210027 Bijlage 1 het Algemeen Controleplan 2021

Algemeen Controleplan 2021 Z/21/3239166

Kaders voor de rechtmatigheidsverantwoording en Leiden in Control Versie: Datum: Kenmerk:

1.1 april 2021 Z/21/3239166

Algemeen controleplan 2021 Gemeente Leiden 1

Algemeen Controleplan 2021 Z/21/3239166

Inhoud

3. Auditplan interne audit functie (IAF) ..... 11

6.3 Bevindingen bespreken en verbeterpunten formuleren ......................... 25

1. Inleiding bij het Algemeen Controle Plan 2021 ........................................................ 3

3.1 De scope van de interne audits ........... 12

1.1 Het Algemeen Controleplan 2021 (ACP) in het kort ..................................................... 4

3.3 De processen waarop audits worden uitgevoerd (processen in scope IAF) ......... 14

1.2 Digitalisering van de audits – plannen voor 2021 ..................................................... 4

4.Focusgebieden 2021 ................................ 17

6.5 Voor een geslaagd eindresultaat is goede samenwerking cruciaal .................... 26

1.3 COVID-19............................................... 5

4.1 Top focusgebieden Leiden in control 2021 ........................................................... 18

7. Bijlagen .................................................... 27

1.4 De samenwerking met de externe accountant Deloitte ...................................... 5

5. Leiden in control wordt voorgezet ......... 19

Bijlage A | Achtergrondinformatie bij Algemeen Controleplan 2021 ..................... 28

1.5 Procesbeschrijvingen Leiden in control . 5

5.1 Waarom willen we als organisatie in control zijn? ................................................ 20

Bijlage B | Risicoanalyse die ten grondslag ligt aan het auditplan 2021 ......................... 32

1.6 Leerpunten vanuit het jaarrekeningtraject 2020 ............................................................. 6

5.2 Wat verstaan we onder Leiden in control?....................................................... 20

2. De rechtmatigheidsverantwoording ........ 7

5.3 Wie doen er allemaal mee bij Leiden in control?....................................................... 21

Bijlage C | Rechtmatigheidscriteria, controlebenadering en aantallen te testen items ........................................................... 38

2.1 De rechtmatigheidsverantwoording in vogelvlucht ................................................... 8 2.2 Interne beheersing en de rol van de IAF bij de rechtmatigheidsverantwoording ......... 8 2.3 De drie rechtmatigheidscriteria .............. 8 2.4 Uitganspunten voor de op te stellen rechtmatigheidsverantwoording ................... 9 2.5 Welke veranderingen zijn doorgevoerd als gevolg van de rechtmatigheidsverantwoording? ............... 10 2.6 Aanpassing van een drietal verordeningen ............................................ 10

3.2 De aanpak van de audits door de IAF . 12

6.4 De rol van de jaarafsluiting en de balansdossiers bij de rechtmatigheidsverantwoording ................. 26

5.4 Hoe zorg je ervoor dat je in control bent en blijft? ...................................................... 21

Bijlage D | Systematiek voor bepalen af te geven rechtmatigheidsverantwoording en op te stellen rapportages ................................. 43

5.5 Wanneer stel je vast of je in control bent (geweest)? ................................................. 22

Bijlage E | Voorgeschreven tekst rechtmatigheidsverantwoording ................. 46

6. De stappen binnen Leiden in Control .... 23

Bijlage F | Planning uitvoering werkzaamheden vanuit Algemeen Controleplan 2021 ...................................... 47

6.1 Een goed begin is het halve werk: startgesprekken en controleplannen .......... 24 6.2 Uitvoering van de interne audits e e gefaseerd over het jaar (1 en 2 halfjaar 2021) .......................................................... 24

2 Gemeente Leiden - Interne audit functie

Algemeen Controleplan 2021 Z/21/3239166

1. Inleiding bij het Algemeen Controle Plan 2021 In dit hoofdstuk wordt ingegaan op ontwikkelingen voor het Algemeen Controleplan 2021. Het Algemeen Controleplan (ACP) van de interne audit functie verschijnt jaarlijks en bevat de kaders en aanpak rondom de (verbijzonderde) interne controles. Voor 2021 houdt de komst van de rechtmatigheidsverantwoording een verandering in, in hoofdstuk 2 wordt hier nader op ingegaan, maar veel opgaven rondom het in control zijn van de bedrijfsvoering blijft in de kern hetzelfde. Maar in dit hoofdstuk eerst een paar andere aandachtsvelden voor de interne audit functie. Covid 19, hoe staat het met de pilot digitalisering van de audits, samenwerking met Deloitte en de stand van zaken rondom de procesbeschrijvingen.

3 Gemeente Leiden - Interne audit functie

Algemeen Controleplan 2021 Z/21/3239166

1.1 Het Algemeen Controleplan 2021 (ACP) in het kort

1.2 Digitalisering van de audits – plannen voor 2021

Het ACP wordt opgesteld vanuit de interne auditfunctie (IAF) door de interne accountant van de gemeente Leiden. In het ACP wordt uitleg gegeven welke onafhankelijke audits worden uitgevoerd door de IAF, wordt ingegaan op de uitgangspunten van “Leiden in Control”, en zijn de kaders opgenomen, waarbinnen de IAF opereert. Naast de processen waarop audits worden uitgevoerd, worden ook de focusgebieden bepaald, welke door de IAF worden geaudit. In 2020 waren het 8 focusgebieden, voor 2021 zullen er 5 focusgebieden in de audits een rol spelen.

Een kleine terugblik Onlangs zaten de eerste twee jaren vanuit de pilot digitale audits, ook genoemd het innovatieprogramma, erop. We hebben tijdens deze twee jaar de eerste stappen gezet in het meer gebruik maken van data bij het uitvoeren van audits. In de nabije toekomst werken we steeds meer met data, en (grotendeels) via geautomatiseerde processen. “Data driven audits” hebben daarom de toekomst.

Het programma Leiden-in-control bestaat nu 9 jaren en heeft zijn waarde bewezen. Leiden-in-Control voldoet naar behoren, maar ieder jaar beoordelen we met elkaar waar eventueel moet worden bijgeschaafd. Inmiddels is de komst van de rechtmatigheidsverantwoording (bijna) een feit. Voor Leiden gaat dit niet met grote veranderingen gepaard. Hierover in hoofdstuk 2 meer. De dynamische omgeving heeft tot gevolg dat we vanuit de ervaringen van de audits van voorgaande jaren steeds andere accenten zullen leggen in de uit te voeren audits. Hierbij levert de pilot digitale audit belangrijke inzichten op, dit heeft nog niet tot een revolutie op audit gebied geleid, maar zal wel een steeds grotere rol gaan spelen (zie § 1.2). De wens om meer toegevoegde waarde te bieden vanuit de audits, blijft overeind en de weg daarnaartoe is ingezet. De ingeslagen weg om vooraf met het management in gesprek te gaan om ook vanuit die kant zicht te krijgen op risico’s en de daarvoor getroffen beheersmaatregelen, zetten we voort. Hierdoor wordt bereikt dat de uitgevoerde audits meer inspelen op de actualiteit en aldus meer toegevoegde waarde creëren, zonder dat dit ten koste gaat van het onafhankelijke oordeel van de IAF. Hierbij wordt inhoud gegeven aan de tweede pijler van Leiden-in-control, het zijn van een lerende organisatie.

Er is al met al weinig reden om de opzet van het ACP 2021 grondig te wijzigen. De komst van de rechtmatigheidsverantwoording heeft een plaats gekregen, maar verder kent het ACP nog in dezelfde opzet als de voorgaande jaren. Wel zijn de hoofdstukken 3 tot en met 5 en de bijlagen in hoofdstuk 7 geactualiseerd.

Tot op heden zijn een aantal succesvolle pilots uitgevoerd. Hierbij is met een specifieke en afgebakende audit-vraag naar een proces en de onderliggende data gekeken. Hiermee kwamen we, samen met de mensen die dagelijks met het proces werken, erachter welke data op orde zijn en welke niet. Maar ook welke data nog niet (digitaal) aanwezig zijn bijvoorbeeld. In elke pilot was het einddoel om de audit-vraag beantwoord te krijgen. Antwoorden op de auditvragen zijn helaas (nog) niet altijd verkregen, wel heeft het inzicht opgeleverd in de verbeterpunten en de potentie van “datagedreven werken”. Een ander pluspunt is de ervaring dat door data te visualiseren, proceseigenaren hun eigen proces veel beter leren kennen. Verbeterpunten worden daarbij veel sneller omarmd, omdat het direct duidelijk wordt waarom je dat op moet willen lossen. We gaan door richting datagedreven audits Voor 2021 zullen we voortborduren op de inzichten uit de pilots. Die inzichten zijn gebaseerd op totale datasets, niet meer een x aantal deelwaarnemingen of steekproeven. Door het werken met een Business Intelligence data-analyse tool zijn we in staat om veel controlebestanden in de toekomst sneller (“met één druk op de knop”) klaar te zetten, zodat direct kan worden gestart met het analyse en uitzoekwerk. We zullen ook de ervaren ‘belemmeringen’ vanuit de start van het innovatieprogramma aanpakken.

Zo bleek het in de praktijk lastig los te komen van de waan van de dag. Daardoor is het niet altijd gelukt om het ‘samen te doen’, met de lijnorganisatie. Dit is wel het streven, zodat gelijk de voordelen worden vastgehouden en de kennis en ervaring wordt overgebracht. Deze belemmeringen gaan we samen met de organisatie stap voor stap proberen weg te nemen. Waarbij het ontsluiten van data, bij

4

Algemeen Controleplan 2021 Z/21/3239166

voorkeur volledig geautomatiseerd via een ‘datawarehouse’, een heel belangrijke randvoorwaarde is om écht verder te komen als organisatie. In 2021 zullen we ons concreet bezig houden met:  Een pilot om arbeidsintensief werk ten aanzien van controle naleving Europese aanbestedingsregels via digitalisering duurzaam te verbeteren (minder jaarlijks repeterend werk en sneller relevante dossiers voor nader onderzoek in beeld).  Een pilot om een proces te evalueren via het inlezen van ‘proces data’ (logging, wie heeft wat wanneer gedaan?) in een tool. Hiermee kan inzicht worden verkregen in het werkelijke proces en in ALLE handelingen die via dat proces zijn verlopen. We gaan door richting de audit van de toekomst:  We gaan door met pilots, maar proberen wel meer ‘samen op te trekken’ (vanuit eigenaarschap van de lijnverantwoordelijke);  Daarbij vragen we vooraf ook specifiek commitment voor ‘het vervolgtraject’ nadat een pilot is afgerond. Zodat de ‘opbrengsten’ niet verloren gaan;  Om op termijn (als alle randvoorwaarden in de organisatie daarvoor aanwezig zijn) ook toe te kunnen groeien naar onze stip aan de horizon: ‘continuous monitoring/auditing’.

1.3 COVID-19 In 2020 hebben we onverwachts te maken gekregen met Covid-19. Met name de rechtmatigheid van Covid-19 gerelateerde uitgaven raakte het terrein van de IAF. Ook in 2021 zullen we nog niet van Covid-19 af zijn. De risico’s en de getroffen beheersmaatregelen rondom Covid-19 uitgaven en wijzigingen van de procesloop als gevolg van bijvoorbeeld thuiswerken, zullen bij het opstellen van de intern controleplannen per proces in kaart worden gebracht. De aanpak van de audit zal waar nodig hierop worden aangepast. Dit speelt vooral bij verstrekkingen vanuit de WMO, waarbij op voorspraak van het kabinet continuering van zorg voorop is gesteld. Net zoals in 2020 is voor de gevolgen van de coronamaatregelen rondom rechtmatigheid een apart focusgebied opgenomen (zie hoofdstuk 4)

1.4 De samenwerking met de externe accountant Deloitte Het boekjaar 2021 betekent voor onze externe accountant Deloitte het derde jaar dat zij de controle op de jaarrekening verzorgen. Er is een goede samenwerkingsband met Deloitte opgebouwd. Volgens contract voert Deloitte zelfstandig haar waarnemingen uit en steunt niet op de werkzaamheden van de interne accountant. In de praktijk vindt veel afstemming en veelvuldige uitwisseling van informatie plaats. Dat zal ook voor 2021 de werkwijze zijn. De organisatie is gebaat bij een zo efficiënt mogelijke controle, met zo min mogelijk dubbelingen. De focus van de IAF verschilt van de externe accountant. Het primaire onderzoeksobject van de externe accountant is de jaarrekening. Voldoet de jaarrekening aan de daaraan te stellen eisen, zodat er een getrouw beeld wordt geschetst. De rechtmatigheid is hierbij in 2021 voor het eerst komen te vervallen. De interne audit functie richt zich meer op het opzet, bestaan en juiste verloop van de (administratieve) processen in het kader van Leiden in control. Hierbij speelt rechtmatigheid en in mindere mate getrouwheid een belangrijke rol. Daarnaast is het lerende vermogen van de organisatie in de vorm van het opvolgen van de verbeterpunten daarbij een belangrijke pijler. De interne accountant is het vaste aanspreekpunt voor Deloitte, zowel tijdens de interimcontrole als de eindejaarscontrole.

Ook dit zal voor 2021 worden voortgezet.

1.5 Procesbeschrijvingen Leiden in control Begin 2019 is de opgave opgepakt om alle processen die op grond van het Algemeen Controleplan “in scope” zijn te beschrijven (een ‘AO/IB’beschrijving dus inclusief risico’s en beheersmaatregelen). Het ging hier om zo’n 30 procesbeschrijvingen. Uit de controles in 2019 is echter gebleken dat de belangrijkste beheersmaatregelen, de zogenaamde keycontrols, niet altijd expliciet in de procesbeschrijving zijn opgenomen. Het is niet voor alle procesbeschrijvingen gelukt om bij de actualisaties 2020 deze belangrijkste beheersmaatregelen / keycontrols alsnog in de 5

Gemeente Leiden - Interne audit functie

Algemeen Controleplan 2021 Z/21/3239166

procesbeschrijving op te nemen. Dit zal bij de actualisaties van de procesbeschrijvingen 2021 alsnog moeten gebeuren. Hiervoor is de lijn aan zet. Bij de uitvoering van de interne audits 2021 door IAF zal dit worden gereviewd.

1.6 Leerpunten vanuit het jaarrekeningtraject 2020 Uit het traject voor het opstellen van de jaarrekening, het accountantsverslag 2020 van Deloitte en het rapport van bevindingen van de interne accountant zijn een aantal actiepunten voortgekomen voor de organisatie. Deze actiepunten hebben een plek gekregen in het jaarrekeningproces 2021. Evenals vorig jaar zal de voortgang hiervan worden gedeeld met de commissie voor de rekeningen. Daarnaast zullen verbeterpunten vanuit de uitgevoerde interne audits 2020 worden gemonitord bij de uitvoering van de audits 2021.

6 Gemeente Leiden - Interne audit functie

Algemeen Controleplan 2021 Z/21/3239166

2. De rechtmatigheidsverantwoording

In dit tweede hoofdstuk wordt ingegaan op de invoering van de rechtmatigheidsverantwoording en de betekenis hiervan voor de uit te voeren interne controles. Met het raadsbesluit RV 21.0010 heeft de raad invulling gegeven aan hoe de rechtmatigheidsverantwoording vorm moet krijgen binnen Leiden. Een van de besluiten hierbij was de komst van de rechtmatigheidsverantwoording onderdeel te laten uitmaken van het Algemeen controleplan 2021 van de interne audit functie. In dit hoofdstuk wordt nogmaals kort ingegaan op de rechtmatigheidsverantwoording, de drie rechtmatigheidscriteria en de vastgestelde rapporterings grenzen.

7 Gemeente Leiden - Interne audit functie

Algemeen Controleplan 2021 Z/21/3239166

2.1 De rechtmatigheidsverantwoording in vogelvlucht Als gevolg van gewijzigde wetgeving zal het college met ingang van het boekjaar 2021 een rechtmatigheidsverantwoording opstellen en deze in de jaarrekening opnemen. Daarmee komt de in Leiden bekende in-controlstatement te vervallen. Hiervoor in de plaats komt een rechtmatigheidsverantwoording met wettelijk voorgeschreven bewoordingen. Met de rechtmatigheidsverantwoording legt het college verantwoording af over het naleven van de (financiële) regels, die relevant zijn voor het financiële reilen en zeilen van de gemeente. Dit kan bijvoorbeeld gaan over de naleving van de voorwaarden voor subsidies, verlenen van uitkeringen en de naleving van Europese aanbestedingsregels, maar ook over misbruik en oneigenlijk gebruik en het doen van bestedingen binnen de door de raad vastgestelde begroting. Het nieuwe aan de rechtmatigheidsverantwoording betreft niet het feit dat het college verantwoordelijk wordt voor de rechtmatigheid. Dat was voor 2021 ook zo. De verandering zit erin dat nu wettelijk is geregeld dat het college de verantwoording over de rechtmatigheid opstelt. En dat de gemeenteraad hierover in gesprek gaat met het college, in plaats van dat de accountant hierover verslag uit brengt en het gesprek voert met de gemeenteraad.

Omdat het college bij constatering van onrechtmatigheden de te nemen beheersmaatregelen moet toelichten in de paragraaf bedrijfsvoering, veronderstelt men dat dit het gesprek tussen raad en college ten goede komt. Op deze manier kan de raad zijn controlerende rol beter vervullen. Doordat de rechtmatigheidsverantwoording onderdeel is van de jaarrekening, zal de externe accountant betrokken blijven bij de rechtmatigheidsverantwoording. In het kader van de jaarrekeningcontrole zal de externe accountant de getrouwheid van de rechtmatigheidsverantwoording moeten vaststellen. Hiervoor zal de accountant kennisnemen van de door Leiden opgestelde risicoanalyse, het normenkader, het toetsingskader, de uitgevoerde controles, dossiervorming en foutenevaluatie.

2.2 Interne beheersing en de rol van de IAF bij de rechtmatigheidsverantwoording Het systeem van interne beheersing moet voldoende onderbouwing bieden voor de rechtmatigheidsverantwoording. Omdat Leiden reeds een in-control-statement kende, is voor de benodigde interne beheersingssystematiek zoveel mogelijk aansluiting gezocht bij de bestaande inrichting van de interne beheersing. Een belangrijk uitgangspunt hierbij is dat de interne beheersing begint bij een goede inrichting van het primaire proces. Hier worden de risico’s onderkend en zijn onder verantwoordelijkheid van het lijnmanagement in de processen voldoende checks en balances ingebouwd die toezien op de rechtmatigheid. De processen zijn beschreven in de tool Engage. De IAF heeft hierbij een onafhankelijk toetsende rol. De toetsingswerkzaamheden zullen bestaan uit een mix van procesgerichte en gegevensgerichte werkzaamheden, zoals aselecte deelwaarnemingen, risicogerichte deelwaarnemingen en toepassing 80/20 regel. In samenhang met de pilot digitale audit zal nadrukkelijk gekeken worden of nieuwere controlemethoden gebaseerd op data-analyse een bijdrage kunnen leveren aan de controles rondom de rechtmatigheidsverantwoording.

Vanuit de ervaringen met Leiden-in-control gaan we er vooralsnog vanuit dat de controlewerkzaamheden vooral systeemgericht zullen zijn en zullen bestaan uit het toetsen van de opzet, bestaan en werking van de ingerichte processen ronden rechtmatigheid. Dit alles wordt nader uitgewerkt in hoofdstuk 3.

2.3 De drie rechtmatigheidscriteria Voor de accountantscontrole op de jaarrekening worden negen zogenaamde criteria onderkend die de accountant hanteert bij zijn controle. Van deze 9 criteria die allen een rechtmatigheidsaspect in zich dragen, is nu bepaald dat 3 van de 9 criteria onderdeel moeten zijn van de door het college af te geven rechtmatigheidsverantwoording. De overige 6 criteria zullen door de accountant worden betrokken in zijn oordeel over de getrouwheid van de jaarrekening. Dit is de figuur op de volgende bladzijde weergegeven. De drie criteria voor de rechtmatigheidsverantwoording zijn in rood gedrukt. 8

Algemeen Controleplan 2021 Z/21/3239166

Wat houden de drie genoemde criteria nu in? Bij het begrotingscriterium gaat het om controle op overschrijdingen van de geautoriseerde begroting. De financiële beheershandelingen moeten tot stand komen binnen de grenzen van de geautoriseerde begroting. Als blijkt dat de gerealiseerde bedragen hoger zijn dan de begrote bedragen is er sprake van een onrechtmatigheid. Dit omdat de overschrijding een inbreuk vormt op het budgetrecht van de gemeenteraad. Bij het voorwaardencriterium wordt vooral gekeken of de financiële beheershandelingen binnen de gemeente voldoen aan de voorwaarden zoals die gesteld zijn in de wet- en regelgeving. De voorwaarden hebben betrekking op de aspecten recht, hoogte duur. De overdrachten van onder andere subsidies en uitkeringen zijn bijvoorbeeld aan bepaalde voorwaarden verbonden. Bij inkopen gaat het vaak om het volgen van de aanbestedingsrichtlijnen. Het niet in acht nemen van deze voorwaarden 1 kan leiden tot een onrechtmatigheid. In de Kadernota rechtmatigheid van de commissie BBV staan de minimale vereisten nader uitwerkt. In bijlage C bij dit ACP wordt ook nog een nadere toelichting gegeven. Het derde criterium betreft misbruik en oneigenlijk gebruik (M&O).

Onder misbruik wordt verstaan: het opzettelijk niet, niet tijdig, onjuist of onvolledig verstrekken van gegevens met als doel ten onrechte overheidssubsidies of -uitkeringen te verkrijgen, of met het doel om voor een te laag bedrag aan heffingen aan de overheid te betalen. Dit kan

bijvoorbeeld spelen bij subsidieregelingen, kwijtschelding, uitkeringen, WMO-voorzieningen en aanbestedingen. De interne toetsing zal zich richten op juistheid en volledigheid van de gegevens, die door de belanghebbenden zijn verstrekt bij het gebruik van de betreffende overheidsregeling. Onder oneigenlijk gebruik wordt verstaan: het door het aangaan van rechtshandelingen, al dan niet gecombineerd met feitelijke handelingen, verkrijgen van overheidsbijdragen of het niet dan wel tot een te laag bedrag betalen van heffingen, dat weliswaar in overeenstemming is met de bewoordingen van de regelgeving maar in strijd is met het doel en de strekking daarvan (de ‘geest van de wet’). De beheersmaatregelen die daarbij passen zijn: handhaving, voorlichting, analyse toepassing en actualisering wet- en regelgeving. De door de IAF uitgevoerde audits hebben betrekking op het voorwaardencriterium en het misbruik- en oneigenlijk-gebruikcriterium. Het begrotingscriterium wordt niet gecontroleerd door de IAF, maar wordt getoetst bij het opstellen van het balansdossier door de balanseigenaar.

2.4 Uitganspunten voor de rechtmatigheidsverantwoording

op

te

stellen

Bij RV 20.0010 heeft de raad de uitgangspunten meegegeven voor de rechtmatigheidsverantwoording die een rol spelen bij de invulling van de werkzaamheden van de IAF. Het gaat hierbij om de volgende uitgangspunten voor 2021: a. de verantwoordingsgrens bedraagt 1%, wat neerkomt op € 5,5 miljoen; b. de rapporteringsgrens voor rechtmatigheidsissues is € 826.500; c. In de paragraaf bedrijfsvoering in de jaarstukken 2021 wordt informatie opgenomen over:  de wijze waarop de rechtmatigheidsverantwoording tot stand is gekomen  nadere toelichtingen op bevindingen  bewuste afwijkingen van wet- en regelgeving door bijzondere omstandigheden binnen de gemeente

1

Naar verwachting zal in juni zal een nieuwe notitie verschijnen van de commissie BBV die de oude kadernota vervangt en specifiek ingaat op de rechtmatigheidsverantwoording

9 Gemeente Leiden - Interne audit functie

Algemeen Controleplan 2021 Z/21/3239166

 

beheersmaatregelen ten aanzien van geconstateerde fouten en onduidelijkheden (de leer- en verbeterpunten) om dit in de toekomst te voorkomen bevindingen boven de rapporteringsgrens die niet in de rechtmatigheidsverantwoording zelf zijn opgenomen

In het ACP is rekening gehouden met deze uitgangspunten.

2.5 Welke veranderingen zijn doorgevoerd als gevolg van de rechtmatigheidsverantwoording? In de oude situatie kende de in-control-statement twee elementen:  verklaring dat de administratieve organisatie en interne beheersing dusdanig zijn ingericht en werken dat de uitvoering van de processen rechtmatig en getrouw zijn uitgevoerd;  Leiden is een lerende organisatie: de in de lijn zelf of door de Internal Audit Functie geconstateerde fouten en verbeterpunten worden adequaat opgepakt en de voortgang wordt bewaakt.

beheersing, blijft deze pijler van Leiden-in-control bestaan en zal de IAF ook hierop toetsen.

2.6 Aanpassing van een drietal verordeningen Als gevolg van de wettelijk verplichte invoering van de rechtmatigheidsverordening zullen een drietal verordeningen moeten worden aangepast op een aantal kleine punten. Deze aanpassingen zullen in een apart raadsvoorstel aan de raad worden voorgelegd. Het gaat om de volgende verordeningen:  Controleverordening gemeente Leiden 2014 (RV 14.0051)  Controleprotocol voor de accountantscontrole jaarrekening 2014 en verder (RV 14.0054)  Financiële verordening gemeente Leiden 2020 (RV 20.0024)

De rechtmatigheidscontrole richt zich enkel op de rechtmatigheid van de processen. Het element van de getrouwheid verdwijnt hiermee uit de af te leggen verklaring van het college. Daarmee verdwijnt niet de verantwoordelijkheid van het college voor een getrouwe financiële verslaglegging. Immers, op grond van art 212 van de Gemeentewet en de daarop gebaseerde financiële verordening moet het college zorgdragen voor interne toetsing. De externe accountant controleert hierop. De bewoordingen van de rechtmatigheidsverantwoording zijn wettelijk voorgeschreven. Deze zullen dan ook de oude bewoordingen uit de incontrol-statement vervangen. Wat wel blijft is dat iedere directeur voor zijn eigen cluster verantwoording aflegt, in dit geval in de bewoordingen van de voorgeschreven rechtmatigheidsverantwoording. Deze tekst is terug te vinden in bijlage E. Het tweede element - de lerende organisatie - is ook geen onderdeel van de wettelijk verplichte rechtmatigheidsverantwoording. Maar omdat Leidenin-control gehandhaafd blijft als leidend principe rondom de interne 10 Gemeente Leiden - Interne audit functie

Algemeen Controleplan 2021 Z/21/3239166

3. Auditplan interne audit functie (IAF) De rechtmatigheidsverantwoording als basis

In dit hoofdstuk wordt het auditplan van de Interne Auditfunctie op uitgewerkt. Hierbij komt aan de orde welke risico’s te onderkennen zijn, welke processen de IAF gaat controleren en hoe de IAF dit gaat doen. In de bijlagen A-achtergrondinformatie en bijlage Brisicoanalyse zijn nadere details en onderbouwingen opgenomen.

11

Algemeen Controleplan 2021 Z/21/3239166

3.1 De scope van de interne audits De interne audits richten zich in eerste instantie op de door het college af te leggen rechtmatigheidsverantwoording. Conform de systematiek welke we hanteerden bij de in-control-statement, zal ook het management een rechtmatigheidsverantwoording afleggen voor hun eigen cluster. De rechtmatigheidsverantwoording is onderdeel van het Leiden-in-control programma. Leiden-in-control kent een bredere insteek dan alleen rechtmatigheid. Met de komst van de rechtmatigheidsverantwoording zal de rechtmatigheid wel een prominentere plaats krijgen in de audits, maar behoudt de interne audit haar bredere focus. Dat betekent dat ook getrouwheid (voornamelijk volledigheid en juistheid van de financiële informatie voortkomende uit de diverse onderkende processen) een rol blijft spelen. En dat ook ITaspecten en bijvoorbeeld de focusgebieden door de IAF worden betrokken in haar werkzaamheden. Doelmatigheid en doeltreffendheid - het behalen van je afgesproken prestaties op een zo efficiënt mogelijke manier- spelen daarbij vooralsnog een bescheiden rol. De interne auditfunctie voert een combinatie van review- en verbijzonderde interne controlewerkzaamheden uit om een oordeel te kunnen vormen over de mate van interne beheersing van de onderzochte processen.

Daarbij wordt expliciet stilgestaan bij de mate van opvolging van geconstateerde verbeterpunten uit voorgaande perioden. De uitkomsten hiervan worden door de interne accountant op twee momenten e gerapporteerd: na controle van het 1 halfjaar in de interne e managementletter (verschijnt in het najaar 2021) en na controle van het 2 halfjaar (in het intern verslag van bevindingen (verschijnt in het voorjaar 2022). De interne audit functie maakt voor de auditwerkzaamheden rondom de rechtmatigheidsverantwoording gebruik van de verantwoordingsgrens en rapporteringsgrens zoals opgenomen in het raadsbesluit RV 21.0010 Invoering rechtmatigheidsverantwoording. Daarin is bepaald dat de verantwoordingsgrens voor rechtmatigheidsfouten of onduidelijkheden 1% bedraagt van de werkelijke lasten inclusief de dotaties aan de reserves (€ 5,5 miljoen). Als het totaal van de intern geconstateerde fouten en/of onduidelijkheden boven de verantwoordingsgrens uitkomt, zal het college

moeten verklaren dat de in de jaarrekening opgenomen baten en lasten en balansmutaties niet rechtmatig tot stand zijn gekomen en worden de betreffende afwijkingen in de rechtmatigheidsverantwoording opgesomd. Indien er intern fouten en/of onduidelijkheden zijn geconstateerd, die weliswaar onder de verantwoordingsgrens blijven, maar boven de rapporteringsgrens (deze is bepaald op € 827.000) zijn, zal in de paragraaf bedrijfsvoering hierover door het college worden gerapporteerd.

3.2 De aanpak van de audits door de IAF Om uiteindelijk in de rechtmatigheidsverantwoording te kunnen beweren dat de verantwoorde baten en lasten, alsmede balansmutaties, rechtmatig tot stand zijn gekomen, zal onafhankelijke toetsing door de IAF plaatsvinden. Uitgangspunt is dat de interne beheersing begint bij een goede inrichting van het primaire proces. Hier worden de risico’s onderkend en zijn onder verantwoordelijkheid van het lijnmanagement in de processen voldoende checks en balances ingebouwd die toezien op de rechtmatigheid. Onafhankelijke toetsing gebeurt door de interne audit functie. De toetsingswerkzaamheden zullen bestaan uit een mix van procesgerichte en gegevensgerichte werkzaamheden, zoals aselecte deelwaarnemingen, en risicogerichte deelwaarnemingen. In samenhang met de pilot digitale audit zal nadrukkelijk gekeken worden of nieuwere controlemethoden gebaseerd op data-analyse een bijdrage kunnen leveren aan de controles rondom de rechtmatigheidsverantwoording. Dit alles wordt via het Intern Controleplan (ICP) per proces uitgewerkt. Vanuit de ervaringen met Leiden-in-control gaan we er vooralsnog van uit dat de controlewerkzaamheden vooral procesgericht zullen zijn en derhalve gericht zijn op het toetsen van de opzet, bestaan en werking van de administratieve organisatie.

Echter, als het proces of de IT-applicatie in de basis niet (helemaal) ‘waterdicht’ is, zal via gegevensgerichte werkzaamheden moeten leiden tot duidelijkheid over wel of niet rechtmatigheid van het betreffende proces. Bij de bepaling van de steekproefomvang wordt gebruik gemaakt van de steekproef tabellen van Deloitte.

12 Gemeente Leiden - Interne audit functie

Algemeen Controleplan 2021 Z/21/3239166

In bijlage C is een ‘beslisboom’ opgenomen die wordt gehanteerd door de IAF om te bepalen op welke wijze de interne audit per proces wordt ingestoken.

13 Gemeente Leiden - Interne audit functie

Algemeen Controleplan 2021 Z/21/3239166

3.3 De processen waarop audits worden uitgevoerd (processen in scope IAF) Binnen de gemeente zijn zeer veel processen te onderkennen. Niet alle processen zijn object van de audits door de IAF. In eerste instantie worden alleen die processen die significant zijn voor de jaarrekening geaudit. Daarvoor zijn alle baten en lasten vanuit de begroting 2021 met de IV3-methode in kaart gebracht en geanalyseerd. De processen met baten of lasten groter dan de uitvoeringsmaterialiteit (zie bijlage A2 € 2,75 miljoen) worden in ieder geval geaudit. Daarnaast worden ook kwalitatief materiële posten – bijvoorbeeld grondaankopen met een inherent risico op staatssteun – opgenomen in de interne audit. En de focusgebieden (zie H 4). Dit levert 20 processen op die geaudit zullen worden in 2021. Dit betekent dat processen met een kleinere omvang in 2021 niet zullen worden geaudit. De capaciteit hiervoor ontbreekt. Mogelijk dat we hier in de toekomst wel auditwerkzaamheden op kunnen uitvoeren. Voor het uitvoeren van de audits op processen hanteert de interne auditfunctie een meerjarig roulatieschema. Significante processen worden ieder jaar geaudit. Andere kleinere processen worden niet jaarlijks, maar zouden eens in de zoveel jaar getoetst kunnen worden Het roulatieschema kijkt 3 jaar vooruit. Hieronder is het roulatieschema 2021-2023 opgenomen.

Wijzigingen ten opzichte van ACP 2020 Nieuw meerjarig roulatieschema, waarbij audits noodzakelijk voor de rechtmatigheidsverklaring jaarlijks terugkeren Vervallen zijn de VIC’s op processen onder de uitvoeringsmaterialiteit: - burgerzaken - marktgelden - stadsbank - havengelden

Toegevoegd voor 2021 en volgende jaren: -gemeentelijke belastingen en heffingen bij Concernstaf (loopt via de BSGR)

14

Algemeen Controleplan 2021 Z/21/3239166

Legenda: RMV = noodzakelijk voor rechtmatigheidsverantwoording focus = onderdeel van top focusgebieden nnb = nog nader te bepalen fs = full scope audit update VP = in dat jaar alleen een update gesprek met interne auditfunctie review = review op de werkzaamheden uitgevoerd binnen de lijnorganisatie

15 Gemeente Leiden - Interne audit functie

Algemeen Controleplan 2021 Z/21/3239166

3.4 De aan de vorige paragraaf ten grondslag liggende risico- analyse Uitleg bij grafische weergave risicoinventarisatie: Hiernaast zijn de belangrijkste risico’s weergegeven voor 2021. In bijlage B wordt een nadere uitleg gegeven. De risico’s 2021 zijn gelijk aan die van 2020. Deze risicoanalyse is gemaakt door de interne auditfunctie op basis van professionele oordeelsvorming. In bijlage B is uiteengezet welke criteria zijn gehanteerd om een risico verhoogd of significant te kwalificeren. Per risico is een inschatting gemaakt van de kans dat dit risico zich voordoet, alsmede van het effect bij optreden van dit risico op de getrouwheid en rechtmatigheid. Het gaat om inherente risico’s, er wordt voor deze risico-inventarisatie dus nog geen rekening gehouden met (reeds getroffen) beheersingsmaatregelen die het risico mogelijk ondervangen. De risico-inventarisatie wordt ook gebruikt bij het opstellen van de Interne Controleplannen (ICP’s) per proces.

16

Algemeen Controleplan 2021 Z/21/3239166

4.Focusgebieden 2021

Naast de processen in scope voor de rechtmatigheidsverantwoording, is er een mogelijkheid om jaarlijks door de IAF auditwerkzaamheden te laten verrichten op specifieke aandachtsgebieden, de zogenaamde focusgebieden. Dit kunnen processen zij die reeds deel uitmaken van de rechtmatigheidsscope van de IAF, maar het kunnen ook aandachtsgebieden zijn vanuit een breder perspectief Over de focusgebieden wordt expliciet gerapporteerd door de IAF. Focusgebieden verdwijnen weer als het gebied voldoende in control is. In 2020 zijn 8 focusgebieden onderkend. Het streven is dit aantal naar beneden te brengen. Daarom wordt voor 2021 nog 5 focusgebieden voorgesteld.

17

Algemeen Controleplan 2021 Z/21/3239166

4.1 Top focusgebieden Leiden in control 2021 In de loop van de negen jaren van Leiden in control is een verbreding doorgevoerd in de scope van de audits door de IAF. Naast de financiële aspecten kregen IT-aspecten en rol en nog later werd de scope verder verbreed naar bijvoorbeeld regie-voering, informatiebeveiliging en integriteit. Deze focusgebieden worden in de planning van de interne audit als eerste opgepakt en er wordt explicieter en diepgaander over gerapporteerd door de IAF. Door de steeds doorgevoerde uitbreidingen is het echter bijna niet mogelijk nog focus aan te brengen. Bovendien bleken er weinig focusgebieden in de jaren af te vallen. Voor 2021 willen we het aantal focusgebieden terugbrengen naar vijf. Ook om zo capaciteit in te ruimen voor het eerste jaar van de rechtmatigheidsverantwoording. In het ACP 2020 waren acht focusgebieden opgenomen. Bij drie (WMO-proces, Projectcontrol, Inkomende subsidies) van de acht focusgebieden wordt er vanuit de scope rondom de rechtmatigheidsverantwoording reeds audits door de IAF uitgevoerd. In 2021 zullen deze focusgebieden dan ook niet meer terugkomen als apart focusgebied. Wel zal hierover worden gerapporteerd als bevindingen vanuit de audits hiertoe aanleiding geven. Hoewel op het proces van de Europese aanbestedingen ook een rechtmatigheidsaudit plaatsvindt vanuit de IAF, wordt dit wel als focusgebied gehandhaafd.

Dit omdat dit een gemeentebrede audit is.

Top 5 focusgebieden Leiden in control 2021 1

Mate in control van proces Europese aanbestedingen

2

Mate in control van misbruik en oneigenlijk gebruik, integriteits- en frauderisico’s

3

Mate in control informatiebeveiliging en privacygevoelige informatie

4

Mate in control rondom de gevolgen van de coronamaatregelen voor de rechtmatigheid

5

Mate in control van proces Jeugdhulp (via Tijdelijke Werkorganisatie Holland Rijnland)

De gemeenteraad heeft echter de mogelijkheid om, waar gewenst, nog extra focusgebieden te benoemen en mee te geven aan de (organisatie en) interne auditfunctie. De interne auditfunctie stelt de raad voor om geen extra focusgebieden toe te voegen.

18

Algemeen Controleplan 2021 Z/21/3239166

5. Leiden in control wordt voorgezet De komst van de rechtmatigheidsverantwoording laat ons geen afscheid nemen van Leiden-in-control. We zijn, zoals ook in hoofdstuk 2 opgenomen bij de digitale audits, op zoek naar moderne en mogelijk efficiëntere manieren om een transparante, navolgbare en betrouwbare bedrijfsvoering aan te tonen. De beginselen van Leiden-in-control blijven daarbij het uitgangspunt. In dit hoofdstuk worden daarom de belangrijkste beginselen van Leiden in control nog maar eens behandeld. Via Leiden in control creëren we een lerende organisatie: een organisatie die systematisch interne controles uitvoert op de belangrijkste financiële processen en systemen en die fouten en verbeterpunten daarin zelf constateer en vervolgens daarop gepaste actie onderneemt.

19 Gemeente Leiden - Interne audit functie

Algemeen Controleplan 2021 Z/21/3239166

5.1 Waarom willen we als organisatie in control zijn? Als decentrale overheid wordt de gemeente voor een heel groot deel gefinancierd met publiek geld. De Leidse burgers, onze partners in de stad, de Rijksoverheid en overige medeoverheden en/of toezichthouders hebben vanuit dat kader hoge verwachtingen van de wijze waarop de gemeente Leiden met dit geld omgaat. De gemeente moet in dat kader ‘de goede dingen doen’ (lees: uitvoering geven aan het collegeakkoord) en ‘de dingen goed doen’ (lees: effectief, efficiënt en in overeenstemming met wet- en regelgeving). En daar hoort ook bij dat de gemeente daarover verantwoording aflegt. Op grond van de financiële verordening is het college eindverantwoordelijk voor de controle op het financieel beheer van de gemeente en voor de inrichting van de (financiële) organisatie. De raad heeft een kaderstellende en controlerende rol. Expliciet was in de Leidse financiële verordening al enkele jaren opgenomen dat het college in de jaarstukken een in control statement opneemt, waarin het college expliciet verantwoord in welke mate de gemeente Leiden in control is. Er is dus een noodzaak om aantoonbaar in control te zijn. De gewijzigde verordening waarin nu de rechtmatigheidsverantwoording een plaats heeft gekregen verandert daar niets aan.

Naast de interne accountant speelt team concerncontrol een belangrijke rol bij de monitoring of de organisatie in control is.

5.2 Wat verstaan we onder Leiden in control? Om vast te stellen of we de goede dingen doen en de dingen goed doen moeten we onszelf continue de maat nemen. Liggen we op schema om onze doelen te bereiken? Is er een noodzaak om bij te sturen? De reguliere planning-en-controlcyclus van de gemeente faciliteert dit al grotendeels: daarin is de ‘plan-do-check-act-cyclus’ al geïntegreerd. Daarnaast hebben we in Leiden een specifiek instrument opgezet om het in control zijn en blijven expliciet op de agenda te zetten en houden: Leiden in control.

Overigens is het niet zo dat Leiden in control een allesomvattend en eenduidig instrument is. Hieronder volgen enkele korte statements om aan te geven wat Leiden in control zoal inhoudt: Leiden in control is ons eigen instrument om een lerende organisatie te creëren en onderhouden. 1. Het gaat over getrouwheid en rechtmatigheid van de belangrijkste financiële processen en IT-systemen, aangevuld met enkele specifieke thema’s als integriteitsmanagement, ITbeheersprocessen en informatiebeveiliging, beheersing van fiscale processen en beheersing van (gedeeltelijk) uitbestede taken of diensten aan samenwerkingspartners (TOP focusgebieden) 2. Het gaat niet over controle, maar over control

20

Algemeen Controleplan 2021 Z/21/3239166

3. Het gaat niet over leren van fouten door foutherstel, maar over leren van fouten door procesverbetering te realiseren

E.e.a. kan als volgt in een plaatje worden weergegeven:

Control vs. Controle: wat is het verschil? Control omvat de beheersing van een organisatie met het oog op het realiseren van doelstellingen. Dit betekent: terugkijken, maatregelen nemen en vooruit kijken. Controle omvat alleen de toetsing van de realiteit: de SOLL-positie (hoe zou het moeten zijn?) wordt vergeleken met de IST-positie (hoe is het werkelijk?). Bij controle wordt er dus alleen teruggekeken en niet vooruit.

Bij bepaling of we in control zijn voor de belangrijkste financiële processen en IT-systemen wordt vastgesteld:  in welke mate de opzet, het bestaan en de werking van daarin opgenomen interne beheersingsmaatregelen in voldoende mate de rechtmatigheid en getrouwheid van uit die processen en IT-systemen voortvloeiende baten, lasten en balansmutaties waarborgen.  in welke mate de geformuleerde verbeterpunten voor de processen en systemen door de organisatie in gang worden gezet en worden bewaakt, met andere woorden, is er aantoonbaar sprake van een ‘lerende organisatie’?

5.4 Hoe zorg je ervoor dat je in control bent en blijft? 5.3 Wie doen er allemaal mee bij Leiden in control? Net als bij de planning-en-control-producten staat in de praktijk het lijnmanagement aan het stuur voor Leiden in control. Een lijnmanager / proces-eigenaar is zelf primair verantwoordelijk voor een goede administratieve organisatie en interne beheersing (AO/IB) van zijn of haar processen en IT-systemen. De staf ondersteunt de lijn hierbij, zowel door tijdig basisinformatie aan te leveren, als door de lijn te adviseren over verbindingen tussen bijvoorbeeld inhoud en financiën. We onderkennen echter ook secundaire partijen in het kader van Leiden in control: de interne audit functie en de externe accountant. Zij zijn in dit kader de spelers die de primaire partijen periodiek een spiegel voorhouden hoe het ervoor staat met Leiden in control.

Om in control te zijn, heb je een transparante, navolgbare en betrouwbare bedrijfsvoering nodig. Dat wil zeggen dat je beschikt over actuele managementinformatie die je op elk moment kunnen vertellen hoe je ervoor staat ten aanzien van de belangrijkste doelen en risico’s die je hebt. Specifiek voor Leiden in control betekent het dat je weet wat de belangrijkste risico’s zijn die spelen bij jouw processen en IT-systemen en dat je periodiek vaststelt of die risico’s voldoende worden voorkomen via interne beheersmaatregelen die je hebt getroffen in je processen en systemen. Soms wordt een risico niet (helemaal) afgedekt. Dit kan resulteren in fouten. Soms heeft de fout zich al voorgedaan, maar het kan ook zijn dat je dit nog kunt voorkomen. Het gaat er dan om dat je voor die risico’s verbeteringen aanbrengt in je proces of systeem, zodat de risico’s wel voldoende worden afgedekt. En dus is het ook heel belangrijk om, naast 21

Gemeente Leiden - Interne audit functie

Algemeen Controleplan 2021 Z/21/3239166

het periodiek nalopen van je risico’s en interne beheersmaatregelen, de voortgang van de verbeterpunten te bewaken.

wijze waarop zij gaan aantonen (in eerste instantie aan de interne audit functie) dat ze in control is.

5.5 Wanneer stel je vast of je in control bent (geweest)?

Self assessments bij Leiden in control: Minimaal dient de organisatie twee keer per jaar zelf de thermometer in de voortgang van het oppakken van verbeterpunten te steken. De manier waarin dit vorm wordt gegeven verschilt per cluster. Zo kent het cluster Beheer 3x per jaar scrums, worden binnen Stedelijke ontwikkeling 2x per jaar rondom de Grexen zogenaamde spreekuurgesprekken gevoerd en worden binnen het Projectbureau periodieke voortgangsgesprekken gehouden.

Aantoonbaar in control zijn Je kunt als manager zelf vinden dat je heel goed in control bent. Maar dit is niet voldoende. Je moet het dan ook kunnen aantonen! Om aan te tonen dat je in control bent, moet je kunnen laten zien wat (voor jouw (proces/IT)doelen) je belangrijkste risico’s zijn, welke interne beheersingsmaatregelen je hebt getroffen om die risico’s af te dekken en tot slot dat die interne beheersingsmaatregelen gedurende het hele jaar hebben gefunctioneerd. Het aantoonbaar in control zijn van de organisatie begint dus bij de manager. Samen met de onafhankelijke toetsing door de interne audit functie wordt op deze manier vastgesteld of we met elkaar wel of niet in control zijn. Het in control zijn is nadrukkelijk niet iets alleen van de interne audit functie. De interne audit functie toetst vaak achteraf, maar om adequaat te kunnen bijsturen, is het belangrijk dat actuele informatie over het verloop van het proces wordt gebruikt. Daarom is het belangrijk dat de manager in zijn proces beheersmaatregelen inbouwt die dit mogelijk maken In het Algemeen Controleplan 2017 is de kreet ‘self assessments’ voor het eerst geïntroduceerd voor het bepalen van de mate waarin een lijnmanager of proces-eigenaar in control is. Het idee erachter is simpel: de organisatie neemt zelf het heft in handen en kiest een vrije vorm voor de

Er zijn twee momenten waarop de organisatie expliciet vaststelt of ze in control is (geweest):  halverwege het jaar  na afloop van het jaar De bedoeling is om halverwege het jaar, in de praktijk uiterlijk voor aanvang van het zomerreces, een tussentijdse inventarisatie van de mate in control op te stellen. Deze tussentijdse inventarisatie wordt betrokken bij het opstellen van het Interne controleplan per proces door AO/IC. Aan het eind van het jaar, voor aanvang van het kerstreces, dient de tussentijdse inventarisatie te worden bijgewerkt: hoe staat het ervoor, terugkijkend op 2020? Deze inventarisatie per jaareinde is eveneens bedoeld om te overleggen aan de interne audit functie in verband met de e interne audit over het 2 halfjaar. Maar deze inventarisatie dient ook als basis voor de rechtmatigheidsverantwoording per clusterdirecteur die na afloop van het jaar dient te worden opgesteld.

22 Gemeente Leiden - Interne audit functie

Algemeen Controleplan 2021 Z/21/3239166

6. De stappen binnen Leiden in Control

In de vorige hoofdstukken is beschreven waarop we ons richten in 2021, wie er allemaal betrokken zijn bij Leiden in control en hoe we het aanpakken. Dit hoofdstuk beschrijft nog eens de stappen van dit Algemeen Controleplan: het voorwerk, startgesprek, uitvoering van de verbijzonderde controles in 2 fases en de rapportages.

23 Gemeente Leiden - Interne audit functie

Algemeen Controleplan 2021 Z/21/3239166

Op de vorige pagina - ter introductie van dit zesde hoofdstuk - is een schematische weergave opgenomen van de 6 fasen om te komen tot een juiste uitvoering van de interne audits die als basis kunnen dienen voor de rechtmatigheidsverantwoording. In de hieronder volgende paragrafen wordt per fase beschreven wat deze inhoudt en wat er van zowel de organisatie als de interne audit functie verwacht wordt.

6.1 Een goed begin is het startgesprekken en controleplannen

halve

werk:

Fase 1: Het startgesprek en bijbehorende voorbereidingen Het startgesprek is bedoeld voor het lijnmanagement/de proces-eigenaar en de interne auditfunctie om gezamenlijk de aanpak voor de interne audit van het voorliggende begrotingsjaar te bepalen. In het startgesprek zal in algemene zin stilgestaan worden bij:  evaluatie van vorige controlejaar  de actualisatie van de procesbeschrijving  de top focusgebieden  nieuwe onderkende risico’s per proces  de uit te voeren controleaanpak voor het huidige controlejaar en daarbij te hanteren methodieken en rapportageformats, inclusief de invloed van IT-applicatie en – beheersing op proces  Het maken van afspraken over uitvoering interne audit en deadlines daarbij Ter voorbereiding op het startgesprek, maar ook na het startgesprek ter voorbereiding op de uit te voeren interne audit, zal de interne auditfunctie bij het lijnmanagement/de proces-eigenaar informatie opvragen die nodig is om noodzakelijke voorbereidingswerkzaamheden uit te kunnen voeren. Hierbij kan worden gedacht aan status openstaande verbeterpunten, lijstwerk (gedane transacties, gebeurtenissen), uitkomsten selfassessments, actuele procesbeschrijvingen (indien gewijzigd t.o.v. vorige periode), cijfermateriaal / cijferanalyses (ontwikkeling realisatie versus

begroot), uitvraag of er wijzigingen hebben plaatsgevonden in achterliggende wet- en regelgeving en/of gemeentelijk beleid, etc. Waar mogelijk zal deze informatie zoveel mogelijk gebundeld worden uitgevraagd. Uiteindelijk levert de interne auditfunctie aan de verantwoordelijk proceseigenaar een Intern Controleplan (ICP 2021) op, waarin inzichtelijk is gemaakt welke belangrijkste risico’s er bestaan ten aanzien van het proces en welke beheersingsmaatregelen die moeten ondervangen (als die niet aanwezig zijn: welke verbeteropgave dit op korte termijn tot gevolg heeft) en de controleaanpak door de interne auditfunctie.

6.2 Uitvoering van de interne audits gefaseerd over het jaar (1e en 2e halfjaar 2021) Fase 2: Het uitvoeren van (verbijzonderde) interne e controlewerkzaamheden – verdeeld over twee tijdvakken: het 1 e halfjaar en 2 halfjaar De lijn is primair verantwoordelijk voor het uitvoeren van interne controlewerkzaamheden. De interne audit functie stelt middels audits (of: verbijzonderde interne controlewerkzaamheden) vast dat de interne controle door de lijn goed heeft gefunctioneerd. Hierbij is het belangrijk dat via het proces de risico’s door beheersmaatregelen worden ‘afgedekt’. In de basis wordt interne controle door de lijn dagelijks uitgevoerd als onderdeel van de reguliere processen en daarbij behorende werkzaamheden. Voor Leiden ‘in control’ is het van belang dat deze consequent uitgevoerde interne controle ook aantoonbaar is. Kortom: interne controlehandelingen dienen vanuit dit kader zichtbaar te worden 2 gemaakt en dit dient tevens ook achteraf nog vast te stellen zijn . Wanneer sprake is van bovenstaande situatie, dan kan de interne auditfunctie steunen op het ‘systeem van interne controle’ dat door de lijn is ingericht. De interne auditfunctie zal dan een systeemgerichte controleaanpak hanteren, waarbij zoveel mogelijk gesteund wordt op de ‘checks’ die de organisatie al uitvoert. Zo wordt ook zoveel mogelijk dubbel 2

Zie de Handreiking op de Leiden in control-intranetpagina’s voor de eisen waaraan zichtbare interne controlevastleggingen moeten voldoen!

24 Gemeente Leiden - Interne audit functie

Algemeen Controleplan 2021 Z/21/3239166

werk voorkomen. In de praktijk blijkt echter dikwijls dat niet alle interne controles zichtbaar worden gemaakt of niet worden bewaard. In dat geval kan de interne auditfunctie ook niet meer achteraf vaststellen of het systeem van interne controle heeft gefunctioneerd en zal zij de lijn voorschrijven om over te gaan tot een gegevensgerichte controle. In bijlage C is voorgeschreven welke minimale aantallen te testen items in beide situaties gelden. Een gegevensgerichte controle is dikwijls veel omvangrijker en tijdrovender dan een systeemgerichte controle! Vandaar ook ons streven in de toekomst zoveel mogelijk via digitale audits het werk uit te voeren. Zodra de lijn de interne controlewerkzaamheden heeft afgerond zal de interne auditfunctie aanvangen met het uitvoeren van de audits (of: verbijzonderde interne e controle). Deze vindt plaats in twee tranches: over het 1 halfjaar (januari e t/m juni) en over het 2 halfjaar (juli t/m december). Het moment waarop deze werkzaamheden worden uitgevoerd vindt plaats in goed overleg tussen de lijn en de interne auditfunctie.

6.3 Bevindingen formuleren

bespreken

en

verbeterpunten

Fase 3: Het delen van bevindingen n.a.v. de interne audit en gezamenlijk bepalen van eventuele verbeterpunten Wanneer de interne auditfunctie de auditwerkzaamheden met betrekking tot het proces heeft uitgevoerd, wordt een gesprek gepland met de lijnmanager/proces-eigenaar om de bevindingen te delen die uit deze verbijzonderde interne controle naar voren zijn gekomen. Hierbij zal nadrukkelijk worden gereflecteerd op de vooraf (tijdens startgesprek) bepaalde belangrijkste risico’s. Wanneer de interne auditfunctie bevindingen heeft op basis van de door hem uitgevoerde verbijzonderde interne controle zullen

deze feitelijk worden gerapporteerd en zal in het gesprek aan de lijnmanager/de proces-eigenaar worden gevraagd om een verbeterpunt te formuleren. Hierbij ondersteunt de interne auditfunctie met natuurlijk advies. Tevens zal de bijbehorende risicoclassificatie met elkaar worden besproken. e

Deze 3 fase vindt twee keer per jaar plaats, na uitvoering van de interne e e auditwerkzaamheden over het 1 halfjaar en het 2 halfjaar. Fase 4: Het definitief rapporteren over bevindingen en verbeterpunten Na het bereiken van overeenstemming over de geconstateerde bevindingen door de interne auditfunctie en het formuleren van verbeterpunten daarbij, worden deze verbeterpunten opgenomen in de definitieve rapportage (zo beknopt mogelijk controlememorandum) van de interne auditfunctie dat daarna wordt verstrekt aan e de lijn. Deze 4 fase vindt twee keer per jaar plaats, na uitvoering van de interne auditwerkzaamheden over het e e 1 halfjaar en het 2 halfjaar. Fase 5: Het voeren van clustergesprekken Twee keer per jaar vindt een ‘Clustergesprek’ plaats bij alle clusters. In een sessie van 1 uur zal de interne audit functie het MT van het betreffende cluster (inclusief de clusterdirecteur) meenemen in de belangrijkste bevindingen die uit de interne auditwerkzaamheden zijn gekomen. Het doel is dus om vooral met elkaar het goede gesprek te voeren over het nog beter in control komen. Gelijktijdig wordt door de interne audit functie het managementcommentaar opgehaald. Het lijnmanagement gebruikt deze informatie voor rapportage over de mate in control in de reguliere P&C-documenten. De Interne audit functie gebruikt dit voor interne managementletter en/of intern verslag van bevindingen.

25 Gemeente Leiden - Interne audit functie

Algemeen Controleplan 2021 Z/21/3239166

6.4 De rol van de jaarafsluiting en de balansdossiers bij de rechtmatigheidsverantwoording

6.5 Voor een geslaagd eindresultaat is goede samenwerking cruciaal

Fase 6: Eindejaarscontrole jaarrekening: uitkomsten van de rechtmatigheidscontroles die samenhangen met balansposten en het beoordelen van het begrotingscriterium Fase 6 is hier expliciet beschreven, maar zal in de praktijk vooral plaatsvinden bij het opstellen van het balansdossier binnen SP71 bij het opstellen van de jaarrekening 2021. Er wordt stilgestaan bij het vaststellen dat:  De posten die op basis van de IV-3 analyse van de begroting 2021 boven de uitvoeringsmaterialiteit komen, maar geen deel uitmaken van een interne audit op de processen, zoals bijvoorbeeld afschrijvingen, mutaties reserves etc., zullen bij het opstellen van het balansdossier bij de jaarrekening 2021 door de balanseigenaar worden gecontroleerd. Vastlegging hiervan vindt plaats in Eqili. Deze posten spelen ook een rol bij de aard van de af te geven rechtmatigheidsverantwoording. Hiervoor zal door de interne auditfunctie een review plaatsvinden op de balansdossiers, die door SP71 in samenspraak met de lijn, zijn opgesteld.

In bijlage F is de globale planning met harde deadlines opgenomen voor uit te voeren activiteiten die uit dit Algemeen Controleplan voortvloeien.



Tijdens de eindejaarscontrole zal een aparte controle plaatsvinden aan de hand van het begrotingscriterium. De uitkomsten hiervan worden vastgelegd in Eqili en onderdeel zijn van de af te leggen rechtmatigheidsverantwoording.

Fase 7: Opstellen rechtmatigheidsverantwoording Nadat alle voorgaande fasen zijn uitgevoerd kan worden overgegaan tot het opstellen van de ‘rechtmatigheidsverantwoording’. Hierbij geldt dat deze in principe door de lijn wordt opgesteld, met ondersteuning van de concerncontroller, waarbij de intern accountant geraadpleegd dient te worden om de bewoording en de te formuleren belangrijkste verbeterpunten (urgent en hoog) mee af te stemmen.

Voor een geslaagd eindresultaat hebben we elkaar hard nodig. Dit vraagt dan ook om een professionele en constructieve samenwerking, waarbij we continue met elkaar in gesprek blijven. Een samenwerkende en open cultuur is daarbij van belang. Deadlines halen is belangrijk, omdat ook de achterliggende P&C-cyclus van de gemeente Leiden afhankelijk is van een tijdige afronding van het ‘in control’-traject. En ook zal het proces van de controle op de jaarrekening door de externe accountant gebaat zijn bij een tijdige afronding van het incontrol-traject. Door intern tijdig het eindresultaat klaar te hebben voorkomen we ook dat er ‘dubbele vragen’ gaan ontstaan omdat de externe accountant nog niet de beschikking heeft over de gezamenlijke resultaten uit Leiden in control. Maar uiteraard is Leiden in control meer dan “een jaarlijkse cyclus van uit te voeren werkzaamheden”. Het gaat om het vasthouden van die lerende organisatie om blijvend in control te zijn.

26 Gemeente Leiden - Interne audit functie

Algemeen Controleplan 2021 Z/21/3239166

7. Bijlagen

A B C D E F

Achtergrondinformatie bij het Algemeen Controleplan 2021 Risicoanalyse die ten grondslag ligt aan het auditplan 2021 Rechtmatigheidscriteria, controlebenadering en aantallen te testen items Systematiek voor bepalen ‘mate in control’ Voorgeschreven tekst rechtmatigheidsverantwoording Planning uitvoering werkzaamheden vanuit Algemeen Controleplan 2021

27

Algemeen Controleplan 2021 Z/21/3239166

Bijlage A | Achtergrondinformatie bij Algemeen Controleplan 2021 Bij het opstellen van het algemeen controleplan 2021 dient allerlei regelgeving als kader voor de uitvoering van de internal audit. Daarnaast zijn er in de loop van de jaren diverse afspraken met de gemeenteraad gemaakt over “Leiden in Control” In deze bijlage A wordt de regelgeving en afspraken op een rijtje gezet.

A 1 De door de gemeenteraad vastgestelde financiële verordening In de financiële verordening ex artikel 212 Gemeentewet worden de uitgangspunten voor het financiële beleid, alsmede voor het financiële beheer en voor de inrichting van de financiële organisatie vastgesteld. Deze verordening waarborgt dat aan de eisen van rechtmatigheid, verantwoording en controle wordt voldaan. Hoofdstuk 7 van deze verordening gaat over financieel beheer en interne controle binnen Leiden. Artikel 36 uit dit hoofdstuk gaat expliciet over het aspect ‘Interne controle’: Let op: mogelijk verandert dit met de actualisatie van de financiële verordening Artikel 36. Interne controle 1. Het college zorgt, ten behoeve van het getrouwe beeld van de jaarrekening en de rechtmatigheid van de baten en lasten en de balansmutaties, voor de jaarlijkse interne toetsing van de getrouwheid van de informatieverstrekking en de rechtmatigheid van de beheershandelingen. Bij afwijkingen neemt het college maatregelen tot herstel. 2. De kaders voor de interne toetsing worden jaarlijks vastgelegd in het Algemeen Controleplan. Op voordracht van het college stelt de raad dit plan jaarlijks vast. 3. In de jaarstukken neemt het college ten behoeve van de raad op grond van de interne toetsing een in control verklaring op.

A 2 De door de gemeenteraad afgesproken verantwoordingsgrens en rapporteringsgrens Bij het vaststellen van de notitie rechtmatigheidsverantwoording (RV 21.0010) heeft de raad de verantwoordingsgrens bepaald op 1% van de begrote lasten inclusief dotaties aan de reserve. De rapporteringsgrens is in datzelfde besluit vastgesteld 5% van 3% van de begrote lasten inclusief dotaties reserves. Op basis van de Programmabegroting 2021 van de gemeente Leiden betekent dit dat de verantwoordingsgrens en rapporteringsgrens als volgt zijn bepaald: Verantwoordingsgrens 2021 - fouten: Verantwoordingsgrens 2021 - onduidelijkheden: Rapporteringsgrens 2021 - fouten en onduidleijkheden:

1% 1% 5%

€ € €

5.518.600 5.518.600 827.790

€ € €

5.500.000 5.500.000 827.000

Het gaat hierbij voor de rechtmatigheidsverantwoording over het percentage fouten en onduidelijkheden dat de raad acceptabel vindt in de rechtmatigheidsverantwoording en de omvang van fouten en onduidelijkheden waarover de raad gerapporteerd wil hebben. Wetgeving schrijft voor, in tegenstelling tot de voor de accountantscontrole vast te stellen percentages, het percentage voor de verantwoordingsgrens voor fouten en onduidelijkheden hetzelfde moet zijn.