BIJLAGE 3 - Interne Controleplan 2024

Intern Controleplan 2024 VAN DE GEMEENTE LAREN

1. Inhoudsopgave 2. Algemeen ............................................................................................................................................3 2.1 Inleiding ........................................................................................................................................3 2.2 Controle ........................................................................................................................................3 2.2.1 College ...................................................................................................................................3 2.2.2 Raad .......................................................................................................................................3 2.2.3 Rol accountant .......................................................................................................................3 2.3 Proces beheersen en intern controle plan ...................................................................................3 2.3.1 Overzicht van bevindingen en aanbevelingen ...........................................................................3 3.

Rechtmatigheidsverantwoording .......................................................................................................5 3.1 Verantwoordingscriteria rechtmatigheid en getrouwheid ...........................................................5 3.3 Voorwaardencriterium .............................................................................................................5 3.4 Misbruik en oneigenlijk gebruik criterium ................................................................................5 4. Kaders .................................................................................................................................................6 4.1 Basis voor de (verbijzonderde) interne controle ..........................................................................6 4.2 Goedkeurings-, controle- en rapporteringstolerantie ..................................................................6 4.3 Normen- en toetsingskader ..........................................................................................................6 4.4 VIC.................................................................................................................................................6 4.5 Doel van het Intern Controleplan .................................................................................................7 4.6 Interne controle

............................................................................................................................7 4.7 NV COS 6102 .................................................................................................................................8 4.8 Rollen en verantwoordelijkheden ................................................................................................8 4.9 Escalatieprocedure .......................................................................................................................8 5. Wat gaan we doen? ............................................................................................................................9 5.1 Te controleren processen .............................................................................................................9 5.2 Welke controleaanpak? ................................................................................................................9 5.3 Bepaling aantallen waarnemingen .............................................................................................10 5.4 Evaluatie fouten en onzekerheden .............................................................................................10 5.5 Vastleggen en rapporteren .........................................................................................................11 Bijlage 1 Scoping:

inschatting welke processen (en toelichting) we in de VIC betrekken ....................13 Bijlage 2 NV COS 6102 ..........................................................................................................................16 Bijlage 3 Voorbeeld format rapportage interne controle .....................................................................17

p. 2 van 17

2. Algemeen 2.1 Inleiding Vanaf 1 januari 2023 leggen de colleges zelf in de jaarrekening verantwoording af over de rechtmatigheid. De externe accountant toetst deze en neemt dit mee in zijn oordeel over de getrouwheid van de jaarrekening. Met het intern controleplan geeft het bestuur invulling aan art. 212/213 van de Gemeentewet, waarin ze verplicht is zorg te dragen voor de toetsing van de rechtmatigheid van het financiële beheer en de inrichting van de financiële organisatie. Dit plan beschrijft de aanpak van de controle, die door de werkorganisatie (BEL Combinatie) voor de gemeente wordt uitgevoerd. Hier wordt periodiek op gecontroleerd. De resultaten van deze controle biedt het bestuur handvatten en inzicht op basis waarvan zij een rechtmatigheidsverantwoording kan afleggen; bij voorkeur een verantwoording waarin aangegeven kan worden dat rechtmatig gehandeld is. 2.2 Controle 2.2.1 College Het college gaat verantwoording afleggen over de naleving van wet- en regelgeving. Hierbij kan gedacht worden aan Europese aanbestedingen, verstrekte subsidies, maar ook aan zaken zoals misbruik en oneigenlijk gebruik van gelden. Het college stelt jaarlijks zelf een verantwoording op en neemt deze verantwoording op in de jaarrekening.

2.2.2 Raad Ook de gemeenteraad heeft een rol in de rechtmatigheidsverantwoording: welke grenzen stelt de raad, voor welke fouten/onduidelijkheden wil de raad in het kader van zijn controlerende rol geïnformeerd worden? De te hanteren goedkeurings- en rapporteringstoleranties en de reikwijdte van de rechtmatigheidscontrole zijn in paragraaf 4.2 opgenomen. 2.2.3 Rol accountant De accountant toetst of de jaarrekening getrouw is. De rechtmatigheidsverantwoording vormt een onderdeel van de jaarrekening en derhalve beoordeelt de accountant of deze verantwoording ook getrouw is. Dit betekent ook dat de controle en de oordeelsvorming door de accountant voor dit onderdeel nog steeds betrekking heeft op de getrouwheid én de rechtmatigheid. Onrechtmatigheden in de SiSa-controle tellen derhalve gewoon mee bij de oordeelsvorming van de accountant. 2.3 Proces beheersen en intern controle plan 2.3.1 Overzicht van bevindingen en aanbevelingen De accountant heeft bevindingen en aanbevelingen naar aanleiding van haar controle. Voor de aandachtspunten die we zelf gedurende het jaar constateren in onze controle wordt een Issuelijst opgesteld. Deze punten worden opgenomen in het overzicht van bevindingen en aanbevelingen, die samen met het rapport over de interne controle periodiek wordt besproken met de teamleiders (MT) van de BEL combinatie.

Nieuw in 2023 is dat de college tweemaal per jaar geïnformeerd worden over de uitkomsten van de interne controle. Een rapportage over het eerste halfjaar en het tweede halfjaar voor de start van de controle accountant jaarrekening. p. 3 van 17

De rapportage bevat de belangrijkste bevindingen van de uitgevoerde controles van de financiële processen, opgenomen in het intern controle plan, de daaruit naar voren gekomen fouten en onduidelijkheden in het kader van de rechtmatigheid. De medewerker VIC bespreekt de voortgang van deze issues met de teamleiders/proceseigenaren. Het totaaloverzicht met bevindingen aanbevelingen van de accountant en de VIC wordt door de concerncontroller gemonitord, besproken met afdelingsmanagers en ter informatie aan het college en de raadscommissies aangeboden.

p. 4 van 17

3. Rechtmatigheidsverantwoording 3.1 Verantwoordingscriteria rechtmatigheid en getrouwheid Er worden negen aspecten van rechtmatigheid onderscheiden, zes criteria worden afgedekt door de controle van de accountant, immers de accountant blijft de jaarrekening controleren op getrouwheid. Drie criteria vallen onder de rechtmatigheidsverantwoording. Onderstaand schema geeft een beeld welke criteria onder de rechtmatigheidsverantwoording vallen. Met betrekking tot de rechtmatigheid moet verantwoording worden afgelegd over: - Begrotingscriterium - Voorwaardencriterium - Misbruik- en oneigenlijk gebruik criterium 3.2 Het begrotingscriterium Als blijkt dat de gerealiseerde lasten zoals weergegeven in de jaarrekening hoger zijn dan de geraamde bedragen met inbegrip van de laatste begrotingswijziging, is – voor zover het de begrotingsoverschrijdingen betreft – mogelijk sprake van onrechtmatige financiële beheers handeling. Controle op begrotingscriteria is niet specifiek opgenomen in de VIC. Via de P&C documenten wordt het college en de raad geïnformeerd over de uitputting van de budgetten. Indien er een begrotingsoverschrijding verwacht wordt accordeert de raad de begroting mutatie. Uiteindelijk in de jaarrekening vindt de definitieve verantwoording plaats.

3.3 Voorwaardencriterium Het voorwaardecriterium heeft betrekking op de eisen die worden gesteld bij de uitvoering van de financiële beheers handelingen. De eisen/voorwaarden zijn afkomstig uit diverse wet- en regelgeving en hebben betrekking op aspecten als doelgroep, termijn, grondslag, administratieve bepalingen, normbedragen, bevoegdheden, bewijsstukken, recht, hoogte en duur. Controle op het voorwaarde criterium is opgenomen in de VIC. De checklists zijn ingericht met controle aspecten uit de wet- en regelgeving. 3.4 Misbruik en oneigenlijk gebruik criterium Er dient een toetsing op juistheid en volledigheid van gegevens die door derden zijn verstrekt plaats vindt met het oog op het voorkomen van misbruik en oneigenlijk gebruik van regelingen (M&O). Hier is nog geen beleid voor gemaakt. De basis daarvoor ligt in belangrijke mate bij de uitkomsten van de intern al uitgevoerde controles.

p. 5 van 17

4. Kaders 4.1 Basis voor de (verbijzonderde) interne controle De gemeenteraad stelt de verordening ex artikel 212 Gemeentewet vast met de uitgangspunten voor het financiële beleid, alsmede voor het financiële beheer en voor de inrichting van de financiële organisatie vastgesteld. Deze verordening waarborgt dat aan de eisen van rechtmatigheid, verantwoording en controle wordt voldaan. Het college van de gemeente (werkorganisatie van de BEL Combinatie doet de uitvoering) draagt zorg voor de interne toetsing van de getrouwheid van de informatieverstrekking en de rechtmatigheid van financiële beheershandelingen. 4.2 Goedkeurings-, controle- en rapporteringstolerantie Er moeten er afspraken worden gemaakt over de diepgang van college- en raadsbesluiten met financiële impact, maar ook op het gebied van communicatie en rapportage momenten. Zo ontstaat een integraal kader voor de uitwerking van de rechtmatigheidsverantwoording. De uitgangspunten voor de goedkeuringstolerantie zijn in het controleprotocol opgenomen. De verbijzonder interne controle (hierna VIC) zoekt voor het opstellen van de controles aansluiting bij deze uitgangspunten. Hiervoor wordt gekozen om te bewerkstelligen dat de externe accountant zoveel mogelijk gebruik kan maken van de VIC, waardoor de inspanningen van de externe accountant zoveel mogelijk beperkt kunnen worden.

De eisen aan de accountantscontrole vloeien voort uit de controleverordening ex art. 213 Gemeentewet en zijn bij de werkorganisatie BEL en de gemeente uitgewerkt in het controleprotocol. Daarnaast is daar ook de rapporteringstolerantie (individuele fouten of onzekerheden waarover de gemeenteraad geïnformeerd wil worden). 4.3 Normen- en toetsingskader Het normenkader voor een rechtmatigheidsverantwoording betreft de inventarisatie van de voor de verantwoording relevante regelgeving, van andere overheden en van de gemeente zelf. Het normenkader moet actueel worden gehouden en worden aangepast op basis van nieuwe wet- en regelgeving. De inventarisatie van regelgeving bestaat uit externe- en gemeentelijke(interne) regelgeving. Onder gemeentelijke regelgeving worden verordeningen, raadsen collegebesluiten verstaan. Bij wettelijke bepalingen zijn alleen de financiële beheershandelingen van belang, zoals bijvoorbeeld Europese aanbestedingsrichtlijnen. Voor verordeningen geldt dat alle verordeningen, voor zover die bepalingen bevatten over financiële beheershandelingen, onderdeel uitmaken van het normenkader. Andere besluiten van de raad, dus niet zijnde verordeningen, met een kaderstellend karakter en die bepalingen bevatten over financiële beheershandelingen, zijn ook een verplicht onderdeel van het normenkader.

Collegebesluiten vallen niet onder de rechtmatigheidscontrole, tenzij de controle hiervan verplicht is op basis van hogere regelgeving of raadsbesluiten c.q. verordeningen. Het normenkader bestaat uit: • Externe regelgeving; • Gemeentelijke verordeningen; • Raads- en collegebesluiten, voor zover zij een nadere uitwerking zijn van hogere wet- en regelgeving en betrekking hebben op de financiële beheers handelingen; • De programmabegroting van de gemeente. 4.4 VIC VIC is het onafhankelijk vaststellen of de interne controle (controle binnen de processen) is

p. 6 van 17

uitgevoerd en de beheersmaatregelen voldoende hebben gewerkt. Tijdens de VIC wordt door proces- en gegevensgerichte controles onafhankelijk getoetst. Toetsing van de naleving van de interne controle met gebruik van de VIC is voornamelijk gericht op processen met financiële risico’s. De VIC wordt uitgevoerd om: • te waarborgen dat onze organisatie rechtmatig werkt volgens de wet en/of onze eigen verordeningen; • te waarborgen dat de in de administratie/jaarrekening opgenomen gegevens juist, tijdig en volledig zijn verantwoord; • te waarborgen dat de baten en lasten en de balansmutaties die in de administratie/ jaarrekening worden verantwoord in overeenstemming met wetten en overige regels tot stand zijn gekomen (rechtmatigheid); • te waarborgen dat wij onze processen beheersen en financiële risico’s voldoende zijn afgedekt door adequate beheersmaatregelen; • te waarborgen dat de interne beheersmaatregelen werken en te waarborgen dat we onze financiële middelen beheersen. • aanbevelingen te kunnen geven voor het verbeteren van de kwaliteit van de processen; • de externe controle voor te bereiden c.q. te ondersteunen. De VIC richt zich op de controle en beheersing van de belangrijkste risico’s op het gebied van financiële rechtmatigheid en getrouwheid. De proceseigenaren blijven er voor verantwoordelijk dat de risico´s voldoende zijn afgedekt.

Vanuit het college kunnen, in aanvulling hierop, eventueel additionele onderwerpen worden aangedragen ten behoeve van de VIC. 4.5 Doel van het Intern Controleplan Het Intern controleplan geeft een beeld van de inrichting en uitvoering van de werkzaamheden en deze te waarborgen, met als doel uiteindelijk een uitspraak te kunnen doen omtrent de rechtmatigheid. Tevens wordt getracht een maximale aansluiting te realiseren tussen de uitgevoerde VIC en door de extern accountant te verrichten werkzaamheden. Basis hierbij is dat de VIC vast wil stellen of de organisatie ‘in control’ is én het voor de extern accountant mogelijk maken om gebruik te maken van de werkzaamheden van de VIC. Het Intern Controleplan biedt de basis om jaarlijks te bezien welke processen onderdeel van de VIC uitmaken en wat de diepgang van de VIC werkzaamheden zal zijn. De VIC functionarissen voeren in samenwerking met de concerncontroller én in overeenstemming met het vastgesteld Intern Controleplan, de VIC uit om de rechtmatigheid vast te stellen en beoordeelt of de risico’s met betrekking tot financieel kritische processen beheerst worden. De resultaten van de VIC en eventuele (aanvullende) onderzoeken geven informatie over in hoeverre de gemeente beheersing heeft over haar financiële processen, oftewel ‘in control’ is.

Daarnaast vormt de VIC een basis voor de uitspraak die het college in de jaarrekening moet opnemen in haar rechtmatigheidsverantwoording. 4.6 Interne controle De procesbeheersing wordt geborgd binnen de teams onder de verantwoordelijkheid van de proceseigenaren. De proceseigenaren zijn primair verantwoordelijk voor het borgen van en zichtbaar maken van de beheersmaatregelen in de processen. Tevens is de proceseigenaar verantwoordelijk voor de opvolging van de aanbevelingen van de externe accountant en die van de VIC. Het doel van de interne controle is procesbeheersing in de lijn. De interne controle is een controle op de beheersmaatregelen die door de lijnorganisatie onder de verantwoordelijkheid van de proceseigenaar doorlopend wordt uitgevoerd. De beheersmaatregelen zijn gebaseerd op de geïdentificeerde risico’s in het proces. De proceseigenaar draagt zorg voor een adequate interne p. 7 van 17

controle op basis van wetgeving, gedelegeerde bevoegdheden, functiescheiding, vier-ogen-principe, raadsbesluiten e.d. om onvolkomenheden in de uitvoering van de bedrijfsvoering tijdig op te sporen en te herstellen. 4.7 NV COS 6102 Bij de laatste doelstelling dient nog wel het volgende opgemerkt te worden dat er Nadere voorschriften Controle en Overige Standaarden (NV COS 6102) van toepassing zijn voor de accountantscontrole. Een van de aangepaste standaarden betreft NV COS 6102 die het steunen door de accountant op door de organisatie zelf uitgevoerde auditwerkzaamheden behandelt. De accountant evalueert en test de door de internal auditor uitgevoerde werkzaamheden om zich ervan te overtuigen dat de werkzaamheden toereikend zijn voor hun doelstellingen en om vast te stellen welke eigen werkzaamheden de accountant nog moet uitvoeren. Om als externe accountant volledig te kunnen steunen op de VIC dient de VIC aan een aantal eisen te voldoen. Deze zijn uitgewerkt in bijlage 2. Op dit moment kan de externe accountant niet volledig steunen op de VIC maar er wel in belangrijke mate gebruik van maken. Overigens is het bij andere gemeenten in het land niet anders. 4.8 Rollen en verantwoordelijkheden In onderstaande tabel staan de functionarissen die een rol hebben binnen de VIC en de omschrijving van hun rol.

Wat Wie In onderstaande tabel staan de functionarissen die een rol hebben binnen de VIC en de omschrijving van hun rol. Wat Coördinatie controles: Procesverantwoordelijke: Uitvoerder VIC en opstellen controlerapportage: Advisering interne controle: Samenstellen periodieke rapportages t.b.v. college/Bestuur: Bespreken implementatie en adviseren voortgang verbeteringen aanbevelingen n.a.v. de controle:

Wie Concerncontroller. Teamleiders (in de lijn). Adviseur VIC VIC/Concerncontroller. VIC/Concerncontroller.

VIC/Concerncontroller.

4.9 Escalatieprocedure De concerncontroller heeft een signalerende en adviserende rol en heeft in dit kader direct een escalatie rol naar het college.

p. 8 van 17

5. Wat gaan we doen? 5.1 Te controleren processen Voor de bepaling van de processen maken we gebruik van de informatie in de financiële administratie en van de realisatiecijfers conform de definitieve jaarrekening 2023. Op basis van de economische categorieën delen we deze in bij de verschillende processen. Op basis van de omvang (kwantitatief) en op basis van een risicoanalyse (kwalitatief) bepalen we welke processen we voor dit jaar in de VIC betrekken. Bij de risicoanalyse zijn een aantal elementen van toepassing voor de beoordeling van de risico’s: • potentieel frauderisico; • bevindingen VIC en accountant in voorgaande jaren; • politiek gevoelige zaken; • schattingselementen. Op basis van de omvang en de risicoanalyse bepalen we of we een proces wel of niet in de VIC betrekken. Het is dus mogelijk dat we materiële posten niet in de VIC betrekken en niet materiële processen wel in de VIC betrekken, te allen tijde onderbouwd. In bijlage 1 is een inschatting aangegeven van welke processen (en een toelichting) in de VIC worden betrokken.

5.2 Welke controleaanpak? In beginsel zijn er twee soorten controlebenaderingen voor de VIC om te komen tot een conclusie over het proces, de eventuele ondersteunende IT-applicatie daarbij en de uit het proces voortvloeiende financiële transacties: procesgericht of gegevensgericht In het proces van controle zijn vier stappen te onderscheiden: 1. Toetsen van de opzet: op basis van de procesbeschrijving wordt vastgesteld of het proces in de basis goed is ingericht. Daarbij wordt vastgesteld of er voldoende functiescheidingen zijn om het potentiële risico te beheersen. Deze stap voeren we uit aan de hand van de reeds bestaande procesbeschrijvingen welke door de VIC wordt besproken (en waar nodig actualiseren) aan de hand van interviews met betrokken medewerkers. 2. Toetsen van het bestaan: bij het bestaan wordt vastgesteld dat de beschreven AO/IB ook daadwerkelijk bestaat. Dit wordt gedaan door een lijncontrole (“from cradle to grave”) waarbij vastgesteld wordt of de beschreven processtappen, die zijn vastgelegd, zichtbaar zijn uitgevoerd. Bij het uitvoeren van een lijncontrole wordt één item geselecteerd gedurende de controleperiode. Van de betreffende selectie wordt alle relevante documenten vergaard vanaf initiatie tot aan afronding. 3.

Toetsen van de werking: hierbij worden met deelwaarnemingen vastgesteld dat de processtappen conform de beschreven opzet juist zijn uitgevoerd. Hierbij wordt niet alleen vastgesteld of de stap zichtbaar is uitgevoerd maar ook dat deze juist is uitgevoerd. De testwerkzaamheden worden op basis van inlichtingen in combinatie met andere controlewerkzaamheden uitgevoerd. Andere controlewerkzaamheden zouden kunnen zijn: inspectie, waarneming, externe bevestiging, herberekening, het opnieuw uitvoeren. 4. Gegevensgerichte controles: aan de hand van deelwaarnemingen wordt vastgesteld of de transacties juist, volledig en rechtmatig zijn verwerkt. Hiertoe worden checklists gehanteerd die zorgdragen voor een gestructureerde aanpak met alle toets punten. Bij het uitvoeren van de gegevensgerichte werkzaamheden dienen controle-informatie te worden p. 9 van 17

verkregen of de transacties juist, volledig en rechtmatig zijn verwerkt. Voor de bepaling van de steekproeven wordt gebruik gemaakt van de spendanalyse voor proces aanbestedingen en voor de overige processen het SRA steekproefmodel. Daarnaast kunnen we specifieke elementen selecteren op diverse gronden, voorbeelden hiervan zijn: • Elementen van hoge waarde of elementen van cruciaal belang; er kunnen specifieke elementen binnen een populatie worden geselecteerd omdat ze een grote waarde vertegenwoordigen of een ander kenmerk vertonen, bijvoorbeeld elementen die ongebruikelijk of bijzonder risicogevoelig zijn of die in het verleden aan fouten onderhevig waren; • Alle elementen boven een bepaald bedrag. Er kan worden besloten om elementen te onderzoeken waarvan de geboekte waarden een bepaald bedrag overschrijden, teneinde een groot gedeelte van het totale bedrag van een transactiestroom of rekeningsaldo te verifiëren; • Elementen gericht op het verkrijgen van informatie. Er kunnen elementen worden onderzocht om informatie te verkrijgen over zaken zoals de aard van de transacties. Bovenstaande dient tevens ter onderbouwing van de gemaakte keuzes om tot de te toetsen elementen te komen. Voorbeelden zouden kunnen zijn Europese aanbestedingen of memoriaal boekingen.

Voor de VIC is in de basis een procesgerichte controleaanpak het ‘ideaalbeeld’, dan worden immers via een goedwerkend proces/ IT-applicatie dagelijks de risico’s afgevangen. Echter, als het proces of de IT-applicatie in de basis niet (helemaal) ‘waterdicht’ is kan via gegevensgerichte werkzaamheden alsnog –achteraf- een conclusie worden geformuleerd over de gedane financiële transacties via dat proces of de IT-applicatie. In enkele gevallen kunnen gegevensgerichte controlewerkzaamheden bovendien voor de VIC ook efficiënter zijn om toe te passen dan procesgerichte controlewerkzaamheden. Voor alle processen die als materieel worden aangemerkt wordt de opzet en bestaan vastgesteld. Op basis daarvan wordt de verdere aanpak bepaalt. De stappen leiden tot bepaalde aantallen waarnemingen in het kader van de gegevensgerichte werkzaamheden. 5.3 Bepaling aantallen waarnemingen Zoals eerder aangegeven voeren we deelwaarnemingen uit bij de toetsing van de werking van de AO/IB én bij de gegevensgerichte controles. Doelstelling is om de controlecapaciteit zo efficiënt en effectief mogelijk in te zetten, waarbij het streven is om de deelwaarnemingen in aantallen zo veel mogelijk te beperken. We streven naar een zo gering mogelijk aantal deelwaarnemingen met een zo hoog mogelijke verkregen zekerheid.

De omvang van de testwerkzaamheden voor de werking bepalen wij mede op basis van de volgende elementen: • De frequentie van uitvoering van de interne beheersingsmaatregel; • De verwachte mate van afwijkingen van een interne beheersingsmaatregel; • De aard en omvang van het risico waarop de interne beheersingsmaatregel betrekking heeft. Indien wij op basis van deze elementen een verhoogd risico identificeren dan vertaalt zich dat door in het verhoogd aantal waarnemingen (tests) van de effectieve werking van de interne beheersing. Het inschatten van de risico’s en het bepalen van de omvang van de testaantallen zal uiteindelijk altijd berusten op professionele oordeelsvorming van de interne VIC functionaris. De gekozen controle-aanpak en steekproefomvang per proces is vastgelegd in de werkprogramma’s . 5.4 Evaluatie fouten en onzekerheden Bij de evaluatie van de bevindingen zijn de volgende criteria van belang om te bepalen of eventueel bijsturing of uitbreiding van de steekproef moet plaatsvinden: p. 10 van 17

• • •

betreft het een unieke, incidentele of structurele fout/onzekerheid? is de fout/onzekerheid kwalitatief of kwantitatief? heeft de fout/onzekerheid betrekking op getrouwheid- en/of rechtmatigheid aspecten?

Uniek, Incidenteel of structureel Van een incidentele fout is sprake als het een toevallige fout betreft, maar wel vaker kan voorkomen. Een unieke fout is een fout die één keer voor kan komen. Van een structurele fout is sprake als de oorzaak van de fout is gelegen in (onderdelen van) het systeem van uitvoering, waardoor fouten met een (zeker) herhalingskarakter (kunnen) optreden. Het voorgaande is ook toepassing op onzekerheden in de controles. Om vast te stellen of er sprake is van een incidentele, unieke of structurele fout wordt op basis van de omvang van de post in euro’s én de aantallen een aanvullende steekproef bepaald. Deze aanvullende controlewerkzaamheden beperkt zich tot het vaststellen of deze geconstateerde fout vaker is voorgekomen en betreft geen volledige extra interne controle. Bij de rechtmatigheidscontrole wordt nagegaan of de fout een financiële beheershandelingen is die in strijd met externe regelgeving dan wel dat in strijd met de interne regelgeving is gehandeld. In tegenstelling tot geconstateerde fouten met betrekking tot interne regelgeving kan het handelen in strijd met externe regelgeving meestal niet meer of zeer moeilijk door de gemeente worden gerepareerd. Kwalitatieve of kwantitatieve fout Een kwalitatieve fout is een fout die niet direct een financiële consequentie heeft.

Het te laat indienen van de verantwoording door de gesubsidieerde instelling is een voorbeeld van een kwalitatieve fout. Het is wel mogelijk dat in de toekomst financiële consequenties aan deze kwalitatieve fout worden verbonden. Een kwantitatieve fout heeft direct financiële consequenties en weegt mee in de oordeelsvorming van de accountant over de getrouwheid en rechtmatigheid van de verantwoording. Het te hoog verstrekken van een uitkering is een voorbeeld van een kwantitatieve fout. Getrouwheid, rechtmatigheid of beide? Bij de geconstateerde fouten/onzekerheden dient ook vastgesteld te worden of sprake is van getrouwheids- en/of rechtmatigheidsfouten. Getrouwheidsfouten zijn per definitie ook rechtmatigheidsfouten, maar er zijn ook fouten die alleen rechtmatigheidsfouten zijn (bijvoorbeeld een verkeerde aanbesteding). Geconstateerde fouten/onzekerheden worden op basis van bovenstaande afgepeld en bepalen dan de vervolgstappen voor de interne controle. Het vervolg kan bestaan uit extrapoleren, uitbreiden of stoppen en is situatieafhankelijk. 5.5 Vastleggen en rapporteren Vastleggen De vastlegging van de VIC vindt plaats in daarvoor ontwikkelde formats (werkprogramma’s). In deze formats zijn de controlepunten opgenomen. De data van de VIC worden opgeslagen op de centrale plek in een generiek ingerichte mappenstructuur (in Alfresco).

De opgeslagen data bestaat uit: • Lijncontroles; • Procesbeschrijvingen; • Vastleggingsdocument en onderbouwing met deelwaarneming(en) en bevindingen testwerkzaamheden; • Rapportage aan de teamleiders; • Rapportage aan de concerncontroller; • Rapportages aan college.

p. 11 van 17

Op basis van gesprekken met de proceseigenaar vindt er hoor en wederhoor plaats, en wordt de betrokkenheid ten aanzien van een effectieve werking van de administratieve organisatie en maatregelen van interne beheersing vergroot. Inhoud rapportage De medewerker Interne controle stelt een rapportage op (inclusief eventuele bijlagen) die inzage moet geven in: • De omvang en aard van de uitgevoerde controles; • De geconstateerde fouten en onzekerheden op detailniveau (financieel/niet financieel, herstelbaar/niet herstelbaar, wel/niet rechtmatig en wel/niet getrouw); • Een kwantificering van de fouten per proces plus de beantwoording van de vraag of en zo ja waar men financieel risico loopt. • Een nadere analyse van de tekortkomingen (oorzaken, incidenteel/structureel, intern/extern verantwoordingsaspect); • Conclusie en aanbevelingen (herstellen ja/nee, aanpassing beheersmaatregel in proces noodzakelijk ja/nee en zo ja, hoe, aanpassing verordening nodig ja/nee); • Informatie over tijdigheid van de interne controle; • De voortgang ten aanzien van eerdere verbeteringsvoorstellen (opgepakt ja/nee, doorgevoerd ja/nee, resultaten bereikt ja/nee) Voor deze rapportage is een voorbeeld format beschikbaar (zie bijlage 3). Na het uitvoeren van de interne controle door de domeinen wordt de rapportage beoordeeld door de concerncontroller.

Frequentie rapportage De rapportagefrequentie van de interne controle rapportages loopt synchroon met de onderzoeksperioden.

p. 12 van 17

Bijlage 1 Scoping: inschatting welke processen (en toelichting) we in de VIC betrekken Onderstaande processen maken periodiek deel uit van de controle. Afhankelijk van de omvang, de risico’s en de bevindingen in de voorgaande jaren worden de processen eens in de één, twee of drie jaar gecontroleerd. Hieronder staat globaal toegelicht wat gecontroleerd wordt en wat aandachtspunten zijn. In de werkplannen staat uitgebreider beschreven wat er wordt getoetst. In deze bijlage staan de gekozen processen, waarvan er een aantal op basis van risicoanalyse worden gecontroleerd. In onderstaande tabel is de scoping op basis van financiele impact uiteengezet: totale lasten incl mutaties reserves (obv jaarrekening 2023): 33.829.000

% van totale lasten Realisatie 2023 incl. reserves

Materieel: Financiële impact in % > Risico: 0,65% van hoog/midden lasten of baten In scope? /laag

omvang balansposten /transactieposten Baten Onroerende zaakbelasting (OZB) Afvalstoffenheffing Rioolheffing leges omgevingsverguningen Pachten en huren

Gemeentelijke belastingen Gemeentelijke belastingen Gemeentelijke belastingen Omgevingsverguningen Huren

-5.129.768 -1.641.900 -1.312.415 -858.436 -280.720

-15% JA -5% JA -4% JA -3% JA -0,8% JA

JA JA JA JA JA

Hoog Hoog Hoog Midden/Hoog Laag

JA NEE JA NEE

Hoog Midden Midden Midden Laag Midden Laag

Lasten

Inkopen en aanbesteden Personeel Bijdragen aan derden (subsidies) Treasury (rentelasten)

Europese Aanbestedingen Verwerking en betaling van inkoopfacturen Investeringen in activa incl. afschrijvingen BTW, BCF, Vpb Personeel Subsidieverstrekkingen Treasury

15.135.472 1.156.931 1.196.153 6.560

45% JA

3% JA 3,5% JA 0,02% NEE

Aanbestedingen Aanbesteding is een belangrijk proces waarbij de gemeente veelvuldig in aanraking komt met regelgeving. Het risico is hoog vanwege de onrechtmatige contracten en verlengingen van contracten die de voorgaande jaren zijn geconstateerd door de VIC. Begrotingsrechtmatigheid Juiste begrotingswijzigingen zijn van belang zijn voor de vastlegging van het financiële speelterrein van het college en daarmee de rechtmatigheid van de uitgaven en inkomsten. Door de VIC wordt getoetst of de begroting op een juiste manier is aangepast op de besluitvorming door de Raad en het AB. Daarnaast toetst de VIC of de budgetten conform vastgestelde financiële kaders van de begroting wel of niet zijn uitgegeven. Hierbij worden getoetst of de afwijking van de begroting acceptabel/rechtmatig/onrechtmatig zijn o.b.v. in het controleprotocol opgenomen categorieën. Belastingen (OZB, riool, afval)

Gemeentelijke belastingen zijn uitbesteed aan gemeente Baarn alwaar de interne controles op het proces plaatsvinden. Er zijn afspraken gemaakt met gemeente Baarn over de controle en verantwoording. De periodieke verantwoordingsinformatie worden door de VIC en de accountant beoordeeld. Het risico is hoog vanwege afhankelijkheid controle-en verantwoordingsinformatie van samenwerkingspartner. Afgelopen jaar kwam deze informatie te laat, waardoor de gemeente onvoldoende tijd had om zelf de informatie te beoordelen en tijdig te delen met de externe accountant.

Bouwvergunningen Binnen de vergunningen wordt voor de financiële rechtmatigheid alleen gekeken naar de bouwvergunningen omdat daar het meeste geld in omgaat. Het risico hier is met name een p. 13 van 17

verkeerde toetsing met mogelijke claims tot gevolg en het verkeerd berekenen of niet in rekening brengen van de leges. Risico midden hoog Inkopen+ Investeren en activeren Het gaat hier vooral om het beoordelen van de juistheid van de factuurverwerking en factuurbetaling. In deze controle worden gegevensgericht de facturen inkoop van goederen en diensten gecontroleerd, de facturen investeringen, de facturen aanwendingen voorzieningen en facturen investeringen (MVA) gecontroleerd. In deze controle wordt ook de juistheid van de BTW meegenomen. In deze controle wordt ook de prestatielevering getoetst. Verstrekte Subsidies De gemeente verstrekken subsidiegelden aan derden. De interne controle richt zich op de naleving van de subsidieverordening bij het toekennen en verantwoorden van de subsidie (vaststelling) en op het tussentijds verantwoorden van de geleverde prestaties. Verhuur accommodaties De gemeente verhuurt een aantal accommodaties, met een significante omvang. Het risico is dat niet alle verhuurde panden zijn gefactureerd of tegen onjuiste (te lage) tarieven waardoor er sprake is van een onvolledige opbrengst Overige processen in scope Onderstaande processen zijn door de VIC in scope gezet vanwege het diverse risico-aspecten die hieronder nader zijn benoemd.

- Balansmutaties De relevante balansmutaties (investeringen – onderdeel van factuurverwerking en betaling, uitgezette leningen – onderdeel van treasury, aangetrokken leningen – onderdeel treasury) zijn reeds opgenomen vanuit de scoping van de baten en lasten. Bij de overige balansmutaties zoals reserves, voorzieningen, kortlopende vorderingen en kortlopende schulden vloeien de mutaties voort uit processen die al bij de baten en lasten zijn opgenomen. Op basis van de realisatiecijfers gedurende het jaar zullen we beoordelen of de omvang van de mutaties aanleiding geeft tot het doen van waarnemingen op deze stroom. Wanneer de omvang van mutaties beperkt is zullen we gemotiveerd geen werkzaamheden uitvoeren op dit aspect. - Memoriaalboekingen De meeste boekingen lopen via het crediteuren- en debiteurenproces. Er zijn ook boekingen die niet via het reguliere proces lopen. Dit zijn zogeheten memoriaalboekingen. Deze boekingen hebben van zichzelf een verhoogd risico, doordat ze de interne beheersingsmaatregelen doorbreken. Dit proces zullen we om deze reden dan ook opnemen in het jaarplan. - Verbonden partijen De gemeente werkt met verschillende partijen zijn samen voornamelijk op het gebied van het sociaal domein en de gemeentelijke belastingen.

Met deze partijen zijn contracten afgesloten over de samenwerking, maar er zijn geen specifieke afspraken gemaakt over verantwoordings- en rapportage verplichtingen. De VIC gaat samen met de Concerncontroller deze specifieke afspraken met deze partijen maken en schriftelijk vastleggen.

p. 14 van 17

- WNT De Wet normering topinkomens (WNT) wil te hoge beloningen en vergoedingen in de (semi) publieke sector tegengaan en op een maatschappelijk aanvaardbaar niveau brengen. De WNT stelt daarom een maximum aan wat topfunctionarissen mogen verdienen of aan ontslagvergoeding mogen ontvangen. De verantwoording van de gemeente hierover mogen geen fouten in zitten. De controle op deze verantwoording heeft speciale aandacht van de accountant. Vanuit de VIC wordt getoetst dat er geen fouten zitten in de verantwoording.

p. 15 van 17

Bijlage 2 NV COS 6102 Bij de inrichting en uitvoering van de werkzaamheden houdt de externe accountant (op termijn) rekening met NV COS 6102 en kan steunen op de intern uitgevoerde VIC of in hoeverre deze ondersteunend kunnen zijn voor de externe controle. Hieronder geven wij kort weer welke eisen van toepassing zijn en hoe dit binnen de Werkorganisatie BEL wordt ingevuld en nagekomen. Binnen de organisatie blijven we werken met decentrale medewerkers, maar wel onafhankelijk van het door hun gecontroleerde proces, die interne controlewerkzaamheden uitvoeren. De objectiviteit van hun werkzaamheden wordt gewaarborgd door centrale aansturing, het centraal bepalen van de steekproef en centrale review. Kenmerk Vereisten Organisatorische invulling objectiviteit van de interne medewerkers VIC: • Centrale en onafhankelijke positionering; • De interne VIC/auditfunctie is reeds centraal gepositioneerd bij control & Finance; • Interne controle, die o.a. de audit op alle financiële processen zal verrichten; • De interne VIC/auditfunctie zal ook centraal de steekproeven voor de processen trekken; • Systematische en gedisciplineerde benadering door de interne VIC/auditfunctie inclusief een stelsel van kwaliteitsbeheersing. Procedures kwaliteitsbeheersing • Ieder gecontroleerd proces zal voorzien zijn van een adequate controlechecklist, die op gebruik en documentatie gereviewed zal worden.

• Aard en omvang wordt berekend op basis van risicoanalyse en financiële omvang en zal vooraf worden afgestemd met de interne VIC/auditfunctie. • Alle auditwerkzaamheden worden centraal gepland, aangestuurd en beoordeeld. Dit is niet vastgelegd in een procedure, maar is een geaccepteerde en alom gebruikte werkwijze.

p. 16 van 17

Bijlage 3 Voorbeeld format rapportage interne controle Rapport van bevindingen – proces : datum : aan : van : kopie aan : Doel Het vaststellen van de juistheid, volledigheid en rechtmatigheid van het proces…………, door een beoordeling van de VIC van het team ……………. Omvang Het team ………. heeft de getrouwheid en rechtmatigheid van proces…………beoordeeld door middel van een deelwaarneming/steekproef op de bronbestanden of – overzichten waarmee betreffende processen worden aangevangen of op de grootboekrekeningen waarop alle posten worden verantwoord. De bepaling van de deelwaarneming/steekproef is beschreven in het intern controleplan. Er zijn in deze controle ……….. aantal posten gecontroleerd (eventueel nader te specificeren).Het totaal van de posten in de deelwaarneming/steekproef bedraagt € ……….. Bevindingen Risico’s: de belangrijkste risico’s in dit proces zijn: 1. …. 2. ….

De basis van alle bevindingen is vastgelegd in een controlechecklist : ja/nee Opzet: het proces is goed ingericht, beschreven en geactualiseerd : ja/nee Bestaan: het bestaan van de AO/IB is vastgesteld door een lijncontrole : ja/nee Werking: de werking van de belangrijkste beheersmaatregel(en) is over een langere periode vastgesteld: ja/nee Bevindingen uit opzet, bestaan & werking: Hieronder volgen de VIC bevindingen van de beoordeling van de afzonderlijke posten: Bevinding beoordeling/deelconclusie Conclusie Op basis van de VIC bevindingen wordt geconcludeerd dat ….

p. 17 van 17