Managementletter 2020 gemeente Meppel
Tekst van het document
DASHBOARD
Wij adviseren u waarborgen te treffen dat voorafgaand aan het beschikken van subsidies getoetst wordt of sprake is van een subsidie of aanbesteding. Dit kan ingericht worden middels een verplichte checklist.
AANDACHTSPUNTEN
SIGNIFICANTE PROCESSEN
INTERNE CONTROLE
BIJLAGEN
Factsheet | Gemeentelijke belastingen
NORMEN EN VERWACHTINGEN T.A.V. PROCES
35
INSCHATTING INTERNE BEHEERSMAATREGELEN BEHEERSMAATREGELEN IN HET PROCES
Actuele AO-beschrijving
Vastgestelde belastingverordeningen inclusief tarieventabel
Budgethoudersregeling op papier en in systeem
Betrouwbare belastingadministratie
Sluitende IT General Controls rondom het IT-systeem
Interne analyse belastingopbrengsten
1. Gemeenteraad stelt jaarlijks belastingverordeningen vast (incl. tarieven)
2. Functiescheiding t.a.v. invoer tarieven in belastingadministratie
3. Functiescheiding t.a.v. kohieren in relatie tot opleggen aanslagen
4. Cijferanalyse: Verwachte opbrengsten vergelijken met realisatie
5. Aansluiting subadministratie met financiële administratie
BEVINDINGEN EN EFFECT OP ONZE CONTROLEAANPAK CONCLUSIE
OPMERKINGEN
Opzet AO/IB
Alle belangrijke procesrisico’s worden afgedekt
Bestaan AO/IB
Beheersmaatregelen voldoen aan alle vereisten
IT-beheersmaatregelen
Niet in scope voor IT
VIC op proces
Proces is onderdeel van IC-plan
Conclusie proces
BDO kiest voor een gegevensgerichte aanpak
Conclusie controleaanpak
DASHBOARD
(AANVULLENDE) GEGEVENSGERICHTE WERKZAAMHEDEN Cijferanalyse ten aanzien van volledigheid belastingopbrengsten Totaal aansluiting Key2Belastingen en Key2Financiën
Gegevensgericht
AANDACHTSPUNTEN
SIGNIFICANTE PROCESSEN
INTERNE CONTROLE
BIJLAGEN
Factsheet | Verhuur
36
NORMEN EN VERWACHTINGEN T.A.V. PROCES
INSCHATTING INTERNE BEHEERSMAATREGELEN BEHEERSMAATREGELEN IN HET PROCES
Actuele AO-beschrijving
Vastgesteld verhuurbeleid, inclusief besluit activiteiten algemeen belang
Budgethoudersregeling op papier en in systeem
Contractenadministratie
Sluitende interne beheersing op volledigheidsrisico verhuur
Functiescheiding tussen verhuuraanvraag en sleutelbeheer
Sluitende IT General Controls rondom het IT-systeem
Verbijzonderde interne controle op interne beheersmaatregelen
1. Aansluiting tussen verhuuradministratie en financiële administratie
2. Interne controle op volledigheid objecten
3. Periodieke controle op juistheid facturatie
4. Leegstandscontrole tijdens niet verhuurde tijden
5. Controle op naleving huurbeleid (kostendekkende huur/ markthuur)
BEVINDINGEN EN EFFECT OP ONZE CONTROLEAANPAK CONCLUSIE
OPMERKINGEN
Opzet AO/IB
Niet alle procesrisico’s worden afgedekt
(AANVULLENDE) GEGEVENSGERICHTE WERKZAAMHEDEN Cijferbeoordeling Aansluiting tussen activastaat en verhuurde objecten Toetsing juistheid huurprijs (kostendekkend/markthuur)
Bestaan AO/IB
Beheersmaatregelen voldoen niet aan alle vereisten
IT-beheersmaatregelen
Niet in scope voor IT
VIC op proces
Proces onderdeel van IC-plan
Conclusie proces
Wij kunnen niet volledig steunen op het proces
Conclusie controleaanpak
DASHBOARD
Detailcontrole op de verhuur, waarbij gedetailleerde controle op de gehanteerde prijzen
Gegevensgericht
AANDACHTSPUNTEN
SIGNIFICANTE PROCESSEN
INTERNE CONTROLE
BIJLAGEN
Detailbevindingen processen | Verhuur
37
Bevinding
8. CONTROLE VERHUUR
KANS: laag
Jaar van constatering
2019
IMPACT: Middel
Onze bevinding/ constatering 2016, 2017, 2018 & 2019
De gemiddelde opbrengsten voor pachten en huren bedraagt ruwweg € 2,5 miljoen. De gemeente Meppel heeft een controle ingeregeld om de juistheid van de huurprijzen te waarborgen. Een dergelijke controle is voor de volledigheid van het aantal objecten niet ingeregeld. Tevens vindt er door de gemeente geen controle plaats op eventuele leegstand, om vast te stellen dat de verhuuropbrengsten volledig zijn.
Geconstateerde opvolging 2020
De gemeente Meppel heeft bovenstaande bevinding overwogen en is zich bewust van de mogelijke risico’s. De gemeente Meppel heeft een risicoanalyse uitgevoerd op de volledigheid van het vastgoed. Hierbij heeft de gemeente het risico als beperkt ingeschat en acht hierbij een jaarlijkse controle niet benodigd. De gemeente heeft derhalve een tweejarige integrale controle ingesteld. De gemeente heeft in 2020 een integrale controle op de volledigheid van de vastgoedlijst uitgevoerd, hieruit zijn weinig bijzonderheden geconstateerd.
Risico/gevolg
Het risico bestaat dat de opbrengsten vanuit de verhuur onjuist dan wel onvolledig zijn, doordat de volledigheid van de vastgoedobjecten nog niet is vastgesteld. Uitgaande van onze materialiteit en de gemiddelde opbrengst, schatten wij het risico in als laag/gemiddeld.
Ons advies/ uw aanvullende werkzaamheden
De gemeente Meppel heeft vanuit haar risico-inschatting een standpunt ingenomen en opvolging gegeven. Wij zullen deze bevinding de komende jaren niet opnieuw uitgebreid rapporteren.
Reactie management/ Opvolging
Wij erkennen de bevinding van de accountant. In het jaar 2020 hebben wij naar aanleiding van de bevinding vanuit de managementletter 2019 gekeken naar het mogelijke risico. Hier is een position paper voor opgesteld en is een integrale controle uitgevoerd op de objecten. Deze controle zullen wij 1x in de 2 jaar gaan uitvoeren.
DASHBOARD
AANDACHTSPUNTEN
SIGNIFICANTE PROCESSEN
INTERNE CONTROLE
BIJLAGEN
38
B. Detailbevindingen ICT
Detailbevindingen IT
39
Bevinding
B1. Logische Toegangsbeveiliging
KANS: hoog
Jaar van constatering
2019
IMPACT: hoog
Onze bevinding/ constatering 2019
De gemeente heeft een formeel proces ingericht voor het toekennen, wijzigen en verwijderen van gebruikers en toegewezen autorisaties in K2F en SSD. In het verlengde hiervan zijn autorisatiematrices opgesteld, welke niet formeel zijn goedgekeurd door het management. Eveneens is de autorisatiematrix van K2F niet opgesteld op basis van organisatorische functies. Ten behoeve van het toekennen van autorisaties wordt gebruik gemaakt van een autorisatieformulier waarbij een voorbeeldgebruiker wordt aangehouden en dus geen autorisatiematrix wordt gebruikt om rechten toe te kennen. Om adequate procedures rondom het aanmaken, wijzigen en verwijderen van gebruikers met bijbehorende rechten in applicaties te borgen, dient periodiek een review, op basis van een autorisatie-/functiescheidingsmatrix plaats te vinden waarbij eveneens gecontroleerd wordt op de actualiteit van gebruikers en bijbehorende rechten. Dergelijke reviews zijn voor beide applicaties uitgevoerd. Wij hebben enkel niet kunnen vaststellen dat de gebruikerslijsten juist en volledig zijn gecontroleerd. Voorts beschrijft hoofdstuk 3.8 in ‘’Autorisatiebeleid gemeente Meppel’’ een werkwijze waarbij een rol voor de controller en CISO in het proces van periodieke review is vastgelegd. Dit hebben wij niet als zodanig vast kunnen stellen.
De gemeente Meppel maakt gebruik van de applicatie WieisWie om de juiste wachtwoordeisen af te dwingen op Windows Active Directory. Voor een aantal eindgebruikers in K2F en SSD hebben wij vastgesteld dat zij hebben ingelogd met een wachtwoord dat ouder is dan 40 dagen (hetgeen wordt afgedwongen in de source code van Wieiswie).
Geconstateerde opvolging 2020
De gemeente Meppel heeft bovenstaande bevinding overwogen en is zich bewust van de mogelijke risico’s. De gemeente Meppel is van mening dat de teamleider het beste inzicht heeft op de taakverdeling binnen zijn of haar team en daarmee het beste kan beoordelen welke rol geschikt is. De gemeente stelt hierin voor een pragmatische oplossing gekozen te hebben die in lijn ligt met de ambitie van de gemeente. De gemeente Meppel acht de gestelde vereisten vanuit de omvang van de gemeente niet haalbaar en spreekt hierin uit deze ambitie op korte termijn tevens niet te hebben.
Risico/Gevolg
Door het ontbreken van formele autorisatiematrices , het gebruik van voorbeeldgebruikers en het onvolledig vastleggen van periodieke reviews bestaat het risico dat medewerkers onterechte gebruikers en/of rechten bezitten en hierdoor de functiescheidingsprincipes van de Gemeente Meppel mogelijk doorbroken kunnen worden met het risico op ongeautoriseerde handelingen. Door het ontbreken van adequate wachtwoordinstellingen kan niet meer gewaarborgd worden dat vastleggingen/mutaties kunnen worden herleid naar de juiste personen.
Ons advies/ Uw aanvullende werkzaamheden
DASHBOARD
Vanuit de opvolging en het ingenomen standpunt vanuit de gemeente Meppel is zichtbaar dat de gemeente de aanbevelingen zoals eerder gecommuniceerd niet zal opvolgen. Wij zullen deze bevinding de komende jaren niet opnieuw uitgebreid rapporteren.
AANDACHTSPUNTEN
SIGNIFICANTE PROCESSEN
INTERNE CONTROLE
BIJLAGEN
Detailbevindingen IT
40
Bevinding
B2. Wijzigingenbeheer updates
KANS: middel
Jaar van constatering
2019
IMPACT: hoog
Onze bevinding/ constatering 2019
De gemeente beschikt over een generieke procedure waarin het wijzigingenbeheerproces voor de applicaties K2F en SSD is vastgelegd. Een formele goedkeuring op deze procedure is niet zichtbaar vastgelegd. Wijzigingen voor K2F en SSD worden ontwikkeld door de leverancier waarnaar vervolgens release notes worden verstuurd naar de applicatiebeheerders. De applicatiebeheerders beoordelen de release notes op impact, echter zijn de beoordelingen op de release notes niet zichtbaar vastgelegd waardoor achteraf niet mogelijk is om vast te stellen of wijzigingen terecht of tijdig zijn doorgevoerd. Bovendien worden de testresultaten van K2F niet structureel vastgelegd en worden key-users niet betrokken bij de testwerkzaamheden. Voor een willekeurig gekozen wijziging van SSD hebben wij niet kunnen vaststellen dat de meldingen naar aanleiding van het testen zijn opgelost alvorens de wijziging is doorgevoerd op de productieomgeving. Aanvullend is vastgesteld dat deze meldingen niet belemmerend waren om de wijziging in productie door te voeren.
Geconstateerde opvolging 2020
Deze bevinding is ongewijzigd. De gemeente onderkent dat achteraf niet zichtbaar is of releasenotes beoordeeld zijn. De gemeente Meppel is van mening dat de applicatiebeheerder het beste in staat is om releasenotes te beoordelen. De gemeente stelt hierin voor een pragmatische oplossing gekozen te hebben die in lijn ligt met de ambitie van de gemeente. De gemeente Meppel spreekt hierbij uit op korte termijn geen ambitie te hebben het wijzigingenbeheer verder aan te scherpen.
Risico/Gevolg
Indien de impact van wijzigingen of de testresultaten voor het in productie nemen van de wijziging niet structureel worden vastgelegd, bestaat het risico dat achteraf niet kan worden vastgesteld of een softwarematige wijziging terecht en tijdig in de productieomgeving is geplaatst. Omdat de testwerkzaamheden voor K2F niet structureel plaatsvinden en niet in samenwerking met de key-users, bestaat het risico dat testwerkzaamheden niet op basis van specifieke criteria vanuit de gebruikers worden uitgevoerd. Hierdoor wordt mogelijk niet effectief en efficiënt getest wat ten koste kan gaan van de kwaliteit van de testwerkzaamheden en de productiviteit.
Ons advies/ Uw aanvullende werkzaamheden
Vanuit de opvolging en het ingenomen standpunt vanuit de gemeente Meppel is zichtbaar dat de gemeente de aanbevelingen zoals eerder gecommuniceerd niet zal opvolgen. Wij zullen deze bevinding de komende jaren niet opnieuw uitgebreid rapporteren.
DASHBOARD
AANDACHTSPUNTEN
SIGNIFICANTE PROCESSEN
INTERNE CONTROLE
BIJLAGEN
Detailbevindingen IT
41
Bevinding
B3. IT Continuïteit
KANS: middel
Jaar van constatering
2019
IMPACT: middel
Onze bevinding/ constatering 2019
De gemeente beschikt over een formele procedure waarin eisen zijn gesteld aan back-up’s, retentie van data en eisen hieraan in termen van maximaal toelaatbaar gegevensverlies. Op basis hiervan is de back-up cyclus te zijn bepaald. Een formele goedkeuring op de back-up procedure is niet zichtbaar vastgelegd. Naast het reguliere back-up proces worden periodieke restoretesten uitgevoerd. Echter hebben wij het bestaan van deze restoretesten voor K2F en SSD onvoldoende kunnen vaststellen. Ten behoeve van de toegang tot de serverruimte van gemeente Meppel is vastgesteld dat de toegang niet beperkt is tot medewerkers van de IT-afdeling die op basis van functie toegang benodigd hebben.
Geconstateerde opvolging 2020
Deze bevinding is ongewijzigd. De gemeente acht het proces zoals ingericht voldoende en spreekt uit op korte termijn niet de ambitie te kennen de procedures omtrent de continuïteit verder aan te scherpen.
Risico/Gevolg
Doordat de restore testen onvoldoende zijn vastgesteld, bestaat het risico dat back-up data niet te restoren is in geval van calamiteiten. Het risico is echter beperkt vanwege het feit dat tot op moment van de audit geen verstoringen hebben voorgedaan in 2019. Door een te hoog aantal personen met toegang tot de serverruimte bestaat het risico dat kritieke data of apparatuur beschadigd en/of ontvreemd wordt.
Ons advies/ Uw aanvullende werkzaamheden
DASHBOARD
Vanuit de opvolging en het ingenomen standpunt vanuit de gemeente Meppel is zichtbaar dat de gemeente de aanbevelingen zoals eerder gecommuniceerd niet zal opvolgen. Wij zullen deze bevinding de komende jaren niet opnieuw uitgebreid rapporteren.
AANDACHTSPUNTEN
SIGNIFICANTE PROCESSEN
INTERNE CONTROLE
BIJLAGEN