Gemeente Meppel - Accountantsverslag 2022 ('was-getekend')

WNT-verantwoording voldoet aan de vereisten

Naleving van de (publicatieverplichtingen) WNT De Wet normering bezoldiging topfunctionarissen publieke en semipublieke sector (WNT) is met ingang van 2013 van toepassing en vervangt tegelijkertijd de Wopt (Wet openbaarmaking uit publieke middelen gefinancierde topinkomens). Doelstelling van de wet is te verhinderen dat instellingen in de publieke en semipublieke sectoren rechtens in staat zijn bovenmatige bezoldigingen toe te kennen. Voor gemeenten geldt dat de gemeentesecretaris en de griffier als topfunctionaris worden aangemerkt. De algemene bezoldiging voor een topfunctionaris mag voor 2022 niet meer bedragen dan € 216.000 per jaar. De externe accountant is belast met de controle op de naleving van de WNT door de instelling. Overschrijding van de bezoldigingsnorm wordt aangemerkt als een onverschuldigde betaling, die door de topfunctionaris terugbetaald moet worden aan de instelling. Gebeurt dit niet, dan is BDO als accountant wettelijk verplicht om bij het ministerie melding te doen van deze onverschuldigde betaling. Wij hebben tevens een meldingsplicht indien u geen of onjuiste gegevens heeft gepubliceerd in de jaarrekening. Wij hebben vastgesteld dat de bezoldigingen over 2022 van de gemeente Meppel niet strijdig zijn met de WNT en dat de jaarrekening 2022 van de gemeente Meppel voldoet aan de publicatieverplichtingen van de WNT.

DASHBOARD

JAARREKENING

FINANCIËLE POSITIE

BEVINDINGEN

BIJLAGEN

4.6 BBV, WNT en SiSa

Geen bevindingen SiSa-bijlage M&O-beleid in het kader van Tozo

M&O-beleid in het kader van de Wet Inburgering 2021

Exponentiele toename aantal SiSa-regelingen

DASHBOARD

29

SiSa-bijlage Wij hebben de in de SiSa-bijlage van de jaarrekening genoemde specifieke uitkeringen gecontroleerd met inachtneming van de Nota verwachting accountantscontrole SiSa 2022. Op grond van ons onderzoek hebben wij bij uw specifieke uitkeringen geen fouten en/of onzekerheden geconstateerd die de voor SiSa geldende rapporteringstolerantie overschrijden. Zie tevens bijlage B. In bijlage 1 van de Nota Verwachtingen Accountantscontrole 2022 wordt ingegaan op de aandachtspunten voor de accountant bij de Tozo in de SiSa 2022. Uit onze werkzaamheden ten aanzien van de bestedingen 2022 en opvolging IB-signalen uit eerdere jaren volgen geen controleverschillen en/of onzekerheden. In opzet zijn voldoende maatregelen opgenomen om het M&O-risico te mitigeren. Er is een geformaliseerd M&O-beleid aanwezig conform de rechtmatigheidsvoorschriften van VNG, Divosa en het Ministerie van SZW. De opvolging van de IB-signalen vindt conform het vastgestelde beleid plaats. Wij concluderen dat het M&O-beleid met betrekking tot Tozo in 2022 adequaat en toereikend is. Daarnaast wordt in bijlage 1 van de Nota Verwachtingen Accountantscontrole 2022 ingegaan op de Wet Inburgering 2021. Vanaf 1 januari 2022 is het nieuwe inburgeringsstelsel ingegaan waarin de Wet Inburgering 2021 wordt uitgevoerd door gemeenten en verantwoord in de SiSa-bijlage 2022.

Uit onze werkzaamheden ten aanzien van de bestedingen 2022 en opvolging IB-signalen uit eerdere jaren volgen geen controleverschillen en/of onzekerheden. In opzet zijn voldoende maatregelen opgenomen om het M&O-risico te mitigeren. Er is alleen geen geformaliseerd M&O-beleid aanwezig conform de rechtmatigheidsvoorschriften van VNG, Divosa en het Ministerie van SZW. De opvolging van de IB-signalen vinden conform het vastgestelde beleid plaats. Wij concluderen dat het M&O-beleid met betrekking tot de Wet Inburgering in 2022 adequaat is toegepast. Wij zien een landelijke trend dat Ministeries steeds vaker een Specifieke regeling kiezen voor het verstrekken van subsidies aan decentrale overheden. Het aantal SiSa-regelingen, ook voor uw gemeente, zijn daardoor exponentieel toegenomen. Dit geeft een hoge druk op de organisatie binnen gemeente Meppel, andere gemeenten en decentrale overheden en de accountantskantoren.

JAARREKENING

FINANCIËLE POSITIE

BEVINDINGEN

BIJLAGEN

4.7 Begrotingsrechtmatigheid

Resultaat van saldo baten/lasten bedraagt € 15,1 miljoen

30

Lastenoverschrijdingen in het kader van begrotingsrechtmatigheid In totaal heeft uw gemeente circa € 125,4 miljoen aan lasten begroot na wijziging, tegenover circa € 133,7 miljoen aan werkelijke lasten in 2022. Dit is in totaal een overschrijding van € 8,3 miljoen (6,6%). Aan baten had uw gemeente een bedrag van € 125,9 miljoen begroot na wijziging, tegenover € 148,8 miljoen aan werkelijke baten in 2022. In totaal gaat het om een hogere realisatie van baten van 22,9 miljoen (18,2%). Naast het gerealiseerde totaal saldo van baten en lasten kent een gemeente ook het gerealiseerde resultaat. Dit is het gerealiseerde totaal saldo van baten en lasten plus of min de tussentijdse resultaatbestemmingen. Deze bestemmingen bestaan uit in de loop van het jaar gedane onttrekkingen uit reserves minus de tussentijdse stortingen in reserves. De stortingen in dan wel onttrekkingen aan reserves vinden plaats op basis van door u genomen besluiten. In 2022 is er per saldo circa € 0,8 miljoen aan de reserves onttrokken zodat het gerealiseerde resultaat € 15,9 miljoen positief bedraagt. De gemeenteraad autoriseert de begroting en stelt de kaders voor het college vast. Het college is verantwoordelijk voor de uitvoering van het beleid binnen de gestelde begroting. Begrotingsafwijkingen dienen tijdig gesignaleerd en gerapporteerd te worden aan de gemeenteraad.

Bij begrotingsoverschrijdingen die niet gedurende het jaar zijn voorgelegd aan de gemeenteraad is formeel sprake van een onrechtmatigheid. Echter hoeven deze overschrijdingen niet altijd te worden meegewogen in het accountantsoordeel bijvoorbeeld indien de overschrijdingen geheel of grotendeels worden gecompenseerd door direct gerelateerde opbrengsten of overschrijdingen bij open-einde regelingen. In de toelichting op het overzicht van baten en lasten zijn de begrotingsoverschrijdingen nader weergegeven en geanalyseerd. Controle begrotingsrechtmatigheid Naast de controle op de rechtmatige totstandkoming van de baten, lasten en balansmutaties in de jaarrekening 2022, hebben wij de begrotingsrechtmatigheid gecontroleerd. De toe te passen normen voor dit begrotingscriterium zijn gebaseerd op artikelen 189, 190 en 191 van de Gemeentewet en moeten door de raad nader worden ingevuld en geconcretiseerd. Dit gebeurt door middel van de begroting en via de verordening op het financieel beheer ex artikel 212 van de Gemeentewet. Het begrotingscriterium is verder verfijnd en uitgewerkt in de Kadernota Rechtmatigheid van de Commissie BBV. Belangrijk hierbij is dat het overschrijden van de begroting altijd onrechtmatig is, maar niet in alle gevallen hoeft te worden meegewogen in het accountantsoordeel.

In het kader van de begrotingsrechtmatigheid moet gekeken worden naar de lastenoverschrijdingen per programma. Zie hierna voor een overzicht van de lastenoverschrijdingen per programma en de overschrijdingen van investeringskredieten. Bij in totaal negen programma’s is een begrotingsoverschrijding op de lasten te constateren. De oorzaken en redenen daarvoor zijn helder toegelicht in de jaarstukken. Deze zijn weliswaar formeel gezien onrechtmatig, maar tellen niet mee bij ons oordeel over de begrotingsrechtmatigheid.

DASHBOARD

JAARREKENING

FINANCIËLE POSITIE

BEVINDINGEN

BIJLAGEN

4.8 Informatiebeveiliging

Informatiebeveiliging bij de gemeente Meppel

31

Ontwikkelingen rondom Informatiebeveiliging In deze informatie gedreven samenleving verwerken overheidsorganisaties grote hoeveelheden digitale informatie. Dit biedt enorm veel voordelen en kansen. Tegelijk kan het voor uw organisatie ook de nodige risico’s opleveren die kunnen leiden tot vervelende en impactvolle incidenten. Zicht en grip op de risico’s rondom informatie vereisen zicht en grip op de informatie zelf en de toegang daartoe. Recentelijk is het rekenkameronderzoek gepubliceerd rondom de hack bij gemeente Hof van Twente. Hieruit zijn een aantal aansporingen gekomen die door de raad of college kunnen worden opgepakt of voortgezet en wij ook hier bij gemeente Meppel onder aandacht willen brengen.

Aansporingen Raad bij Informatiebeveiliging

1. Neem als raad het initiatief om met het bestuur het gesprek aan te gaan over cultuur. Ga daarna als raad met de ambtelijke organisatie het gesprek aan over de gewenste cultuur, neem als raad het college mee en houdt als raad zelf de regie op dit proces. Neem daarbij als raad ook jezelf onder de loep. In hoeverre ben je als raad zelf in staat om dit onderwerp op de bestuurlijke agenda te houden? 2. Verzoek als raad het college om gezamenlijk één keer per jaar met een andere gemeente (of meerdere) uit de regio in gesprek te gaan en laat je informeren over hoe zij de informatiebeveiliging hebben georganiseerd. Laat de andere gemeente ook bij jou kijken, om ideeën en good practices uit te wisselen. 3. Verzoek als raad het college de mogelijkheden te onderzoeken om samen te werken op functies (FG en CISO) met buurgemeenten. En onderzoek de mogelijkheden om op systeembeheer samen te werken, bijvoorbeeld met een gemeente die gastheer wil zijn of via een shared servicecentrum, waarbij het goed inrichten van de Governance niet uit het oog verloren mag worden. Wij adviseren u daarnaast om kennis te nemen van de overige aanbevelingen en te onderzoeken waar u op deze onderwerpen als gemeente staat. Daarnaast benadrukken wij de noodzaak om ook de informatieveiligheid (en bredere IT-beheersing) van de applicaties, relevant voor de jaarrekeningcontrole, op orde te krijgen.

Wij zien dat uw organisatie afgelopen jaren progressie heeft geboekt. Een incident kan zowel van extern als intern komen. Daarom is een goede interne IT-beheersing eveneens van cruciaal belang. De detailbevindingen van de General IT Controls zijn gerapporteerd in de bijlages van ons accountantsverslag. Zie bijlage C en D.

DASHBOARD

JAARREKENING

FINANCIËLE POSITIE

BEVINDINGEN

BIJLAGEN

32

Bijlagen

A

Onze controle

B

Bevindingen SiSa-bijlagen

C

Uitkomsten IT-audit

D

Detailbevindingen IT-audit

33

A. Onze controle

A. Onze controle

Doel en object van de controle Opdracht

34

Doel en object van de controle Het doel van de controle is het geven van een onafhankelijk oordeel of de financiële overzichten van de gemeente Meppel, in alle van materieel belang zijnde opzichten, zijn opgesteld in overeenstemming met het BBV. Opdracht Wij hebben de jaarrekening gecontroleerd conform de Nederlandse controlestandaarden en de met u gemaakte afspraken in de opdrachtbevestiging van 15 september 2022. Tevens beoordeelden wij de verenigbaarheid van de andere informatie, inclusief de overige gegevens en het bestuursverslag met de jaarrekening en of deze geen materiële afwijkingen bevatten op basis van onze kennis en ons begrip, verkregen vanuit de jaarrekeningcontrole of anderszins. Voor een accountantscontrole gelden inherente beperkingen, die zijn uiteengezet in de opdrachtbevestiging. Voor een uitgebreide beschrijving van onze aanpak verwijzen wij naar onze opdrachtbevestiging d.d. 15 september 2022 met kenmerk ‘EJJ/RvH/AL/1038040/017’.

Materialiteit Materialiteit Afwijkingen kunnen ontstaan als gevolg van fouten of fraude en zijn materieel indien redelijkerwijs kan worden verwacht dat deze, afzonderlijk of gezamenlijk, van invloed kunnen zijn op de economische beslissingen die gebruikers op basis van deze jaarrekening nemen. De materialiteit beïnvloedt de aard, timing en omvang van onze controlewerkzaamheden en de evaluatie van het effect van onderkende afwijkingen op ons oordeel. Bij onze controlewerkzaamheden hebben wij als uitgangspunt de door de raad vastgestelde toleranties gehanteerd. De raad heeft ons daarbij opgedragen om bij onze oordeelsvorming en rapportering uit te gaan van de hierna vermelde goedkeurings- en rapporteringstolerantie. Op basis van het Besluit accountantscontrole decentrale overheden (BADO) en onze professionele oordeelsvorming hebben wij de materialiteit voor de jaarrekening als geheel bepaald op € 1.300.000. Wij houden ook rekening met afwijkingen en/of mogelijke afwijkingen die naar onze mening voor de gebruikers van de jaarrekening om kwalitatieve redenen materieel zijn. Wij zijn met u overeengekomen dat wij tijdens onze controle geconstateerde afwijkingen boven de € 65.000 rapporteren, alsmede afwijkingen die naar onze mening om kwalitatieve redenen relevant zijn.

Onze controle richt zich tevens op de getrouwheid en rechtmatigheid van de informatie in de WNT-verantwoording en de SiSa-bijlage van de jaarrekening. Voor de WNT en SiSa gelden specifiek voorgeschreven rapporteringstoleranties die veelal lager zijn dan uw rapporteringstolerantie. Wij passen deze voorgeschreven WNT- en SiSa-toleranties eveneens op correcte wijze toe. Onafhankelijkheid Onafhankelijkheid Nederlands recht en overige beroepsregels, zoals de Verordening inzake de onafhankelijkheid van accountants bij assurance-opdrachten (ViO), vereisen dat wij onafhankelijk zijn ten opzichte van onze controlecliënten. Wij zijn van mening dat door ons is voldaan aan deze eisen. Wij hebben de overige dienstverlening naast de controle van de jaarrekening beoordeeld aan de hand van onze beroepsregels en hebben geconcludeerd dat het type dienstverlening en de vergoeding onze onafhankelijkheid niet beïnvloeden. Wij zijn onafhankelijk van de gemeente Meppel zoals vereist in de Wet toezicht accountantsorganisaties (Wta), de Verordening inzake de onafhankelijkheid van accountants bij assurance-opdrachten (ViO) en andere voor de opdracht relevante onafhankelijkheidsregels in Nederland. Verder hebben wij voldaan aan de Verordening gedrags- en beroepsregels accountants (VGBA).

DASHBOARD

JAARREKENING

FINANCIËLE POSITIE

BEVINDINGEN

BIJLAGEN

A. Onze controle

Controleaanpak

35

Controleaanpak Wij hebben de jaarrekening gecontroleerd conform de Nederlandse controlestandaarden en de met u gemaakte afspraken in de opdrachtbevestiging van 15 september 2022 opgenomen. Tevens beoordeelden wij de verenigbaarheid van de andere informatie, inclusief de overige gegevens en het jaarverslag met de jaarrekening en of deze geen materiële afwijkingen bevatten op basis van onze kennis en ons begrip, verkregen vanuit de jaarrekeningcontrole of anderszins. Voor een accountantscontrole gelden inherente beperkingen, die zijn uiteengezet in de opdrachtbevestiging. Onze controleaanpak is gebaseerd op een gegevensgerichte en risicogerichte benadering. Deze aanpak gaat uit van een risicoanalyse op transactiestromen, zoals verkoopactiviteiten en personeelszaken. Daarnaast worden bedrijfsrisico’s beoordeeld die voortvloeien uit de strategie en operaties van gemeente Meppel. In de risicoanalyse hebben wij beoordeeld in hoeverre de onderkende risico’s van invloed kunnen zijn op de jaarrekening. De risico’s met een hoge waarschijnlijkheid van het zich voordoen en mogelijk materiële impact hebben in onze controle meer aandacht gehad. Deze risico’s betreffen:  management override;  onjuiste waardering van de grondexploitaties;  Aanbestedingsrechtmatigheid.

Strekking van de controleverklaring

Continuïteit

DASHBOARD

Strekking van de controleverklaring Aangezien de jaarrekening 2022 van de gemeente Meppel aan de daaraan te stellen eisen voldoet, hebben wij een goedkeurende controleverklaring, gedateerd op 17 mei 2023, afgegeven bij deze jaarrekening. Alle bevindingen voortvloeiend uit onze controle van de jaarrekening 2022 zijn afdoende behandeld en onze controle is afgerond. Continuïteit De waarderingen in de jaarrekening van de gemeente Meppel zijn gebaseerd op de veronderstelling dat de gemeente Meppel als geheel in continuïteit zal worden voortgezet. De inschatting of een duurzame voorzetting mogelijk is, inclusief de eventueel in de jaarrekening op te nemen toelichting, is de wettelijke verantwoordelijkheid van het college van burgemeester en wethouders. Als accountant beoordelen wij de aanvaardbaarheid van de door het college van burgemeester en wethouders ingeschatte mogelijkheden tot een duurzame voortzetting. Wij vinden deze inschatting aanvaardbaar. In onze controleverklaring hebben wij gerapporteerd over onze controleaanpak ten aanzien van het vermogen van de gemeente Meppel om risico’s vanuit de reguliere bedrijfsvoering financieel op te vangen.

JAARREKENING

FINANCIËLE POSITIE

BEVINDINGEN

BIJLAGEN

A. Onze controle

Het jaarverslag is verenigbaar met de jaarrekening en bevat geen materiële afwijkingen

36

De jaarstukken 2022 van uw gemeente bestaan uit:  het jaarverslag 2022 (programmaverantwoording en verplichte paragrafen);  de jaarrekening 2022 (balans met toelichting, overzicht van baten en lasten in de jaarrekening met toelichting inclusief SiSa-bijlage en taakvelden). In het onderdeel ‘programmaverantwoording’ van het jaarverslag dient informatie opgenomen te worden over: wat hebben we gedaan, wat hebben we bereikt en wat heeft het gekost? De programmaverantwoording vormt samen met de verplicht voorgeschreven paragrafen (zoals weerstandsvermogen, bedrijfsvoering, etc.) het jaarverslag. Beide onderdelen vallen niet (expliciet) onder de controle van de jaarrekening. Het primaire object van de accountantscontrole (op grond van artikel 213 van de Gemeentewet) is de jaarrekening (de balans met toelichting en het overzicht van baten en lasten in de jaarrekening met toelichting). De inhoud van het jaarverslag (programmaverantwoording en paragrafen) hebben wij getoetst. Bij onze controle hebben wij geen materiële afwijkingen tussen het jaarverslag en de jaarrekening geconstateerd. Het jaarverslag en de jaarrekening zijn met elkaar verenigbaar.

De grondslagen van de jaarrekening 2022 zijn aanvaardbaar

Geautomatiseerde gegevensverwerking

DASHBOARD

De belangrijkste verslaggevingsgrondslagen van uw gemeente zijn uiteengezet in de grondslagen van de jaarrekening 2022. In 2022 zijn er geen wijzigingen geweest in toegepaste verslaggevingsgrondslagen die een aanzienlijke invloed hebben op de baten en lasten of de financiële positie van uw gemeente. Significante verslaggevingsgrondslagen en toepassing hiervan zijn belangrijk voor de presentatie van de financiële positie van uw gemeente en de baten en lasten in de jaarrekening. Daarnaast vereisen zij van het college en het management dat zij een oordeel vormen ten aanzien van soms moeilijke, subjectieve en complexe posities vaak vanwege de noodzaak om inschattingen te moeten maken over het effect van zaken die inherent onzeker zijn. Wij hebben het door het college en het management toegepaste proces met betrekking tot significante verslaggevingsaspecten geëvalueerd en hebben gegevensgerichte controlewerkzaamheden uitgevoerd. Geautomatiseerde gegevensverwerking De accountant dient op basis van artikel 2:393, lid 4 BW, melding te maken van zijn bevindingen met betrekking tot de betrouwbaarheid en continuïteit van de geautomatiseerde gegevensverwerking. Tijdens de interim-controle hebben wij ook relevante processen met betrekking tot de geautomatiseerde gegevensverwerking getoetst. Voor onze bevindingen verwijzen wij naar onze management letter 2022.

Wij hebben de automatiseringsorganisatie van de organisatie uitsluitend in het kader van de jaarrekeningcontrole beoordeeld.

JAARREKENING

FINANCIËLE POSITIE

BEVINDINGEN

BIJLAGEN

37

B. Bevindingen SiSa-bijlagen

B. Bevindingen SiSa-bijlage

38

Inleiding Bij de jaarrekening wordt als bijlage de SiSa-verantwoording toegevoegd. De gemeente Meppel heeft de rechtmatige totstandkoming van de SiSa-bijlage getoetst. In onderstaande tabel zijn de te rapporteren bevindingen opgenomen: Op grond van het Besluit accountantscontrole decentrale overheden, artikel 5, lid 4, rapporteren wij in dit rapport over de fouten en onzekerheden van de specifieke uitkeringen die in 2022 in het kader van SiSa worden verantwoord. Per regeling is aangegeven of, en zo ja welke financiële fouten of onzekerheden zijn geconstateerd.

Strekking controleverklaring getrouwheid (jaarrekening)

GOEDKEUREND

Strekking controleverklaring rechtmatigheid (jaarrekening)

BEPERKING

NR.

SPECIFIEKE UITKERING OF OVERIG

FOUT OF ONZEKERHEID

JenV A13

Regeling specifieke uitkering naleving controle coronatoegangsbewijzen

N/A

JenV A16

N/A

FIN B2

Bekostigingsregeling opvang ontheemden Oekraine Regeling specifieke uitkering gemeentelijke hulp aan gedupeerden kinderopvangtoeslagproblematiek 2021

BZK C9

Specifieke uitkering woningbouwimpuls

N/A

BZK C32

Regeling specifieke uitkering ventilatie in scholen

N/A

BZK C55

Aanpak energiearmoede

N/A

BZK C62

Regeling specifieke uitkering kwijtschelding gemeentelijke belastingen

N/A

BZK C75B

Regiodeals 3e tranche (SiSa tussen medeoverheden)

N/A

OCW D8

N/A

OCW D14

Onderwijsachterstandenbeleid 2019-2022 (OAB) Regeling specifieke uitkering inhalen COVID-19 gerelateerde onderwijsvertragingenonderwijsvertragingen

OCW D19

Tijdelijke onderwijshuisvesting ontheemden

N/A

DRE DRE11C

Subsidieregeling Regiostedenfonds

N/A

DRE DRE13C

Subsidieregeling Veilig en Bereikbaar Drenthe 2022-2025

N/A

DRE DRE2C

Uitvoeringsregeling BDU verkeer en vervoer (Drenthe)

N/A

DRE DRE8C

Ruimtelijke ontwikkeling

N/A

IenW E20

Regeling stimulering verkeersmaatregelen 2020-2021

N/A

IenW E84

Regeling stimulering verkeersveiligheidsmaatregelen 2022-2023

N/A

DASHBOARD

JAARREKENING

FINANCIËLE POSITIE

FINANCIËLE OMVANG IN €

TOELICHTING FOUT/ONZEKERHEID

N/A

N/A

BEVINDINGEN

BIJLAGEN

B. Bevindingen SiSa-bijlage

39

Vervolg tabel.

FOUT OF ONZEKERHE ID

NR.

SPECIFIEKE UITKERING OF OVERIG

SZW G2

Gebundelde uitkering op grond van artikel 69 Participatiewet_gemeentedeel 2022

N/A

SZW G3

BBZ vanaf 2020 - Gederfde baten die voortvloeien uit kwijtschelden van achterstallige betalingen kapitaalverstrekkingen BBZ in jaar T_gemeentedeel 2022

N/A

SZW G3

Wet inburgering_gemeentedeel 2022 Gederfde baten die voortvloeien uit kwijtschelden schulden Wet Bijzondere bijstand in jaar T

N/A

Gederfde baten die voortvloeien uit kwijtschelden schulden Bijzondere bijstand in jaar T Gederfde baten die voortvloeien uit kwijtschelden schulden Wet Inburgering van 13 september 2012 in jaar T

onzekerheid

SZW G10 SZW G12 SWZ G12 SZW G12

N/A

fout

fout

SZW G13

Gederfde baten die voortvloeien uit kwijtschelden schulden Wet Inburgering van 13 onzekerheid september 2012 in jaar T Aantal gedupeerden (zoals omschreven in artikel 1 van de Regeling specifieke uitkering compensatie van de kosten die verband houden met het kwijtschelden van fout publieke schulden binnen het SZW-domein van de hersteloperatie kinderopvangtoeslagaffaire toeslagen) Aantal gedupeerden (zoals omschreven in artikel 1 van de Regeling specifieke uitkering compensatie van de kosten die verband houden met het kwijtschelden van onzekerheid publieke schulden binnen het SZW-domein van de hersteloperatie kinderopvangtoeslagaffaire toeslagen) N/A Regeling specifieke uitkering onderwijsroute

VWS H4

Regeling specifieke uitkering stimulering sport

N/A

VWS H8

Regeling Sportakkoord 2020-2022

N/A

VWS H12

Regeling specifieke uitkering lokale preventieakkoorden of preventieaanpakken

VWS H25

Regeling Specifieke uitkering ijsbanen en zwembaden (ronde 3)

SZW G12

SZW G12

SZW G12

DASHBOARD

JAARREKENING

FINANCIËLE POSITIE

TOELICHTING FOUT/ONZEKERHEID

N/A

BBZ vóór 2020 - Gederfde baten die voortvloeien uit kwijtschelden schulden levensonderhoud BBZ in jaar T (exclusief BOB) gemeentedeel 2022 BBZ vóór 2020 - Gederfde baten die voortvloeien uit kwijtschelden schulden levensonderhoud BBZ en achterstallige betalingen kapitaalverstrekkingen BOB in jaar T_gemeentedeel 2022

SZW G3

FINANCIËLE OMVANG IN €

N/A N/A

BEVINDINGEN

BIJLAGEN

B. Bevindingen SiSa-bijlage | Tozo

40

Tozo NR.

G4

SPECIFIEKE UITKERING OF OVERIG Tozo 1_fundamentele rechtmatigheidseisen _gemeentedeel 2022

G4

Tozo 1_belangrijke rechtmatigheidseisen _gemeentedeel 2022

G4

Tozo 2_gemeentedeel 2022

G4

Tozo 3_gemeentedeel 2022

G4

Tozo 4_gemeentedeel 2022

G4

Tozo 5_gemeentedeel 2022

G4

Kwijtschelding schulden Tozo in het kader van de hersteloperatie kinderopvangtoeslagaffaire - gederfde baten die voortvloeien uit kwijtschelden schulden levensonderhoud in jaar T_gemeentedeel 2022 Kwijtschelding schulden Tozo in het kader van de hersteloperatie kinderopvangtoeslagaffaire - gederfde baten die voortvloeien uit kwijtschelden van achterstallige betalingen op kapitaalverstrekking in jaar T_gemeentedeel 2022

G4

DASHBOARD

JAARREKENING

FOUT OF ONZEKERHEID

FINANCIËLE POSITIE

FINANCIËLE OMVANG IN €

BEVINDINGEN

TOELICHTING FOUT/ONZEKERHEID

BIJLAGEN

41

C. IT-beheersing 4.1 IT-beheersing

4.2 Actuele IT- ontwikkelingen en onze natuurlijke adviesrol 4.3 Bevindingen IT-beheersing | Overall beeld

C.1 IT-beheersing

Wij beoordelen de betrouwbaarheid en continuïteit IT voor zover relevant voor de controle van de jaarrekening

42

IT-werkzaamheden en onze controlerende rol Ingevolge artikel 2:393, lid 4 BW, dient de accountant in zijn verslag aandacht te besteden aan de bevindingen die naar voren zijn gekomen uit de beoordeling van de automatiseringsomgeving wat betreft de betrouwbaarheid en continuïteit van de geautomatiseerde gegevensverwerking. Wij benadrukken dat onze jaarrekeningcontrole gericht is op het geven van een oordeel omtrent de jaarrekening zelf en zich niet primair richt op het doen van uitspraken omtrent de betrouwbaarheid en continuïteit van de geautomatiseerde gegevensverwerking als geheel of van onderdelen daarvan. De IT-auditwerkzaamheden zijn geïntegreerd in de controleaanpak van de jaarrekening. Het inzicht in de betrouwbare werking van ICT-systemen en applicaties en het gebruik daarvan door de organisatie, vormen een onderdeel van de kwaliteit van de interne beheersing en de administratieve organisatie. Algemene IT-beheersmaatregelen rond uw kritieke systemen leveren daarnaast een belangrijke bijdrage aan het mitigeren van de risico’s op onbeheerste wijzigingen, ongeautoriseerde handelingen en het optreden van verstoringen met impact op de gegevensverwerking.

Beoordeelde systemen:  Key2Financiën  Suite4SociaalDomein

Detailbevindingen IT weergegeven in Bijlage B

DASHBOARD

De bevindingen zoals gerapporteerd in deze management letter zijn gericht geweest op het beoordelen van de opzet en het vaststellen van het bestaan van algemene IT-beheersmaatregelen. Wij hebben in samenwerking met onze IT-auditors een aantal van deze maatregelen beoordeeld voor Key2Financiën en Suite4SociaalDomein. Dit om de impact van de risico’s van onbeheerste wijzigingen, ongeautoriseerde handelingen en verstoringen te kunnen vaststellen voor die systemen die gekoppeld zijn aan de voor ons relevantie processen en posten.

In dit hoofdstuk geven wij allereerst een samenvatting van onze bevindingen voor de genoemde applicaties. De detailbevindingen rondom deze systemen zijn opgenomen in Bijlage C3.

JAARREKENING

FINANCIËLE POSITIE

BEVINDINGEN

BIJLAGEN

C.2 Actuele IT- ontwikkelingen en onze natuurlijke adviesrol

Veranderende vraag van leveranciersmanagement

Beoordeling van contracten

Aanpak van cyberrisico’s

DASHBOARD

43

Leveranciersmanagement Sinds enkele jaren zien wij in de markt een verschuiving naar Software-As-A-Service (SaaS) applicaties. Dit vergt andere competenties dan voorheen en brengt andere risico’s met zich mee. Hoe weet u bijvoorbeeld dat leveranciers hun informatiebeveiliging adequaat hebben ingericht en daar ook naar handelen? En of u voldoende beschermt bent tegen een cyberaanval? Daarnaast krijgen wij steeds vaker de vraag of leveranciers daadwerkelijk hun KPI’s nakomen en of hier wel op de juiste manier over gerapporteerd wordt. In het kader hiervan willen wij u op een tweetal punten wijzen. Actualiteit van contracten Wij zien dat veel organisaties langlopende contracten hebben met leveranciers maar deze overeenkomsten niet in alle gevallen worden bijgewerkt naar huidige inzichten vanuit de markt. Daarom adviseren wij om een beoordeling uit te voeren op de huidige contractuele afspraken en bijbehorende servicelevel overeenkomsten en daarbij vast te stellen in hoeverre deze nog actueel zijn. Bij deze evaluatie adviseren wij eveneens te kijken naar afspraken die gemaakt zijn ten aanzien van informatiebeveiliging en de maatregelen die uw leverancier heeft ingericht om cyberaanvallen en datalekken te voorkomen. Hiervoor bestaan verschillende vormen.

Een veelvoorkomende variant is een assuranceverklaring (zoals ISAE of SOC2 verklaring) waarin de leverancier inzicht geeft in de door haar getroffen maatregelen. Met de veranderende eisen en toenemende wet- en regelgeving, inclusief verantwoording van en aan het management is het erg belangrijk dat de afspraken met leveranciers hierin meebewegen. Afspraken t.a.v. Cyberrisico’s Aanvullend hierop is het voor uw organisatie belangrijk om na te gaan of alle koppelingen en leveranciersaccounts die u momenteel in uw systemen heeft zitten nog wel allemaal nodig zijn. Uit een recent voorbeeld bij een andere gemeente is gebleken dat hackers via leveranciersaccounts gegevens buit hebben gemaakt. Om dit te voorkomen kunt u zelf maatregelen treffen door accounts te blokkeren op het moment dat deze niet gebruikt worden en strenge wachtwoordeisen in te richten. Hierdoor wordt het risico op ongeautoriseerd gebruik verlaagd.

JAARREKENING

FINANCIËLE POSITIE

BEVINDINGEN

BIJLAGEN

C.3 Bevindingen IT-beheersing | Key2Financiën

Logische toegangsbeveiliging K2F (criteria 1-5) nog deels ontoereikend Change management (criteria 6-7) nog deels ontoereikend Voor een nadere onderbouwing van de norm, bevindingen en aanbevelingen verwijzen wij naar Bijlage B

PROCES

2022

KORTE OMSCHRIJVING RESULTATEN

1. Procedure autorisatiebeheer

1

De autorisatiematrix is opgesteld maar moet nog geformaliseerd worden.

2. Periodieke controle op juistheid ingerichte autorisaties

2

Een vastgelegde controle op juistheid en actualiteit van ingerichte autorisaties is niet uitgevoerd in boekjaar 2022.

3. Identificatie van gebruikers voor toegang tot systemen en data

3

Generieke accounts binnen de applicatie zijn verklaarbaar bevonden.

4. Wachtwoordbeleid (authenticatie)

4

De wachtwoordvereisten voldoen aan de BDO minimum practice.

5. Administrators en superusers

5

Accounts met beheerrechten zijn verklaarbaar.

6. Wijzigingenbeheer

6

Voor een recente wijziging zijn testwerkzaamheden uitgevoerd door een key user i.s.m. functioneel beheer. De key user doorloopt zijn standaard werkzaamheden; hiervan bestaat nog geen geschreven testplan met teststappen. Het akkoord op in productiename is niet vastgelegd.

7. Gescheiden omgevingen

7

Er is scheiding aangebracht tussen de test- en productie-omgeving en toegang tot de productie-omgeving door de softwareleverancier is beperkt.

onvoldoende

DASHBOARD

2021

44

JAARREKENING

verbeterpunten

voldoende

FINANCIËLE POSITIE

Niet beoordeeld

BEVINDINGEN

BIJLAGEN

C.3 Bevindingen IT-beheersing | Key2Financiën

45

IT-omgeving toereikend Voor een nadere onderbouwing van de norm, bevindingen en aanbevelingen verwijzen wij naar Bijlage B

Baseline Informatiebeveiliging Overheid (BIO) norm en proces

2021

JAARREKENING

KORTE OMSCHRIJVING RESULTATEN

Continuïteitsmaatregelen zijn getroffen.

8. Data back-up

Er is een restoretest uitgevoerd waarbij is vastgesteld dat vanaf back-up een werkende productie-omgeving kan worden hersteld.

9. Data Recovery

DASHBOARD

2022

FINANCIËLE POSITIE

BEVINDINGEN

BIJLAGEN

C.3 Bevindingen IT-beheersing | Suite 4 Sociaal Domein

Logische toegangsbeveiliging Suite 4 Sociaal Domein (criteria 1-5) nog deels ontoereikend Change management (criteria 6-7) nog deels ontoereikend Voor een nadere onderbouwing van de norm, bevindingen en aanbevelingen verwijzen wij naar Bijlage B

PROCES

2022

KORTE OMSCHRIJVING RESULTATEN

1

Autorisaties worden conform geformaliseerde autorisatiematrix toegekend en worden bij uitdiensttredingen tijdig ingetrokken.

2. Periodieke controle op juistheid ingerichte autorisaties

2

Er is weliswaar een controle uitgevoerd maar dit is door functioneel beheer zelf gedaan en niet (tevens) door management. De vastlegging van controlewerkzaamheden en ondertekening daarvan kan verbeterd worden zodat inzichtelijk is hoe de controle is uitgevoerd en dat deze is geaccordeerd.

3. Identificatie van gebruikers voor toegang tot systemen en data

3

Generieke accounts binnen de applicatie zijn verklaarbaar bevonden.

4. Wachtwoordbeleid (authenticatie)

4

De wachtwoordvereisten voldoen aan de BDO minimum practice.

5. Administrators en superusers

5

Accounts met beheerrechten zijn verklaarbaar.

6. Wijzigingenbeheer

6

Voor een recente wijziging zijn testwerkzaamheden uitgevoerd door een key user i.s.m. functioneel beheer. De key user doorloopt zijn standaard dagelijkse werkzaamheden en noteert ‘akkoord/niet akkoord’. Het is niet inzichtelijk hoe teststappen doorlopen worden.

7. Gescheiden omgevingen

7

Er is scheiding aangebracht tussen de test- en productieomgeving en toegang tot de productie-omgeving door de softwareleverancier is beperkt.

1. Procedure autorisatiebeheer

onvoldoende

DASHBOARD

2021

46

JAARREKENING

verbeterpunten

voldoende

FINANCIËLE POSITIE

Niet beoordeeld

BEVINDINGEN

BIJLAGEN

C.3 Bevindingen IT-beheersing | Suite 4 Sociaal Domein

IT-omgeving (criterium restoretest nog deels ontoereikend) Voor een nadere onderbouwing van de norm, bevindingen en aanbevelingen verwijzen wij naar Bijlage B

DASHBOARD

Baseline Informatiebeveiliging Overheid (BIO) norm en proces

2021

KORTE OMSCHRIJVING RESULTATEN

Continuïteitsmaatregelen zijn getroffen.

8. Data back-up

Er is (nog) geen restoretest uitgevoerd.

9. Data Recovery

JAARREKENING

2022

47

FINANCIËLE POSITIE

BEVINDINGEN

BIJLAGEN

48

D. Detailbevindingen IT

Detailbevindingen IT

Bevinding

49

PROCEDURE AUTORISATIEBEHEER & PERIODIEKE CONTROLE OP JUISTHEID INGERICHTE AUTORISATIES

Gerelateerde BIO normen:

KANS: Middel

9.2.1 | 9.2.2.1 | 9.2.5.1 Jaar van constatering

2022

IMPACT: Middel

9.2.2.2 | 9.2.3.1

Autorisatiebeheer Er zijn normposities opgesteld voor Key2Financiën en S4SD waarin de autorisaties per functie inzichtelijk zijn. De autorisatiematrix van Key2Financiën moet nog worden geaccordeerd door het management.

Review Om adequate procedures rondom het aanmaken, wijzigen en verwijderen van gebruikers met bijbehorende rechten in applicaties te borgen, dient periodiek een review op basis van een autorisatie-/functiescheidingsmatrix plaats te vinden op de gebruikers met bijbehorende rechten. Voor de applicatie Key2Financiën is er nog geen dergelijke controle uitgevoerd. Voor S4SD is er een controle uitgevoerd door functioneel beheer zelf. Idealiter gebeurt dit door een functionaris die buiten de uitvoering staat. Er kan voorts niet worden vastgesteld welke controlewerkzaamheden precies zijn uitgevoerd en of dit o.b.v. een autorisatiematrix is gebeurd. Risico/Gevolg

Door het ontbreken van adequate naleving op gebruikersbeheerprocedures bestaat het risico dat personen teveel of onterechte rollen/rechten bezitten en hierdoor de functiescheidingsprincipes mogelijk doorbroken kunnen worden met het risico op ongeautoriseerde handelingen.

Ons advies/ Uw aanvullende werkzaamheden

We onderschrijven dat er normposities voor de applicaties in scope zijn opgesteld. In navolging hierop raden we aan om deze jaarlijks door het management te laten goedkeuren, zodat deze organisatie-breed worden gedragen en baseline bieden. Aan de hand van deze normpositie dienen de verzoeken tot het aanvragen en muteren van gebruikers met rollen en rechten beoordeeld te worden alvorens deze autorisatiegroep/rechten worden toegekend. Tevens verdient het de aanbeveling om een periodieke review (bijv. halfjaarlijks, jaarlijks) uit te voeren waarin achteraf tegen de bovengenoemde normpositie wordt nagegaan of gebruikers teveel rollen/rechten toegekend hebben gekregen en nog werkzaam zijn binnen de organisatie. Hierbij is het van belang om de controle en opvolging zichtbaar vast te leggen. Het resulterend controledocument kan dan ondertekend worden door management.

Reactie management/ Opvolging

DASHBOARD

Dit advies is in lijn met het lopende verbeterplannen vanuit het programma Informatisering uit 2021.

JAARREKENING

FINANCIËLE POSITIE

BEVINDINGEN

BIJLAGEN

Detailbevindingen IT

50

Bevinding

WIJZIGINGENBEHEER UPDATES KEY2FINANCIËN en SUITE 4 SOCIAAL DOMEIN

Jaar van constatering

2022

Gerelateerde BIO normen: 12.1.2 & 12.1.4

KANS: laag IMPACT: middel

Voor Key2Financiën hebben wij vastgesteld dat voor een recente wijziging testwerkzaamheden zijn uitgevoerd in samenwerking tussen functioneel beheer en een key-user van de applicatie. De key user doorloopt hierbij dagelijkse standaardwerkzaamheden; hiervan bestaat nog geen geschreven testplan met teststappen. In dit proces kan derhalve een verbetering worden doorgevoerd door de uitgevoerde testwerkzaamheden, opvolgingen van de bevindingen en koppeling naar de release notes (zijn alle nieuwe updates ook daadwerkelijk getest) beter te documenteren. Voor S4SD hebben wij vastgesteld dat voor een recente wijziging testwerkzaamheden zijn uitgevoerd door een key user i.s.m. functioneel beheer. De key user doorloopt dagelijkse standaardwerkzaamheden en vinkt daarbij een kruisjeslijst per testonderdeel af voor akkoord. De vastlegging kan nog geoptimaliseerd worden door inzichtelijk te maken hoe de testonderdelen inhoudelijk zijn getest en een koppeling te maken van release notes naar teststappen (in geval van nieuwe functionaliteit).

Risico/Gevolg

Het risico bestaat dat wijzigingen onvoldoende worden getest en goedgekeurd, en dat onbedoelde of ongewenste wijzigingen op de productieomgeving worden doorgevoerd. Dit vergroot het risico dat de continuïteit van de bedrijfsprocessen wordt verstoord als gevolg van een wijziging in de programmatuur en/of de programmatuur niet langer aan de vereisten van de gebruikersorganisatie voldoet.

Ons advies/ Uw aanvullende werkzaamheden

Wij onderschrijven de testmethodiek van de organisatie en raden daarbij aan om op onderdelen enige aanscherping aan te brengen. Het gaan dan om het aantoonbaar maken van de beoordeling van de releasenotes op impact, zodat duidelijk is hoe deze impactweging terugkeert in de gebruikte teststappen. Voorts is van belang dat naast de gebruikte kruisjeslijst met accordering, inzichtelijk wordt vastgelegd hoe teststappen inhoudelijk doorlopen zijn. Tevens adviseren wij om het akkoord voor in-productiename vast te leggen.

Reactie management/ Opvolging

Dit advies is in lijn met het lopende verbeterplannen vanuit het programma Informatisering uit 2021.

DASHBOARD

JAARREKENING

FINANCIËLE POSITIE

BEVINDINGEN

BIJLAGEN

Detailbevindingen IT

Bevinding

IT CONTINUÏTEIT

Jaar van constatering

2022

51

Gerelateerde BIO normen: 11.2| 12.3.1.1 – 12.3.1.4 | 12.3.1.5

KANS: laag IMPACT: laag

We hebben geconstateerd dat er voor Key2Financiën een restoretest is uitgevoerd waarbij is vastgesteld dat er vanaf back-up een werkende productie-omgeving kon worden hersteld. Inzake S4SD hebben we geconstateerd dat er (nog) geen restoretest is uitgevoerd. We hebben begrepen dat hieromtrent nog enige afstemming met de softwareleverancier loopt. Risico/Gevolg

Wanneer de restoretest nog niet is uitgevoerd, bestaat het risico dat in geval van calamiteiten geen werkende productie-omgeving kan worden hersteld vanaf back-up.

Ons advies/ Uw aanvullende werkzaamheden

We raden aan om een jaarlijkse restoretest uit te voeren teneinde vast te stellen of vanaf back-up een werkende productie-omgeving kan worden hersteld.

Reactie management/ Opvolging

Dit advies is in lijn met het lopende verbeterplannen vanuit het programma Informatisering uit 2021.

DASHBOARD

JAARREKENING

FINANCIËLE POSITIE

BEVINDINGEN

BIJLAGEN

52

bdo.nl