Managementletter 2022 Gemeente Meppel

MANAGEMENT LETTER 2022

Gemeente Meppel

Aanbiedingsbrief

Geachte leden van de raad, Aan: de raad van de gemeente Meppel t.a.v. de griffier Postbus 501 7940 AM MEPPEL

In het kader van de aan ons verstrekte opdracht tot controle van de jaarrekening 2022 van de gemeente Meppel brengen wij u met deze management letter verslag uit over onze bevindingen naar aanleiding van onze interim-controle. Voor een nadere omschrijving van onze opdracht, de reikwijdte en aanpak van onze controle en overige afspraken verwijzen wij naar onze opdrachtbevestiging. In deze rapportage richten wij ons met name op mogelijke verbeterpunten in de bedrijfsvoering en de processen die wij hebben onderzocht in het kader van de controle van de jaarrekening. Dit heeft tot doel een bijdrage te leveren aan de interne beheersing en het zelf controlerend vermogen van uw organisatie.

Groningen, 2 februari 2023

Kenmerk: EJJ/RvH/JvdW/AMT/1038040/002 Wij vertrouwen erop u met deze management letter naar aanleiding van onze interim-controle 2022 van dienst te zijn geweest. Wij willen de organisatie bedanken voor de prettige samenwerking en zijn vanzelfsprekend graag bereid een nadere toelichting te verstrekken.

Hoogachtend, BDO Audit & Assurance B.V. namens deze,

Ter informatie De digitale versie van dit document is vanaf de inhoudsopgave interactief. Aan de hand van de navigatiebalk onderaan de pagina en/of de menustructuur bovenaan de pagina kan door het document genavigeerd worden.

VORIGE PAGINA

VOLGENDE PAGINA

INHOUDSOPGAVE

SAMENVATTING

E.J. Jongsma RA Partner en extern accountant gemeente Meppel

Inhoudsopgave

DASHBOARD INTERIM-CONTROLE

4. BEVINDINGEN IT-BEHEER

2. ONTWIKKELINGEN & AANDACHTSPUNTEN

3. BEVINDINGEN SIGNIFICANTE PROCESSEN

BIJLAGEN

4

1. Dashboard interim-controle

1.1 Dashboard interim-controle

1.1 Dashboard interim-controle UW INTERNE BEHEERSING

IT-BEHEER



Op basis van onze interim-controle concluderen wij dat de interne beheersing en controleomgeving van voldoende niveau zijn, ook al kunnen wij nog niet altijd steunen op de (zichtbare) interne beheersing van processen.



Onze bevindingen uit voorgaand jaar zijn grotendeels voor 2022 nog van toepassing. Voor het subsidieproces zijn verbeteringen zichtbaar. Wij bespreken graag met de gemeente Meppel of ,en zo ja, op welke termijn de overige detailbevindingen opgevolgd worden.



Voor de gedetailleerde procesbevindingen verwijzen wij naar bijlage A van deze management letter.



De geaccepteerde risico’s vanuit eerder gerapporteerde detailbevindingen zijn dit jaar niet opgenomen in de management letter. Wij verwijzen voor deze betreffende bevindingen naar onze management letter van 2021.

ONTWIKKELINGEN









ONZE BEVINDINGEN (HOOFDSTUK 3 en 4)



Ten aanzien van onze IT-bevindingen acht de gemeente volledige opvolging niet haalbaar. Voor de controle beperken wij ons daarom tot datgene wat minimaal vereist is. Voor 2023 is de ambitie van de gemeente Meppel om de eerder gerapporteerde actiepunten op te volgen.



Om bovengenoemde reden hebben wij in lijn met voorgaand jaar de IT-audit-bevindingen beperkt gerapporteerd in deze management letter.



De belangrijkste bevindingen vanuit voorgaande management letter blijven van toepassing. Dit zijn:  Geen autorisatiematrices aanwezig en toekenning op basis van gebruikersgroepen.  Review op juistheid en actualiteit van bevoegdheden van gebruikers in systemen onvoldoende vastgelegd.  Geen zichtbare beoordeling op release notes en beheersing van toegang tot service-ruimte is onvoldoende.

STAND VAN ZAKEN AANDACHTSPUNTEN ACCOUNTANTSVERSLAG

Wij zullen in de controleverklaring 2022 rapporteren over onze werkzaamheden rondom fraude en continuïteit. De gemeente heeft in concept beleid opgesteld aangaande de beheersing van integriteit, fraude, oneigenlijk gebruik en misbruik (BIFOM) over 2022. Dit is een goede zaak. Het verwerken van een frauderisicoanalyse en het formaliseren van dit beleid wordt nog verder opgepakt. De rechtmatigheidsverantwoording zal definitief met ingang van boekjaar 2023 worden ingevoerd. Er komen veel taken op de gemeente af, bijvoorbeeld de opvang Oekraïners en uitbetaling energietoeslag, waar de gemeente ad-hoc op dient te reageren. Er is sprake van een hoge inflatie welke onder andere impact heeft op het saldo 2022, de toekomstige begrotingen en de waardering van diverse balansposten in de jaarrekening 2022.

DASHBOARD

5

ONTWIKKELINGEN



Ontwikkelingen kostenstijgingen in relatie tot de financiële positie.



Toetsing onderbouwingen voor behoeftenonderzoek van onderhanden significante grondposities, zoals Noord III/IV.



Doorontwikkeling organisatie in verband met rechtmatigheidsverantwoording door het college.



Het totaal aan onrechtmatigheid als gevolg van de aanbestedingsregels bedroeg voorgaand jaar € 2,5 miljoen. Als gevolg van de omvang van deze fout is een controleverklaring met beperking afgegeven. Wij adviseren om tussentijds te beoordelen en te rapporteren over de vraag in hoeverre reeds nieuwe aanbestedingen hebben plaatsgevonden voor deze onrechtmatigheden. Op basis daarvan kan ook beoordeeld worden wat de verwachte impact is op de strekking van de controleverklaring. Momenteel heeft dit (nog) niet plaatsgevonden.

SIGNIFICNANTE PROCESSEN

IT-BEHEER

Schematische weergave van de detailbevindingen en de risicoschatting (kans x impact) hiervan op de interne beheersing.

OVERZICHT VAN ONZE BEVINDINGEN (BIJLAGEN A T/M B) 1

Inkopen & Aanbestedingen – Preventieve toetsing naleving aanbestedingsregels niet geborgd

2

Inkopen & Aanbestedingen – Functiescheiding beheer crediteurenstamgegevens niet geborgd

3

Sociaal domein – Zichtbaarheid aard en diepgang kwaliteitstoets WMO en Jeugd onvoldoende

4

Sociaal domein – Controle prestatielevering onvoldoende zichtbaar

5

Subsidies – Proces vaststelling subsidies onvoldoende verwerkt in de workflow

6

Subsidies – Opgevolgd - Onderscheid subsidies en overheidsopdrachten wordt niet zichtbaar getoetst

7

Beheersing verbonden partijen - Een proces inzake monitoring verbonden partijen is niet ingericht

B1

Logische toegangsbeveiliging – Vastgestelde autorisatiematrices ontbreken

BIJLAGEN

6

2. Ontwikkelingen & Aandachtspunten

2.1 Rapporteren over fraude en continuïteit in de controleverklaring 2.2 Financiële positie – Ontwikkelingen 2.3 Aandachtspunten jaarrekening 2022 2.4 Rechtmatigheidsverantwoording 2023

2.1 Rapporteren over fraude en continuïteit in de controleverklaring

Verplicht rapporteren in de controleverklaring over fraude en continuïteit

7

Verplicht rapporteren in de controleverklaring over fraude en het vermogen om risico’s vanuit de reguliere bedrijfsvoering financieel op te vangen Vanaf boekjaar 2022 worden door de Nederlandse Beroepsorganisatie van Accountants (NBA) enkele aanpassingen in de controleverklaring doorgevoerd. Deze aanpassingen zien toe op het verplicht rapporteren over onze controleaanpak inzake frauderisico’s en continuïteit. Deze verplichting geldt voor alle wettelijke controles en dus ook voor gemeenten. Met het verplicht rapporteren over deze onderwerpen wordt tegemoet gekomen aan een veel gehoorde wens van stakeholders. Door transparanter te zijn over welke werkzaamheden wij als uw accountant hebben uitgevoerd om frauderisico’s én om de risico's verband houdende om de reguliere bedrijfsvoering zonder tussenkomst van de financieel toezichthouder voort te zetten (continuïteit) te mitigeren. Per onderwerp zullen wij voortaan, in alle gevallen, gaan rapporteren over wat de meest belangrijke fraude en continuïteitsrisico’s zijn en hoe op beide thema’s in de controle is ingespeeld. Uiteraard hebben de onderwerpen fraude en continuïteit altijd al de aandacht tijdens de accountantscontrole. Maar door deze zaken nu te gaan beschrijven in de controleverklaring, wordt die aandacht ook expliciet gemaakt.

Wij zijn ons er van bewust dat dit om een zorgvuldig proces vraagt, wat wij samen met u zullen doorlopen en waarover wij tijdig met u van gedachten zullen wisselen. Naast een extra inspanning van onze zijde vraagt dit namelijk ook iets van u. Bijvoorbeeld over uw aandacht voor de genoemde risico’s en over de door u gewenste mate van transparantie in de programmarekening en de programmaverantwoording over zowel het aspect fraude als het vermogen om financiële risico’s op te vangen.

Transparantie over fraude en continuïteit vraagt dialoog

Onze controle gaat uit van de fraudepreventie door de gemeente. Onze beroepsorganisatie, de NBA, heeft een notitie uitgebracht ‘best practice maatregelen fraude(risico)beheersing voor bestuurders en toezichthouders'. In deze notitie komt nadrukkelijk de rol van bestuurders en toezichthoudende organen, zoals de gemeenteraad, bij het voorkomen en detecteren van fraude aan de orde. Door de nadruk te leggen op het voorkomen van fraude, kunnen de gelegenheden die tot fraude leiden, afnemen. Dit vraagt om actief toezicht op risico’s en beheersmaatregelen ter voorkoming van fraude. Ook de accountant heeft hierin een belangrijke rol. De landelijke pilots waar in de controleverklaring 2020 van de accountant uitgebreider is gerapporteerd over het thema fraude (o.a. Gemeente Breda) hebben bijgedragen aan deze best practices. De best practices van de NBA zijn erop gericht het fraudebewustzijn en de frauderisicobeheersing te vergroten. In onze management letter van voorgaand jaar hebben wij reeds aandacht gevraagd voor dit onderwerp. Het afgelopen jaar hebben wij in de auditcommissie de gemeente verder geïnformeerd over de wijze waarop de rol van de gemeenteraad ten aanzien van frauderisico-beheersing kan worden versterkt. De interne frauderisicoanalyse is (nog) niet gereed.

In de tweede kwartaalrapportage van uw VIC blijkt dat het project ‘FraudeBeheersing en – preventie’ in gang is gezet, maar (nog) niet geheel is uitgewerkt. Voor aanvang van de jaarrekeningcontrole zal een definitieve en vastgestelde frauderisicoanalyse over het gehele boekjaar worden opgesteld. Een vervolgstap voor uw VIC is om de frauderisicoanalyse te integreren in het interne controleplan en aan de hand van de risicoanalyse gerichte onderzoeken op te starten. Onze waarnemingen en aanbevelingen zijn op de volgende pagina verder uitgewerkt.

DASHBOARD

ONTWIKKELINGEN

SIGNIFICANTE PROCESSEN

IT-BEHEER

BIJLAGEN

2.1 Rapporteren over fraude en continuïteit in de controleverklaring

Onze waarnemingen en aanbevelingen in relatie tot fraude

Onze waarnemingen en aanbevelingen in relatie tot fraude (vervolg) Wij constateren dat in 2022 enkele stappen zijn gezet inzake frauderisicobeheersing. De organisatie heeft de bevindingen en aanbevelingen uit de management letter 2021 ter harte genomen en verwerkt in haar uit te voeren conceptueel beleid aangaande de beheersing van integriteit, fraude, oneigenlijk gebruik en misbruik. Dit beleid dient nog voor 2022 te worden geformaliseerd. We hebben in beeld gebracht wat de gemeente allemaal heeft geregeld ten aanzien van preventie, detectie en ook frauderespons. Wij zien het volgende: Preventie  Het beleid aangaande de beheersing van integriteit, fraude, oneigenlijk gebruik en misbruik is in concept opgesteld en wordt nog verder besproken en vastgesteld.  De gemeente beschikt over een klokkenluidersregeling en gedragscode inzake integriteit ten aanzien van het college, de raad en ambtsdragers.  De gemeente heeft de frauderisicoanalyse inclusief de getroffen beheersmaatregelen nog niet uitgewerkt, dit volgt in januari 2023.  De gemeente beschikt over een actueel algemeen M&O beleid.  Fraude (preventie) staat (nog) niet periodiek op de agenda van de auditcommissie en gemeenteraad. Detectie  Het controleplan en de werkzaamheden van het interne auditteam besteedt specifieke aandacht aan het M&O-beleid. Aangaande fraude is dit (nog) niet specifiek uitgewerkt.

 Wij hebben een compliance checklist uitgezet met enkele vragen over dit onderwerp. Mochten hier nog aandachtspunten uitkomen zullen wij dit in ons accountantsverslag rapporteren.

Respons  Er is een protocol vermoedens misstanden. Hiervan wordt niet jaarlijks een verslag opgesteld.  Het sanctiebeleid is niet concreet uitgewerkt.

DASHBOARD

ONTWIKKELINGEN

SIGNIFICANTE PROCESSEN

IT-BEHEER

BIJLAGEN

8

2.2 Financiële positie - Ontwikkelingen

Een uitdagende periode

9

Inleiding In deze paragraaf beschrijven wij de belangrijkste ontwikkelingen in de financiële positie vanuit onze natuurlijke adviesrol. De gemeente Meppel heeft, net als veel gemeenten, te kampen met tekorten in het sociaal domein, stijgende prijzen van energie en andere kosten. Huidige financiële positie (begroting 2022) De financiële positie op basis van de begroting 2022 van de gemeente Meppel lijkt, op basis van het door de provincies opgestelde gemeenschappelijk financieel toezichtkader (GTK 2020), voldoende, met uitzondering van de solvabiliteitsratio. De solvabiliteit in de begroting 2022 neemt licht af ten opzichte van ultimo 2021 (10%), en ligt conform voorgaand jaar ruim onder het landelijk gemiddelde over 2020 voor gemeenten in de categorie tussen de 20.000 tot 50.000 inwoners. Volgens de normen in het GTK 2020 is het weerstandsvermogen krap voldoende. Er is in de begroting 2022 sprake van een opgenomen overzicht van de weerstandscapaciteit, waarbij het totaal van de risico’s berekend is op € 10,9 miljoen, terwijl er aan algemene reserve en belastingcapaciteit een buffer aanwezig is van € 10,9 miljoen. De verhouding tussen risico’s en aanwezige buffers is daarmee 1,0 en dit ligt tussen de grens van 0,9-1,1 en daarmee is op basis van de eigen nota risicomanagement van de gemeente Meppel sprake van voldoende buffers.

Toekomst Een recente uitdaging is het beperken en beheersen van kostenstijgingen dan wel het creëren van dekking hiervoor. De financiële positie is zoals in ons voorgaande accountantsverslag benoemd een blijvend aandachtspunt. Op pagina 13 is dit verder toegelicht onder de aandachtspunten voor de aankomende jaarrekening.

DASHBOARD

ONTWIKKELINGEN

SIGNIFICANTE PROCESSEN

IT-BEHEER

BIJLAGEN

2.3 Aandachtspunten jaarrekening 2022

Documentatie van ramingen bij aankondiging of inleiding procedure aanbesteding essentieel

10

Inflatie en aanbestedingsprocedure Het inflatiecijfer is in 2022 uitzonderlijk hoog. In september meldde het CBS een inflatiecijfer tot meer dan 17%. Veel gemeenten hebben voordat de hoge inflatie zich materialiseerde, ramingen opgesteld voor overheidsopdrachten en vaste prijsafspraken gemaakt. Door de inflatie loopt men nu het risico dat (offertes voor) bestedingen, waarvoor een reële raming is afgegeven, en onderhands zijn gegund, toch de drempel overschrijden voor het verplicht doorlopen van een Europese aanbestedingsprocedure. In een dergelijk geval hoeft de gemeente niet alsnog Europees aan te besteden.

Belangrijk hierin is dat: - de raming reëel was op het tijdstip van verzending van de aankondiging of het moment van inleiden van de procedure voor gunning van de opdracht; - de raming goed gedocumenteerd moet zijn met inbegrip van opties van het contract; - een eventuele wijziging goed wordt gemotiveerd, wordt onderbouwd met bewijsstukken en de wijziging dient gedocumenteerd te worden in het inkoopdossier. Dat kan met een afwijkingennotitie.

Inflatiecorrectie buiten afspraken mogelijk binnen wetgeving EUaanbestedingen

Inflatie en wezenlijke wijziging Wij zien dat veel opdrachtnemers een beroep doen op gemeenten om de contractwaarde aan te passen naar de huidige marktomstandigheden, terwijl dit buiten contractuele voorwaarden gaat. Door sterk stijgende kosten van grondstoffen en loon kunnen contracten niet nageleefd worden zonder grote financiële- en continuïteitrisico’s voor de opdrachtnemer en daarmee de opdracht. De aanbestedingswet biedt hierin een tweetal opties. • Een bagatelwijziging (de wijziging is minder dan 10 procent van de totale opdrachtwaarde inclusief opties en verlengingen, bij diensten of leveringen, 15% van de opdrachtwaarde bij werken). • Een onvoorziene omstandigheid (2.163e Aw). Van de bagatelregeling kan eenvoudig gebruik gemaakt worden, waarbij documenteren hiervan wel belangrijk is. Als de bagatel al is gebruikt, resteert de wijzigingsgrond van de onvoorziene omstandigheid. In dat geval moet worden aangetoond dat: 1. de oorzaak van de prijsstijging niet kon worden voorzien door de opdrachtgever; 2. de wijziging minder bedraagt dan 50 procent van de totale opdrachtwaarde; 3. de algemene aard van de opdracht niet wordt gewijzigd; en 4. de omstandigheden zijn terug te voeren op een externe oorzaak. In de jurisprudentie is een aantal voorbeelden terug te vinden waarbij deze argumentatie stand heeft gehouden.

Het tekort aan grondstoffen door lockdowns in China, de sancties tegen Rusland, de oorlog in Oekraïne en het algemeen personeelstekort zijn voorbeelden van deze onvoorziene omstandigheden. Naar de jaarrekeningcontrole toe is het belangrijk om deze overwegingen vast te leggen (voor aanpassing van de overeenkomst) om het proces niet te vertragen.

DASHBOARD

ONTWIKKELINGEN

SIGNIFICANTE PROCESSEN

IT-BEHEER

BIJLAGEN

2.3 Aandachtspunten jaarrekening 2022

Impact van recente ontwikkelingen op de begroting en jaarrekening

11

Impact van de inflatie en de oorlog in Oekraïne op de begroting en jaarrekening In de afgelopen periode zijn de (macro)economische omstandigheden sterk gewijzigd ten opzichte van een jaar geleden. Er is sprake van een sterk oplopende inflatie en stijgende energieprijzen. Deze ontwikkelingen zijn ook merkbaar bij de gemeente. In de primaire begroting was initieel sprake van een positief saldo van € 2,1 miljoen. Rekening houdende met de in de bestuursrapportage benoemde ontwikkelingen en mutaties is er naar verwachting sprake van een positief begrotingssaldo van € 1,4 miljoen positief inclusief de bestaande onzekerheden. De verwerking van de laatste circulaires en de compensatie voor energietoeslag leidt tot een hogere Algemene Uitkering van € 3,9 miljoen. Tegenover de hogere compensatie staan ontwikkelingen van onder andere de stijging van uitvoeringskosten door meer vraag naar complexere zorg, de (crisis)opvang van vluchtelingen, stijgende bouwtijd en –kosten, hoge werkdruk en ziekteverzuim. Per saldo zal dit naar verwachting leidden tot extra lasten welke in de bestuursrapportage nader zijn toegelicht. Naast het feit dat bovenstaande ontwikkelingen een directe impact hebben op de bedrijfsvoering en het saldo in 2022 hebben deze ontwikkelingen tevens impact op (de waardering van) diverse balansposten in de jaarrekening 2022 en de begroting voor komende jaren.

Wij vragen de gemeente, wellicht ten overvloede, om bij het opstellen van de jaarrekening 2022 extra rekening te houden met de financiële doorvertaling van bovenstaande ontwikkelingen in de jaarrekening 2022. Naar onze verwachting hebben deze onder andere impact op de volgende (schattings)posten (niet limitatief): Waardering grondexploitaties (behoeftenonderzoeken, uitgangspunten, project specifieke risico’s, etc.) Onderbouwing voorzieningen  Waardering debiteuren  

Aanbestedingsrechtmatigheid Het totaal aan onrechtmatigheid als gevolg van de aanbestedingsregels bedroeg voorgaand jaar € 2,5 miljoen. Als gevolg van de omvang van deze fout is een controleverklaring met beperking afgegeven. Wij adviseren uw ambtelijke organisatie u tijdig en transparant te laten informeren over de stand van zaken aangaande de aanbestedingsrechtmatigheid en de opvolging van eerdere geconstateerde onrechtmatigheden. In de tussentijdse rapportages van uw VIC is terug te lezen dat dit project is opgestart en door middel van tweemaandelijkse rapportages opvolging aan wordt gegeven door meer monitoring. Betreffende rapportages worden in uw DT besproken. Per heden is de inschatting dat voor boekjaar 2022 de aanbestedingsonrechtmatigheid boven de tolerantiegrens uitkomt. De stand per oktober 2022 bedraagt naar schatting van uw VIC € 1,1 miljoen. De accountantscontrole hierop moet nog verder plaatsvinden.

DASHBOARD

ONTWIKKELINGEN

SIGNIFICANTE PROCESSEN

IT-BEHEER

BIJLAGEN

2.4 Rechtmatigheidsverantwoording 2023

Rechtmatigheidsverantwoording vanaf 2023

12

Invoering rechtmatigheidsverantwoording met ingang van 2023 In onze management letter en accountantsverslag van 2021 is uitgewerkt dat de rechtmatigheidsverantwoording ingevoerd wordt voor gemeenten. Dit besluit is nu door de Eerste en Tweede Kamer waardoor de rechtmatigheidsverantwoording wordt ingevoerd met ingang van 2023. Met ingang van verslagjaar 2023 wordt de gemeente Meppel dus zelf verantwoordelijk voor de rechtmatigheidsverantwoording en moet het college een (onderbouwde) mededeling doen omtrent de naleving van de rechtmatigheid. De wetswijziging is niet alleen een technische verandering maar vereist ook een cultuurverandering die effect heeft op de bedrijfsvoering van de organisatie. Deze invoering heeft gevolgen voor de (interne) beheersing van de organisatie en ook de rol van de accountant verandert hierdoor. Wij hebben deze verandering met u besproken en zien dit gezamenlijk als een kans voor uw organisatie en interne beheersing, waarbij het gesprek over de rechtmatigheid tussen het college en de raad dient te worden gevoerd. Aanvankelijk werd dit opgepakt gezamenlijk met meerdere omliggende gemeenten, maar die samenwerking is stopgezet. Dit betekent dat de gemeente Meppel dit zelfstandig moet organiseren. Uit de kadernota rechtmatigheid 2023 van de commissie BBV blijkt dat er een standaard model van de verklaring komt.

De rechtmatigheidsverantwoording wordt beperkt tot drie rechtmatigheidsaspecten. De gemeenteraad dient de tolerantiegrenzen te bepalen (tot een maximum van 3%). Deze verantwoording en bevindingen moeten worden opgenomen in de paragraaf bedrijfsvoering. Wij adviseren de tolerantiegrens aan te laten sluiten op de tolerantiegrens voor de jaarrekeningcontrole, te weten 1%. De wijziging in de verantwoordelijkheden ten aanzien van rechtmatigheid betekent niet dat er minder rechtmatigheidscontroles moeten worden uitgevoerd, maar dat het college deze in eerste instantie zelfstandig/intern moet inrichten, uitvoeren, controleren en rapporteren. Als accountant zullen wij het rechtmatigheidsoordeel en onderliggende werkzaamheden vervolgens toetsen. Daarmee controleren wij of de rechtmatigheidsverklaring van het college die opgenomen wordt in de jaarstukken een getrouw beeld geeft. Wij betrekken dit in ons oordeel bij de jaarrekening. Onze observaties over de voortgang van de voorbereidingen hebben we in een tabel op de volgende pagina schematisch weergegeven.

DASHBOARD

ONTWIKKELINGEN

SIGNIFICANTE PROCESSEN

IT-BEHEER

BIJLAGEN

2.4 Rechtmatigheidsverantwoording 2023

13

TE ZETTEN STAPPEN

Status invoering rechtmatigheidsverantwoording bij de gemeente Meppel

AFSPRAKEN COLLEGE GEMAAKT? ja

onderhanden

nee

De verantwoordingsgrens voor 2023 is bepaald



De verantwoordingsgrens voor 2023 is vastgesteld door de raad



Het normenkader 2023 is gereed



De financiële verordening is herzien



De financiële verordening bevat op welke wijze wordt omgegaan met begrotingsonrechtmatigheden



Het college en de raad hebben overeenstemming over de inhoud van de teksten inzake de rechtmatigheidsverantwoording in de paragraaf Bedrijfsvoering



Het interne controleplan van de gemeente bevat: 1. scoping van de processen en balansposten



2. risico-analyses per proces en post



3. controleaanpak



Wij concluderen dat de gemeente de eerste stappen naar de rechtmatigheidsverantwoording heeft gezet. De afgelopen periode heeft de gemeente Meppel aandacht gegeven aan de aankomende rechtmatigheidsverantwoording. De basis hiervoor betreffen de gezamenlijke tussentijdse rapportages van uw Verbijzonderde Interne Controle (VIC), CISO, functionaris gegevensbescherming en de concerncontroller. Het normenkader van 2022 is in september vastgesteld. Met ingang van 2023 zal niet meer het college, maar de gemeenteraad deze vaststellen in verband met de aanstaande wetswijziging omtrent de rechtmatigheidsverantwoording. Wij attenderen de gemeente Meppel om het normenkader 2023 aan te laten sluiten op de rechtmatigheidsverantwoording. Tevens dient naar aanleiding van de invoering van de rechtmatigheidsverantwoording de financiële verordening te worden aangepast. De VNG zal naar verwachting voor gemeenten daarbij voorbeelddocumentatie beschikbaar stellen. 2022 staat voor de gemeente Meppel in het teken van het invoeren en inrichten van de rechtmatigheidsverantwoording. Dit houdt in dat op specifieke onderwerpen zal worden gerapporteerd in lijn met de rechtmatigheidsverantwoording.

Hierbij is het ook van belang dat de rapportages van uw VIC hierin verder professionaliseren en het interne controleplan mede in relatie tot de rechtmatigheidsverantwoording wordt geüpdatet en met het college wordt gedeeld. Het opgestelde intern controleplan 2021 vanuit de samenwerking SZMW biedt hiervoor een belangrijke basis voor de uitvoering. Wij adviseren betreffend intern controleplan te actualiseren en te specificeren voor Meppel. Deze update is wenselijk ten behoeve van de invoering van de rechtmatigheidsverantwoording in 2023. DASHBOARD

ONTWIKKELINGEN

SIGNIFICANTE PROCESSEN

IT-BEHEER

BIJLAGEN

14

3. Bevindingen significante processen

3.1 Onze controle 3.2 Overzicht detailbevindingen 3.3 Effectiviteit processen

3.1 Onze controle (1/2)

15

Inleiding Zoals afgelopen jaren aangegeven, zijn de eisen die worden gesteld aan de accountantscontrole toegenomen. Wij vinden het daarom van belang dat wij inzicht geven in de normen en verwachtingen ten aanzien van onze controle en de vertaling hiervan specifiek voor de gemeente Meppel. In deze management letter hebben wij daarom in lijn met voorgaande jaren in detail uitgelegd op welke wijze wij de controle hebben ingericht en welke afwegingen wij daarbij maken. Wij doen dat door in deze paragraaf onze risico-inschatting, belangrijkste processen, controleaanpak en afwegingen te beschrijven.

Onderkende risico’s:  Management override  EU-aanbestedingen  Waardering grex  ICT

Onze inschatting van de risico’s en belangrijkste processen In het kader van de controle van de jaarrekening 2022 en onze aanpak hebben wij een zogenaamde initiële risico-inschatting gemaakt. Wij zien de volgende potentiële risico’s in de controle van de jaarrekening van de gemeente Meppel:  In onze controlestandaarden (NV COS) wordt expliciet het risico van management override (bewuste beïnvloeding door bestuur of management van de jaarcijfers) als belangrijk te onderkennen theoretisch risico benoemd. Als accountant moeten wij in onze werkzaamheden hier specifiek aandacht aan besteden. Wij zijn van mening dat binnen de gemeente de mogelijkheden, om buiten de getroffen interne beheersmaatregelen invloed uit te uitoefenen op de in de jaarrekening gepresenteerde uitkomsten, uitermate beperkt zijn. Om het resterende risico te beperken beoordelen wij schattingsprocessen en bijzondere journaalposten in detail.  Het niet naleven van de Europese aanbestedingsregels.  Onjuiste waardering bouwgronden in exploitatie (materiële post met verschillende schattingselementen) en dan met name de waardering van bedrijventerreinen. In onze aanpak is de insteek, daar waar mogelijk te steunen op de interne beheersing in de significante processen van de gemeente Meppel.

Dit noemen wij een zogenaamde systeemgerichte aanpak, waarbij wij kunnen steunen op toereikende maatregelen in uw processen en systemen. Daarbij maken wij, indien mogelijk, gebruik van uw eigen verbijzonderde interne controle (VIC). In het kader van onze controle hebben wij de volgende processen beoordeeld:

Wij beoordelen uw processen

    



Het Planning & Control-proces Het inkoopproces (incl. aanbestedingen) Het personeelsproces Het proces beheersing gemeentefonds Het proces subsidieverstrekkingen Het proces gemeentelijke belastingen

     

Het sociaal domein/uitkeringen in natura Het proces uitkeringen in geld Het proces grondexploitatie Het proces omgevingsvergunningen Het proces omtrent verbonden partijen Het proces omtrent IT/automatisering

Natuurlijk zijn er meerdere processen te onderkennen, ook met financiële gevolgen. Deze zijn in het kader van de jaarrekeningcontrole en onze risicoanalyse niet-significant en daarmee uit-scope.

DASHBOARD

ONTWIKKELINGEN

SIGNIFICANTE PROCESSEN

IT-BEHEER

BIJLAGEN

3.1 Onze controle (2/2)

Eisen aan Interne beheersing

16

Effectiviteit van de processen Zoals in voorgaande management letters uitgebreid beschreven, kunnen wij bij de controleaanpak voor de gemeente Meppel, overigens net als bij veel andere overheidsorganisaties, nog niet in zijn geheel kunnen steunen op de interne beheersing. Wij constateren dat de gemeente Meppel ook de afgelopen periode weer verdere stappen heeft gezet en actief stuurt op het oplossen van onze aanbevelingen voor uw processen en systemen. Dit vinden wij een goede zaak.

Gemeente Meppel is actief bezig met verbetering

De beheersorganisatie is in opzet voldoende

Verbijzonderde Interne Controle De samenwerking tussen ons als accountant en de Verbijzonderde Interne Controle (VIC) is gericht op verdere verbetering om te voldoen aan de rechtmatigheidsverantwoording. De interim-controle is soepel verlopen. Wij zien dat uw VIC, alvorens over te gaan tot het uitvoeren van de testaantallen, zich ook richt op het vastleggen en actualiseren van de procesbeschrijvingen en het uitvoeren en documenteren van de omvattende lijncontroles per proces. Conclusie In de overzichten op de volgende pagina’s geven wij weer in hoeverre de processen voldoen aan de genoemde normen (zie ook hoofdstuk 4 ten aanzien van IT) en welke detailbevindingen wij per proces hebben geconstateerd. Op basis van onze uitgevoerde werkzaamheden komen wij op dit moment tot de conclusie dat de beheersorganisatie van gemeente Meppel (voor zover relevant voor de controle van de jaarrekening) in opzet goed scoort, rekening houdend met de uitkomsten van de werkzaamheden van de VIC. Voor huidig boekjaar zijn in onze controleaanpak aanvullende gegevensgerichte werkzaamheden echter noodzakelijk of soms efficiënter. Zie voor de details van onze bevindingen en aanbevelingen de respectievelijke factsheets in Bijlage A.

DASHBOARD

ONTWIKKELINGEN

SIGNIFICANTE PROCESSEN

IT-BEHEER

BIJLAGEN

hoog 

3.2 Overzicht detailbevindingen

17

1

B1

6 IMPACT

2 4

KORTE OMSCHRIJVING DETAILBEVINDINGEN7 1

Inkopen & Aanbestedingen – Preventieve toetsing naleving aanbestedingsregels niet geborgd Beschreven risico door gemeente Meppel gemotiveerd en restrisico geaccepteerd

2

Inkopen & Aanbestedingen – Functiescheiding beheer crediteurenstamgegevens niet geborgd Beschreven risico door gemeente Meppel gemotiveerd en restrisico geaccepteerd

3

Sociaal domein – Zichtbaarheid aard en diepgang kwaliteitstoets WMO en Jeugd onvoldoende Nog niet volledig opgevolgd

3 5 4

 laag

7

 laag

KANS

hoog 

Hierboven is een grafische weergave opgenomen van onze visie op de mate van risico en impact van de geconstateerde bevindingen in relatie tot de maatregelen van interne beheersing in de relevante processen. In de bijlagen hebben wij de bevindingen nader toegelicht waarin wij ingaan op de bevinding, het risico voor de gemeente, mogelijke oplossingen ter adressering van de bevindingen en de eventuele gevolgen voor onze accountantscontrole.

Sociaal domein – Controle prestatielevering onvoldoende zichtbaar Beschreven risico door gemeente Meppel gemotiveerd en restrisico geaccepteerd

5

Subsidies – Proces vaststelling subsidies onvoldoende verwerkt in de workflow Opvolging, maar nog wel van toepassing voor boekjaar 2022

6

Subsidies – Onderscheid subsidies en overheidsopdrachten wordt niet zichtbaar getoetst Opgevolgd in boekjaar 2022

7

Beheersing verbonden partijen - Een proces inzake monitoring verbonden partijen is niet ingericht Nieuwe detailbevinding

B1

Logische toegangsbeveiliging – Vastgestelde autorisatiematrices ontbreken Beschreven risico door gemeente Meppel gemotiveerd en restrisico geaccepteerd

Voor de bevindingen die belangrijk zijn én een hoge impact hebben adviseren wij u deze zo spoedig mogelijk te adresseren. De detailbevindingen waarbij geen sprake is van een significante leemte zijn gerapporteerd in de bijlage B van de management letter 2021. Dit betreffen geaccepteerde risico’s door de gemeente Meppel. Deze bevindingen zijn in de management letter 2022 niet opnieuw gerapporteerd.

DASHBOARD

ONTWIKKELINGEN

SIGNIFICANTE PROCESSEN

IT-BEHEER

BIJLAGEN

3.3 Effectiviteit processen

18

OPZET/ BESTAAN AO/IB

IT General Controls – IT Beheer

VIC

T.O.V. 2021

Planning & Control



n.v.t



➔

Er is sprake van een adequaat functionerende planning & control-cyclus.

Inkopen & Aanbestedingen







➔

Controle crediteurenstamgegevens, preventieve controle aanbesteden en controle prestatielevering nog niet van voldoende niveau.

Personeel



n.v.t



➔

Proces personeelskosten is adequaat. Vanuit efficiency overweging kiest BDO voor een gegevensgerichte aanpak.

Sociaal Domein







➔

Controle op prestatielevering en kwaliteitstoets stappen gezet. Werkproces wordt niet afgedwongen. Om deze reden detailbevindingen nog aanwezig.

Uitkeringen







➔

Interne beheersingsmaatregelen in het proces vinden voornamelijk digitaal plaats. Door de hiaten in de IT-omgeving, is een gegevensgerichte aanpak noodzakelijk.

Subsidies



n.v.t.





Geen tussentijdse aansluiting tussen de subadministratie en financiële administratie. Wel sprake van gedeeltelijke opvolging van de detailbevindingen voor 2022.

Belastingen



n.v.t.



➔

Proces rondom belastingen is adequaat. Vanuit efficiency-overweging kiest BDO voor een gegevensgerichte aanpak.

Verhuur



n.v.t.



➔

Aandachtspunt ziet toe op het inrichten van voldoende AO/IB aangaande het proces verhuur. BDO kiest voor een gegevensgerichte controleaanpak.

Omgevingsvergunningen



n.v.t.



➔

Proces rondom omgevingsvergunningen is adequaat. Vanuit efficiency overweging kiest BDO voor een gegevensgerichte aanpak.

Grondexploitaties







➔

Actuele AO-beschrijving ontbreekt. VIC-werkzaamheden zien niet op de grondslag voor waardering van de grondexploitaties.

Beheersing verbonden partijen



n.v.t.



➔

De gemeente heeft geen procedure ingericht voor het onderhouden van contacten met en het monitoren van resultaten en ontwikkelingen van samenwerkingsrelaties/verbonden partijen.

ICT / automatisering







n.v.t

Ten aanzien van ICT zijn net als voorgaande boekjaren belangrijke aandachtspunten.

PROCES

 proces is ontoereikend

DASHBOARD

CONCLUSIE T.A.V. DE CONTROLEAANPAK

 proces is toereikend, maar één of meerdere beheersmaatregelen bestaan in de praktijk niet

ONTWIKKELINGEN

SIGNIFICANTE PROCESSEN

IT-BEHEER

 proces is adequaat/beheersmaatregelen bestaan

BIJLAGEN

19

4. Bevindingen IT-beheer

4.1 IT-beheer

4.1 IT-beheersing

Wij beoordelen de betrouwbaarheid en continuïteit IT voor zover relevant voor de controle van de jaarrekening

20

IT-werkzaamheden en onze controlerende rol Ingevolge artikel 2:393, lid 4 BW, dient de accountant in zijn verslag aandacht te besteden aan de bevindingen die naar voren zijn gekomen uit de beoordeling van de automatiseringsomgeving wat betreft de betrouwbaarheid en continuïteit van de geautomatiseerde gegevensverwerking. Wij benadrukken dat onze jaarrekeningcontrole gericht is op het geven van een oordeel omtrent de jaarrekening zelf en zich niet primair richt op het doen van uitspraken omtrent de betrouwbaarheid en continuïteit van de geautomatiseerde gegevensverwerking als geheel of van onderdelen daarvan. De IT-auditwerkzaamheden zijn geïntegreerd in de controleaanpak van de jaarrekening. Het inzicht in de betrouwbare werking van IT-systemen en applicaties en het gebruik daarvan door de organisatie, vormen een onderdeel van de kwaliteit van de interne beheersing en de administratieve organisatie. Algemene IT-beheersmaatregelen rond uw kritieke systemen leveren daarnaast een belangrijke bijdrage aan het mitigeren van de risico’s op onbeheerste wijzigingen, ongeautoriseerde handelingen en het optreden van verstoringen met impact op de gegevensverwerking.

Beoordeelde systemen:  Key2Financiën  Suite4SociaalDomein Detailbevindingen IT weergegeven in Bijlage B

De bevindingen zoals gerapporteerd in deze management letter zijn gericht geweest op het beoordelen van de opzet en het vaststellen van het bestaan van algemene IT-beheersmaatregelen. Wij hebben in samenwerking met onze IT-auditors een aantal van deze maatregelen beoordeeld voor Key2Financiën en Suite4SociaalDomein. Dit om de impact van de risico’s van onbeheerste wijzigingen, ongeautoriseerde handelingen en verstoringen te kunnen vaststellen voor die systemen die gekoppeld zijn aan de voor ons relevante processen en posten (zie hoofdstuk 3). In dit hoofdstuk geven wij een samenvatting van onze bevindingen voor de genoemde applicaties. De kern van deze bevindingen zijn als volgt: Geen formele autorisatiematrices aanwezig en toekenning op basis van voorbeeldgebruikers (zie bijlage A). Gebruikersreview onvoldoende vastgelegd (zie bijlage B in management letter 2021).  Geen zichtbare beoordeling op release notes en toegang tot service-ruimte is (zie bijlage B in management letter 2021).  

Op het moment dat de intern getroffen algemene IT-beheersmaatregelen rondom de applicaties in scope niet (bewijsbaar) voldoende aanwezig zijn, zijn in het kader van de controle van de jaarrekening 2022 aanvullende (gegevensgerichte) werkzaamheden noodzakelijk om aan te tonen dat er zich geen risico’s of fouten hebben voorgedaan. Voor 2023 is de ambitie van de gemeente Meppel actiepunten in gang te zetten om onderstaande detailbevindingen op te volgen.

DASHBOARD

ONTWIKKELINGEN

SIGNIFICANTE PROCESSEN

IT-BEHEERSING

BIJLAGEN

21

Bijlagen

A

Detailbevindingen processen

B

Detailbevindingen IT-beheer

22

A. Detailbevindingen processen

Detailbevindingen processen | Inkopen & Aanbestedingen

23

Bevinding

1. NALEVEN AANBESTEDINGSREGELS (Geaccepteerde detailbevinding)

KANS: Middel

Jaar van constatering

2016

IMPACT: Hoog

Onze bevinding/ constatering

Er is geen sprake van een sluitend systeem waarmee wordt gewaarborgd dat vooraf de juiste aanbestedingsvorm gekozen wordt. Binnen het inkoopproces wordt de controle op het al dan niet aanbesteden niet als afzonderlijke stap afgedwongen. Tevens is geen sprake van zichtbare vaststelling en vastlegging. Vanuit het proces aanbestedingen is het van belang voor de gemeente Meppel om in het inkoopproces (prospectief) een controle uit te voeren op het inkoopbeleid. Hierbij kan de gemeente Meppel op basis van de inschatting van inkopen (op basis van een inkoopkalender/contractenregister) een gedegen afweging in het aanbestedingsproces maken welke vorm van aanbesteding gevolgd moet worden. Sinds 2016 is de inkoopformatie met 3 FTE uitgebreid, wordt een jaarlijkse inkoopkalender in november opgesteld en wordt jaarlijks voorlichting gegeven over de procedure (ook tussentijds). In 2021 is het startformulier gedigitaliseerd en is gebleken dat de kans op onrechtmatige kleine inkopen (tot € 15.000) zeer gering is. Ook is er een contract management systeem (Vendorlink) aangeschaft en is de vulling daarvan gestart. In 2022 is Vendorlink in eerste instantie gevuld met de externe inhuur en daarna is begonnen met de overige contracten. Een spendanalyse op externe inhuur is uitgevoerd.

Vanwege de omvang voorgaand jaar van de aanbestedingsonrechtmatigheid achten wij het afdwingen van het werkproces voor 2022 nog relevant.

Risico/gevolg

Het onvoldoende dwingend inregelen van een workflow rondom inkopen/aanbesteden en een prospectieve weging middels een inkoopkalender gebaseerd op begroting, leidt tot het risico dat inkopen niet rechtmatig worden aanbesteed.

Standpunt/reactie gemeente Meppel

In 2022 zijn er al heel veel maatregelen genomen om de risico’s omlaag te brengen. Mocht dit alsnog onvoldoende blijken zullen extra maatregelen volgen waar nodig, zoals bijvoorbeeld het bijstellen van de mandaatregeling voor de inkoop van diensten en producten.

DASHBOARD

ONTWIKKELINGEN

SIGNIFICANTE PROCESSEN

IT-BEHEERSING

BIJLAGEN

Detailbevindingen processen | Inkopen & Aanbestedingen

24

Bevinding

2. BEHEER CREDITEURENSTAMGEGEVENS (Geaccepteerde detailbevinding)

KANS: Middel

Jaar van constatering

2016

IMPACT: Middel

Onze bevinding/ constatering

Mutaties op crediteurenstamgegevens (aanmaken/wijzigen) kunnen uitgevoerd worden door de financiële administratie en medewerkers bevoegd tot het zetten van de eerste handtekening bij betaling. Medewerkers bevoegd tot het zetten van de eerste handtekening beschikken daarnaast over de mogelijkheid facturen om de standaard routing heen op het budget van een budgethouder te verantwoorden en te verwerken tot en met de eerste handtekening in het betaalpakket. Het risico bestaat dat crediteurstamgegeven onjuist ingevoerd of gewijzigd worden wat kan leiden tot onjuiste en/of onrechtmatige uitstroom van middelen. De gemeente voert voorafgaand aan de betaling een controle op mutaties in de crediteurstamgegevens uit. Medewerker crediteurenadministratie controleert aan de hand van de binnengekomen factuur naam, rekeningnummer en bedrag. De inhoud en diepgang van de controle is achteraf niet zichtbaar.

Risico/gevolg

Het risico bestaat dat fictieve facturen om de routing heen klaargezet worden en inhoudelijk, door de medewerkers die de tweede handtekening zetten, onvoldoende aan de brondocumenten getoetst worden. Dit kan tot gevolg hebben dat onjuiste en onrechtmatige betalingen plaatsvinden met als mogelijk gevolg een onrechtmatige uitstroom van gelden.

Standpunt gemeente Meppel

De constatering dat mutaties op crediteurenstamgegevens (aanmaken/wijzigen) kunnen uitgevoerd worden door de financiële administratie en medewerkers die bevoegd zijn tot het zetten van de eerste handtekening bij betaling van een factuur is inderdaad mogelijk. Vanuit de cluster inkoop gaan we onderzoek doen naar de mogelijkheid om het proces van muteren op crediteurenstamgegevens zodanig in te richten dat dit niet meer mogelijk is. De gemeente acht de functiescheiding binnen het proces voldoende om het risico te mitigeren. De gemeente Meppel kiest voor aanvullende gegevensgerichte werkzaamheden.

DASHBOARD

ONTWIKKELINGEN

SIGNIFICANTE PROCESSEN

IT-BEHEERSING

BIJLAGEN

Detailbevindingen processen | Sociaal domein

25

Bevinding

3. ZICHTBAARHEID AARD EN DIEPGANG KWALITEITSTOETS WMO EN JEUGD

KANS: Middel

Jaar van constatering

2018

IMPACT: Middel

Onze bevinding/ constatering

Voor de gemeente Meppel is het van belang dat een aanvraag binnen het sociaal domein getoetst wordt aan de daarbij gestelde normen. In de workflow van de gemeente Meppel is gewaarborgd dat bij een aanvraag een kwaliteitstoets dient plaats te vinden. Deze stap is zichtbaar aanwezig in het proces en achteraf kan worden vastgesteld wie de kwaliteitstoets heeft uitgevoerd. Echter, wij kunnen niet vaststellen op welke elementen/normen de kwaliteitsmedewerker bij het goedkeuren heeft getoetst, omdat dit niet wordt gedocumenteerd. Dit heeft tot gevolg dat de kwaliteitstoets die de gemeente Meppel uitvoert achteraf niet inhoudelijk getoetst kan worden en daarom geen zekerheid geeft in de interne en externe controle. Hierdoor kan niet systeemgericht gesteund worden op de werkzaamheden van de gemeente Meppel. Gemeente Meppel heeft maatregelen getroffen om inhoud en diepgang van de kwaliteitstoets beter zichtbaar te maken. De gemeente maakt voor toetsing op aanvragen jeugdzorg en WMO gebruik van eigen kwaliteitschecklisten. De toetser vult de checklist in op basis van ‘Ja’, ‘Nee’ of ‘niet van toepassing’ antwoordmogelijkheden. De checklist dwingt toelichting op het gekozen antwoord niet af. Hierdoor is achteraf niet zichtbaar of de kwaliteitstoets inhoudelijk correct is uitgevoerd.

Risico/gevolg

Doordat de checklist toelichting op het gekozen antwoord niet afdwingt is achteraf onvoldoende zichtbaar en controleerbaar of aan de verordening voldaan wordt. Gezien de complexiteit van de regelgeving bestaat het risico op onjuiste en onrechtmatige toekenning en betaling van uitkeringen in het kader van de WMO.

Ons advies/ uw aanvullende werkzaamheden

Wij adviseren u de toepassing van de checklist te optimaliseren door toelichting op het gekozen antwoord af te dwingen. Zo is achteraf zichtbaar op welke basis een verstrekking toegekend is. Systeemgericht kan niet gesteund worden op de kwaliteitstoets binnen de workflows. Om die reden zullen wij, evenals voorgaand jaar, voor aanvragen achteraf gegevensgericht vaststellen of de kwaliteitstoets inhoudelijk correct is uitgevoerd.

Reactie management/ Opvolging

DASHBOARD

Het advies om een toelichting op het gekozen antwoord af te dwingen vergt veel capaciteit en is op dit moment praktisch niet uitvoerbaar. De gemeente gaat de procedure rondom de kwaliteitstoets en de bijbehorende rapportage beschrijven, waarbij duidelijk aangegeven wordt waarop gecontroleerd wordt, welke brondocumenten gebruikt worden en waarom de checklist zo ingevuld wordt. Deze procesbeschrijving wordt formeel vastgesteld door de teammanager.

ONTWIKKELINGEN

SIGNIFICANTE PROCESSEN

IT-BEHEERSING

BIJLAGEN

Detailbevindingen processen | Sociaal domein

26

Bevinding

4. CONTROLE PRESTATIELEVERING (Geaccepteerde detailbevindingen)

KANS: Middel

Jaar van constatering

2016

IMPACT: Middel

Onze bevinding/ constatering

De gemeente Meppel is verantwoordelijk voor het vaststellen van de prestatielevering van de zorg. De gemeente heeft in het proces een beheersmaatregel t.a.v. de zorgprestatielevering toegevoegd. Een medewerker van de gemeente stelt, in functiescheiding, middels een telefonisch gesprek vast of de zorg geleverd wordt en legt dit vast in een enquêteformulier. Het invullen van dit enquêteformulier wordt echter niet in alle gevallen afgedwongen. Daarnaast is de authenticiteit van in de inhoud van het enquêteformulier achteraf lastig vast te stellen. Gemeente Meppel heeft in 2020 maatregelen getroffen om controle op de prestatielevering ook voor jeugdzorg af te dwingen in het proces. In 2021 is deze maatregel uitgebreid en ook voor WMO toegepast. De gemeente maakt voor toetsing op de prestatielevering gebruik van een prestatieonderzoek-checklist. De kwaliteitsmedewerker controleert of voor alle dossiers een prestatieonderzoek geboekt is, hiermee waarborgt de gemeente volledige toetsing binnen de jeugdzorg en WMO. Het kwaliteitsonderzoek wordt niet getekend door de cliënt, de bevinding ten aanzien van de authenticiteit van de inhoud van het prestatieonderzoek blijft derhalve staan.

Risico/gevolg

Het risico bestaat dat de gemeente ten onterechte voor zorg betaalt en in de jaarrekening verantwoord, terwijl voor deze indicaties niet altijd de prestaties zijn geleverd.

Reactie management/ Opvolging

De gemeente gaat de procedure rondom het ZPO en de bijbehorende rapportage beschrijven, waarbij duidelijk aangegeven wordt waarop gecontroleerd wordt, welke brondocumenten gebruikt worden en waarom de checklist zo ingevuld wordt. Deze procesbeschrijving wordt formeel vastgesteld door de teammanager.

DASHBOARD

ONTWIKKELINGEN

SIGNIFICANTE PROCESSEN

IT-BEHEERSING

BIJLAGEN

Detailbevindingen processen | Subsidieverstrekkingen

27

Bevinding

5. VASTSTELLING SUBSIDIES

KANS: Middel

Jaar van constatering

2019

IMPACT: Middel

Onze bevinding/ constatering 2019

In de algemene subsidieverordening van gemeente Meppel zijn bepalingen opgenomen omtrent het vaststellen van verstrekte subsidies. Wij hebben geconstateerd dat er voor een aantal subsidies niet altijd een verzoek tot vaststellen van de subsidie ontvangen wordt. Vanuit de gemeente wordt hier niet altijd op gehandeld om te zorgen dat de vaststelling alsnog plaatsvindt. Tevens is geconstateerd dat bij subsidies groter dan € 50.000 niet altijd een accountantsverklaring bij de onderliggende stukken van de subsidieontvanger is gevoegd, terwijl dit wel noodzakelijk is vanuit de subsidieverordening (artikel 19). De gemeente heeft oude subsidies afgerond middels vaststellingsbeschikkingen. Alle subsidies ten aanzien van 2021 zijn als gevolg van de impact van corona middels een raadsbesluit vastgesteld.

Geconstateerde opvolging 2022

De gemeente heeft de inrichting van het proces geanalyseerd en aangescherpt. Een conceptbehandeling is inmiddels gereed. De praktische uitwerking is nog niet voor het boekjaar vast te stellen. Aanvullend wordt de subsidieverordening heroverwogen en vernieuwd, de gemeente verwacht dit eind 2022 gereed te hebben. Hierbij focust de gemeente zich niet op een specifiek subsidievolgsysteem, maar op verbetering van de AO van zowel Djuma als K2F subsidies en bijbehorende noodzakelijk samenhang. Totale opvolging van betreffende detailbevinding is daarom in 2023 vast te stellen.

Risico/gevolg

Het risico bestaat dat de gemeente Meppel haar eigen verordening niet naleeft met een (niet-financiële) onrechtmatigheid tot gevolg. Vooralsnog schatten wij het risico gemiddeld in, ook omdat uit de gegevensgerichte controle van afgelopen jaren geen bijzonderheden zijn gebleken.

Ons advies/ uw aanvullende werkzaamheden

Wij adviseren de gemeente Meppel de vaststelling van subsidies mee te nemen in de workflow binnen het subsidieproces en de opvolging voor boekjaar 2023 te waarborgen. Voor het waarborgen van de volledigheid van vaststellingen is het van belang dat de aansluiting tussen de subsidieadministratie en de financiële administratie procesmatig wordt gewaarborgd.

Reactie management/ Opvolging

Op uw specifieke advies met betrekking tot de vaststelling van subsidies in een workflowsysteem vast te leggen kunnen we melden dat we ons zaaksysteem Djuma daar inmiddels op hebben ingericht.

DASHBOARD

ONTWIKKELINGEN

SIGNIFICANTE PROCESSEN

IT-BEHEERSING

BIJLAGEN

Detailbevindingen processen | Subsidieverstrekkingen

28

Bevinding

6. OPGEVOLGD - TOETSING ONDERSCHEID SUBSIDIES EN (OVERHEIDS)OPDRACHTEN NIET GEBORGD

KANS: Middel

Jaar van constatering

2020

IMPACT: Middel

Onze bevinding/ constatering 2020

Op het moment dat een subsidie zich kwalificeert als een overheidsopdracht, is in principe de aanbestedingsrichtlijn van toepassing en dient de opdracht (Europees) aanbesteed te worden. De gemeente Meppel heeft in haar proces subsidieverstrekkingen geen processtap ingeregeld waarin voor subsidieaanvragen die kenmerken van (overheids)opdrachten vertonen getoetst wordt of sprake is van een subsidie of inkoop. De gemeente Meppel heeft opvolging gegeven door implementatie van het beoordelingsformulier subsidies. Dit beoordelingsformulier besteedt middels een afwegingskader specifieke aandacht aan de vraag of sprake is van een subsidie of een overheidsopdracht. Het beoordelingsformulier wordt vanaf oktober 2021 toegepast.

Geconstateerde opvolging 2022

Detailbevinding is voor 2022 opgevolgd. De toetsing is zichtbaar opgenomen in de checklist. Met betrekking tot het advies om een kwaliteitsmedewerker aan te stellen om toezicht te houden op de juiste naleving van het subsidiewerkproces is dit per heden belegd bij twee functionarissen. Hierbij is een splitsing gemaakt tussen financieel toezicht en inhoudelijk toezicht.

Risico/gevolg

Het risico bestaat dat de gemeente Meppel ten onrechte subsidies verstrekt waar sprake is van een (overheids)opdracht en daarmee niet conform geldende aanbestedingswetgeving handelt. De gemeente Meppel loopt hierbij het risico op (financiële) rechtmatigheidsfouten in de jaarrekening.

DASHBOARD

ONTWIKKELINGEN

SIGNIFICANTE PROCESSEN

IT-BEHEERSING

BIJLAGEN

Detailbevindingen processen | Beheersing verbonden partijen

29

Bevinding

7. EEN PROCES INZAKE MONITORING VERBONDEN PARTIJEN IS FORMEEL NIET OPGESTELD

KANS: Laag

Jaar van constatering

2022

IMPACT: Laag

Onze bevinding/ constatering

De gemeente Meppel heeft een nota verbonden partijen gedateerd uit 2015. De gemeente heeft geen procedure uitgeschreven voor het onderhouden van contacten met en het monitoren van resultaten en ontwikkelingen van samenwerkingsrelaties/verbonden partijen.

Risico/gevolg

Het risico bestaat dat de risico’s (beleidsmatig, juridisch, financieel) die de gemeente loopt uit hoofde van samenwerkingsrelaties onvoldoende worden beheerst.

Ons advies/ uw aanvullende werkzaamheden

Wij adviseren het risicomanagement rondom samenwerkingsrelaties vorm te geven en beleid hiervoor te ontwikkelen (actualisatie nota verbonden partijen). Dit zou kunnen door toezichtarrangementen per samenwerkingsrelatie op stellen en aan de hand hiervan periodieke monitoring uit te voeren. De monitoring (control) op de naleving van de arrangementen en rapportage over ontwikkelingen en voortgang zou kunnen worden belegd als onderdeel van de staande P&C-cyclus.

Reactie management/ Opvolging

De gemeente zal een procesbeschrijving Verbonden partijen opstellen en het opstellen van toezichtarrangementen per partij overwegen.

DASHBOARD

ONTWIKKELINGEN

SIGNIFICANTE PROCESSEN

IT-BEHEERSING

BIJLAGEN

30

B. Detailbevindingen IT-beheer

Detailbevindingen IT

31

Bevinding

B1. Logische Toegangsbeveiliging

KANS: Middel

Jaar van constatering

2019

IMPACT: Middel

Onze bevinding/ constatering

De gemeente heeft een formeel proces ingericht voor het toekennen, wijzigen en verwijderen van gebruikers en toegewezen autorisaties in K2F en SSD. In het verlengde hiervan zijn autorisatiematrices opgesteld, welke niet formeel zijn goedgekeurd door het management. Eveneens is de autorisatiematrix van K2F niet opgesteld op basis van organisatorische functies. Ten behoeve van het toekennen van autorisaties wordt gebruik gemaakt van een autorisatieformulier waarbij een voorbeeldgebruiker wordt aangehouden en dus geen autorisatiematrix wordt gebruikt om rechten toe te kennen. Om adequate procedures rondom het aanmaken, wijzigen en verwijderen van gebruikers met bijbehorende rechten in applicaties te borgen, dient periodiek een review, op basis van een autorisatie-/functiescheidingsmatrix plaats te vinden waarbij eveneens gecontroleerd wordt op de actualiteit van gebruikers en bijbehorende rechten. Dergelijke reviews zijn voor beide applicaties uitgevoerd. Wij hebben enkel niet kunnen vaststellen dat de gebruikerslijsten juist en volledig zijn gecontroleerd. Voorts beschrijft hoofdstuk 3.8 in ’Autorisatiebeleid gemeente Meppel’ een werkwijze waarbij een rol voor de controller en CISO in het proces van periodieke review is vastgelegd. Dit hebben wij niet als zodanig vast kunnen stellen.

De gemeente Meppel maakt gebruik van de applicatie WieisWie om de juiste wachtwoordeisen af te dwingen op Windows Active Directory. Voor een aantal eindgebruikers in K2F en SSD hebben wij vastgesteld dat zij hebben ingelogd met een wachtwoord dat ouder is dan 40 dagen (hetgeen wordt afgedwongen in de source code van WieisWie). Risico/Gevolg

Door het ontbreken van formele autorisatiematrices, het gebruik van voorbeeldgebruikers en het onvolledig vastleggen van periodieke reviews bestaat het risico dat medewerkers onterechte gebruikers en/of rechten bezitten en hierdoor de functiescheidingsprincipes van de gemeente Meppel mogelijk doorbroken kunnen worden met het risico op ongeautoriseerde handelingen. Door het ontbreken van adequate wachtwoordinstellingen kan niet meer gewaarborgd worden dat vastleggingen/mutaties kunnen worden herleid naar de juiste personen.

Standpunt/reactie gemeente Meppel

DASHBOARD

De gemeente Meppel is momenteel bezig met een actualisatie van het toegangsbeleid. Naar verwachting wordt dit Q1 2023 vastgesteld met o.a. beleid rondom door proces/systeemeigenaar vastgestelde autorisatiematrices per informatiesysteem en een vastgestelde autorisatieprocedure. Implementatie van beleid en procedure vindt plaats gedurende 2023 voor kritische informatiesystemen. In 2023 wordt het wijzigingsproces verder geactualiseerd waarbij ook aandacht wordt besteed aan vastlegging van de resultaten van (gebruikers-) testen en accordering op releasenotes.

ONTWIKKELINGEN

SIGNIFICANTE PROCESSEN

IT-BEHEERSING

BIJLAGEN

32

bdo.nl