Bijlage 1 - Managementletter Gemeente Meppel 2021 (interimcontrole) BDO
Tekst van het document
BEVINDINGEN EN EFFECT OP ONZE CONTROLEAANPAK CONCLUSIE
OPMERKINGEN
Opzet en bestaan AO/IB
Alle belangrijke procesrisico’s worden afgedekt
IT-beheersmaatregelen
Zie IT-bevindingen
VIC op proces
Proces onderdeel van het IC-plan
Conclusie proces
Wij kunnen, als gevolg van de IT-omgeving, niet volledig steunen op het proces
(AANVULLENDE) GEGEVENSGERICHTE WERKZAAMHEDEN Aansluiting vaststellen tussen de financiële administratie en de uitkeringenadministratie Aansluiting vaststellen tussen de SISA-verantwoording, de uitkeringenadministratie en de financiële administratie Detailcontrole of het toetsingskader is nageleefd (controle op rechtmatigheid) Detailcontrole op de juistheid van de lasten in het kader van de Participatiewet Controle op vierogenprincipe meenemen bij uitvoering interne controle
Conclusie controleaanpak
DASHBOARD
Combinatie systeemgericht/gegevensgericht
ONTWIKKELINGEN
SIGNIFICANTE PROCESSEN
IT-BEHEERSING
INTERNE CONTROLE
BIJLAGEN
Factsheet | Subsidieverstrekkingen
NORMEN EN VERWACHTINGEN T.A.V. PROCES
32
INSCHATTING OPZET INTERNE BEHEERSMAATREGELEN BEHEERSMAATREGELEN IN HET PROCES
Actuele AO-beschrijving
Vastgestelde (actuele) subsidieverordening en onderliggende beleidsregels
Budgethoudersregeling op papier en in systeem
Betrouwbaar subsidievolgsysteem
Sluitende IT General Controls rondom het IT-systeem
Verbijzonderde interne controle op interne beheersmaatregelen
Interne analyse op verstrekte subsidies
1. De subsidieverordening wordt vastgesteld door de gemeenteraad
2. Functiescheiding t.a.v. verlenen subsidies
3. Aansluiting tussen subsidievolgsysteem en financiële administratie
4. Juiste en tijdige vaststelling verstrekte subsidies
BEVINDINGEN EN EFFECT OP ONZE CONTROLEAANPAK CONCLUSIE
OPMERKINGEN
Opzet en bestaan AO/IB
Niet alle procesrisico’s worden zichtbaar afgedekt
IT-beheersmaatregelen
Niet in scope voor IT
VIC op proces
Proces is onderdeel van IC-plan
Conclusie proces
Wij kunnen niet volledig steunen op het proces
Conclusie controleaanpak
DASHBOARD
(AANVULLENDE) GEGEVENSGERICHTE WERKZAAMHEDEN Aansluiting per jaareinde tussen subsidieregister en Key2 Detailcontrole op grootste subsidieverstrekking 80-20 regel); inclusief een zichtbare controle op toetsing subsidie vs overheidsopdracht en de vaststelling van de subsidie
Gegevensgericht
ONTWIKKELINGEN
SIGNIFICANTE PROCESSEN
IT-BEHEERSING
INTERNE CONTROLE
BIJLAGEN
Detailbevindingen processen | Subsidieverstrekkingen
33
Bevinding
6. VASTSTELLING SUBSIDIES
KANS: Middel
Jaar van constatering
2019
IMPACT: Middel
Onze bevinding/ constatering 2019
In de algemene subsidieverordening van gemeente Meppel zijn bepalingen opgenomen omtrent het vaststellen van verstrekte subsidies. Wij hebben geconstateerd dat er voor een aantal subsidies niet altijd een verzoek tot vaststellen van de subsidie ontvangen wordt. Vanuit de gemeente wordt hier niet altijd op gehandeld om te zorgen dat de vaststelling alsnog plaatsvindt. Tevens is geconstateerd dat bij subsidies groter dan € 50.000 niet altijd een accountantsverklaring bij de onderliggende stukken van de subsidieontvanger is gevoegd, terwijl dit wel noodzakelijk is vanuit de subsidieverordening (artikel 19).
Geconstateerde opvolging 2021
De gemeente heeft oude subsidies afgerond middels vaststellingsbeschikkingen. Over boekjaar 2020 moet een aantal (kleinere) subsidies nog vastgesteld worden, hierover heeft de gemeente contact met de aanvragers. Wij hebben begrepen dat de gemeente als gevolg van de impact van corona voor 2021 alle subsidies middels een raadsbesluit vastgesteld heeft. De gemeente heeft de inrichting van het proces geanalyseerd en aangescherpt. Een concept behandeling is inmiddels gereed. De praktische uitwerking is nog niet voor het boekjaar vast te stellen. Aanvullend wordt de subsidieverordening heroverwogen en vernieuwd, de gemeente verwacht dit eind 2021 gereed te hebben.
Risico/gevolg
Het risico bestaat dat de gemeente Meppel haar eigen verordening niet naleeft met een (niet-financiële) onrechtmatigheid tot gevolg. Vooralsnog schatten wij het risico gemiddeld in, ook omdat uit de gegevensgerichte controle van afgelopen jaren geen bijzonderheden zijn gebleken.
Ons advies/ uw aanvullende werkzaamheden
Wij adviseren de gemeente Meppel de vaststelling van subsidies mee te nemen in de workflow binnen het subsidieproces.
Reactie management/ Opvolging
De reactie is logischerwijze een terugblik op voorgaande 2 jaren. In 2021 is een aantal verbeteringen doorgevoerd onder de noemer ‘herijking subsidies’. We werken vanaf 1 oktober 2021 om in het subsidiejaar 2022 volgens de nieuwe werkwijze te werken. Op uw specifieke advies met betrekking tot de vaststelling van subsidies in een workflowsysteem vast te leggen kunnen we melden dat we ons zaaksysteem Djuma daar inmiddels op hebben ingericht.
DASHBOARD
ONTWIKKELINGEN
SIGNIFICANTE PROCESSEN
IT-BEHEERSING
INTERNE CONTROLE
BIJLAGEN
Detailbevindingen processen | Subsidieverstrekkingen
34
Bevinding
7. TOETSING ONDERSCHEID SUBSIDIES EN (OVERHEIDS)OPDRACHTEN NIET GEBORGD
KANS: Middel
Jaar van constatering
2020
IMPACT: Hoog
Onze bevinding/ constatering 2020
Op het moment dat een subsidie zich kwalificeert als een overheidsopdracht, is in principe de aanbestedingsrichtlijn van toepassing en dient de opdracht (Europees) aanbesteed te worden. De gemeente Meppel heeft in haar proces subsidieverstrekkingen geen processtap ingeregeld waarin voor subsidieaanvragen die kenmerken van (overheids)opdrachten vertonen getoetst wordt of sprake is van een subsidie of inkoop.
Geconstateerde opvolging 2021
De gemeente Meppel heeft opvolging geven door implementatie van het beoordelingsformulier subsidies. Dit beoordelingsformulier besteedt middels een afwegingskader specifieke aandacht aan de vraag of sprake is van een subsidie of een overheidsopdracht. Het beoordelingsformulier wordt vanaf oktober 2021 toegepast. De praktische uitwerking hiervan hebben wij daarom nog niet vast kunnen stellen.
Risico/gevolg
Het risico bestaat dat de gemeente Meppel ten onrechte subsidies verstrekt waar sprake is van een (overheids)opdracht en daarmee niet conform geldende aanbestedingswetgeving handelt. De gemeente Meppel loopt hierbij het risico op (financiële) rechtmatigheidsfouten in de jaarrekening.
Ons advies/ uw aanvullende werkzaamheden
Wij zullen detailwerkzaamheden uitvoeren om zekerheid te verkrijgen omtrent de rechtmatigheid van de verstrekte subsidies.
Reactie management/ Opvolging
Wij hebben gevolg gegeven aan de aanbeveling door een extra stap in het subsidiewerkproces in te bouwen, het afwegingskader ‘subsidie of (overheids)opdracht. Dit formulier wordt gebruikt bij alle subsidies waar onduidelijkheid is over de verleningsvorm. Wanneer een ingevuld formulier aangeeft dat er twijfel is over de verleningsvorm wordt het formulier besproken met de jurist en de afdeling inkoop.
Wij constateren dat de gemeente Meppel follow-up heeft gegeven aan onze bevinding en een stap heeft gezet t.a.v. toetsing of sprake is van een (overheids)opdracht of een subsidie. Wij adviseren u een (kwaliteits)medewerker aan te stellen om de naleving en juiste toepassing van het beoordelingsformulier te controleren.
Met betrekking tot uw advies om een kwaliteitsmedewerker aan te stellen om toezicht te houden op de juiste naleving van het subsidiewerkproces kunnen we aangeven dat dit belegd is bij twee functionarissen. Hierbij is een splitsing gemaakt tussen financieel toezicht en inhoudelijk toezicht.
DASHBOARD
ONTWIKKELINGEN
SIGNIFICANTE PROCESSEN
IT-BEHEERSING
INTERNE CONTROLE
BIJLAGEN
Factsheet | Gemeentelijke belastingen
NORMEN EN VERWACHTINGEN T.A.V. PROCES
35
INSCHATTING OPZET INTERNE BEHEERSMAATREGELEN BEHEERSMAATREGELEN IN HET PROCES
Actuele AO-beschrijving
Vastgestelde belastingverordeningen inclusief tarieventabel
Budgethoudersregeling op papier en in systeem
Betrouwbare belastingadministratie
Sluitende IT General Controls rondom het IT-systeem
Interne analyse belastingopbrengsten
1. Gemeenteraad stelt jaarlijks belastingverordeningen vast (incl. tarieven)
2. Functiescheiding t.a.v. invoer tarieven in belastingadministratie
3. Functiescheiding t.a.v. kohieren in relatie tot opleggen aanslagen
4. Cijferanalyse: verwachte opbrengsten vergelijken met realisatie
5. Aansluiting sub-administratie met financiële administratie
BEVINDINGEN EN EFFECT OP ONZE CONTROLEAANPAK CONCLUSIE
OPMERKINGEN
Opzet en bestaan AO/IB
Alle belangrijke procesrisico’s worden afgedekt
IT-beheersmaatregelen
Niet in scope voor IT
VIC op proces
Proces is onderdeel van IC-plan
Conclusie proces
BDO kiest voor een gegevensgerichte aanpak
Conclusie controleaanpak
DASHBOARD
(AANVULLENDE) GEGEVENSGERICHTE WERKZAAMHEDEN Cijferanalyse ten aanzien van volledigheid belastingopbrengsten Totaal aansluiting Key2Belastingen en Key2Financiën
Gegevensgericht
ONTWIKKELINGEN
SIGNIFICANTE PROCESSEN
IT-BEHEERSING
INTERNE CONTROLE
BIJLAGEN
Factsheet | Verhuur
36
NORMEN EN VERWACHTINGEN T.A.V. PROCES
INSCHATTING OPZET INTERNE BEHEERSMAATREGELEN BEHEERSMAATREGELEN IN HET PROCES
Actuele AO-beschrijving
Vastgesteld verhuurbeleid, inclusief besluit activiteiten algemeen belang
Budgethoudersregeling op papier en in systeem
Contractenadministratie
Sluitende interne beheersing op volledigheidsrisico verhuur
Functiescheiding tussen verhuuraanvraag en sleutelbeheer
Sluitende IT General Controls rondom het IT-systeem
Verbijzonderde interne controle op interne beheersmaatregelen
1. Aansluiting tussen verhuuradministratie en financiële administratie
2. Interne controle op volledigheid objecten
3. Periodieke controle op juistheid facturatie
4. Leegstandscontrole tijdens niet verhuurde tijden
5. Controle op naleving huurbeleid (kostendekkende huur/markthuur)
BEVINDINGEN EN EFFECT OP ONZE CONTROLEAANPAK CONCLUSIE
OPMERKINGEN
Opzet en bestaan AO/IB
Niet alle procesrisico’s worden afgedekt
(AANVULLENDE) GEGEVENSGERICHTE WERKZAAMHEDEN Cijferbeoordeling Aansluiting tussen activastaat en verhuurde objecten Toetsing juistheid huurprijs (kostendekkend/markthuur)
Detailcontrole op de verhuur, waarbij gedetailleerde controle op de gehanteerde prijzen
IT-beheersmaatregelen
Niet in scope voor IT
VIC op proces
Proces onderdeel van IC-plan
Conclusie proces
Wij kunnen niet volledig steunen op het proces
Conclusie controleaanpak
DASHBOARD
Gegevensgericht
ONTWIKKELINGEN
SIGNIFICANTE PROCESSEN
IT-BEHEERSING
INTERNE CONTROLE
BIJLAGEN
Factsheet | Grondexploitaties
NORMEN EN VERWACHTINGEN T.A.V. PROCES
37
INSCHATTING OPZET INTERNE BEHEERSMAATREGELEN BEHEERSMAATREGELEN IN HET PROCES
Actuele AO-beschrijving
Jaarlijkse actualisatie van het MPG en rapportage’s (peilstok)
Vastgestelde nota grondbeleid
Jaarlijkse grondprijzenbrief
Stedelijke programma’s
Budgethoudersregeling op papier en in systeem
Sluitende IT General Controls rondom het IT-systeem
(Verbijzonderde) interne controle op onderbouwing van schattingen en wijzigingen in ramingen
1. Het MPG wordt vastgesteld en periodiek geactualiseerd 2. Periodieke actualisering of herziening grondexploitaties 3. Jaarlijkse resultaatbepaling t.b.v. jaarrekening en afsluiting grex 4. Uniforme methodiek voor bepaling voorziening en winst-verliesneming 5. Uniforme methodiek/besluitvorming voor doorberekening interne kosten 6. Zichtbare controle op actualisatie en inputvariabelen/parameters
BEVINDINGEN EN EFFECT OP ONZE CONTROLEAANPAK
(AANVULLENDE) GEGEVENSGERICHTE WERKZAAMHEDEN
CONCLUSIE
OPMERKINGEN
Opzet en bestaan AO/IB
Er is geen actuele AO-beschrijving aanwezig
IT-beheersmaatregelen
Zie IT-bevindingen
Beschrijving onderscheid voorzieningen, weerstandsvermogen en onvoorziene posten in grexen zelf. Dit onderscheid en de hiervoor gehanteerde criteria zijn nu niet helder/ eenduidig
VIC op proces
VIC kijkt met name naar juistheid van transacties, niet naar waardering
Toets op onderbouwing parameters en actualisatie schattingen of second opinion
Conclusie proces Conclusie controleaanpak
DASHBOARD
Wij kunnen niet volledig steunen op het proces
Schriftelijk documenteren/beschrijven van het interne schattingsproces en interne waarborgen Beoordeling voorzieningen (in de balans en ramingen voor onvoorzien binnen complexen)
Toetsing/steekproef betrouwbaarheid output en berekeningen (verbijzonderde) interne controle op naleving kaders grondprijzenbrief Onderbouwing interne doorberekeningen en besluitvorming (interne uren/interne kosten)
Gegevensgericht
ONTWIKKELINGEN
SIGNIFICANTE PROCESSEN
IT-BEHEERSING
INTERNE CONTROLE
BIJLAGEN
38
B. Geaccepteerde risico’s
Detailbevindingen processen | Inkopen & Aanbestedingen
39
Bevinding
1, NALEVEN AANBESTEDINGSREGELS
KANS: Middel
Jaar van constatering
2016
IMPACT: Hoog
Onze bevinding/ constatering
Er is geen sprake van een sluitend systeem waarmee wordt gewaarborgd dat vooraf de juiste aanbestedingsvorm gekozen wordt. Binnen het inkoopproces wordt de controle op het al dan niet aanbesteden niet als afzonderlijke stap afgedwongen. Tevens is geen sprake van zichtbare vaststelling en vastlegging. Vanuit het proces aanbestedingen is het van belang voor de gemeente Meppel om in het inkoopproces (prospectief) een controle uit te voeren op het inkoopbeleid. Hierbij kan de gemeente Meppel op basis van de inschatting van inkopen (op basis van een inkoopkalender/contractenregister) een gedegen afweging in het aanbestedingsproces maken welke vorm van aanbesteding gevolgd moet worden.
Risico/gevolg
Het onvoldoende dwingend inregelen van een workflow rondom inkopen/aanbesteden en een prospectieve weging middels een inkoopkalender gebaseerd op begroting, leidt tot het risico dat inkopen niet rechtmatig worden aanbesteed.
Standpunt/reactie gemeente Meppel
Sinds 2016 is de inkoopformatie met 3 FTE uitgebreid, wordt een jaarlijkse inkoopkalender in november opgesteld en wordt jaarlijks voorlichting gegeven over de procedure (ook tussentijds). In 2021 is het startformulier gedigitaliseerd en is gebleken dat de kans op onrechtmatige kleine inkopen (tot € 15.000) zeer gering is. Ook is het ContractManagementSysteem Vendorlink (incl. spendmodule) aangeschaft en een kwartiermaker aangetrokken. De implementatie hiervan start binnenkort. Op basis van de actiepunten die in gang zijn gezet, acht de gemeente Meppel de opzet van het inkoop en aanbestedingenproces voldoende. Tevens acht Meppel het niet haalbaar om het theoretische risico volledig af te dekken, gezien de omvang van de organisatie.
DASHBOARD
ONTWIKKELINGEN
SIGNIFICANTE PROCESSEN
IT-BEHEERSING
INTERNE CONTROLE
BIJLAGEN
Detailbevindingen processen | Inkopen & Aanbestedingen
40
Bevinding
2. PRESTATIELEVERING
KANS: Laag
Jaar van constatering
2016
IMPACT: Middel
Onze bevinding/ constatering
Binnen het inkoopproces van de gemeente Meppel wordt toetsing van de prestatielevering middels akkoord van de budgethouder afgedwongen. Dit akkoord wordt niet vastgelegd middels brondocumentatie of begeleidend schrijven. Hieruit volgt onvoldoende zichtbaar of de prestatie daadwerkelijk geleverd is. De onderliggende budgethoudersregeling is niet actueel (2006) en sluit niet aan op de mandaatregeling.
Risico/gevolg
Het risico bestaat dat er bij de gemeente onterecht kosten in rekening worden gebracht, waarvoor geen/onjuiste/onvolledige prestaties zijn verricht door deze wederpartij.
Standpunt/reactie gemeente Meppel
De constatering dat geleverde prestatie niet wordt geaccordeerd is juist. Zoals aangegeven accepteert de gemeente het beschreven risico, op basis van voldoende functiescheiding binnen het proces. Het is bekend dat de budgethoudersregeling niet actueel is. In 2022 zal deze worden geactualiseerd. De gemeente accepteert het beschreven risico, op basis van voldoende functiescheiding binnen het proces acht de gemeente de gegevensgerichte aanpak efficiënt.
DASHBOARD
ONTWIKKELINGEN
SIGNIFICANTE PROCESSEN
IT-BEHEERSING
INTERNE CONTROLE
BIJLAGEN
Detailbevindingen processen | Inkopen & Aanbestedingen
41
Bevinding
3. BEHEER CREDITEURENSTAMGEGEVENS
KANS: Middel
Jaar van constatering
2016
IMPACT: Middel
Onze bevinding/ constatering
Mutaties op crediteurenstamgegevens (aanmaken/wijzigen) kunnen uitgevoerd worden door de financiële administratie en medewerkers bevoegd tot het zetten van de eerste handtekening bij betaling. Medewerkers bevoegd tot het zetten van de eerste handtekening beschikken daarnaast over de mogelijkheid facturen om de standaard routing heen op het budget van een budgethouder te verantwoorden en te verwerken tot en met de eerste handtekening in het betaalpakket. Het risico bestaat dat crediteurstamgegeven onjuist ingevoerd of gewijzigd worden wat kan leiden tot onjuiste en/of onrechtmatige uitstroom van middelen. De gemeente voert voorafgaand aan de betaling een controle op mutaties in de crediteurstamgegevens uit. Medewerker crediteurenadministratie controleert aan de hand van de binnengekomen factuur naam, rekeningnummer en bedrag. De inhoud en diepgang van de controle is achteraf niet zichtbaar.
Risico/gevolg
Het risico bestaat dat fictieve facturen om de routing heen klaargezet worden en inhoudelijk, door de medewerkers die de tweede handtekening zetten, onvoldoende aan de brondocumenten getoetst worden. Dit kan tot gevolg hebben dat onjuiste en onrechtmatige betalingen plaatsvinden met als mogelijk gevolg een onrechtmatige uitstroom van gelden.
Standpunt gemeente Meppel
De constatering dat mutaties op crediteurenstamgegevens (aanmaken/wijzigen) kunnen uitgevoerd worden door de financiële administratie en medewerkers die bevoegd zijn tot het zetten van de eerste handtekening bij betaling van een factuur is inderdaad mogelijk. Vanuit de cluster inkoop gaan we onderzoek doen naar de mogelijkheid om het proces van muteren op crediteurenstamgegevens zodanig in te richten dat dit niet meer mogelijk is. De gemeente acht de functiescheiding binnen het proces voldoende om het risico te mitigeren. De gemeente Meppel kiest voor aanvullende gegevensgerichte werkzaamheden.
DASHBOARD
ONTWIKKELINGEN
SIGNIFICANTE PROCESSEN
IT-BEHEERSING
INTERNE CONTROLE
BIJLAGEN
Detailbevindingen processen | Verhuur
42
Bevinding
8. CONTROLE VERHUUR
KANS: laag
Jaar van constatering
2016
IMPACT: Middel
Onze bevinding/ constatering
De gemiddelde opbrengsten voor pachten en huren bedraagt ruwweg € 2,5 miljoen. De gemeente Meppel heeft een controle ingeregeld om de juistheid van de huurprijzen te waarborgen. Een dergelijke controle is voor de volledigheid van het aantal objecten niet ingeregeld. Tevens vindt er door de gemeente geen controle plaats op eventuele leegstand, om vast te stellen dat de verhuuropbrengsten volledig zijn.
Risico/gevolg
Het risico bestaat dat de opbrengsten vanuit de verhuur onjuist dan wel onvolledig zijn, doordat de volledigheid van de vastgoedobjecten nog niet is vastgesteld. Uitgaande van onze materialiteit en de gemiddelde opbrengst, schatten wij het risico in als laag/gemiddeld.
Standpunt/reactie gemeente Meppel
De gemeente Meppel acht het risico gering gezien er voldoende inzicht is intern op de volledigheid van de objecten. De gemeente kiest voor gegevensgerichte werkzaamheden achteraf.
DASHBOARD
ONTWIKKELINGEN
SIGNIFICANTE PROCESSEN
IT-BEHEERSING
INTERNE CONTROLE
BIJLAGEN
Detailbevindingen IT
43
Bevinding
B1. Logische Toegangsbeveiliging
KANS: middel
Jaar van constatering
2019
IMPACT: middel
Onze bevinding/ constatering
De gemeente heeft een formeel proces ingericht voor het toekennen, wijzigen en verwijderen van gebruikers en toegewezen autorisaties in K2F en SSD. In het verlengde hiervan zijn autorisatiematrices opgesteld, welke niet formeel zijn goedgekeurd door het management. Eveneens is de autorisatiematrix van K2F niet opgesteld op basis van organisatorische functies. Ten behoeve van het toekennen van autorisaties wordt gebruik gemaakt van een autorisatieformulier waarbij een voorbeeldgebruiker wordt aangehouden en dus geen autorisatiematrix wordt gebruikt om rechten toe te kennen. Om adequate procedures rondom het aanmaken, wijzigen en verwijderen van gebruikers met bijbehorende rechten in applicaties te borgen, dient periodiek een review, op basis van een autorisatie-/functiescheidingsmatrix plaats te vinden waarbij eveneens gecontroleerd wordt op de actualiteit van gebruikers en bijbehorende rechten. Dergelijke reviews zijn voor beide applicaties uitgevoerd. Wij hebben enkel niet kunnen vaststellen dat de gebruikerslijsten juist en volledig zijn gecontroleerd. Voorts beschrijft hoofdstuk 3.8 in ’Autorisatiebeleid gemeente Meppel’ een werkwijze waarbij een rol voor de controller en CISO in het proces van periodieke review is vastgelegd. Dit hebben wij niet als zodanig vast kunnen stellen.
De gemeente Meppel maakt gebruik van de applicatie WieisWie om de juiste wachtwoordeisen af te dwingen op Windows Active Directory. Voor een aantal eindgebruikers in K2F en SSD hebben wij vastgesteld dat zij hebben ingelogd met een wachtwoord dat ouder is dan 40 dagen (hetgeen wordt afgedwongen in de source code van WieisWie).
Risico/Gevolg
Door het ontbreken van formele autorisatiematrices , het gebruik van voorbeeldgebruikers en het onvolledig vastleggen van periodieke reviews bestaat het risico dat medewerkers onterechte gebruikers en/of rechten bezitten en hierdoor de functiescheidingsprincipes van de gemeente Meppel mogelijk doorbroken kunnen worden met het risico op ongeautoriseerde handelingen. Door het ontbreken van adequate wachtwoordinstellingen kan niet meer gewaarborgd worden dat vastleggingen/mutaties kunnen worden herleid naar de juiste personen.
Standpunt/reactie gemeente Meppel
DASHBOARD
De gemeente Meppel acht gezien de omvang van de interne organisatie opvolging niet haalbaar. De gemeente accepteert aanvullende gegevensgerichte werkzaamheden. In verband met geconstateerd ontbreken van capaciteit en geconstateerde risico’s bij de gemeente Meppel is een meerjarenplan ICT opgesteld, waarin o.a. dit punt is opgenomen. De financiering hiervan is in de meerjarenbegroting opgenomen.
ONTWIKKELINGEN
SIGNIFICANTE PROCESSEN
IT-BEHEERSING
INTERNE CONTROLE
BIJLAGEN
Detailbevindingen IT
44
Bevinding
B2. Wijzigingenbeheer updates
KANS: laag
Jaar van constatering
2019
IMPACT: middel
Onze bevinding/ constatering
De gemeente beschikt over een generieke procedure waarin het wijzigingenbeheerproces voor de applicaties K2F en SSD is vastgelegd. Een formele goedkeuring op deze procedure is niet zichtbaar vastgelegd. Wijzigingen voor K2F en SSD worden ontwikkeld door de leverancier waarnaar vervolgens release notes worden verstuurd naar de applicatiebeheerders. De applicatiebeheerders beoordelen de release notes op impact, echter zijn de beoordelingen op de release notes niet zichtbaar vastgelegd waardoor achteraf niet mogelijk is om vast te stellen of wijzigingen terecht of tijdig zijn doorgevoerd. Bovendien worden de testresultaten van K2F niet structureel vastgelegd en worden key-users niet betrokken bij de testwerkzaamheden. Voor een willekeurig gekozen wijziging van SSD hebben wij niet kunnen vaststellen dat de meldingen naar aanleiding van het testen zijn opgelost alvorens de wijziging is doorgevoerd op de productieomgeving. Aanvullend is vastgesteld dat deze meldingen niet belemmerend waren om de wijziging in productie door te voeren.
Risico/Gevolg
Indien de impact van wijzigingen of de testresultaten voor het in productie nemen van de wijziging niet structureel worden vastgelegd, bestaat het risico dat achteraf niet kan worden vastgesteld of een softwarematige wijziging terecht en tijdig in de productieomgeving is geplaatst. Omdat de testwerkzaamheden voor K2F niet structureel plaatsvinden en niet in samenwerking met de key-users, bestaat het risico dat testwerkzaamheden niet op basis van specifieke criteria vanuit de gebruikers worden uitgevoerd. Hierdoor wordt mogelijk niet effectief en efficiënt getest wat ten koste kan gaan van de kwaliteit van de testwerkzaamheden en de productiviteit.
Standpunt/reactie gemeente Meppel
De gemeente Meppel acht gezien de omvang van de interne organisatie opvolging niet haalbaar. De gemeente accepteert aanvullende gegevensgerichte werkzaamheden. In verband met geconstateerd ontbreken van capaciteit en geconstateerde risico’s bij de gemeente Meppel is een meerjarenplan ICT opgesteld, waarin o.a. dit punt is opgenomen. De financiering hiervan is in de meerjarenbegroting opgenomen.
DASHBOARD
ONTWIKKELINGEN
SIGNIFICANTE PROCESSEN
IT-BEHEERSING
INTERNE CONTROLE
BIJLAGEN
Detailbevindingen IT
45
Bevinding
IT CONTINUÏTEIT
Jaar van constatering
2021
Onze bevinding/ constatering
Toegang serverruimte Toegang tot de serverruimte is toebedeeld aan gebruikers die deze toegang uit hoofde van functie niet benodigd hebben. Hiertoe rekenen wij onder andere de wachtdienst, generieke servicepassen en enkele medewerkers van de 24/7-dienst. Wij hebben begrepen dat de gemeente aanvullende maatregelen heeft genomen (zoals camera’s) om dit risico te mitigeren, deze maatregelen vallen buiten de scope van onze audit.
Gerelateerde BIO normen: 11.2| 12.3.1.1 – 12.3.1.4 | 12.3.1.5
KANS: laag IMPACT: laag
Periodieke restoretest Ten tijde van de audit is nog geen periodiek restore-/disaster recovery test uitgevoerd waarbij is getest of in geval van calamiteit middels een back-up, dan wel uitwijk, een volledig werkende productieomgeving kan worden hersteld. Wij hebben vernomen dat een dergelijke test voor Q4 2021 op de planning staat. Tevens beschikt de gemeente nog niet over een formeel continuïteitsplan om vast te kunnen stellen of de productie-omgeving binnen de eisen van de bedrijfsvoering is hersteld in termen van maximaal toelaatbaar gegevensverlies en maximaal toelaatbare uitvalsduur (hersteltijd). Wij hebben vernomen dat dit beleid ontwikkeld wordt als onderdeel van het jaarplan 2022. Risico/Gevolg
Toegang serverruimte Door een te hoog aantal personen met toegang tot de serverruimte bestaat een verhoogd risico dat kritieke data of apparatuur beschadigd en/of ontvreemd wordt. Periodieke restoretest Doordat de restore-testen nog niet volledig succesvol zijn afgerond en gedocumenteerd, bestaat het risico dat back-up data niet te restoren is in geval van nood of niet binnen de daaraan te stellen eisen van de bedrijfsvoering. Het risico is echter beperkt vanwege het feit dat er tot op heden geen verstoringen hebben plaatsgevonden in 2021.
Standpunt/reactie gemeente Meppel
De gemeente Meppel acht gezien de omvang van de interne organisatie de opvolging van de bevinding ten aanzien van periodieke restoretests niet haalbaar. De gemeente accepteert aanvullende gegevensgerichte werkzaamheden. Voor de toegang tot de serverruimte acht de gemeente door middel van cameratoezicht dat dit risico afdoende is gemitigeerd. In verband met geconstateerd ontbreken van capaciteit en geconstateerde risico’s bij de gemeente Meppel is een meerjarenplan ICT opgesteld, waarin o.a. dit punt is opgenomen. De financiering hiervan is in de meerjarenbegroting opgenomen.
DASHBOARD
ONTWIKKELINGEN
SIGNIFICANTE PROCESSEN
IT-BEHEERSING
INTERNE CONTROLE
BIJLAGEN
46
bdo.nl