[T23.06730] Intern controleplan 2024

Intern controleplan 2024

www.lansingerland.nl

T23.06730

Controleplan 2024

Auteur: WB Afdeling: Concernstaf Versienummer: 0.1 Datum: 24 januari 2024 Corsanummer: T23.06730

2/40

T23.06730

Controleplan 2024

Inhoudsopgave 1. Aanleiding en doelstelling van het controleplan 2024 .......................................................... 4 2. Rechtmatigheidsverantwoording - doorontwikkeling ............................................................ 6 2.1 Verdere implementatie three lines model ........................................................................ 6 2.2

Richten – inrichten – verrichten IC-gesprekken ................................................................... 6

2.3

Organisatie Verbijzonderde interne Controle .................................................................... 7

2.4

Controleprotocol met normen- en toetsingskader ............................................................... 8

3.1

Lansingerland in control - Integrale aanpak .................................................................... 10 Bevindingen uit 2023 ................................................................................................ 10

3.2

Verantwoording over Bedrijfsvoering (art.22 Financiële verordening) .................................... 10

3.3

Privacy ................................................................................................................. 11

3.4

Wet politiegegevens ................................................................................................. 11

3.5

Informatieveiligheid ................................................................................................. 12

3.6

Misbruik en oneigenlijk gebruik ................................................................................... 13

3.7

Integriteit – signaleren van fraude ............................................................................... 13

3.8

Doelmatigheidsonderzoek 2024 (213A) .......................................................................... 13

3.9

Beheersing financiële stromen .................................................................................... 14

4.1

Transactiestromen en risicoanalyse .............................................................................. 16 Significante transactiestromen (en processen) - VIC’s 2024 ................................................. 16

4.2

Risico-inschatting .................................................................................................... 17

5.1

Verbijzonderde interne controles – aanpak en uitvoering .................................................... 19 Vereisten dossiervorming – vastlegging - rapportages ........................................................ 20

5.2

Procesgerichte VIC .................................................................................................. 20

5.3

Scope gegevensgerichte VIC ....................................................................................... 20

5.4

VIC’s met specifieke controle aanpak ........................................................................... 29

6.1

Samenwerking, planning en capaciteit .......................................................................... 34 Samenwerking betrokken partijen ................................................................................ 34

6.2

Planning – wat wordt er wanneer gecheckt in de organisatie ............................................... 35

3.

4.

5.

6.

Bijlage 1 – Integrale planning 2024 met effect op de organisatie .................................................... 37 Bijlage 2 – Lijst afkortingen .................................................................................................. 38 Bijlage 3 - Controleplan sociaal domein 2024: T24.01647 ............................................................. 38 Bijlage 4 – Risico-analyse Lansingerland: T24.01678 .................................................................... 38 Bijlage 5 – Overzicht doelmatigheidsonderzoeken (213A) .............................................................. 38 Bijlage 6 – Langere termijn agenda ........................................................................................ 39 Bijlage 7 – 3 lines model in Lansingerland ................................................................................ 40

3/40

T23.06730

Controleplan 2024

1. Aanleiding en doelstelling van het controleplan 2024 Het college van B&W is verantwoordelijk voor het rechtmatig handelen van de gemeente en de getrouwheid van de jaarstukken. Daarom legt het college in de jaarstukken verantwoording af aan de raad door een rechtmatigheidsverantwoording in de jaarstukken op te nemen. De accountant stelt de getrouwheid van het geheel (dus inclusief rechtmatigheidsverantwoording) vast. Om een goede rechtmatigheidsverantwoording op te stellen is het nodig verbijzonderde interne controles (VIC) uit te voeren. De interne controle draagt ook bij aan het verbeteren van de kwaliteit van de organisatie, het opmerken van eventuele onrechtmatigheden en het vroegtijdig signaleren van risico’s binnen de organisatie zodat beheersmaatregelen genomen kunnen worden. Dat helpt de lerende organisatie om verder te professionaliseren. Het is belangrijk om de interne controle zo te organiseren dat de verantwoording van het college deugdelijk is onderbouwd en vastgelegd met een startdocument (dit interne controleplan) en rapportages. Op basis van het Interne controleplan wordt er één afsluitende rapportage gemaakt over de uitvoering van het Interne controleplan waarin conclusies worden getrokken over de rechtmatigheid. Dat vormt de basis voor hetgeen in de jaarstukken wordt opgenomen.

Door deze vastlegging en onderbouwing kan de accountant daar (mede) zijn oordeel op bouwen. Het gaat er om dat de verantwoording juist, toereikend en volledig is en overeenkomt met de feiten. In lijn met 2023 is dit controleplan integraal. Net als in 2023 is het controleplan Sociaal domein een bijlage bij dit Interne controleplan 2024 (T23.06730). De reden hiervoor is dat het controleplan sociaal domein meer gedetailleerd is dan het brede interne controleplan. Doelstelling Het doel van het interne controleplan 2024 is het bieden van een kader voor de interne controlewerkzaamheden, deze te plannen en hierbij de focus te leggen op de belangrijkste processen, (balans)posten en transactiestromen omtrent de financiële rechtmatigheid en getrouwheid van de jaarstukken. Hierbij is inzicht nodig in de relevante normenkaders voor de controle, de belangrijkste processen en de risico’s gerelateerd aan de zogenoemde controledoelstellingen. Dit plan behandelt deze onderwerpen en komt op basis van de analyses tot een planning van de uit te voeren interne controles. Naast de focus op de te verrichten controlewerkzaamheden is de inzet er in 2024 ook op gericht om de organisatie verder te helpen verbeteren. We zijn immers een lerende organisatie waarin we continu doorontwikkelen.

Dat betekent ook dat we steeds met elkaar moeten beseffen dat de Verbijzonderde Interne Controle van ons allemaal is (en niet van de concernstaf). Zie hiervoor ook hoofdstuk 2. Samenwerking met de accountant Om ervoor zorg te dragen dat de interne controle een goede voorbereiding biedt voor de controle van onze externe accountant, stemmen wij de aanpak met hen af. Hierbij maken wij afspraken over het aantal 4/40

T23.06730

Controleplan 2024

waarnemingen, de selectiemethode van de te controleren posten en mutaties en de te controleren punten. Door die afspraken vooraf te bespreken, kan de accountant gebruik maken van onze werkzaamheden om de getrouwheid en rechtmatigheid vast te stellen. De accountant maakt gebruik van en zal altijd gebruik maken van (delen van) de interne controlewerkzaamheden. Te gebruiken toleranties, rapporterings- en verantwoordingsgrens In navolging van het Besluit Accountantscontrole Decentrale Overheden (BADO) gaan we in 2024 uit van de volgende tolerantiegrenzen. Het is de gemeenteraad die deze percentages en bedragen definitief vaststelt (door het vaststellen van het controleprotocol 2024), waarbij de accountant als eis stelt dat van de minimum wettelijke percentages wordt uitgegaan. Indien de Raad een lagere ‘goedkeuringstolerantie’ of rapportage-tolerantie wenst, heeft dat effect op de omvang van de interne controlewerkzaamheden en de accountantscontrole en daarmee op de kosten. Voor 2024 wordt voorgesteld om voor de toetsing van rechtmatigheid het wettelijk minimum van tolerantie voor toetsing van zowel het getrouw beeld als de rechtmatigheid te hanteren. De te gebruiken verantwoordingsgrens (percentage) voor de rechtmatigheidsverantwoording en de rapporteringsgrens voor de bedrijfsvoering paragraaf worden in het controleprotocol opgenomen.

Goedkeuringstolerantie Fouten in de jaarrekening (% lasten) Onzekerheden in de controle (% lasten)

Goedkeurende verklaring ≤ 1%

Verklaring met beperking > 1% < 3%

Verklaring van oordeelonthouding -

Afkeurende verklaring ≥ 3%

≤ 3%

> 3% < 10%

≥ 10%

-

In de Financiële verordening 2023 (T23.04648) is de rapporteringsgrens voor fouten en onduidelijkheden vastgesteld op € 200.000. Fouten en/of onduidelijkheden van deze omvang worden gerapporteerd in de paragraaf bedrijfsvoering. De verantwoordingsgrens is gesteld op 1% van de werkelijke totale lasten inclusief de toevoegingen aan de reserves. Uitgaande van de begrote lasten 2024 ad € 239.795.000 is de verantwoordingsgrens € 2.397.950.

5/40

T23.06730

Controleplan 2024

2. Rechtmatigheidsverantwoording - doorontwikkeling In de Managementletter 2023 staat dat de gemeente Lansingerland verder aan het professionaliseren is, dat we onze processen voldoende op orde hebben en dat we daarmee ‘in control’ zijn. Dat willen we in 2024 graag zo houden. Ook in 2024 willen we voldoen aan de vereisten die de rechtmatigheidsverantwoording (RMV) stelt. Dat betekent dat het college in de jaarstukken 2024 aantoont te voldoen aan de drie rechtmatigheidscriteria (het begrotingscriterium, het Misbruik en Oneigenlijk gebruik (M&O-criterium) en het voorwaardencriterium (alle financiële beheershandelingen zijn verricht in overeenstemming met (externe en interne) wet- en regelgeving). Op basis van dit controleplan en de eindrapportage hierover maakt het college zichtbaar voldoende en actief toezicht te houden op de interne beheersing, tijdig en adequaat bij te sturen aan de hand van bevindingen en zich hierover te verantwoorden aan de gemeenteraad. De accountant zal controleren of er getrouw is gehandeld. Wat betekent dat voor 2024: In de eerste plaats gaan we verder aan de slag met de implementatie van het Three lines model (zie paragraaf 2.1), voeren we ook in 2024 In control gesprekken op operationeel, tactisch en strategisch niveau (zie 2.2) en zetten we stappen in de organisatie van de Interne controle (zie 2.3).

2.1

Verdere implementatie three lines model

Voor de implementatie van het Three lines model (3LM) wordt verwezen naar bijlage 7 (en het Interne controleplan 2023, T23.01806). De implementatie hiervan vraagt ook in 2024 aandacht. De uitvoering van het Privacybeleid, de uitvoering van het strategisch Informatieveiligheid lopen via de Three Lines. De opzet van de In control gesprekken 2024 is ook gebaseerd op het Three lines model. Voor de Verbijzonderde Interne Controle werken we vanuit de Three Lines. De organisatie/ de teams (1e lijn) hebben hun processen ingericht om te voorzien in een beheerste bedrijfsvoering. Vanuit de VIC toetsen we op de kritische processen (zie hoofdstuk 5) of het werkt zoals beoogd (3e lijn). Daarvoor is het nodig dat de (proceseigenaren) in de teams gevraagde informatie aanleveren aan de VIC-medewerkers. Zij kennen hun processen immers het best.

2.2

Richten – inrichten – verrichten IC-gesprekken

Naast het werken vanuit het 3LM geven we ook continue aandacht aan alignment. Dat betekent in deze context dat er sprake is een logische samenwerking tussen richten – inrichten – verrichten. Net zoals bij de rolverheldering van directeuren – teammanagers en medewerkers is gedaan. Waarbij richten het strategisch niveau is, inrichten vindt plaats op managementniveau en verrichten betreft proces op operationeel vlak. Op elk niveau zou sprake moeten zijn van een werkende Plan-Do-Check-Act-cyclus (PDCA, Demming) die alle drie op elkaar ingrijpen. Dat betekent ten aanzien van het sturen dat als er richting is bepaald, er gelegenheid ontstaat om zaken in te richten en daarna te verrichten. En andersom, als het gaat om ‘beheersing’ is er informatie nodig vanuit het verrichten om de inrichting te verbeteren alsmede de richting bij te stellen. Hierin werken de eerste en tweede lijn nauw samen en de 3e lijn heeft een toezichthoudende rol (buitencirkel). Juist de samenwerking tussen de 1e en 2e lijn is noodzakelijk om uiteindelijk te kunnen spreken van alignment. Eén van de instrumenten daarvoor zijn de In control-gesprekken. Zie hiervoor het directiebesluit van 1 februari 2024 (T23.06630).

6/40

T23.06730

Controleplan 2024

Hoe dit proces loopt wordt zichtbaar in onderstaand model: de integrale interne controle cyclus. Dit model maakt duidelijk dat op de verschillende niveaus in de organisatie invulling moet worden gegeven aan het bepalen van doelen, het sturen op realisatie van doelen en het afleggen van verantwoording ten behoeve van beheersing van de processen. Daarmee organiseren we een continu proces van sturen en beheersen.

2.3

Organisatie Verbijzonderde interne Controle

Tot en met 2023 wordt de Verbijzonderde interne controle uitgevoerd door een externe partij die hiervoor vier medewerkers (deeltijd) inzet. Met ingang van het tweede kwartaal van 2024 is er één medewerker in dienst die de Verbijzonderde interne controle zelf uitvoert en wordt de overige capaciteit via een extern bureau (parttime) ingehuurd. Deze verandering heeft als voordeel dat er gedurende het hele jaar aandacht gegeven kan worden aan de VIC (verspreiden van de werkbelasting in de organisatie) en dat er ook gedurende het hele jaar geadviseerd kan worden over de opvolging van bevindingen. De gedachte hierbij is dat dit helpend is voor het professionaliseren van de organisatie. Vooralsnog wordt deze verandering opgevangen binnen de huidige begroting. RPA – bots1 AI krijgt ook in de Verbijzonderde Interne controle een grotere plek. Door verschillende bedrijven worden initiatieven genomen om de VIC via RPA BOTS te laten verlopen. Daarmee vindt er een permanente check op het proces plaats waardoor je risico’s eerder ziet en het verbeteren en professionaliseren van het proces uiteindelijk ook minder intensief wordt. De ambitie is om in 2024 te verkennen welke processen in aanmerking komen om via een RPA BOT te controleren, te verbeteren en welke structurele kosten hiermee gemoeid zijn.

Het betreft vooral gestandaardiseerde processen (dus niet elke VIC komt hiervoor in aanmerking). Indien mogelijk worden mogelijk één à twee processen op deze wijze ingericht. Dat heeft als voordeel dat er minder sprake is van 1 Software robot om de VIC geautomatiseerd te laten verlopen

7/40

T23.06730

Controleplan 2024

piekbelasting voor de organisatie én dat de concernstaf zich meer kan richten op het adviseren in het opvolgen van bevindingen hetgeen helpend is in de ontwikkeling naar een meer professionele organisatie. Dossiervorming Voortbordurend op 2023 wordt de dossiervorming in 2024 verder doorontwikkeld. Uit elk controledossier moet blijken wat de conclusie is ten aanzien van de rechtmatigheidsverantwoording en ter onderbouwing hiervan dient het volgende in het dossier opgenomen te zijn: a. Wat er is gecontroleerd; o Vastlegging per proces van opzet en bestaan o Vastlegging detailwaarnemingen (gegevensgericht) op basis van de steekproef o Opstellen controlememorandum b. Aansluitingen van de controle-documentatie met de financiële verantwoording; c. Documentatie van de controle met bewijsstukken (bijvoorbeeld aanbestedingsdossiers) d. Waarom dit is gecontroleerd; e. Hoe en door wie dit is gecontroleerd; f. Het gebruikte normenkader waaraan diverse toetsingskaders en toetspunten gekoppeld kunnen zijn; g. Wat de bevindingen waren en wat daaraan is gedaan; h. Conclusie over rechtmatigheid (die op basis van audit-trail en dossier herleidbaar is). Elke controle wordt afgesloten met een rapportage waarin ook een reactie van de proceseigenaar is opgenomen. Uit die reactie blijkt ook wat er wordt gedaan met de geconstateerde bevindingen en hoe (en wanneer) daar opvolging aan wordt gegeven.

2.4

Controleprotocol met normen- en toetsingskader

Jaarlijks wordt een controleprotocol waarin de goedkeuringstolerantie staat vastgesteld door de gemeenteraad. Daarbij is voor de financiële rechtmatigheidstoets een door de raad vastgesteld normenmet toetsingskader nodig die alle, voor de financiële beheershandelingen relevante wet- en regelgeving en interne regelgeving (verordeningen, raadsbesluiten en (wettelijk verplichte) kader stellende collegebesluiten) bevat. De raad moet in het controleprotocol vaststellen wat de goedkeuringstolerantie is. Bron hiervoor zijn de minimale eisen die door de commissie BADO2 worden gesteld aan materialiteit. Dat betreft in de accountantscontrole de som van fouten en onzekerheden. In de rechtmatigheidsverantwoording die het college opstelt betreft het fouten en onduidelijkheden. Met onduidelijkheden wordt bedoeld dat er situaties zijn waarin het ook voor het college niet duidelijk is of er rechtmatig gehandeld is. Deze moeten door het college worden toegelicht in de rechtmatigheidsverantwoording en gewogen. Zowel fouten, onzekerheden als onduidelijkheden worden uitgedrukt in euro’s die maximaal in de jaarrekening mogen voorkomen. Het is kostbaar en tijdrovend om iedere euro die kan leiden tot een rechtmatigheidsfout te verantwoorden. Daarnaast is niet elke afwijking relevant. Alleen over afwijkingen boven een bepaalde grens wil de raad informatie ontvangen.

Overwegingen bij de bepaling van de hoogte van de verantwoordingsgrens.

2

Besluit Accountantscontrole Decentrale Overheden. 8/40

T23.06730



 

Controleplan 2024

Informatiepositie van de raad: de raad zal een afweging moeten maken over wat wel en niet opgenomen moet worden in de rechtmatigheidsverantwoording. Hoe hoger de grens, hoe minder snel er informatie opgenomen zal worden in de rechtmatigheidsverantwoording. Kosten van de verantwoording: informatie verzamelen en vastleggen over de rechtmatigheid is niet kosteloos, dit hangt samen met de interne beheersing van de gemeente. Eenduidigheid van normen en communicatie: de raad kan ervoor kiezen om aan te sluiten bij percentages die al herkend worden binnen en buiten de gemeente. Hierbij kan gedacht worden aan percentages die een rol spelen bij de interne controle, of het percentage dat de controlerend accountant hanteert in het kader van de materialiteit 3.

Een rechtmatigheidsverantwoording dient vergezeld te zijn van een door de accountant opgestelde controleverklaring en een verslag van bevindingen ten aanzien van getrouwheid. Planning Q1-2024 Intern controleplan 2024 gemeente vaststellen

Q2-2024

Q4-2024

Q1-2025

BW

Controleprotocol – normenkader - toetsingskader Eindrapportage Intern controleplan 2024

3

Q3-2024

Raad BW

Dit is een maatstaf die bepaalt op een bepaald bedrag al dan niet significant is. 9/40

T23.06730

Controleplan 2024

3. Lansingerland in control - Integrale aanpak We streven naar een integrale aanpak als het gaat om het ‘in control’ zijn van de organisatie. Dat betekent dat we een aantal onderwerpen opnemen die in het kader van de (financiële) rechtmatigheidsverantwoording niet direct relevant zijn maar waarvan het wel zinvol is om deze in het kader van een integrale aanpak van het ‘in control’ zijn op te nemen. Denk aan privacy, informatieveiligheid, uitvoering van de Wet politiegegevens, Misbruik & oneigenlijk gebruik en het doelmatigheidsonderzoek. Hiermee volgen het advies van de accountant (managementletter 2022) op. Hierin zijn ook de bevindingen vanuit de rechtmatigheidsverantwoording 2023 van belang.

3.1

Bevindingen uit 2023

Begin 2024 is door het college een rapportage vastgesteld (T23.07090), opgeleverd door de onafhankelijke concernstaf, waarin een verband is gelegd tussen alle onafhankelijke onderzoeken. Denk aan de Verbijzonderde interne controles, de interimcontrole door de accountant, maar ook Data Protection Impact Assessment (DPIA’s) en audits die vanuit privacy en informatieveiligheid plaatsvinden. De algemene lijn die we vanuit deze audits zien is dat de administratieve lastendruk vanuit de Rijksoverheid toeneemt. Voorbeelden hiervan zijn de Wpg, de rechtmatigheidsverantwoording en de nog te implementeren Netwerk and Information Security (NIS2). De bedoeling is dat deze wetten bijdragen aan de betrouwbare overheid, dat het de lerende organisatie stimuleert via kwaliteitsverbetering. De praktijk is dat de eisen die gesteld worden aan vastlegging niet ‘zomaar’ gerealiseerd zijn binnen de bestaande capaciteit en de inhoudelijke opgaven. De inzet in 2024 is, net als in voorgaande jaren, gericht om stap voor stap verbeteringen door te voeren en daar vanuit de Concernstaf een adviserende en toetsende rol in te vervullen. Elke stap die verbetering laat zien bevestigt dat we willen leren en de kwaliteit willen verbeteren. Als we risico’s zien wordt dit bespreekbaar gemaakt.

3.2

Verantwoording over Bedrijfsvoering (art.22 Financiële verordening)

In art. 22 van de Financiële verordening gemeente Lansingerland 2023 is opgenomen dat het college in de paragraaf bedrijfsvoering bij de begroting de verplichte onderdelen opneemt op grond van artikel 14 BBV. Het college legt in de paragraaf bedrijfsvoering bij de jaarstukken verantwoording af over: a. de omvang, opbouw en ontwikkeling van het personeelsbestand en de loonkosten; b. de kosten van inhuur derden; c. de ontplooide activiteiten in het kader van informatieveiligheidsbeleid en de resultaten hiervan; d. een toelichting op alle afwijkingen in rechtmatigheid, die in de rechtmatigheidsverantwoording zijn opgenomen en eventueel welke maatregelen worden genomen om deze afwijkingen in de toekomst te voorkomen; e. een overzicht van en toelichting op niet-financiële onrechtmatigheden in verband met het niet naleven van bepalingen in de Wet financiering decentrale overheden en de bijbehorende ministeriële regelingen, als deze voorkomen; f. geconstateerde fraude door eigen medewerkers, als dit voorkomt. Op punten a en b wordt gestuurd via de In control-gesprekken (zie paragraaf 2.2) en het dashboard MensGeldWerk. Op punt c wordt gestuurd via het jaarplan informatieveiligheid 2024-2025 (zie verder paragraaf 3.5). Over punten d en e wordt gestuurd via het voorliggende Interne controleplan en gerapporteerd via de eindrapportage.

Voor punt f zie paragraaf 3.7 van dit Interne controleplan.

10/40

T23.06730

3.3

Controleplan 2024

Privacy

De Algemene Verordening Gegevensbescherming (hierna: AVG) regelt dat bedrijven en organisaties persoonsgegevens zorgvuldig verwerken. De AVG is ingevoerd om onze privacy beter te beschermen. De AVG dwingt organisaties zorgvuldig om te gaan met persoonsgegevens van klanten, personeel of andere personen. Op 30 november 2023 is het Privacy beleid 2023 vastgesteld (BR2300084). Hierin is de ambitie opgenomen dat we van volwassenheidsniveau 1 doorontwikkelen naar 3. Het is belangrijk om te onderzoeken of de formatie in de 1 e, 2e en 3e lijn hierop toegerust is. Daarvoor wordt in 2024 een benchmark gedaan. Jaarlijks wordt door het college via de Planning & Control (P&C)-cyclus over privacy gerapporteerd aan de raad. Daarnaast wordt er door de Functionaris Gegevensbescherming (FG) ter informatie een jaarverslag uitgebracht aan het Directieteam (DT) en College. Het voldoen aan de AVG vraagt om structurele borging van dit onderwerp waarbij we zowel op strategisch/tactisch als tactisch/operationeel vlak werken met een PDCA-cyclus waar sturen via kaders en beheersen middels informatie beiden onderdeel van zijn. Op basis van het Privacy beleidskader wordt elke twee jaar een tweejarenplan Privacy opgesteld met daarin de uit te voeren activiteiten op het gebied van privacy voor de komende periode. De bevoegdheid voor het vaststellen en uitvoeren hiervan ligt bij het DT (T21.09952).

Door dit jaarplan uit te voeren voldoen we aan de eisen die de AVG aan een organisatie stelt. Om te rapporteren over de voortgang worden rapportages opgesteld door de sr. privacy jurist en de Chief Information Security Officer (CISO). Deze worden vanaf 2024 voorgelegd aan het management via de In controlgesprekken en daarnaast aan de wethouder. In de rapportages wordt een toelichting gegeven op de voortgang van de uitvoering van het jaarplan en worden bijzonderheden en knelpunten toegelicht. Tevens worden ambities indien nodig bijgesteld en worden bevindingen neergelegd bij de proceseigenaren. Indien er aanleiding toe is worden bevindingen uit de rapportages gedeeld met het College. Beoogde resultaten 2024: - Jaarplan privacy opleveren aan DT (Q2-2024) - Privacy jaarverslag en jaarverslag FG opleveren aan het DT (Q2-2024) - Via P&C-producten rapporteren aan de raad

3.4

Wet politiegegevens

De gemeente Lansingerland heeft buitengewoon opsporingsambtenaren (boa’s) in dienst. Boa’s sporen strafbare feiten op en dragen bij aan de handhaving van de openbare orde en veiligheid. Aan de verwerking van politiegegevens door boa’s, zoals het verzamelen, bewaren en delen van politiegegevens, zijn strikte eisen gesteld. Zo wordt misbruik van gegevens voorkomen en de privacy van burgers gewaarborgd. De verwerking van persoonsgegevens door boa’s valt onder twee privacywetten, de Algemene verordening gegevens-bescherming (hierna: Avg). Deze geldt voor de toezichtstaken van de boa. Voor de opsporingstaken van de boa geldt de Wet politiegegevens (hierna: Wpg). In onze organisatie hebben de boa’s openbare orde en veiligheid, milieu en de leerplichtambtenaren opsporingstaken. Lansingerland is verplicht haar wettelijke verantwoordelijkheid te nemen en wil deze ook nemen. Naast de politie moeten ook andere organisaties zich aan de Wpg houden: de bijzondere opsporingsdiensten (BOD) en de buitengewoon opsporings-ambtenaren (boa's). Op grond van deze wet zijn we als gemeente verplicht elke 4 jaar een externe audit te doen en die te verstrekken aan de Autoriteit Persoonsgegevens. Indien niet voldaan is aan alle normen (31 + 5) dient er in het jaar volgend op het auditjaar een her-controle plaats te vinden om aan te tonen dat bevindingen zijn opgevolgd.

Daarnaast zijn we verplicht om jaarlijks een interne audit te doen. Die moet gedaan worden 11/40

T23.06730

Controleplan 2024

door iemand die daar aantoonbaar verstand van heeft en onafhankelijk is. Op basis van een auditplan dient de audit uitgevoerd te worden. Op basis van bevindingen dient een controleplan opgesteld te worden. In 2022 heeft de externe audit (I23.04562) plaatsgevonden, gericht op de periode tot en met 2021. Omdat aan veel normen nog niet voldaan was is in 2023 een her-controle uitgevoerd waarin ook getoetst werd wat de vooruitgang was tot december 2023. Het controleplan (T22.07014) zal op basis hiervan worden geactualiseerd. In 2024 wordt een interne audit uitgevoerd. Beoogde resultaten 2024: - Actualiseren van het controleplan op basis van de her-controle (externe audit) - Uitvoeren verbeterpunten zoals vastgelegd in het controleplan - Uitvoeren interne audit en bijstellen controleplan

3.5

Informatieveiligheid

De basis voor de inrichting van het strategisch informatiebeveiligingsbeleid (T23.06133) zijn de ISO 27001, de ISO 27002 en de Baseline Informatiebeveiliging Overheid (BIO) – het normenkader voor informatiebeveiliging binnen de gehele overheid. Het strategisch beleid is de basis voor de tactische beleidsplannen en werkinstructies om hiermee richting te geven aan de verdere invulling van informatiebeveiliging op tactisch en operationeel niveau. In het jaarplan informatieveiligheid 2024 staan de speerpunten voor de jaren 2024 en 2025 genoemd. Het jaarplan komt tot stand op basis van:  een jaarlijkse GAP-analyse ten opzichte van de BIO,  uitkomsten vanuit het Information Security Management System (ISMS),  uitkomsten van securitytesten,  de jaarlijkse Eenduidige Normatiek Single Information Audit (ENSIA)-verantwoording,  dataclassificaties,  het Cybersecuritybeeld,  het Dreigingsbeeld Informatiebeveiliging Nederlandse Gemeenten,  informatie afkomstig vanuit de Informatie BeveiligingsDienst (IBD) en de Vereniging Nederlandse Gemeenten (VNG) en  evaluaties van (grootschalige) incidenten. Om informatie te geven zodat het proces beheerst kan worden, worden vanaf 2024 halfjaarlijkse rapportages opgesteld die worden voorgelegd aan het management via de In control-gesprekken en daarnaast aan de wethouder.

In de rapportages wordt een toelichting gegeven op de voortgang van de uitvoering van het jaarplan en worden bijzonderheden en knelpunten toegelicht. Indien er aanleiding toe is worden bevindingen uit de rapportages gedeeld met het College. De raad krijgt in het kader van de P&C-cyclus gerapporteerd over informatiebeveiliging. Dit gebeurt via het jaarverslag van de gemeente en daarnaast gebeurt dit via de ENSIA. ENSIA helpt gemeenten in één keer verantwoording af te leggen over informatieveiligheid gebaseerd op de normen die gelden voor de Nederlandse overheid, de BIO. Met ENSIA sluit de verantwoording over informatieveiligheid aan op de P&Ccyclus van de gemeente. Input voor de ENSIA wordt ieder jaar vanaf juni tot en met december binnen de organisatie opgehaald middels zelfevaluaties. Jaarlijks wordt in het eerste kwartaal een audit gedaan door een gecertificeerd IT-auditor over de collegeverklaring Suwinet en DigiD. Over alle onderdelen van ENSIA wordt jaarlijks door het college horizontale verantwoording afgelegd aan de raad als lokale toezichthouder. Tevens wordt verticale verantwoording afgelegd aan de centrale toezichthouders van de verschillende informatiestelsels (BRP, PUN, DigiD, Suwinet, BAG, BGT en BRO). De deadline voor het aanleveren van de 12/40

T23.06730

Controleplan 2024

stukken (getekende collegeverklaringen en verantwoordingsrapportages) richting de toezichthouders is eind april. Beoogde resultaten 2024: - Jaarverslag informatieveiligheid via de paragraaf bedrijfsvoering van de jaarrekening - Uitvoeren jaarplan informatieveiligheid

3.6

Misbruik en oneigenlijk gebruik

Vertrouwen speelt een grote rol in het gemeentebreed verlenen c.q. vaststellen van vergunningen, heffingen, belastingen en subsidies. Burgers en gemeentebestuur moeten er op kunnen vertrouwen dat overheidsbesluiten correct genomen en uitgevoerd worden en dat geen misbruik wordt gemaakt van gemeenschapsgelden. Misbruik of oneigenlijk gebruik van overheidsgeld leidt niet alleen tot financiële schade, maar levert ook een deuk op in het vertrouwen tussen overheid en burger. Niet voor niets krijgt ook in de controle door de accountant het onderwerp fraude een steeds prominentere plek. Vanuit de rechtmatigheidsverantwoording zijn aanvullende eisen gesteld aan hebben gehandeld conform het doel of de strekking van de regeling zoals met hen is afgesproken. Dat betreft bijvoorbeeld subsidiepartners, partijen waarmee een inkooprelatie is aangegaan en inwoners die te maken hebben met een uitkering en/of kwijtschelding. Diverse overige criteria van rechtmatigheid vallen tevens onder de toetsing van het ‘getrouw beeld’ en worden door de accountant getoetst. In 2023 is de nota Voorkomen van misbruik en oneigenlijk gebruik gemeente Lansingerland vastgesteld door de raad (T23.03378). Hieraan is een normen en toetsingskader gekoppeld.

3.7

Integriteit – signaleren van fraude

In 2024 wordt in de organisatie met een nieuw Integriteitsbeleid gewerkt met bijbehorende gedragscode. Deze zijn opgenomen in het Personeelshandboek. Daarnaast wordt er jaarlijks een frauderisico-analyse opgesteld. Vanaf 1 januari 2023 is aansluiting gevonden bij LSI (Landelijke Stuurgroep Interventieteams) (BW2300009). Door het convenant te ondertekenen realiseren de partners door middel van samenwerking één landelijk dekkende structuur waardoor fraude en andere wetsovertredingen worden aangepakt. Dat leidt tot een effectievere aanpak van fraude en andere misstanden. Met name gericht op sociale voorzieningen (sociale zekerheid, inkomensafhankelijke regelingen, voorkomen van belasting- en premiefraude, niet naleven van arbeidswetten). Ketenpartners zijn De Nederlandse arbeidsinspectie, het UWV, de SVB, Toeslagen en Belastingdienst.

3.8

Doelmatigheidsonderzoek 2024 (213A)

In 2023 is de Verordening onderzoeken doelmatigheid en doeltreffendheid 2023 vastgesteld. In deze verordening is opgenomen dat het college jaarlijks een doelmatigheidsonderzoek uitvoert tenzij het college gemotiveerd voorstelt dit niet te doen (art. 2). Het doelmatigheidsonderzoek 2024 is gericht op de efficiënte uitvoering van taken (M2023-026) waarbij tevens aandacht wordt gegeven aan de motie M2023021 van L3B “Het Rijk moet betalen, niet onze inwoners” en motie M2023-012 van de PvdA “Toepassen Zero-based operatie bij opstellen meerjarenbegroting 2025-2028. Door het DT is aangegeven dit onderzoek te willen bestempelen als doelmatigheidsonderzoek zijnde een zelfonderzoek naar doelmatigheid van het gemeentelijk beleid. Onderwerp van onderzoek is of we tegen aanvaardbare kosten passende dienstverlening (in de breedste in van het woord) bieden waarbij we ons richten op de toekomstige financiën (2026 en verder). Dit is van belang voor de algemene oordeelsvorming over het gevoerde beleid 13/40

T23.06730

Controleplan 2024

om daarmee de transparantie van gemeentelijk handelen te vergroten, en daardoor doelmatiger en doeltreffender te werken en de publieke verantwoording daarover te versterken. 213A onderzoek 2024 Het gemeentefonds is de belangrijkste dekkingsbron voor gemeentelijke uitgaven. Achter het gemeentefonds gaat een verfijnde systematiek schuil waarmee de kosten voor alle gemeentelijke taken worden geobjectiveerd. Uitgangspunt daarbij is dat gemeenten in staat moeten zijn om een gelijkwaardig voorzieningenniveau te realiseren, uitgaande van een gemiddeld efficiënte uitvoering en een gelijke lokale lastendruk. Dit uitgangspunt is verwerkt in de zogenoemde ijkpunten die ten grondslag liggen aan de gemeentefondsuitkering. Voor elk van de 20 taakgebieden die worden onderscheiden binnen het gemeentefonds, is zo’n ijkpunt beschikbaar. Dit ijkpunt geeft een indicatie van wat het betreffende takenpakket objectief gezien mag kosten, rekening houdend met de specifieke kostenbepalende kenmerken van een gemeente. Tezamen bestrijken deze taakgebieden het volledige gemeentelijke takenpakket.

Hoewel de rijksmiddelen vrij besteedbaar zijn, geven de ijkpunten een goede indicatie van:  wat de uitvoering van gemeentelijke taken mag kosten, rekening houdend met de specifieke omstandigheden waaronder elke gemeente zijn taken moet uitvoeren;  welke middelen de gemeente jaarlijks beschikbaar heeft voor haar taken;  de sturingsmogelijkheden en de (financiële) effecten daarvan. Doel van het onderzoek: het verkrijgen van een objectief beeld van de uitvoeringskosten van alle gemeentelijke taken en hoe deze zich verhouden tot andere vergelijkbare gemeenten. Met daarbij een onderscheid naar primair proces en overhead. De uitkomsten vormen input voor de Kaderbrief 2025 en een vertaalslag naar het Knoppenboek. Het onderzoek wordt in de eerste helft van 2024 uitgevoerd door Rijnconsult in samenwerking met Cebeon.

3.9

Beheersing financiële stromen

Bij de controle op de beheersing van financiële stromen wordt gebruik gemaakt van de volgende regelgeving en verordeningen (normenkader):  Financiering decentrale overheden (FIDO)  Gemeentewet;  Besluit Begroting en Verantwoording (BBV)  Besluit Accountantscontrole Decentrale Overheden (BADO)  Omgevingswet  Aanbestedingswet 2012 (inclusief gids proportionaliteit)  Financiële verordening (2023)  Controleprotocol 2024 (nog op te stellen in 2024)  Algemene subsidieverordening (2018) De wet- en regelgeving is verwerkt in het financieel beheer. Het financieel beheer omvat het geheel van beslissingen, handelingen en regels die zijn bedoeld voor de sturing en beheersing van financiële aspecten van het beleid en de bedrijfsvoering. In de scope van de VIC gaat het om het controleren van de beheershandelingen in een proces ten behoeve van een financiële stroom en niet om het financieel beheer, hetgeen een lijnactiviteit is. Hierdoor kan vastgesteld worden dat de rechtmatigheidscriteria4 in het financieel beheer zijn gewaarborgd. In de checklijsten (werkprogramma’s) zijn toetspunten opgenomen die de 4 Valutering-, adressering-, calculatie-, aanvaardbaarheids-, Leverings-, voorwaarden-, volledigheid-, M&O- en

begrotingscriterium. 14/40

T23.06730

Controleplan 2024

relevante rechtmatigheidscriteria toetsen en daarmee het financieel beheer. Het evalueren van het begrotingscriterium vindt plaats op het niveau van de programma’s, zie hoofdstuk 4.1. Planning Q1-2024

Q2-2024

Q3-2024

Q4-2024

Privacy: Jaarplan opleveren aan DT (Q1-2024) Privacy: Jaarverslag en jaarverslag FG opleveren aan het DT (Q1-2024) Via P&C-producten rapporteren aan de raad Wpg: Actualiseren van het controleplan op basis van de hercontrole (externe audit) Wpg: Uitvoeren verbeterpunten zoals vastgelegd in het controleplan Wpg: Uitvoeren interne audit en bijstellen controleplan Informatieveiligheid: Jaarverslag via de paragraaf bedrijfsvoering van de jaarrekening Informatieveiligheid: Uitvoeren jaarplan Doelmatigheidsonderzoek 2013A

15/40

T23.06730

Controleplan 2024

4. Transactiestromen en risicoanalyse 4.1

Significante transactiestromen (en processen) - VIC’s 2024

Binnen de gemeente Lansingerland lopen verschillende financiële transactiestromen die wij hieronder hebben opgesomd. Wij hebben de significante/kritische processen in kaart gebracht op basis van de financiële transactiegrootte (baten, lasten, balansmutaties of balansposities > € 2,44 miljoen (begroting: 2024) die een impact hebben op de jaarrekening. De processen die in 2024 zijn aangemerkt als significant staan hieronder. Dit kan theoretisch gezien jaarlijks wijzigen, afhankelijk van de financiële transactiegrootte. Op basis van ervaringen in voorgaande jaren en bestaande werkwijzen onderkennen wij de volgende transactiestromen, die ten grondslag zullen liggen aan de jaarrekening 2024. In deze stromen maken wij onderscheid in aanpak: procesgericht of gegevensgericht. De financiële stromen zijn onderdeel van gemeentelijke programma’s: Programma

Uitgaven/Lasten

Bron

Inkomsten

Bestuur en dienstverlening Openbare orde en veiligheid Sport, cultuur en onderwijs Sociaal Domein Kwaliteit openbare ruimte Lansingerland ontwikkelt Grondexploitatie Algemene dekkingsmiddelen en overhead

6,6 miljoen 8,0 miljoen 16,8 miljoen 70,4 miljoen 35,6 miljoen 18,7 miljoen 57,2 miljoen 31,0 miljoen

Lokale heffingen Rente en dividenden Grondexploitaties Overige inkomsten Algemene uitkering

39,7 miljoen 3,4 miljoen 57,1 miljoen 44,3 miljoen 98,8 miljoen

Procesgericht5: 1. Verbonden partijen Gegevensgericht: 2. Treasury (aantrekken en uitzetten van gelden incl. rentebaten, rentelasten en dividend) 3. Memoriaalboekingen 4. Personele lasten (lonen en salarissen) 5. Factuurverwerking en betalingen (inkoop en betalingen) 6. Grondexploitatie, grondaankopen en grondverkopen (GREX) 7. Omgevingsvergunningen 8. Huur- en overige opbrengsten 9. Europese aanbestedingen (duurzame goederen/investeringen/ inkoop en aanbesteding 10. Subsidieverstrekkingen

5

Dit wil zeggen dat het proces wordt beoordeeld en de maatregelen getoetst. Alleen daar waar significante risico’s gedetecteerd worden, worden detailcontroles uitgevoerd. 16/40

T23.06730

Controleplan 2024

VIC’s met specifieke controle aanpak Een aantal van de significante transactiestromen van onze gemeente vergen een dusdanige specifieke controleaanpak dat zij daarom niet of op andere wijze in de reguliere interne controle worden betrokken. 11. Belastingen en heffingen (via SVHW) 12. Participatiewet, WMO, Jeugd en Kinderopvang Toeslagen (KOT) (apart controleplan Sociaal Domein) 13. Prestatieleveringen Jeugd en WMO (apart controleplan Sociaal Domein) 14. Algemene uitkering 15. Inkomende (incidentele) subsidies en SiSa-regelingen 16. IT (Informatieveiligheid en audit IT-controls) 17. Frauderisico analyse Op bovengenoemde processen worden werkzaamheden gepland en uitgevoerd. Zie hoofdstuk 5 voor de uitwerking van de processen en bijlage 4 voor de risicoanalyse.

4.2

Risico-inschatting

De risicoanalyse richt zich met name op de significante sub-processen die in kaart zijn gebracht aan de hand van onder andere de financiële stromen van de gemeente. De inherente risico’s die gepaard gaan met deze processen zijn op voorhand geïdentificeerd in bijlage 4. Vervolgens is een classificatie gegeven aan deze risico’s op basis van kans * impact (Hoog/Midden/Laag). De risico-classificatie kan gedurende de controle wijzigen, gezien de kans voornamelijk wordt beïnvloed door de aanwezige interne beheersingsmaatregelen. Het uitgangspunt voor onze risicoanalyse is dat de beschreven interne beheersingsmaatregelen in bijlage 4 adequaat zijn geïmplementeerd in de processen. Indien gedurende de controle blijkt dat deze interne beheersingsmaatregelen tekortschieten, zal de risicoclassificatie worden verhoogd. Consequenties hiervan zijn dat het aantal deelwaarnemingen worden verhoogd om genoeg zekerheid te verkrijgen om een oordeel te geven over de rechtmatigheid. Voor 2024 zullen wij op basis van de opgestelde risicoanalyse (zie bijlage 4), in afstemming met de accountant, de scope van onze VIC bepalen en de werkzaamheden uitvoeren.

Naast de risicoanalyse op de significante transactiestromen is het ook relevant te beoordelen in hoeverre er in 2024, naast de reguliere processen, bijzondere transacties en gebeurtenissen zijn die specifieke (extra) aandacht behoeven van de interne controle of van het management (directie en concern control). Voor 2024 zou hierbij gedacht kunnen worden aan: A. Ontwikkelingen rondom majeure grondexploitaties; B. Integraal Huisvestingsplan; C. Toenemende kosten jeugdzorg (GRJR); D. Gevolgen van de Spreidingswet; E. Fiscaal risico. We zullen met de accountant bespreken in hoeverre deze onderwerpen specifieke aandacht vanuit de Verbijzonderde Interne Controle (VIC) vergen. De risico-classificaties die in dit plan worden onderkend zijn als volgt te definiëren: Laag risico

Een geïdentificeerd en ingeschat risico op een afwijking van materieel belang waaraan tijdens de controle in relatief beperkte mate aandacht moet worden besteed.

17/40

T23.06730

Controleplan 2024

Midden risico

Een geïdentificeerd en ingeschat risico op een afwijking van materieel belang waaraan tijdens de controle aandacht moet worden besteed.

Hoog

Een geïdentificeerd en ingeschat risico op een afwijking van materieel belang waaraan tijdens de controle bijzondere aandacht moet worden besteed.

Bij het toepassen van oordeelsvorming (trekken van conclusies) over de vraag welke risico’s significante risico’s zijn, is ten minste rekening te houden met:  De vraag of het risico een frauderisico betreft;  De vraag of het risico verband houdt met recente significante ontwikkelingen op economisch, boekhoudkundig of ander gebied en daarom specifieke aandacht vereist;  De complexiteit van transacties;  De vraag of het risico verband houdt met significante transacties met verbonden partijen;  De mate van subjectiviteit bij het waarderen van financiële informatie met betrekking tot het risico, vooral als de waardering veel onzekerheid inhoudt; en  De vraag of het risico verband houdt met significante transacties die buiten het kader van de normale bedrijfsvoering van de entiteit vallen of die anderszins ongebruikelijk lijken. Concreet betekent een hogere risico-inschatting dat door het VIC-team en de lijnorganisatie steeds meer werkzaamheden (waarnemingen) moeten worden verricht.

18/40

T23.06730

Controleplan 2024

5. Verbijzonderde interne controles – aanpak en uitvoering In dit hoofdstuk worden de in hoofdstuk 4 benoemde VIC’s verder uitgewerkt. Te beginnen de procesgerichte VIC, daarna de gegevensgerichte VIC en tot slot de VIC met ene bijzondere aanpak. Verbijzonderde interne controle (VIC) is een aanvulling op de al bestaande IC-maatregelen en is gericht op een beoordeling of de bedoelde interne controles in het proces de onderkende risico’s afdoende mitigeren, daadwerkelijk functioneren en effectief zijn. Bij een VIC voert een (interne) toezichthouder (3e lijn, zie paragraaf 2.1, 2.2 en 2.3) op onafhankelijk en objectieve wijze een controle uit op het betreffende werkproces. Het doel is dat de VIC zekerheid/onderbouwing/informatie biedt over de rechtmatige totstandkoming van baten, lasten en balansmutaties en daarmee over input voor de getrouwheid van de rechtmatigheidsverantwoording 2024. Het gaat dan om financiële inclusief fiscale rechtmatigheid. Praktisch houdt dit in dat gemeente Lansingerland met het team Verbijzonderde Interne Controle (VIC) tussentijds financiële transacties toetst op zowel getrouwheid als rechtmatigheid. Getrouwheid geeft antwoord op de vraag “Klopt er wat er staat en staat alles er wat er moet staan?”, terwijl (financiële) rechtmatigheid de vraag “Zijn wet- en regelgeving (W&R) in financiële zin correct nageleefd door de gemeente?” beantwoordt.

Om een systematische VIC uit te voeren wordt in dit controleplan aangegeven op welke manier invulling wordt gegeven aan deze controle. Door het systematisch uitvoeren van de VIC’s ontstaat een Plan-Do-Check-Act (PDCA) cyclus waarmee de basis voor control/kwaliteitsverbetering wordt gelegd. De verbijzonderde interne controle heeft als doel om vast te stellen in hoeverre opbrengsten en uitgaven rechtmatig tot stand zijn gekomen en getrouw in de jaarrekening worden weergegeven. Door deze VIC’s gedurende het jaar uit te voeren kunnen onvolkomenheden in de uitvoering van processen tijdig worden opgespoord en gecorrigeerd. Het gaat daarbij voortdurend om het verbeteren van de (werk)processen. De ambitie is om de VIC’s met dermate hoge kwaliteit uit te voeren dat we kunnen verklaren en aantonen dat we rechtmatig handelen (volgens wet- en regelgeving) waarbij aan het normenkader wordt getoetst. De accountant toetst de getrouwheid (is de informatie juist en toereikend) eveneens met een normenkader. In 2024 houden we in de basis het volgende schema aan:  De eerste VIC is gericht op de eerste vier maanden van 2024. Dit betekent dat de uitvoering van deze VIC-periode plaatsvindt in mei en juni. Voor het zomerreces wordt over deze periode gerapporteerd.  De tweede periode zal de maanden mei t/m september beslaan.

In oktober, voorafgaand aan de start van de interim-controle, wordt zo mogelijk over de tweede VIC-periode gerapporteerd.  In afstemming met de accountant wordt bepaald welke werkzaamheden over oktober, november en december zullen worden gedaan. Over deze derde VIC-periode wordt in februari/maart gerapporteerd, voor de start van de jaarrekeningcontrole. Zie paragraaf 6.2 en de detailplanning in de bijlage.

19/40

T23.06730

5.1

Controleplan 2024

Vereisten dossiervorming – vastlegging - rapportages

Over de uitkomsten van de interne controle wordt na iedere VIC-periode gerapporteerd. Deze rapportages worden opgeslagen in de genoemde mappen en aangeleverd aan de concerncontroller. Met betrekking tot de rapportering van de uitkomsten uit de interne controles zullen de volgende onderdelen worden gerapporteerd in een rapport van bevindingen: De uitgevoerde werkzaamheden per relevante transactiestroom, waarbij wordt ingegaan op de volgende aspecten: a. De gecontroleerde aantallen; b. De uitkomsten van deze gecontroleerde waarnemingen; c. Eventuele verbeterpunten en risico’s voor de jaarrekening en jaarverantwoordingen; d. Eventuele verbeterpunten in de procesmatige handelingen met betrekking tot de interne controle; e. Of de controles op schema lopen of dat er achterstanden zijn in de uitvoering van de controles (inclusief eventuele escalaties). Er zijn twee rapportage-modellen die als opzet dienen. Deze zijn afgestemd met de accountant. De accountant en het VIC-team maken op basis van deze uitgangspunten een detailplanning zodat er sprake van een goed lopend proces is met een zo klein mogelijke controle-belasting voor de organisatie en de Managementletter (MML) in november kan worden opgeleverd.

5.2

Procesgerichte VIC

1. Verbonden partijen Omschrijving

Omvang begrotingspost Procesverantwoordelijke Risico’s Controlepunten Documentatie

Criterium RMV

5.3

De gemeente Lansingerland heeft verschillende verbonden partijen waarbij of taken zijn gemandateerd/gedelegeerd of er is een subsidierelatie. Een relevante verbonden partij is SVHW die belastingen en heffingen oplegt en int voor de gemeente Lansingerland NVT Domein Bedrijfsvoering – team Financiën Zie nummer 3 in bijlage 4 (T24.01678) Zie nummer 3 in bijlage 4 (T24.01678) Voor het uitvoeren van de werkzaamheden is een checklijst opgesteld deze wordt nog voorgelegd aan BDO. Vastlegging vindt plaats op G:\CS\@Audit-rechtmatigheid-VIC \ Rechtmatigheid-VIC \ Rechtmatigheid 2024 onder nummer 1. Verbonden partijen. Voorwaarden, M&O en Begroting

Scope gegevensgerichte VIC

De werkzaamheden starten met het inzichtelijk maken van de omvang van de geldstromen die gemoeid zijn met de onderwerpen die in dit plan zijn opgenomen (scoping). De scoping wordt door het VIC-team afgestemd met BDO. De scoping wordt als volgt opgesteld:  Alle FCL-nummers worden gekoppeld aan balans, programmarekening, programmarekening (specifiek GREX), investeringen, reserve mutaties of voorzieningen mutaties. 20/40

T23.06730



Controleplan 2024

Vervolgens worden alle ECL-nummers in de data dump gekoppeld aan een proces, hiervan wordt een draaitabel gemaakt.

In de scoping worden de volgende stromen/processen behandeld:  Personele lasten (lonen en salarissen)  Factuurverwerking en betalingen (inkoop en betalingen  Grondexploitatie, grondaankopen en grondverkopen (GREX)  Omgevingsvergunningen  Huur- en overige opbrengsten  Europese aanbestedingen (duurzame goederen/investeringen/ inkoop en aanbesteding  Subsidieverstrekkingen 2. Treasury

Omschrijving Omvang begrotingspost Procesverantwoordelijke Risico’s Controlepunten Documentatie

Criterium RMV

Treasury (aantrekken en uitzetten van gelden incl. rentebaten, rentelasten en dividend) NVT Domein Bedrijfsvoering – team Financiën Zie nummer 1 in bijlage 4 (T24.01678). Zie nummer 1 in bijlage 4 (T24.01678). Voor het uitvoeren van de werkzaamheden is een checklijst opgesteld deze wordt nog voorgelegd aan BDO. Vastlegging vindt plaats op G:\CS\@Audit-rechtmatigheid-VIC \ Rechtmatigheid-VIC \ Rechtmatigheid 2024 onder nummer 2. Treasury NVT

3. Memoriaalboekingen

Omschrijving

Omvang begrotingspost Procesverantwoordelijke Risico’s Controlepunten Documentatie

Criterium RMV

Een memoriaalboeking is een administratieve verrekening tussen of binnen verschillende grootboekrekeningen. Aanleiding: foutieve boekingen, verrekeningen met kostenplaatsen, boekingen reserves en voorzieningen, afstemming sub administraties/leegboeken sub administraties, transitoria afwikkelingen en interne verrekeningen tussen afdelingen. NVT Domein Bedrijfsvoering – team Financiën Zie nummer 2 in bijlage 4 (T24.01678). Zie nummer 2 in bijlage 4 (T24.01678). Voor het uitvoeren van de werkzaamheden is een checklijst opgesteld deze wordt nog voorgelegd aan BDO. Vastlegging vindt plaats op G:\CS\@Audit-rechtmatigheid-VIC \ Rechtmatigheid-VIC \ Rechtmatigheid 2024 onder nummer 3. Memoriaalboekingen. NVT

21/40

T23.06730

Controleplan 2024

4. Personele lasten (lonen en salarissen)

Omschrijving Omvang begrotingspost Procesverantwoordelijke Risico’s Bepaling deelwaarnemingen

Controlepunten Documentatie

Criterium RMV

Vaststellen dat de processen van de personele lasten (lonen en salarissen) rechtmatig verlopen. € 45,9 miljoen Domein Bedrijfsvoering – team O&HRM Zie nummer 4 in bijlage 4 (T24.01678). In overleg met de accountant zullen de steekproefaantallen worden bepaald, als ook de selectie aan deelwaarnemingen die gecontroleerd dienen te worden. De accountant trekt de steekproef. Bij het uitvoeren van de steekproeven door de gemeente zelf, zal worden gewaarborgd dat deze objectief tot stand komen. Hiervoor zullen de volgende maatregelen getroffen worden: 1. De steekproef zal worden getrokken door een externe partij. De steekproef zal niet worden getrokken door de medewerker die belast is met de uitvoering van de VIC op de transactiestroom. Dit om het risico te ondervangen van het terugleggen vaneen geselecteerde waarneming bij constatering van een fout. 2. De vastlegging van de steekproef vindt op een dusdanige wijze plaats dat achteraf door een onafhankelijke derde vast te stellen is, en te reproduceren is, op welke wijze de waarnemingen uit de steekproef zijn bepaald en dat hierbij geen sprake is geweest van willekeur. Zie nummer 4 in bijlage 4. Voor het uitvoeren van de werkzaamheden is een checklijst opgesteld deze wordt nog voorgelegd aan BDO. Vastlegging vindt plaats op G:\CS\@Audit-rechtmatigheid-VIC \ Rechtmatigheid-VIC \ Rechtmatigheid 2024 onder nummer 4 Personele lasten.

M&O, Voorwaarden, Begroting

22/40

T23.06730

Controleplan 2024

Factuurpoces (inkopen goederen en diensten) Omschrijving Inkoopproces van goederen en diensten. Het gaat om de controle of op basis van de factuur de juiste bedragen naar de juiste bankrekening is overgemaakt. Daarnaast moet aandacht zijn voor autorisaties (ook bij spoed) en mutaties van crediteurenstamgegevens. Omvang begrotingspost € 50,1 miljoen Procesverantwoordelijke Domein Bedrijfsvoering – team Financiën Risico’s Zie regel 5 in bijlage 4 (T24.01678). Bepaling deelwaarnemingen In overleg met de accountant zullen de steekproefaantallen worden bepaald, als ook de selectie aan deelwaarnemingen die gecontroleerd dienen te worden. De accountant trekt de steekproef. Bij het uitvoeren van de steekproeven door de gemeente zelf, zal worden gewaarborgd dat deze objectief tot stand komen. 5.

Hiervoor zullen de volgende maatregelen getroffen worden: 1. De steekproef zal worden getrokken door een externe partij. 2. De steekproef zal niet worden getrokken door de medewerker die belast is met de uitvoering van de VIC op de transactiestroom. Dit om het risico te ondervangen van het terugleggen vaneen geselecteerde waarneming bij constatering van een fout. 3. De vastlegging van de steekproef vindt op een dusdanige wijze plaats dat achteraf door een onafhankelijke derde vast te stellen is, en te reproduceren is, op welke wijze de waarnemingen uit de steekproef zijn bepaald en dat hierbij geen sprake is geweest van willekeur. Controlepunten Documentatie

Zie regel 5 in bijlage 4. Voor het uitvoeren van de werkzaamheden is een checklijst opgesteld deze wordt nog voorgelegd aan BDO. Vastlegging vindt plaats op G:\CS\@Audit-rechtmatigheid-VIC \ Rechtmatigheid-VIC \ Rechtmatigheid 2024 onder nummer 5. Factuurproces.

Criterium RMV

Voorwaarden en begroting

23/40

T23.06730

Controleplan 2024

6. Grondexploitaties (lasten (uitgaven) en baten) Omschrijving Deze controle richt zich op zowel de grondverkopen als de grondverwervingen en onderbouwing voor de aankoop- en verkoopprijs. Omvang begrotingspost Grondverkopen: € 29,1 miljoen Grondverwerving: € 20,1miljoen Procesverantwoordelijke Domein Ruimte en Economie – team Gebiedsontwikkeling Risico’s Zie nummer 6 in bijlage 4 (T24.01678). Van belang is, voortkomend uit de MML 2022, dat sprake is van zichtbare controles. De maatregel wordt op naleving getoetst (koppeling met bevinding MML-2022). NB: de waardering van de grondexploitaties alsmede de volledigheid van de grondverkopen vallen niet onder de scope van dit plan. Bepaling deelwaarnemingen

In overleg met de accountant zullen de steekproefaantallen worden bepaald, als ook de selectie aan deelwaarnemingen die gecontroleerd dienen te worden. De accountant trekt de steekproef. Bij het uitvoeren van de steekproeven door de gemeente zelf, zal worden gewaarborgd dat deze objectief tot stand komen. Hiervoor zullen de volgende maatregelen getroffen worden: 1. De steekproef zal worden getrokken door een externe partij. De steekproef zal niet worden getrokken door de medewerker die belast is met de uitvoering van de VIC op de transactiestroom. Dit om het risico te ondervangen van het terugleggen vaneen geselecteerde waarneming bij constatering van een fout. 2. De vastlegging van de steekproef vindt op een dusdanige wijze plaats dat achteraf door een onafhankelijke derde vast te stellen is, en te reproduceren is, op welke wijze de waarnemingen uit de steekproef zijn bepaald en dat hierbij geen sprake is geweest van willekeur.

Controlepunten Documentatie

Zie nummer 6 in bijlage 4 (T24.01678). Voor het uitvoeren van de werkzaamheden is een checklijst opgesteld deze wordt nog voorgelegd aan BDO. Vastlegging vindt plaats op G:\CS\@Audit-rechtmatigheid-VIC \ Rechtmatigheid-VIC \ Rechtmatigheid 2024 onder nummer 6. Grondexploitaties.

Criterium RMV

Voorwaarden, M&O en begroting

24/40

T23.06730

Controleplan 2024

7. Omgevingsvergunningen Omschrijving Omvang begrotingspost Procesverantwoordelijke Risico’s Bepaling deelwaarnemingen

Omgevingsvergunningen (leges): bij de gemeente worden vergunningen aangevraagd. De Gemeente legt het betalen van leges op. € 2,4 miljoen Domein Ruimte en Economie – team Omgevingsrecht Zie nummer 7 in bijlage 4 (T24.01678). In overleg met de accountant zullen de steekproefaantallen worden bepaald, als ook de selectie aan deelwaarnemingen die gecontroleerd dienen te worden. De accountant trekt de steekproef. Bij het uitvoeren van de steekproeven door de gemeente zelf, zal worden gewaarborgd dat deze objectief tot stand komen. Hiervoor zullen de volgende maatregelen getroffen worden: 1. De steekproef zal worden getrokken door een externe partij. 2. De steekproef zal niet worden getrokken door de medewerker die belast is met de uitvoering van de VIC op de transactiestroom. Dit om het risico te ondervangen van het terugleggen vaneen geselecteerde waarneming bij constatering van een fout. 3. De vastlegging van de steekproef vindt op een dusdanige wijze plaats dat achteraf door een onafhankelijke derde vast te stellen is, en te reproduceren is, op welke wijze de waarnemingen uit de steekproef zijn bepaald en dat hierbij geen sprake is geweest van willekeur.

Controlepunten Documentatie

Criterium RMV

Zie nummer 7 in bijlage 4 (T24.01678). Voor het uitvoeren van de werkzaamheden is een checklijst opgesteld deze wordt nog voorgelegd aan BDO. Vastlegging vindt plaats op G:\CS\@Audit-rechtmatigheid-VIC \ Rechtmatigheid-VIC \ Rechtmatigheid 2024 onder nummer 7. Omgevingsvergunningen. M&O, Voorwaarden, begroting

25/40

T23.06730

Controleplan 2024

8. Huur- en overige opbrengsten Omschrijving De gemeente verhuurt locaties en int daarvoor huur. Omvang begrotingspost € 1,8 miljoen Procesverantwoordelijke Domein Ruimte en Economie – team Exploitatie Risico’s Zie nummer 8 in bijlage 4 (T24.01678). Bepaling deelwaarnemingen In overleg met de accountant zullen de steekproefaantallen worden bepaald, als ook de selectie aan deelwaarnemingen die gecontroleerd dienen te worden. De accountant trekt de steekproef. Bij het uitvoeren van de steekproeven door de gemeente zelf, zal worden gewaarborgd dat deze objectief tot stand komen. Hiervoor zullen de volgende maatregelen getroffen worden: 1. De steekproef zal worden getrokken door een externe partij. 2. De steekproef zal niet worden getrokken door de medewerker die belast is met de uitvoering van de VIC op de transactiestroom. Dit om het risico te ondervangen van het terugleggen vaneen geselecteerde waarneming bij constatering van een fout. 3. De vastlegging van de steekproef vindt op een dusdanige wijze plaats dat achteraf door een onafhankelijke derde vast te stellen is, en te reproduceren is, op welke wijze de waarnemingen uit de steekproef zijn bepaald en dat hierbij geen sprake is geweest van willekeur. Controlepunten Documentatie

Criterium RMV

Zie nummer 8 in bijlage 4 (T24.01678). Voor het uitvoeren van de werkzaamheden is een checklijst opgesteld deze wordt nog voorgelegd aan BDO. Vastlegging vindt plaats op G:\CS\@Audit-rechtmatigheid-VIC \ Rechtmatigheid-VIC \ Rechtmatigheid 2024 onder nummer 8. Huur- en overige opbrengsten. Voorwaarden