oneigenlijk gebruik (M&O) van gemeentelijke regelingen en eigendommen. In 2023 wordt een nieuwe Financiële verordening opgesteld die voldoet aan de rechtmatigheidsverantwoording waarin ook weer een artikel is opgenomen over het voorkomen van Misbruik en oneigenlijk gebruik.  Vanuit deze geactualiseerde verordening wordt in beeld gebracht welke beleid en interne regels in Lansingerland van kracht zijn ten aanzien van het voorkomen van M&O, van welke leemtes er sprake is en of er voldoende beleid is. Indien nodig wordt er beleid opgesteld (beoogd resultaat 1).  Op grond daarvan wordt een normen – en toetsingskader opgesteld (beoogd resultaat 2). Van belang te vermelden is dat er jaarlijks een frauderisico-analyse wordt opgesteld (zie T23.02037 en hoofdstuk 5) en dat er vanaf 1 januari 2023 aansluiting is gevonden bij LSI (Landelijke Stuurgroep Interventieteams) (BW2300009).

Door het convenant te ondertekenen realiseren de partners door middel van samenwerking één landelijk dekkende structuur waardoor fraude en andere wetsovertredingen worden aangepakt. Dat leidt tot een effectievere aanpak van fraude en andere misstanden. Met name gericht op sociale voorzieningen (sociale zekerheid, inkomensafhankelijke regelingen, voorkomen van belasting- en premiefraude, niet naleven van arbeidswetten). Ketenpartners zijn De Nederlandse arbeidsinspectie, het UWV, de SVB, Toeslagen en Belastingdienst.

3.4

Beheersing financiële stromen

Bij de controle op de beheersing van financiële stromen wordt gebruik gemaakt van de volgende regelgeving en verordeningen (normenkader):  Financiering decentrale overheden (FIDO)  Gemeentewet;  Besluit Begroting en Verantwoording (BBV)  Besluit Accountantscontrole Decentrale Overheden (BADO)  Wet algemene bepalingen omgevingsrecht  Aanbestedingswet 2012 (inclusief gids proportionaliteit)  Financiële verordening (2023)  Controleprotocol 2023  Algemene subsidieverordening (2018) De wet- en regelgeving is verwerkt in het financieel beheer. Het financieel beheer omvat het geheel van beslissingen, handelingen en regels die zijn bedoeld voor de sturing en beheersing van financiële aspecten van het beleid en de bedrijfsvoering. In de scope van de VIC gaat het om het controleren van de beheershandelingen in een proces ten behoeve van een financiële stroom en niet om het financieel beheer, hetgeen een lijnactiviteit is. Hierdoor kan vastgesteld worden dat de rechtmatigheidscriteria7 in het financieel beheer zijn gewaarborgd. In de checklijsten (werkprogramma’s) zijn toetspunten opgenomen die de 6 ‘Verordening van de gemeenteraad van de gemeente Lansingerland houdende regels omtrent financiën’, kortweg de Financiële verordening 2017,

artikel 22, lid i. 7 Valutering-, adressering-, calculatie-, aanvaardbaarheids-, Leverings-, voorwaarden-, volledigheid-, M&O- en

begrotingscriterium. 15/40

T23.01806

Controleplan 2023

relevante rechtmatigheidscriteria toetsen en daarmee het financieel beheer. Het evalueren van het begrotingscriterium vindt plaats op het niveau van de programma’s, zie hoofdstuk 4.1. Planning Q2-2023

Q3-2023

Q4-2023

Q1-2024

Privacy (zie 3.1) Wpg (zie 3.1) Informatieveiligheid (zie 3.2) Verkenning M&O (zie 3.3) Evt M&O beleid opstellen (zie 3.3) met normen- en toetsingskader

16/40

T23.01806

Controleplan 2023

4.

Transactiestromen en risicoanalyse

4.1

Significante transactiestromen (en processen) - VIC’s 2023

Binnen de gemeente Lansingerland lopen verschillende financiële transactiestromen die wij hieronder hebben opgesomd. Wij hebben de significante/kritische processen in kaart gebracht op basis van de financiële transactiegrootte (baten, lasten, balansmutaties of balansposities > € 2,075 miljoen) die een impact hebben op de jaarrekening. De processen die in 2023 zijn aangemerkt als significant staan hieronder. Dit kan theoretisch gezien jaarlijks wijzigen, afhankelijk van de financiële transactiegrootte. Op basis van ervaringen in voorgaande jaren en bestaande werkwijzen onderkennen wij de volgende transactiestromen, die ten grondslag zullen liggen aan de jaarrekening 2023. In deze stromen maken wij onderscheid in aanpak: procesgericht of gegevensgericht. De financiële stromen zijn onderdeel van gemeentelijke programma’s: Programma

Uitgaven/Lasten

Bron

Inkomsten

Bestuur en dienstverlening Openbare orde en veiligheid Sport, cultuur en onderwijs Sociaal Domein Kwaliteit openbare ruimte Lansingerland ontwikkelt Grondexploitatie Algemene dekkingsmiddelen en overhead

6,1 miljoen 7,2 miljoen 14,4 miljoen 54,4 miljoen 32,0 miljoen 16,6 miljoen 51,2 miljoen 25,6 miljoen

Lokale heffingen Rente en dividenden Grondexploitaties Overige inkomsten Algemene uitkering

37,5 miljoen 3,3 miljoen 50,5 miljoen 28,9 miljoen 87,0 miljoen

Procesgericht8: 1. Treasury (aantrekken en uitzetten van gelden incl. rentebaten, rentelasten en dividend); 2. Memoriaalboekingen 3. Verbonden partijen Gegevensgericht: 4. Personele lasten (lonen en salarissen) 5. Factuurverwerking en betalingen (inkoop en betalingen) 6. Grondexploitatie, grondaankopen en grondverkopen (GREX); 7. Omgevingsvergunningen (Wabo-leges) 8. Huur- en overige opbrengsten 9. Europese aanbestedingen (duurzame goederen/investeringen/ inkoop en aanbesteding; 10. Subsidieverstrekkingen.

8

Dit wil zeggen dat het proces wordt beoordeeld en de maatregelen getoetst. Alleen daar waar significante risico’s gedetecteerd worden, worden detailcontroles uitgevoerd. 17/40

T23.01806

Controleplan 2023

VIC’s met specifieke controle aanpak Een aantal van de significante transactiestromen van onze gemeente vergen een dusdanige specifieke controleaanpak dat zij daarom niet of op andere wijze in de reguliere interne controle worden betrokken. 11. Belastingen en heffingen (via SVHW) 12. Participatiewet, WMO en Jeugd (apart controleplan Sociaal Domein) 13. Prestatieleveringen Jeugd en WMO (apart controleplan Sociaal Domein) 14. Algemene uitkering 15. Inkomende (incidentele) subsidies en SiSa-regelingen 16. IT (Informatieveiligheid en audit IT-controls) 17. Frauderisico analyse Op bovengenoemde processen worden werkzaamheden gepland en uitgevoerd. Zie hoofdstuk 5 voor de uitwerking van de processen en bijlage 4 voor de risicoanalyse.

4.2

Risico-inschatting

De risicoanalyse richt zich met name op de significante sub processen die in kaart zijn gebracht aan de hand van onder andere de financiële stromen van de gemeente. De inherente risico’s die gepaard gaan met deze processen zijn bij voorhand geïdentificeerd in bijlage 4. Vervolgens is een classificatie gegeven aan deze risico’s op basis van kans * impact (Hoog/Midden/Laag). De risico-classificatie kan gedurende de controle wijzigen, gezien de kans voornamelijk wordt beïnvloed door de aanwezige interne beheersingsmaatregelen. Het uitgangspunt voor onze risicoanalyse is dat de beschreven interne beheersingsmaatregelen in bijlage 4 adequaat zijn geïmplementeerd in de processen. Indien gedurende de controle blijkt dat deze interne beheersingsmaatregelen tekortschieten, zal de risicoclassificatie worden verhoogd. Consequenties hiervan zijn dat het aantal deelwaarnemingen worden verhoogd om genoeg zekerheid te verkrijgen om een oordeel te geven over de rechtmatigheid. Voor 2023 zullen wij op basis van de opgestelde risicoanalyse (zie bijlage 4), in afstemming met de accountant, de scope van onze VIC bepalen en de werkzaamheden uitvoeren.

Naast de risicoanalyse op de significante transactiestromen is het ook relevant te beoordelen in hoeverre er in 2023, naast de reguliere processen, bijzondere transacties en gebeurtenissen zijn die specifieke (extra) aandacht behoeven van de interne controle of van het management (directie en concern control). Voor 2023 zou hierbij gedacht kunnen worden aan: A. Opvang van Vluchtelingen uit Oekraïne (OVO); B. Ontwikkelingen rondom majeure grondexploitaties. We zullen met de accountant bespreken in hoeverre deze onderwerpen specifieke aandacht vanuit de Verbijzonderde Interne Controle (VIC) vergen. De risico-classificaties die in dit plan worden onderkend zijn als volgt te definiëren: Laag risico

Een geïdentificeerd en ingeschat risico op een afwijking van materieel belang waaraan tijdens de controle in relatief beperkte mate aandacht moet worden besteed.

Midden risico

Een geïdentificeerd en ingeschat risico op een afwijking van materieel belang waaraan tijdens de controle aandacht moet worden besteed.

Hoog

Een geïdentificeerd en ingeschat risico op een afwijking van materieel belang waaraan tijdens de controle bijzondere aandacht moet worden besteed. 18/40

T23.01806

Controleplan 2023

Bij het toepassen van oordeelsvorming (trekken van conclusies) over de vraag welke risico’s significante risico’s zijn, is ten minste rekening te houden met:  De vraag of het risico een frauderisico betreft;  De vraag of het risico verband houdt met recente significante ontwikkelingen op economisch, boekhoudkundig of ander gebied en daarom specifieke aandacht vereist;  De complexiteit van transacties;  De vraag of het risico verband houdt met significante transacties met verbonden partijen;  De mate van subjectiviteit bij het waarderen van financiële informatie met betrekking tot het risico, vooral als de waardering veel onzekerheid inhoudt; en  De vraag of het risico verband houdt met significante transacties die buiten het kader van de normale bedrijfsvoering van de entiteit vallen of die anderszins ongebruikelijk lijken. Concreet betekent een hogere risico-inschatting dat door het VIC-team en de lijnorganisatie steeds meer werkzaamheden (waarnemingen) moeten worden verricht.

19/40

T23.01806

5.

Controleplan 2023

Verbijzonderde interne controles 2023 – aanpak en uitvoering

In dit hoofdstuk worden de in hoofdstuk 4 benoemde VIC’s verder uitgewerkt. Te beginnen de procesgerichte VIC, daarna de gegevensgerichte VIC en tot slot de VIC met ene bijzondere aanpak. Verbijzonderde interne controle (VIC) is een aanvulling op de al bestaande IC-maatregelen en is gericht op een beoordeling of de bedoelde interne controles in het proces de onderkende risico’s afdoende mitigeren, daadwerkelijk functioneren en effectief zijn. Bij een VIC voert een (interne) toezichthouder (3e lijn, zie paragraaf 2.2) op onafhankelijk en objectieve wijze een controle uit op het betreffende werkproces. Het doel is dat de VIC zekerheid/onderbouwing/informatie biedt over de rechtmatige totstandkoming van baten, lasten en balansmutaties en daarmee over input voor de getrouwheid van de rechtmatigheidsverantwoording. Om een systematische VIC uit te voeren wordt in dit controleplan aangegeven op welke manier invulling wordt gegeven aan deze controle. Door het systematisch uitvoeren van de VIC’s ontstaat een Plan-DoCheck-Act (PDCA) cyclus waarmee de basis voor control/kwaliteitsverbetering wordt gelegd. De verbijzonderde interne controle heeft als doel om vast te stellen in hoeverre opbrengsten en uitgaven rechtmatig tot stand zijn gekomen en getrouw in de jaarrekening worden weergegeven.

Door deze VIC’s gedurende het jaar uit te voeren kunnen onvolkomenheden in de uitvoering van processen tijdig worden opgespoord en gecorrigeerd. Het gaat daarbij voortdurend om het verbeteren van de (werk)processen. De ambitie is om de VIC’s met dermate hoge kwaliteit uit te voeren dat we kunnen verklaren en aantonen dat we rechtmatig handelen (volgens wet- en regelgeving) waarbij aan het normenkader wordt getoetst. De accountant toetst de getrouwheid (is de informatie juist en toereikend) eveneens met een normenkader.

5.1

Procesgerichte VIC

1. Treasury

Omschrijving Omvang begrotingspost Procesverantwoordelijke Risico’s Controlepunten Documentatie

Criterium RMV

Treasury (aantrekken en uitzetten van gelden incl. rentebaten, rentelasten en dividend) NVT Domein Bedrijfsvoering – team Financiën Zie nummer 1 in bijlage 4. Zie nummer 1 in bijlage 4. Voor het uitvoeren van de werkzaamheden is een checklijst opgesteld die akkoord is bevonden door PSA. Vastlegging vindt plaats op G:\CS\@Audit-rechtmatigheid-VIC \ Rechtmatigheid-VIC \ Rechtmatigheid 2023 onder nummer 1. Treasury NVT

20/40

T23.01806

Controleplan 2023

2. Memoriaalboekingen

Omschrijving

Omvang begrotingspost Procesverantwoordelijke Risico’s Controlepunten Documentatie

Criterium RMV 3. Verbonden partijen Omschrijving

Omvang begrotingspost Procesverantwoordelijke Risico’s

Controlepunten

Documentatie

Criterium RMV

5.2

Een memoriaalboeking is een administratieve verrekening tussen of binnen verschillende grootboekrekeningen. Aanleiding: foutieve boekingen, verrekeningen met kostenplaatsen, boekingen reserves en voorzieningen, afstemming sub administraties/leegboeken sub administraties, transitoria afwikkelingen en interne verrekeningen tussen afdelingen. NVT Domein Bedrijfsvoering – team Financiën Zie nummer 2 in bijlage 4. Zie nummer 2 in bijlage 4. Voor het uitvoeren van de werkzaamheden is een checklijst opgesteld die akkoord is bevonden door accountant PSA. Vastlegging vindt plaats op G:\CS\@Audit-rechtmatigheid-VIC \ Rechtmatigheid-VIC \ Rechtmatigheid 2023 onder nummer 2 Memoriaalboekingen. NVT

De gemeente Lansingerland heeft verschillende verbonden partijen waarbij of taken zijn gemandateerd/gedelegeerd of er is een subsidierelatie. Een relevante verbonden partij is SVHW die belastingen en heffingen oplegt en int voor de gemeente Lansingerland NVT Domein Bedrijfsvoering – team Financiën De Gemeente Lansingerland heeft een nota verbonden partijen waarin met name de governance, risico’s een maatregelen aangaande de verbonden partijen zijn opgenomen. Daarnaast is een factsheet gemaakt ten aanzien van de verbonden partijen. De gemeente heeft circa 13 partijen. Zie nummer 3 in bijlage 4. Zie nummer 3 in bijlage 4. Vaststellen dat gesprekken zijn gevoerd met verbonden partijen (governance) waarin de afspraken, risico’s, uitkomsten van controles, de planning en de voortgang daarop zijn besproken. Voor het uitvoeren van de werkzaamheden is een checklijst opgesteld die akkoord is bevonden door PSA. Vastlegging vindt plaats op G:\CS\@Audit-rechtmatigheid-VIC \ Rechtmatigheid-VIC \ Rechtmatigheid 2023 onder nummer 3. Verbonden partijen. Voorwaarden, M&O en Begroting

Scope gegevensgerichte VIC

De werkzaamheden starten met het inzichtelijk maken van de omvang van de geldstromen die gemoeid zijn met de onderwerpen die in dit plan zijn opgenomen (scoping). De scoping wordt door het VIC-team afgestemd met PSA. 21/40

T23.01806

Controleplan 2023

De scoping wordt als volgt opgesteld:  Alle FCL-nummers worden gekoppeld aan balans, programmarekening, programmarekening (specifiek GREX), investeringen, reserve mutaties of voorzieningen mutaties.  Vervolgens worden alle ECL-nummers in de data dump gekoppeld aan een proces, hiervan wordt een draaitabel gemaakt. In de scoping worden de volgende stromen/processen behandeld:  Personele lasten (lonen en salarissen)  Factuurverwerking en betalingen (inkoop en betalingen  Grondexploitatie, grondaankopen en grondverkopen (GREX)  Omgevingsvergunningen (Wabo-leges)  Huur- en overige opbrengsten  Europese aanbestedingen (duurzame goederen/investeringen/ inkoop en aanbesteding  Subsidieverstrekkingen 4. Personele lasten (lonen en salarissen)

Omschrijving Omvang begrotingspost Procesverantwoordelijke Risico’s Bepaling deelwaarnemingen

Controlepunten Documentatie

Criterium RMV

Vaststellen dat de processen van de personele lasten (lonen en salarissen) rechtmatig verlopen. € 45,9 miljoen Domein Bedrijfsvoering – team O&HRM Zie nummer 4 in bijlage 4. In overleg met de accountant zullen de steekproefaantallen worden bepaald, als ook de selectie aan deelwaarnemingen die gecontroleerd dienen te worden. De accountant trekt de steekproef. Bij het uitvoeren van de steekproeven door de gemeente zelf, zal worden gewaarborgd dat deze objectief tot stand komen. Hiervoor zullen de volgende maatregelen getroffen worden: 1. De steekproef zal worden getrokken door een externe partij. 2. De steekproef zal niet worden getrokken door de medewerker die belast is met de uitvoering van de VIC op de transactiestroom. Dit om het risico te ondervangen van het terugleggen vaneen geselecteerde waarneming bij constatering van een fout. 3. De vastlegging van de steekproef vindt op een dusdanige wijze plaats dat achteraf door een onafhankelijke derde vast te stellen is, en te reproduceren is, op welke wijze de waarnemingen uit de steekproef zijn bepaald en dat hierbij geen sprake is geweest van willekeur. Zie nummer 4 in bijlage 4. Voor het uitvoeren van de werkzaamheden is een checklijst opgesteld die akkoord is bevonden door PSA. Vastlegging vindt plaats op G:\CS\@Audit-rechtmatigheid-VIC \ Rechtmatigheid-VIC \ Rechtmatigheid 2023 onder nummer 4 Personele lasten.

M&O, Voorwaarden, Begroting

22/40

T23.01806

Controleplan 2023

Factuurpoces (inkopen goederen en diensten) Omschrijving Inkoopproces van goederen en diensten. Het gaat om de controle of op basis van de factuur de juiste bedragen naar de juiste bankrekening is overgemaakt. Daarnaast moet aandacht zijn voor autorisaties (ook bij spoed) en mutaties van crediteerenstamgegevens. Omvang begrotingspost € 50,1 miljoen Procesverantwoordelijke Domein Bedrijfsvoering – team Financiën Risico’s Zie regel 5 in bijlage 4. Bepaling deelwaarnemingen In overleg met de accountant zullen de steekproefaantallen worden bepaald, als ook de selectie aan deelwaarnemingen die gecontroleerd dienen te worden. De accountant trekt de steekproef. Bij het uitvoeren van de steekproeven door de gemeente zelf, zal worden gewaarborgd dat deze objectief tot stand komen. 5.

Hiervoor zullen de volgende maatregelen getroffen worden: 1. De steekproef zal worden getrokken door een externe partij. 2. De steekproef zal niet worden getrokken door de medewerker die belast is met de uitvoering van de VIC op de transactiestroom. Dit om het risico te ondervangen van het terugleggen vaneen geselecteerde waarneming bij constatering van een fout. 3. De vastlegging van de steekproef vindt op een dusdanige wijze plaats dat achteraf door een onafhankelijke derde vast te stellen is, en te reproduceren is, op welke wijze de waarnemingen uit de steekproef zijn bepaald en dat hierbij geen sprake is geweest van willekeur. Controlepunten Documentatie

Zie regel 5 in bijlage 4. Voor het uitvoeren van de werkzaamheden is een checklijst opgesteld die akkoord is bevonden door PSA. Vastlegging vindt plaats op G:\CS\@Audit-rechtmatigheid-VIC \ Rechtmatigheid-VIC \ Rechtmatigheid 2023 onder nummer 5. Factuurproces.

Criterium RMV

Voorwaarden en begroting

23/40

T23.01806

Controleplan 2023

6. Grondexploitaties (lasten (uitgaven) en baten) Omschrijving Deze controle richt zich op zowel de grondverkopen als de grondverwervingen en onderbouwing voor de aankoop- en verkoopprijs. Omvang begrotingspost Grondverkopen: € 29,1 miljoen Grondverwerving: € 20,1miljoen Procesverantwoordelijke Domein Ruimte en Economie – team Gebiedsontwikkeling Risico’s Zie nummer 6 in bijlage 4. Van belang is, voortkomend uit de MML 2022, dat sprake is van zichtbare controles. De maatregel wordt op naleving getoetst (koppeling met bevinding MML-2022). NB: de waardering van de grondexploitaties alsmede de volledigheid van de grondverkopen vallen niet onder de scope van dit plan. Bepaling deelwaarnemingen

In overleg met de accountant zullen de steekproefaantallen worden bepaald, als ook de selectie aan deelwaarnemingen die gecontroleerd dienen te worden. De accountant trekt de steekproef. Bij het uitvoeren van de steekproeven door de gemeente zelf, zal worden gewaarborgd dat deze objectief tot stand komen. Hiervoor zullen de volgende maatregelen getroffen worden: 1. De steekproef zal worden getrokken door een externe partij. 2. De steekproef zal niet worden getrokken door de medewerker die belast is met de uitvoering van de VIC op de transactiestroom. Dit om het risico te ondervangen van het terugleggen vaneen geselecteerde waarneming bij constatering van een fout. 3. De vastlegging van de steekproef vindt op een dusdanige wijze plaats dat achteraf door een onafhankelijke derde vast te stellen is, en te reproduceren is, op welke wijze de waarnemingen uit de steekproef zijn bepaald en dat hierbij geen sprake is geweest van willekeur.

Controlepunten Documentatie

Zie nummer 6 in bijlage 4. Voor het uitvoeren van de werkzaamheden is een checklijst opgesteld die akkoord is bevonden door PSA. Vastlegging vindt plaats op G:\CS\@Audit-rechtmatigheid-VIC \ Rechtmatigheid-VIC \ Rechtmatigheid 2023 onder nummer 6. Grondexploitaties.

Criterium RMV

Voorwaarden, M&O en begroting

24/40

T23.01806

Controleplan 2023

7. Omgevingsvergunningen (Wabo-leges) Omschrijving Omgevingsvergunningen (leges): bij de gemeente worden vergunningen aangevraagd. De Gemeente legt het betalen van leges op. Omvang begrotingspost € 2,4 miljoen Procesverantwoordelijke Domein Ruimte en Economie – team Omgevingsrecht Risico’s Zie nummer 7 in bijlage 4. Bepaling deelwaarnemingen In overleg met de accountant zullen de steekproefaantallen worden bepaald, als ook de selectie aan deelwaarnemingen die gecontroleerd dienen te worden. De accountant trekt de steekproef. Bij het uitvoeren van de steekproeven door de gemeente zelf, zal worden gewaarborgd dat deze objectief tot stand komen. Hiervoor zullen de volgende maatregelen getroffen worden: 1. De steekproef zal worden getrokken door een externe partij. 2. De steekproef zal niet worden getrokken door de medewerker die belast is met de uitvoering van de VIC op de transactiestroom. Dit om het risico te ondervangen van het terugleggen vaneen geselecteerde waarneming bij constatering van een fout. 3. De vastlegging van de steekproef vindt op een dusdanige wijze plaats dat achteraf door een onafhankelijke derde vast te stellen is, en te reproduceren is, op welke wijze de waarnemingen uit de steekproef zijn bepaald en dat hierbij geen sprake is geweest van willekeur. Controlepunten Documentatie

Criterium RMV

Zie nummer 7 in bijlage 4. Voor het uitvoeren van de werkzaamheden is een checklijst opgesteld die akkoord is bevonden door PSA. Vastlegging vindt plaats op G:\CS\@Audit-rechtmatigheid-VIC \ Rechtmatigheid-VIC \ Rechtmatigheid 2023 onder nummer 7. Omgevingsvergunningen. M&O, Voorwaarden, begroting

25/40

T23.01806

Controleplan 2023

8. Huur- en overige opbrengsten Omschrijving De gemeente verhuurt locaties en int daarvoor huur. Omvang begrotingspost € 1,8 miljoen Procesverantwoordelijke Domein Ruimte en Economie – team Exploitatie Risico’s Zie nummer 8 in bijlage 4. Bepaling deelwaarnemingen In overleg met de accountant zullen de steekproefaantallen worden bepaald, als ook de selectie aan deelwaarnemingen die gecontroleerd dienen te worden. De accountant trekt de steekproef. Bij het uitvoeren van de steekproeven door de gemeente zelf, zal worden gewaarborgd dat deze objectief tot stand komen. Hiervoor zullen de volgende maatregelen getroffen worden: 1. De steekproef zal worden getrokken door een externe partij. 2. De steekproef zal niet worden getrokken door de medewerker die belast is met de uitvoering van de VIC op de transactiestroom. Dit om het risico te ondervangen van het terugleggen vaneen geselecteerde waarneming bij constatering van een fout. 3. De vastlegging van de steekproef vindt op een dusdanige wijze plaats dat achteraf door een onafhankelijke derde vast te stellen is, en te reproduceren is, op welke wijze de waarnemingen uit de steekproef zijn bepaald en dat hierbij geen sprake is geweest van willekeur. Controlepunten Documentatie