Boardletter gemeente Nijmegen 2020 (getekend)

Boardletter 2020 Gemeente Nijmegen 3 december 2020

Deloitte Accountants B.V. Meander 551 6825 MD Arnhem Postbus 30265 6803 AG Arnhem Nederland Tel: 088 288 2888 Fax: 088 288 9777 www.deloitte.nl

Aan het college van burgemeester en wethouders van de gemeente Nijmegen Postbus 9105 6500 HG NIJMEGEN Betreft

Boardletter 2020 Datum

3 december 2020 Ons kenmerk

20120AEC80/IK

Geacht college, Wij hebben, conform het door uw gemeenteraad genomen besluit, als onderdeel van de jaarrekeningcontrole 2020, de interim-controle van de gemeente Nijmegen uitgevoerd. De interim-controle is primair gericht op de analyse en evaluatie van de interne beheersingsomgeving en de daarin opgenomen maatregelen van administratieve organisatie en interne controle. Tevens heeft de interim-controle als doel om de aandachtspunten voor de jaarrekening 2020 te signaleren en onder uw aandacht te brengen. In deze boardletter zijn onze bevindingen en aanbevelingen ter zake opgenomen. In het kader van de interim-controle hebben wij gesprekken gevoerd met diverse medewerkers en hebben wij ook veel stukken van de organisatie ontvangen. Wij spreken onze waardering en dank uit voor de inspanningen van de organisatie om dit in een relatief kort tijdbestek mogelijk te maken en voor de medewerking die ons gedurende de uitvoering van onze interim-controlewerkzaamheden is verleend. Wij merken op dat deze boardletter is opgesteld ten behoeve van het college van burgemeester en wethouders van de gemeente Nijmegen en niet zonder onze toestemming aan derden mag worden verstrekt. Graag willen wij deze rapportage en de daarin opgenomen bevindingen en aanbevelingen nader met u bespreken. Hoogachtend, Deloitte Accountants B.V.

drs. J.J. Zuidema RA

Op alle opdrachten verricht door Deloitte zijn de ‘Algemene Voorwaarden Dienstverlening Deloitte Nederland, mei 2019’ gedeponeerd bij de Kamer van Koophandel onder nummer 24362837 van toepassing. Deloitte Accountants B.V. is ingeschreven in het handelsregister van de Kamer van Koophandel te Rotterdam onder nummer 24362853. Deloitte Accountants B.V. is a Netherlands affiliate of Deloitte NSE LLP, a member firm of Deloitte Touche Tohmatsu Limited.

Inhoudsopgave Contact De volgende personen beantwoorden graag uw vragen over deze boardletter: Jaapjan Zuidema Partner Deloitte Accountants B.V. Tel: 06 5261 5738 jzuidema@deloitte.nl

1. Managementsamenvatting

4

2. Bevindingen

12

Bijlagen

23

Sander Walhout Senior Manager Deloitte Accountants B.V. Tel: 06 1312 1220 swalhout@deloitte.nl Maniek van de Pol-Hooymans Manager Deloitte Accountants B.V. Tel: 06 5359 8620 MHooymans@deloitte.nl

gemeente Nijmegen | boardletter 2020

20120AEC80/IK/3

1. Managementsamenvatting Belangrijkste boodschappen

gemeente Nijmegen | boardletter 2020

20120AEC80/IK/4

1. Managementsamenvatting De basis voor onze controle is het auditplan 2020 dat met de auditcommissie is besproken. In deze boardletter geven wij u inzicht in de (ontwikkeling van de) interne beheersing van de gemeente Nijmegen. Wij hebben tijdens onze interim-controle de procesrisico’s onderzocht, en ons primair gericht op de opzet, het bestaan en (waar mogelijk) de werking van de interne beheersingsmaatregelen, voor zover relevant voor de controle van de jaarrekening 2020. In deze managementsamenvatting geven wij onze belangrijkste boodschappen weer voor de jaarrekeningcontrole 2020 van de gemeente Nijmegen. In hoofdstuk 2 (‘Bevindingen interim-controle 2020’) hebben wij deze bevindingen meer in detail toegelicht. Onderwerp

Kernboodschap

Overall beeld is dat de interne beheersing in opzet verder is verbeterd.

Ons overall beeld vanuit de interim-controle 2020 is dat de interne beheersing op onderdelen is verbeterd ten opzichte van 2019 en van een voldoende niveau is om te komen tot betrouwbare financiële verslaggeving. Ondanks dat uw organisatie vanwege COVID-19 maatregelen veel ‘op afstand’ heeft gewerkt, heeft dit niet tot nauwelijks invloed gehad op uw interne beheersing. Ook in de interim-controle zijn verbeteringen zichtbaar, zoals de goede voorbereiding van het ‘opsteldossier’. Daarnaast ervaren wij (nog) meer pro-activiteit vanuit de organisatie om vraagstukken vroegtijdig, transparant en gedegen voorbereid met ons af te stemmen, zoals de onderbouwing van de parameters van het ontwikkelbedrijf, de vraagstukken inzake de controle en verantwoording van het sociaal domein en de monitoring en afstemming van de corona-effecten vanuit concernfinanciën. Vanuit besprekingen en informatiedocumenten hebben wij de observatie dat uw gemeente zich meer dan bewust is van de urgentie om de beheersing van de relevante processen op onderdelen verder te versterken. De opvolging van onze aanbevelingen uit de boardletter en het accountantsverslag 2019 (zie hoofdstuk 2) bevestigt dit beeld. Meerdere bevindingen uit eerdere jaren zijn op dit moment onderhanden wat wij zien als een positieve ontwikkeling.

Tegelijkertijd constateren wij dat deze ingezette verbeteringen nog wel geïmplementeerd moeten worden. Het belangrijkste aandachtspunt dat wij voorgaande jaren hebben gerapporteerd, is het opvolgen van de IT-audit bevindingen. Dit vinden wij van belang om een volgende en noodzakelijke stap te kunnen zetten in de kwaliteit van de interne beheersing. Het afgelopen jaar heeft uw gemeente in opzet een aantal concrete verbeteringen doorgevoerd in de geautomatiseerde gegevensverwerking. Wij adviseren uw college om het komend jaar prioriteit te geven aan de implementatie van deze ingezette verbeteracties. In het kader van een effectieve bedrijfsvoering adviseren wij uw college voor de belangrijkste processen meer gebruik te maken van zogenoemde “key-controls”. Een key-control is een interne beheersmaatregel, waarmee een afwijking van materieel belang kan worden voorkomen of ontdekt én tijdig kan worden gecorrigeerd. Hiermee wordt er beter gestuurd en gesteund op procescontroles (preventief) in plaats van op gegevensgerichte controles (repressief). Een voorbeeld hiervan is dat er functiescheiding in de financiële administratie wordt aangebracht tussen het inboeken van een memoriaalboeking en het valideren van een memoriaalboeking aan de hand van de onderliggende stukken.

Wij hebben vastgesteld dat er meer gebruik kan worden gemaakt van geprogrammeerde controles en adviseren het college te onderzoeken hoe data-analyses hierin een bijdrage kunnen leveren. Een concreet voorbeeld hiervan is de inzet van een robot waarmee u de piek van Tozo-aanvragen snel, efficiënt en zorgvuldig kunt afhandelen.

gemeente Nijmegen | boardletter 2020

20120AEC80/IK/5

1. Managementsamenvatting Onderwerp

Kernboodschap

Gemeente Nijmegen houdt de financiële situatie rondom het coronavirus nauwlettend in de gaten

De coronacrisis en de onzekerheden die daarbij horen, zorgen ervoor dat 2020 wezenlijk anders verloopt dan andere jaren. Het heeft veel impact voor de inwoners, bedrijven, instellingen en verenigingen van Nijmegen, maar ook op de financiële positie van uw gemeente. Er zijn minder inkomsten en veel meer uitgaven. Daarnaast is er nog steeds op onderdelen onzekerheid over de bijdragen van het Rijk. Dat geldt zowel voor de uiteindelijke compensatie van gemeenten als de structurele wijzigingen die - los van de coronamaatregelen - nodig zijn om lokale overheden op een goede manier hun werk te laten doen. De verleiding is daarom groot om de stad financieel ‘op slot’ te zetten. U heeft juist geld beschikbaar gesteld om de gevolg van de coronacrisis te dempen. Dit gaat om investeringen in wonen, cultuur, lokale economie en de binnenstad. Wij hebben kennis genomen van de corona-crisismonitor waaruit de financiële impact voor de gemeente Nijmegen blijkt. Wij concluderen dat de gemeenteraad hiermee periodiek en op de belangrijkste punten wordt geïnformeerd. Deze financiële impact op de gemeente Nijmegen is een belangrijk thema bij onze controle. Wij hebben bij onze interimcontrole inzicht verkregen in de impact op uw organisatie, processen en financiële stromen. De (nieuwe) Tozo-regeling vergt zowel intern als extern een extra controle-inspanning bij de controle van boekjaar 2020.

Gezien de specifieke aard van deze transactiestroom, het feit dat deze activiteit nieuw is voor de gemeente en de omvang van de transactiestroom materieel is, hebben wij in detail inzicht in dit proces verkregen. Wij concluderen dat het proces in opzet betrouwbaar is ingeregeld.

Cybersecurity heeft uw aandacht maar kan verder worden versterkt

De methodes die internetcriminelen hanteren om toegang te krijgen tot de systemen en data van Nederlandse gemeenten of van individuele ambtenaren worden steeds sluwer en doortastender. De technische beheersingsmaatregelen om cyber incidenten te voorkomen moeten daarom van voldoende niveau zijn. In de praktijk blijkt echter ook dat enkel technische beveiliging vaak onvoldoende bescherming biedt tegen het gebruik van malware en social engineering. Gemeente Nijmegen is zich bewust van de risico’s en voert diverse werkzaamheden uit om deze risico’s te mitigeren zoals het vergroten van het bewustzijn onder haar medewerkers voor (op de persoon gerichte) phishing aanvallen. Het college van de gemeente Nijmegen heeft in november 2019 het Informatiebeveiligingsbeleid vastgesteld wat gebaseerd is op de Baseline informatiebeveiliging Overheden (BIO). Hierin zijn de rollen en verantwoordelijkheden ten aanzien van beveiliging vastgelegd. Het informatiebeveiligingsbeleid vormt samen met het Information Security Management Systeem (ISMS) de basis voor het realiseren van een betrouwbare geautomatiseerde gegevensverwerking. Verder zien wij een positieve ontwikkeling op de naleving van de Algemene Verordening Gegevensbescherming (AVG) en adviseren om na te gaan hoe de verbreding naar het informatiebeveiligingsaspect verder vorm kan krijgen.

De gemeente Nijmegen is één van de eerste gemeenten die in samenwerking met de VNG de SIEM (Security information & Event Management) implementatie aan het realiseren is. Dit is een positieve ontwikkeling waarbij Nijmegen is aangesloten bij het landelijk initiatief om de technische informatie beveiliging naar een hoger volwassenheidsniveau te tillen.

gemeente Nijmegen | boardletter 2020

20120AEC80/IK/6

1. Managementsamenvatting Onderwerp

Kernboodschap

Cybersecurity heeft uw aandacht maar kan verder worden versterkt (vervolg)

Ten slotte willen wij adviseren om de beheersing rondom persoonlijke apparaten (zoals laptops, telefoons en tablets) aan te scherpen. In de tijd dat wij steeds meer op afstand met elkaar moeten samenwerken zal ook het gebruik van persoonlijke apparaten toenemen. Toestaan van het gebruik van persoonlijke apparaten, betekent dat er geen grip is op welke data de gemeente “verlaat”. Recente ontwikkelingen bij de gemeente Den Bosch met betrekking tot toegang tot WhatsApp maken het des te meer duidelijk dat controle noodzakelijk is.

Opzet algemene ITbeheersmaatregelen verbeterd, implementatie nog niet altijd aantoonbaar

In 2020 zijn wij de opvolging van de IT-audit bevindingen nagegaan als onderdeel van de jaarrekeningcontrole 2020. Het gaat hier om de beheersing van de voor onze controle relevante systemen; de financiële administratie (Coda) en de administratie voor het sociaal domein (Suites 4 Werk & Inkomen). Wij zien dat het afgelopen jaar verbeteringen zijn aangebracht in de beheersing van deze applicaties. Dit toont aan dat het belang hiervan binnen de gemeentelijke organisatie erkend wordt. Concreet zijn er verbeteringen doorgevoerd in de opzet van de processen rondom de logische toegangsbeveiliging en van het wijzigingsbeheer. Het is nu de uitdaging om door te pakken op de daadwerkelijke implementatie en de continue werking van deze processen en de relevante controls hierin. Deze vormen immers het “fundament” voor een betrouwbare werking van de financiële systemen van de gemeente Nijmegen. Het is ook van belang dat de gemeenschappelijke organisatie, ICT Rijk van Nijmegen, voldoende invulling hieraan geeft, aangezien hier een belangrijk deel van het functionele beheer van de financiële systemen is belegd. Belangrijk onderdeel daarbij is eveneens een Service level Agreement overeen te komen, waarin ook wordt opgenomen dat ICT Rijk van Nijmegen een zogenoemde “ISAE 3402 Type II verklaring” overlegt.

Met deze verklaring legt ICT Rijk van Nijmegen verantwoording af aan de gemeente over de betrouwbaarheid van de algemene IT-beheersmaatregelen. In het bijzonder willen wij uw aandacht vestigen op de noodzakelijke verbeteringen ten aanzien van functiescheiding in de relevante applicaties, zowel in de toekenning van rechten aan gebruikers als de periodieke review of de toegekende rechten aan medewerkers nog in lijn zijn met hun functie. Dit is met name kritisch voor de financiële administratie waar momenteel geen review plaatsvindt op de juistheid van de rechten en procuratielimieten van de budgethouders. Dit aandachtspunt is ook in eerdere boardletters gerapporteerd. Ondanks de stappen die Nijmegen heeft gezet kunnen wij nog niet steunen op de interne beheersing van uw geautomatiseerde omgeving en de daarmee samenhangende betrouwbaarheid van het lijstwerk. Hier zullen wij net als afgelopen jaren bij onze jaarrekeningcontrole aanvullende gegevensgerichte werkzaamheden op verrichten. Wij adviseren uw college op korte termijn beleid vast te stellen (IT-governance) welke stappen zij de komende jaren wil zetten op het gebied van algemene IT-beheersmaatregelen. Vervolgens, als onderdeel van IT-governance, een detailplan op te stellen met o.a.

deadlines en het benoemen van een actieverantwoordelijke op te stellen zodat op korte termijn overgegaan kan worden tot de daadwerkelijke implementatie van de noodzakelijke (resterende) verbeteringen.

gemeente Nijmegen | boardletter 2020

20120AEC80/IK/7

1. Managementsamenvatting Onderwerp

Kernboodschap

Gemeente Nijmegen loopt voorop in de wijze van verantwoording van het sociaal domein in vergelijking met andere 100.000+ gemeenten.

Een belangrijk onderdeel van de interne beheersing van het sociaal domein betreft het vaststellen van de kwaliteit en kwantiteit van de geleverde zorg. Veel gemeenten zijn hierbij afhankelijk van de controleverklaringen van de zorgaanbieders. Een positieve ontwikkeling is dat uw gemeente interne controles heeft geïmplementeerd waarmee uw gemeente zelfstandig zekerheid verkrijgt over de getrouwheid en rechtmatigheid van de bestedingen in het kader van het sociaal domein. Hiermee loopt de gemeente Nijmegen voorop ten opzichte van andere gemeenten.

Er zijn nog wel mogelijkheden om de tussentijdse prognoses van het sociaal domein te optimaliseren.

Wij hebben naast de financiële verantwoording van het sociaal domein in het kader van de jaarrekeningcontrole ook aandacht besteed aan de tussentijdse cijfers van het sociaal domein. Het belang van goede tussentijdse prognoses in het kader van kostenbeheersing van sociaal domein wordt onderkend door de ambtelijke organisatie. Een positieve ontwikkeling is dat uw gemeente gebruik maakt van data-analyse voor het opstellen van de prognoses zoals bijvoorbeeld trendanalyse en verschillende dashboards. Vanwege de omvang van de zorg gerelateerde kosten adviseren wij u de dataanalyses verder te versterken zodat uw gemeente continu voldoende inzicht heeft in de ontwikkeling van de zwaarste, duurste en meest ingrijpende trajecten. Dit is een innovatieve maatregel die op korte termijn (nieuwe) inzichten kan geven in de kostenontwikkeling per zorgaanbieder, per zorgtraject en op totaalniveau. Daarentegen blijken regelmatig verschillen tussen de begroting, voortgangsmonitor en de daadwerkelijke realisatie in de jaarrekening. Overigens vallen deze verschillen over het algemeen wel binnen de gehanteerde bandbreedtes. Het sociaal domein bestaat uit vele verschillende zorgcategorieën zoals jeugdzorg, WMO, beschermd wonen, etc. Gezien de verschillende eigenschappen van deze categorieën hanteert gemeente Nijmegen verschillende methode om de prognoses tot stand te laten komen.

Dit maakt prognosticeren binnen het sociaal domein ook lastig. Wij adviseren om dit proces verder te verbeteren gezien het belang van kostenbeheersing. Uw gemeente onderkent het belang hiervan. De coronacrisis vraagt dit jaar extra aandacht voor de financiële sturing van sociaal domein. De ontwikkeling van prognoses heeft nog steeds prioriteit, maar logischerwijs is er veel tijd besteed aan de (financiële) effecten van de coronacrisis. Een andere positieve ontwikkeling is dat de gemeente Nijmegen is gestart om de eerstelijnszorg verder te versterken. De eerste lijn betreft bijvoorbeeld deelname aan algemene voorzieningen in de wijk, triage of een begeleidingstraject. Dit is overigens per gemeente verschillend ingericht. Wanneer dit niet voldoende is om de hulpvraag op te lossen, ontvangt een inwoner een doorverwijzing naar de tweede lijn. De tweede lijn betreft specialistische zorg bij een externe zorgaanbieder. Wij hebben vernomen dat de gemeente Nijmegen de eerstelijnszorg aan het versterken is zodat naar verwachting minder beroep gedaan hoeft te worden op de dure specialistische zorg. Gezien het grote maatschappelijke/sociale én financiële belang om de ‘sociale keten’ goed te laten functioneren, onderschrijven wij dit initiatief.

Omzetgaranties c.q. continuïteitsbijdragen aan zorgaanbieders

De coronacrisis heeft veel invloed gehad op de werkzaamheden binnen het sociaal domein. De rijksoverheid heeft dringend beroep gedaan op gemeenten om te zorgen voor de zorgcontinuïteit. Hierbij is geadviseerd om de niet-geleverde zorg ook door te betalen. Ten tijde van de interim-controle hebben wij vastgesteld dat dit niet om materiële bedragen gaat. Wanneer bij de jaarrekeningcontrole 2020 blijkt dat deze bedragen materieel zijn geworden dan zullen wij hierover rapporteren in ons accountantsverslag.

gemeente Nijmegen | boardletter 2020

20120AEC80/IK/8

1. Managementsamenvatting Onderwerp

Kernboodschap

De gemeente heeft de tweedelijns controles ingericht.

In de eerste lijn worden zaken als processen, richtlijnen, functiescheiding, geautomatiseerde en handmatige controles uitgevoerd. De tweede lijn vervult een belangrijke rol in het bewaken en verbeteren van de bedrijfsvoering in de eerste lijn. Daarnaast spelen zij een leidende rol bij het maken van strategische en financiële keuzes ten aanzien van beleidsontwikkeling. Daarom vinden wij het belangrijk dat de bevindingen van de tweede lijn worden vastgelegd en dat zichtbaar follow-up wordt gegeven aan de punten die worden gesignaleerd.

Er zijn nog wel mogelijkheden om de rapportages te verbeteren.

De gemeente heeft de tweede lijncontrole ingericht door middel van strategische business controllers (verantwoordelijk voor een domein) en business controllers (verantwoordelijk voor een programma). Een domein bestaat uit meerdere programma’s. Beide rapporteren periodiek over hun verantwoordelijksheid gebied. De business controller rapporteert door middel van een maandrapportage. Deze rapportage is grotendeels financieel ingestoken. Wij hebben vastgesteld dat de maandrapportage verder gestructureerd kan worden waarbij tevens de actiepunten worden opgenomen en bewaakt. Verder stellen de strategisch business controllers periodiek een prestatie-dialoog op. Dit is een overkoepelde beknopte rapportage. Wij merken op dat deze prestatie-dialoog verder doorontwikkeld kan worden door de data gestructureerd te analyseren en te visualiseren. Dit kan bijdragen aan de kwaliteit van de interne beheersing en financiële verantwoording van het lopend boekjaar. Uw gemeente onderkent het belang om deze tweedelijns controle verder te verstekken. Een concrete verbeteractie die in gang is gezet is de oprichting van het kwaliteitsteam. Dit team heeft als doelstelling om de financiële verantwoording te verbeteren door een basis dossier voor de jaarrekening op te stellen en hiermee te waarborgen dat er voldoende onderliggende documentatie beschikbaar is.

Het komende jaar wil het team hier een periodiek proces van maken, waarbij dit ook tussentijds getoetst wordt. Wij onderschrijven het belang van deze werkgroep en zullen ten tijden van de jaarrekening de concrete verbeteringen vaststellen.

Groeipad voor het schattingsproces van de grondexploitatie is voortgezet.

In de afgelopen jaren hebben wij geadviseerd de vastleggingen van het schattingsproces en bijbehorende procedures verder te versterken. Wij constateren dat de gemeente Nijmegen actief bezig is om de vastleggingen van het schattingsproces verder te versterken. Een concreet voorbeeld hiervan is dat er een workshop is gehouden om de vastleggingen van het schattingsproces verder te versterken. Aanvullend hierop zien wij dat de ambtelijke organisatie bijzonderheden vanuit de actualisaties tijdig met de accountant bespreken zodat verrassingen achteraf voorkomen worden. Wij vinden deze werkwijze zeer prettig en onderschrijven de al reeds genomen acties door de gemeente Nijmegen. Aangezien de actualisatie van de grondexploitaties (VGP) nog niet heeft plaatsgevonden, zullen wij de follow-up van dit onderdeel betrekken in ons accountantsverslag.

gemeente Nijmegen | boardletter 2020

20120AEC80/IK/9

1. Managementsamenvatting Onderwerp

Kernboodschap

Woondeal ArnhemNijmegen; bestemmingswijziging van een project kan effect hebben op de waardering

Het Rijk, de provincie Gelderland en 18 gemeenten hebben afspraken gemaakt om samen snel meer woningen te bouwen in de regio Arnhem-Nijmegen om invulling te geven aan het woningtekort, de zogenaamde Woondeal Arnhem-Nijmegen. Deze Woondeal moet ervoor zorgen dat er sneller en meer betaalbare huur- en koopwoningen worden gebouwd. Het versterken van het groene profiel en ook het bereikbaar houden van de regio zijn daarbij belangrijke uitgangspunten. Daarnaast wordt ingezet op het verbeteren van de leefbaarheid en veiligheid.

Een aandachtspunt voor onze jaarrekeningcontrole is het bedrijventerrein de Grift

Een aandachtspunt voor uw Stadsrekening 2020 is de toekomstige ontwikkeling van bedrijventerrein de Grift. De Grift maakt deel uit van de totaalvisie Knoop 38, logistieke Corridor A15. Dit bedrijventerrein is een deelproject van de Waalsprong. Doel is om het internationale vestigingsklimaat te stimuleren en banen te creëren. Dit door middel van een multi-modaal vervoersysteem met als speerpunt duurzame bedrijventerreinen.

De gemeente Nijmegen heeft hiervoor in het kader van de woondeal € 5 miljoen aan impulsgelden aangevraagd en toegewezen gekregen voor de inrichting van het stationsgebied. Voor het gebied Winkelsteeg zal op korte termijn een aanvraag in het kader van de woningbouwimpulsgelden bij het Ministerie van BZK worden ingediend. De bestaande planexploitaties Nieuwe Dukenburgseweg-Compaq en Knoop Winkelsteeg, welke onderdeel zullen uitmaken van de transformatie van het gebied Winkelsteeg, zijn nu nog als bedrijventerreinen geclassificeerd. Wanneer de gemeenteraad besluit de bestemming van bedrijventerrein te wijzigingen naar woningbouw mag dit verwerkt worden in de jaarrekening zolang dit besluit genomen wordt voor afgifte van de controleverklaring. Dit zou bijvoorbeeld kunnen door middel van het VGP. Wij adviseren u deze mogelijkheid te verkennen ter meer omdat de bestemmingswijziging effect kan hebben op de waardering van het project.

Voor initiatieven, zoals De Grift geldt wel dat deze regionaal afgestemd moeten worden en dat de ladder voor duurzame verstedelijking succesvol doorlopen moet worden. Voor De Grift is deze procedure nog niet afgerond. De Grift is onderdeel van het Regionaal Programma Werklocaties (RPW). Wij hebben begrepen dat deze aan het einde van dit jaar wordt geactualiseerd en hiermee mogelijk meer duidelijkheid wordt verschaft over het al dat niet ontwikkelen van het bedrijventerrein. De gemeente Nijmegen dient hiervoor nog wel onderbouwingen aan te leveren over de ladder van duurzame verstedelijking. Wanneer deze actualisatie niet tijdig wordt afgerond dan wel dat hierover geen duidelijkheid wordt verschaft, vragen wij het college een positionpaper op te stellen waaruit blijkt dat het aannemelijk is dat de Grift in de toekomst uitgegeven mag worden. Daarnaast heeft uw gemeente een bijdrage (€ 4,4 miljoen) gereserveerd voor knooppunt 38. Uit de gesprekken met de planeconomen, de wethouder financiën alsmede het coalitieakkoord maken wij op dat deze bijdrage alleen wordt verstrekt vanuit de gemeente Nijmegen als de Grift uitgegeven mag worden. Voorgaand jaar is in de grondexploitatie de Grift nog geen rekening gehouden met deze bijdrage.

Mede gezien in het VGP ervan uit wordt gegaan dat de Grift uitgeefbaar is, vinden wij het aannemelijk dat dit jaar hiervoor een best mogelijke raming wordt opgenomen in de grondexploitatie Waalsprong, specifiek de Grift.

gemeente Nijmegen | boardletter 2020

20120AEC80/IK/10

1. Managementsamenvatting Onderwerp

Kernboodschap

Aandacht voor balans tussen hard- en softcontrols

Soft controls (bedrijfscultuur, houding en gedrag) bepalen, naast de hard controls (methoden en technieken), in belangrijke mate het succes van een organisatie. Daarom zien wij soft controls als basis van interne beheersing en daarmee van onze controle. Relevante onderwerpen zijn hierbij onder andere integriteit en ethiek, onafhankelijkheid, kwaliteitsdenken, integrale sturing en verantwoordelijkheden. Dit zijn basiswaarde van de gemeentelijke organisatie die voor u en ons zo ontzetten relevant zijn om de kwaliteit, in de brede zin van het woord, te garanderen. Deze items hebben wij meegenomen in onze gesprekken over de interne beheersing. Wij hebben vastgesteld dat het afgelopen jaar stappen zijn gezet om de softcontrols verder te versterken. Voorbeelden hiervan zijn het leiderschapsprogramma 2020, de prestatiedialoog tussen directeur en afdelingshoofd, een gedragsonderzoek naar ‘leren van wat wij doen’ en (nog) meer pro-activiteit vanuit de organisatie om vraagstukken vroegtijdig, transparant en goed voorbereid met ons af te stemmen.

Rechtmatigheidsverantwoording verdient nog aandacht

Uw gemeente moet naar verwachting vanaf het boekjaar 2021 een rechtmatigheidsverantwoording opnemen in de jaarstukken. Om 2021 klaar te zijn voor een rechtmatigheidsverklaring dient er tijdig een besluitvormingsproces gestart te worden. Wij adviseren om de gemeenteraad aan te sluiten op dit proces waarbij tevens de toleranties voor het komende jaar tijdig worden afgestemd met de gemeenteraad. Voor meer informatie verwijzen wij naar bijlage B.

Het opstellen van de Stadsrekening is dit jaar uitdagender door COVID-19

Voorgaand beeld en de bevindingen in deze boardletter maken dat wij net als voorgaande jaren een primair gegevensgerichte accountantscontrole uitvoeren. Dit vraagt van de ambtelijke organisatie extra capaciteit om de benodigde (extra) controles voor te bereiden. Een extra complicerende en onzekere factor hierbij zijn de ontwikkelingen en vraagstukken inzake de coronacrisis, zoals de wijze waarop de gemeente zekerheid kan verkrijgen over de afrekening van de zorgkosten (vooral wat betreft de omzetgaranties c.q. continuïteitsbijdragen aan zorgaanbieders), de controle en verantwoording van de stimuleringsmaatregel Tijdelijke ondersteuningsregeling zelfstandig ondernemers (Tozo) en de waardering van vorderingen inzake bijvoorbeeld verhuur en belastingen. De exacte impact hiervan op de bedrijfsvoering, de in- en externe controle en het getrouwheids- en rechtmatigheidsoordeel bij de jaarrekening is op dit moment uiteraard nog niet bekend. Mogelijk zijn er gevolgen voor de mate waarin achteraf de getrouw- en rechtmatigheid van geldstromen is vast te stellen en afhankelijk van de omvang ervan kan dit ook een effect hebben op de oordeelsvorming bij de stadsrekening 2020. Deze vraagstukken en benodigde werkzaamheden ter zake volgen wij nauwgezet en bespreken wij periodiek met de ambtelijke organisatie en waar relevant met het college en de auditcommissie.

gemeente Nijmegen | boardletter 2020

20120AEC80/IK/11

2. Bevindingen

Interim-controle 2020

gemeente Nijmegen | boardletter 2020

20120AEC80/IK/12

2. Bevindingen

Interne beheersing en follow-up aanbevelingen 2019 Interne beheersing

Follow-up aanbevelingen 2019

Bij de interim-controle 2020 hebben wij de interne beheersing van de voor de jaarrekening relevante processen onderzocht. Ook zijn wij de opvolging nagegaan van onze bevindingen over het boekjaar 2019. Onze overall conclusie is dat de interne beheersing op onderdelen is verbeterd. Deze verbeteringen moeten (in veel gevallen) nog wel verder worden geïmplementeerd.

De boardletter 2019 bevat diverse aanbevelingen om de interne beheersing verder te verbeteren. Op de volgende bladzijden maken wij in een tabel eerst visueel inzichtelijk in welke mate hieraan opvolging is gegeven en geven wij hierop vervolgens een inhoudelijke toelichting

Voor enkele processen (waaronder de beheersing en controle op de memoriaalboekingen) zien wij mogelijkheden de interne beheersing nog verder te verbeteren. Deze detailbevindingen hebben wij in het vervolg van dit hoofdstuk nader uiteengezet.

Voor het opstel- en controleproces van de jaarrekening 2020 identificeren wij de volgende belangrijkste aandachtspunten: •

Het tijdig opleveren van een juist en volledig controledossier waarop een zichtbare interne controle heeft plaatsgevonden.

De voor de jaarrekeningcontrole qua omvang en/of risico’s meest relevante posten c.q. processen zijn: • Financiële verslaggeving inclusief memoriaalboekingen • Grondexploitatie • Inkopen (inclusief aanbestedingen en betalingsverkeer) • Salarissen • Sociaal domein (jeugdzorg, Wmo, participatiewet en TOZO) • Treasury • Subsidieverstrekkingen

•

Het uitvoeren van zichtbare verbijzonderde interne controle op de verstrekte TOZO uitkeringen.

•

Het opstellen en onderbouwen van de position papers Waalsprong en Waalfront.

•

Het vaststellen van de juistheid en volledigheid van de verstrekte continuïteitsbijdragen en waar nodig herstelmaatregelen uitvoeren.

Belangrijke aandachtspunten voor de jaarrekening 2020

Voor de betrouwbaarheid en continuïteit van de geautomatiseerde gegevensverwerking steunen wij niet op de IT-omgeving.

gemeente Nijmegen | boardletter 2020

20120AEC80/IK/13

2. Bevindingen Tabel met belangrijkste bevindingen en aandachtspunten

Status 2019

# Onderwerp 1

Geen afgedwongen functiescheiding voor memoriaalboekingen

2

Cybersecurity

3

Algemene IT-beheersmaatregelen (General IT Controls)

4

Programma Aanpak Stikstof (PAS)

5

Zichtbare interne beheersing grondexploitatie

6

Prognose uitgaven sociaal domein

7

Frauderisicoanalyse

8

TOZO-regeling – impact COVID-19

Legenda: Nieuwe bevinding Aandachtspunt in het kader van de jaarrekeningcontrole

Status 2020

n.v.t.

Bevinding opgelost Eerder gerapporteerde bevinding; gedeeltelijk opgelost/opvolging onderhanden Eerder gerapporteerde bevinding; niet opgelost

gemeente Nijmegen | boardletter 2020

20120AEC80/IK/14

2. Bevindingen

#1 Geen afgedwongen functiescheiding voor memoriaalboekingen Bevinding 2019 Memoriaalboekingen krijgen in onze controle bijzondere aandacht, omdat met memoriaalboekingen alle mogelijke mutaties in de financiële administratie kunnen worden doorgevoerd. Hierdoor kunnen interne-beheersmaatregelen die erop gericht zijn de juiste en volledige verantwoording van de cijfers in de jaarrekening te waarborgen met een memoriaalboeking worden omzeild. Het is daarom van belang voldoende interne-beheersmaatregelen te implementeren, om te waarborgen dat memoriaalboekingen terecht gemaakt worden en er niet op gericht zijn de cijfers en de verslaggeving in de jaarrekening te sturen. Voorgaand jaar hebben wij gerapporteerd over het proces inzake het maken van memoriaalboekingen. Binnen CODA is functie-scheiding ingeregeld, doordat wordt afgedwongen dat de gemaakte memoriaalboekingen nog definitief moeten worden door-geboekt door een medewerker van de afdeling bedrijfsadministratie. Echter, bij het doorboeken van een memoriaalboeking vindt er geen inhoudelijke controle meer plaats op de gemaakte boeking. Daarnaast kunnen de medewerkers van de afdeling bedrijfsadministratie zelf ook memoriaalboekingen aanmaken, waardoor voor deze memoriaalboekingen geen functiescheiding wordt afgedwongen.

Ten tijde van de interim-controle heeft de gemeente Nijmegen aangegeven dat er een inhoudelijke controle plaatsvindt. Deze wordt echter niet zichtbaar vastgelegd. Daarnaast hebben wij vernomen dat er momenteel analyses op de memoriaalboekingen worden uitgevoerd. Wij hebben hier nog geen kennis van genomen, aangezien deze analyses nog niet gereed zijn. Status interim-controle 2020 Uw gemeente is in 2020 gestart met het implementeren van een analysetool op de ingevoerde memoriaalboekingen. Deze analysetool groepeert alle memoriaalboekingen naar geautomatiseerde doorboekingen en incidentele correcties. Tot en met juli 2020 zijn er 6.500 regels memoriaalboekingen gemaakt waarvan 12% correctieboekingen betreffen. De gemeente acht het risico op fouten in de incidentele correcties minimaal en heeft vervolgens geen aanvullende analyse uitgevoerd. Daarnaast is er een 4-ogen principe ingeregeld. De memoriaalboeking wordt aangemaakt door de business ondersteuners en de definitieve doorboeking wordt gemaakt door het bureau bedrijfsadministratie. Dit 4-ogen principe wordt echter niet in alle gevallen systeemtechnisch afgedwongen. Daarnaast is de onderbouwing bij de memoriaalboeking niet altijd diepgaand genoeg waardoor het bureau bedrijfsadministratie geen toereikende controle kan uitvoeren. Dit wordt vervolgens niet terug gekoppeld naar de verantwoordelijke voor deze memoriaalboeking.

Dit sluit aan op onze eerdere observatie over softcontrols waarin wij hebben aangegeven dat de aanspreekcultuur binnen de gemeente Nijmegen verder geprofessionaliseerd kan worden Het risico bestaat dat er onjuiste memoriaalboekingen worden geboekt in de financiële administratie, aangezien de functiescheiding niet in alle gevallen wordt afgedwongen, en er bij het doorboeken van de memoriaalboekingen geen zichtbare inhoudelijke controle plaatsvindt op basis van een volwaardige onderbouwing. Wij adviseren de gemeente enerzijds het 4-ogen principe technisch af te dwingen middels een geprogrammeerde controle binnen de financiële administratie. Daarnaast onderschrijven wij het belang van kwalitatief goede onderbouwing van een memoriaalboeking. Het opstellen van een leidraad over de werkwijze van memoriaalboekingen is hiervoor een oplossing. Het bureau bedrijfsadministratie kan op basis van de leidraad memorialen afkeuren wanneer documentatie niet voldoende is. gemeente Nijmegen | boardletter 2020

20120AEC80/IK/15

2. Bevindingen #2 Cybersecurity Bevinding 2019 Op basis van de gesprekken met uw medewerkers constateren wij dat u het belang onderkent van adequate cyberbeheersmaatregelen. U hebt op onderdelen verbetermaatregelen getroffen om specifieke risico’s met betrekking tot cybersecurity te mitigeren. Wij constateren echter ook dat het opvolgen van de uitkomsten van deze maatregelen nog aandacht verdient, met name op de onderdelen detectie en risicoanalyse. Daarnaast zien wij dat de gemeente zich nog sterk kan ontwikkelen in het volwassenheidsniveau waarop de werkzaamheden worden aangestuurd en uitgevoerd. In de periode vanaf heden t/m de uitrol van de Security Information and Event Management (SIEM)-oplossing bij de gemeente adviseren wij u een inventarisatie te maken van alle kritische onderdelen, en periodiek te bekijken of er geen ongeautoriseerde handelingen zijn uitgevoerd met betrekking tot deze kritische onderdelen. Dit kan bijvoorbeeld worden gerealiseerd door het analyseren van logbestanden. Daarnaast adviseren wij u ten aanzien van de risicoanalyse om deze continu te updaten. Het cyber dreigingsbeeld verandert continu, en het is van belang dat de gemeente Nijmegen in dat kader haar risico’s periodiek evalueert en de maatregelen bijstelt, waar noodzakelijk. De laatste risicovaststelling dateert uit 2017.

Wij onderschrijven het plan van uw gemeente om de risico’s in 2020 te actualiseren. Status interim-controle 2020 Het college van de gemeente Nijmegen heeft in november 2019 het Informatiebeveiligingsbeleid vastgesteld wat gebaseerd is op de Baseline informatiebeveiliging Overheden (BIO). Hierin zijn de rollen en verantwoordelijkheden ten aanzien van beveiliging vastgelegd. Het informatiebeveiligingsbeleid vormt samen met het Information Security Management Systeem (ISMS) de basis voor het realiseren van een betrouwbare informatievoorziening. Wij merken echter op dat het beleid en de uitvoering hiervan gefocust is op het naleven van de Algemene Verordening Gegevensbescherming (AVG). Wij adviseren om de scope van het informatiebeveiligingsbeleid en de uitvoering hiervan te verbreden naar het volledige aspect van informatiebeveiliging. De gemeente Nijmegen is één van de eerste gemeenten die in samenwerking met de VNG de SIEM (Security information & Event Management) implementatie aan het realiseren is. Dit is een positieve ontwikkeling waarbij Nijmegen is aangesloten bij het landelijk initiatief om de technische informatie beveiliging naar een hoger volwassenheidsniveau te tillen. Naast de implementatie van SIEM is de gemeente samen met het iRvN een Early Warning System (EWS) aan het implementeren.

Het EWS is zowel een minimale uitvoering van en een voorbereiding op de SIEM waarbij logging wordt verzameld en geanalyseerd wordt op mogelijke bedreigingen. Het EWS is net als de SIEM nog in ontwikkeling waardoor, ondanks de positieve ontwikkeling tot het implementeren van dergelijke tooling, wij de effectiviteit van dit systeem niet hebben kunnen vaststellen. Met de implementatie van de applicatie Cybermanager is aan de hand van het beveiligingsniveau van de BIO een classificatie gemaakt waarmee de kritische onderdelen van de organisatie in kaart zijn gebracht. De volgende stap betreft de opzet en implementatie van de gewenste beheersmaatregelen op deze kritische onderdelen. Naast de interne kwetsbaarheden heeft de gemeente inzicht verkregen in de externe partijen binnen het IT-landschap. De waarborging van de volledigheid van de analyse op de externe partijen en een segmentatie op basis van een risico analyse ontbreekt hierin. Daarnaast is zal de gemeente ook stappen moeten zetten in de beheersing van de activiteiten derde partijen doormiddels van ISAE 3402 Type II verklaringen. Met deze verklaring leggen de externe partijen verantwoording af aan de gemeente over de betrouwbaarheid van de algemene IT-beheersmaatregelen. Ten slotte willen wij adviseren om de beheersing rondom persoonlijke apparaten (zoals laptops, telefoons en tablets) aan te scherpen.

In de tijd dat wij steeds meer op afstand met elkaar moeten samenwerken zal ook het gebruik van persoonlijke apparaten toenemen. Toestaan van het gebruik van persoonlijke apparaten, betekent dat er geen grip is op welke data de gemeente “verlaat”. Recente ontwikkelingen bij de gemeente Den Bosch met betrekking tot toegang tot WhatsApp maken het des te meer duidelijk dat controle noodzakelijk is. gemeente Nijmegen | boardletter 2020

20120AEC80/IK/16

2. Bevindingen

#3 Algemene IT-beheersmaatregelen (General IT Controls) Bevinding 2019 Voorgaand jaar hebben wij geconstateerd dat uw IT-omgeving, met name op het onderdeel ‘rechtenbeheer’, de nodige verbetering behoeft. In dit kader is ons verteld dat er periodiek visuele gebruikersreviews worden uitgevoerd. Het verdient aanbeveling om deze gebruikersreviews vast te leggen in het ticketsysteem. Bij deze reviews dient zichtbaar gekeken te worden naar eventuele functie-scheidingsconflicten, op basis van de opgestelde functiescheidingsmatrix. Bij onjuistheden dient u hierop te acteren. Wijzigingen in accounts of rechten die naar aanleiding van gebruikersreview zijn/worden doorgevoerd, dienen ook te worden vastgelegd. Wij adviseren u om een generiek proces in te richten, zodat de gebruikersreviews op een eenduidige wijze worden uitgevoerd en zichtbaar worden vastgelegd, over alle applicaties en/of systemen heen. Het verdient hierbij aanbeveling om het tijdigheidsaspect te definiëren; indien er risico’s gesignaleerd worden, is het raadzaam om zo hier zo snel mogelijk (in dezelfde werkweek of uiterlijk binnen 5 werkdagen) opvolging aan te geven. Status interim-controle 2020 In 2020 hebben wij follow-up IT-audit werkzaamheden uitgevoerd als onderdeel van de jaarrekeningcontrole 2020.

Het afgelopen jaar heeft de uw gemeente stappen gezet in het verbeteren van de beheersing van de geautomatiseerde omgeving. Zo heeft u verbeteringen doorgevoerd, hoofdzakelijk in de opzet, van de processen rondom de logische toegangsbeveiliging en het wijzigingsbeheer. Het is nu de uitdaging om door te pakken op de daadwerkelijke implementatie en de continue werking van deze processen en de relevante controls hierin. Deze vormen immers het “fundament” voor een betrouwbare werking van de financiële systemen van de gemeente Nijmegen. Het is ook van belang dat de gemeenschappelijke organisatie, ICT Rijk van Nijmegen, voldoende invulling hieraan geeft, aangezien hier een belangrijk deel van het functionele beheer van de financiële systemen is belegd. In het bijzonder willen wij uw aandacht vestigen op de noodzakelijke verbeteringen ten aanzien van functiescheiding in de relevante applicaties, zowel in de toekenning van rechten aan gebruikers als de periodieke review of de toegekende rechten aan medewerkers nog in lijn zijn met hun functie. Dit is met name kritisch voor de financiële administratie waar momenteel geen review plaatsvindt op de juistheid van de rechten en procuratielimieten van de budgethouders. Dit aandachtspunt is ook in eerdere boardletters gerapporteerd.

Ondanks de stappen die Nijmegen heeft gezet kunnen wij nog niet steunen op de interne beheersing van uw geautomatiseerde omgeving en de daarmee samenhangende betrouwbaarheid van het lijstwerk. Hierop zullen wij net als afgelopen jaren tijdens onze jaarrekeningcontrole aanvullende gegevensgerichte werkzaamheden verrichten. Wij adviseren uw college een plan met o.a. deadlines en het benoemen van een actieverantwoordelijke op te stellen zodat op korte termijn overgegaan kan worden tot de daadwerkelijke implementatie van de noodzakelijke (resterende) verbeteringen.

gemeente Nijmegen | boardletter 2020

20120AEC80/IK/17

2. Bevindingen

#4 Programma Aanpak Stikstof (PAS) Bevinding 2019 Op 29 mei 2019 oordeelde de Raad van State dat overheden het Programma Aanpak Stikstof (hierna: PAS) niet meer mogen gebruiken voor toestemmings- en vergunningverlening. Deze uitspraak heeft verschillende gevolgen voor zowel de toestemmings- en vergunningverlening als voor de activiteiten die met het PAS waren vrijgesteld van de vergunningsplicht. De gemeente Nijmegen heeft eind juni 2019 het Kernteam Stikstof Nijmegen opgericht. Dit projectteam volgt actief de risico’s van deze uitspraak, die zullen worden meegenomen in de herziening van het VGP 2020. Status interim-controle 2020 In Nijmegen worden met name veel woningbouwprojecten en bijbehorende infra en voorzieningen/bedrijven gerealiseerd. Dergelijke projecten veroorzaken veel minder stikstofemissie dan de intensieve veehouderijen, de grote infraprojecten en de grote industrieprojecten. In Nijmegen gaat het op hoofdlijnen ook, los van de juridische benadering, met name om activiteiten die per saldo voor een lagere stikstofdepositie zorgen. Voor de Waalsprong geldt namelijk dat van agrarisch (waaronder kassen, veehouderij en akkerbouw) naar woningbouw gasloos wordt gegaan. Voor Waalfront gaat het om transformatie van industrie naar woningbouw gasloos. En in de bestaande stad gaat het grotendeels om herstructurering waarbij minimaal van gas naar gasloos wordt gegaan.

Per geval wordt een stikstofbeoordeling gemaakt en wordt onderzocht en/of onderbouwd hoe significant negatieve effecten op Natura 2000gebieden (op voorhand) zijn. Tot nu toe zijn (na een stikstofberekening, een ecologische voortoets en/of het toepassen van meer emissiearm bouwmaterieel in de aanlegfase) de inschattingen bij de individuele gevallen dat stikstof geen knelpunt is en dat deze door kunnen gaan. Toch zijn de precieze gevolgen niet altijd bekend, mede omdat er nog veel onduidelijkheden zijn rondom de stikstofproblematiek. Wel is recent, 15 oktober 2020, een nieuwe versie van AERIUS (het stikstofrekenmodel) verschenen, op basis van de nieuwste wetenschappelijk inzichten. Daarin valt positief op dat er minder overbelasting is in het Natura 2000-gebied Rijntakken rondom Nijmegen. Ofwel: minder overbelaste hexagonen (= hexagonen waar de achtergronddepositie lager is dan de KDW (Kritische DepositieWaarde)). Wij onderschrijven het belang van het hiervoor gevormde ‘Kernteam Stikstof Nijmegen’ en de uitgevoerde beoordelingen. Het programma aanpak stikstof is ook van groot belang voor het bedrijventerrein ‘De Grift’. De Grift maakt deel uit van de totaalvisie Knoop 38, logistieke Corridor A15. Dit bedrijventerrein is een deelproject van de Waalsprong. Doel is om het internationale vestigingsklimaat te stimuleren en banen te creëren.

Dit door middel van een multimodaal vervoersysteem met als speerpunt duurzame bedrijventerreinen. Het Kernteam Stikstof Nijmegen voert momenteel een quickscan stikstof uit voor het bedrijventerrein De Grift. Uit de eerste verkenningen lijkt stikstof geen belemmerende factor te zijn voor de ontwikkeling van De Grift. Wij verzoeken u deze quickscan af te ronden voor de jaarrekeningcontrole 2020 en de uitkomsten hiervan met ons te delen.

gemeente Nijmegen | boardletter 2020

20120AEC80/IK/18

2. Bevindingen

#5 Zichtbare interne beheersing grondexploitatie Bevinding 2019 In ons auditplan 2019 hebben wij aandacht gevraagd voor de inrichting van het schattingsproces en de hiermee samenhangende interne beheersing van de grondexploitaties. Wij hadden namelijk tijdens de audit 2018 geconstateerd dat het vaststellen van deze interne procedures en de het beoordelen van het inschattingsproces sterker kunnen qua aard, reikwijdte en diepgang. Ten tijde van de interim-controle 2019 hebben wij geconstateerd dat de gemeente in samenwerking met Fakton werkt aan inrichten van haar dossiervorming en aan de kwaliteit van de actualisaties bij de planexploitatie Waalsprong. Wij hebben een positieve indruk van de verbeteringen tot nu toe. Afgesproken is dat de binnen de gemeente afgestemde uitgangspunten in een eerder stadium met de accountant gedeeld worden, en dat de accountant inzicht krijgt in de voortgang van de actualisaties van de planexploitaties. Wij hebben de concrete implementatie hiervan echter nog niet kunnen vaststellen. Status interim-controle 2020 In de afgelopen jaren hebben wij geadviseerd de vastleggingen van het schattingsproces en bijbehorende procedures verder te versterken. Wij constateren dat de gemeente Nijmegen actief bezig is om de vastleggingen van het schattingsproces verder te versterken.

Een concreet voorbeeld hiervan is dat er een workshop is gehouden om de vastleggingen van het schattingsproces verder te versterken. Aanvullend hierop zien wij dat de ambtelijke organisatie bijzonderheden vanuit de actualisaties tijdig met de accountant bespreken zodat verassingen achteraf voorkomen worden. Wij vinden deze werkwijze zeer prettig en onderschrijven de al reeds genomen acties door de gemeente Nijmegen. Aangezien de actualisatie van de grondexploitaties (VGP) nog niet heeft plaatsgevonden, zullen wij de follow-up van dit onderdeel betrekken in ons accountantsverslag.

gemeente Nijmegen | boardletter 2020

20120AEC80/IK/19

2. Bevindingen

#6 Prognose uitgaven sociaal domein Bevinding 2019 Een belangrijk onderdeel van de interne beheersing van het sociaal domein betreft het vaststellen van de kwaliteit en de kwantiteit van de geleverde zorg. In de afgelopen jaren is uw gemeente, net als de andere 100.000+ gemeenten, geconfronteerd met onverwachte tekorten in het sociaal domein. Tijdens de jaarrekeningcontrole 2018 hebben wij geconstateerd dat de inschatting van de zorgkosten te laag was opgenomen in de jaarrekening. De gemeente steunt voor deze inschatting nog veel op de gerealiseerde cijfers vanuit het berichtenverkeer met de zorgaanbieders. De aanbieders hebben per jaareinde echter niet alle facturatieberichten verstuurd, waardoor het berichtenverkeer een onvolledig beeld van de lasten geeft. Op basis van ervaringscijfers, prognoses van aanbieders en contacten met aanbieders dient een zo volledig mogelijke schatting gemaakt te worden van de last en van de nog aan de aanbieders te betalen kosten. Er is ruimte voor verbetering, door een verregaande samenwerking met systeeminstellingen (aanbieders waar je niet zonder kunt) als ketenpartners (informatie delen/inzicht in bedrijfsvoering aanbieder/gebruikmaken en delen van data/proactief signaleren/gedeeld eigenaarschap, etc.). Hierdoor kunnen afwijkingen tussentijds worden onderkend en kan waar nodig tijdig worden bijgestuurd.

Dit wordt door uw college ook onderkend. Een van de maatregelen die wordt getroffen, is dat er met minder zorgaanbieders contracten worden afgesloten.

Status interim-controle 2020 Wij hebben naast de financiële verantwoording van het sociaal domein in het kader van de jaarrekeningcontrole ook aandacht besteed aan de tussentijdse cijfers van het sociaal domein. Het belang van goede tussentijdse prognoses in het kader van kostenbeheersing van sociaal domein wordt onderkend door de ambtelijke organisatie. Een positieve ontwikkeling is dat uw gemeente gebruik maakt van data-analyse voor het opstellen van de prognoses zoals bijvoorbeeld trendanalyse en verschillende dashboards. Vanwege de omvang van de zorg gerelateerde kosten adviseren wij u de data-analyses verder te versterken zodat uw gemeente continu voldoende inzicht heeft in de ontwikkeling van de zwaarste, duurste en meest ingrijpende trajecten. Dit is een innovatieve maatregel die op korte termijn (nieuwe) inzichten kan geven in de kostenontwikkeling per zorgaanbieder, per zorgtraject en op totaalniveau. Daarentegen blijken regelmatig verschillen tussen de begroting, voortgangsmonitor en de daadwerkelijke realisatie in de jaarrekening. Omdat gewerkt wordt met bandbreedtes vallen deze verschillen over het algemeen wel binnen de gehanteerde bandbreedtes. Het sociaal domein bestaat uit vele verschillende zorgcategorieën zoals jeugdzorg, WMO, beschermd wonen, etc.

Gezien de verschillende eigenschappen van deze categorieën hanteert gemeente Nijmegen verschillende methode om de prognoses tot stand te laten komen. Dit maakt prognosticeren binnen het sociaal domein ook lastig. Wij adviseren om dit proces verder te verbeteren gezien het belang van kostenbeheersing. Uw gemeente onderkent het belang hiervan. De coronacrisis vraagt dit jaar extra aandacht voor de financiële sturing van sociaal domein. De ontwikkeling van prognoses heeft nog steeds prioriteit, maar logischerwijs is er veel tijd gegaan naar de (financiële) effecten van de coronacrisis.

gemeente Nijmegen | boardletter 2020

20120AEC80/IK/20

2. Bevindingen

#7 Frauderisicoanalyse Bevinding 2019 In 2018 hebben wij vastgesteld dat het maken en/of periodiek actualiseren van een fraude-risicoanalyse geen zichtbaar onderdeel vormt van de interne-beheersingsomgeving. Uw organisatie loopt hiermee toch het risico dat de interne beheersing kwetsbare plekken bevat die onopgemerkt blijven. Tijdens de interim-controle 2019 hebben wij vastgesteld dat uw gemeente is gestart met een eerste verkenning van de kwetsbare werkgebieden en activiteiten op het gebied van fraude-risico’s. Deze verkenning moet in samenspraak met de organisatie nog verder worden verrijkt, zodat de risico's voorzien worden van een duiding, kans en impact. Een concreet plan van aanpak ontbreekt nog, maar het voornemen bestaat om aansluiting te zoeken bij het bestaande instrumentarium voor risicomanagement. De oplevering van het plan van aanpak is voorzien in Q2 2020. Status interim-controle 2020 Tijdens de interim-controle van 2020 hebben wij vastgesteld dat het plan van aanpak voor de frauderisicoanalyse gereed is. Uit dit plan van aanpak blijkt dat voor de materiële processen de mate van fraudegevoeligheid in beeld wordt gebracht en het risicobewustzijn verhoogd wordt. Deze verkenning moet in samenspraak met de organisatie nog verder worden verrijkt, zodat de risico's voorzien worden van een duiding, kans en impact en mogelijke beheersmaatregelen.

Het is belangrijk hierbij: •

Mogelijke (fraude)risico’s te identificeren en evalueren die voortkomen uit de coronacrisis (zoals het thuiswerken).

•

De formele en financiële afwikkeling van eventuele fraudes(ignalen) te betrekken en te evalueren, inclusief de impact ervan op de interne frauderisicoanalyse en interne beheersingsmaatregelen.

De oplevering van de frauderisicoanalyse staat in november 2020 gepland. Wij onderkennen dat de gemeente stappen zet om tot een geformaliseerde interne fraude-risicoanalyse te komen en deze in te bedden in het huidige interne-beheersingsomgeving. Wel vragen wij uw aandacht voor de tijdige formalisering hiervan en voor het waarborgen dat op een passende wijze invulling wordt gegeven aan deze analyse.

gemeente Nijmegen | boardletter 2020

20120AEC80/IK/21

2. Bevindingen

#8 TOZO-regeling – impact COVID-19 Status interim-controle 2020 Eén van de maatregelen die het kabinet gebruikt om ondernemers te steunen tijdens de coronacrisis is de Tijdelijke overbruggingsregeling zelfstandig ondernemers (Tozo). Deze regeling vult het inkomen van zelfstandige ondernemers aan tot het sociaal minimum indien het inkomen van de zelfstandig ondernemer door de coronacrisis onder het sociaal minimum daalt. De gemeente Nijmegen heeft voor € 9,5 miljoen aan Tozo I uitkeringen verstrekt en € 3,3 miljoen aan Tozo II uitkeringen. De gemeente Nijmegen is vanwege de urgentie van de coronacrisis voortvarend aan de slag gegaan met de eerste tranche Tozo verstrekkingen. Vanwege de tijdsdruk bij de gemeente Nijmegen en het feit dat de algemene maatregel van bestuur (AMvB) Tozo pas tijdens de looptijd van de eerste tranche is gepubliceerd, kan de gemeente Nijmegen mogelijk niet altijd volledig zijn in de controle van alle voorwaarden van de eerste tranche. De Minister van SZW vindt het onbillijk om gemeenten hier financieel op af te rekenen1, omdat de problematiek mede het gevolg is van een verzoek van het Rijk aan gemeenten om bij de eerste tranche snel in actie te komen. De Tozo kent verschillende rechtmatigheidseisen.

Voor wat betreft de eerste tranche is besloten - mede met het oog op de ‘hardheidsclausule’ - een strikt onderscheid te maken tussen fundamentele rechtmatigheidseisen, belangrijke rechtmatigheidseisen en formele rechtmatigheidseisen. Het onderscheid tussen fundamentele en belangrijke rechtmatigheidseisen is gemaakt omdat fouten en onzekerheden ten aanzien van deze eisen verschillende consequenties hebben voor de Rijksvergoeding. Rechtmatigheidsfouten en -onzekerheden inzake belangrijke rechtmatigheidseisen worden onder voorwaarden onder de werking van de hardheidsclausule gebracht. Daarmee kan worden voorkomen dat fouten en onzekerheden ten aanzien van de belangrijke rechtmatigheidseisen tot een korting op de Rijksvergoeding leiden. Van gemeenten wordt echter verwacht dat zij geconstateerde tekortkomingen in het proces van uitkeringsverstrekking opheffen om het aantal fouten en onzekerheden zoveel mogelijk te reduceren. Het voldoen aan de fundamentele rechtmatigheidseisen is essentieel voor zowel de beoordeling van de rechtmatigheid als voor het in aanmerking komen voor vergoeding vanuit het Rijk. Aan nakoming hiervan wordt onverkort vastgehouden. Voor de rechtmatigheidscontrole van de Stadsrekening an sich speelt het onderscheid tussen fundamentele en belangrijke rechtmatigheidseisen geen rol.

Alle tekortkomingen met betrekking tot de rechtmatigheid van de Tozo zijn wel van belang voor de Stadsrekening. Uw gemeente verantwoordt zich achteraf, na afloop van het uitvoeringsjaar, op de gebruikelijke wijze (via het systeem van Single Information Single Audit: SiSa) aan het Rijk over de gedane bestedingen en de bijbehorende baten. Uw gemeente heeft de mogelijkheid om de nodige controle- c.q. herstelacties direct uit te voeren door bijvoorbeeld gebruik te maken van landelijke data-analyses van het inlichtingen bureau. Het is echter van belang deze acties tijdig uit te voeren zodat deze herstelacties meegenomen kunnen worden in de jaarrekeningcontrole 2020.

1 https://vng.nl/sites/default/files/2020-10/communicatie-rechtmatigheid-en-financiele-verantwoording-tozo-richting-gemeenten.pdf

gemeente Nijmegen | boardletter 2020

20120AEC80/IK/22

Bijlagen

gemeente Nijmegen | boardletter 2020

20120AEC80/IK/23

Bijlage A - Reikwijdte van onze werkzaamheden Onze verantwoordelijkheid is het zodanig plannen en uitvoeren van een controleopdracht dat wij daarmee voldoende en geschikte controleinformatie verkrijgen voor het door ons af te geven oordeel over de jaarrekening van 2020, teneinde vast te stellen dat deze een getrouw beeld geeft van de financiële positie van de gemeente Nijmegen, met inachtneming van de wettelijke bepalingen van het Besluit Begroting en Verantwoording.

De risico-inschattingen hebben niet tot doel een oordeel tot uitdrukking te brengen over de effectiviteit van de interne beheersing. Hierdoor is onze analyse en evaluatie beperkter dan deze zou zijn geweest in het kader van een opdracht tot het geven van een oordeel omtrent de opzet, het bestaan en de efficiency van de interne beheersing als geheel en bestrijkt deze daarom niet noodzakelijkerwijs alle in de interne organisatie vervatte tekortkomingen.

Een jaarrekeningcontrole heeft niet als doel om enige zekerheid te geven over de kwaliteit van de interne organisatie. De controle bestaat uit een combinatie van controlewerkzaamheden, waaronder een risicoanalyse, analytische procedures, detailcontroles en voor zover mogelijk en efficiënt het testen van de interne beheersingsmaatregelen die zijn gerelateerd aan en relevant zijn voor de controle. Wij richten ons hierbij alleen op de interne controle-omgeving die relevant is voor onze oordeelsvorming over de jaarrekening.

Daarnaast is onze controle niet specifiek gericht op het ontdekken van fraude. Indien wij aangesteld zouden zijn om een fraudeonderzoek bij de gemeente Nijmegen uit te voeren, zouden wij wellicht additionele bevindingen hebben geconstateerd en observaties hebben gerapporteerd dan die welke nu zijn opgenomen in de boardletter.

De boardletter is gebaseerd op onze interim-controle als onderdeel van de jaarrekeningcontrole 2020. Volledigheidshalve merken wij op dat onze controlewerkzaamheden, analyse en evaluatie zijn uitgevoerd in het kader van de door uw gemeenteraad verstrekte opdracht tot controle van de jaarrekening 2020. De geselecteerde werkzaamheden zijn afhankelijk van de door ons als accountant van de gemeente Nijmegen toegepaste oordeelsvorming, met inbegrip van het inschatten van de risico’s dat de jaarrekening een afwijking van materieel belang bevat als gevolg van fraude of fouten. Bij het maken van deze risico-inschattingen nemen wij de interne beheersing in aanmerking die relevant is voor het opmaken van de jaarrekening en voor het getrouwe en rechtmatige beeld daarvan, gericht op het opzetten van controlewerkzaamheden die passend zijn in de omstandigheden.

gemeente Nijmegen | boardletter 2020

20120AEC80/IK/24

Bijlage B - Rechtmatigheidsverantwoording Uw gemeente moet naar verwachting vanaf het boekjaar 2021 een rechtmatigheidsverantwoording opnemen in de jaarstukken. De Tweede Kamer behandelt het wetsvoorstel in december 2020. De tekst van de rechtmatigheidsverantwoording, die in de jaarrekening opgenomen moet worden, is reeds gepubliceerd door de commissie BBV. In de paragraaf Bedrijfsvoering in het jaarverslag komt een nadere toelichting op de rechtmatigheidsverantwoording. De commissie BBV komt naar verwachting eind 2020 met een publicatie over wat in deze toelichting minimaal verplicht is en wat verder in de toelichting opgenomen kan worden. De uitgangspunten voor de rechtmatigheidsverantwoording zijn als volgt: •

De rechtmatigheidsverantwoording is een onderdeel van de jaarrekening. Dit is een te hanteren standaardtekst waarin alleen op hoofdlijnen eventuele onrechtmatigheden boven de zogenaamde verantwoordingsgrens moeten worden opgesomd.