[T25.00028] Intern controleplan 2025

Intern controleplan 2025

www.lansingerland.nl

T25.00028

Controleplan 2025

Auteur: WB Afdeling: Concernstaf Versienummer: 1.0 Datum: 9 april 2025 Corsanummer: T25.00028

2/39

T25.00028

Controleplan 2025

Inhoudsopgave 1. Aanleiding en doelstelling van het controleplan 2025 ............................................................... 4 2. Rechtmatigheidsverantwoording - doorontwikkeling ................................................................ 6 2.1 Verdere implementatie three lines model ...................................................................... 6

3.

4.

2.2

Richten – inrichten – verrichten IC-gesprekken ................................................................ 6

2.3

Organisatie Verbijzonderde interne Controle .................................................................. 7

2.4

Controleprotocol met normen- en toetsingskader ............................................................. 8

Lansingerland in control - Integrale aanpak ......................................................................... 10 3.1 Bevindingen uit 2024 .............................................................................................. 10 3.2

Verantwoording over Bedrijfsvoering (art.23 Financiële verordening) .................................. 10

3.3

Privacy............................................................................................................... 10

3.4

Wet politiegegevens .............................................................................................. 12

3.5

Informatieveiligheid .............................................................................................. 12

3.6

Misbruik en oneigenlijk gebruik ................................................................................. 13

3.7

Integriteit – signaleren van fraude ............................................................................. 14

3.8

Doelmatigheidsonderzoek 2025 (213A) - inzet sociale basis Samenleving .............................. 14

3.9

Beheersing financiële stromen .................................................................................. 15

Transactiestromen en risicoanalyse .................................................................................. 17 4.1 Significante transactiestromen (en processen) - VIC’s 2025 ............................................... 17 4.2

5.

6.

Risico-inschatting .................................................................................................. 18

Verbijzonderde interne controles – aanpak en uitvoering ........................................................ 20 5.1 Vereisten dossiervorming – vastlegging - rapportages ...................................................... 20 5.2

Procesgerichte VIC ................................................................................................ 21

5.3

Scope gegevensgerichte VIC ..................................................................................... 22

5.4

VIC’s met specifieke controle aanpak ......................................................................... 31

Samenwerking, planning en capaciteit ............................................................................... 35 6.1 Samenwerking betrokken partijen ............................................................................. 35 6.2

Planning – wat wordt er wanneer gecheckt in de organisatie ............................................. 36

Bijlage 1 – Lijst afkortingen .................................................................................................. 37 Bijlage 2 - Controleplan sociaal domein 2024: T25.02602 ............................................................. 37 Bijlage 3 – Risico-analyse Lansingerland: T25.02501 .................................................................... 37 Bijlage 4 – Overzicht doelmatigheidsonderzoeken (213A) .............................................................. 37 Bijlage 5 – Langere termijn agenda ........................................................................................ 38 Bijlage 6 – 3 lines model in Lansingerland ................................................................................ 39

3/39

T25.00028

Controleplan 2025

1. Aanleiding en doelstelling van het controleplan 2025 Het college van B&W is verantwoordelijk voor het rechtmatig handelen van de gemeente en de getrouwheid van de jaarstukken. Daarom legt het college in de jaarstukken verantwoording af aan de raad door een rechtmatigheidsverantwoording in de jaarstukken op te nemen. De accountant stelt de getrouwheid van het geheel (dus inclusief rechtmatigheidsverantwoording) vast. Om een goede rechtmatigheidsverantwoording op te stellen is het nodig verbijzonderde interne controles (VIC) uit te voeren. De interne controle draagt ook bij aan het verbeteren van de kwaliteit van de organisatie, het opmerken van eventuele onrechtmatigheden en het vroegtijdig signaleren van risico’s binnen de organisatie zodat beheersmaatregelen genomen kunnen worden. Dat helpt de lerende organisatie om verder te professionaliseren. Het is belangrijk om de interne controle zo te organiseren dat de verantwoording van het college deugdelijk is onderbouwd en vastgelegd met een startdocument (dit interne controleplan) en rapportages. Op basis van het Interne controleplan wordt er één afsluitende rapportage gemaakt over de uitvoering van het Interne controleplan waarin conclusies worden getrokken over de rechtmatigheid. Dat vormt in combinatie met hetgeen in de jaarstukken wordt opgenomen de verantwoording van het college over de mate van ‘in control’ zijn.

Door deze vastlegging en onderbouwing kan de accountant daar (mede) zijn oordeel op bouwen. Het gaat er om dat de verantwoording juist, toereikend en volledig is en overeenkomt met de feiten. In lijn met 2023 en 2024 is dit controleplan integraal. Net als in 2024 is het controleplan Sociaal domein een bijlage bij dit Interne controleplan 2025 (T25.02602). De reden hiervoor is dat het controleplan sociaal domein meer gedetailleerd is dan het brede interne controleplan. Doelstelling Het doel van het interne controleplan 2025 is het bieden van een kader voor de interne controlewerkzaamheden, deze te plannen en hierbij de focus te leggen op de belangrijkste processen, (balans)posten en transactiestromen omtrent de financiële rechtmatigheid en getrouwheid van de jaarstukken. Hierbij is inzicht nodig in de relevante normenkaders voor de controle, de belangrijkste processen en de risico’s gerelateerd aan de zogenoemde controledoelstellingen. Dit plan behandelt deze onderwerpen en komt op basis van de analyses tot een planning van de uit te voeren interne controles. Naast de focus op de te verrichten controlewerkzaamheden is de inzet er in 2025 ook op gericht om de organisatie verder te helpen verbeteren. We zijn immers een lerende organisatie waarin we continu doorontwikkelen.

Dat betekent ook dat we steeds met elkaar moeten beseffen dat de Verbijzonderde Interne Controle van ons allemaal is (en niet van de concernstaf). Zie hiervoor ook hoofdstuk 2. Samenwerking met de accountant Om ervoor zorg te dragen dat de (verbijzonderde) interne controle een goede voorbereiding biedt voor de controle van onze externe accountant, stemmen wij de aanpak met hen af. Hierbij maken wij afspraken 4/39

T25.00028

Controleplan 2025

over het aantal waarnemingen, de selectiemethode van de te controleren posten en mutaties en de te controleren punten. Door die afspraken vooraf te bespreken, maakt de accountant gebruik van (delen van) de door ons uit te voeren interne controlewerkzaamheden. Te gebruiken toleranties, rapporterings- en verantwoordingsgrens In navolging van het Besluit Accountantscontrole Decentrale Overheden (BADO) gaan we in 2025 uit van de volgende tolerantiegrenzen. Het is de gemeenteraad die deze percentages en bedragen definitief vaststelt (door het vaststellen van de controleverordening 2025), waarbij de accountant als eis stelt dat van de minimum wettelijke percentages wordt uitgegaan. Indien de Raad een lagere ‘goedkeuringstolerantie’ of rapportage-tolerantie wenst, heeft dat effect op de omvang van de interne controlewerkzaamheden en de accountantscontrole en daarmee op de kosten. Voor 2025 wordt voorgesteld om: - voor de rechtmatigheid het wettelijk minimum van tolerantie voor toetsing van zowel het getrouw beeld als de rechtmatigheid te hanteren1. - de te gebruiken verantwoordingsgrens (percentage) voor de rechtmatigheidsverantwoording en de rapporteringsgrens voor de bedrijfsvoeringsparagraaf worden in de controleverordening opgenomen. Goedkeuringstolerantie Fouten in de jaarrekening (% lasten) Onzekerheden in de controle (% lasten)

Goedkeurende verklaring ≤ 1%

Verklaring met beperking > 1% < 3%

Verklaring van oordeelonthouding -

Afkeurende verklaring ≥ 3%

≤ 3%

> 3% < 10%

≥ 10%

-

Het is mogelijk dat de BADO in 2025 wordt aangepast waarbij de maximale fout in de jaarrekening naar 2% gaat. Op het moment van vaststellen van het interne controleplan 2025 is er nog geen duidelijkheid, derhalve is uitgegaan van 1%. Mocht blijken dat gedurende 2025 2% wordt gehanteerd, dan wordt dit percentage ook toegepast voor de nog uit te voeren VIC. In de Financiële verordening 2024 (T24.04446) is de rapporteringsgrens voor fouten en onduidelijkheden vastgesteld op € 200.000 per programma. Fouten en/of onduidelijkheden van deze omvang worden gerapporteerd in de paragraaf bedrijfsvoering. De verantwoordingsgrens is gesteld op 2% van de werkelijke totale lasten inclusief de toevoegingen aan de reserves. Uitgaande van de begrote lasten (inclusief toevoegingen aan de reserves) 2025 ad € 229.586.000 is de verantwoordingsgrens € 4.591.720.

1 Besluit accountantscontrole decentrale overheden conform bijlage behorende bij artikel 4 tweede lid: Goedkeuringstoleranties en strekking

controleverklaringen

5/39

T25.00028

Controleplan 2025

2. Rechtmatigheidsverantwoording - doorontwikkeling In de Managementletter 2024 staat dat de interne beheersing en controleomgeving van gemeente Lansingerland voor zover relevant voor de jaarrekeningcontrole van voldoende niveau is, rekening houdend met de werkzaamheden van de VIC achteraf. Belangrijk onderdeel van de interne beheersing van gemeente Lansingerland zijn de in-control gesprekken die periodiek gevoerd worden. De accountant constateert dat gemeente Lansingerland actief aan de slag is/gaat met de opvolging van de bevindingen van de voorgaande accountant de gemeente Lansingerland. Dat willen we in 2025 graag zo houden. Ook in 2025 willen we voldoen aan de vereisten die de rechtmatigheidsverantwoording (RMV) stelt. Dat betekent dat het college in de jaarstukken 2025 aantoont te voldoen aan de drie rechtmatigheidscriteria (het begrotingscriterium, het Misbruik en Oneigenlijk gebruik (M&O-criterium) en het voorwaardencriterium (alle financiële beheershandelingen zijn verricht in overeenstemming met (externe en interne) wet- en regelgeving). In tegenstelling tot het controleplan 2024 is in de Kadernota rechtmatigheid 2024 een wijziging opgenomen met betrekking tot misbruik en ongeingelijke gebruik (M&O). Geconstateerd misbruik wordt niet meer opgenomen in de rechtmatigheidsverantwoording maar wordt toegelicht in de paragraaf bedrijfsvoering.

Op basis van dit controleplan en de eindrapportage hierover maakt het college zichtbaar voldoende en actief toezicht te houden op de interne beheersing, tijdig en adequaat bij te sturen aan de hand van bevindingen en zich hierover te verantwoorden aan de gemeenteraad. De accountant zal controleren of er getrouw is gehandeld. Wat betekent dat voor 2025: In de eerste plaats gaan we verder aan de slag met de implementatie van het Three lines model (zie paragraaf 2.1), voeren we ook in 2025 In control gesprekken op operationeel, tactisch en strategisch niveau (zie 2.2) en zetten we stappen in de organisatie van de Interne controle (zie 2.3).

2.1

Verdere implementatie three lines model

Voor de implementatie van het Three lines model (3LM) wordt verwezen naar bijlage 7 (het Interne controleplan 2023, T23.01806, het interne controleplan 2024, T23.06730 en de visie van de Concernstaf, T24.08472). Het momentum om dit model verder te implementeren is er. Een impuls hiervoor is gegeven vanuit de Managementletter 2024 waarin de accountant constateert (paragraaf 2.1 in I24.19334) dat het wenselijk is dat de VIC als derde lijns controle wordt uitgevoerd en de eerste en tweedelijns verantwoordelijkheden meer in de teams worden belegd. De implementatie hiervan wordt stap voor stap gedaan en vraagt ook in 2025 aandacht. De eerste stap is om met elk domein MT in gesprek te gaan om samen te bepalen welk proces vanuit de VIC volgens het Three lines model wordt versterkt. De uitvoering van het Privacybeleid, de uitvoering van het strategisch Informatieveiligheid lopen via de Three Lines. De opzet van de In control gesprekken 2025 is ook gebaseerd op het Three lines model.

2.2

Richten – inrichten – verrichten IC-gesprekken

Naast het werken vanuit het 3LM geven we ook continue aandacht aan alignment. Dat betekent in deze context dat er sprake is een logische samenwerking tussen richten – inrichten – verrichten. Net zoals bij de rolverheldering van directeuren – teammanagers en medewerkers is gedaan. Waarbij richten het strategisch niveau is, inrichten vindt plaats op managementniveau en verrichten betreft processen op operationeel vlak. Op elk niveau zou sprake moeten zijn van een werkende Plan-Do-Check-Act-cyclus (PDCA, Demming) die alle drie op elkaar ingrijpen. Dat betekent ten aanzien van het sturen dat als er richting is bepaald, er gelegenheid ontstaat om zaken in te richten en daarna te verrichten. En andersom, als het gaat om ‘beheersing’ is er informatie nodig vanuit het verrichten om de inrichting te verbeteren alsmede de richting bij te stellen. Hierin werken de eerste en tweede lijn nauw samen en de 3e lijn heeft een toezichthoudende 6/39

T25.00028

Controleplan 2025

rol (buitencirkel). Juist de samenwerking tussen de 1e en 2e lijn is noodzakelijk om uiteindelijk te kunnen spreken van alignment. Eén van de instrumenten daarvoor zijn de In control-gesprekken. Zie hiervoor het directiebesluit van 13 februari 2025 (T25.00377). Hoe dit proces loopt wordt zichtbaar in onderstaand model: de integrale interne controle cyclus. Dit model maakt duidelijk dat op de verschillende niveaus in de organisatie invulling moet worden gegeven aan het bepalen van doelen, het sturen op realisatie van doelen en het afleggen van verantwoording ten behoeve van beheersing van de processen. Daarmee organiseren we een continu proces van sturen en beheersen.

2.3

Organisatie Verbijzonderde interne Controle

Tot en met 2023 werd de Verbijzonderde interne controle uitgevoerd door een externe partij die hiervoor vier medewerkers (deeltijd) inzette. In het tweede kwartaal van 2024 kwam er één medewerker in dienst van de gemeente Lansingerland die de Verbijzonderde interne controle zelf uitvoert en werd de overige capaciteit via een extern bureau (parttime) ingehuurd. Vanaf april 2025 heeft de gemeente Lansingerland twee medewerkers VIC in dienst en wordt de inzet van externe medewerkers afgebouwd. Alleen voor de spendanalyse (VIC nr. 9 in hoofdstuk 5) wordt nog gebruik gemaakt van externe expertise. Deze verandering heeft als voordeel dat er gedurende het hele jaar aandacht gegeven kan worden aan de VIC (verspreiden van de werkbelasting in de organisatie) en dat er ook gedurende het hele jaar geadviseerd kan worden over verbetering van processen en de opvolging van bevindingen. De gedachte hierbij is dat dit helpend is voor het professionaliseren van de organisatie. Deze verandering wordt opgevangen binnen de huidige begroting.

7/39

T25.00028

Controleplan 2025

RPA – bots2 Artificiële Intelligentie (AI) krijgt ook in onze Verbijzonderde Interne controle een grotere plek. In 2024 zijn stappen gezet om op twee VIC processen RPA-bots te ontwikkelen. In 2025 vindt implementatie plaats van in ieder geval één RPA-bot die elk kwartaal een geautomatiseerde check op het proces uitvoert waardoor je risico’s eerder ziet en het verbeteren en professionaliseren van het proces uiteindelijk ook minder intensief wordt. Dat heeft als voordeel dat er op deze (deel)processen gewerkt wordt vanuit het 3LM, dat er minder sprake is van piekbelasting voor de organisatie én dat de concernstaf zich meer kan richten op het adviseren in het opvolgen van bevindingen hetgeen helpend is in de ontwikkeling naar een meer professionele organisatie. Eén van de twee RPA-bots is geïmplementeerd op een deel van het proces om te toetsen of dit de voordelen oplevert die we wensen. Omdat de implementatie van de RPA-bots de tweede lijnscontrole realiseren wordt in overleg met het team waar een RPA-bot geïmplementeerd zou kunnen worden bekeken of dit voor een team een wenselijke stap is. De kosten worden gedragen door het team dat verantwoordelijk is. Dossiervorming Voortbordurend op 2023 en 2024 wordt de dossiervorming in 2025 verder doorontwikkeld.

Uit elk controledossier moet blijken wat de conclusie is ten aanzien van de rechtmatigheidsverantwoording en ter onderbouwing hiervan dient het volgende in het dossier opgenomen te zijn: a. Wat er is gecontroleerd; o Vastlegging per proces van opzet en bestaan o Vastlegging detailwaarnemingen (gegevensgericht) op basis van de steekproef o Opstellen controlememorandum b. Aansluitingen van de controle-documentatie met de financiële verantwoording; c. Documentatie van de controle met bewijsstukken (bijvoorbeeld aanbestedingsdossiers) d. Waarom dit is gecontroleerd; e. Hoe en door wie dit is gecontroleerd; f. Het gebruikte normenkader waaraan diverse toetsingskaders en toetspunten gekoppeld kunnen zijn; g. Wat de bevindingen waren en wat daaraan is gedaan; h. Conclusie over rechtmatigheid (die op basis van audit-trail en dossier herleidbaar is). Elke controle wordt afgesloten met een rapportage waarin ook een reactie van de proceseigenaar is opgenomen. Uit die reactie blijkt ook wat er wordt gedaan met de geconstateerde bevindingen en hoe (en wanneer) daar opvolging aan wordt gegeven.

2.4

Controleprotocol met normen- en toetsingskader

Jaarlijks wordt een controleverordening waarin de goedkeuringstolerantie staat vastgesteld door de gemeenteraad. Daarbij is voor de financiële rechtmatigheidstoets een door de raad vastgesteld normenkader nodig die alle, voor de financiële beheershandelingen relevante wet- en regelgeving en interne regelgeving (verordeningen, raadsbesluiten en (wettelijk verplichte) kader stellende collegbesluiten) bevat. Door het college wordt een daaraan gekoppeld toetsingskader vastgesteld. De raad moet in de Verordening financieel beleid, beheer en organisatie Lansingerland 2024 (financiële verordening) vaststellen wat de goedkeuringstolerantie is. Bron hiervoor zijn de minimale eisen die door

2 Software robot om de VIC geautomatiseerd te laten verlopen

8/39

T25.00028

Controleplan 2025

de commissie BADO3 worden gesteld aan materialiteit. Dat betreft in de accountantscontrole de som van fouten en onzekerheden. In de rechtmatigheidsverantwoording die het college opstelt betreft het fouten en onduidelijkheden. Met onduidelijkheden wordt bedoeld dat er situaties zijn waarin het ook voor het college niet duidelijk is of er rechtmatig gehandeld is. Deze moeten door het college worden toegelicht in de rechtmatigheidsverantwoording en gewogen. Zowel fouten, onzekerheden als onduidelijkheden worden uitgedrukt in euro’s die maximaal in de jaarrekening mogen voorkomen. Het is kostbaar en tijdrovend om iedere euro die kan leiden tot een rechtmatigheidsfout te verantwoorden. Daarnaast is niet elke afwijking relevant. Alleen over afwijkingen boven een bepaalde grens wil de raad informatie ontvangen. Overwegingen bij de bepaling van de hoogte van de verantwoordingsgrens.  Informatiepositie van de raad: de raad zal een afweging moeten maken over wat wel en niet opgenomen moet worden in de rechtmatigheidsverantwoording. Hoe hoger de grens, hoe minder snel er informatie opgenomen zal worden in de rechtmatigheidsverantwoording.  Kosten van de verantwoording: informatie verzamelen en vastleggen over de rechtmatigheid is niet kosteloos, dit hangt samen met de interne beheersing van de gemeente.

 Eenduidigheid van normen en communicatie: de raad kan ervoor kiezen om aan te sluiten bij percentages die al herkend worden binnen en buiten de gemeente. Hierbij kan gedacht worden aan percentages die een rol spelen bij de interne controle, of het percentage dat de controlerend accountant hanteert in het kader van de materialiteit 4. Een rechtmatigheidsverantwoording dient vergezeld te zijn van een door de accountant verstrekte controleverklaring en een verslag van bevindingen ten aanzien van getrouwheid. Kosten De ontwikkeling zoals beschreven is in dit hoofdstuk wordt opgevangen binnen de reguliere formatie en de reguliere budgetten. Indien dit knelpunten oplevert wordt dit via het DT aan het college kenbaar gemaakt. Planning Q1-2025 Intern controleplan 2025 gemeente vaststellen Controleverordening – normenkader -

Q2-2025

Q3-2025

Q4-2025

Q1-2026

BW Raad

toetsingskader Eindrapportage Intern controleplan 2025

3

Besluit Accountantscontrole Decentrale Overheden.

4

Dit is een maatstaf die bepaalt op een bepaald bedrag al dan niet significant is.

BW

9/39

T25.00028

Controleplan 2025

3. Lansingerland in control - Integrale aanpak We streven naar een integrale aanpak als het gaat om het ‘in control’ zijn van de organisatie. Dat betekent dat we een aantal onderwerpen opnemen die in het kader van de (financiële) rechtmatigheidsverantwoording niet direct relevant zijn maar waarvan het wel zinvol is om deze in het kader van een integrale aanpak van het ‘in control’ zijn op te nemen. Denk aan privacy, informatieveiligheid, uitvoering van de Wet politiegegevens, Misbruik & oneigenlijk gebruik en het doelmatigheidsonderzoek.

3.1

Bevindingen uit 2024

Begin 2025 (18 maart 2025) is door het college een rapportage vastgesteld (T25.01770), opgeleverd door de onafhankelijke concernstaf, waarin een verband is gelegd tussen alle onafhankelijke onderzoeken die in 2024 zijn uitgevoerd. Denk aan de Verbijzonderde interne controles, de interimcontrole door de accountant, maar ook Data Protection Impact Assessment (DPIA’s) en audits die vanuit privacy en informatieveiligheid plaatsvinden. De algemene lijn die we vanuit deze audits zien is dat de administratieve lastendruk vanuit de Rijksoverheid toeneemt. Voorbeelden hiervan zijn de Wpg, de rechtmatigheidsverantwoording en de nog te implementeren Netwerk and Information Security (NIS2). De bedoeling is dat deze wetten bijdragen aan de betrouwbare overheid, dat het de lerende organisatie stimuleert via kwaliteitsverbetering. De praktijk is dat de eisen die gesteld worden aan vastlegging niet ‘zomaar’ gerealiseerd zijn binnen de bestaande capaciteit en de inhoudelijke opgaven. De inzet in 2025 is, net als in voorgaande jaren, gericht om stap voor stap verbeteringen door te voeren en daar vanuit de Concernstaf een adviserende en toetsende rol in te vervullen. Elke stap die verbetering laat zien bevestigt dat we willen leren en de kwaliteit willen verbeteren. Als we risico’s zien wordt dit bespreekbaar gemaakt.

3.2

Verantwoording over Bedrijfsvoering (art.23 Financiële verordening)

In art. 23 van de Financiële verordening gemeente Lansingerland 2024 (https://lokaleregelgeving.overheid.nl/CVDR726354/1) is opgenomen dat het college in de paragraaf bedrijfsvoering bij de begroting de verplichte onderdelen opneemt op grond van artikel 14 BBV. Het college legt in de paragraaf bedrijfsvoering bij de jaarstukken verantwoording af over: a. de omvang, opbouw en ontwikkeling van het personeelsbestand en de loonkosten; b. de kosten van inhuur derden; c. de ontplooide activiteiten in het kader van informatieveiligheidsbeleid en de resultaten hiervan; d. een toelichting op alle afwijkingen in rechtmatigheid, die in de rechtmatigheidsverantwoording zijn opgenomen en eventueel welke maatregelen worden genomen om deze afwijkingen in de toekomst te voorkomen; e. een overzicht van en toelichting op niet-financiële onrechtmatigheden in verband met het niet naleven van bepalingen in de Wet financiering decentrale overheden en de bijbehorende ministeriële regelingen, als deze voorkomen; f. geconstateerde fraude door eigen medewerkers, als dit voorkomt. Op punten a en b wordt gestuurd via de In control-gesprekken (zie paragraaf 2.2) en het dashboard MensGeldWerk. Op punt c wordt gestuurd via het jaarplan informatieveiligheid 2024-2025 (zie verder paragraaf 3.5). Over punten d en e wordt gestuurd via het voorliggende Interne controleplan en gerapporteerd via de eindrapportage.

Voor punt f zie paragraaf 3.7 van dit Interne controleplan.

3.3

Privacy

De Algemene Verordening Gegevensbescherming (hierna: AVG) regelt dat bedrijven en organisaties persoonsgegevens zorgvuldig verwerken. De AVG is ingevoerd om onze privacy beter te beschermen. De AVG 10/39

T25.00028

Controleplan 2025

dwingt organisaties zorgvuldig om te gaan met persoonsgegevens van klanten, personeel of andere personen. Op 30 november 2023 is het Privacy beleid 2023 vastgesteld (BR2300084). Hierin is de ambitie opgenomen dat we van volwassenheidsniveau 1 doorontwikkelen naar 3. Het is belangrijk om te onderzoeken of de formatie in de 1 e, 2e en 3e lijn hierop toegerust is. Daarvoor is eind 2024 een benchmark gedaan. Het rapport zal in het eerste kwartaal van 2025 worden opgeleverd. Jaarlijks wordt door het college via de Planning & Control (P&C)-cyclus over privacy gerapporteerd aan de raad. Daarnaast wordt er door de Functionaris Gegevensbescherming (FG) ter informatie een jaarverslag uitgebracht aan het Directieteam (DT) en College. Het voldoen aan de AVG vraagt om structurele borging van dit onderwerp waarbij we zowel op strategisch/tactisch als tactisch/operationeel vlak werken met een PDCA-cyclus waar sturen via kaders en beheersen middels informatie beiden onderdeel van zijn. De VNG heeft concrete beheermaatregelen opgesteld om de naleving van de privacywetgeving te borgen (AVG Borgingsproduct 2.0). De proceseigenaren worden periodiek bevraagd door de privacyofficer om in kaart te brengen in welke mate deze maatregelen succesvol zijn geïmplementeerd. Naast de aandacht voor algemene beheermaatregelen wordt de privacy geborgd door aanvullend te sturen op risico’s.

Op processen waarin privacygevoelige gegevens worden verwerkt wordt een Data Protection Impact Assessment (DPIA) uitgevoerd. Doel van dit assessment is het in kaart brengen van de specifieke risico’s van nieuwe en bestaande processen en het treffen van beheermaatregelen om deze risico’s te beperken. Het periodiek toetsen van beheermaatregelen en evalueren van privacyrisico’s, en de rapportage daarover, stelt de organisatie in staat op n.a.v. de opgestelde rapportages concrete verbetering door te voeren (PDCAcyclus). De verantwoordelijkheid voor het verbeteren van de werkprocessen ligt bij de proceseigenaren. Van de proceseigenaren wordt verwacht dat zij daarover rapporteren aan de privacy officer. In periodieke in-control gesprekken wordt aandacht besteed aan bewustwording, datalekken, verzoeken van betrokkenen, DPIA’s en aan de voortgang van de aanpak van eerder gerapporteerde bevindingen. Op basis van het Privacy beleidskader wordt elke twee jaar een tweejarenplan Privacy opgesteld met daarin de uit te voeren activiteiten op het gebied van privacy voor de komende periode. De bevoegdheid voor het vaststellen en uitvoeren hiervan ligt bij het DT (T21.09952). Het jaarplan is een belangrijk aspect van de PDCA-cyclus. Om de voortgang te borgen worden rapportages opgesteld door de sr. privacy jurist en de Chief Information Security Officer (CISO).

Deze worden vanaf 2024 voorgelegd aan het management via de In controlgesprekken en daarnaast aan de wethouder. In de rapportages wordt een toelichting gegeven op de voortgang van de uitvoering van het jaarplan en worden bijzonderheden en knelpunten toegelicht. Tevens worden ambities indien nodig bijgesteld en worden bevindingen neergelegd bij de proceseigenaren. Indien er aanleiding toe is worden bevindingen uit de rapportages gedeeld met het College. Beoogde resultaten 2025: - Privacy jaarverslag en jaarverslag FG opleveren aan het DT (Q2-2025) - Proces wijze van rapporteren inrichten met een helder onderscheid naar verantwoordelijkheden (MT, DT, college, raad) - Via P&C-producten rapporteren aan de raad

11/39

T25.00028

Controleplan 2025

Kosten Het kan zijn dat uit de benchmark blijkt dat de formatie om alle noodzakelijke DPIA’s te doen en om te ontwikkelen naar volwassenheidsniveau 3 (raadsbesluit privacybeleid) niet voldoende is. Daar wordt een separaat advies voor gemaakt. Er is bij de Concernstaf (werk door derden) een werkbudget beschikbaar in de jaren 2025 en 2026 van € 5.000.

3.4

Wet politiegegevens

De gemeente Lansingerland heeft buitengewoon opsporingsambtenaren (boa’s) in dienst. Boa’s houden toezicht, sporen strafbare feiten op en dragen bij aan de handhaving van de openbare orde en veiligheid. Aan de verwerking van politiegegevens door boa’s, zoals het verzamelen, bewaren en delen van politiegegevens, zijn strikte eisen gesteld. Zo wordt misbruik van gegevens voorkomen en de privacy van burgers gewaarborgd. De verwerking van persoonsgegevens door boa’s valt onder twee verschillende wetten. De Algemene Verordening Gegevensbescherming (hierna: Avg) is van toepassing op de toezichtstaken van de boa. Het controleproces ten aanzien van deze gegevensverwerking is in de voorgaande alinea beschreven. Voor de opsporingstaken van de boa geldt de Wet politiegegevens (hierna: Wpg). In onze organisatie hebben de boa’s openbare orde en veiligheid, en de leerplichtambtenaren opsporingstaken. Op grond van de Wpg zijn we als gemeente verplicht elke 4 jaar een externe audit te doen en die te verstrekken aan de Autoriteit Persoonsgegevens. Indien niet voldaan is aan alle in de Handreiking privacy audit Wpg voor Boa’s opgenomen normen, dient er in het jaar volgend op het auditjaar een her-controle plaats te vinden om aan te tonen dat bevindingen zijn opgevolgd. Daarnaast zijn we verplicht om jaarlijks een interne audit te doen.

Die moet worden uitgevoerd door iemand met voldoende kennis van zowel de verwerkingsprocessen als de relevante wetgeving. De interne auditor moet zich bij het uitvoeren van de audit onafhankelijk opstellen. De audits moeten worden uitgevoerd op basis van een auditplan (T24.03004). Op basis van bevindingen dient een verbeterplan opgesteld te worden. In 2025 vindt de externe audit plaats over de jaren 2021 - 2024. De opdrachtgevende rol is belegd bij de Concernstaf. De werkzaamheden worden verricht binnen domein Samenleving. Omdat de externe audit in 2025 wordt uitgevoerd, is een interne audit pas in 2026 nodig. Beoogde resultaten 2025: - Vervullen opdrachtgevende rol externe audit Kosten Deze werkzaamheden worden binnen de reguliere formatie opgepakt (concernstaf, domein samenleving/ team veiligheid & APV, domein bedrijfsvoering/team JZ&I). Er is bij de Concernstaf (werk door derden) een werkbudget beschikbaar in de jaren 2025 en 2026 van € 18.000 voor de uitvoering van deze audits.

3.5

Informatieveiligheid

De basis voor de inrichting van het strategisch informatiebeveiligingsbeleid (T23.06133) zijn de ISO 27001, de ISO 27002 en de Baseline Informatiebeveiliging Overheid (BIO) – het normenkader voor informatiebeveiliging binnen de gehele overheid. Het strategisch beleid is de basis voor de tactische beleidsplannen en werkinstructies om hiermee richting te geven aan de verdere invulling van informatiebeveiliging op tactisch en operationeel niveau. In het jaarplan informatieveiligheid 2024 staan de speerpunten voor de jaren 2024 en 2025 genoemd. Het jaarplan komt tot stand met input vanuit meerdere interne bronnen (gap analyse, 12/39

T25.00028

Controleplan 2025

incidenten, ISMS, etc.) en externe bronnen (o.a. ENSIA verantwoording, Cybersecuritybeeld – NCTV, Dreigingsbeeld Informatiebeveiliging Nederlandse Gemeenten – VNG en input van IBD). Vanaf 2025 worden halfjaarlijkse rapportages opgesteld over voortgang van de uitvoering van het jaarplan, uitgevoerde controles, incidenten, risico’s en eventuele bijzonderheden. De rapportages worden voorgelegd aan het management via de In control-gesprekken en daarnaast aan de wethouder. Hiermee wordt het voor de organisatie mogelijk om verbeteringen door te voeren. Indien er aanleiding toe is worden bevindingen uit de rapportages gedeeld met het College. De raad wordt jaarlijks geïnformeerd over informatiebeveiliging. Dit gebeurt via het gemeentelijke jaarverslag en de ENSIA verantwoording. De verwachting is dat de NIS2 richtlijn in 2025 in Nederlandse wetgeving (cybersecuritywet CSW) wordt vertaald en dat de BIO2, opvolger van de huidige BIO, wettelijk verankerd wordt 5. BIO2 is de uitkomst van een evaluatie van huidige BIO en daarnaast worden in BIO2 nieuwe maatregelen uit NIS2 opgenomen 6. NIS2/CSW zal naar verwachting voor gemeenten meer verplichtingen op gebied van informatieveiligheid met zich meebrengen. Dit vertaalt zich mogelijk in een toename op gebied van controles, toezicht en verantwoording. Verwachting is dat ENSIA hiervoor uitgebreid zal worden.

Beoogde resultaten 2025: - Jaarverslag informatieveiligheid via de paragraaf bedrijfsvoering van de jaarrekening - Uitvoeren jaarplan informatieveiligheid - Implementatie NIS2 gestart Kosten Deze werkzaamheden worden binnen de reguliere formatie opgepakt. Voor wat betreft de implementatie van NIS2 zijn eind Q1-2025 de werkzaamheden meer inzichtelijk. De verwachting is geen extra structurele capaciteit nodig is binnen de concernstaf. Wat het formatief betekent voor de domeinen Bedrijfsvoering en Ruimte en Economie is nog niet bekend. Er is bij de Concernstaf (werk door derden) een werkbudget beschikbaar in de jaren 2025 en 2026 van € 34.000 voor de ENSIA-audit en recourse (BIO) en voor implementatie van NIS2 is in de jaren 2025 en 2026 € 100.000 incidenteel budget beschikbaar.

3.6

Misbruik en oneigenlijk gebruik

Vertrouwen speelt een grote rol in het gemeentebreed verlenen c.q. vaststellen van vergunningen, heffingen, belastingen en subsidies. Burgers en gemeentebestuur moeten er op kunnen vertrouwen dat overheidsbesluiten correct genomen en uitgevoerd worden en dat geen misbruik wordt gemaakt van gemeenschapsgelden. Misbruik of oneigenlijk gebruik van overheidsgeld leidt niet alleen tot financiële schade, maar levert ook een deuk op in het vertrouwen tussen overheid en burger. Niet voor niets krijgt ook in de controle door de accountant het onderwerp fraude een steeds prominentere plek. Vanuit de rechtmatigheidsverantwoording zijn aanvullende eisen gesteld aan hebben gehandeld conform het doel of de strekking van de regeling zoals met hen is afgesproken. Dat betreft bijvoorbeeld subsidiepartners, partijen waarmee een inkooprelatie is aangegaan en inwoners die te maken hebben met een uitkering en/of kwijtschelding. Diverse overige criteria van rechtmatigheid vallen tevens onder de toetsing 5 https://www.informatiebeveiligingsdienst.nl/faq/qas-voor-gemeenten-over-nis2-cyberbeveiligingswet-en-bio2/ 6 https://www.digitaleoverheid.nl/overzicht-van-alle-onderwerpen/nis2-richtlijn/veelgestelde-vragen-over-de-nis2-richtlijn/#v1

13/39

T25.00028

Controleplan 2025

van het ‘getrouw beeld’ en worden door de accountant getoetst. In 2023 is de nota Voorkomen van misbruik en oneigenlijk gebruik gemeente Lansingerland vastgesteld door de raad (T23.03378). Hieraan is een normen en toetsingskader gekoppeld.

3.7

Integriteit – signaleren van fraude

In 2024 is in de organisatie met een nieuw Integriteitsbeleid gewerkt met bijbehorende gedragscode. Deze zijn opgenomen in het Personeelshandboek. Daarnaast wordt er jaarlijks een frauderisico-analyse opgesteld. Vanaf 1 januari 2023 is aansluiting gevonden bij LSI (Landelijke Stuurgroep Interventieteams) (BW2300009). Door het convenant te ondertekenen realiseren de partners door middel van samenwerking één landelijk dekkende structuur waardoor fraude en andere wetsovertredingen worden aangepakt. Dat leidt tot een effectievere aanpak van fraude en andere misstanden. Met name gericht op sociale voorzieningen (sociale zekerheid, inkomensafhankelijke regelingen, voorkomen van belasting- en premiefraude, niet naleven van arbeidswetten). Ketenpartners zijn De Nederlandse arbeidsinspectie, het UWV, de SVB, Toeslagen en Belastingdienst. De accountant heeft in de Boardletter 2024 geconstateerd dat er nog geen frauderesponseplan is. Dat wordt in 2025 opgesteld en geïmplementeerd. Beoogde resultaten 2025: opstellen en implementeren Frauderesponseplan Kosten Het opstellen van het Frauderesponsplan wordt in Q1-2025 opgepakt binnen de bestaande capaciteit. Voor werkzaamheden ten aanzien van voorkomen van fraude is geen budget beschikbaar binnen de Concernstaf.

3.8

Doelmatigheidsonderzoek 2025 (213A) - inzet sociale basis Samenleving

In 2023 is de Verordening onderzoeken doelmatigheid en doeltreffendheid 2023 vastgesteld. In deze verordening is opgenomen dat het college jaarlijks een doelmatigheidsonderzoek uitvoert tenzij het college gemotiveerd voorstelt dit niet te doen (art. 2). Aanleiding De gemeente Lansingerland heeft de afgelopen periode nieuw beleid ontwikkeld. De Samenlevingsvisie en bijbehorende beleidsplannen voor het sociaal domein. Onderdeel van het beleid is het inzetten op een stevige sociale basis, om daarmee inwoners bij (hulp)vragen tijdig en passend een aanbod te bieden van vrij toegankelijke voorzieningen. De verwachting is dat het aanbod in de sociale basis bijdraagt aan een verminderde vraag naar (individuele) maatwerkvoorzieningen. Met de inzet van een artikel 213a onderzoek (onderzoek doeltreffendheid en doelmatigheid) willen we onderzoeken of we uitvoering van het beleid doelmatig en effectief inrichten via onze subsidies en inkoopcontracten en of er mogelijk sprake is van dubbelingen.

Doel van het onderzoek Met het artikel 213a onderzoek beogen we: Inzicht te krijgen in hoeverre de huidige beleidsuitvoering, via inkoop en subsidie, aansluit bij het beleid (Werken we aan het goede) Dragen de subsidieregeling Samenleving en de relevante inkoopcontracten bij aan het gewenste maatschappelijk effect conform het vigerende beleid? Hebben wij het subsidieproces doelmatig en effectief ingericht? 14/39

T25.00028

Controleplan 2025

Hebben we kansen om nog beter aan te geven wat er nodig is en aan wat we vragen van onze partijen? Zijn er mogelijkheden om de sociale basis efficiënter in te richten? Inzicht in gemeentelijk accounthouderschap inkoop- en subsidierelaties (Doen we het goed) Verkrijgen we via het huidige accounthouderschap, via beschikkingen, prestatieafspraken, accountgesprekken en verantwoording voldoende beeld dat met de ingezette middelen het beoogde maatschappelijk effect bereikt wordt? Inzicht doelmatigheid en doeltreffendheid subsidie- en inkooppartijen (Werken de partijen efficiënt en verifieerbaar) Werken de gecontracteerde en gesubsidieerde partijen efficiënt? Weten zij inzichtelijk te maken of zij het gewenste maatschappelijk effect realiseren? Verbetervoorstellen over: o Advies bevorderen doelmatigheid en doeltreffendheid Subsidieregeling Samenleving o Advies bevorderen doelmatigheid en doeltreffendheid prestatieafspraken inkoopcontracten sociaal domein o Advies over doelmatigheid en doeltreffendheid huidig ingerichte sociale basis o Advies over individuele subsidie of contractpartijen waar er mogelijkheden zijn voor bevorderen doelmatigheid en doeltreffendheid Afbakening Het onderzoek gaat over alle partijen in de sociale basis. Waaronder, maar niet uitsluitend: 1. Inkoop: Praktijkondersteuner Huisarts (POH), Jeugdcoach op school (JOS) en Jeugd- en Jongerenwerk (JJW) 2.

Subsidie: Welzijn Lansingerland, Humanitas, Kwadraad, CJG, Bibliotheek Oostland 4. Aanpak Het onderzoek verloopt in twee fasen. In deel I van het onderzoek wordt aandacht besteed aan de vraag of Lansingerland in staat is zicht te krijgen op de doelmatigheid en doeltreffendheid van inkoop en subsidie ten aanzien van de sociale basis. In deel 2 staat de vraag centraal of met subsidie en inkoop ook daadwerkelijk doelmatig wordt gewerkt en de beoogde doelen worden gerealiseerd. Het onderzoek wordt in 2025 uitgevoerd door Andersson Elffers Felix (AEF). Kosten Voor het uitvoeren van dit onderzoek is bij de Concernstaf in de jaren 2025 en 2026 een werkbudget beschikbaar van €15.000. Hiermee wordt fase 1 gedekt. Voor fase 2 wordt aanvullend budget aangevraagd via de zomerrapportage 2025 door domein Samenleving.

3.9

Beheersing financiële stromen

Bij de controle op de beheersing van financiële stromen wordt gebruik gemaakt van de volgende regelgeving en verordeningen (normenkader):  Financiering decentrale overheden (FIDO)  Gemeentewet;  Besluit Begroting en Verantwoording (BBV)  Besluit Accountantscontrole Decentrale Overheden (BADO) 15/39

T25.00028

    

Controleplan 2025

Omgevingswet Aanbestedingswet 2012 (inclusief gids proportionaliteit) Financiële verordening (2024) Controleverordening (nog op te stellen in 2025) Algemene subsidieverordening (2018)

De wet- en regelgeving is verwerkt in het financieel beheer. Het financieel beheer omvat het geheel van beslissingen, handelingen en regels die zijn bedoeld voor de sturing en beheersing van financiële aspecten van het beleid en de bedrijfsvoering. In de scope van de VIC gaat het om het controleren van de beheershandelingen in een proces ten behoeve van een financiële stroom en niet om het financieel beheer, hetgeen een lijnactiviteit is. Hierdoor kan vastgesteld worden dat de rechtmatigheidscriteria7 in het financieel beheer zijn gewaarborgd. In de checklijsten (werkprogramma’s) zijn toetspunten opgenomen die de relevante rechtmatigheidscriteria toetsen en daarmee het financieel beheer. Het evalueren van het begrotingscriterium vindt plaats op het niveau van de programma’s, zie hoofdstuk 4.1. Planning Q1-2025

Q2-2025

Q3-2025

Q4-2025

Privacy: Jaarverslag en jaarverslag FG opleveren aan het DT (Q2-2025) Proces wijze van rapporteren inrichten met een helder onderscheid naar verantwoordelijkheden (MT, DT, college, raad) Via P&C-producten rapporteren aan de raad Wpg: externe audit Informatieveiligheid: Jaarverslag via de paragraaf bedrijfsvoering van de jaarrekening 2024 Informatieveiligheid: Uitvoeren jaarplan Opstellen en implementeren frauderesponseplan Doelmatigheidsonderzoek 2013A

7 Valutering-, adressering-, calculatie-, aanvaardbaarheids-, Leverings-, voorwaarden-, volledigheid-, M&O- en

begrotingscriterium. 16/39

T25.00028

Controleplan 2025

4. Transactiestromen en risicoanalyse 4.1

Significante transactiestromen (en processen) - VIC’s 2025

Binnen de gemeente Lansingerland lopen verschillende financiële transactiestromen die wij hieronder hebben opgesomd. Wij hebben de significante/kritische processen in kaart gebracht op basis van de financiële transactiegrootte (baten, lasten, balansmutaties of balansposities > € 4,59 miljoen (begroting: 2025) die een impact hebben op de jaarrekening. De processen die in 2025 zijn aangemerkt als significant staan hieronder. Dit kan theoretisch gezien jaarlijks wijzigen, afhankelijk van de financiële transactiegrootte. Op basis van ervaringen in voorgaande jaren en bestaande werkwijzen onderkennen wij de volgende transactiestromen, die ten grondslag zullen liggen aan de jaarrekening 2025. In deze stromen maken wij onderscheid in aanpak: procesgericht of gegevensgericht. De financiële stromen zijn onderdeel van gemeentelijke programma’s: Programma

Uitgaven/Lasten

Bron

Inkomsten

Bestuur en dienstverlening Openbare orde en veiligheid Sport, cultuur en onderwijs Sociaal Domein Kwaliteit openbare ruimte Lansingerland ontwikkelt Grondexploitatie Algemene dekkingsmiddelen en overhead

7,2 miljoen 8,4 miljoen 17,3 miljoen 71,3 miljoen 41,2 miljoen 17,9 miljoen 38,4 miljoen 27,0 miljoen

Lokale heffingen Rente en dividenden Grondexploitaties Overige inkomsten Algemene uitkering

25,0 miljoen 3,6 miljoen 38,1 miljoen 34,4 miljoen 103,5 miljoen

Procesgericht8: 1. Verbonden partijen Gegevensgericht: 2. Treasury (aantrekken en uitzetten van gelden incl. rentebaten, rentelasten en dividend) 3. Memoriaalboekingen 4. Personele lasten (lonen en salarissen) 5. Factuurverwerking en betalingen (inkoop en betalingen) 6. Grondexploitatie, grondaankopen en grondverkopen (GREX) 7. Omgevingsvergunningen 8. Huur- en overige opbrengsten 9. Europese aanbestedingen (duurzame goederen/investeringen/ inkoop en aanbesteding 10. Subsidieverstrekkingen (incl. vaststellingen) 11. Investeringen

8

Dit wil zeggen dat het proces wordt beoordeeld en de maatregelen getoetst. Alleen daar waar significante risico’s gedetecteerd worden, worden detailcontroles uitgevoerd. 17/39

T25.00028

Controleplan 2025

VIC’s met specifieke controle aanpak Een aantal van de significante transactiestromen van onze gemeente vergen een dusdanige specifieke controleaanpak dat zij daarom niet of op andere wijze in de reguliere interne controle worden betrokken. 12. Participatiewet, WMO, Jeugd en Kinderopvang Toeslagen (KOT) (apart controleplan Sociaal Domein) 13. Prestatieleveringen Jeugd en WMO (apart controleplan Sociaal Domein) 14. Algemene uitkering 15. Inkomende (incidentele) subsidies en SiSa-regelingen 16. Frauderisico analyse Op bovengenoemde processen worden werkzaamheden gepland en uitgevoerd. Zie hoofdstuk 5 voor de uitwerking van de processen en bijlage 3 voor de risicoanalyse.

4.2

Risico-inschatting

De risicoanalyse richt zich met name op de significante sub-processen die in kaart zijn gebracht aan de hand van onder andere de financiële stromen van de gemeente. De inherente risico’s die gepaard gaan met deze processen zijn op voorhand geïdentificeerd in bijlage 3. Vervolgens is een classificatie gegeven aan deze risico’s op basis van kans * impact (Hoog/Midden/Laag). De risico-classificatie kan gedurende de controle wijzigen, gezien de kans voornamelijk wordt beïnvloed door de aanwezige interne beheersingsmaatregelen. Het uitgangspunt voor onze risicoanalyse is dat de beschreven interne beheersingsmaatregelen in bijlage 4 adequaat zijn geïmplementeerd in de processen. Indien gedurende de controle blijkt dat deze interne beheersingsmaatregelen tekortschieten, zal de risicoclassificatie worden verhoogd. Consequenties hiervan zijn dat het aantal deelwaarnemingen worden verhoogd om genoeg zekerheid te verkrijgen om een oordeel te geven over de rechtmatigheid. Voor 2025 zullen wij op basis van de opgestelde risicoanalyse (zie bijlage 3), in afstemming met de accountant, de scope van onze VIC bepalen en de werkzaamheden uitvoeren.

Naast de risicoanalyse op de significante transactiestromen is het ook relevant te beoordelen in hoeverre er in 2025, naast de reguliere processen, bijzondere transacties en gebeurtenissen zijn die specifieke (extra) aandacht behoeven van de interne controle of van het management (directie en concern control). Voor 2025 zou hierbij gedacht kunnen worden aan: A. Ontwikkelingen rondom majeure grondexploitaties; B. Integraal Huisvestingsplan; C. Toenemende kosten jeugdzorg (GRJR); D. Fiscaal risico. E. Meerjaren Investerings Programma (MIP) We zullen met de accountant bespreken in hoeverre deze onderwerpen specifieke aandacht vanuit de Verbijzonderde Interne Controle (VIC) vergen. De risico-classificaties die in dit plan worden onderkend zijn als volgt te definiëren: Laag risico

Een geïdentificeerd en ingeschat risico op een afwijking van materieel belang waaraan tijdens de controle in relatief beperkte mate aandacht moet worden besteed.

Midden risico

Een geïdentificeerd en ingeschat risico op een afwijking van materieel belang waaraan tijdens de controle aandacht moet worden besteed.

18/39

T25.00028

Hoog

Controleplan 2025

Een geïdentificeerd en ingeschat risico op een afwijking van materieel belang waaraan tijdens de controle bijzondere aandacht moet worden besteed.

Bij het toepassen van oordeelsvorming (trekken van conclusies) over de vraag welke risico’s significante risico’s zijn, is ten minste rekening te houden met:  De vraag of het risico een frauderisico betreft;  De vraag of het risico verband houdt met recente significante ontwikkelingen op economisch, boekhoudkundig of ander gebied en daarom specifieke aandacht vereist;  De complexiteit van transacties;  De vraag of het risico verband houdt met significante transacties met verbonden partijen;  De mate van subjectiviteit bij het waarderen van financiële informatie met betrekking tot het risico, vooral als de waardering veel onzekerheid inhoudt; en  De vraag of het risico verband houdt met significante transacties die buiten het kader van de normale bedrijfsvoering van de entiteit vallen of die anderszins ongebruikelijk lijken. Concreet betekent een hogere risico-inschatting dat door het VIC-team en de lijnorganisatie steeds meer werkzaamheden (waarnemingen) moeten worden verricht.

19/39

T25.00028

Controleplan 2025

5. Verbijzonderde interne controles – aanpak en uitvoering In dit hoofdstuk worden de in hoofdstuk 4 benoemde VIC’s verder uitgewerkt. Te beginnen de procesgerichte VIC, daarna de gegevensgerichte VIC en tot slot de VIC met een bijzondere aanpak. Verbijzonderde interne controle (VIC) is een aanvulling op de al bestaande IC-maatregelen en is gericht op een beoordeling of de bedoelde interne controles in het proces de onderkende risico’s afdoende mitigeren, daadwerkelijk functioneren en effectief zijn. Bij een VIC voert een (interne) toezichthouder (3e lijn, zie paragraaf 2.1, 2.2 en 2.3) op onafhankelijk en objectieve wijze een controle uit op het betreffende werkproces. Het doel is dat de VIC zekerheid/onderbouwing/informatie biedt over de rechtmatige totstandkoming van baten, lasten en balansmutaties en daarmee over input voor de getrouwheid van de rechtmatigheidsverantwoording 2025. Het gaat dan om financiële inclusief fiscale rechtmatigheid. Praktisch houdt dit in dat gemeente Lansingerland met het team Verbijzonderde Interne Controle (VIC) tussentijds financiële transacties toetst op zowel getrouwheid als rechtmatigheid. Getrouwheid geeft antwoord op de vraag “Klopt er wat er staat en staat alles er wat er moet staan?”, terwijl (financiële) rechtmatigheid de vraag “Zijn wet- en regelgeving (W&R) in financiële zin correct nageleefd door de gemeente?” beantwoordt.

Door deze VIC’s gedurende het jaar uit te voeren kunnen onvolkomenheden in de uitvoering van processen tijdig worden opgespoord en gecorrigeerd. Het gaat daarbij voortdurend om het verbeteren van de (werk)processen. Om een systematische VIC uit te voeren wordt in dit controleplan aangegeven op welke manier invulling wordt gegeven aan deze controle. Door het systematisch uitvoeren van de VIC’s ontstaat een Plan-Do-Check-Act (PDCA) cyclus waarmee de basis voor control/kwaliteitsverbetering wordt gelegd. Gezien de ontwikkeling die we willen doormaken met de implementatie van het Three lines model wordt per VIC ook aangeven wat de huidige situatie is per VIC. De ambitie is om de VIC’s met dermate hoge kwaliteit uit te voeren dat we kunnen verklaren en aantonen dat we rechtmatig handelen (volgens wet- en regelgeving) waarbij aan het normenkader wordt getoetst. De accountant toetst de getrouwheid (is de informatie juist en toereikend) eveneens met een normenkader. In 2025 houden we in de basis het volgende schema aan:  Ten opzichte van 2024 zullen de detailcontroles zoveel als mogelijk maandelijks worden uitgevoerd. Door een maandelijkse uitvoering wordt de piekbelasting minder voor zowel het VIC-team als de organisatie. Waar nodig zal maatwerk bij de interne controles worden geleverd en kan een andere periodiciteit worden toegepast.

5.1

Vereisten dossiervorming – vastlegging - rapportages

Over de uitkomsten van de interne controle wordt per kwartaal gerapporteerd. Deze rapportages worden opgeslagen in de genoemde mappen en aangeleverd aan de concerncontroller. Met betrekking tot de rapportering van de uitkomsten uit de interne controles zullen de volgende onderdelen worden gerapporteerd in een rapport van bevindingen:

20/39

T25.00028

Controleplan 2025

De uitgevoerde werkzaamheden per relevante transactiestroom, waarbij wordt ingegaan op de volgende aspecten: a. De gecontroleerde aantallen; b. De uitkomsten van deze gecontroleerde waarnemingen; c. Eventuele verbeterpunten en risico’s voor de jaarrekening en jaarverantwoordingen; d. Eventuele verbeterpunten in de procesmatige handelingen met betrekking tot de interne controle; e. Of de controles op schema lopen of dat er achterstanden zijn in de uitvoering van de controles (inclusief eventuele escalaties). f. De steekproeven zullen door het VIC team zelf worden voorbereid. Er zijn twee rapportage-modellen die als opzet dienen. Deze zijn afgestemd met de accountant. De accountant en het VIC-team maken op basis van deze uitgangspunten een detailplanning zodat er sprake van een goed lopend proces is met een zo klein mogelijke controle-belasting voor de organisatie en de Managementletter (MML) in november kan worden opgeleverd. Per proces is opgeschreven wat de ontwikkeling is vanuit de controles door concernstaf van de implementatie Thee Lines model. Legenda: Concernstaf voert eerste lijnscontrole uit Concernstaf voert tweede lijnscontrole uit Concernstaf voert derde lijnscontrole uit Concernstaf voert geen controle uit

5.2

Procesgerichte VIC

1. Verbonden partijen Omschrijving

Fase in Three lines model

Omvang begrotingspost Procesverantwoordelijke Risico’s Controlepunten Documentatie

De gemeente Lansingerland heeft verschillende verbonden partijen waarbij of taken zijn gemandateerd/gedelegeerd of er is een subsidierelatie. Een relevante verbonden partij is SVHW die belastingen en heffingen oplegt en int voor de gemeente Lansingerland Controles worden door de Concernstaf uitgevoerd vanuit een 2e lijns rol. Dat betekent dat voor één transactie een zichtbare aansluiting wordt gemaakt met onderliggende documenten. Vanuit de MML is aangegeven dat een verdere centrale aansturing van een coördinator nodig is. Daarmee wordt doorontwikkeling van de three lines mogelijk. NVT Domein Bedrijfsvoering – team Financiën Zie nummer 1 in bijlage 3 (T25.02501) Zie nummer 1 in bijlage 3 (T24.02501) Voor het uitvoeren van de werkzaamheden zijn toetspunten vastgesteld die door BDO zijn gebruikt bij de interimcontrole 2024 en daarmee goed 21/39

T25.00028

Controleplan 2025

Criterium RMV

5.3

bevonden. Vastlegging vindt plaats op G:\CS\@Audit-rechtmatigheid-VIC \ Rechtmatigheid-VIC \ Rechtmatigheid 2025 onder nummer 1. Verbonden partijen. Voorwaarden, M&O en Begroting

Scope gegevensgerichte VIC

De werkzaamheden starten met het inzichtelijk maken van de omvang van de geldstromen die gemoeid zijn met de onderwerpen die in dit plan zijn opgenomen (scoping). De scoping wordt door het VIC-team afgestemd met BDO. De scoping wordt als volgt opgesteld:  Alle FCL-nummers worden gekoppeld aan balans, programmarekening, programmarekening (specifiek GREX), investeringen, reserve mutaties of voorzieningen mutaties.  Vervolgens worden alle ECL-nummers in de data dump gekoppeld aan een proces, hiervan wordt een draaitabel gemaakt. In de scoping worden de volgende stromen/processen behandeld:  Treasury  Personele lasten (lonen en salarissen)  Factuurverwerking en betalingen (inkoop en betalingen  Grondexploitatie, grondaankopen en grondverkopen (GREX)  Omgevingsvergunningen  Huur- en overige opbrengsten  Europese aanbestedingen (duurzame goederen/investeringen/ inkoop en aanbesteding  Subsidieverstrekkingen 2. Treasury

Omschrijving Fase in Three lines model

Omvang begrotingspost Procesverantwoordelijke Risico’s Controlepunten Documentatie

Criterium RMV

Treasury (aantrekken en uitzetten van gelden incl. rentebaten, rentelasten en dividend) Vanuit concernstaf worden achteraf 2e lijns controles uitgevoerd op het treasury statuut, mandaatregeling, renterisiconorm en kasgeldlimiet.Dit handhaven we in 2025. NVT Domein Bedrijfsvoering – team Financiën Zie nummer 2 in bijlage 3 (T25.02501). Zie nummer 2 in bijlage 3 (T25.02501). Voor het uitvoeren van de werkzaamheden zijn toetspunten vastgesteld die door BDO zijn gebruikt bij de interimcontrole 2024 en daarmee goed bevonden. Vastlegging vindt plaats op G:\CS\@Audit-rechtmatigheid-VIC \ Rechtmatigheid-VIC \ Rechtmatigheid 2025 onder nummer 2. Treasury NVT

22/39

T25.00028

Controleplan 2025

3. Memoriaalboekingen

Omschrijving

Fase in Three lines model

Omvang begrotingspost Procesverantwoordelijke Risico’s Controlepunten Documentatie

Criterium RMV

Een memoriaalboeking is een administratieve verrekening tussen of binnen verschillende grootboekrekeningen. Aanleiding: foutieve boekingen, verrekeningen met kostenplaatsen, boekingen reserves en voorzieningen, afstemming sub administraties/leegboeken sub administraties, transitoria afwikkelingen en interne verrekeningen tussen afdelingen. Dit proces wordt in 2025 verbeterd op basis van het Three lines model waardoor we in het proces een duidelijke scheiding maken tussen 1e, 2e en 3e lijn. Dat betekent dat de concernstaf vanaf 2026 3e lijnscontroles kan uitvoeren. NVT Domein Bedrijfsvoering – team Financiën Zie nummer 3 in bijlage 3 (T25.02501). Zie nummer 3 in bijlage 3 (T25.02501). Voor het uitvoeren van de werkzaamheden zijn toetspunten vastgesteld die door BDO zijn gebruikt bij de interimcontrole 2024 en daarmee goed bevonden. Vastlegging vindt plaats op G:\CS\@Audit-rechtmatigheid-VIC \ Rechtmatigheid-VIC \ Rechtmatigheid 2025 onder nummer 3. Memoriaalboekingen. NVT

4. Personele lasten (lonen en salarissen)

Omschrijving Fase in Three lines model

Omvang begrotingspost Procesverantwoordelijke Risico’s Bepaling deelwaarnemingen

Vaststellen dat de processen van de personele lasten (lonen en salarissen) rechtmatig verlopen. In 2025 wordt dit proces verbeterd op basis van het three lines model. In 2025 ondersteunt de concernstaf OHRM zodat 2e lijnscontroles door henzelf worden uitgevoerd. Vanaf 2026 voert OHRM de 2e lijnscontroles uit en beoordeelt de concernstaf deze periodiek als 3e lijnscontrole. € 61,8 miljoen Domein Bedrijfsvoering – team O&HRM Zie nummer 4 in bijlage 3 (T25.02501). In overleg met de accountant zullen de steekproefaantallen worden bepaald, als ook de selectie aan deelwaarnemingen die gecontroleerd dienen te worden. De gemeente trekt de steekproef. Bij het uitvoeren van de steekproeven door de gemeente zelf, zal worden gewaarborgd dat deze objectief tot stand komen. Hiervoor zullen de volgende maatregelen getroffen worden: 1. De steekproef zal niet worden getrokken door de medewerker die belast is met de uitvoering van de VIC op de transactiestroom. Dit om het risico te ondervangen van het terugleggen vaneen geselecteerde waarneming bij constatering van een fout. 23/39

T25.00028

Controleplan 2025

2. De vastlegging van de steekproef vindt op een dusdanige wijze plaats dat achteraf door een onafhankelijke derde vast te stellen is, en te reproduceren is, op welke wijze de waarnemingen uit de steekproef zijn bepaald en dat hierbij geen sprake is geweest van willekeur. Controlepunten Documentatie

Criterium RMV

Zie nummer 4 in bijlage 3 (T25.02501). Voor het uitvoeren van de werkzaamheden zijn toetspunten vastgesteld die door BDO zijn gebruikt bij de interimcontrole 2024 en daarmee goed bevonden. Vastlegging vindt plaats op G:\CS\@Audit-rechtmatigheid-VIC \ Rechtmatigheid-VIC \ Rechtmatigheid 2025 onder nummer 4 Personele lasten. M&O, Voorwaarden, Begroting

5. Factuurverwerking en betalingen (inkoop en betalingen) Omschrijving Inkoopproces van goederen en diensten. Het gaat om de controle of op basis van de factuur de juiste bedragen naar de juiste bankrekening is overgemaakt. Daarnaast moet aandacht zijn voor autorisaties (ook bij spoed) en mutaties van crediteurenstamgegevens. Fase in Three lines model In een deel van dit proces wordt in 2025 een RPA-bot geïmplementeerd waardoor controles geautomatiseerd verlopen. De concernstaf verricht op de output van deze rapportages de 3e lijnscontroles. Voordat de factuur betaald wordt dient de prestatielevering te worden vastgesteld, op deze controle wordt door concernstaf een 2e lijnsrol uitgevoerd. Omvang begrotingspost € 50,1 miljoen Procesverantwoordelijke Domein Bedrijfsvoering – team Financiën Risico’s Zie regel 5 in bijlage 3 (T25.02501). Bepaling deelwaarnemingen In overleg met de accountant zullen de steekproefaantallen worden bepaald, als ook de selectie aan deelwaarnemingen die gecontroleerd dienen te worden. De gemeente trekt de steekproef. Bij het uitvoeren van de steekproeven door de gemeente zelf, zal worden gewaarborgd dat deze objectief tot stand komen.