Bijlage 5 Management Letter 2024 (ter informatie)
Tekst van het document
Managementletter 2024
Aan het college van burgemeester en wethouders van de gemeente Molenlanden Postbus 5 2970 AA BLESKENSGRAAF
Geacht college,
Onderwerp Managementletter 2024
Wij hebben met veel genoegen, als onderdeel van de controle van de jaarrekening 2024, de interim-controle voor uw gemeente uitgevoerd. Deze controle is primair gericht op de analyse en evaluatie van de interne beheersingsomgeving en de daarin opgenomen maatregelen van interne controle. In onze managementletter zijn onze bevindingen en aanbevelingen opgenomen. Tevens heeft deze controle als doelstelling om de aandachtspunten voor de jaarrekening 2024 te signaleren en onder uw aandacht te brengen.
Datum 20 november 2024
Wij merken op dat deze brief is opgesteld ten behoeve van het college van burgemeester en wethouders van de gemeente Molenlanden en niet zonder onze toestemming aan derden mag worden verstrekt.
Kenmerk 312020002.24.693
De bevindingen en aanbevelingen dienen te worden gelezen als constructieve aanwijzingen voor het college als onderdeel van het continue proces van het veranderen en verbeteren van de beheersing van de bedrijfsvoering en de kwaliteit van de jaarrekening. Graag willen wij deze rapportage en de daarin opgenomen bevindingen en aanbevelingen nader met u bespreken. Met vriendelijke groet, Publieke Sector Accountants B.V. ValidSigned door R. van Hattem Msc RA op 20-11-2024
Was getekend: R. van Hattem MSc RA
Publieke Sector Accountants B.V. is ingeschreven in het handelsregister van de Kamer van Koophandel te Utrecht onder nummer 69411409.
Inhoudsopgave Contact: De volgende personen kunnen benaderd worden bij vragen met betrekking tot deze managementletter:
Ralf van Hattem 06 – 1234 5175 rvanhattem@psa-ra.nl
Managementsamenvatting ............................. 1 1. Inleiding ..................................................... 3 2. Evaluatie van uw interne beheersing .......... 6 3. Procesbevindingen ................................... 10 4. Thema’s jaarrekeningcontrole .................. 12
Rashadell Varlack 06 – 2305 8971 rvarlack@psa-ra.nl
5. IT-omgeving ............................................. 19 6. Actualiteiten............................................. 25 7. Follow-up eerdere bevindingen ................ 30
Managementsamenvatting
Management samenvatting
Inleiding
Evaluatie interne beheersing
Proces bevindingen
Thema's jaarrekening
IT-omgeving
Actualiteiten
Follow-up bevindingen
1
Managementsamenvatting Algemeen beeld interne beheersing
In 2024 is uw gemeente gestart met de nieuwe applicatie (Unit4Finance) voor de financiële administratie. Een nieuwe administratie brengt veel nieuwe mogelijkheden met zich mee, maar zeker in de beginjaren ook uitdagingen. U kunt hierbij denken aan de juistheid en volledigheid van de dataconversie, de inrichting van grootboekrekeningen en kostenplaatsen, het koppelen van de administratie aan diverse subadministraties, het inregelen van logistieke toegangsbeveiliging en back up- en recovery procedures. Ook de processen en de beheersmaatregelen zijn in voorkomende gevallen hiervan afhankelijk. Bij deze controle hebben wij daarom verhoogde aandacht gegeven aan uw IT-omgeving. De voornaamste conclusie is dat uw interne beheersing in de basis op orde is. Wel zijn er een aantal punten waarop de interne beheersing verder versterkt kan worden. Naast de IT-omgeving zijn er een aantal andere overkoepelende aspecten die uw blijvende aandacht vragen. Wij benoemen hierbij het actief monitoren en communiceren van zowel interne als externe bevindingen binnen de ambtelijke organisatie (een totaalbeeld van de bevindingen die relevant zijn voor uw interne beheersingsomgeving) en een kwaliteitsimpuls aan de interne frauderisicoanalyse (met name de documentatie omtrent de totstandkoming van de frauderisicoanalyse en de interne communicatie met belanghebbenden).
De samenwerking met de ambtelijke organisatie hebben wij als prettig ervaren en de voorbereiding van de interim controle was goed op orde, met uitzondering van de uitwerking van de tussentijdse spendanalyse. Wij signaleren wel risico’s voor de middellange termijn als het gaat om de capaciteit die binnen de financiële functie (financiën en control) beschikbaar is.
Management samenvatting
Inleiding
Evaluatie interne beheersing
Procesbevindingen
Naar aanleiding van de interim controle hebben wij een aantal bevindingen die wij onder uw aandacht willen brengen: Wij hebben op basis van een analyse van uw IT-omgeving vastgesteld dat er nog geen sprake is van een functie-autorisatiematrix waarbij de rechten per functie zijn gedocumenteerd. Wij adviseren dit in te regelen en periodiek te toetsen. Het is van belang om een analyse uit voeren op activastaat. Waarbij wordt getoetst of alle activa met een boekwaarde in gebruik zijn. Bij de follow-up vragen wij met name uw aandacht voor de preventieve beheersing van rechtmatig inkopen, onderbouwing prestatielevering en toetsing afgifte Wmo-beschikkingen.
Aandachtspunten jaarrekening
Om de jaarrekeningcontrole over het boekjaar 2024 zo soepel mogelijk te laten verlopen, benoemen wij een aantal aandachtspunten die in dit kader van belang zijn: Afronding en uitwerking van de (tussentijdse) spendanalyse. Bij de interim controle was deze nog niet met voldoende diepgang uitgewerkt. Hiervoor hebben wij nadere afspraken gemaakt met uw VIC. De onderbouwing van de rechtmatigheidsverantwoording en dan met name de interne controle op de SiSa-bijlage en de begrotingsrechtmatigheid.
Proces bevindingen
Thema's jaarrekening
IT-omgeving
Actualiteiten
Follow-up bevindingen
2
1.
Inleiding
Management samenvatting
Inleiding
Evaluatie interne beheersing
Proces bevindingen
Thema's jaarrekening
IT-omgeving
Actualiteiten
Follow-up bevindingen
1. Inleiding Onze controleaanpak is risicogericht
In het kader van onze interim-controle hebben wij de interne beheersingsomgeving onderzocht, voor zover dit relevant is voor de bijdrage daarvan aan de getrouwheid en rechtmatigheid van de jaarrekening. De geselecteerde werkzaamheden zijn afhankelijk van de door de accountant toegepaste oordeelsvorming, met inbegrip van het inschatten van de risico's dat de jaarrekening een afwijking van materieel belang bevat als gevolg van fraude of fouten. Bij het maken van deze risico-inschattingen neemt de accountant de interne beheersing in aanmerking, die relevant is voor het opmaken van de jaarrekening en voor het getrouwe beeld daarvan. Deze risico-inschattingen hebben echter niet tot doel een oordeel tot uitdrukking te brengen over de effectiviteit van de interne beheersing. Hierdoor is onze analyse en evaluatie beperkter dan dat deze zou zijn geweest in het kader van een opdracht tot het geven van een oordeel omtrent de opzet, het bestaan, de effectiviteit en de efficiency van de interne beheersing als geheel en bestrijkt daarom niet noodzakelijkerwijze alle in de interne organisatie vervatte tekortkomingen. Daarnaast hebben wij een aantal aandachtspunten benoemd waarvan wij het zinvol achten daar bij de controle aandacht aan te besteden.
Wij hebben bij de interim-controle vooral aandacht besteed aan de inrichting van uw interne beheersomgeving en de financiële processen die relevant zijn in het kader van de controle van de jaarrekening. Hierna geven wij aan welke belangrijkste risicogebieden en aandachtspunten voor de jaarrekeningcontrole 2024 van uw gemeente zijn geïdentificeerd.
Aandachtspunten voor controle en rapportage
Voor de jaarrekeningcontrole 2024 onderkennen wij een aantal aandachtspunten, die een verhoogd (bruto) risico met zich mee (kunnen) brengen op een materiële fout in uw jaarrekening en die een mogelijke impact op de bedrijfsvoering kunnen hebben. Opname van een risicogebied of aandachtspunt in deze opsomming betekent niet dat daadwerkelijk sprake is van risico’s die zich daadwerkelijk voordoen, maar zijn enkel bedoeld om aan te geven dat wij hier tijdens onze controle (extra) aandacht aan zullen besteden. De risicogebieden zijn hieronder weergegeven.
De voortgang en status van de (noodzakelijke en gewenste) verbeteringen met betrekking tot de kwaliteit van de interne beheersing in relatie tot de af te geven rechtmatigheidsverantwoording door het college. De follow-up ten aanzien van eerder gerapporteerde aandachtspunten vanuit de interne en externe controle. De actualisatie van de (fraude-)risicoanalyse. De actualiteit van de (financiële) administratie. De verantwoording en waardering van voorzieningen in relatie tot de aanwezigheid van actuele onderbouwingen. Investeringen en investeringsbijdragen: het bestaan en waardering als gevolg van schattingselementen (inschatting van levensduur en restwaarden). De naleving van de (Europese) aanbestedingsregels. Het risico op het ontbreken van een prestatieverklaring in het inkoopproces.
Management samenvatting
Inleiding
Evaluatie interne beheersing
Proces bevindingen
Thema's jaarrekening
IT-omgeving
Actualiteiten
Follow-up bevindingen
Het risico op een onrechtmatige handmatige betaling. Betaalproces vanwege de potentiële (fraude-)risico’s. Corruptierisico’s. Vanuit de controlerichtlijnen dienen wij specifiek aandacht te besteden aan de mogelijkheid die het management heeft om specifieke controlemaatregelen te omzeilen. Dit risico is niet uniek voor uw gemeente. Belangrijke voorbeelden zijn de memoriaalboekingen (handmatige (correctie)boekingen) en posten die gezien hun aard schattingselementen in zich hebben. De waardering en risico inschatting met betrekking tot lopende grondexploitaties, inclusief de geldende regels rondom het tussentijds winstnemen. Uw fiscale positie in het kader van de vennootschapsbelasting (Vpb). Risico’s en onzekerheden in het sociaal domein, waaronder de onzekerheden rondom de Wmo en Pgb’s. Voortgang van de (geplande) kwaliteitsimpulsen aan uw IT-omgeving.
Wij hebben ons tijdens de interim-controle gericht op de opzet en het bestaan van de door u ingerichte beheersingsomgeving, die de geïdentificeerde risico’s moeten verkleinen. In het verlengde van het voorgaande hebben wij ook in hoofdstuk 4 nog een aantal aandachtspunten voor de jaarrekening benoemd.
Materialiteit
De materialiteitsbepaling bij gemeente Molenlanden is gebaseerd op het Besluit Accountantscontrole Decentrale Overheden (BADO). Voor fouten is deze gebaseerd op 1% van de totale lasten inclusief dotaties aan de reserves en voor onzekerheden op 3% van de lasten inclusief stortingen in reserves. Bij onze controleplanning zijn wij vooralsnog uitgegaan van de cijfers volgens de begroting 2024. Wanneer de jaarrekening 2024 beschikbaar is, zullen wij onze materialiteitbepaling op basis van de werkelijke cijfers over 2024 herzien. Bij de interim-controle is derhalve uitgegaan van:
Bron: begroting 2024*
Fouten
Goedkeuringsmaterialiteit
Onzekerheden € 1.300.000
€ 3.900.000
*de totale lasten (incl. stortingen in de reserves) op basis van de primaire begroting 2024 bedragen € 130.228.000
Wij hebben vastgesteld dat gemeente Molenlanden tijdens de uitvoering van de interim-controle nog niet beschikt over een door de gemeenteraad vastgesteld normenkader. Uw gemeente is momenteel bezig met het actualiseren van het normenkader 2024. Het is van belang dat het normenkader voor de uitvoering van de jaarrekeningcontrole 2024 door de gemeenteraad is vastgesteld. Voor de rechtmatigheidsverantwoording hanteert het college in afstemming met de gemeenteraad een verantwoordingsgrens van 1%. Voor de controle op naleving van de WNT hanteren wij een lagere materialiteit. Deze specifieke materialiteitsberekening is verplicht gesteld vanuit het controleprotocol WNT.
Management samenvatting
Inleiding
Evaluatie interne beheersing
Proces bevindingen
Thema's jaarrekening
IT-omgeving
Actualiteiten
Follow-up bevindingen
2.
Evaluatie van uw interne beheersing
Management samenvatting
Inleiding
Evaluatie interne beheersing
Proces bevindingen
Thema's jaarrekening
IT-omgeving
Actualiteiten
Follow-up bevindingen
Uw interne beheersing ontwikkelt zich positief
6
2. Evaluatie van uw interne beheersing Onze controleaanpak is naast het controleren van de jaarrekening gericht op het verbeteren van uw bedrijfsvoering inclusief digitalisering hiervan. Onze evaluatie van de interne beheersing van uw gemeente is dat de basis op orde is. In onze controle en beoordeling van uw interne beheersing hanteren wij het zogenaamde “3-lines of defence model” (de drie verdedigingslinies). Dit model geeft handvatten om te beoordelen waar in de interne beheersing risico’s worden ondervangen:
In de eerste lijn: in het primaire proces, onder verantwoordelijkheid van de proceseigenaar (interne controle/interne beheersing in het proces). In de tweede lijn: in de ondersteunende processen zoals financiën, HR en projectmanagement, waar “checks and balances” zijn ingericht om fouten te signaleren (interne controle). In de derde lijn: in uw verbijzonderde interne controle (VIC) achteraf.
Uw gemeente heeft dit model in basis ingevoerd en is bezig met het verder ontwikkelen en implementeren hiervan. Deze ontwikkelingen zijn positief, maar vragen tegelijkertijd om blijvende investeringen in de ontwikkeling van uw medewerkers, zodat zij de benodigde vaardigheden verder kunnen versterken. Zeker ook omdat wij een sterke drive bij deze medewerkers zien om zich verder te ontwikkelen en “het goede” te doen.
Uw gemeente heeft aandacht voor de monitoring van interne en externe bevindingen. Deze monitoring mag frequenter worden uitgevoerd
In de managementletters en accountantsverslagen van voorgaande jaren, maar ook in interne controleverslagen, zijn aanbevelingen opgenomen om de bedrijfsvoering van uw gemeente te versterken en de risico’s te verminderen. Wij hebben kennis genomen van uw actielijst. Ons advies is om niet alleen de externe bevindingen te monitoren en de opvolging hiervan uit te werken ten tijde van de interim controle, maar dat ook interne bevindingen worden gemonitord. Tevens adviseren wij hier periodiek over te rapporteren. Naar onze mening zou het sterk zijn als u de follow-up van alle controlebevindingen regelmatiger monitort, nog concretere acties benoemt en hierover rapporteert, bijvoorbeeld in het periodieke overleg met het college en indien wenselijk met de gemeenteraad. Voor de gemeenteraad (of auditcommissie) is deze rapportage met name een instrument om (meer) gevoel te krijgen bij het tempo waarin de directie de versterking van de interne beheersing doorvoert.
Management samenvatting
Inleiding
Evaluatie interne beheersing
Proces bevindingen
Thema's jaarrekening
IT-omgeving
Actualiteiten
Follow-up bevindingen
Fraude kan een groot effect hebben op de reputatie van organisaties en kan tot grote financiële schade leiden. Het is daarom zowel in uw belang als dat van al uw belanghebbenden, dat in het jaarverslag (de paragraaf bedrijfsvoering) expliciet aandacht wordt besteed aan het beheersen van frauderisico’s. Van u, zowel het bestuur als de directie, wordt verwacht dat u frauderisico’s in kaart brengt en adequate maatregelen neemt om deze te beheersen. Omdat bij fraude sprake is van bewust handelen van personeel of management, is een goede frauderisicoanalyse ook in uw belang, ter voorkoming van daadwerkelijke fraude. Wanneer u vervolgens informatie geeft over de wijze van beheersing (bijvoorbeeld in het jaarverslag) en indien van toepassing over vermoedens van fraude, over onderzoek dat is verricht en over maatregelen om herhaling te voorkomen – voor zover deze informatie openbaar is –, draagt dit bij aan het vertrouwen van belanghebbenden in uw gemeente. In 2024 heeft uw gemeente de frauderisicoanalyse geactualiseerd. Wij zien de aandacht voor frauderisico’s binnen uw organisatie als een positieve ontwikkeling. De door u zelf uitgevoerde frauderisicoanalyse vormt voor controlerend accountants het startpunt van hun werkzaamheden ten aanzien van frauderisco’s. Voor de verdere ontwikkeling van uw frauderisicoanalyse zien wij nog een aantal verbeterpunten:
U beschrijft risico’s en interne beheersingsmaatregelen in uw analyse, deze op onderdelen concreter gemaakt worden. Wij adviseren u de interne beheersingsmaatregelen vast te leggen conform: de uitwerking van de ‘6 W-vragen’. Om de link met de interne werkplannen verder te verbeteren adviseren wij u om tevens vanuit de risicoanalyse een koppeling te maken. Vervolgens zou u de conclusies over het bestaan van interne beheersmaatregelen in het kader van fraude, vanuit uw werkplannen zichtbaar kunnen maken in uw analyse. Wij adviseren om ook het proces van totstandkoming van de frauderisicoanalyse te documenteren en hierbij met name te zorgen dat alle relevante actoren bij dit proces te betrekken.
Management samenvatting
Inleiding
Evaluatie interne beheersing
Proces bevindingen
Thema's jaarrekening
IT-omgeving
Actualiteiten
Follow-up bevindingen
7
Aandachtspunten bij het verder verbeteren van uw frauderisicoanalyse
Verduidelijking van criteria voor het beoordelen van overschrijdingen (wel of niet acceptabel) Aanscherping van de modelverantwoording (van beoordelen naar beschouwen) Een herziene toelichting op het bestuurlijk belang van rechtmatigheid voor bestuursleden Verschuiving van M&O-gerelateerde bevindingen, die zijn aangepast in de jaarrekening, naar de paragraaf bedrijfsvoering
Daarnaast was er eerder aangekondigd dat de grondslag voor de verantwoordingsgrens mogelijk wordt aangepast naar totale lasten exclusief reservetoevoegingen. Deze aanpassing wordt echter uitgesteld tot na de besluitvorming over wijzigingen in het BBV en het BADO. Inhoudelijk veranderd er niet veel ten opzichte van de uitgangspunten die u vorig jaar al heeft toegepast. Uw gemeente zal binnenkort een gewijzigde financiële verordening aanbieden in het bestuur waarin de uitgangspunten voor wanneer onderschrijdingen van de lasten en afwijkingen van de baten tijdig gemeld zijn (en daarmee niet als onrechtmatig classificeren) duidelijk uiteengezet worden. Hierbij is het uitgangspunt dat het melden in de jaarrekening geldt als tijdig melden. Dit is ook in de nieuwe kadernota als een optie gegeven. Uiteraard verdient het aanbeveling aan de gemeenteraad te (blijven) rapporteren over begrotingsafwijkingen en eventuele andere onrechtmatigheden. Dit draagt bij aan het vroegtijdig onderkennen en mogelijk wegnemen van onrechtmatigheden en voorkomt dat rechtmatigheidskwesties uitsluitend in de jaarstukken aan de orde komen.
Management samenvatting
Inleiding
Evaluatie interne beheersing
Proces bevindingen
Thema's jaarrekening
IT-omgeving
Actualiteiten
Follow-up bevindingen
8
In oktober 2024 is de definitieve kadernota rechtmatigheid 2024 gepubliceerd. De commissie BBV heeft naar aanleiding van het Rechtmatigheidsverantwoording: u heeft de eerste jaar met de rechtmatigheidsverantwoording (2023) diverse aanpassingen doorgevoerd in de nieuwe kadernota. De belangrijkste wijzigingen richten zich op: ervaringen uit 2023 meegenomen Een voorbeeld voor het inzichtelijk maken van begrotingsonrechtmatigheden
9
3.
Procesbevindingen
Management samenvatting
Inleiding
Evaluatie interne beheersing
Proces bevindingen
Thema's jaarrekening
IT-omgeving
Actualiteiten
Follow-up bevindingen
3. Procesbevindingen Analyse van uw activastaat
Uw gemeente is in 2024 overgaan naar een nieuw financieel systeem, Unit4Finance. Tijdens de interim-controle 2024 hebben wij van uw gemeente begrepen dat u nog geen (integrale) analyse heeft uitgevoerd op uw activastaat, behoudens de steekproeven op de investeringen die de externe accountant trekt voor de gegevensgerichte controlewerkzaamheden. Met een (integrale) analyse doelen wij op een beoordeling van de activa van uw gemeente naar de stand per 31 december van het boekjaar om vast te stellen dat alle activa met een boekwaarde nog in gebruik is van uw gemeente. Wij adviseren u om vooralsnog vast te stellen dat alle activa met een boekwaarde nog in gebruik zijn bij de gemeente voorafgaand aan het opstellen van de jaarrekening. Eventuele uitkomsten kunnen dan nog verwerkt worden in de jaarrekening.
Management samenvatting
Inleiding
Evaluatie interne beheersing
Proces bevindingen
Thema's jaarrekening
IT-omgeving
Actualiteiten
Follow-up bevindingen
4.
Thema’s jaarrekeningcontrole
Management samenvatting
Inleiding
Evaluatie interne beheersing
Proces bevindingen
Thema's jaarrekening
IT-omgeving
Actualiteiten
Follow-up bevindingen
Europese aanbestedingen spendanalyse
12
4. Thema’s jaarrekeningcontrole De spendanalyse over 2024 is met onvoldoende diepgang uitgewerkt. Uw spendanalyse (op basis van de kostenraming bij aanbesteding en de gerealiseerde uitgaven) waarin wordt vastgesteld of de destijds gemaakte aanbestedingskeuze juist is geweest, vormt het sluitstuk van uw controle van de rechtmatigheid van de aanbestedingen. Net als vorig jaar heeft uw VIC een interne beoordeling uitgevoerd op de spendanalyse van het vakteam inkoop en deze afgestemd met uw gemeente. Wij hebben tijdens de interim controle de spendanalyse beoordeeld. Hierbij hebben wij geconstateerd dat deze nog nader geprofessionaliseerd dient te worden. Wij hebben dit besproken met uw medewerkers en dit zal worden meegenomen in de afsluitende werkzaamheden voor 2024. De stappen die uw organisatie nog moet zetten in het kader van de jaarrekeningcontrole (tussen september en de jaarrekening) zijn de volgende:
Voorzieningen: stel positionpapers op en laat hier een zichtbare kritische interne toetst op uitvoeren
Het maken van een nieuwe dump uit de financiële administratie na het sluiten van de administratie over het boekjaar 2024. Hierbij dient de aansluiting met de jaarrekening zichtbaar te worden vastgesteld. In de tussentijdse analyse zaten er nog een aantal verschillen. Zorg voor een verschillenanalyse op opdrachtniveau om verschillen tussen de spendanalyse die voor het eerste halfjaar is uitgevoerd en de data bij de jaarrekening te verklaren. Beoordeel of de eerdere conclusie ten aanzien van de rechtmatigheid van een opdracht verandert door de nieuwe data. Draag zorg voor een tijdige aanlevering van de laatste periode van uw spendanalyse zodat er tijdig aangegeven kan worden voor welke opdrachten er aanvullende stukken nodig zijn (inkoopdossier, ramingen, overeenkomsten e.d.).
Voorzieningen zijn schattingsposten, waar op basis van de aard en de omvang van deze post in samenhang met de gehanteerde uitgangspunten in meer of mindere mate sprake is van schattingsonzekerheden. Zoals wij in de inleiding kenbaar maakten, onderkennen wij een verhoogd (bruto) risico bij de voorzieningen vanwege het schattingselement hierin. Om de risico’s zo klein mogelijk te maken, is het van belang dat u duidelijk documenteert hoe de stand van de voorziening is bepaald, wat de uitgangspunten zijn geweest om deze te bepalen en welke onzekerheden er mogelijk nog in zitten. De nadruk hierbij ligt op de documentatie van het schattingselement en de wijze waarop het management expliciet stelling neemt bij het onderbouwen en motiveren van de uitgangspunten rondom deze schattingen en daarmee de voorzieningen. Wij verzoeken u daarom deze onderbouwing en motivatie in een zogenaamd position paper op te nemen als onderdeel van het balansdossier 2024 dat ten grondslag ligt aan de jaarrekening 2024. Wij zullen u daartoe een “format” verstrekken.
Management samenvatting
Inleiding
Evaluatie interne beheersing
Proces bevindingen
Thema's jaarrekening
IT-omgeving
Actualiteiten
Follow-up bevindingen
Een beschrijving van de gehanteerde uitgangspunten en schattingen bij het bepalen van de voorziening. Een beschrijving van de getroffen beheersmaatregelen. Een inschatting van de schattingsonzekerheid (gevoeligheidsanalyse, waarbij verschillende scenario’s zijn doorgerekend om een indruk te krijgen van de maximale bandbreedte van de voorziening). Een standpunt van de organisatie inclusief een toetsing aan de geldende wet- en regelgeving en de getrokken conclusies.
Vervolgens dient op de opgestelde position papers een kritische interne toets plaats te vinden. Uit de vastlegging dient expliciet te blijken welke veronderstellingen en schattingen ten grondslag liggen aan die voorzieningen en dat dit zichtbaar is gechallenged en besproken is op het juiste niveau in de organisatie. Hierbij verwachten wij ook de zichtbare validatie van in het verleden gemaakte schattingen met gerealiseerde prestaties en uitgaven (back testing).
Claims en geschillen
Jaarlijks vragen wij ten behoeve van de controle van de jaarrekening bij u de lopende claims en geschillen op. Deze informatie krijgen wij vervolgens voor de start van de controle van de jaarrekening. Hieronder een aantal aandachtspunten hierbij:
Grondexploitaties: zorg voor een volledig dossier en laat hier een zichtbare kritische interne toets op uitvoeren
Draag zorg voor een inhoudelijke analyse en een conclusie: wat gaat u er mee doen in de jaarrekening in overeenstemming met de geldende verslaggevingsregels? Het is van belang uw acties te documenteren en te onderbouwen, is er bijvoorbeeld aanleiding tot het vormen van een voorziening of volstaat u met het opnemen van een reservering in het weerstandsvermogen of anderszins. Draag zorg voor een tussentijds overzicht van claims en geschillen (tussen opstellen jaarrekening en afronding controle). Het kan zo zijn dat bepaalde claims en geschillen niet meer bestaan of dat deze ook daadwerkelijk leiden tot een uitstroom van middelen die effect heeft op het resultaat in de jaarrekening.
Als onderdeel van onze risicoanalyse is inzicht nodig in de belangrijkste (schattings)risico’s bij de waardering en tussentijdse winstneming van de grondexploitatie en de hiermee samenhangende maatregelen van interne beheersing. Voor schattingen is onder andere het volgende van belang: Zijn de gegevens die uw gemeente gebruikt zichtbaar aangesloten met door het college en de raad goedgekeurde besluiten en budgetten en zijn ze in lijn met strategische en operationele plannen, zoals de nota grondbeleid? Zijn de belangrijkste veronderstellingen waarop de schatting berust (programma, planning, prijs, parameters (zoals rente en inflatie en plankosten) herijkt aan gewijzigde marktomstandigheden, adequaat vastgelegd en goedgekeurd door het college en/of de raad, inclusief alternatieve scenario’s? Kunt u de belangrijkste veronderstellingen onderbouwen met betrouwbaar bewijsmateriaal en externe bronnen?
Management samenvatting
Inleiding
Evaluatie interne beheersing
Proces bevindingen
Thema's jaarrekening
IT-omgeving
Actualiteiten
Follow-up bevindingen
13
Een position paper bevat onder andere de volgende informatie:
Wat ligt er vast van de manier waarop u bewaakt dat (belangrijke) gebeurtenissen na balansdatum zijn betrokken in de schatting? Hoe gaat uw gemeente om met het verklaren van verschillen tussen werkelijke uitkomsten en eerder gedane schattingen, bijvoorbeeld uit een voorgaand boekjaar? Is hier een rapportageprocedure voor die illustreert op welke manier u de kwaliteit van de schattingen uit het voorgaand boekjaar betrekt in de monitoring en versterking van het schattingsproces? Wat is de rol hierbij van het college en de raad? Wat meldt de toelichting op de jaarrekening over het schattingsproces en is deze toelichting in lijn met geldende voorschriften?
In het kader van een efficiënte controle dienen de interne controlewerkzaamheden voorafgaand aan de externe jaarrekeningcontrole afgerond te zijn. Met uw organisatie zijn afspraken gemaakt over het tijdig uitvoeren van een zichtbaar kritische toets op de grondexploitaties en het zichtbaar vastleggen van de boekwaarde en berekeningen per 1-1-2025. Waardering In het kader van de waardering van de voorraadpositie maakt u gebruik van taxateurs. Bij de interne beoordeling van de taxaties is het belangrijk dat de volgende aspecten worden meegenomen.
De evaluatie van de competentie (beëdiging), de capaciteiten en de objectiviteit van de taxateur. Welke opdracht heeft u verstrekt aan de taxateur? Welke keuzes zijn mogelijk en wie beslist? Wie toetst het werk van de ingeschakelde taxateur?
Voorafgaand de jaarrekeningcontrole verwachten wij dat geactualiseerde exploitatieopzetten (inclusief financiële doorrekeningen) aanwezig zijn. Hierbij wordt ingegaan op de vraag of de boekwaarde kan worden terugverdiend en of de exploitaties positief zullen eindigen. Dit heeft mogelijk consequenties voor de waardering. Daarbij dient beoordeeld te worden of de gehanteerde parameters (rente, verkooptempo grond, grondprijzen, etc.) nog realistisch zijn in de huidige economische omstandigheden. De uitkomsten van deze analyse worden gebruikt om de waardering van de grondpositie indien noodzakelijk aan te passen. Wij adviseren u specifiek de lokale ontwikkelingen te blijven volgen en periodiek te analyseren c.q. te onderbouwen of de vastgestelde aannames (programma, prijs en planning) bijgesteld moeten worden. Bij de jaarrekeningcontrole verwachten wij dat u een memorandum parameters grondexploitatie opstelt en middels objectieve rapportages uw keuzes hierin motiveert en vast laat stellen door het college.
Management samenvatting
Inleiding
Evaluatie interne beheersing
Proces bevindingen
Thema's jaarrekening
IT-omgeving
Actualiteiten
Follow-up bevindingen
14
Winstneming Graag ontvangen wij voorafgaand aan de jaarrekeningcontrole de berekening omtrent winstneming bij diverse grondexploitaties. Wij vragen hierbij uw aandacht voor het volgende:
Een beschrijving van de gehanteerde uitgangspunten en schattingen. Een inschatting van de project specifieke risico’s (gevoeligheidsanalyse, waarbij verschillende scenario’s zijn doorgerekend om een indruk te krijgen van de maximale bandbreedte), die mogelijk invloed heeft op de tussentijdse winstneming. Een standpunt van de organisatie inclusief een toetsing aan de geldende wet- en regelgeving en de getrokken conclusies.
Notitie grondbeleid in begroting en jaarstukken In december 2023 heeft de commissie BBV de nieuwe notitie over grondexploitaties gepubliceerd. Deze wijzigingen gelden gedeeltelijk vanaf 2024. Belangrijk hierbij is de wijziging van toerekening van rentelasten aan een BIE. Hierbij wordt vanaf 2024 de omslagrente gehanteerd conform de notitie Rente van de commissie BBV of de rentelast van financiering die specifiek voor een grondexploitatie is aangetrokken (projectfinanciering). Daarnaast is sprake van een aantal overige wijzigingen. Wij verwijzen hiervoor naar de genoemde notitie.
Aandachtpunten ten aanzien van de WNTverantwoording in uw jaarrekening
In het controleprotocol WNT 2024 wordt de wijze beschreven waarop de accountantscontrole op de naleving van de WNT in het kalenderjaar 2024 dient plaats te vinden. Dit controleprotocol is minimaal gewijzigd ten opzichte van het vorige controleprotocol. WNT-norm voor uw gemeente Het voor u van toepassing zijnde algemeen bezoldigingsmaximum is voor 2024 gestegen van € 223.000 naar € 233.000. Verkorte WNT-verantwoording Het bedrag waarbij voor topfunctionarissen kan worden volstaan met een verkorte WNT-verantwoording is gewijzigd van een totale bezoldiging van € 1.900 of minder naar een totale bezoldiging van € 2.100 of minder.
Management samenvatting
Inleiding
Evaluatie interne beheersing
Proces bevindingen
Thema's jaarrekening
IT-omgeving
Actualiteiten
Follow-up bevindingen
15
Backtesting Een belangrijke indicatie van de kwaliteit van de gemaakte schattingen zijn de verschillen die ontstaan tussen de gemaakte ramingen en de werkelijke uitkomsten (backtest). Deze vergelijking biedt hiernaast een goede inkijk in de mutaties die in het boekjaar op de verschillende grondexploitaties zijn ontstaan. Wij vragen u in het kader van de jaarrekeningcontrole per grondexploitatie voor de jaarschijf 2024 een verschillenanalyse te maken op kostensoortniveau (WRO/BRO) tussen de ramingen voor de jaarschijf 2024 en de realisatie over 2024 (incl. een verklaring van de verschillen). Hiernaast is het van belang om een verschillenanalyse te maken per grondexploitatie tussen de totaalramingen (stand 2023) op het kostensoortniveau (WRO/BRO) en deze te vergelijken met de totaalraming over 2024. Wij vragen u om deze analyses bij de controle van de grondexploitaties gereed te hebben.
Aandachtspunten bij de jaarrekeningcontrole In het kader van de jaarrekeningcontrole vragen wij u om een adequate voorbereiding van de WNT-verantwoording in de jaarrekening 2024, door de verantwoording intern te laten toetsen aan de hand van de wetgeving. Zorg voor het juist en volledig invullen van het WNT- model, met een zichtbare aansluiting naar de onderliggende berekeningen.
Algemene aandachtspunten bij het opstellen van uw jaarrekeningdossier 2024
Op basis van de bevindingen in deze managementletter, ervaring met (wijzigingen in) de van toepassing zijnde wet- en regelgeving en de controle over het boekjaar 2023 onderkennen wij de volgende aandachtspunten voor de jaarverslaggeving en jaarrekeningcontrole 2024: Actualiseer uw waarderingsgrondslagen als gevolg van invoering rechtmatigheidsverantwoording. Hierin geeft u nadere duiding aan hoe de rechtmatigheidsverantwoording tot stand is gekomen Zie hiervoor ook de Bado-notitie rechtmatigheidsverantwoording van 6 december 2023. Tijdige en volledige oplevering van de jaarstukken 2024 (compleet boekwerk), inclusief de zichtbare interne controle op de naleving van de verslaggevingsvoorschriften (BBV) door middel van volledige invulling van de (door ons aan u) aangeleverde Checklist BBV 2024. Tijdige, betrouwbare en volledige aanlevering van documentatie, zoals door ons opgevraagd via het overzicht van benodigde gegevens voor de jaarrekeningcontrole 2024. Hanteer de door ons aangeleverde formats voor de belangrijkste posten voor uw opsteldossier van de jaarrekening en borg de kwaliteit van het opsteldossier door bijvoorbeeld een kwaliteitsbeoordeling uit te laten voeren. Zo bent u volledig in het verzamelen van de informatie van zowel de accountant als uw balansdossier.
Zichtbare aansluitingen tussen jaarrekening, financiële administratie, sub administraties, primaire begroting en begroting na wijzigingen (nulproef). Tijdige uitvoering en oplevering van uw VIC-dossier als onderligger voor de rechtmatigheidsverantwoording. Het opschonen van tussenrekeningen (afwikkelen van oude vorderingen en schulden). Het tijdig analyseren van begrotingsoverschrijdingen. Het vaststellen van de uitputting van subsidiebeschikkingen en aantoonbaar leveren van de prestaties daarvoor die leiden tot de balansposities in uw jaarrekening. Afronding van de spendanalyse en de interne controle op de rechtmatigheid van Europese aanbestedingen. Wanneer er bijzonderheden of vraagstukken hierbij zijn, verzoeken wij u die zo spoedig mogelijk met ons te delen.
Management samenvatting
Inleiding
Evaluatie interne beheersing
Proces bevindingen
Thema's jaarrekening
IT-omgeving
Actualiteiten
Follow-up bevindingen
16
Opzet en bestaan maatregelen Gedurende de interim-controle hebben wij uw organisatie bevraagd over de opzet en het zichtbaar aantonen van het bestaan van maatregelen in het kader van de WNT. U heeft dit gedurende de interim-controle nog niet geheel kunnen aantonen. Wij verzoeken u om als onderdeel van onze WNT-uitvraag tevens bestaansdocumentatie toe te voegen.
Adequate voorbereiding van de WNT-verantwoording in de jaarrekening 2024, door de verantwoording intern te laten toetsen aan de hand van de wetgeving. In de praktijk zien wij met name dat niet alle of onjuiste looncomponenten tot het bezoldigingsbegrip gerekend worden. Zorg ervoor dat (op basis van gemaakte afspraken met derden) vooruitontvangen of nog te ontvangen subsidiegelden juist verantwoord zijn en juist zijn gepresenteerd in de balans en toelichtingen conform de voorschriften BBV. Bij specificaties en onderbouwingen waarbij sprake is van complexiteit of subjectiviteit (schattingen) de opbouw van de post, uitgangspunten en berekeningswijze uitwerken in een geschreven toelichting (‘position paper’), zodat de uitgangspunten en berekeningen snel door ons geïnterpreteerd kunnen worden en wij tot een goed begrip van de betreffende onderdelen kunnen komen. Wij achten dit voornamelijk van belang bij: Waardering van de grondexploitaties. Waardering van uw vastgoed. Wij vragen om een analyse van het vastgoed dat niet meer voor de publieke taak aangewend wordt, om te bepalen of er mogelijk sprake is van een duurzame waardevermindering. Waardering van uw vorderingen. Wij vragen om een analyse van de invorderbaarheid van diverse verschillende vorderingen, waaronder debiteuren sociale zaken. Graag ontvangen wij een onderbouwing van de gehanteerde oninbaarheidspercentages.
Zichtbare analyse van de activa van uw gemeente naar de stand per 31 december 2024, om vast te stellen dat alle activa met een boekwaarde nog in gebruik zijn binnen de gemeente. Zichtbare analyse van de afschrijvingspercentages op de activa rubrieken. Zichtbare analyse op de kredietoverschrijdingen. Voortdurende aandacht voor de aangifte vennootschapsbelasting en de voorbereiding hierop. Voortdurende aandacht voor de afgrenzing van inkopen. In toenemend mate is de gemeente door uitbesteding van activiteiten afhankelijk van derde partijen voor de tijdige (en juiste) aanlevering van informatie. Mede gezien de ervaringen van uw gemeente in de afgelopen jaren is het van essentieel belang met deze derde partijen scherpe afspraken te maken, zodat de verantwoordingsinformatie voor de vaststelling van de jaarrekening door het college beschikbaar is.
Het is van belang dat uw organisatie stuurt op tijdige ontvangst van bovengenoemde informatie. Het eerder kunnen beschikken over “conceptcijfers” kan voordelen hebben voor een tijdig en efficiënt jaarrekeningproces.
Management samenvatting
Inleiding
Evaluatie interne beheersing
Proces bevindingen
Thema's jaarrekening
IT-omgeving
Actualiteiten
Follow-up bevindingen
17
18
5.
IT-omgeving
Management samenvatting
Inleiding
Evaluatie interne beheersing
Proces bevindingen
Thema's jaarrekening
IT-omgeving
Actualiteiten
Follow-up bevindingen
Uw IT-omgeving
19
5. IT-omgeving In het kader van de jaarrekeningcontrole over het boekjaar 2024 hebben wij werkzaamheden uitgevoerd met betrekking tot de opzet en het bestaan van de algemene IT- beheersmaatregelen binnen de automatiseringsomgeving van uw gemeente. Wij hebben daarbij uitsluitend die maatregelen onderzocht die het meest relevant zijn in het kader van de jaarrekeningcontrole en wij rapporteren hierbij uitsluitend de daarbij geconstateerde bevindingen. De IT-applicatie die wij tijdens de interim controle 2024 hebben onderzocht betreft het nieuw financieel pakket Unit4Finance. De beoordeling van uw IT-omgeving is gebaseerd op een interview met uw informatiemanager en de CISO. Daarnaast hebben wij hierbij documentatie betrokken, waaronder beleidsstukken en procedurebeschrijvingen. Wij hebben geen testwerkzaamheden verricht ter verificatie van hetgeen wij op basis van de interviews en documentatie hebben begrepen (dit maakt namelijk geen onderdeel uit van de scope van onze dienstverlening zoals met u overeengekomen): Logische toegangsbeveiliging Logische toegangsbeveiliging heeft betrekking op maatregelen die uw gemeente heeft getroffen gericht op het beschermen van de toegang tot de programmatuur en data door ongeautoriseerde personen.
Het proces van logische toegangsbeveiliging moet de betrouwbaarheid van de identificatie, authenticatie en autorisatie van gebruikers en transacties in het systeem waarborgen.
Procedure autorisatiebeheer: toekennen, wijzigen en intrekken van rechten Uw gemeente beschikt over een autorisatiebeheerproces en een autorisatiematrix, echter wordt het autorisatiematrix niet volledig toegepast. De autorisatiematrix is opgesteld, maar de volledige implementatie hiervan staat gepland voor volgend jaar in combinatie met de introductie van de Identity and Access Management (IAM) tool HelloID. Op dit moment worden rechten toegekend door rollen van bestaande gebruikers met vergelijkbare functies te kopiëren, in plaats van via specifieke aanvragen vanuit het vakteam. Uw ICT Regisseur voor iDomein heeft aangegeven dat de implementatie van HelloID zal zorgen voor een geautomatiseerde en gestroomlijnde integratie van het autorisatiebeheerproces. Deze IAM-tool zal het beheer van gebruikersrechten aanzienlijk verbeteren en helpen om toegang nauwkeuriger af te stemmen op de vereisten van functiescheiding en functiegebonden rechten. Hierdoor ontstaat het volgende risico: Gebruikers kunnen onterecht rechten krijgen die niet volledig in lijn zijn met hun functie en de vereisten van functiescheiding, wat kan leiden tot overtoekenning van rechten;
Management samenvatting
Inleiding
Evaluatie interne beheersing
Proces bevindingen
Thema's jaarrekening
IT-omgeving
Actualiteiten
Follow-up bevindingen
Het uitstellen van de implementatie van de autorisatiematrix en de geautomatiseerde processen vergroot het risico dat rechten bij functiewijzigingen niet tijdig worden aangepast, waardoor gebruikers mogelijk toegang behouden tot systemen of functionaliteiten die zij niet langer nodig hebben. Door de implementatie van HelloID en de autorisatiematrix wordt verwacht dat deze risico’s in de toekomst beter beheerst kunnen worden.
Procedure autorisatiebeheer: intrekken account en rechten bij uit dienst Uw gemeente beschikt over een procedure voor het intrekken van accounts en rechten bij het uitdiensttreden van medewerkers. Deze procedure zal echter pas in 2025 volledig worden geïmplementeerd in combinatie met de geplande aanschaf van een Identity and Access Management (IAM) tool, mogelijk HelloID van Tools4ever. Tot die tijd vindt er geen systematische controle plaats op het tijdig intrekken van accounts, zoals blijkt uit de willekeurige steekproef waarbij een gebruikersaccount pas drie maanden na uitdiensttreding werd geblokkeerd in Active Directory (AD). Dit brengt het volgende risico met zich mee: Voormalige medewerkers kunnen mogelijk onterecht toegang behouden tot systemen of functionaliteiten; De organisatie wordt kwetsbaar voor beveiligingsincidenten, aangezien inactieve accounts mogelijk door andere medewerkers binnen uw gemeente kunnen worden misbruikt. Periodieke review autorisaties Wij hebben vastgesteld dat de periodieke review bij uw gemeente momenteel beperkt is tot een controle op inactieve accounts en dat er geen formele review wordt uitgevoerd op de juistheid en actualiteit van autorisaties. Daarbij ontbreekt een focus op functiescheiding en een specifieke controle op superuser- en administratorrechten.
Dit brengt het volgende risico met zich mee: Het ontbreken van een volledige periodieke review en autorisatiematrix brengt het risico met zich mee dat autorisaties niet in lijn zijn met de vereisten voor functiescheiding, wat kan leiden tot onjuiste toekenningen van rechten en mogelijk misbruik van autorisaties binnen de organisatie.
Changemanagement In geval van een onvoldoende beheerst change management proces onderkennen wij voor de jaarrekeningcontrole het risico op onbeheerste wijzigingen in de functionele werking van de geautomatiseerde gegevensverwerkende systemen, waardoor de betrouwbare werking niet is gewaarborgd. Teneinde dit risico te beheersen achten wij het van belang dat voldoende beheersingsmaatregelen zijn ingericht binnen het change management proces van de gemeente Molenlanden.
Management samenvatting
Inleiding
Evaluatie interne beheersing
Proces bevindingen
Thema's jaarrekening
IT-omgeving
Actualiteiten
Follow-up bevindingen
20
Procedure change management (software updates) & gescheiden omgevingen (OTAP) Wij hebben vastgesteld dat de leverancier Unit4 verantwoordelijk is voor het updaten van de software en een beheerst change management proces uitvoert, zoals aangetoond middels een SOC-1 assuranceverklaring. Uit de assuranceverklaring over het jaar 2023 blijken geen uitzonderingen te zijn geconstateerd met betrekking tot change management en gescheiden omgevingen: Daarnaast merken wij op dat de gemeente Molenlanden momenteel niet beschikt over een formele en gedocumenteerde wijzigingsbeheerprocedure waarin specifiek de beoordeling van release notes en assurance rapportages is vastgelegd. Wij bevelen aan om deze rapportage jaarlijks te evalueren, om te waarborgen dat er geen significante bevindingen zijn en dat de gemeente voldoet aan de maatregelen waarvoor zij zelf verantwoordelijk is. Verder hebben wij vernomen dat uw gemeente over enkele maatregelen beschikt voor het testen van updates in een testomgeving. Echter, bestaat er geen structurele of formele procedure waarin deze testmaatregelen consistent en aantoonbaar worden uitgevoerd. Ook de releasenotes worden niet structureel beoordeeld.
Dit brengt het volgende risico met zich mee: Het ontbreken van een formele wijzigingsbeheerprocedure vergroot het risico dat updates niet consistent worden beoordeeld of getest, wat kan leiden tot functionele fouten en verstoringen; Zonder vastgelegde functionele testen in niet-productieomgevingen kunnen wijzigingen onvoldoende getest naar de productieomgeving worden doorgevoerd, wat de betrouwbaarheid van kritieke systemen in gevaar brengt; Het niet structureel beoordelen van releasenotes en assurance-rapportages verhoogt het risico op over het hoofd geziene kwetsbaarheden en inefficiënte wijzigingsprocessen, wat de kans op beveiligings- of functionele incidenten vergroot.
Continuïteit In geval van een onvoldoende beheerst proces voor continuïteit van de geautomatiseerde gegevensverwerking onderkennen wij voor de jaarrekeningcontrole het risico op verstoringen die leiden tot verlies van gegevens, onbetrouwbaarheid van de gegevens en het niet beschikbaar zijn van kritieke geautomatiseerde gegevensverwerking. Daarnaast onderkennen wij inzake continuïteit ook bedrijfsrisico’s waarover wij onze klanten dienen te rapporteren. Teneinde deze risico’s te beheersen achten wij het van belang dat er voldoende beheersmaatregelen inzake continuïteit zijn ingericht binnen het proces van de gemeente Molenlanden.
Fysieke toegangsbeveiliging, back-up maatregelen en periodieke restoretest ERPx Wij hebben vastgesteld dat de servers van Unit4 fysiek zijn geplaatst (gehoused) en beheerd (gehost) bij Microsoft Azure, waarbij Microsoft Azure verantwoordelijk is voor het maken en monitoren van back-ups en het periodiek uitvoeren van een restoretest.
Management samenvatting
Inleiding
Evaluatie interne beheersing
Proces bevindingen
Thema's jaarrekening
IT-omgeving
Actualiteiten
Follow-up bevindingen
21
Op basis van de verklaring over 2023 hebben wij vastgesteld dat Unit4 de SLA-afspraken met Microsoft Azure monitort. Er is echter onvoldoende inzicht in de fysieke toegangsbeveiliging van Microsoft Azure, waardoor wij geen zekerheid kunnen bieden over de effectiviteit van deze fysieke beveiligingsmaatregelen. Uit de analyse van de meest recente verklaring blijkt dat er geen uitzonderingen zijn geconstateerd met betrekking tot de backup- en restoreprocedures. Unit4 heeft echter een User Entity Control opgenomen waarin staat dat gebruikersorganisaties zelf verantwoordelijk zijn voor hun eigen disaster recovery-plannen die voorzien in situaties waarin zij geen toegang hebben tot of geen gebruik kunnen maken van de Unit4-diensten. Gemeente Molenlanden beschikt momenteel niet over dergelijke disaster recovery-plannen. Dit brengt het volgende risico met zich mee: • Het gebrek aan inzicht in de fysieke toegangsbeveiliging van NorthC Datacenters vergroot het risico dat onbevoegde personen fysieke toegang kunnen krijgen tot de servers van Unit 4 waarop ERPx draait.
Dit kan leiden tot ongeautoriseerde toegang tot gegevens of verstoring van de dienstverlening; • Indien de fysieke toegangsbeveiliging onvoldoende is, kan dit een directe impact hebben op de continuïteit van de dienstverlening en de vertrouwelijkheid, integriteit en beschikbaarheid van de data; • Hoewel de back-up- en restoreprocedures worden uitgevoerd, kan het ontbreken van regelmatig inzicht in deze processen (door het niet beoordelen van de assuranceverklaring) en het ontbreken van disaster recovery-plannen ertoe leiden dat potentiële problemen pas laat worden opgemerkt. Dit vormt een risico voor een effectieve herstelprocedure in geval van calamiteiten.
Management samenvatting
Inleiding
Evaluatie interne beheersing
Proces bevindingen
Thema's jaarrekening
IT-omgeving
Actualiteiten
Follow-up bevindingen
22
De maatregelen met betrekking tot fysieke toegangsbeveiliging, back-up en periodieke restoretest worden aangetoond door middel van een SOC-1 assuranceverklaring. Wij hebben de verklaring ontvangen die betrekking heeft op het jaar 2023, en zoals afgesproken, ontvangen wij binnenkort de meest recente assuranceverklaring voor het jaar 2024.
AI
Zero
In de afgelopen jaren zijn er belangrijke ontwikkelingen geweest op het gebied van informatiebeveiliging, vooral omdat steeds meer mensen online werken en communiceren. Hier zijn vier recente ontwikkelingen die helpen om gegevens beter te beschermen. Deze roadmap is vooral ter informatie
2. Zero Trust-beveiliging Zero Trust is een nieuwe manier van denken over beveiliging. Het uitgangspunt is dat niemand automatisch te vertrouwen is, zelfs mensen binnen een organisatie niet. Iedereen die toegang wil krijgen tot gegevens of systemen moet zichzelf steeds opnieuw bewijzen. Dit helpt aanvallen te voorkomen en indien iemand toch binnen het netwerk weet te komen te stoppen voordat ze schade kunnen aanrichten.
W&R
Cloud
3. Cloudbeveiliging Veel bedrijven en mensen slaan hun gegevens op in de Cloud, zoals op Office365. Cloudbeveiliging is daarom een belangrijk onderwerp geworden. Nieuwe technieken zorgen ervoor dat gegevens in de Cloud goed worden beschermd, zelfs als je vanaf verschillende apparaten of locaties werkt. Dit is belangrijk omdat de Cloud altijd bereikbaar moet zijn, maar toch veilig moet blijven. Doordat we steeds meer in de Cloud en met SAAS leveranciers werken zal de focus ook op de bescherming van data moeten komen te liggen. Data wordt niet meer uitsluitend binnen de organisatie beheerd maar ook daarbuiten en dat betekent dat we continue datastromen hebben die om beveiliging vragen.
Management samenvatting
23
Ontwikkelingen informatiebeveiliging 1. Kunstmatige intelligentie (AI) voor beveiliging Kunstmatige intelligentie (AI) wordt steeds vaker gebruikt om bedreigingen sneller te herkennen. AI kan bijvoorbeeld verdachte activiteiten opmerken in het netwerk van een organisatie. Dit zorgt ervoor dat beveiligingssystemen sneller kunnen reageren en problemen kunnen oplossen voordat er schade wordt aangericht. We moeten ons ervan bewust zijn dat ook cybercriminelen gebruik maken van AI waardoor ook de aanvallen beter worden.
Inleiding
Evaluatie interne beheersing
Proces bevindingen
Thema's jaarrekening
IT-omgeving
4. Nieuwe wet- en regelgeving Door de toename van bedreigingen wordt hierop gereageerd door aan bepaalde sectoren extra eisen te stellen. De NIS2 die vertaald is in Nederland naar de Cyberbeveiligingswet heeft als doel om de digitale veiligheid in Europa te verbeteren. Deze wet verplicht bedrijven en organisaties om hun cyberbeveiliging te versterken en te voldoen aan n er standaarden. De publieke sector in aangewezen als een essentiële entiteit waardoor deze eisen volledig van toepassing zijn en de organisaties zich moeten gaan verantwoorden over de informatiebeveiliging. Ten opzichte van de huidige eisen wordt er meer van het bestuur verwacht in het kader van het risicomanagement. Dit wordt vanuit de wet afgedwongen door het instellen van bestuurdersverantwoordelijkheid en net als bij de AVG is er ook een boetestelsel bij het niet nakomen van de eisen.
Actualiteiten
Follow-up bevindingen
24
6.
Actualiteiten
Management samenvatting
Inleiding
Evaluatie interne beheersing
Proces bevindingen
Thema's jaarrekening
IT-omgeving
Actualiteiten
Follow-up bevindingen
Rapportage CO2-Reductie Werkgebonden Personenmobiliteit
25
6. Actualiteiten Een aanzienlijk deel van de CO2-uitstoot is gerelateerd aan personenmobiliteit, waarbij bijna de helft voortkomt uit woonwerkverkeer en zakelijke mobiliteit - oftewel werkgebonden personenmobiliteit. Om hierop in te spelen heeft de Rijksoverheid het nieuwe ‘Besluit CO2-reductie werkgebonden personenmobiliteit’ ingevoerd. Dit besluit verplicht werkgevers met 100 of meer werknemers vanaf 1 juli 2024 om jaarlijks gegevens over werkgebonden personenmobiliteit te rapporteren. Deze maatregel is onderdeel van het bredere beleid van de overheid om de klimaatdoelstellingen van het Klimaatakkoord te halen, dat mikt op een vermindering van CO₂-uitstoot met ten minste 49% in 2030 ten opzichte van 1990. Werkgevers hebben over het jaar 2024 de keuze uit twee rapportagemogelijkheden:
Een volledige rapportage in te dienen over het gehele jaar 2024, of Een halfjaarrapportage in te dienen die de periode van juli tot en met december 2024 beslaat.
Vanaf 2025 en de jaren daarna zult u jaarlijks rapporteren over de volledige kalenderjaren. Dit besluit betekent dat werkgevers niet alleen hun werkgebonden mobiliteit transparanter maken, maar ook actief kunnen bijdragen aan een groenere bedrijfsvoering en, in bredere zin, aan de nationale duurzaamheidsdoelen. Door tijdig en zorgvuldig te rapporteren, kunt u inspelen op kansen om de CO₂-uitstoot van uw organisatie te reduceren, onder andere door te kijken naar duurzame mobiliteitsopties zoals elektrisch vervoer, fietsvergoedingen en thuiswerkbeleid. Dit kan niet alleen bijdragen aan de klimaatdoelstellingen, maar ook aan een positief imago van uw organisatie als maatschappelijk verantwoorde werkgever. Recent is de CO₂-registratieplicht voor woon-werkverkeer overigens (opnieuw) ter discussie komen te staan. De minister van Economische Zaken heeft aangegeven dat de administratieve lasten van deze plicht mogelijk worden vereenvoudigd, na forse kritiek van ondernemers en politici die de regeling als onpraktisch en te bureaucratisch ervaren. Standaardmodellen zouden bedrijven in staat stellen om eenvoudiger te voldoen aan de registratieplicht, terwijl de voortgang naar de klimaatdoelstellingen behouden blijft.
NIS2 EU-richtlijn vraagt meer aandacht voor digitale weerbaarheid bij
Op het gebied van informatiebeveiliging staat de EU NIS2 richtlijn momenteel sterk in de belangstelling. NIS2 staat voor Network and Information Security Directive en heeft als doel om binnen de EU-lidstaten de staat van de informatiebeveiliging te verbeteren.
Management samenvatting
Inleiding
Evaluatie interne beheersing
Proces bevindingen
Thema's jaarrekening
IT-omgeving
Actualiteiten
Follow-up bevindingen
De vorige richtlijn (NIS) bleek te algemeen, te verschillend uit te leggen en te vrijblijvend. Dit is de reden dat er nu een nieuwe richtlijn is uitgebracht. De nieuwe richtlijn is vertaald en wordt in Nederland geïmplementeerd in de Cyberbeveiligingswet. Nederlandse gemeenten zijn onder de Cyberbeveiligingswet als essentiële entiteit aangemerkt. Dat houdt kort gezegd voor uw gemeente een zorgplicht voor beveiliging, een meldplicht voor incidenten en toezicht in. De meeste maatregelen kunnen 1 op 1 worden gekoppeld aan de bestaande maatregelen vanuit de ISO27001 (code voor informatiebeveiliging) de Baseline Informatiebeveiliging Overheid of de NEN7510 (Informatiebeveiliging in de zorg) maar het is wel al duidelijk dat bepaalde zaken wat strikter zijn. De genoemde normenkaders zijn overigens allemaal opgesteld vanuit dezelfde bron waarbij de ISO en de NEN bijna identiek zijn en de BIO is aangevuld met extra maatregelen. De volgende zaken komen wat nadrukkelijker aan de orde onder de NIS2. Op het gebied van opleiding (aanvullende eisen voor het opleiden van bestuur en management). Op het gebied van risicomanagement zal het bestuur in de nieuwe situatie aantoonbaar moeten worden betrokken bij de risicoanalyse en de risicobeoordeling.
Meer nadruk op security in de keten (leveranciersmanagement) Naast kantoorautomatisering ook aandacht voor Operationele Techniek / Industriële Automatisering (denk aan de bediening van bruggen, sluizen maar ook pompsystemen en kranen in de havens) In het komende jaar zal uw gemeente dus geconfronteerd gaan worden met verscherpte regelgeving vanuit de Network Information Security 2 directive (NIS2). De nieuwe wet zal extra eisen stellen aan de organisatie waarbij de BIO wettelijk verplicht gaat worden en er ook meer toezicht gaat komen. Wij adviseren u om aandacht te besteden aan deze nieuwe wetgeving door: Risico’s in beeld te brengen en intern af te stemmen Een jaarplan op te stellen waarbij gewerkt wordt met realistische compacte doelstellingen De projectmatig aanpak te volgen en hierover te rapporteren.
Duurzaamheidsrapportage
Vanaf 2025 moeten grote ondernemingen verplicht rapporteren over hun duurzaamheidsprestaties volgens de regels van de Corporate Sustainability Reporting Directive (CSRD). De CSRD is een rapportageplicht op het vlak van ESG (Environmental, Social en Governance). Accountants hebben hierbij een controlerende rol. Overheden zijn nog uitgesloten van deze wetgeving. In het BBV is ook (nog) niks opgenomen over duurzaamheidsrapportages. Overheden kunnen nu wel de kans grijpen om voorop te lopen met dit onderwerp. Er mag zeker niet uitgesloten worden dat op afzienbare termijn de toepassingskring verruimd zal worden. Bovendien zult u naar verwachting op de korte termijn al in
Management samenvatting
Inleiding
Evaluatie interne beheersing
Proces bevindingen
Thema's jaarrekening
IT-omgeving
Actualiteiten
Follow-up bevindingen
26
overheidsorganisaties: maatregelen die u kunt treffen ter voorbereiding op de invoering
Gemeenten4GlobalGoals is een netwerk van Nederlandse gemeente die zich inzetten voor de realisatie van duurzaamheidsdoelstellingen. Uw gemeente is nog niet aangesloten bij de Gemeenten4GlobalGoals. In uw voorgaande jaarverslagen heeft u nog beperkt aandacht besteed aan duurzaamheidsonderwerpen. Wij adviseren u om overwegen u aan te sluiten bij Gemeenten4GlobalGoals en te inventariseren welke duurzaamheidsonderwerpen vanuit de CSRD in uw gemeente van belang zijn en om te overwegen om deze meetbaar op te nemen in uw jaarverslag. Vanuit de organisatie is er reeds aandacht voor dit onderwerp. Zo is er een programmaplan Duurzaamheid waarin de gemeente de doelstellingen en inspanning heeft beschreven voor een duurzame toekomst. Op basis van dit plan is vervolgens een uitvoeringsagenda biodiversiteit vastgesteld door de gemeenteraad. Daarmee is duurzaamheid een thema waar u vanuit verschillende gezichtspunten al mee bezig bent. U beschikt echter nog niet over een integraal programma dat toeziet op de veel bredere scope van duurzaamheid. Om te komen tot een zinvolle duurzaamheidsverslaggeving kunnen een aantal stappen doorlopen worden: 1. Allereerst moet bepaald worden welke duurzaamheidsthema’s belangrijk zijn voor de gemeente. 2. Vervolgens dienen de impact, risico’s en kansen (IRK) vastgesteld te worden en welke daarvan materieel zijn. 3.
Als laatste moeten de prestatie indicatoren vastgesteld worden. Om invulling te geven aan de eerste twee stappen zal onder meer een stakeholder-analyse moeten worden gemaakt en onderzocht moeten worden welke thema’s voor hen van belang zijn. Daarnaast is het van belang om afstemming te zoeken om tot een set van materiële IRK’s te komen. Ten aanzien van de prestatie indicatoren is het belangrijk dat de gemeente dan ook zorg draagt voor het instrumentarium om deze indicatoren dan ook (eenvoudig) te kunnen meten. Uiteraard kan dit ook tot andere eisen voor uw administratie leiden. De kennis die u in dit traject opdoet over de voor de stakeholders belangrijke thema’s (wensen en eisen) voor nu en de komende jaren, kan ons inziens als waardevolle bijvangst ook goed gebruikt worden om mede richting te geven aan uw strategie voor de komende jaren. Wil u meer weten over duurzaamheidsrapportage bij lokale overheden neem dan contact op met Stephanie over de Linden via soverdelinden@psa-ra.nl.
Management samenvatting
Inleiding
Evaluatie interne beheersing
Proces bevindingen
Thema's jaarrekening
IT-omgeving
Actualiteiten
Follow-up bevindingen
27
toenemende mate worden geconfronteerd met deze regels als zij door bijvoorbeeld haar ketenpartners wordt gevraagd om zich te verantwoorden en ESG-informatie aan te leveren.
onderneming voor de Vpb. De door gemeente verrichte reclameactiviteiten valt onder normaal vermogensbeheer en derhalve is geen sprake is van een onderneming voor de Vpb. Onderstaand zijn de belangrijkste overwegingen opgenomen: