39.Managementletter 2021
Tekst van het document
Managementreactie Er wordt bekeken of de facturatie van klaslokalen als contractregel kan worden toegevoegd met een jaarlijks aanpasbaar bedrag. Het bedrag hangt immers af van het aantal klaslokalen wat er per schooljaar wordt gebruikt. Waarschijnlijk wordt er jaarlijks een nieuwe contractregel aangemaakt onder het contract met looptijd van een jaar en een nieuwe huurprijs geldend voor dat jaar. Dit is de laatste facturatiemethode die handmatig wordt uitgevoerd in Excel.
Er is een inventarisatie van deze objecten en een voorlopige planning om de overeenkomsten af te sluiten. Wanneer er sprake is van financiële verplichting staat het object als contract opgenomen in Planon.
17XII
Rapportage interim-bevindingen
Inleiding Inhoudsopgave Onze boodschappen
Toelichting bevindingen huuropbrengsten
Controlekader Vooruitkijkend
Bevinding: 2020-13 Onvoldoende functiescheiding in Planon
Bijlagen
Line of defence
Bevindingen per proces
ISA-vereisten
Bevinding De rechten en bevoegdheden in Planon zijn onvoldoende ingeregeld in het systeem. Dit betekent dat medewerkers die toegang hebben tot Planon wijzigingen kunnen aanbrengen in de huuradministratie zonder dat hier een afgedwongen controle op plaatsvindt. Update 2021 De gemeente heeft mitigerende maatregelen, dit zijn achteraf controles. Dit dekt echter wel een deel van het risico af. Verder adviseren we de derde lijn periodiek controles uit te voeren. Risico en aanbeveling Door het ontbreken van functiescheiding in Planon, bestaat het risico op ongeautoriseerde mutaties in Planon. We bevelen aan om functiescheiding af te dwingen in het systeem.
Prioriteit Laag
Managementreactie We gaan onderzoeken of we maatregelen kunnen nemen om deze bevinding te mitigeren.
Wij zullen dit gaan doen in samenspraak met de vakafdelingen en deze vakafdelingen betrekken bij een oplossing.
17XIII
Rapportage interim-bevindingen
Inleiding Inhoudsopgave Onze boodschappen
Toelichting bevindingen sociaal domein
Controlekader Vooruitkijkend
Bevinding: 2020-14 Onvoldoende waarborgen voor prestatielevering in de eerste lijn
Bijlagen
Line of defence
Bevindingen per proces
ISA-vereisten
Bevinding In het PGB-proces wordt prestatielevering vastgesteld door het uitvoeren van belrondes in de tweede/derde lijn achteraf per jaareinde. In de eerste lijn zijn er onvoldoende waarborgen om vooraf vast te stellen dat de prestatie is geleverd. Update 2021 De bevinding is nog niet opgevolgd. Belrondes worden wel nog steeds uitgevoerd. Risico en aanbeveling Risico van onrechtmatige PGB indien hier geen prestatielevering aan gekoppeld zit. Wij bevelen u aan om interne beheersingsmaatregelen in te regelen waardoor prestatie-levering gedurende het jaar gewaarborgd is.
Prioriteit Hoog
Managementreactie In Q4 van 2021 vindt er een belronde plaats voor zowel ZiN als PGB om de prestatielevering vast te kunnen stellen. Vanaf 2022 zal het vaststellen van prestatielevering per kwartaal gebeuren.
17XIV
Rapportage interim-bevindingen
Inleiding
Toelichting bevindingen sociaal domein Inhoudsopgave Bevinding: 2020-15 Inrichting interne beheersing proces sociaal domein geeft ruimte voor verbetering Onze boodschappen Controlekader Vooruitkijkend Bijlagen
Bevindingen per proces ISA-vereisten
Line of defe nce
Bevinding In het sociaal domein zijn een aantal interne beheersingsmaatregelen aanwezig, echter worden deze werkzaamheden niet zichtbaar gedocumenteerd en vastgelegd. Hierdoor kunnen wij niet steunen op deze interne beheersing: • Het onderzoeksverslag is niet getekend door de aanvrager en gemeente (PGB). • De beschikking kan door een andere medewerker worden getekend met de naam en ondertekening van een ander onderaan de beschikking (ZIN). • Geen zichtbare vastlegging van de controlepunten van de collegiale toets voor zowel het proces PGB als ZIN. Update 2021 De eerste twee bevindingen zijn opgevolgd. De tweede bevinding komt wel terug, ook uit de controles van Team audit, doordat het ook gaat om eerder getekende beschikking. Vanaf medio 2020 is dit opgevolgd. De laatste bevinding dient nog opgevolgd te worden. Risico en aanbeveling Doordat de hierboven beschreven werkzaamheden niet te herleiden zijn, is er een risico dat gemaakte kosten onrechtmatig zijn. Er is immers geen mogelijkheid om te herleiden of de juiste werkzaamheden zijn uitgevoerd en de bestaande interne beheersing correct wordt uitgevoerd. Ons advies is om de interne beheersing zodanig in te richten dat de uitgevoerde werkzaamheden herleidbaar zijn. Met betrekking tot het derde punt is ons advies om na te gaan of de werkzaamheden kunnen worden ingebed in de interne beheersing in de eerste lijn.
Prioriteit Middel
Managementreactie In het Suite (het programma waarin het werkproces wordt doorlopen en de rapportages worden gemaakt) zijn codes aangemaakt die meegegeven kan worden als resultaat voor de (collegiale) toetsing. Deze codes geven weer op welke punten getoetst wordt. Zijn alle punten bij toetsing akkoord bevonden, dan krijgt het proces bij doorfaseren de code mee `Getoetst akkoord'. Wanneer toetsing niet akkoord is, wordt het werkproces teruggezet bij de betreffende klantmanager met in de rapportage feedback en een code die gelijkstaat aan de reden waarom de klantmanager het werkproces terug krijgt. De codes, en daarmee ook de toetspunten zijn: Rechtmatigheid en juridische onderbouwing; Leesbaarheid, lay-out, typ-/spelfouten, lettertype gebruik, geen gekopieerde e-mails in de verslagen; Kwaliteit en inhoud van de analyse; Bijdrage aan gestelde financiële doelen van de afdeling (voorliggend, goedkoopst/adequaat, mogelijkheid tot afschaling). Er is per werkproces te herleiden of de collegiale toetsing heeft plaatsgevonden en nu met de codes ook te herleiden wat het resultaat van de toetsing is geweest. Daarnaast heeft er in september 2021 een verandering plaatsgevonden in de toetsprocedure. Er wordt onderscheid gemaakt tussen hoogrisico en laagrisico voorzieningen.
De werkprocessen met de laagrisico voorziening wordt niet meer één op één getoetst, maar wordt op basis van steekproef getoetst. De steekproef wordt getrokken, uitgevoerd en vastgelegd in Value Care. Toetsing vindt plaats aan de hand van vragen die ook wordt gebruikt door interne audit. De steekproef in Value Care op de laagrisico voorzieningen wordt komende periode verder aangescherpt en ingericht, zodat dit kan worden ingezet als tweedelijns controle.
17XV
Rapportage interim-bevindingen
Inleiding Inhoudsopgave Onze boodschappen
Toelichting bevindingen sociaal domein
Controlekader Vooruitkijkend
Bevinding: 2020-16 Doorlooptijd afwikkeling PGB-aanvragen wordt niet altijd nageleefd
Bijlagen
Line of defence
Bevindingen per proces
ISA-vereisten
Bevinding De gemeente Nissewaard heeft in haar beleid opgenomen dat binnen twee weken gereageerd dient te worden op aanvragen (meldingen) voor PGB’s. Tevens mag de totale afhandeling niet langer dan twee maanden duren. Wij hebben vastgesteld dat de aanvragen (meldingen) en bevestigingen niet (altijd) worden gerealiseerd/dan wel dat niet vast te stellen is dat de termijn wordt behaald. Update 2021 Op personeel vlak zijn er maatregelen getroffen om de achterstanden in te halen. Met zaakgericht werken per september, verwacht de afdeling ook een verbetering. Value Care gaat een controle inbouwen om de termijn te controleren (net als al gebeurt bij Wmo Zin en Jeugd Zin). Bevinding blijft gelden maar is dus onderhanden. Risico en aanbeveling Het risico is dat de gemeente Nissewaard hier juridisch aansprakelijk voor kan worden gesteld. Wij adviseren u om na te gaan of registratie van de termijnen in het systeem kan worden geregeld en dat de juiste interne beheersingsmaatregelen worden ingericht om te voorkomen dat doorlooptijden overschreden worden.
Prioriteit Middel
In Value Care zijn de bestaande dashboard, omtrent de meldingen en afhandeling daarvan, aangescherpt en er zijn nieuwe dashboards gebouwd voor de administratie. Hierin wordt weergegeven welke processen er op de verschillende werkvoorraden staan bij de administratie en wordt ook de doorlooptijd per werkproces in kaart gebracht. Zodra een werkproces vanuit de klantmanager bij de administratie wordt gezet, heeft de administratie twee weken de tijd om het werkproces af te handelen. Wekelijks worden de dashboards besproken in het werkoverleg. Daar waar de doorlooptijd gaat wringen, wordt geprobeerd om extra actie op in te zetten. Het afgelopen jaar is er extra personeel ingezet en zijn er tal van maatregelen genomen (o.a. beschikkingen maken terugleggen bij de klantmanagers, afspraken voor intakegesprekken laten inplannen ipv dat klantmanagers dat zelf doen) om de doorlooptijd te halen. De komende periode zal hier blijvende inzet op benodigd zijn.
17XVI
Rapportage interim-bevindingen
Inleiding Inhoudsopgave Onze boodschappen
Toelichting bevindingen sociaal domein
Controlekader Vooruitkijkend
Bevinding: 2020-17 Onzekerheden in de jaarrekening als geen aanvullende werkzaamheden worden verricht rondom PGB’s en ZIN
Bijlagen
Line of defence
Bevindingen per proces
ISA-vereisten
Bevinding De vorige accountant heeft afgelopen jaar voor uitgaven Wmo en Jeugd voor €947.000 niet kunnen vaststellen dat de uitgaven rechtmatig zijn besteed (geen verantwoordingen voorzien van controleverklaring door derden). Update 2021: Bevinding niet meer van toepassing. Risico en aanbeveling Nvt.
17XVII
Rapportage interim-bevindingen
Inleiding Inhoudsopgave Onze boodschappen
Toelichting bevindingen sociale zaken
Controlekader Vooruitkijkend
Bevinding: 2020-18 Kwaliteitscontroles worden niet altijd conform opzet uitgevoerd
Bijlagen
Line of defence
Bevindingen per proces
ISA-vereisten
Bevinding De klantmanagers in het proces sociale zaken zijn bevoegd om besluitvorming te maken, beschikkingen te autoriseren en tevens uitkeringen te registreren. Deze taken kunnen door dezelfde klantmanager worden uitgevoerd. Voor klantmanagers zonder beslissings-bevoegdheid vindt er een controle plaats door de tweede lijn, adviseurs kwaliteit. Op de managers met beslissingsbevoegdheid vindt er steekproefsgewijs een controle plaats. Tijdens onze werkzaamheden en werkzaamheden van Team audit hebben wij geconstateerd dat deze kwaliteitscontrole niet (altijd) werkt, er komen bevindingen uit de controle. Update 2021 Bevinding is niet opgevolgd. Risico en aanbeveling Dit brengt als risico met zich mee dat er een hogere kans bestaat dat er fouten worden gemaakt en dus onterecht wel óf juist niet een sociale uitkering wordt toegekend óf dat een uitkering wordt toegekend voor het verkeerde bedrag. We bevelen u aan om na te gaan of de interne beheersing in de eerste lijn kan worden aangescherpt door het aanbrengen van functiescheiding tussen de taken die de klantmanagers verrichten. Daarnaast adviseren wij om het belang van een gedegen kwaliteitscontrole nader te bespreken (wellicht met training).
Prioriteit Hoog
Managementreactie We gaan onderzoeken of we maatregelen kunnen nemen om deze bevinding te mitigeren.
Wij zullen dit gaan doen in samenspraak met de vakafdelingen en deze vakafdelingen betrekken bij een oplossing.
17XVIII
Rapportage interim-bevindingen
Inleiding Inhoudsopgave Onze boodschappen
Toelichting bevindingen verstrekte subsidies
Controlekader Vooruitkijkend
Bevinding: 2020-19 Geen zichtbare vastlegging kwaliteitschecklist
Bijlagen
Line of defence
Bevindingen per proces
ISA-vereisten
Bevinding Binnen het proces verstrekte subsidies is er functiescheiding beschikbaar tussen aanvraag en toekenning, echter worden de toetspunten en controlepunten niet zichtbaar vastgelegd. Update 2021 De gemeente heeft de bevinding onderhanden en is standaard formats/checklisten aan het opstellen en naar verwachting worden deze doorgevoerd per 1 januari 2022. Risico en aanbeveling Dit betekent dat we achteraf niet kunnen vaststellen of de juiste controles zijn uitgevoerd binnen dit proces, met als gevolg een gegevensgerichte controle. We adviseren u de controlepunten in het proces verstrekte subsidies zichtbaar vast te leggen.
Prioriteit Laag
Managementreactie We hebben de bevinding onderhanden en zijn standaard formats/checklisten aan het opstellen. Naar verwachting kunnen deze worden doorgevoerd per 1 januari 2022.
17XIX
Rapportage interim-bevindingen
Inleiding Inhoudsopgave Onze boodschappen
Toelichting bevindingen IT
Controlekader Vooruitkijkend
Bevinding: 2020-20 IT-formalisatie wijzigingsbeheerproces
Bijlagen
Line of defence
Bevindingen per proces
ISA-vereisten
Bevinding De gemeente Nissewaard beschikt niet over een geformaliseerd wijzigingsbeheerproces over alle applicaties heen (procedurebeschrijving). Daarnaast worden software- en configuratiewijzigingen in Coda, SDD en ADP niet zichtbaar getest. Risico en aanbeveling Hierdoor bestaat het risico dat wijzigingen onvoldoende worden getest en de werking van geautomatiseerde beheersingsmaatregelen niet gewaarborgd is. Wij bevelen aan om het wijzigingsbeheerproces te formaliseren. Tevens waarborgen dat alle wijzigingen in de software en de configuratie worden geregistreerd, getest en geaccordeerd voor vrijgave in de productieomgeving.
Prioriteit Hoog
Managementreactie De functioneel applicatiebeheerders en Syntrophos voeren gezamenlijk de testen uit gesplitst naar de applicatie- en technische kant. Dit reguliere proces wordt steeds verder vormgegeven voor wat betreft verslaglegging etc.
17XX
Rapportage interim-bevindingen
Inleiding Inhoudsopgave Onze boodschappen
Toelichting bevindingen IT
Controlekader Vooruitkijkend
Bevinding: 2020-21 IT-formalisatie autorisatiebeheerproces
Bijlagen
Line of defence
Bevindingen per proces
ISA-vereisten
Bevinding Wij hebben vastgesteld dat de gemeente Nissewaard niet beschikt over één formeel autorisatiebeheerproces over alle systemen heen (procesbeschrijving), maar dat aparte werkwijzen worden gehanteerd voor het beheer van autorisaties binnen Coda, SSD, ADP en het netwerk. Het huidige proces kent de volgende verbeterpunten • Uitdiensttreders worden niet altijd tijdig gemeld aan applicatiebeheer. • Periodieke controles op de juistheid van autorisaties ontbreken om vast te stellen dat autorisaties in lijn zijn met de rollen van medewerkers. • Zichtbare monitoring op de activiteiten van gebruikers met beheerrechten en databasegebruikers wordt niet uitgevoerd. Risico en aanbeveling Het risico bestaat dat medewerkers onjuiste autorisaties in de systemen hebben en daarmee onrechtmatige transacties of activiteiten uitvoeren.
Ons advies is om één formeel autorisatiebeheerproces (procesbeschrijving) te implementeren over alle applicaties heen dat waarborgt dat autorisaties op dezelfde manier worden toegekend, gewijzigd, verwijderd en gecontroleerd. Waarborg daarnaast dat de periodieke controle van autorisaties door systeemeigenaren wordt uitgevoerd, opgevolgd en gedocumenteerd.
Prioriteit Hoog
Managementreactie Het Logisch toegangsbeveiligsbeleid (LTB) is nog niet formeel vastgesteld. Ondertussen is wel vorm gegeven aan de voorbereiding hiervan door de brede procesinventarisatie. In het projectplan van de procesinventarisatie is de implementatie van het LTB opgenomen.
17XXI
Rapportage interim-bevindingen
Inleiding Inhoudsopgave Onze boodschappen
Toelichting bevindingen IT
Controlekader Vooruitkijkend
Bevinding: 2020-22 IT onrechtmatige accounts met beheerrechten
Bijlagen
Line of defence
Bevindingen per proces
ISA-vereisten
Bevinding Wij hebben in afstemming met leverancier Syntrophos drie onrechtmatige accounts met beheerrechten (‘administrator’) op het netwerk aangetroffen. Update 2021: Bevinding opgevolgd Risico en aanbeveling Het risico bestaat dat deze accounts gebruikt worden voor onrechtmatige handelingen of om functiescheiding te doorbreken. Als uw accountant adviseren wij om de beheerrechten te beperken tot medewerkers die deze rechten nodig hebben voor hun functie. Daarnaast raden wij aan om periodiek te controleren of de beheerrechten juist zijn toegekend.
17XXII
Rapportage interim-bevindingen
Inleiding Inhoudsopgave Onze boodschappen
Toelichting observaties IT
Controlekader Vooruitkijkend
Observatie IT: 2020-23 Actuele IT-strategie
Bijlagen
Line of defence
Bevindingen per proces
ISA-vereisten
Bevinding De gemeente Nissewaard heeft gedurende de jaren 2016-2018 een IT-strategie genaamd I-Visie gehanteerd als koersbepaling voor IT-projecten. Momenteel beschikt de gemeente niet over een actuele IT-strategie voor de langere termijn. Update 2021: Bevinding opgevolgd, IT strategie is vastgesteld in de gemeente raad op 3 maart 2021. Risico en aanbeveling Dit vergroot het risico dat acties en besluiten en/of procedures op het gebied van IT de (organisatie)ambities van de gemeente Nissewaard niet ondersteunen en/of realiseren. We adviseren de gemeente Nissewaard om op basis van de organisatiebrede strategie een nieuwe IT-strategie op te stellen. Belangrijke aspecten om mee te nemen zijn: • IT-doelstellingen.; • Richtlijnen IT-besluitvorming. • IT-governancestructuur. • Richtlijnen IT-procedures. • Applicatie/systeemroadmap. • Periodieke evaluatie van het beleid.
17XXIII
Rapportage interim-bevindingen
Inleiding Inhoudsopgave Onze boodschappen
Toelichting observaties IT
Controlekader Vooruitkijkend
Observatie IT: 2020-24 Cyberbeveiligingsmaatregelen IT
Bijlagen
Line of defence
Bevindingen per proces
ISA-vereisten
Bevinding De gemeente Nissewaard beschikt over een informatiebeveiligingsbeleid dat de uitgangspunten beschrijft voor de implementatie van beveiligingsmaatregelen rondom informatiebeveiliging. Het beleid gaat echter niet in op welke beveiligingsmaatregelen de gemeente heeft/gaat implementeren en op welke wijze dit plaats gaat vinden. Risico en aanbeveling Het risico bestaat dat de huidige beveiligingsmaatregelen onvoldoende waarborgen bieden om beveiligingsrisico’s af te dekken. Daarnaast is niet toetsbaar aan welke eisen nieuwe (IT-)ontwikkelingen moeten voldoen voorafgaand aan implementatie.
Onze aanbeveling is om het informatiebeveiligingsbeleid nader uit te werken met concrete doelstellingen en een projectmatige aanpak hoe deze doelstellingen bereikt gaan worden om te waarborgen dat cyberbeveiligingsrisico’s voldoende gemitigeerd worden.
Prioriteit Laag
Managementreactie Uiteindelijk is het beveiligingsplan niet in het vaststellingsproces gekomen. Begin 2022 is er prioriteit gegeven aan de verdere ontwikkeling en uiitbouw van het Businiss continuity management.
18
Rapportage interim-bevindingen
Inleiding Inhoudsopgave Onze boodschappen
Onze communicatie over de belangrijkste voorwaarden en aandachtspunten van de controle
Controlekader Vooruitkijkend Bijlagen
Vereiste communicatie op grond van de controlestandaarden
Controleplan
Rapportage interimbevindingen
Accountantsverslag
Mededeling over de verantwoordelijkheden van de accountant
Bevindingen per proces
Bevestiging van de onafhankelijkheid van PwC
ISA-vereisten
De zaken die zijn aangemerkt als kernpunten van de controle
Eventuele significante tekortkomingen in de interne controle
Eventuele ontdekte of vermoede fraude
Niet naleven van wet- en regelgeving
Schriftelijke bevestigingen gevraagd van het management
Alle zaken die van invloed zijn op de vorm en inhoud van de controleverklaring
Standpunt van de accountant over belangrijke kwalitatieve aspecten van de verslaggeving door het college
Rapporteren over significante moeilijkheden, aangelegenheden en overige zaken die van belang zijn voor het toezicht op het financiële verslaggevingsproces
Niet-gecorrigeerde afwijkingen
Significante aangelegenheden die naar voren komen tijdens de controle in verband met verbonden partijen van de entiteit
Beschrijving van de reikwijdte en timing van de controle, waaronder significante risico’s