06. BADO Verbijzondere Interne Controle

Op een later moment zal zowel vanuit het ministerie van BZK, de commissie BADO als de commissie BBV nader worden gecommuniceerd over vorm en inhoud van de rechtmatigheidsverantwoording. Normenkader Het normenkader bevat alle relevante regelgeving, waaraan getoetst moet worden en waarover straks gerapporteerd wordt in de rechtmatigheidsverantwoording. Het College stelt het normenkader op en stuurt dit ter kennisgeving aan de Raad/PS. De commissie BBV heeft voorschriften gegeven voor de opstelling van het normenkader in de Kadernota rechtmatigheid. Een decentrale overheid zal dus in ieder geval een helder beeld moeten hebben, welke regelingen onderdeel uitmaken van het normenkader. Dat geldt voor nu en de toekomst. Operationalisering Om het normenkader te kunnen gebruiken voor de interne beheersing, dient het normenkader te worden geoperationaliseerd. Het operationaliseren van het normenkader kan bijvoorbeeld worden vastgelegd in een toetsingskader. De operationalisering van het normenkader kan ook op andere manieren plaatsvinden, bijvoorbeeld in een intern controleplan of uitgewerkte checklists. Van belang is dat per regeling wordt aangegeven, welke artikelen relevant zijn en hoe de daarmee verband houdende beheershandelingen eruitzien.

Het gaat dan ook om wie welke rol heeft in de drie genoemde verdedigingslinies, bij de bewaking van de naleving van de relevante regels die onderdeel uitmaken van het normenkader. Rol van de externe accountant De accountant zal in zijn controleverklaring een oordeel geven over de getrouwheid van de rechtmatigheidsverantwoording, zoals die door het College opgenomen is in de jaarrekening. De Raad en PS moeten immers erop kunnen vertrouwen dat hetgeen het College opneemt in de rechtmatigheidsverantwoording, juist en volledig is. Overigens past een dergelijke verdeling van VIC

23

verantwoordelijkheden beter bij de gebruikelijke wijze waarop de accountant zijn werkzaamheden uitvoert. Het College legt verantwoording af en de accountant controleert de verantwoording, zodat leden van gemeenteraden en provinciale staten maar ook burgers daarop kunnen en mogen vertrouwen. VIC en ICS De rechtmatigheidsverantwoording moet onderscheiden worden van een In Control Statement (ICS). Bij de rechtmatigheidsverantwoording staat de vraag voorop of de decentrale overheid in overeenstemming heeft gehandeld met de relevante regelgeving en dus of de decentrale overheid in dit opzicht ook compliant was. De rechtmatigheidsverantwoording heeft daarmee een beperktere strekking dan de ICS. Een ICS is namelijk: ‘Een verklaring van het bestuur over de kwaliteit van de bedrijfsvoering, zoals de interne organisatie en automatisering, waarmee inzicht wordt verkregen in de mate waarin verschillende bedrijfsprocessen op orde zijn. 24 Een ICS is breder dan de rechtmatigheidsverantwoording en kan ook elementen omvatten zoals 25: • • • • • •

missie & visie; kernwaarden; systeem van risicomanagement; systeem van prestatiemeting; belangrijkste risicogebieden en beheersmaatregelen, ook voor zover deze niet betrekking hebben op de rechtmatigheid; etc.

Er is nadrukkelijk geen sprake is van het verplicht invoeren van een ICS conform de definitie van Klop en Van der Voort, maar het is natuurlijk alleen maar positief wanneer gemeenten, provincies en waterschappen stilstaan bij hun eigen ambitieniveau. Het opnemen van een positief geformuleerde ICS is moeilijk voorstelbaar, zonder een VIC die aan hoge eisen voldoet. Het streven naar het opnemen van een ICS door decentrale overheden, kan dus ook een belangrijke impuls betekenen voor de doorontwikkeling van de VIC.

24

Klop, P., & Van der Voort, B., Corporatie Governance, 2009.

25 Prinsen, M., Is Delfland in control? Onderzoek naar de criteria voor het format van een in control statement voor Delfland,

scriptie, juni 2018.

VIC

24

Voorbeeld: ICS van de gemeente Leiden De gemeente Leiden stelt jaarlijks een ICS op. In het Algemeen Controleplan 2018 is hierover onder meer het volgende opgenomen. “Via Leiden in control creëren we een lerende organisatie: een organisatie die systematisch interne controles uitvoert op de belangrijkste financiële processen en systemen en die fouten en verbeterpunten daarin zelf constateert, maar ook deze verbeterpunten in gang zet en bewaakt.” Expliciet is in de Leidse financiële verordening al enkele jaren bepaald, dat het College van B&W in de jaarstukken een in control statement opneemt, waarin het college sinds 2011 verantwoording aflegt over de mate waarin Leiden in control is. Er is dus een noodzaak om aantoonbaar in control te zijn. In artikel 36 van de Financiële verordening is dit als volgt verwoord: 1. 2. 3.

Het college zorgt, ten behoeve van het getrouwe beeld van de jaarrekening en de rechtmatigheid van de baten en lasten en de balansmutaties, voor de jaarlijkse interne toetsing van de getrouwheid van de informatieverstrekking en de rechtmatigheid van de beheershandelingen. Bij afwijkingen neemt het College maatregelen tot herstel. De kaders voor de interne toetsing worden jaarlijks vastgelegd in het Algemeen Controleplan. Op voordracht van het college stelt de raad dit plan jaarlijks vast. In de jaarstukken neemt het college ten behoeve van de raad op grond van de interne toetsing een in control verklaring op.

Intern is hiervoor het ‘Leiden in control’-traject ontwikkeld, vanuit een VNG-pilot gestart in 2009. Uit het Algemeen Controleplan 2018 – Kaders voor Leiden in control: Leiden in control is ons eigen instrument om een lerende organisatie te creëren en onderhouden. 1. Het gaat over getrouwheid en rechtmatigheid van de belangrijkste financiële processen en IT-systemen, aangevuld met enkele specifieke thema’s als integriteitsmanagement, IT-beheersprocessen en informatiebeveiliging, beheersing van fiscale processen en beheersing van (gedeeltelijk) uitbestede taken of diensten aan samenwerkingspartners. 2. Het gaat niet over controle, maar over control. 3. Het gaat niet over leren van fouten door foutherstel, maar over leren van fouten door procesverbetering te realiseren. Voor de op te stellen in control statement geldt dat de mate van in control wordt bepaald voor de belangrijkste financiële processen en IT-systemen, waarbij wordt vastgesteld in welke mate de: • opzet, het bestaan en de werking van daarin opgenomen interne beheersingsmaatregelen in voldoende mate de getrouwheid en rechtmatigheid van uit die processen en IT-systemen voortvloeiende baten, lasten en balansmutaties waarborgen.

• geformuleerde verbeterpunten voor de processen en systemen door de organisatie in gang worden gezet en worden bewaakt, m.a.w.: is er aantoonbaar sprake van een ‘lerende organisatie’?” Duidelijke rollen en verantwoordelijkheden voor ambtelijke organisatie enerzijds en IAF anderzijds bij Leiden in control: samenwerken richting het eindresultaat In het Algemeen Controleplan is voorts uitgewerkt hoe de organisatie en de interne auditfunctie gezamenlijk toewerken naar de in control statement (opgesteld vanuit de lijnorganisatie) en auditrapportage die daarbij hoort (vanuit de IAF). Waar de IAF in de afgelopen jaren onmisbaar is geweest om te komen tot een In control statement, is Leiden nu aan het verkennen hoe de afhankelijkheid van de IAF steeds meer kan worden afgebouwd, door het in control zijn steeds meer te borgen in de primaire processen en systemen.

VIC en automatisering Ten slotte wordt nog aandacht geschonken aan het aspect van de automatisering. Daar waar de belangrijkste financiële processen van decentrale overheden geautomatiseerd zijn, lijkt het ook voor de hand te liggen om in het kader van de VIC aan dit aspect uitgebreid aandacht te schenken. In het onderstaande kader is een passage opgenomen uit het Concern Interne Controleplan 2018, van de provincie Zuid-Holland.

VIC

25

Voorbeeld: Concern Interne Controleplan 2018 van de provincie Zuid-Holland Om een interne controle systeemgericht te kunnen uitvoeren moet gebruik gemaakt kunnen worden van de geautomatiseerde omgeving. Het is noodzakelijk om jaarlijks vast te stellen of de geautomatiseerde omgeving voldoende betrouwbaar en integer is. Tijdens dit onderzoek (de zogeheten EDP-audit) worden de opzet, het bestaan en de werking van verschillende beheersmaatregelen met betrekking tot deze geautomatiseerde omgeving beoordeeld. Ook in 2017 heeft het cluster AO/IC een aanzienlijk deel van dit onderzoek naar de betrouwbaarheid en integriteit van de geautomatiseerde omgeving van de provincie uitgevoerd. Het andere gedeelte is uitgevoerd door de EDP-auditors van de accountant. Ten tijde van het opstellen van het Concern Interne Controleplan 2018 was deze EDP-audit nog niet afgerond. De uitkomsten van deze EDP-audit zullen door de accountant worden opgenomen in het accountantsverslag dat wordt opgesteld naar aanleiding van de jaarrekeningcontrole 2017. Als deze uitkomsten aanleiding geven tot aanpassing van het CIC-plan 2018 zal dat gecommuniceerd worden met Provinciale Staten 26.

Ook in het kader van de VIC kunnen op termijn IT-toepassingen ingezet worden, die neerkomen op een vorm van Continuous auditing 27. Dit kan omschreven worden als: “a methodology for issuing audit reports simultaneously with, or a short period of time after, the occurrence of the relevant events.’ Deze toekomstige ontwikkeling maakt het mogelijk om de VIC een integraal onderdeel te laten zijn van de bedrijfsvoering binnen de geautomatiseerde omgeving, van een decentrale overheid. Op deze wijze kan een verbinding worden gelegd tussen enerzijds het verloop van de interne processen en anderzijds de (bijna) gelijktijdig en voortdurend uitgevoerde interne controle.

26 27

https://www.zuid-holland.nl/overons/bestuur-zh/gedeputeerde-staten/besluiten/@19531/concern-interne/

Alles, M., Brennan, G., Kogan, A., & Vasarhelyi, M. A. (2006). Continuous monitoring of business process controls: A pilot implementation of a continuous auditing system at Siemens. International Journal of Accounting Information Systems, 7(2).https://pdfs.semanticscholar.org/05c9/3b5c760b00099bbefd4dbf74116cb065e12a.pdf

VIC

26

Bijlage: Praktische invulling Vanuit de praktijk zijn enkele varianten mogelijk voor de inrichting voor de VIC. In deze bijlage worden enkele varianten toegelicht, in de wetenschap dat ook tussenvormen mogelijk zijn. Variant 1: Interne controlefunctie als centraal team Variant 2: Interne controlefunctie decentraal in de lijn Variant 3: Zowel een centrale interne controlefunctie als een decentrale uitvoering in de lijn Variant 4: Samenwerkingsverband Variant 1 Interne controlefunctie als centraal team Bij deze variant wordt alle interne controlecapaciteit centraal gepositioneerd. De betreffende afdeling (bijvoorbeeld de afdeling Concerncontrol) schrijft jaarlijks een intern controleplan, de werkprogramma’s en planning worden opgesteld, de deelwaarnemingen worden uitgevoerd en er wordt richting de proceseigenaren en richting de directie gerapporteerd. Interne controlemedewerkers voeren bij voorkeur geen andere taken uit binnen de decentrale overheid. Variant 2 Interne controlefunctie decentraal in de lijn Bij deze variant is zowel de lijn als de centrale afdeling verantwoordelijk voor het uitvoeren van (verbijzonderde) interne controles. De centrale capaciteit wordt beperkt gehouden tot kaderstelling en regie. De taken van huidige betrokken medewerkers worden verhelderd en krijgen meer prioriteit.

Ook in de lijn dient bezien te worden welke capaciteit benodigd is om tot een kwalitatief goede interne controle te komen. Daarbij kunnen centraal in de organisatie kwaliteitseisen worden gesteld aan de uit te voeren controles en kan hier ook op getoetst worden. Variant 3 Zowel een centrale interne controlefunctie als een decentrale uitvoering in de lijn Hierbij wordt een middenweg gekozen tussen de varianten 1 en 2. De verantwoordelijkheid voor het uitvoeren van de interne controles ligt in de lijn, bij de proceseigenaren. De centrale interne controlecapaciteit wordt verzwaard. Daarmee kan centraal een zwaardere regierol worden gepakt, wordt praktische ondersteuning gegeven aan de lijn bij de uitvoering van de interne controles en kan ten aanzien van werkprogramma’s, lijncontroles, werkprocessen en rapportering over werkzaamheden een bredere centrale inzet plaatsvinden. Variant 4 Samenwerkingsverband met andere decentrale overheden Bij de meeste decentrale overheden zijn functionarissen werkzaam, die zich bezighouden met de interne controle en de rechtmatigheid. Een optie is ook om op het terrein van interne controle meer met de andere decentrale overheden samen te werken. Dat kan in verschillende vormen en gradaties, bijvoorbeeld: VIC

27

• • • • •

VIC

uitwisselen interne controleprogramma’s en werkprogramma’s; gezamenlijke aanschaf en/of inrichting van een applicatie voor interne controle; uitwisseling van interne controlemedewerkers; gezamenlijke IAF-entiteit die interne controle rechtmatigheid uitvoert het beleggen van deze taak in een ambtelijk samenwerkingsverband.

28