A.8 Boardletter gemeente Leusden.pdf

BoardLetter 2021 Gemeente Leusden

Per saldo persoonlijker

Aan de gemeenteraad van de Gemeente Leusden Postbus 150 3830 AD LEUSDEN Amersfoort, 1 november 2021 Geachte leden van de gemeenteraad, Wij hebben, als onderdeel van de controle van de jaarrekening 2021, de interim-controle voor de gemeente Leusden uitgevoerd. Deze controle is primair gericht op de analyse en evaluatie van de interne-beheersingsomgeving en de daarin opgenomen maatregelen van interne controle. Tevens heeft deze controle als doelstelling om de aandachtspunten voor de jaarrekening 2021 te signaleren en onder uw aandacht te brengen. In onze Boardletter is een samenvatting van onze bevindingen en aanbevelingen ter zake opgenomen. De detailbevindingen die uit ons onderzoek zijn gebleken, hebben wij met het college en de directie gedeeld via onze managementletter. Wij beginnen deze Boardletter met een samenvatting van onze belangrijkste boodschappen voor u en de belangrijkste risico’s die wij bij de controle van gemeente Leusden onderkennen. Daarna geven wij een oordeel op hoe de relevante processen zijn opgezet en adviseren wij u over verbetermogelijkheden.

Per saldo persoonlijker Bladzijde 2 van 23

Wij danken uw organisatie voor de prettige samenwerking en zijn vanzelfsprekend graag bereid een nadere toelichting te verstrekken.

Met vriendelijke groet, Eshuis Registeraccountants BV

drs. C.L. Willems RA

Per saldo persoonlijker Bladzijde 3 van 23

Inhoudsopgave 1. 2. 3. 4. 5.

Managementsamenvatting De belangrijkste risico’s Beeld procesbeheersing Vooruitblik naar de jaarrekening Relevante actualiteiten

Per saldo persoonlijker Bladzijde 4 van 23

1. Managementsamenvatting De bevindingen, waarnemingen en aanbevelingen in deze Boardletter beogen het management en het college te ondersteunen in het proces van het voortdurend verbeteren van de internebeheersingsomgeving en de interne risicobeheersing. In overeenstemming met de initiële risico-inschatting en het auditplan 2021, zijn de opzet en de implementatie van de belangrijkste interne beheersingsmaatregelen getoetst voor de periode januari 2021 tot en met september 2021 met betrekking tot de volgende bedrijfsprocessen: • Administratie & Verslaglegging (waaronder de memoriaalboekingen) • Inkopen en aanbestedingen • Factuurverwerking en betalingen • Grondexploitatie • Subsidieverstrekkingen • Personeel & salarisadministratie • Treasury • Opbrengstenstromen: subsidiebaten, algemene uitkering • Uitkeringen Participatiewet en BBZ • Zorgbestedingen WMO en Jeugd • Automatiseringsomgeving

Managementsamenvatting Voor u ligt de Boardletter 2021, waarin wij verslag uit brengen over de interim-controle welke in september 2021 is uitgevoerd. Wij kijken positief terug op de prettige samenwerking met de ambtelijke organisatie. Met duidelijke afspraken en heldere communicatielijnen trachten wij elkaar steeds beter te vinden en elkaar in ieders rol te versterken. De interim-controle is primair gericht op het beoordelen van de interne beheersmaatregelen (key-controls) in de voor de jaarrekening relevante bedrijfsprocessen. Dit zijn die processen binnen Leusden die een koppeling hebben met materiële posten in de jaarrekening, alsmede processen waarin wij verhoogde (fraude)risico’s onderkennen. We hebben daarbij oog voor aspecten die naar onze mening van belang zijn voor uw bedrijfsvoering dan wel richting kunnen geven aan het verder verbeteren van de procesbeheersing. Wij hebben een goed beeld gekregen van uw gemeentelijke administratieve organisatie en interne beheersing. De gemeente wordt gekenmerkt door de veelvoud extern uitbestede processen (sociaal domein, waaronder de Participatiewet, Jeugdwet en WMO en Belastingen) en een platte hiërarchische organisatiestructuur.

Per saldo persoonlijker Bladzijde 5 van 23

Onze algemene indruk van de gehele administratieve organisatie en interne beheersing binnen en buiten de gemeente Leusden is voorzichtig positief. Wij hebben geen bevindingen ten aanzien van de kwaliteit van de interne beheersing welke op voorhand een goedkeurend oordeel in de weg lijken te staan. Desalniettemin hebben wij een aantal observaties welke uw aandacht vragen. De belangrijkste nemen wij hier op, een meer gedetailleerd overzicht vindt u terug in paragraaf 3. Verbijzonderde interne controle Uw Verbijzonderde Interne Controle (verder VIC) kent een veelzijdige functievervulling. De VIC is van origine bedoeld als de 3e verdedigingslinie binnen het governance stelsel van de gemeente (zie paragraaf 6.6). Wij stellen vast dat uw VIC ook ontbrekende beheersmaatregelen in de dagelijkse bedrijfsvoering (2e verdedigingslinie) opvangt. Door een beperkte personele bezetting controleert de VIC gegevens (bijvoorbeeld memorialen) die eigenlijk door de afdeling zelf gecontroleerd moeten worden. Dat is een pragmatische oplossing natuurlijk. Maar met het oog op het naderende rechtmatigheidsoordeel worden er zowel inhoudelijk als procedureel andere eisen aan de VIC gesteld.

Als de VIC ingezet blijft worden om ontbrekende controles in de bedrijfsvoering te vervangen doet dat af aan hun onafhankelijke controlerol én wordt de beschikbare capaciteit niet ingezet op het doel waarvoor deze bedoeld is. Daarnaast merken wij op dat de positie van de VIC-functie in de organisatie nog onvoldoende duidelijk is. Om onafhankelijk te kunnen controleren en rapporteren is het nodig dat het college expliciet de opdrachtgever is. Het college legt immers de verantwoording aan de raad af en moet dus degene zijn die het controleplan vaststelt en bepaalt welke werkzaamheden uitgevoerd moeten worden. Uiteraard kan het college zich hiervoor laten assisteren door de controller of andere specialisten. In april hebben wij kennis mogen maken met de werkgroep financiële verantwoording van de gemeente Leusden. Daar hebben wij elkaar uitgebreid gesproken over de implementatie van de rechtmatigheidsverantwoording per 2022. Daarbij hebben wij het uitvoerig met elkaar gehad over de formele positionering, opdrachtgeverschap, communicatiekanalen en werkzaamheden van de VIC.

Per saldo persoonlijker Bladzijde 6 van 23

Om hier nadere handvaten aan te geven hebben wij een in paragraaf 5 een stappenplan uitgewerkt ten aanzien van de weg naar de rechtmatigheidsverantwoording en de rol van de VIC hierin. IT-omgeving Het takenpakket van de applicatiebeheerder is te breed, waardoor het risico op functievermenging ontstaat. Naast het beheer van de financiële administratie voert de betreffende applicatiebeheerder ook taken uit in de dagelijkse bedrijfsvoering, waaronder het autoriseren van memorialen en crediteurenstamgegevens. Deze functievermenging is niet wenselijk, zeker niet vanuit de gedachten dat de applicatiebeheerder een onafhankelijke positie in de bedrijfsvoering dient te hebben om betrouwbaarheid en validiteit van brongegevens te bewaken. Deze functievermenging is de belangrijkste hindernis om de vervolgstap te kunnen zetten in de toetsing van de ITomgeving. Wij zien – met medeneming van deze bevinding – mogelijkheden om de IT-omgeving te kunnen controleren op werking. Omdat Leusden de gastheer is voor specifiek de applicatie Key2Financiën hechten wij een extra belang aan de betrouwbaarheid van de IT-omgeving hieromtrent. Frauderisicoanalyse De primaire verantwoordelijkheid voor het voorkomen en detecteren van fraude berust bij zowel het toezichthoudend orgaan als het college van burgemeester en wethouders.

Binnen de gemeente Leusden is de frauderisicoanalyse een onderdeel van het risicomanagement. Op basis van onze uitgevoerde interimwerkzaamheden hebben wij geen aanpassingen aangebracht in onze initiële frauderisicoanalyse die is opgenomen in het auditplan 2021. Een belangrijk onderdeel van onze aanpak is de mogelijkheid om via een IT-audit het mogelijk te maken om te steunen op de interne beheersing in en rondom de financiële administratie Key2Financiën. De toegevoegde waarde is potentieel groot gezien het systeem ook het digitale factuurverwerkingssysteem omvat voor de eigen gemeente en voor de gemeente Bunschoten, Nijkerk en Putten.

Per saldo persoonlijker Bladzijde 7 van 23

Op basis van een eerste inventarisatie middels interviews en inspectie van documenten zien wij zeker aanknopingspunten voor het mogelijk steunen op de interne beheersing in dit systeem.

Per saldo persoonlijker Bladzijde 8 van 23

2. De belangrijkste risico’s Wij vinden het van belang dat u weet waar wij bij de gemeente Leusden de belangrijkste risico’s zien die tot mogelijke afwijkingen dan wel onzekerheden in de jaarrekening van uw gemeente kunnen leiden. Bij onze inschatting van de risico’s laten wij ons leiden door bijvoorbeeld fouten uit het verleden, de bevindingen van de VIC, belangrijke gebeurtenissen en voorschriften van onze beroepsorganisatie. Voor het jaar 2021 onderkennen wij de volgende belangrijkste risico’s:

Onderwerp

Motivering

Management override

Om het risico te verkleinen controleren wij de schattingsposten (waaronder voorzieningen), transacties buiten de reguliere bedrijfsvoering, transacties met verbonden partijen en handmatige boekingen buiten de reguliere, vaak geautomatiseerde boekingsgang om in detail.

Risico op het doorbreking van de AO/IB door het management, hetgeen een standaard risico is vanuit onze beroepsregels. Dit risico ziet bij uw gemeente met name toe op de schattingsposten in de grondexploitatie en voorzieningen.

Waardering van de GREX Risico op een onjuiste waardering van de grondexploitatie.

Rechtmatigheid inkopen Risico dat inkopen niet voldoen aan de Europese Aanbestedingswet.

De waardering van uw grondexploitaties is vanwege de complexiteit en subjectiviteit van de gehanteerde uitgangspunten een belangrijk risico in onze controle. In de afgelopen jaren heeft uw gemeente onrechtmatige inkopen gehad als gevolg van het niet voldoen van de Europese Aanbestedingswet. Als gemeente is het moeilijk om aan de voorkant de inkoopbehoefte in te schatten en worden overschrijdingen gedurende een inkooptraject gesignaleerd.

Per saldo persoonlijker Bladzijde 9 van 23

Deze risico’s zijn afgeleid uit ons dienstverleningsplan. In dit dienstverleningsplan is een uitgebreide(re) lijst van risico’s opgenomen om u inzicht te geven in de manier waarop wij onze controle benaderen. In deze Boardletter nemen wij alleen de belangrijkste drie risico’s op. De aard van deze risico’s brengt met zich mee dat wij met name bij de controle van de jaarrekening hier aandacht aan besteden. In ons accountantsverslag dat wij naar aanleiding van de controle van de jaarrekening uitbrengen zullen wij rapporteren hoe deze risico’s zijn afgedekt.

Per saldo persoonlijker Bladzijde 10 van 23

3. Beeld procesbeheersing Onderstaand vatten wij ons oordeel over de opzet en het bestaan per proces samen. Ten aanzien van opzet en bestaan geven wij het proces een classificatie mee: 

Verbetermogelijkheden: Binnen het proces is sprake van significant risico en/of er is sprake van verschillende tekortkomingen/observaties binnen de AO/IB en vragen hier op korte termijn uw aandacht voor;



Toereikend met verbetermogelijkheden: Binnen het proces is sprake van verhoogd risico en/of er is sprake van verschillende observaties binnen de AO/IB en vragen hier op middellange termijn uw aandacht voor;



Toereikend: Binnen het proces is sprake van risico en er is geen sprake van observaties binnen de AO/IB. Hiermee concluderen wij dat dit proces in opzet en bestaan voldoende is om het proces van het opstellen van de jaarrekening te ondersteunen.

Proces

Opzet en bestaan

Verbetermogelijkheden Administratie & Verslaglegging

Verbetermogelijkheden

Toereikend met verbetermogelijkheden Inkopen en aanbestedingen

Toereikend met verbetermogelijkheden

Factuurverwerking en betalingen

Toereikend met verbetermogelijkheden

Treasury

Toereikend met verbetermogelijkheden

Grondexploitatie

Toereikend met verbetermogelijkheden

Verbijzonderde Interne Controle

Toereikend met verbetermogelijkheden

Per saldo persoonlijker Bladzijde 11 van 23

Opbrengststromen: subsidiebaten, belastingopbrengsten en algemene uitkering

Toereikend met verbetermogelijkheden

Personeel en salarisadministratie

Toereikend met verbetermogelijkheden

Subsidieverstrekkingen

Toereikend met verbetermogelijkheden

Toereikend Uitkeringen PWET en BBZ

Toereikend

Zorgbestedingen WMO en Jeugd

Toereikend

Frauderisicoanalyse

Toereikend

Geautomatiseerde omgeving

Toereikend op basis van een beperkte scope, met enkele verbeterpunten die dienen te worden gemitigeerd voor het kunnen steunen op het Key2Financiën.

In onze Boardletter 2021 hebben wij 14 bevindingen en aanbevelingen opgenomen en 3 IT- Bevindingen en aanbevelingen. De detailbevindingen hebben wij als volgt opgenomen: A) Bevinding: in dit blok wordt aangegeven wat gedurende de interim controle is geconstateerd en waarvan wij u graag op de hoogte willen brengen. B) Risico: hierbij geven wij aan wat de risico’s zijn van de bevindingen en wat de gevolgen voor uw gemeente kunnen zijn. C) Aanbeveling: hierbij geven wij u aanbevelingen met betrekking tot de bevinding. Deze aanbeveling is een mogelijke oplossing voor de bevinding.

Per saldo persoonlijker Bladzijde 12 van 23

4. Vooruitblik naar de jaarrekening 4.1.

Verslaggevingskader

Uw jaarverslag en jaarrekening dienen opgesteld te worden overeenkomstig de gemeentewet en de verslaggevingsvereisten vanuit het Besluit, Begroting en Verantwoording (BBV). In hoofdstuk 6 hebben wij de belangrijkste wijzigingen vanuit het BBV ten aanzien van begrotingsjaar 2021 samengevat. Graag uw aandacht hiervoor. De bestedingen van specifieke uitkeringen dienen via de SiSa-systematiek (single information, single audit) verantwoord te worden als onderdeel van de jaarrekening. Ten aanzien van een juiste en volledige verantwoording van de SiSa-gelden vragen wij u nadrukkelijk kennis te nemen van de Verantwoordingslijst SiSa 2021 en de Invulwijzer SISA 2021.

4.2.

Addendum Kadernota Rechtmatigheid 2018

De Commissie BBV geeft via de kadernota rechtmatigheid haar visie over de invulling van het begrip rechtmatigheid in de controleverklaring voor de decentrale overheden. De kadernota rechtmatigheid wordt door de Commissie geactualiseerd als de ontwikkelingen daar aanleiding toe geven. Voor de jaarrekening 2021 is hier aanleiding toe, omdat het wetstraject, waarin het afgeven van een verantwoording over de rechtmatigheid bij decentrale overheden wordt geregeld, nog in behandeling is. De Commissie heeft daarom twee nieuwe documenten uitgebracht, een addendum bij de Kadernota 2018, specifiek bedoeld voor de jaarrekeningcontrole 2021, en een geheel nieuwe Kadernota voor de jaarrekeningcontrole 2022. Addendum 2018 In het addendum bij de Kadernota (bestemd voor de controle 2021) doet de Commissie een aantal aanbevelingen en één stellige uitspraak.

Per saldo persoonlijker Bladzijde 13 van 23

Stellige uitspraak De stellige uitspraak vereist dat onrechtmatigheden m.b.t. het naleven van de Wet fido in de paragraaf bedrijfsvoering worden opgenomen. Denk hierbij bijvoorbeeld aan het overschrijden van de renterisiconorm en/of de kasgeldlimiet voor meerdere (opeenvolgende) kwartalen. Deze onrechtmatigheden hoeven niet te worden opgenomen in de verklaring van rechtmatigheid. Wel dient de raad te worden geïnformeerd over deze afwijkingen, omdat ze van belang zijn voor het beeld dat de raad heeft over de financiële positie van de gemeente. Financiële onrechtmatigheden moeten wel in de verklaring van rechtmatigheid worden opgenomen, omdat het voorwaardencriterium niet is nageleefd. Dat geldt ook voor overtredingen van andere financieringsregels dan de Wet fido, indien het interne regels betreft die door de raad zijn vastgesteld. Aanbevelingen De Commissie doet ook drie aanbevelingen, namelijk: • Geconstateerde fraude door eigen medewerkers toe te lichten in de paragraaf bedrijfsvoering (van het jaarverslag), indien de gemeente deze fraude op een juiste manier in de jaarrekening heeft verwerkt.

• Afspraken tussen college en raad over verschuivingen van uitgaven tussen jaarschijven in een investeringsbudget vast te leggen in de financiële verordening ex artikel 212 Gemeentewet (het niet aanwenden van investeringsbudgetten kan immers duiden op vertragingen in de uitvoering van de investering). • Kaders op te nemen in de financiële verordening ex artikel 212 Gemeentewet, indien specifieke budgetten bij onderuitputting (dat is: niet besteed) op jaareinde in bestemmingsreserves worden opgenomen. In het addendum wordt een viertal opties in overweging gegeven om deze problematiek rechtmatig op te lossen. De eerste aanbeveling ziet op het toelichten van fraude door de eigen medewerkers. Op grond van de Ambtenarenwet is de gemeente al gehouden om jaarlijks een integriteitsverslag aan de raad uit te brengen. Hierin wordt ook fraude binnen de eigen organisatie gemeld. Dus wat dat betreft is deze aanbeveling niet nieuw. Het jaarverslag heeft wel meer ‘exposure’ dan een integriteitsverslag. De aanbeveling vereist niet dat de gemeente de

Per saldo persoonlijker Bladzijde 14 van 23

privacy van de betrokkenen schendt of dat de gemeente zichzelf met de tekst juridisch kwetsbaar moet maken. Wel ziet de aanbeveling erop dat de gemeente open en transparant is over haar eigen interne beheersing. Gezien de formulering van de aanbeveling gaat het primair om financiële fraude, fraude met financiële gevolgen of fraude die de jaarrekening raakt. Het staat de gemeente uiteraard vrij om deze aanbeveling breder te interpreteren. Het tweede en derde punt zijn behulpzaam bij het oplossen van onduidelijkheden bij het doorschuiven van budgetten. De raad heeft de mogelijkheid om de ambtelijke organisatie daar meer of minder vrijheidsgraden te geven. Deze aanbevelingen vereisen een raadsbesluit, dat geagendeerd en voorbereid moet worden. Wij adviseren om dit raadsbesluit voor te bereiden als onderdeel van de bredere visie op rechtmatigheid. Het afstemmen van de verwachtingen van de raad is daarin een belangrijke factor. De aanbeveling vereist niet dat deze al in 2021 wordt opgevolgd, er is dus ruimte om binnen de gemeente ‘het goede gesprek’ met elkaar te voeren.

Tegelijkertijd komt de invoering van het nieuwe rechtmatigheidsoordeel steeds dichterbij, waarbij het vernieuwen van de eigen rechtmatigheidskaders (denk hierbij ook aan andere notities die wellicht verouderd zijn, zoals Treasury, Activeren en Afschrijven en Reserves en Voorzieningen) een belangrijke randvoorwaarde is. Het opnieuw bekijken en vastleggen van de rechtmatigheidskaders biedt u ook de ruimte om de overgang van het rechtmatigheidsoordeel efficiënt in te richten.

4.3.

Wet Normering Topinkomens

Uw gemeente beschikt over twee topfunctionaris in 2021, namelijk uw gemeentesecretaris en griffier. Voor 2021 is het algemene bezoldigingsmaximum vastgesteld op € 209.000. Wij vragen uw aandacht voor de publicatieverplichtingen vanuit de Wet normering bezoldiging topfunctionarissen publieke en semipublieke sector (WNT) ten aanzien van de jaarrekening 2021.

Per saldo persoonlijker Bladzijde 15 van 23

4.4.

Effecten COVID-19 jaarrekening 2021

TOZO Gelijk als in boekjaar 2020 zal in boekjaar 2021 de G4 regeling worden opgenomen in de SiSa-verantwoording ten aanzien van de TOZO gelden. De Invulwijzer SiSa geeft nadere handvaten voor de verantwoordingsvereisten van de TOZO, waaronder de identificatieplicht, het M&O beleid en de omgang met IB-signalen vanuit het Inlichtingenbureau. Ten aanzien van de identificatieplicht voor Tozo 3 wordt de hardheidsclausule toegepast indien de vaststelling van de identiteit van de belanghebbende niet volgens de voorgeschreven wijze heeft plaatsgevonden, maar materieel wel toereikend is geweest. In 2021 lopen naast Tozo 3 ook Tozo 4 (van april tot en met juni) en Tozo 5 (juli tot en met september). In tegenstelling tot Tozo 3 is bij Tozo 4 en 5 wel sprake van de verplichte identificatie via controle IDbewijs. Graag uw aandacht voor deze aanscherping in de inrichting van de administratieve omgeving om eventuele rechtmatigheidsafwijkingen dan wel onzekerheden te voorkomen. Verder wordt vanuit de Invulwijzer SiSa de gemeente verzocht in 2021 aan het Tozo M&O beleid én het controleplan IB-signalen uitvoering te blijven geven. Wij als uw accountant worden verzocht opzet, bestaan en werking van het M&O beleid inzake de Tozo regeling vast te stellen en waar nodig daarover te rapporteren in een verslag van bevindingen.

Een belangrijk onderdeel van het M&O beleid betreft de omgang met IB-signalen vanuit het Inlichtingenbureau. Als attentiepunt geven wij de afhandeling van IB-signalen in 2021 mee. IB-signalenalen in 2021 (na sluiting van de administratie van de gemeente over 2020) met gevolgen voor eerder afgegeven beschikkingen Tozo worden verantwoord in de SiSa-bijlage over 2021. Voor de controle door de accountant en de verstrekking van de rijksvergoeding over 2020 was dit niet bezwaarlijk, mits de gemeente in haar M&O-beleid opnam op welke wijze zij tot een selectie en afhandeling kwam van de in 2020 en 2021 te behandelen signalen. Het past bij een effectief M&O-beleid om die selectie planmatig en op basis van een risicoanalyse gestalte te geven. Bij de controle jaarrekening 2021 dienen wij als uw accountant te beoordelen of de gemeente daadwerkelijk is overgegaan tot de uitgestelde behandeling van de signalen uit 2020. Graag uw aandacht hiervoor.

Per saldo persoonlijker Bladzijde 16 van 23

Hardheidsclausule inkoop- en subsidieregelingen Net als in 2020 is in 2021 sprake geweest van een lockdown als gevolg van COVID-19. Als gevolg van deze lockdown kunnen bepaalde leveringen, diensten en prestaties niet zijn geleverd conform geldende gemeentelijke inkoop- en subsidieregelingen. Wanneer niet wordt voldaan aan geldende inkoop- en subsidieregelingen kan sprake zijn van onrechtmatige inkopen en subsidieverstrekkingen. Om dit te voorkomen wijzen wij op de hardheidsclausule welke in de meeste inkoop- en subsidieregelingen is opgenomen. Een hardheidsclausule houdt in dat het college of de raad (afhankelijk waar deze bevoegdheden zijn belegd) beroep doet op de hardheidsclausule waarbij in bijzondere omstandigheden voorbij wordt gegaan aan gestelde inkoop- en subsidieregelingen. Op deze manier kan het college dan wel de raad ervoor kiezen om verstrekte gelden vanuit inkoop- en subsidieregelingen rechtmatig vast te stellen, zonder dat is voldaan aan alle gestelde prestatie c.q. realisatievereisten. Ten aanzien van de COVID-19 maatregelen 2021 vragen wij u te inventariseren of sprake is van inkoop dan wel subsidieverstrekkingen waarbij niet aan alle gestelde voorwaarden is voldaan. Voor de betreffende inkopen en subsidieverstrekkingen adviseren wij (eventueel met een verzamelbesluit) deze via een hardheidsclausule vast te stellen.

4.5.

Planning jaarrekeningcontrole

In overleg met zowel uw gemeente als het samenwerkingsverband binnen de BNLP-gemeenten is de jaarrekeningcontrole gepland in weken 14 en 15 2022. Ter voorbereiding op de jaarrekeningcontrole verstrekken wij naast deze Boardletter een op te leveren stukkenlijst. De op te leveren stukkenlijst wordt digitaal aangeboden via YouProvide, een beveiligde omgeving waar controledocumentatie en overige relevant informatie conform AVG en privacywetgeving veilig gedeeld kunnen worden. Wij hebben met de ambtelijke organisatie afgesproken om een aantal gegevensgerichte werkzaamheden naar voren te halen (te dynamiseren) ten einde de druk op het jaarrekeningproces weg te nemen. Hiertoe zullen wij nog afspraken maken met uw VIC-medewerkers, welke mede afhankelijk is van de invloed van een IT-audit op de controleaanpak.

Per saldo persoonlijker Bladzijde 17 van 23

4.6.

Aandachtspunten vanuit de interim-controle

Wij hebben bij diverse onderdelen in deze Boardletter de impact ten aanzien van de jaarrekening beschreven. Samenvattend wordt de gemeente gevraagd naast de gebruikelijke ‘op te leveren stukkenlijst’ de volgende onderwerpen voor te bereiden: 1.

2. 3.

4.

5. 6. 7. 8.

Een risicoanalyse op de totale populatie inkopen (dagboek inkoop vanuit Key2Financien) ten aanzien van de prestatielevering. Op welke type inkopen onderkent de gemeente nu zelf een risico ten aanzien van de prestatielevering en op welke inkopen niet? Wij vragen de gemeente deze analyse zo gemotiveerd mogelijk vast te leggen en tijdig met ons (voor aanvang van de jaarrekeningcontrole) te delen. Op die manier kunnen wij met een risicogerichte benadering de controle op prestatielevering effectiever en efficiënter uitvoeren. Bij de start van de jaarrekeningcontrole verwachten wij dat de conceptjaarstukken gereed zijn en zichtbaar zijn gecontroleerd aan de hand van de checklist jaarverslaggeving en het modelrapport 2021. Alle balansposten, transactiestromen en toelichtingen in de jaarrekening zijn voor aanvang van de jaarrekeningcontrole (of voorcontrole) door de gemeente Leusden zichtbaar gecontroleerd en eventuele correcties naar aanleiding van deze beoordeling zijn verwerkt in het controle-exemplaar van de jaarrekening. Belangrijkste schattingsposten in de jaarrekening (de voorzieningen, de waardering van de grondexploitatieprojecten) zijn bij de start van de jaarrekeningcontrole onderbouwd in een position paper en zichtbaar gecontroleerd door een tweede medewerker.

Een position paper met een toereikende onderbouwing van de voorzieningen op basis van het geactualiseerde onderhoudsplan. Een position paper met een fiscale onderbouwing van een eventuele verplichting voor de vennootschapsbelastingplicht. Het uitvoeren van de interne controle op de rechtmatigheid van EU-aanbestedingen. Het uitvoeren van interne controle op memoriaalboekingen en correctieboekingen.

Per saldo persoonlijker Bladzijde 18 van 23

4.7.

Mogelijkheden IT-audit

Wij hebben een eerste beoordeling is uitgevoerd aan de hand van interviews, beoordeling van documentatie en het beoordelen van systeeminstellingen in Key2Financiën. Op basis van deze beoordeling zien wij mogelijkheden om ook daadwerkelijk te komen tot het steunen op het systeem en de onderliggende interne beheersingsomgeving rond met name de inkopen. Omdat Leusden ook het IT-beheer van Key2Financien voert voor Nijkerk, Putten en BunschotenSpakenburg, zie wij toegevoegde waarde voor alle vier de gemeentes om in één efficiënte controle veel risico’s ten aanzien van data-kwaliteit af te dekken (bijvoorbeeld: ‘is de factuur juist geboekt en kan deze niet gewijzigd worden’) waardoor wij ook mogelijkheden zien om het aantal gegevensgerichte waarnemingen zonder toegevoegde waarde voor uw gemeenten op bijvoorbeeld facturen en memorialen te verminderen. Op basis van eerdere ervaringen identificeren wij hierbij de volgende risico’s: • General IT Controls (GITC’s): de IT-processen zijn niet duidelijk gedefinieerd, waarbij de IT-risico’s niet afdoende zijn geadresseerd. Feitelijk zijn deze voorwaardenscheppend voor het naar behoren werken van de application controls. • Autorisaties: de gebruikersautorisaties binnen Key2Financiën moeten worden gewijzigd, zodat ze hun taken in het systeem kunnen uitvoeren.

Autorisaties zijn te breed opgezet of te beperkt, afhankelijk van de functie van een gebruiker. Daarnaast zijn bepaalde autorisaties kritisch in het proces van het autoriseren en betaalbaar stellen van inkoopfacturen. • Application Controls: de functionaliteit van Key2Financiën is niet correct en/of niet volledig geconfigureerd, waardoor de risico’s in de primaire processen niet zijn gemitigeerd. Om deze redenen stellen wij een analyse voor van de drie IT-categorieën die op de volgende pagina zijn vermeld. Wij stellen de volgende scope voor, waarbij het operating system niet in scope is gezien het wachtwoordbeleid in de K2F zelf wordt afgedwongen. Onze scope focust zich daarom met name op het inkoop- en betalingsproces. Applicatie

Operating system

Database

Datacenter locatie

Key2Financiën

Azure AD (niet in scope)

Oracle Database

Datacenter Microsoft Azure

Per saldo persoonlijker Bladzijde 19 van 23

5. Relevante actualiteiten 5.1.

De weg naar de Rechtmatigheidsverantwoording

Conform nieuwbrief Interbestuurlijke Informatie (IBI) van het Ministerie van Binnenlandse zaken, nummer 103 juni 2021 is de rechtmatigheidsverantwoording 2021 verschoven naar verantwoordingsjaar 2022. De verschuiving is hoofdzakelijk het gevolg van COVID-19 en de complexiteit en vertraging die COVID-19 met zich mee heeft genomen. Inmiddels is de nota van wijziging bij het wetsvoorstel versterking decentrale rekenkamers (kamerstuk 35298), waar de invoering van de rechtmatigheidsverantwoording onderdeel van uitmaakt, ingediend bij de Tweede Kamer. Uw gemeente bereid zich voor op de rechtmatigheidsverantwoording 2022. Ter ondersteuning heeft de commissie BBV in het najaar 2021 de kadernota Rechtmatigheid 2022 gepubliceerd. Om u als gemeente verder op weg te helpen hebben wij hieronder een aantal stappen onderkend welke u kunt inzetten om tot een succesvolle implementatie van de rechtmatigheidsverantwoording te komen: 1. Bepaal uw visie en beleid Zoals de kadernota aangeeft is het aan de raad om te bepalen wat er in de rechtmatigheidsverantwoording wordt opgenomen, met welke verantwoordingsgrens dit gedaan wordt en de benodigde inspanning van de administratie organisatie en interne beheersing. Uw gemeente heeft deze stap inmiddels gezet via de ‘Notitie Visie en Ambitie Rechtmatigheidsverantwoording 2021’. 2.

Stellen van de kaders en reikwijdte via het normenkader rechtmatigheid De kadernota is hier duidelijk. Streef als gemeente voor een zo praktisch toepasbaar normenkader, waarin enkel weten regelgeving en verordening (vastgesteld door de raad) worden opgenomen welke financiële beheershandelingen tot gevolg hebben.

Per saldo persoonlijker Bladzijde 20 van 23

3. Operationaliseren normenkader Het advies is om het normkader te operationaliseren via een toetsingskader. In het toetsingskader is per wet/regeling/verordening vastgesteld welke artikelen relevant zijn voor de toetsing. 4. Positionering en opdrachtgeverschap van de VIC Uw gemeente is voornemens de toetsing ten aanzien van de rechtmatigheidsverantwoording te beleggen bij de Verbijzonderde Interne Controle (verder VIC). Wij dringen erbij aan om de positionering van de VIC formeel vorm te geven via de financiële verordening (in overeenstemming met de BADO notitie ‘De verbijzonderde interne controle bij decentrale overheden’). Artikel 212 lid 1 Gemeentewet verplicht gemeenten (i.c. de Raad) een financiële verordening op te stellen, waarin de uitgangspunten voor het financiële beleid, het financiële beheer en de inrichting van de financiële organisatie zijn opgenomen. In de gemeentelijke financiële verordening wordt hierbij een belangrijke rol gegeven aan het College van B&W. Het College moet jaarlijks zorgen voor een interne toetsing van de getrouwheid van de informatieverstrekking en de rechtmatigheid van de (financiële) beheershandelingen. Een beheerste bedrijfsvoering staat hierbij voorop en de VIC is daarvoor een instrument.` In lijn met de BADO notitie kan het opdrachtgeverschap van de VIC geformaliseerd worden via een organisatiebesluit, vastgesteld door het College.

In het besluit wordt opgenomen wie de opdrachtgever is van de VIC, aan wie de VIC rapporteert en hoe de VIC escaleert bij impactvolle bevindingen waarbij direct college en raad geïnformeerd dienen te worden (bijvoorbeeld in geval van managementfraude). Een formele status helpt de VIC om onafhankelijke controles uit te voeren binnen de organisatie, te rapporteren en te monitoren. Voor nadere richtlijnen ten aanzien van de voorbereiding en opstelling van de rechtmatigheidsverantwoording verwijzen wij naar de website van de commissie BBV, onderwerp rechtmatigheid.

Per saldo persoonlijker Bladzijde 21 van 23

5.2.

Verbijzondere interne controle

Wat is het Three Lines of Defence-model? Onze controleaanpak is naast het controleren van de jaarrekening gericht op het verbeteren van uw bedrijfsvoering inclusief digitalisering hiervan. In onze controle hanteren wij daarvoor het Three Lines of Defence-model. Dit model geeft handvatten om te beoordelen waar in de interne beheersingsrisico’s worden ondervangen: 1st Line of Defence Uitgangspunt van het 3LoD-model is dat het lijnmanagement verantwoordelijk is voor haar eigen (operationele) processen. Om te borgen dat de uitvoering van processen adequaat verloopt (rechtmatig en getrouw) worden interne beheersmaatregelen uitgevoerd door de functionarissen, die betrokken zijn bij de uitvoering van de dagelijkse activiteiten in de organisatie en het lijnmanagement. Deze vormen de eerstelijnscontroles.

3rd Line of Defence Verbijzondere Interne Controle (VIC)

2nd Line of Defence Financieel adviseurs etc.

1st Line of Defence Lijnmanagement, budgethouders etc.

2nd Line of Defence Daarnaast moet er wel een functie zijn die de 1e lijn ondersteunt, adviseert, coördineert en bewaakt of het management zijn verantwoordelijkheden ook daadwerkelijk neemt. Dit is de tweede lijn, de financieel adviseurs. De planning- & controlcylus en het risicomanagement zijn daarbij belangrijke instrumenten.

Per saldo persoonlijker Bladzijde 22 van 23

3rd Line of Defence: Ten slotte kan het wenselijk zijn dat er binnen uw gemeente een functie bestaat die controleert of de 1e lijn haar taken goed uitvoert en beoordeelt of het samenspel tussen de 1e en 2e lijn soepel functioneert. De derde lijn is niet verantwoordelijk voor het nemen van de beslissingen (eerste lijn) en evenmin voor het ontwerpen en implementeren van de systemen voor de beheersing van bedrijfsprocessen (tweede lijn). De 3e lijn zou daarover objectief en onafhankelijk een oordeel moeten vellen en adviezen tot verbetering geven. Eventueel kan ook de externe accountant als 3e lijn worden gezien, maar die staat meer op afstand en controleert primair de jaarrekening. Ons beeld van uw VIC Zoals al eerder in de rapportage is aangeven draagt de VIC Zorg voor ontbrekende beheersmaatregelen in de dagelijkse bedrijfsvoering. Echter zal de VIC gericht moeten zijn op de werking van de financiële bedrijfsprocessen en heeft als primair doel het vaststellen of de administratieve organisatie en de daarin vervatte maatregelen van interne beheersing voldoende waarborgen dat de financiële informatievoorziening juist en volledig is, materieel niet afwijkt van de werkelijkheid en dat wordt voldaan aan de van toepassing zijnde wet- en regelgeving (rechtmatigheid).

Aanbevelingen Een cruciaal aanbeveling voor de VIC is het vaststellen dat de afspraken en procedures die de organisatie met elkaar formeel heeft afgesproken ook worden nageleefd. Dit betekent wel dat uw gemeente moet beschikking over:  Actuele procesbeschrijvingen en werkinstructies;  Uitgeschreven interne beheersingsmaatregelen aan de hand van de zogenaamde 6 w’s (wie, wat, waarom, waarmee, waarvoor en welke wijze);  Uitgevoerde risicoanalyse inclusief een inschatting van de kans dat risico’s zich voordoen en de verwachte impact daarvan met daaraan gekoppeld de interne beheersingsmaatregelen die het risico mitigeren;  Specifiek aandacht besteden aan frauderisico’s en de frauderisicoanalyse ook actueel houden.

Per saldo persoonlijker Bladzijde 23 van 23