Boardletter 2025 - Gemeente Nijmegen
Tekst van het document
Digitally signed by Bart Blomjous on 03 Dec 2025
Boardletter 2025 Gemeente Nijmegen
Digitally signed by Bart Blomjous on 03 Dec 2025 Deloitte Accountants B.V. Meander 551 6825 MD Arnhem Postbus 30265 6803 AG Arnhem Nederland Tel: 088 288 2888 www.deloitte.nl
Aan het college van burgemeester en wethouders van de gemeente Nijmegen Postbus 9105 6500 HG NIJMEGEN Onderwerp Boardletter 2025 Datum 3 december 2025 Ons kenmerk 251249F9D1/WK
Geacht college, Wij hebben, als onderdeel van de jaarrekeningcontrole 2025, de interim-controle voor de gemeente Nijmegen uitgevoerd. De interim-controle is primair gericht op de analyse en evaluatie van de interne-beheersingsomgeving en de daarin opgenomen maatregelen van administratieve organisatie en interne controle, voor zover deze relevant zijn voor de jaarrekeningcontrole 2025. Tevens heeft de interimcontrole als doel eventuele aandachtspunten voor de jaarrekening 2025 te signaleren en onder uw aandacht te brengen. In de voorliggende boardletter zijn onze bevindingen en aanbevelingen ter zake opgenomen. Omdat Nijmegen de basis op orde heeft, hebben wij ons daarnaast gericht op adviezen voor de verdere doorontwikkeling van de organisatie gedurende 2025 en verder. In het kader van de interim-controle hebben wij gesprekken gevoerd met diverse medewerkers en hebben wij ook veel stukken van de organisatie ontvangen. Wij spreken onze waardering en dank uit voor de inspanningen van de organisatie dit in een relatief kort tijdbestek mogelijk te maken, en voor de medewerking die ons gedurende de uitvoering van onze interim-controlewerkzaamheden is verleend. Graag willen wij deze rapportage en de daarin opgenomen bevindingen en aanbevelingen nader met u bespreken. Hoogachtend, Deloitte Accountants B.V.
B. Blomjous MSc RA
Op alle opdrachten verricht door Deloitte, behoudens M&A Diensten, zijn de Algemene Voorwaarden Dienstverlening Deloitte Nederland, januari 2020 gedeponeerd bij de Kamer van Koophandel van toepassing. Deloitte Accountants B.V. is ingeschreven in het handelsregister van de Kamer van Koophandel onder nummer 24362853. Deloitte Accountants B.V. is een zogenoemde affiliate van Deloitte NSE LLP en maakt onderdeel uit van het internationale netwerk van Deloitte Touche Tohmatsu Limited.
Digitally signed by Bart Blomjous on 03 Dec 2025
Inhoudsopgave Kernboodschap interim-controle
4
Bevindingen interim-controle 2025
7
IT-beheersing en cybersecurity
14
Bijlagen
17
Contact Wij beantwoorden graag uw vragen over deze boardletter:
Bart Blomjous Audit Director Deloitte Accountants B.V.
© Deloitte Nederland.
Sam Damsté Audit Senior Manager Deloitte Accountants B.V.
Maniek van de Pol - Hooymans Audit Senior Manager Deloitte Accountants B.V.
Boardletter 2025 / 251249F9D1/WK/3
Digitally signed by Bart Blomjous on 03 Dec 2025
Kernboodschap interim-controle
© Deloitte Nederland.
Boardletter 2025 / 251249F9D1/WK/4
Digitally signed by Bart Blomjous on 03 Dec 2025
Kernboodschap interim-controle De basis voor onze controle is het auditplan 2025 dat met de auditcommissie is besproken. In deze boardletter geven wij u inzicht in de (ontwikkeling van de) interne beheersing van de gemeente Nijmegen. Wij hebben tijdens onze interim-controle de procesrisico’s onderzocht, en ons primair gericht op de opzet en het bestaan van de interne-beheersingsmaatregelen, voor zover relevant voor de controle van de jaarrekening 2025. In deze kernboodschap koppelen wij ons overstijgende beeld terug van onze interim-controle en geven wij beknopt een kernboodschap voor de gemeente Nijmegen. In het hoofdstuk ‘Bevindingen interim-controle 2025’ hebben wij deze bevindingen meer in detail toegelicht, evenals onze adviezen voor de verdere doorontwikkeling van de organisatie gedurende 2025.
Onderwerp
Boodschap
Overall beeld interimcontrole 2025
Wij hebben de afgelopen periode vastgesteld dat de interne beheersing binnen de gemeente Nijmegen in basis op orde is. De bedrijfsprocessen die de financiële verslaglegging raken bevatten belangrijke waarborgen en functiescheidingen en voldoen daarmee aan de eisen die wij hier vanuit de accountantscontrole aan stellen. Daarnaast zien wij dat de gemeente hard heeft gewerkt aan de implementatie van het nieuwe financiële systeem ERPx. Uiteraard zijn er nog zaken die vanuit de implementatie aanscherping behoeven, maar er is met dit systeem ook een belangrijke stap gezet in de doorontwikkeling van de interne beheersing. Verder zijn er op andere bedrijfsvoering thema's als IT-beheersing en frauderisicomanagement belangrijke stappen gezet om als gemeente verder in control te komen. Wanneer we inzoomen op de belangrijkste speerpunten en bestuurlijke thema’s van de gemeenteraad zien we ook zeker nog ruimte voor doorontwikkeling. Te beginnen met het onderwerp realisatiekracht. Dit thema is niet alleen relevant in het kader van onderuitputting van de begroting maar ook in het kader van de te realiseren (noodzakelijke) investeringen. Het is onze observatie dat de gemeente zich bewust is van de noodzaak en urgentie om te komen tot een realistische investeringsplanning.
Sinds vorig jaar zijn stappen gezet om de investeringsplanning aan te scherpen en meer grip te krijgen op de investeringsagenda. In de Stadsbegroting 2026 geeft het college aan de grip op de investeringsagenda verder te willen verbeteren en geeft daartoe in de Stadsbegroting 2026 een aanzet die nog verder wordt uitgewerkt. Tegelijkertijd blijft tot nu toe het resultaat van de ondernomen stappen nog achter op de wens en is de huidige investeringsplanning nog verre van realistisch. Wij adviseren dan ook met klem om naast het ingezette ontwikkelspoor ook nadrukkelijker te redeneren vanuit het realiseerbare uitgangspunt, namelijk het investeringsvolume dat Nijmegen aan kan. Zo kan het gesprek over de strategische nut of noodzaak van investeringen worden gefaciliteerd en kunnen concrete keuzemogelijkheden in beeld worden gebracht en onderwerp worden van debat. Wanneer keuzes worden gemaakt en prioriteiten worden gesteld gaat de investeringsplanning van meer realisme worden voorzien. In het sociaal domein zien we landelijk de uitdagingen en risico’s toenemen. De financiële positie van zorgaanbieders staat al geruime tijd onder druk door een toenemende zorgvraag, zwaardere zorgzwaarte en hogere loonkosten. Dit bemoeilijkt voor zowel zorgaanbieders als gemeenten het borgen van zowel de kwaliteit als de betaalbaarheid van de zorg.
Gemeente Nijmegen heeft om de oplopende uitgaven in het sociaal domein het hoofd te beiden, moeilijke keuzes gemaakt. Voor 2026 zijn in de begroting, net zoals in 2025, taakstellingen opgenomen voor “Duurzame jeugdhulp (€ 6 miljoen) en WMO (€1,2 miljoen)”. Voor Jeugd geldt dat er daarnaast ook taakstellingen vanuit de Hervormingsagenda staan ingeboekt, voor een bedrag van € 7 miljoen in 2026. Het huidige inzicht in de financiële realisatie van de overeengekomen taakstellingen is tot op heden beperkt voor de gemeenteraad. Over de voortgang van het maatregelenpakket uit de Uitvoeringsagenda Duurzame Jeugdhulp en Wmo (door college vastgesteld op 30 september 2025) wordt komende periode halfjaarlijks gerapporteerd door college aan de gemeenteraad. Hiermee worden de ingezette verbeteringen continu gemonitord. Op het vlak van IT-beheersing zien we dat de gemeente bewuste keuzes maakt die in lijn zijn met de beschikbare capaciteit en middelen. Dit leidt ertoe dat er sprake is van stapsgewijze ontwikkelingen op het ingezette groeipad aan de hand van de IT-roadmap. Zo is met het aanvullende budget vanuit de begroting de organisatie versterkt op onder andere het gebied van continuïteits- en leveranciersmanagement. Tegelijkertijd is er nog een hoop te doen om de realisatie van de IT-ambities te waarborgen.
De ontwikkelingen in dit domein volgen elkaar snel op en wij blijven op dit vlak ook adviseren om blijvend in dit onderdeel te investeren. Daarnaast hebben wij gezien dat de implementatie van ERPx succesvol is verlopen, maar veel van de organisatie heeft gevraagd. Hierbij zijn de prioriteiten van Nijmegen zichtbaar gelegd bij een zorgvuldige conversie waardoor de geplande verbeteringen ten aanzien van de algemene beheersing later in de tijd zijn gepland. Hierdoor zien we dat diverse bevindingen die wij rondom het oude systeem, CODA, constateerde nog steeds van toepassing. Wij achten het van wezenlijk belang dat deze bevindingen, nu de implementatie in afgerond, prioriteit krijgen.
© Deloitte Nederland.
Kernboodschap
Bevindingen interimcontrole 2025
IT- beheersing en cybersecurity
Bijlage
Boardletter 2025 / 251249F9D1/WK/5
Digitally signed by Bart Blomjous on 03 Dec 2025
Speerpunten auditcommissie In dit overzicht zijn de speerpunten van de auditcommissie terug te vinden zoals wij deze gezamenlijk hebben afgestemd bij ons auditplan 2025. De toelichtingen op de speerpunten vormen een integraal onderdeel van het hoofdstuk ‘Bevindingen interim-controle 2025’ en zijn met onderstaande hyperlinks te benaderen. Voor de leesbaarheid zijn deze punten op de betreffende pagina geduid met het volgende symbool:
Onderwerp
Boodschap
1.
Realisatiekracht en investeringsagenda
Dit speerpunt is opgenomen in het hoofdstuk ‘Bevindingen interim-controle 2025’ bij onderdeel ‘Realisatiekracht en investeringsagenda’.
1.
Sociaal Domein
Dit speerpunt is opgenomen in het hoofdstuk ‘Bevindingen interim-controle 2025’ bij onderdeel ‘Sociaal domein | Jeugdzorg & WMO’.
2.
Nota grondbeleid & MPG
Dit speerpunt nemen wij mee in ons accountantsverslag 2025 zodat we ook de uitkomsten van de doorontwikkeling van het actuele MPG kunnen meenemen.
4.
Implementatie ERPx (financieel systeem)
Dit speerpunt is opgenomen in het hoofdstuk ‘Bevindingen interim-controle 2025’ bij onderdeel ‘Implementatie ERPx’
© Deloitte Nederland.
Kernboodschap
Bevindingen interimcontrole 2025
IT- beheersing en cybersecurity
Bijlage
Boardletter 2025 / 251249F9D1/WK/6
Digitally signed by Bart Blomjous on 03 Dec 2025
Bevindingen interim-controle 2025 Bestuurlijk relevante bevindingen en aanbevelingen
© Deloitte Nederland.
Boardletter 2025 / 251249F9D1/WK/7
Digitally signed by Bart Blomjous on 03 Dec 2025
Bevindingen interim-controle 2025 Onderwerp
Boodschap
Realisatiekracht en investeringsagenda Is de investeringsplanning realistisch?
Sterke groeiende investeringsvraag, nog beperkt keuzes waargenomen. Al enige tijd zijn wij met uw gemeente in gesprek over het thema realisatiekracht. Dit thema is niet alleen relevant in het kader van onderuitputting van de begroting maar ook in het kader van de te realiseren (noodzakelijke) investeringen. Hoewel deze investeringsopgave logischerwijs voortkomt uit alle landelijke, regionale en lokale opgaven wordt de vraag of deze ambities te realiseren zijn steeds relevanter en staat de uitvoeringsagenda onder druk. Uw gemeente is zich bewust van dit thema en erkent dat het tot uitvoering brengen van alle investeringsambities gepaard moet gaan met een realistische planning. In de Stadsbegroting 2026 zien we terug dat er voor wordt gekozen om te gaan werken met een ’10-jarenplanning’ en lezen we dat er al een exercitie heeft plaatsgevonden om investeringen met een lage prioriteit verder in de tijd weg te zetten. Dit betekent dat in deze begroting het is gelukt om 6% van de totale investeringsambitie verder in de tijd te plotten dan de eerste vier jaar. Dit is een goede eerste stap maar tegelijkertijd is er nog een forse boeggolf aan investeringsambities opgenomen in de eerste vier jaar van deze planning (94%). Dit is wat ons betreft tekenend voor de complexiteit en weerbarstigheid van dit proces.
Alle losse puzzelstukjes van de puzzel acht men realistisch, maar wanneer de puzzel is gelegd zien we dat het realisme nog onvoldoende tot uiting is gekomen. Waar hebben we het ook alweer over? In onderstaand overzicht is zichtbaar dat de mate waarin het volume van de investeringsambities groeit fors is. In vier jaar tijd zien wij een ruime verdubbeling van deze investeringskredieten (+ € 302 miljoen wanneer we de stadsrekening 2024 vergelijken met de stadsrekening 2020; +126%). In de Stadsbegroting 2026 zien we zelfs al een totale ambitie van € 570 miljoen vanaf 2026 en verder. Hierbij is tevens zichtbaar dat hetgeen Nijmegen jaarlijks weet te realiseren niet evenredig mee stijgt (zie tabel). Dit beeld wordt ook bevestigd vanuit de ‘Houdbaarheidstest gemeentefinanciën 2025’. Daaruit blijkt dat de netto investeringsquote net positief is over de periode 2023-2025. Voor het op pijl houden van het voorzieningenniveau verwacht de VNG/BZK een kengetal van 2-5. Nijmegen bleef de afgelopen jaren dus fors achter met investeringen. Hoewel een toename van het jaarlijks investeringsvolume wel zichtbaar is blijft het de vraag of alle ambities kunnen worden gerealiseerd binnen het tijdsbestek dat voor uw gemeente wenselijk is. Investeringen
Stadsrekening 2020
Stadsrekening 2021
Stadsrekening 2022
Stadsrekening 2023
Stadsrekening 2024
Beschikbare investeringskredieten
€ 239M
€ 260M
€ 313M
€ 511M
€ 541M
Gerealiseerd in verslagjaar
€ 41M
€ 40M
€ 37M
€ 44M
€ 70M
Welke doorontwikkeling heeft de gemeente voor ogen en wat is ons advies? De gemeente ziet als belangrijke vervolgstap om, naast de langere planningshorizon, nadrukkelijker voorbereidingskredieten toe te passen om investeringen realistischer in de tijd weg te zetten. Dit kan zeker helpen wanneer bij grote specifieke investeringen eerst diverse uitwerkingen van de plannen plaats dienen te vinden in de voorbereiding. Door dit onderdeel specifiek in de tijd mee te nemen komt er in meerjarenperspectief meer realisme in de planning. Wij denken dat dit een goede aanvulling is in combinatie met een langere horizon maar twijfelen tegelijkertijd of hiermee het gewenste resultaat gaat worden bereikt. Feit blijft dat Nijmegen, op basis van historische trend, niet in staat is om het investeringsvolume fors te laten toenemen om alle ambities tegemoet te komen. Wij adviseren daarom om blijvend aandacht te hebben voor de investeringsagenda en de prioriteiten hierin. Houdt hierbij ook nadrukkelijk rekening met externe factoren zoals netcongestie, stikstofruimte en (personele) capaciteit.
© Deloitte Nederland.
Kernboodschap
Bevindingen interimcontrole 2025
IT- beheersing en cybersecurity
Bijlagen
Boardletter 2025 / 251249F9D1/WK/8
Digitally signed by Bart Blomjous on 03 Dec 2025
Bevindingen interim-controle 2025 Onderwerp
Boodschap
Sociaal domein Jeugdzorg & WMO
Toekomstbestendige inrichting jeugdhulp en Wmo-begeleiding Vanwege de omvang van de bestedingen en de actuele problematiek hebben wij aandacht besteed aan de ontwikkelingen binnen de Jeugdzorg en de Wet maatschappelijke ondersteuning (Wmo) (hierna: het sociaal domein). De financiële positie van zorgaanbieders staat al geruime tijd onder druk door een toenemende zorgvraag, zwaardere zorgzwaarte en hogere loonkosten. Dit bemoeilijkt voor zowel zorgaanbieders als gemeenten het borgen van zowel de kwaliteit als de betaalbaarheid van de zorg. Een extra complicerende factor is dat zorgaanbieders bij een stijgende zorgvraag of financiële krapte toch bij de gemeente aankloppen. In die gevallen verkeert de gemeente vaak in een moeilijke onderhandelingspositie vanwege de grote afhankelijkheid van de zorgaanbieders. De gemeente heeft gekozen voor een toekomstbestendige inrichting van jeugdhulp en Wmo-begeleiding, met nadruk op basishulp dichtbij (buurtteams en collectieve voorzieningen), het eerder inzetten van het sociale netwerk van inwoners en een gerichte beschikbaarstelling van specialistische zorg voor complexe en urgente casuïstiek. Deze koers is ingegeven door een structurele toename van de vraag, oplopende kosten en schaarste aan gekwalificeerd personeel. Voor 2026 zijn besparingen geraamd van circa € 6 miljoen op jeugdhulp en € 1,2 miljoen op Wmo-begeleiding.
Wij onderschrijven het doel om specialistische capaciteit te concentreren op de meest urgente gevallen, maar merken op dat de realisatie van de afbuiging van de zorgkosten en het behoud van zorgkwaliteit sterk afhankelijk zijn van een succesvolle en tijdige uitvoering van de voorgenomen maatregelen. Daarnaast merken wij op dat in de afgelopen jaren reeds verschillende hervormingen en beleidsaanpassingen zijn doorgevoerd die naar verwachting effect sorteren. Het is daarbij echter niet mogelijk om een directe causaliteit tussen de ingezette maatregelen en de geconstateerde resultaten vast te stellen: meerdere gelijktijdige interventies, externe ontwikkelingen en doorlooptijden van beleid bemoeilijken een eenduidige toewijzing van oorzakelijkheid. Desondanks is het positief dat langjarige ongunstige ontwikkelingen nu lijken af te buigen. Dit geeft reden tot voorzichtige waardering voor de gekozen koers, onder voorwaarde dat uitvoering, monitoring en waar nodig bijsturing consequent worden voortgezet. Het huidige inzicht in de financiële realisatie van de overeengekomen taakstellingen is tot op heden beperkt voor de gemeenteraad. De realisatie van de taakstellingen zijn niet opgenomen in de voortgangsmonitor, waardoor het niet mogelijk is om de gerealiseerde effecten van de ingezette verbeteringen eenduidig en tijdig te volgen en te onderbouwen met actuele cijfers.
Over de voortgang van het maatregelenpakket uit de Uitvoeringsagenda Duurzame Jeugdhulp en Wmo (door college vastgesteld op 30 september 2025) wordt komende periode wel halfjaarlijks gerapporteerd door college aan de gemeenteraad. Hiermee worden de ingezette verbeteringen continu gemonitord.
© Deloitte Nederland.
Kernboodschap
Bevindingen interimcontrole 2025
IT- beheersing en cybersecurity
Bijlagen
Boardletter 2025 / 251249F9D1/WK/9
Digitally signed by Bart Blomjous on 03 Dec 2025
Digitally signed by Bart Blomjous on 03 Dec 2025
Bevindingen interim-controle 2025 Onderwerp
Boodschap
Beheersing van Beheersing van het projectmanagement en verantwoording van subsidieprojecten subsidieverantwoordingen De gemeente heeft voor diverse projecten subsidies ontvangen van verschillende partijen. Om over deze subsidies verantwoording af te leggen dient, naast een inhoudelijk rapport, ook een financieel verslag te worden aangeleverd die is voorzien van een controleverklaring van een accountant. De gemeente heeft ons de opdracht gegeven deze controles uit te voeren en de bijbehorende controleverklaringen te verstrekken. Tot op heden zijn acht controles uitgevoerd. Bij nagenoeg alle projecten constateren wij in de uitvoering van de controle uitdagingen bij het komen tot een verantwoording, die tevens leiden tot vertraging en het aanvragen van uitstel bij de subsidieverleners. Onze bevindingen hebben betrekking op de volgende aspecten: •
Projectleiders hebben ogenschijnlijk onvoldoende in beeld welke eisen er worden gesteld aan de verantwoording van de projecten waardoor er veelal geen sprake is van een kwalitatief voldoende verantwoordingsdossier gedurende het subsidieproject en achteraf veel bij elkaar moet worden gezocht.
•
Bij de meeste dossiers is de afgesproken kwaliteitscontrole, zoals wij deze al jaren met de gemeente kennen, niet uitgevoerd, met als gevolg dat dossiers onvolledig waren of (deels) niet voldeden aan het normenkader van de subsidieverlener.
•
Bij projecten waarbij de gemeente penvoerder is, ontbreekt adequate beheersing van de tijdige verantwoording door consortiumpartners, terwijl deze verantwoording nodig is voor de rapportage van de gemeente aan de verstrekker.
Op basis van deze constateringen bevelen wij aan om een proces in te richten die borgt dat de verantwoording van deze subsidies intern getoetst worden op kwaliteit en controleerbaarheid. Hierbij is het van belang dat dit proces leidt tot het identificeren van de relevante verantwoordingscriteria tijdens de aanvraagfase van de subsidie en dat hierop tijdige interne beheersing wordt vormgegeven. Daarnaast dient er sprake te zijn van monitoring op de naleving van deze criteria gedurende de uitvoering. Zo kan aan het einde van het project een effectieve kwaliteitstoets plaatsvinden of het subsidiedossier aan het normenkader voor verantwoording voldoet. Aansluitend bevelen wij aan om een interne procedure op te stellen voor de omgang met consortiumpartners bij dit soort projecten. Wanneer deze die niet tijdig verantwoorden aan de gemeente Nijmegen, kan het voorkomen dat de gemeente niet tijdig haar verplichtingen kan nakomen aan subsidieverleners. Dergelijke situaties kunnen in het ergste geval leiden tot niet (volledig) ontvangen van de beoogde subsidie. Sturing op gebiedsontwikkelingen
© Deloitte Nederland.
De doorontwikkeling rondom de informatievoorziening kracht bijzetten Al geruime tijd is uw organisatie aan de slag met het doorontwikkelingen van de informatievoorziening omtrent de grote gebiedsontwikkelingen aan de gemeenteraad. Wij hebben vernomen dat de eerste contouren van een dashboard vorm krijgen en dat hier hard aan wordt gewerkt. Wij adviseren bij het implementeren van dit dashboard het gesprek met de gemeenteraad op te zoeken om scherp te krijgen hoe de ervaringen zijn zodat eventueel aanscherpingen kunnen worden aangebracht. Daarnaast merken wij op dat er geen financiële doorkijk van de grote gebiedsontwikkelingen wordt gedaan in de begroting en dat actualisatie nu enkel en alleen plaatsvindt met het MPG. Wij achten het raadzaam, mede gezien de omvang van de financiële stromen die met deze gebiedsontwikkelingen zijn gemoeid, te verkennen hoe hier ook in de begroting (op hoofdlijnen) in kan worden voorzien.
Kernboodschap
Bevindingen interimcontrole 2025
IT- beheersing en cybersecurity
Bijlagen
Boardletter 2025 / 251249F9D1/WK/11
Digitally signed by Bart Blomjous on 03 Dec 2025
Bevindingen interim-controle 2025 Onderwerp
Boodschap
Frauderisicomanagement Frauderisicoanalyse en structurele borging frauderisicomanagement
Frauderisicoanalyse en structurele borging frauderisicomanagement. Wij constateren met tevredenheid dat het vastgestelde plan van aanpak voor de doorontwikkeling van frauderisicomanagement wordt uitgevoerd. Hierdoor zijn voor nagenoeg alle als risicovol aangemerkte werkprocessen reeds frauderisicoanalyses uitgevoerd. De analyse en bijbehorende rapportage met bevindingen vanuit Stadscontrol worden volgens planning in Q2 2026 met het college besproken. Aan de bewustwording op het gebied van fraude binnen de organisatie wordt proactief gewerkt onder andere door middel van gesprekken met managementteams en het opstellen en verstrekken van de ‘Handreiking frauderisicobeheersing in de lijn’. Hierin is, naast frauderisicofactoren vanuit externe partijen, expliciet aandacht geschonken aan frauderisicofactoren vanuit de interne organisatie. Dit mede naar aanleiding van de uitkomsten van het recente 213a-onderzoek ‘Doorontwikkeling frauderisicoanalyse’ en het daarin geformuleerde advies. Voor verdere doorontwikkeling van het frauderisicomanagement binnen Nijmegen achten wij de voortzetting van het plan van aanpak wenselijk. De daarin opgenomen speerpunten blijven daarmee ook voor de komende periode van belang: 1.
Actualiseren en completeren frauderisicoanalyse.
2.
Monitoring van de opvolging van aanbevelingen.
3.
Bevorderen van bewustwording op alle organisatieniveaus.
4.
Overdracht aan de eerste en tweede lijn (respectievelijk operationele functies en ondersteunende/adviserende functies).
Voorts geven wij u mee dat er nog stappen te zetten zijn om als organisatie te komen tot een proces waarin de evaluatie van zowel bestaande risico’s als nieuw geïdentificeerde risico’s periodiek plaatsvindt. Zo is het op dit moment niet inzichtelijk hoe en in welke mate de eerste lijn werkt aan het creëren van meer bewustwording op het gebied van fraude(risico’s). Wij bevelen dan ook aan om een monitorings- en evaluatieproces vorm te geven teneinde dit inzicht wel te verkrijgen en op te kunnen anticiperen. Hierbij zijn de volgende zaken relevant:
Frauderisicomanagement Interne beheersing memoriaalboekingen
•
Wij hebben vernomen dat uw organisatie de wens heeft om op termijn een geformaliseerd fraudebeleid te realiseren. Wij onderschrijven dit streven en begrijpen dat dit de tijd vraagt om te realiseren. Op de korte termijn bevelen we daarom aan om het actieve gebruik van de ‘Handreiking frauderisicomanagement in de lijn’ als werkwijze te stimuleren en deze ook te gaan vertalen naar een vastgesteld fraudebeleid. Hiermee wordt de risicobereidheid ingekaderd en duidelijk hoe in voorkomende gevallen invulling wordt gegeven aan frauderisicomanagement binnen de gemeente.
•
Maak het reflecteren op frauderisico’s en het beheersen daarvan een standaardonderdeel van het bestaande sturings- en verantwoordingsinstrument, zodat per afdeling in beeld kan worden gebracht in welke mate men “in control’ is op dit thema. Zo wordt periodiek en structureel gereflecteerd op geïdentificeerde frauderisico’s en de maatregelen, met als doel een actuele beheersing en anticipatie op bestaande en nieuwe risico’s. Wij raden hierbij aan om voorgaande te borgen door een toezichthoudende rol formeel onder te brengen bij Stadscontrol.
Afgedwongen functiescheiding memoriaalboekingen. Wij hebben de afgelopen jaren gerapporteerd over tekortkomingen in de functiescheiding bij memoriaalboekingen. Gezien het belang hiervan, aangezien memoriaalboekingen alle mogelijke mutaties in de financiële administratie kunnen veroorzaken, besteden wij hier tijdens onze controle bijzondere aandacht aan. De gemeente was voornemens bij de implementatie van ERPx een digitale workflow in te richten om functiescheiding af te dwingen. Op basis van gesprekken met betrokken ambtenaren en nadere toetsing van de implementatie hebben wij vastgesteld dat deze workflow is ingericht. Daarmee is onze bevinding omtrent tekortschietende functiescheiding bij memoriaalboekingen opgelost, echter constateren wij dat, met de implementatie van ERPx, nog een (beperkt) aantal medewerkers de rechten hebben om de workflow (tijdelijk) te wijzigen. Wij achten dit niet wenselijk gezien hierdoor het risico in basis blijft bestaan dat de functiescheiding kan worden doorbroken. Wij hebben van uw organisatie vernomen dat zij deze bevinding inmiddels is opgelost. Vanwege de bijzondere aard van memoriaalboekingen adviseren wij een risicogerichte interne controle op te zetten om verder in beheersing te komen omtrent de risico’s die kleven aan memoriaalboekingen.
Een praktijkvoorbeeld, zoals wij deze zien bij vergelijkbare organisaties, is met uw organisatie gedeeld en besproken. Wij zullen de opzet en implementatie hiervan blijven volgen.
© Deloitte Nederland.
Kernboodschap
Bevindingen interimcontrole 2025
IT- beheersing en cybersecurity
Bijlagen
Boardletter 2025 / 251249F9D1/WK/12
Digitally signed by Bart Blomjous on 03 Dec 2025
IT-beheersing en cybersecurity Betrouwbaarheid en continuïteit geautomatiseerde gegevensverwerking
© Deloitte Nederland.
Boardletter 2025 / 251249F9D1/WK/13
Digitally signed by Bart Blomjous on 03 Dec 2025
Bevindingen IT-roadmap Nijmegen In de accountantscontrole van de gemeente Nijmegen kijken wij niet alleen naar de generieke IT-beheersing van de voor de jaarrekening relevante systemen. Wij kijken ook mee in de doorontwikkeling van het gehele systeem aan IT-beheersing aan de hand van de Nijmeegse IT-roadmap. Onderstaand vindt u een overzicht van de belangrijkste onderwerpen op dit vlak en op welke wijze wij deze elementen betrekken onze evaluatie in deze boardletter. IT-Governance
Beschikbaarheid & Continuïteit (Cyber)
Wij kijken in dit kader hoofdzakelijk naar de volgende elementen: • Waar bestaat dit raamwerk uit bij de gemeente? • Welke normenkaders hanteert de gemeente om haar beleid vorm te geven en voldoet zij hieraan? • Hoe meet en evalueert de gemeente haar groeipad naar het gewenste volwassenheidsniveau? • Welke aandachtspunten signaleren wij hierbij?
Wij kijken in dit kader hoofdzakelijk naar de volgende elementen: • Welke ambities en eisen stelt de gemeente op dit vlak aan haar partners/leveranciers? • Waar staat de gemeente nu ten aanzien van de gewenste beheersing? • Welke aandachtspunten signaleren wij hierbij?
Wanneer we spreken over IT-governance dan bedoelen we de wijze waarop binnen de gemeente Nijmegen een raamwerk is vormgegeven dat zorgt voor afstemming tussen IT- en bedrijfsdoelstellingen, efficiënte beheersing van IT-resources en beperking van IT-gerelateerde risico’s. Nijmegen hanteert passende normenkaders in het toetsen van de volwassenheid en het rapporteren hierover met IT-Roadmap. Hierbij hanteert Nijmegen de verplichte normenkaders vanuit de overheid en de Europese unie.
Het continue beschikbaar houden van de IT-omgeving is in het kader van dienstverlening en bedrijfsvoering een absolute prioriteit. Dit houdt in dat het proces rondom Business Continuity Management (BCM) voldoende aandacht moet krijgen. Dit ligt in lijn met de vereisten zoals gesteld in de nieuwe Cyberbeveiligingswet. Wij merken op dat de IT-partner IRvN en leveranciers van cloud diensten hier een belangrijke rol in spelen. Afspraken met deze partijen moeten controleerbaar en verifieerbaar zijn voor de gemeente Nijmegen.
General IT-Controls
Wij zijn vanuit onze verantwoordelijkheid als Stadsaccountant Nauw betrokken bij het verkrijgen van inzicht in de opzet en het bestaan van beheersmaatregelen die toezien op uw belangrijkste financiële systemen. Dit betreffen ERPx (financiële administratie) en Suites (administratie uitkeringen, Jeugdwet en WMO). Wij hebben dit jaar in het bijzonder aandacht voor de nieuwe applicatie ERPx en de doelstellingen om de eerdere bevindingen op gebied van de GITC in dit proces op te volgen.
Leveranciersmanagement
Leveranciersmanagement ziet toe op het beheersen van de relaties met externe IT-leveranciers en de wijze waarop zij invulling geven aan een effectieve IT-beheersomgeving. Dit omvat het waarborgen van de betrouwbaarheid en continuïteit van de systemen en gegevens die door de externe partijen beheerd worden. Wij kijken in dit kader hoofdzakelijk naar de volgende elementen: • Welke ambities en eisen stelt de gemeente op dit vlak aan haar leveranciers? • Waar staat de gemeente nu ten aanzien van de gewenste beheersing? • Welke aandachtspunten signaleren wij hierbij?
© Deloitte Nederland.
Kernboodschap
Wij kijken in dit kader hoofdzakelijk naar de volgende elementen: • Toegangsbeveiliging • Gebruikersrechten en –rollen • Periodieke interne controles op deze elementen • Welke aandachtspunten signaleren wij hierbij?
Bevindingen interimcontrole 2025
Bevindingen ITbeheersing en cybersecurity
Bijlagen
Boardletter 2025 / 251249F9D1/WK/14
Digitally signed by Bart Blomjous on 03 Dec 2025
Bevindingen IT-roadmap Nijmegen Beschikbaarheid & Continuïteit (Cyber)
IT-Governance
Cybercriminelen ontdekken steeds weer nieuwe manieren om met kwade bedoelingen in systemen te komen of systemen plat te leggen. Het is daarom van groot belang dat Nijmegen op een hoger volwassenheidsniveau komt ten aanzien van cybersecurity.
Het volwassenheidsniveau van IT-governance wordt door Nijmegen getoetst op een schaal van 1 (ad-hoc) tot 5 (geoptimaliseerd). Hierbij streeft de stad naar een volwassenheidsniveau van 3 (gestructureerd). Deze doelstelling ligt in lijn met andere 100.000+ gemeenten. In 2025 heeft de gemeente Nijmegen een update uitgevoerd op het Informatie-beveiligingsbeleid. Deze zal in Q4 van 2025, dan wel in Q1 van 2026, vastgesteld worden. Hiermee sluit het beleid weer aan op de actuele wet- en regelgeving.
De actie op het vlak van continuïteit heeft voor alle afdelingen van de gemeente continuïteitsplannen opgeleverd. In Q4 van 2025 zal het gemeente brede continuïteitsplan worden opgesteld zodat in geval van een incident of crisis duidelijk is wie welke rol heeft.
Met het aanvullende budget uit de begroting is de organisatie versterkt. Per afdeling worden de kritieke processen beoordeeld en de noodzakelijke acties op gebied van continuïteit inzichtelijk gemaakt. Hier zijn in het afgelopen jaar belangrijke stappen in gezet die door de aan te stellen continuïteitsmanager zullen worden doorgezet. In december 2025 wordt ook een security administrator aangesteld. Wij onderschrijven het belang hiervan om de voortgang van de realisatie van de minimale informatiebeveiligings-eisen (BIO2.0 en cyberbeveiligingswet) te waarborgen en deze uiteindelijk periodiek te toetsen op effectieve werking.
Met het aanstellen van de continuïteitsmanager worden de nodige maatregelen getroffen om te kunnen voldoen aan de aangescherpte eisen vanuit de nieuwe Cyberbeveiligingswet (Cbw), de Nederlandse vertaling van de EU-richtlijn NIS2. Dit zal ervoor zorgen dat, ongeacht de omstandigheden, de continuïteit van de meest kritische bedrijfsprocessen gegarandeerd is. Het continuïteitsplan vormt het startpunt voor de continuïteitsmanager. Wij adviseren periodiek rapporteren over de status en voortgang van het gemeente brede continuïteitsplan.
De IT-ontwikkelingen volgen elkaar snel op. Om de doelstelling van de stad te kunnen realiseren én tegelijkertijd bij te blijven en aan te haken in de actuele ontwikkelingen, zoals het gebruik van AI, is het blijven investeren noodzakelijk. Hiervoor is een structureel budget opgenomen in de begroting die oploopt tot € 1,2 miljoen. Wij adviseren periodiek te evalueren of alle doelstellingen hiermee behaald kunnen worden en het college en de raad te informeren welke beleidskeuzes gemaakt worden op basis van de beschikbare capaciteit.
General IT-Controls en conversie ERPx
Per 1 januari 2025 is Nijmegen overgegaan naar de nieuwe financiële administratie ERPx. In aanloop naar deze conversie hebben wij voortgangsgesprekken gevoerd en gezamenlijk met uw gemeente stilgestaan bij de aandachtspunten en specifieke risico’s, bijvoorbeeld op gebied van managementrapportages, koppelingen, datamigratie en het beschikbaar hebben van voldoende capaciteit. Door de beperkte capaciteit vanuit de leverancier Unit4 is de conversie moeizaam, maar wel succesvol verlopen. Het nieuwe systeem is sinds dit jaar volledig live. De laatste datamigratie (activamodules) wordt nog uitgevoerd en zal voor de jaarafsluiting gereed zijn.
Leveranciersmanagement
Nijmegen heeft het leveranciersmanagement in de roadmap vertaald naar Certificering IRvN & afspraken met (cloud-) leveranciers. Hierbij wordt de IT-leverancier IRvN als een partner gezien waarbij Nijmegen in gezamenlijk verband optrekt om alle maatregelen vanuit de BIO2.0 te implementeren. Wij merken op dat er momenteel beperkt inzicht is door Nijmegen in voortgang van het realiseren van de BIO-maatregelen door de IRvN. Wij adviseren de uitkomsten van de periodieke audits te evalueren om als grootste deelnemende gemeente tijdig bij te kunnen sturen indien nodig.
De prioriteiten van Nijmegen lagen afgelopen jaar bij een zorgvuldige conversie naar ERPx. Hierdoor zijn de geplande verbeteringen ten aanzien van de algemene beheersing naar achteren geschoven. De belangrijkste observaties zien toe op het formaliseren van de rechtenstructuur, het monitoren van de minimale technische functiescheiding in de applicatie en het wijzigingsbeheer binnen de ERPx applicatie. Wij hebben begrepen dat Nijmegen een verbetertraject zal starten om het change management proces rondom ERPx te verbeteren zodat deze in lijn is met het beleid zoals dit binnen Nijmegen geldt. Daarnaast is een inrichtingsdocument aanwezig dat zal bijdragen aan de stappen die gezet moeten worden op gebied van rechtenbeheer.
In 2025 zijn concrete stappen gezet in het verbeteren van de leveranciersmanagement. Met het aanstellen van een extra contractmanager krijgt de gemeente meer grip op dit gebied. Momenteel maakt Nijmegen inzichtelijk wat de kritieke leveranciers per afdeling zijn om met prioriteit de beheersing daarvan te verbeteren en de bewustwording van de afdelingen te verhogen. Wij onderschrijven het belang van het houden van regie op de leveranciers, zeker omdat de afhankelijkheid van IT-leveranciers vanuit uw stad steeds groter wordt. Wij adviseren actief de voortgang te monitoren van het in kaart brengen van kritische applicaties. © Deloitte Nederland.
Kernboodschap
Bevindingen interimcontrole 2025
Wij adviseren om in ERPx de aanbevelingen op te volgen die wij reeds hebben gedaan rondom tekortkomingen in de beheersing van de vorige applicatie CODA. Bevindingen ITbeheersing en cybersecurity
Bijlagen
Boardletter 2025 / 251249F9D1/WK/15
Digitally signed by Bart Blomjous on 03 Dec 2025
© Deloitte Nederland.
Boardletter 2025 / 251249F9D1/WK/16
Digitally signed by Bart Blomjous on 03 Dec 2025
Bijlagen
© Deloitte Nederland.
Boardletter 2025 / 251249F9D1/WK/17
Digitally signed by Bart Blomjous on 03 Dec 2025
Reikwijdte van onze werkzaamheden Onderwerp
Boodschap
Reikwijdte van onze werkzaamheden
Onze verantwoordelijkheid is het zodanig plannen en uitvoeren van een controleopdracht dat wij daarmee voldoende en geschikte controle-informatie verkrijgen voor het door ons af te geven oordeel over de jaarrekening 2025, teneinde vast te stellen dat deze een getrouw beeld geeft van de financiële positie van de gemeente Nijmegen, met inachtneming van de wettelijke bepalingen van het Besluit Begroting en Verantwoording. Een jaarrekeningcontrole heeft niet als doel enige zekerheid te geven over de kwaliteit van de interne organisatie. De controle bestaat uit een combinatie van controlewerkzaamheden, waaronder een risicoanalyse, analytische procedures, detailcontroles en voor zover mogelijk en efficiënt het testen van de interne-beheersingsmaatregelen die zijn gerelateerd aan en relevant zijn voor de controle. Wij richten ons hierbij alleen op de interne-controleomgeving die relevant is voor onze oordeelsvorming over de jaarrekening. De boardletter is gebaseerd op onze interim-controle als onderdeel van de jaarrekeningcontrole 2025. Volledigheidshalve merken wij op dat onze controlewerkzaamheden, analyse en evaluatie zijn uitgevoerd in het kader van de door uw gemeenteraad verstrekte opdracht tot controle van de jaarrekening 2025.
De geselecteerde werkzaamheden zijn afhankelijk van de door ons als accountant van de gemeente Nijmegen toegepaste oordeelsvorming, met inbegrip van het inschatten van de risico’s dat de jaarrekening een afwijking van materieel belang bevat als gevolg van fraude of fouten. Bij het maken van deze risico-inschattingen nemen wij de interne beheersing in aanmerking die relevant is voor het opmaken van de jaarrekening en voor het getrouwe en rechtmatige beeld daarvan, gericht op het opzetten van controlewerkzaamheden die passend zijn in de omstandigheden. De risico-inschattingen hebben niet tot doel een oordeel tot uitdrukking te brengen over de effectiviteit van de interne beheersing. Hierdoor is onze analyse en evaluatie beperkter dan deze zou zijn geweest in het kader van een opdracht tot het geven van een oordeel omtrent de opzet, het bestaan en de efficiency van de interne beheersing als geheel en deze bestrijkt daarom niet noodzakelijkerwijs alle in de interne organisatie vervatte tekortkomingen. Daarnaast is onze controle niet specifiek gericht op het ontdekken van fraude. Indien wij aangesteld zouden zijn om een fraudeonderzoek bij de gemeente Nijmegen uit te voeren, zouden wij wellicht additionele bevindingen hebben geconstateerd en observaties hebben gerapporteerd, anders dan die welke nu zijn opgenomen in de boardletter.
© Deloitte Nederland.
Kernboodschap
Bevindingen interimcontrole 2025
IT- beheersing en cybersecurity
Bijlagen
Boardletter 2025 / 251249F9D1/WK/18
Digitally signed by Bart Blomjous on 03 Dec 2025
Onder Deloitte wordt verstaan één of meer van Deloitte Touche Tohmatsu Limited (“DTTL’’ of ‘’Deloitte Global’’), haar wereldwijde netwerk van member firms en aan hen verbonden entiteiten (tezamen, de “Deloitte-organisatie”). DTTL en haar wereldwijde netwerk van member firms en aan hen verbonden entiteiten zijn juridisch gescheiden en onafhankelijke entiteiten, die elkaar niet kunnen verplichten of binden ten aanzien van derden. DTTL en iedere DTTL member firm en aan hen verbonden entiteiten zijn aansprakelijk voor hun eigen handelen en nalaten, en niet voor het handelen of nalaten van een andere entiteit. DTTL verleent geen diensten aan cliënten. Raadpleeg www.deloitte.com/about voor meer informatie. Deloitte levert toonaangevende audit- en assurance-, belastingadvies- en juridische diensten, en diensten op het gebied van consulting, financial advisory, en risk advisory aan bijna 90% van de Fortune Global 500® en duizenden particuliere bedrijven. Onze professionals leveren meetbare en blijvende resultaten die het vertrouwen van het publiek in kapitaalmarkten helpen versterken, klanten in staat stellen te transformeren en bloeien, en de weg wijzen naar een sterkere economie, een meer rechtvaardige samenleving en een duurzame wereld. Voortbouwend op haar meer dan 175-jarige geschiedenis, omvat het bereik van Deloitte meer dan 150 landen en gebieden.
Ontdek hoe de meer dan 415.000 mensen van Deloitte wereldwijd een impact maken die ertoe doet op www.deloitte.com. Deze communicatie bevat louter algemene informatie en noch DTTL, noch haar wereldwijde netwerk van member firms of aan hen verbonden entiteiten verleent door middel van deze communicatie professioneel advies of diensten. Voordat u een beslissing neemt of actie onderneemt die van invloed kan zijn op uw financiën of uw bedrijf, dient u een gekwalificeerde professionele adviseur te raadplegen. Geen enkele entiteit in de Deloitte-organisatie is verantwoordelijk voor enig verlies dat wordt geleden door een persoon die op deze communicatie vertrouwt.
© 2025. Neem voor informatie contact op met Deloitte Nederland.