St. t.k.n. nr. 1. Bijlage ML 2020 Publieke Sector NUNSPEET

Management letter Gemeente Nunspeet Boekjaar 2020

1

Vertrouwelijk Aan het College van Burgemeester en Wethouders van de Gemeente Nunspeet Postbus 79 8070 AB Nunspeet Zwolle, 15 december 2020

Geachte leden van het College, Als onderdeel van de controle van de jaarrekening 2020 van gemeente Nunspeet hebben wij de administratieve organisatie en de daarin opgenomen maatregelen van interne beheersing beoordeeld, teneinde onze controlewerkzaamheden in overeenstemming met Nederlands recht waaronder de controlestandaarden te kunnen bepalen. De opzet en het bestaan van de interne beheersingsmaatregelen van de belangrijkste processen, inclusief de geautomatiseerde gegevensverwerking, in uw gemeente zijn beoordeeld, zodat we een terugkoppeling kunnen geven over de betrouwbaarheid van de interne informatievoorziening en de jaarrekening. Onze bevindingen zijn gebaseerd op de normale werkzaamheden in het kader van de jaarrekeningcontrole. Deze brief bevat daardoor niet alle onvolkomenheden in uw gemeente, die bij een eventueel uitgebreid en hierop specifiek gericht onderzoek naar voren zouden kunnen komen. Zoals u zult begrijpen, is de management letter van nature kritisch. Wij rapporteren over de eventuele leemtes of mogelijkheden ter verbetering van de financiële processen, de administratieve organisatie en de daarin opgenomen maatregelen van interne beheersing.

Wij geven in deze management letter aan op welke wijze verbeteringen van de administratieve organisatie en de daarin opgenomen maatregelen van interne beheersing kunnen worden gerealiseerd. De aanbevelingen en oplossingsrichtingen zoals beschreven in deze management letter bieden u handvatten voor deze uitwerking. Wij hebben de concept management letter toegelicht en besproken met de portefeuillehouder financiën en een afvaardiging van de ambtelijke organisatie. Deze management letter is door ons opgesteld voor uw informatie en mag niet zonder onze uitdrukkelijke toestemming geheel of gedeeltelijk aan derden ter beschikking worden gesteld. Wij danken u en uw medewerkers voor de samenwerking en zijn graag bereid tot het verstrekken van nadere toelichting. Hoogachtend, Baker Tilly (Netherlands) N.V.

M.C.J.M. Bekker RA

2

Inhoudsopgave

1. Management samenvatting

4

2. Aandachtspunten voor 2020

8

3. Overige onderwerpen

12

4. Bevindingen IT beheersing

14

Bijlage: Detailbevindingen

21

3

Management samenvatting 4

1. Management samenvatting Inleiding Inleiding Het kalenderjaar 2020 zal de geschiedenisboeken ingaan als een bewogen jaar waarin de COVID-19 pandemie de dagelijkse gang van zaken domineert. Het feit dat we een crisis van deze omvang in de recente historie nog niet eerder hebben meegemaakt als ook de onbekende duur, leidt tot onzekerheden en onduidelijkheden. De crisis heeft niet alleen een financiële impact - COVID-19 heeft geleid tot het grootste landelijke begrotingstekort ooit - maar ook een belangrijke operationele impact. Ambtenaren zijn lange tijd niet of beperkt op het gemeentehuis aanwezig geweest, overleggen zijn uitgesteld, crisismaatregelen hebben er toe geleid dat uw reguliere beleid wellicht op taken vertraging heeft opgelopen. Ook financieel gezien voelt uw gemeente in 2020 en vermoedelijk ook verder, de impact van COVID-19. Daarbij valt te denken aan hogere lasten, lagere baten, onzekerheden in de omvang van steunmaatregelen en vraagstukken omtrent de rechtmatigheid van al deze componenten. Deze zaken hebben hun weerslag op uw planning&controlcyclus en daarmee ook het proces van de jaarrekeningcontrole en de daarvoor afgesproken deadlines.

Partijen waar uw gemeente van afhankelijk is van informatievoorziening ten behoeve van het opstellen en onderbouwen van de jaarstukken leveren mogelijk later aan en waarschijnlijk dienen er aanvullende werkzaamheden uitgevoerd te worden, die inherent zijn aan dit crisisjaar. Wij adviseren u tijdig een inventarisatie te maken welke gevolgen Corona op uw interne planningsproces aangaande de jaarrekening heeft en in welke mate u daarin afhankelijk bent van informatie vanuit derden, zoals zorgaanbieders. Voornamelijk ten aanzien van de lasten Jeugd waarbij u afhankelijk bent van de gemeenschappelijke regeling Meerinzicht.

Aandachtspunten controle 2020 Wij identificeren een aantal aandachtspunten voor de jaarrekeningcontrole 2020. Naast de aandachtspunten die voortvloeien uit onze reguliere risicoanalyse en interim-controle, zien deze ook toe op de gevolgen van COVID-19 op de interne beheersing, Tozo (Tijdelijke overbruggingsregeling zelfstandig ondernemers), recht op zorg, prestatielevering inkopen en de voorbereiding op de rechtmatigheidsverantwoording. Deze belangrijkste aandachtspunten lichten we verderop in dit verslag uitgebreid toe. Doel en reikwijdte van de controle Het doel van onze jaarrekeningcontrole is het vormen van een oordeel over de getrouwheid en de rechtmatigheid van de jaarrekening als geheel, zoals bedoeld in het Besluit Accountantscontrole Decentrale Overheden (BADO). Wij geven een oordeel over de rechtmatigheid ven getrouwheid van de jaarrekening. Vanuit deze jaarrekeningcontrole beoordelen wij de kwaliteit van de administratieve organisatie en interne beheersing voor zover relevant voor onze oordeelsvorming en geven wij geen zelfstandig oordeel over de kwaliteit van de administratieve organisatie en interne beheersing.

De controle van de jaarrekening omvat het uitvoeren van controlewerkzaamheden, waaronder risicoanalyse, cijferanalyses, beoordeling van de administratieve procedures en het daarmee samenhangende systeem van interne beheersingsmaatregelen en gegevensgerichte controlewerkzaamheden. De samenstelling en omvang van die werkzaamheden zijn noodzakelijk voor het verkrijgen van voldoende controle-informatie ter onderbouwing van ons oordeel.

Op basis van deze analyse is het zorg om de bestuurlijke planning van het jaarrekeningproces te bepalen. U heeft deze analyse al gemaakt en aangegeven dat vooralsnog wordt uitgegaan van de reguliere planning, hierbij is het echter wel van belang dat u er op bedacht moet zijn dat bij eventuele knelpunten als gevolg van bovenstaande deze planning herzien zal moeten worden.

5

1. Management samenvatting Inleiding Doel en reikwijdte van de controle Het doel van onze jaarrekeningcontrole is het vormen van een oordeel over de getrouwheid en de rechtmatigheid van de jaarrekening als geheel, zoals bedoeld in het Besluit Accountantscontrole Decentrale Overheden (BADO). Wij geven een oordeel over de rechtmatigheid ven getrouwheid van de jaarrekening. Vanuit deze jaarrekeningcontrole beoordelen wij de kwaliteit van de administratieve organisatie en interne beheersing voor zover relevant voor onze oordeelsvorming en geven wij geen zelfstandig oordeel over de kwaliteit van de administratieve organisatie en interne beheersing. De controle van de jaarrekening omvat het uitvoeren van controlewerkzaamheden, waaronder risicoanalyse, cijferanalyses, beoordeling van de administratieve procedures en het daarmee samenhangende systeem van interne beheersingsmaatregelen en gegevensgerichte controlewerkzaamheden. De samenstelling en omvang van die werkzaamheden zijn noodzakelijk voor het verkrijgen van voldoende controle-informatie ter onderbouwing van ons oordeel.

Risicoanalyse Onze risicoanalyse richt zich op een betrouwbare totstandkoming van de jaarrekening. Dit betekent dat wij niet alle risico’s die voor u als gemeente relevant zijn in onze controle meenemen. De risicoanalyse is een continue proces en stellen wij gedurende de controle indien nodig bij. De belangrijkste bij uw gemeente onderkende risico’s / kernpunten in de controle zijn: − Waardering van uw grondexploitatie; − Aanbestedingsrechtmatigheid; − Risico dat het management van de gemeente de procesafspraken doorbreekt, hetgeen een standaard risico is vanuit onze beroepsregels. Dit risico ziet bij uw gemeente met name toe op de schattingsposten in de grondexploitatie en voorzieningen; − Prestatielevering van de jeugdzorg, de WMO en andere voorzieningen die vanwege COVID-19 hebben stilgelegen. In ons verslag van bevindingen rapporteren wij naar aanleiding van de jaarrekeningcontrole over bovenstaande punten.

6

1. Management samenvatting Beeld interne beheersing Beeld interne beheersing Voorgaande jaren hebben wij in onze rapportages reeds diverse aanbevelingen genoemd ter verbetering van de bestaande administratieve organisatie. Wij zien dat de gemeente Nunspeet belang hecht aan een goede opvolging hiervan, ambitieus is op het gebied van administratieve organisatie en een wil heeft om te verbeteren. Dit resulteert in een afname van het aantal bevindingen voor uw gemeente. Wij zien echter ook dat de gemeente Nunspeet worstelt met het zichtbaar en herleidbaar maken van interne controles. Dit wordt deels opgevangen door aanwezigheid van softcontrols waardoor men niet in ‘zeven sloten tegelijk loopt’. Het geeft echter geen volledige controle zekerheid. Hierdoor kunnen wij als accountant, maar ook de (extern belegde) interne controle, niet steunen op deze beheersingsmaatregelen. In onze voorgaande management letter hebben we gerapporteerd over het belang van het intern controleplan, de formulering van key-controls en zichtbaarheid van interne controles. Onderstaand hebben wij per onderdeel nog kort toegelicht waar de belangrijkste aandachtspunten voor de gemeente Nunspeet betrekking op hebben. Wij adviseren u om deze punten tijdig af te wikkelen, teneinde invulling te kunnen geven aan de rechtmatigheidsverklaring die vanaf 2021 verplicht wordt

Formulering key-controls De gemeente Nunspeet is gestart met het opstellen van procesbeschrijvingen. Wij hebben kennis genomen van de eerste beschrijvingen en constateren dat door het gebruik van vaste formats de vastlegging op basis van 6W-vragen wordt afgedwongen. Zichtbaarheid interne controles Wij hebben u eerder gerapporteerd dat belangrijke interne controles niet altijd zichtbaar zijn, waardoor achteraf niet vastgesteld kan worden of de afgesproken procedures en interne controles bestaan en hebben gewerkt. De verbijzonderde interne controlefunctie kan daardoor niet systeemgericht controleren en wij als accountant ook niet. Doordat er geen systeemgerichte controle kan plaatsvinden ontbreekt een automatisch mechanisme waarbij de efficiency, doelmatigheid en effectiviteit van de processen en daarin opgenomen interne beheersingsmaatregelen tegen het licht wordt gehouden. Wij adviseren u met klem de zichtbaarheid van de interne beheersingsmaatregelen te vergroten om u in staat te stellen bestaan en werking van de beheersingsmaatregelen te monitoren. Dit stelt uw gemeente in staat verder “in control” te komen en bovendien belangrijke evidence te vergaren voor het onderbouwen van de rechtmatigheidsverantwoording.

Intern controleplan Voor 2020 is het Intern Controleplan 2020 ‘Nunspeet “in control”’ opgesteld. Dit controleplan bevat de aanpak van de interne controle voor 2020 en de uit te voeren controles op procesniveau. Met dit plan sorteert u voor op de implementatie van de rechtmatigheidsverantwoording. Om het plan daarbij optimaal te laten faciliteren, adviseren wij u in ieder geval hoofdstuk 2 verder aan te vullen met een risicoanalyse op het niveau van de significante transactiestromen zoals opgenomen in bijlage 3 van het controleplan. Hierbij kan de volgende vastleggingsvorm aanknopingspunten bieden: Het risico dat………, omdat of doordat …… Deze risicoanalyse vormt dan de basis bij het in kaart brengen van de aanwezige interne beheersingsmaatregelen, waar eventuele dubbellingen zijn of waar de interne beheersingsmaatregel het risico helemaal niet afdekt. 7

1. Management samenvatting Bevindingen interne beheersing Automatisering Als onderdeel van onze jaarrekeningcontrole zullen wij aandacht besteden aan de general IT controls voor het netwerk, Civision Middelen en Civision Samenleven om de impact op onze controlewerkzaamheden te kunnen bepalen. De uitkomsten hiervan zijn opgenomen in deze management letter. Belangrijkste aandachtspunt is de aanwezigheid van hoge rechten bij functionarissen die niet onafhankelijk zijn in de diverse bedrijfsprocessen. Frauderisicoanalyse De primaire verantwoordelijkheid voor het voorkomen en detecteren van fraude berust bij het College van Burgemeester en Wethouders. Deze verantwoordelijkheid betreft ook het onderhouden van een zodanige interne beheersing om het opmaken van de jaarrekening mogelijk te maken zonder dat deze afwijkingen van materieel belang bevat als gevolg van fraude of fouten. Wij hebben vastgesteld dat de gemeente Nunspeet beschikt over een frauderisicoanalyse welke periodiek wordt herzien Administratieve Organisatie en Interne Beheersing Deze rapportage bevat de (significante) bevindingen en opmerkingen met betrekking tot de administratieve organisatie en interne beheersing. Tijdens de interim-controle is aandacht besteed aan de volgende processen: − Inkopen en aanbestedingen − Lonen en salarissen

- Grondexploitatie - Sociaal Domein

-Betalingen -Subsidieverstrekkingen -Belastingen -Omgevingsvergunningen

Van deze processen is de opzet beoordeeld en het bestaan vastgesteld en waar mogelijk en efficiënt is de werking van de interne beheersingsmaatregelen getest.

Bevindingen In onderstaande tabel is een totaal overzicht opgenomen van het totaal aantal bevindingen: Bevindingen Aantal aanbevelingen uit voorgaande jaren

8

Waarvan opgelost in 2020

6

Aantal nieuwe aanbevelingen

2

Aantal openstaande aanbevelingen

4

De bevindingen en onze aanbevelingen worden in de bijlage bij deze management letter in detail toegelicht. Uit het voorgaande komt naar voren dat uw gemeente op het gebied van de kwaliteit en inrichting maar met name de zichtbaarheid van de administratieve organisatie en interne beheersing (AO/IB) nog belangrijke stappen kan en, met het oog op de rechtmatigheidsverantwoording, moet zetten. In de bijlage rapporteren wij onze bevindingen in meer detailvorm. De conclusie is dat uw gemeente als gevolg van onze bevindingen op het gebied van de AO/IB risico’s loopt. Daarnaast heeft deze situatie impact op de accountantscontrole. De accountantscontrolewerkzaamheden dienen hierdoor gegevensgericht plaats te vinden in plaats van systeemgericht.

8

Aandachtspunten voor 2020 9

2. Aandachtspunten 2020/2021 COVID-19 Zoals reeds aangegeven in de inleiding heeft COVID-19 impact op veel beleidsvelden. Wij hebben vastgesteld dat de gemeente een inventarisatie heeft uitgevoerd ten aanzien van de impact die COVID-19 heeft op de gemeentelijke financiën dat dat daarover is gerapporteerd in de bestuursrapportages 2020 en de bijbehorende begrotingswijzigingen. De financiële impact is echter nog niet volledig in beeld gebracht. Wij willen graag het belang van een dergelijke analyse benadrukken en verzoeken u dan ook om deze op korte termijn aan te vullen. Wij zullen de uitkomsten van uw analyse meenemen in onze risicoafweging en controleaanpak.

•

•

2) Wellicht ten overvloede benadrukken wij graag het belang van een actuele en zo volledig mogelijke analyse ten aanzien van de gevolgen van COVID-19.Deze is idealiter niet enkel financieel van aard. Wij identificeren een vijftal beleidsvelden die deze analyse in onze optiek tenminste zou moeten raken, deze kunt u gebruiken als leidraad voor uw eigen analyse;

•

•

1) • •

•

•

Ondersteuning (zorg, werk en inkomen): Tozo: verantwoording in SiSa (Tozo 1, 2 en 3) Betaalde continuïteitsbijdrage aan zorgleveranciers (WMO en Jeugdzorg): gemeenten betalen in lijn met het landelijk verzoek door, ook wanneer geen zorg geleverd wordt. Landelijk wordt gewerkt aan een verantwoordingssystematiek die gebruik maakt van een bijlage in de jaarstukken 2020 van de zorgleveranciers om gemeenten in staat te stellen te bepalen of er geen positief rendement is gemaakt op de continuïteitsbijdragen. Complicerende factor daarbij is dat de uiterlijke indieningstermijn voor de jaarstukken van zorginstellingen 1 juni is, hetgeen in het uiterste geval kan betekenen dat de gemeente daarop zou moeten wachten in het kader van haar eigen jaarrekeningcontrole. Hierbij dient ook specifiek aandacht te zijn voor de gemaakte afspraken met Meerinzicht in dit kader, waarbij afstemming met de regio noodzakelijk is. Compensatiemogelijkheden voor uitgestelde zorg achteraf. Er wordt op dit moment door landelijke werkgroepen gewerkt aan een uitwerking van de principe-afspraken, in totaal 6 werkgroepen. Meerkosten sociaal domein: meerkosten worden veelal vergoed. Hoe staat het met de gemeentelijke budgetten terzake in verband met begrotingsrechtmatigheid?

•

3) •

De reguliere productieverantwoordingen blijven bestaan. Het is echter niet ondenkbaar dat de aanlevering daarvan als gevolg van corona-pandemie vertraagd zal zijn hetgeen ook de afwikkeling van de gemeentelijke jaarstukken mogelijk vertraagt. Veilig thuis: de druk op veilig thuis organisaties neemt alleen maar sneller toe door de huidige coronamaatregelen (huiselijk geweld). Welke aanspraken zullen er door instanties worden gemaakt bij uw gemeente? Welke afspraken c.q. aanvullende subsidies zijn er met de uitvoerende partijen? Lokale infrastructuur (sport, cultuur, media, onderwijs): Steun aan culturele en sportinstellingen: Is sprake van gederfde inkomsten uit huur en belastingen aan zijde gemeente? Heeft de gemeente financiële compensatie door wegvallende eigen inkomsten toegezegd? Welke afspraken zijn er gemaakt en hoe wordt omgegaan met bestaande prestatieafspraken met subsidieontvangers betreffende eventuele onderrealisatie van partijen? Kinderopvang: is er binnen de gemeente sprake geweest van 24-uurs opvang? Hoe is de afrekening daarvan geregeld? Leerlingenvervoer: De landelijke afspraak is dat gemeenten betalen 80% door. Welke afspraken heeft gemeente met aanbieders c.q.

de beheerder gemaakt? Uitvoeringslasten (Handhaving, GGD-en, huisvesting): GGD-en en veiligheidsregio’s: In de uitvoering worden niet direct veel extra kosten verwacht; dergelijke situaties zijn core business en qua extra kosten is de verwachting dat een groot gedeelte rechtstreeks vanuit het Rijk bekostigd zal worden, via de Wet Publieke Gezondheid (art. 62) en Besluit Publieke Gezondheid (art. 15). Sommige gemeenten verwachten nog wel later de rekening. Bijv. zorghotels die zijn ingericht.

10

2. Aandachtspunten 2020/2021 •

•

•

4) •

•

•

Handhaving corona: Extra personele inzet in verband met het handhaven van de regels voor social distancing. De meeste gemeenten kunnen dit met bestaande capaciteit aan BOA’s af eventueel door percelen te verbreden (alle type BOA's inzetten). Eventueel is er wel meer budget noodzakelijk, hetgeen in het kader van begrotingsrechtmatigheid relevant is. Thuiswerkfaciliteiten/ICT/beschermingsmiddelen: Welke kosten zijn er gemaakt binnen de gemeentelijke organisatie (coronaproof werkplekken) en voor thuiswerken. Ook het 1,5 meter-proof maken van KCC’s/publieksloketten/spreekkamers brengt extra kosten met zich mee. Past dit allemaal nog binnen de bestaande c.q. aangepaste budgetten? JGZ: JGZ organisaties worden via contracten gefinancierd door gemeenten. Nu liggen veel activiteiten stil. Denk aan groepsvaccinaties en een deel van de individuele screeningen. Veel organisaties hebben hun artsen en verpleegkundigen uitgeleend aan de GGD, huisartsenpraktijken etc. Na de crisis zullen veel activiteiten moeten worden ingehaald. Daarvoor is mogelijk o.a. extra inhuur personeel nodig. Welke afspraken zijn er? Bedrijf-economisch (SW-bedrijven, deelnemingen, vorderingen): Sociale werkvoorziening: landelijk wordt via de koepelorganisatie (Cedris) geregeld dat omzetverlies wordt gecompenseerd.

Loopt de gemeente nog risico’s door aanvullende afspraken met haar SW-bedrijf? Beschikt de gemeente over deelnemingen die als gevolg van Corona mogelijk een lagere opbrengstwaarde hebben en derhalve in aanmerking zouden moeten komen voor een duurzaam lagere balanswaardering? Heeft de gemeente vorderingen op partijen die door de coronacrisis in financiële moeilijkheden verkeren? Zo ja, wat betekent dit voor de inbaarheid van die vorderingen?

5) • • • •

Inkomstenderving (heffingen, leges, deelnemingen): Welke afspraken zijn er gemaakt met partijen over uitstel van huur, belasting of leges? Zijn er gevolgen voor de begrote dividenden en winstuitkeringen? Wat is de verwachte impact op de afzetplanning en prijsontwikkeling van de grondexploitaties? Is voldoende rekening gehouden met lagere opbrengsten eigen bijdrage in de WMO?

Wij verzoeken u om uw analyse op korte termijn aan te vullen en hier niet mee te wachten tot het opstellen van de jaarrekening. Wij zullen de uitkomsten van uw analyse meenemen in onze risicoafweging en controleaanpak. Tozo Als onderdeel van de Participatiewet is in maart 2020 de Tijdelijke Overbruggingsregeling Zelfstandig Ondernemers (Tozo) ingevoerd. De verantwoording van de baten, lasten en aantal aanvragen inzake Tozo 1, 2 en mogelijk 3 zal op afzonderlijke regels in de Sisabijlage worden opgenomen. Vanwege het verschil in het normenkader dient het onderscheid per Tozo regeling zowel in de aanvragenadministratie als in de uitkeringenadministratie geregeld te zijn. Op het moment van schrijven is de verantwoording en accountantscontrole van de TOZO nog niet volledig duidelijk.

11

2. Aandachtspunten 2020/2021 Recht op zorg Op 3 juli 2020 is de SDO-notitie ‘Jeugdzorg en WMO Controle van het recht op zorg’ verschenen. Een belangrijk aandachtspunt in deze notitie is het toetsen op een rechtmatige verwijzing. De gemeente Nunspeet heeft in haar verordening Jeugd opgenomen dat er ten aanzien van het recht op zorg een verwijzing van een indicerend orgaan of medisch specialist moet liggen. Deze verwijzing is daarmee onderdeel van het normenkader, maar wordt niet afgedekt in het landelijke controleprotocol met de zorgaanbieders. Wij vragen u om na te gaan of u deze controle zelf gaat uitvoeren of dat u dit via de zorgaanbieder gaat toetsen. Eventuele fouten of het ontbreken van informatie werkt door in het accountantsoordeel. In het uiterste geval kunt u in overleg met de raad de controleaspecten uit het normenkader halen. Prestatielevering inkopen Op 24 juli 2020 is de BADO-notitie ‘Vastlegging en onderbouwing prestatielevering bij inkopen door decentrale overheidsorganisaties’ verschenen. Wij vragen u kennis te nemen van deze notitie en de vereisten inzake functiescheiding, de controle en documentatie van de prestatielevering. Wij willen u wijzen op het belang van deze notitie mede in relatie tot fraudegevallen zoals geconstateerd bij diverse gemeenten.

Wij stellen, op basis van een recent memo van Control aan het DT over deze inkoop en aanbesteding, vast dat het onderwerp op de radar staat binnen de gemeente Nunspeet. Evenwel blijkt op basis van de constateringen die in het memo op basis van de werkzaamheden 2019 en de eerste helft van 2020 zijn opgenomen, dat actie gewenst c.q. noodzakelijk is. Wij onderschrijven dan ook de conclusies en aanbevelingen die in het stuk worden gedaan en adviseren om ons als accountant ook te betrekken in keuzes die worden gemaakt, opdat de uitgezette acties niet alleen bijdragen aan het verder in control komen voor deze stroom, maar ook maximaal rendement met betrekking tot de jaarrekeningcontrole kan worden gegenereerd.

Prestatielevering sociaal domein Teneinde voldoende zekerheid te verkrijgen omtrent het aspect prestatielevering sociaal domein heeft uw gemeente aangegeven ook voor boekjaar 2020 te zullen steunen op de controleverklaringen van zorgleveranciers. Uw gemeente heeft zelf nog geen formele structuur ingericht die de prestatielevering onderbouwt. Wanneer voor het aspect prestatielevering wordt gesteund op de controleverklaringen van de zorgleveranciers brengt dit risico’s met zich mee doordat het niet (meer) afgeven van een controleverklaring c.q. niet goedkeurende controleverklaring afhankelijk van de aard en omvang impact kan hebben op het oordeel in de controleverklaring voor uw gemeente. Zeker in de huidige omstandigheden rondom de coronapandemie achten wij het denkbaar dat zorgleveranciers niet in staat zijn om aan uw gemeente tijdig een controleverklaring te overleggen. Voorgaande in ogenschouw nemende tezamen met het mogelijk in de toekomst verdwijnen van het landelijk accountantsprotocol adviseren wij uw gemeente per zorgvorm een controleplan op te stellen teneinde zelf invulling te geven aan het aspect prestatielevering (b.v. door belscripts, huisbezoeken).

12

Overige onderwerpen 13

3. Overige onderwerpen Rechtmatigheidsverantwoording Met ingang van het boekjaar 2021 moet het College een rechtmatigheidsverantwoording opnemen in de jaarrekening. De accountant dient vervolgens de getrouwheid van deze verantwoording te toetsen. De bewijslast inzake de rechtmatigheid wordt hiermee verplaatst van de accountant naar het College. De belangrijkste aandachtspunten ter voorbereiding zijn: Afstemming reikwijdte met de raad; Juiste opzet normenkader en toetsingskader; Adequaat vastleggen van procesbeschrijvingen; Opzetten controle-plan inclusief uitwerking risicoanalyse; Adequaat werkprogramma ter uitvoering VIC.

Wij constateren overigens dat een deel van de processen niet of niet voldoende is ingericht in de eerste of tweede lijn, dan wel dat ingerichte controles niet zichtbaar zijn. Dit heeft tot gevolg dat concerncontrol door middel van verbijzonderde controle achteraf deze tekortkomingen in zichtbare interne beheersing in deze processen moet compenseren. De afdeling control kan hierdoor niet systeemgericht controleren en wij als accountant ook niet. Controles vinden hierdoor ook achteraf plaats. Wij adviseren u bij het vaststellen van de genoemde ambitie de positionering van de afdeling Control en hun huidige daadwerkelijke rol nadrukkelijk te betrekken. Dit zal een samenspel moeten zijn van concerncontrol, het managementteam en het college

Binnen de gemeente Nunspeet heeft het college zijn ambitie, gericht op de wetswijziging, reeds vastgesteld en gedeeld met de raad. Daarnaast wordt in het Verbijzonderde interne controleplan 2020 nadrukkelijk operationeel voorgesorteerd op de implementatie van de rechtmatigheids-verantwoording. Om voorbereid te zijn op deze wetswijziging adviseren wij om per proces een kritische analyse uit te voeren of, in hoeverre, en op welke wijze binnen uw gemeente de rechtmatigheid wordt gewaarborgd voor deze processen. Dit kan via het 3 lines of defense model. Dat wil zeggen dat binnen de processen wordt nagaan op welk niveau in de organisatie de interne beheersmaatregelen worden ondervangen. De volgende niveaus worden hierbij onderkend:   

1e lijn: in het primaire proces, onder verantwoordelijkheid van de proceseigenaar; 2e lijn: in de ondersteunende processen zoals financiën en control, waar checks and balances ingericht zijn om fouten te signaleren; 3e lijn: in uw verbijzonderde interne controle achteraf.

Primair proces

Ondersteunende processen

Verbijzonderde interne controle

14

Bevindingen IT-beheersing

15/12/2020

© Baker Tilly

15

Voor u ligt het onderdeel van de managementletter dat gebaseerd is op de IT-auditwerkzaamheden die in het kader van de jaarrekeningcontrole over het boekjaar 2020 zijn uitgevoerd. In dit onderdeel van de Management Letter staat welke IT-audit activiteiten door ons zijn uitgevoerd en wat onze bevindingen zijn voor de controle. De IT audit activiteiten zijn in scope beperkt tot de applicaties in scope voor de jaarrekeningcontrole, en daarmee samenhangende (netwerk)infrastructuur.

IT General Controls Veel handelingen die binnen organisaties plaatsvinden, worden geregistreerd door middel van automatisering. Daarbij zijn diverse interne beheersingsmaatregelen steeds vaker geautomatiseerd in softwarepakketten. Wij onderzoeken daarom de algemene onderwerpen rondom de beheersing van uw IT omgeving en rapporteren daarover in de navolgende pagina’s.

Op dit moment voldoende Verbetering gewenst Verbetering benodigd Let op: de onderwerpen die niet gerelateerd zijn aan toegangsbeveiliging en wijzigingsbeheer volgen uit interviews en hierop zijn door ons over het algemeen geen testwerkzaamheden uitgevoerd om vast te stellen dat de IT-omgeving is ingericht zoals ons voorgesteld is. Dit beperkt de zekerheid die u kunt ontlenen aan de door ons beschreven aandachtspunten. De mate van risico die u als organisatie loopt bij constateringen verschilt per aandachtsgebied. Een grafische inschatting van de impact op de controle en op uw organisatie vindt u in onderstaande afbeelding.

Impact op de controle

Algemeen

Werkzaamheden Op basis van de door ons uitgevoerde werkzaamheden d.d. 18-11-2020 hebben wij onze inschatting van de kwaliteit van uw IT systeem en/of applicatie opgenomen. Hierbij hebben wij de volgende onderverdeling gemaakt om de kwaliteit weer te geven:

Toegangsbeveiliging

Wijzigingsbeheer

Overige punten

Impact op uw organisatie 15/12/2020

© Baker Tilly

Logische toegangsbeveiliging Bij het toetsen van ‘logische toegangsbeveiliging’ wordt onderzocht of de inrichting van de IT-omgeving de authenticiteit van de gebruiker van een gebruikersaccount borgt. Ook onderzoeken wij de mogelijkheden voor het ‘steunen’ op autorisaties en de processen rondom het verstrekken, muteren en ontnemen van autorisaties binnen de omgeving en de applicaties. Wanneer de randvoorwaarden hiervoor voldoende aanwezig zijn, kunnen wij gebruik maken van eventuele functiescheiding dat in de omgeving of de applicatie is geïmplementeerd. Wijzigingsbeheer (Change management) Het doel van ‘wijzigingsbeheer’ is borgen dat wijzigingen aan de applicatie op een gestructureerde en gecontroleerde wijze worden doorgevoerd. Voor uw organisatie heeft wijzigingsbeheer ten doel om te voorkomen dat applicaties zich niet gedragen zoals u na een wijziging in de software, resulterend in, wellicht niet opgemerkte, (financiële) gevolgen. Overige punten zonder directe impact Het is voor ons van belang om inzicht te krijgen in de verantwoordelijkheden die binnen de organisatie zijn ingericht – of met andere organisaties overeen zijn gekomen (uitbesteding) – ten aanzien van de beheersing van de IT omgeving. Hierbij kijken wij naar beleidsstukken ten aanzien van IT strategie, beveiliging en functiescheiding.

Ook de interne beheersingsmaatregelen die al dan niet zijn ingericht binnen de IT omgevingen zijn onderdeel van onze scope. Indien maatregelen periodiek worden uitgevoerd kunnen wij hier gebruik van maken in de jaarrekeningcontrole. Deze adviespunten hebben niet een directe impact op onze controlewerkzaamheden, maar zijn wel wenselijk. 16

Logische toegangsbeveiliging Wij onderscheiden vijf bouwstenen ten aanzien van toegangsbeveiliging, waarbij bouwstenen gestapeld, naast een sterke IT beheersing, ook de meeste controlezekerheid oplevert. Beperkingen in de onderliggende steen, zorgt voor een verzwakking van de bovenliggende stenen. Een toelichting:

Onze verwachting

Uw organisatie samengevat

Beheersen mutaties: Wanneer de gewenste situatie is ingericht, verwachten wij een beheerst proces ten aanzien van het toekennen, ontnemen en wijzigen van rechten inclusief monitoring en controle.

Gewenste situatie: Iedere organisatie zal moeten bepalen wat de “SOLL-positie” is ten aanzien van rechten, met name gericht op kritische functiescheidingen

Wij hebben vastgesteld dat er geen procedure is ingericht voor het opstellen en periodiek evalueren van een functie-autorisatie matrix (SOLLpositie). Wij adviseren u om een dergelijke procedure in te richten.

Voor het netwerk zijn de administrator rechten enkel toegankelijk voor onafhankelijke functionarissen. Voor Civision Middelen en Civision Samenlevingszaken zijn er accounts met administrator rechten die worden beheerd door functionarissen in de lijn. Het risico bestaat dat bedoelde functiescheidingen kunnen worden doorbroken.

Hoge rechten: Voor het beheersen van autorisaties is het cruciaal dat de rechten tot het aanpassen van rechten zijn beperkt tot medewerkers die geen belang hebben bij aanpassingen.

Wachtwoorden: Sterke, regelmatig wijzigende wachtwoorden voor applicaties en databaseszijn de basis voor toegangsbeveiliging, samenhangend met bewustzijn bij medewerkers.

Databases: Basis voor toegangsbeveiliging van een applicatie is dat de applicatie de enige toegangspoort is en dat niet rechtstreeks op de database gemuteerd kan worden.

15/12/2020

Wij hebben vastgesteld dat er een proces is ingericht voor het toekennen, aanpassen en ontnemen van rechten binnen de verschillende systemen. Echter is het voor ons niet herleidbaar welke rechten er worden toegekend (bijv. o.b.v. een functieautorisatie matrix). Tevens wordt er geen periodieke controle uitgevoerd op de gebruikers en rechten. Wij adviseren u om deze stappen te documenteren.

De wachtwoordinstellingen van het netwerk, Civision Middelen en Civision Samenlevingszaken voldoen aan de vereisten die wij als best practice hanteren. Voor het netwerk en Civision Samenlevingszaken zijn er uitzonderingen geconstateerd. Databasetoegang voor de applicaties Civision Middelen en Civision Samenlevingszaken is adequaat ingericht. Enkel onafhankelijke functionarissen hebben toegang tot de database.

© Baker Tilly

17

Wijzigingsbeheer Bij het doorvoeren van wijzigingen in software-omgevingen ontstaan risico’s voor de bedrijfsvoering van uw organisatie. Wij verwachten daarom dat het proces voor wijzigingen een proces doorloopt, waarmee de risico’s die gelopen worden, zijn ingeschat, worden geadresseerd en dat hierop maatregelen genomen worden. Wij hebben onderstaand aangegeven wat wij verwachten per fase en wat wij hebben geconstateerd tijdens onze controle (deels op basis van interview) en of dit overeen komt met de verwachting. Onder wijzigingen verstaan wij niet alleen nieuwe versie updates, maar ook aanpassingen in (kritieke) systeemconfiguraties. 2. Opstellen testplan en -aanpak: Vanuit de geïdentificeerde risico’s kan een testplan worden gemaakt waarin de te testen elementen van de software benoemd zijn evenals de inhoudelijk uit te voeren testwerkzaamheden op deze elementen. Belangrijke elementen hierin zijn go/no-go momenten, het maken van een back up voor implementatie, wat te doen als een implementatie mislukt en de impact op de organisatie (opleiden van medewerkers) Uw situatie: U heeft aangegeven dat er geen sprake is van testplannen voor het uitvoeren van testwerkzaamheden. Wij adviseren u om een testplan op te stellen voor het uitvoeren van testwerkzaamheden.

4. Gebruikersacceptatie: Een wijziging is pas effectief als deze niet alleen is geaccepteerd vanuit een technisch oogpunt, maar ook vanuit de gebruikersorganisatie. Wij verwachten daarom een formele goedkeuring vanuit de gebruikersorganisatie, zowel voor implementatie als na de implementatie Uw situatie: U heeft aangegeven dat de ‘Business’ wordt betrokken bij het proces voor het doorvoeren van softwarewijzigingen. Wijzigingen worden getest door gebruikers die de werkzaamheden dagelijks uitvoeren. De acceptatie van de gebruikers wordt alleen niet te allen tijde gedocumenteerd. Wij adviseren u om het documenteren van deze werkstap op te nemen in de procedure. 15/12/2020

© Baker Tilly

1. Risicoinschatting

2. Opstellen testplan en -aanpak

3. Testen en documenteren

4. Gebruikersacceptatie

1. Risico-inschatting: Voor iedere software wijziging is het relevant om te beoordelen wat de risico’s zijn die de wijziging met zich mee brengt voor de hoofdprocessen én welke geïdentificeerde technische en organisatorische wijzigingsrisico’s worden geraakt bij het uitvoeren van de change, waaronder maatwerk. Per wijziging wordt vastgesteld welke nieuwe of gewijzigde functionaliteit een risico vormt voor een goede werking van uw bedrijfsvoering. Uw situatie: U heeft aangegeven dat er een risicoanalyse bij uw organisatie wordt geïdentificeerd voor het doorvoeren van updates en fixes, echter wordt dit niet altijd gedocumenteerd. Ons is niet gebleken dat er bijzonderheden hebben plaatsgevonden bij het doorvoeren van wijzigingen in het boekjaar, echter blijft de kans aanwezig dat bepaalde risico’s in beperkte mate of geheel niet ondervangen zijn. Wij adviseren u om het documenteren van deze werkstap op te nemen in de procedure. 3. Testen en documenteren: Softwarewijzigingen kunnen gestructureerd worden getest, na het correct uitvoeren van de voorgaande twee stappen. Een vastlegging van testwerkzaamheden is van belang voor de aantoonbaarheid en controleerbaarheid van de uitgevoerde stappen. Uw situatie: U heeft aangegeven dat er niet in alle gevallen vastlegging wordt gemaakt van de uitgevoerde testwerkzaamheden.

Dit heeft tot gevolg dat wij werkzaamheden uitvoeren om de impact van wijzigingen vast te stellen (middels release documentatie). Wij adviseren u om de uitgevoerde testwerkzaamheden te documenteren.

18

Samenvatting ‘General IT’ De conclusies die wij op basis van onze werkzaamheden trekken over de algemene inrichting van IT bij uw organisatie, delen wij op deze pagina met u. Uit de stoplichten valt op te maken in hoeverre we gebruik kunnen maken van de randvoorwaarden die binnen uw organisatie aanwezig zijn voor de controle.

Netwerk Authenticatie Door middel van authenticatie wordt geborgd dat de gebruiker zichzelf kan identificeren binnen een geautomatiseerde omgeving. Kort gezegd: de gebruiker toont aan dat hij/zij inlogt met een eigen persoonsgebonden account en daarmee is wie hij/zij claimt te zijn. Wij scharen onder dit onderwerp met name wachtwoordvereisten en herleidbaarheid van accounts.

Autorisatie Op het gebied van autorisatie zijn verschillende vormen van diepgang te definiëren. Wat wij onderzoeken als het gaat om de randvoorwaarden rondom autorisatie, zijn de rechten die de mogelijkheid bieden om autorisatiestructuren te wijzigen en of deze rechten belegd zijn bij functionarissen met een onafhankelijke positie ten opzichte van de jaarrekening. Daarnaast is een effectieve procedure voor het wijzigen van rechten noodzakelijk.

Wijzigingsbeheer Gedurende een (boek)jaar worden wijzigingen doorgevoerd in de IT-omgeving van uw organisatie. Wanneer deze wijzigingen een impact hebben op de functionaliteiten of rapportages die een rol spelen in de jaarrekening (en uw organisatie deze niet signaleert), heeft dit gevolgen voor de controlewerkzaamheden. Wij beoordelen dit onderdeel door te steunen op uw procedure of werkzaamheden uit te voeren op documentatie vanuit de leverancier.

15/12/2020

Toelichting

Toelichting

Civ Sam

Toelichting

De ingestelde wachtwoordeisen van het netwerk zijn van voldoende niveau. Er is 1 persoonsgebonden account waarvan het wachtwoord langer dan een jaar niet is gewijzigd. Betreft een gebruiker welke is geblokkeerd en eerst het wachtwoord dient aan te passen.

De ingestelde wachtwoordeisen van de applicatie zijn van voldoende niveau. Wij adviseren u om de lock-out functionaliteit in te schakelen.

De ingestelde wachtwoordeisen van de applicatie zijn van voldoende niveau. Wij adviseren u om de lock-out functionaliteit, complexiteit en functionaliteit omtrent het hergebruik van wachtwoord in te schakelen. Er is 1 account welke is uitgezonderd van het periodiek wijzigen van het wachtwoord.

De hoge rechten op het netwerk zijn beperkt tot onafhankelijke functionarissen in het kader van de jaarrekeningcontrole.

De hoge rechten op in de applicatie zijn voor 4 accounts niet beperkt tot onafhankelijke functionarissen in het kader van de jaarrekeningcontrole. Er wordt geen zichtbare periodieke controle (bijv. o.b.v. een functieautorisatie matrix) uitgevoerd op gebruikers en gebruikersrechten binnen de applicatie. Hierdoor ontstaat het risico op ongeautoriseerde mutaties binnen de applicatie, wat de functiescheiding zou kunnen doorbreken.

De hoge rechten op in de applicatie zijn voor 5 accounts niet beperkt tot onafhankelijke functionarissen in het kader van de jaarrekeningcontrole. Er wordt geen zichtbare periodieke controle (bijv. o.b.v. een functieautorisatie matrix) uitgevoerd op gebruikers en gebruikersrechten binnen de applicatie. Hierdoor ontstaat het risico op ongeautoriseerde mutaties binnen de applicatie, wat de functiescheiding zou kunnen doorbreken.

Er is geen sprake van een gedocumenteerde risicoinschatting voorafgaand een update. Wel is er sprake van een testplan. Testwerkzaamheden worden niet altijd gedocumenteerd, evenals het akkoord vanuit de gebruikersorganisatie.

Er is geen sprake van een gedocumenteerde risicoinschatting voorafgaand een update. Er is geen sprake van een testplan. Testwerkzaamheden worden niet altijd gedocumenteerd, evenals het akkoord vanuit de gebruikersorganisatie.

N.v.t.

© Baker Tilly

Civ Mid

19

IT adviespunten zonder directe impact op de controle Beleid en plannen Beleid U heeft aangegeven dat uw organisatie beschikt over een beleidsplan opgesteld omtrent informatiebeveiliging, welke voldoet aan de BIO en is goedgekeurd door het college. Het beleidsplan wordt periodiek herzien. Hierdoor kan er monitoring plaatsvinden op de ingerichte IT-organisatie. Omtrent de verdere IT-ontwikkelingen is er sprake van een jaarplan. Dit is verder niet opgenomen in een beleidsstuk.

Uitvoering Beheersing van incidenten Om de performance van uw IT systemen en eventueel de performance van uw IT dienstverlener te monitoren, is registratie van de incidenten en problemen van belang. Hierdoor verkrijgt u inzicht in de performance van uw systemen, maar ook van uw IT organisatie en kunt u waar nodig uw beleidsplan corrigeren. U heeft aangegeven dat er sprake is van een werkwijze omtrent de beheersing van incidenten en dat incidenten geregistreerd worden in een ticketsysteem. Hierdoor is het inzichtelijk welke incidenten hebben plaatsgevonden en hoe hieraan opvolging is gegeven.

Verantwoordelijkheden en functiescheiding Wij verwachten dat binnen uw organisatie duidelijke afspraken zijn gemaakt ten aanzien van verantwoordelijkheden over uitvoering en strategie op het gebied van IT. U heeft aangegeven dat dit het geval is. Taken en verantwoordelijkheden omtrent de IT-organisatie zijn opgenomen in het beleidsplan. De IT-omgeving is geheel in eigen beheer. Met leveranciers zijn contracten afgesloten.

Uitvoering beheersingsmaatregelen IT Op verschillende vlakken worden (nog) geen toetsbare beheersingsmaatregelen uitgevoerd binnen uw organisatie. Denk aan:  Procedure voor wijzigingsbeheer t.b.v. de gebruikersorganisatie/applicaties (zie ook punt ‘Wijzigingsbeheer’);  Procedure rondom uitgifte en controle op unieke en individuele gebruikersnamen;  Periodieke controle op actieve gebruikers;  Periodieke controle op inrichting van wachtwoordbeleid;  Procedure voor het gestructureerd toekennen, wijzigen en ontnemen van rechten;  Periodieke controle op inrichting van rechten in het systeem conform beleid (middels functie-autorisatie matrix). Deze procedures en daaruit volgende controlemaatregelen zorgen ervoor dat uw organisatie grip houdt op de IT-omgeving en faciliteren dat de randvoorwaarden, die de effectiviteit van ingerichte beheersingsmaatregelen beïnvloeden, van voldoende niveau zijn. Wij adviseren u om de bovenstaande procedures in te richten en (toetsbaar) periodiek te beheersen in de organisatie.

IT adviespunten zonder directe impact op de controle Continuïteitsmaatregelen

Beveiliging

Recovery Point objective (RPO): De RPO is het punt in de tijd tot waar men minimaal de gegevens moet kunnen herstellen. Het is dus de acceptabele hoeveelheid aan dataverlies uitgedrukt in tijd.

Beveiliging De beveiliging van de IT-omgeving delen wij op in verschillende aspecten, welke wij hieronder hebben weergegeven.

Back-ups: U heeft aangegeven dat er sprake is van een werkwijze omtrent het uitvoeren en monitoren van back-ups. Dagelijks wordt er een back-up gemaakt, welke tevens wordt overgezet naar een externe locatie.

Fysieke beveiliging: De servers zijn ondergebracht in een serverruimte op locatie. Deze ruimte is fysiek afgesloten en alleen toegankelijk middels een tag waar alleen geautoriseerde medewerkers over beschikken. Daarnaast is de ruimte voorzien van een alarmsysteem, airco, ups en blusinstallatie.

Recovery Time Objective (RTO): Een RTO is de tijd waarna een proces/middel na een onderbreking moet teruggebracht zijn op een aanvaardbaar niveau, om een onacceptabele impact op de organisatie te vermijden Recovery: U heeft aangegeven dat er geen volledige recovery test wordt uitgevoerd. Wij adviseren u om dit periodiek uit te voeren. Uitwijk: U heeft aangegeven dat er een uitwijklocatie is ingericht, waar de backups dagelijks worden gekopieerd vanuit uw locatie. U heeft aangegeven dat er nog geen sprake is van een uitprocedure en dat er nog geen uitwijktest heeft plaatsgevonden. Ook heeft u aangegeven dat er momenteel een uitwijkplan wordt opgesteld. Wij adviseren u om periodiek een uitwijktest uit te voeren.

Remote access: Voor het inloggen vanaf een externe locatie wordt gebruik gemaakt van extra beveiligingsmaatregelen zoals two-factor authenticatie. Hiermee wordt een extra authenticatie stap afgedwongen. Preventie: Een firewall en virusscanner zijn aanwezig en wordt actief beheerd en gemonitord. Monitoring: U heeft aangegeven dat er in 2018 voor het laatst een pentest is uitgevoerd. Op dit moment loopt er een offerte traject voor het uitvoeren van een nieuwe pentest welke begin 2021 zal worden uitgevoerd. Door het uitvoeren van een dergelijke test worden zwakheden in de ITomgeving blootgelegd en kan actie ondernomen worden. Wij adviseren u om een dergelijke test periodiek uit te laten voeren.

Bijlage Detailbevindingen 22

Bevindingen interne beheersing Uitleg opbouw management letter In dit hoofdstuk zijn de bevindingen van de interne beheersing opgenomen. Per bladzijde van deze management letter is een bevinding opgenomen met daarbij het risico en een aanbeveling. Bij elke bevinding staat de datum van de eerste vermelding aangegeven samen met de gradatie van de constatering. Bij de impact staat de mate van belangrijkheid en urgentie (hoog, gemiddeld, laag), waarbij impact ‘hoog’ het meest belangrijk en urgent is voor onze jaarrekeningcontrole. Op de volgende pagina gaan wij in op de in 2020 geconstateerde bevindingen. Daarna geven wij de follow up van de door ons geconstateerde bevindingen uit voorgaande jaren weer.

De kleur van de het symbool geeft de status van de constatering aan.

Boekjaar

Impact

Follow-up

Boekjaar eerste vermelding

Urgentie en belang van de bevinding

Update van de bevinding uit voorgaand jaar

 = Afgerond  = Onderhanden  = Geen actie ondernomen  = Nieuwe bevinding

Bevinding /risico/aanbeveling / gevolgen jaareindecontrole

Bevinding

Risico

Aanbeveling

Gevolgen jaareindecontrole

In dit blok wordt aangegeven wat gedurende de accountantscontrole is geconstateerd en waarvan wij u graag op de hoogte willen brengen.

Hierbij geven wij aan wat de risico's zijn van de bevinding en wat de gevolgen voor uw gemeente kunnen zijn.

Hier geven wij u aanbevelingen met betrekking tot de bevinding. Deze aanbeveling is een mogelijke oplossing voor de bevinding.

In dit blok wordt aangegeven wat de gevolgen van de bevinding zijn voor de jaarrekeningcontrole.

23

Bevindingen 2020 Nr 1

2

Bevinding

Risico

Aanbeveling

Status

Gevolgen jaareindecontrole

2020 Salarissen Bevoegdheden medewerkers salarisadministratie Wij hebben vastgesteld dat mutaties in de personeels/salarisadministratie niet in functiescheiding tot stand komen. Medewerkers hebben (te) ruime bevoegdheden en uitgevoerde controles worden niet vastgelegd.

Het risico bestaat dat mutaties niet nauwkeurig of volledig worden uitgevoerd hetgeen onrechtmatige uitstroom van middelen tot gevolg kan hebben.

Wij adviseren u om de rollen en rechten binnen de personeelsadministratie opnieuw te definiëren en uitgevoerde controles zichtbaar vast te leggen.

 = Nieuwe bevinding

Tijdens de jaarrekeningcontrole zullen wij derhalve voor dit onderdeel meer werkzaamheden verrichten om de getrouwheid en rechtmatigheid van de personeelslasten vast te stellen.

2020 Handmatige betalingen – Onvoldoende zichtbaarheid uitgevoerde controlehandelingen Wij hebben vastgesteld dat er geen geformaliseerde procedure is rondom handmatige (veelal spoed) betalingen. Hierdoor worden eventueel uitgevoerde controlehandelingen niet gedocumenteerd.

Het risico bestaat dat betalingen plaatsvinden aan niet rechthebbende.

Wij adviseren u om een procedure in te richten ten aanzien van handmatige betalingen en uitgevoerde controles zichtbaar vast te leggen.

 = Nieuwe bevinding

Tijdens de jaarrekeningcontrole zullen wij gegevensgerichte werkzaamheden verrichten om voldoende zekerheid te verkrijgen over de nauwkeurigheid van de uitgevoerde betalingen.

Impact: Middel

24

Bevindingen eerdere jaren en follow up Bevinding 2019 - 1. Financiële administratie Boekingen op onjuiste grootboekrekeningen Wij constateren dat bij uw gemeenste sprake is van relatief veel overboekingen via het memoriaalboek. Doordat de overboekingen naar de kostenplaatsen via het memoriaalboek plaatsvinden wordt het risico gelopen dat correcties niet inzichtelijk zijn.

Aanbeveling

Status

Gevolgen jaareindecontrole

Wij vragen uw aandacht voor de nauwkeurigheid van de registraties en de verdeling van de baten en lasten over de betreffende grootboekrekeningen (ook voor de begroting).

 = Afgerond

Geen

Wij adviseren u na te gaan welke aanpassingen in de processen noodzakelijk zijn om het risico van onjuiste aangiften in de toekomst te mitigeren.

 = Afgerond

Geen

Verder blijkt uit de werkzaamheden die wij tot nu toe hebben uitgevoerd ten aanzien van de subsidies, dat in meerdere gevallen subsidies verantwoord zijn op een andere grootboekrekening dan de rekening die voor subsidies bedoeld is. Uw gemeente heeft hiervoor als verklaring gegeven dat de betreffende subsidies ook op deze andere grootboekrekeningen begroot zijn. Ook dit leidt mogelijk tot onjuiste stuurinformatie, doordat niet duidelijk is waar de subsidies terugkomen in de administratie. 2019 - 2. Omzetbelasting Boekenonderzoek Belastingdienst In 2019 heeft een boekenonderzoek plaatsgevonden door de Belastingdienst ten aanzien van de Omzetbelasting. Naar aanleiding van dit boekenonderzoek zijn naheffings-aanslagen opgelegd. Uw gemeente heeft aangegeven hiertegen bezwaar te maken. De naheffingsaanslagen zijn onder andere het gevolg van onjuiste registratie van gemengde kosten en de vergoeding vanuit de Stichting Afvalfonds.

25

Bevindingen eerdere jaren en follow up Bevinding 1. Subsidies: ontbreken subsidieregister Binnen de gemeente Nunspeet is geen formele vastlegging van de subsidielasten en bijbehorende voorwaarden aanwezig.

5. Aanbestedingen: juiste aanbestedingsvorm Bij de inkoop van diensten boven de € 40.000 en voor werken boven de € 90.000 wordt door de gemeente gebruik gemaakt van een inkoopformulier dat dient als hulpmiddel voor het kiezen van de juiste aanbestedingsvorm. Er zijn echter geen controles ingebouwd die waarborgen dat dit ook gebeurt en bovendien vindt geen zichtbare controle plaats op het kiezen van de juiste aanbestedingsvorm. De inkoopcoördinator heeft bij het toepassen van het inkoopbeleid en uitvoering inkoopproces een ondersteunende rol. 6. Sociaal domein: wijzigingen bankrekeningnummers in Civision Samenlevingszaken De bankrekeningnummers van leveranciers en cliënten binnen het sociaal domein worden beheerd in Civision Samenlevingszaken. De gemeente heeft een procedure ingericht waarbij een medewerker van de uitkeringsadministratie wijzigingen van bankrekeningnummers controleert. Deze controle is echter niet afgedwongen in het systeem en bovendien moet de medewerker die de wijziging doorvoert hiervoor een signaal sturen naar de controlerend medewerker. Hierdoor bestaat het risico dat fouten of frauduleuze wijzigingen niet ontdekt worden en betalingen op het verkeerde bankrekeningnummer plaatsvinden en daardoor gelden ten onrechte aan de organisatie onttrokken worden.

Risico

Aanbeveling

Status

Hierdoor bestaat het risico dat er onvoldoende monitoring plaatsvindt op de subsidievoorwaarden van de verstrekte subsidies en deze hierdoor mogelijk onrechtmatig zijn.

Uw gemeente heeft opvolging gegeven aan deze bevinding door in het zaaksysteem voor subsidies verplichte invoervelden te implementeren, waardoor het eenvoudiger is om totaallijsten inzake subsidies uit het systeem te draaien. Deze informatie wordt gebruikt voor een maandelijks overleg over de voortgang van de subsidies.

 = Afgerond

Geen

Het risico is hierbij aanwezig dat niet alle substantiële aanbestedingen bekend zijn bij de inkoopcoördinator. Eveneens is het mogelijk dat bij aanbestedingen clustering van opdrachten niet plaatsvindt, terwijl dit wel wenselijk of verplicht zou zijn. Hierdoor loopt u mogelijk inkoopvoordelen mis, maar daarnaast loopt u ook een rechtmatigheidsrisico.

Het risico dat uw gemeente loopt is dat pas achteraf geconstateerd wordt dat de gemeente mogelijk onterecht niet heeft aanbesteed of een verkeerde aanbestedingsprocedure heeft gevolgd. Zeker gezien de grote financiële omvang waar het om kan gaan en het feit dat een verkeerde procedure achteraf niet te herstellen is, vragen wij uw aandacht om de aanbestedingsprocedures verder te formaliseren.

= Onderhanden

De uit te voeren controle werkzaamheden zijn intensiever als gevolg van het ontbreken van het genoemde formulier en daarmee de overwegingen voor de gevolgde inkoopprocedure.

Het proces is ongewijzigd ten opzichte van vorig jaar. Door u is aangegeven dat het in Civision Samenlevingszaken technisch niet mogelijk is gebleken om autorisaties af te dwingen.

= Onderhanden

Wij zullen meer gegevensgerichte werkzaamheden uit moeten voeren om de nauwkeurigheid van de betalingen vast te stellen.

Wij hebben begrepen dat u aan het onderzoeken bent of logging uit het systeem gehaald kan worden waaruit blijkt welke bankrekeningnummers zijn gewijzigd om aan de hand van deze logging hier controlewerkzaamheden op uit te voeren.

Gevolgen jaareindecontrole

Wij adviseren om de controle zodanig in te richten dat gewaarborgd is dat alle wijzigingen gecontroleerd worden.

26

Bevindingen eerdere jaren en follow up Bevinding 7. WMO: controle declaraties Voor de declaraties van de zorgaanbieders wordt gebruik gemaakt van het Berichtenverkeer. Daarbij wordt handmatig door de medewerker uitkeringsadministratie op het scherm de factuurregel aangesloten met de toewijzing. Eveneens vindt er een controle plaats op het maximale declaratiebedrag. Deze controles vinden echter niet zichtbaar plaats. Hierdoor bestaat het risico dat lasten inzake de WMO onjuist worden verantwoord. 8. Leges omgevingsvergunningen: controle op bouwkosten De geschatte bouwkosten worden door een inspecteur beoordeeld door middel van een bouwkosten-check. Echter vindt hier geen controle op plaats door een tweede functionaris. De gemeente loopt hiermee het risico dat door het hanteren van te lage bouwkosten te lage leges worden opgelegd.

Risico

Aanbeveling

Status

Gevolgen jaareindecontrole

Wij zien dat uw organisatie nu op papier bijhoudt welke facturen er gecontroleerd zijn en welke regels er zijn uitgevallen. Wij hebben geconstateerd dat de werkzaamheden lastig te reperformen zijn. Daarnaast geeft u zelf aan dat het een tijdrovende bezigheid is.

Om de controle efficiënter te maken adviseren wij om alleen de uitval te noteren en de overwegingen hierbij te noteren in een overzichtelijke rapportage, zodat achteraf herleidbaar is waarom bepaalde regels zijn uitgevallen

 = Afgerond

Geen

Wij adviseren u om de controle binnen het reguliere proces uit te voeren, zodat de verbijzonderde interne controle op een systeemgerichte wijze kan plaatsvinden.

 = Afgerond

Geen

.

Uw gemeente heeft opvolging gegeven aan deze bevinding door vanuit de verbijzonderde interne controle werkzaamheden uit te voeren op de bouwkosten. Dit betreft een deelwaarneming en bovendien een controle achteraf, waarbij herstel moeilijker is.

27

Bevindingen eerdere jaren en follow up Bevinding 9. Inkopen: autorisatie inkoopfacturen Bij de autorisatie van de inkoopfacturen door de prestatie-akkoord-verklaarder en/of budgethouder is niet zichtbaar welke controle de bettreffende medewerker uitvoert en welke documenten hiervoor gebruikt worden. Hierdoor is niet zichtbaar hoe de prestatielevering is vastgesteld.

Risico Het proces met betrekking vastlegging van de controle inkoopfacturen is ongewijzigd opzichte van vorig jaar.

Aanbeveling tot op ten

Wel is uw gemeente momenteel de gewenste verbeteringen in het proces van de workflow inkoopfacturen in beeld aan het brengen. Hierbij bent u voornemens om functiescheiding aan te brengen tussen prestatie-akkoordverklaarder (PAV-er) en budgethouder. Daarnaast bent u voornemens om af te dwingen dat een bijlage wordt toegevoegd door de PAV-er als onderbouwing voor de prestatielevering. Wel zou de crediteurenadministratie aan de voorkant kunnen ingeven dat voor een factuur de prestatieverklaring niet verplicht is.

Wij adviseren u om een beleid op te stellen waarin voor verschillende typen inkopen opgenomen is welke onderbouwende documentatie wordt verwacht. Om de administratieve last te beperken, kunt u er namelijk voor kiezen om een procedure in te stellen waarbij afhankelijk van het type inkoop of de omvang, meer of minder onderbouwende documentatie geregistreerd hoeft te worden. Een optie is ook om voor bepaalde inkopen een toelichting van de PAV-er op te nemen bij de factuur met een verwijzing naar de gebruikte documenten (zonder dat een bijlage wordt toegevoegd). Bij het opstellen van dit beleid adviseren wij u een risicoanalyse te maken waarbij u het risico op onrechtmatige betalingen meeneemt in uw overwegingen. Dit zou u kunnen combineren met de actualisatie van de frauderisicoanalyse (zie ook hoofdstuk 5.2).

Status  = Afgerond

Gevolgen jaareindecontrole Doorvoering van de aanpassingen is ingegaan op 16 oktober jl. Derhalve kunnen wij hier nog geen gebruik van maken voor de jaarrekeningcontrole 2020.

28

Contactgegevens M.C.J.M. (Marc) Bekker RA m.bekker@bakertilly.nl A. (Arjan) Scheper MSc RA a.scheper@bakertilly.nl E.R.M. (Emmy) Friesen MSc RA e.friesen@bakertilly.nl

Kantoorgegevens: Baker Tilly (Netherlands) N.V. Burgemeester Roelenweg 14-18 8021 EV Zwolle Postbus 508 8000 AM Zwolle +31 38 425 86 00

29