Document · PDF

St. t.k.n. nr. 2. Bijlage Def. management letter 2021

Commissie Maatschappij en Middelen 7 april 2022, gemeente NunspeetBij agendapunt: Managementletter interim controle 2021;8.158 woorden

Open het PDF bij de gemeente ↗Naar de vergadering →

Tekst van het document

Uit het bestand gehaald, zonder opmaak, tabellen en afbeeldingen

Management letter Gemeente Nunspeet Boekjaar 2021

26/01/2022

Aan het College van Burgemeester en Wethouders van de gemeente Nunspeet Postbus 79 8070 AB NUNSPEET

Geacht College,

ONDERWERP: Management letter 2021

De opzet, het bestaan en in voorkomende gevallen de werking van de interne beheersingsmaatregelen van de belangrijkste bedrijfsprocessen, inclusief de geautomatiseerde gegevensverwerking, in uw organisatie zijn beoordeeld en getoetst, zodat we een terugkoppeling kunnen geven over de betrouwbaarheid van de interne informatievoorziening en de jaarrekening.

KENMERK: d.d. 26-01-2022

Als onderdeel van de controle van de jaarrekening 2021 van gemeente Nunspeet hebben wij de administratieve organisatie en de daarin opgenomen maatregelen van interne beheersing beoordeeld, teneinde onze controlewerkzaamheden in overeenstemming met Nederlands recht waaronder de controlestandaarden te kunnen bepalen.

Onze bevindingen zijn gebaseerd op de normale werkzaamheden in het kader van de jaarrekeningcontrole. Deze brief bevat daardoor niet alle onvolkomenheden in uw organisatie, die bij een eventueel uitgebreid en hierop specifiek gericht onderzoek naar voren zouden kunnen komen. Zoals u zult begrijpen, is de management letter van nature kritisch. Wij rapporteren over de eventuele leemtes of mogelijkheden ter verbetering van de financiële en administratieve processen, de administratieve organisatie daarvan en de daarin opgenomen maatregelen van interne beheersing. Wij geven in deze management letter aan op welke wijze verbeteringen van de administratieve organisatie en de daarin opgenomen maatregelen van interne beheersing kunnen worden gerealiseerd. De aanbevelingen en oplossingsrichtingen zoals beschreven in deze management letter bieden u handvatten voor deze uitwerking. Wij hebben de concept management letter toegelicht en besproken met een afvaardiging van de ambtelijke organisatie. Deze management letter is door ons opgesteld voor uw informatie en mag niet zonder onze uitdrukkelijke toestemming geheel of gedeeltelijk aan derden ter beschikking worden gesteld. Wij danken u en uw medewerkers voor de samenwerking en zijn graag bereid tot het verstrekken van nadere toelichting. Hoogachtend, Baker Tilly (Netherlands) N.V.

M.J.C.M. Bekker RA 2

Inhoudsopgave CONTACT M.J.C.M. (Marc) Bekker RA Director Audit + 31 6 15 30 36 59 m.bekker@bakertilly.nl A. (Arjan) Scheper MSc RA Manager Audit + 31 6 11 86 79 74 a.scheper@bakertilly.nl P.S. (Peter) Moerbeek MSc RA Junior Manager Audit + 31 6 52 76 54 05 p.moerbeek@bakertilly.nl

1. Bestuurlijke samenvatting

2. Bevindingen en aandachtspunten

3. Bevindingen IT-beheersing

Bijlage 1: Actualiteiten

KANTOORGEGEVENS Baker Tilly (Netherlands) N.V. Burgermeester Roelenweg 14-18 8021 EV Zwolle Postbus 508 8000 AM Zwolle +31 38 425 86 00

Bestuurlijke samenvatting 4

1. Bestuurlijke samenvatting Deze management letter bevat onze bevindingen die zijn gebaseerd op onze werkzaamheden in het kader van de jaarrekeningcontrole voor het jaar eindigend op 31 december 2021. Daarbij hebben wij geen nieuwe bevindingen ten opzichte van voorgaand jaar gerapporteerd.

In deze management letter hebben wij onze aanbevelingen voor uw organisatie opgenomen. De aanbevelingen zien daarbij voornamelijk toe op het zichtbaar en toetsbaar maken van de interne beheersing. Een positieve ontwikkeling vinden wij het invoeren van functiescheiding tussen prestatie-akkoord-verklaarder en budgethouder bij de autorisatie van inkoopfacturen en het vormen van beleid op de benodigde prestatieonderbouwing door uw organisatie. Op een aantal andere adviezen uit voorgaande jaren zien wij nog beperkte opvolging (zie paragraaf 2.3). Wij vragen uw aandacht voor de eerder geconstateerde bevindingen die nog niet zijn afgerond binnen uw organisatie.

In het kader van onze jaarrekeningcontrole hebben we de interne beheersing rondom uw IT onderzocht. Wij hebben in dat kader de applicatie Civision Middelen onderzocht. We constateren dat opvolging van bevindingen ten aanzien van logische toegangsbeveiliging uit voorgaand jaar deels zijn opgevolgd. Aandachtspunt blijft dat er uitzonderingen zijn op het periodiek wijzigen van het wachtwoord en de aanwezigheid van hoge rechten bij niet onafhankelijke functionarissen. Wij adviseren u om aandacht te hebben voor de opvolging van deze punten. Enerzijds in verband met de risico’s die er mee samenhangen. Anderzijds om de IT-omgeving de bedrijfsvoering zo goed mogelijk te laten faciliteren.

Covid-19 heeft ook voor 2021 nog een belangrijke invloed op uw gemeente, de gemeentelijke processen en uw financiële stromen. In lijn met voorgaand jaar heeft de Tozo (Tijdelijke overbruggingsregeling zelfstandige ondernemers) doorgelopen, daarbovenop is ook de TONK (Tijdelijke Ondersteuning Noodzakelijke Kosten) ingevoerd. Ook andere elementen in de controle worden geraakt door Covid-19, processen lopen op een andere wijze, met uw (zorg)leveranciers zijn alternatieve afspraken gemaakt ten opzichte van de contractering. U heeft hier aandacht voor.

We zijn het controlejaar voortvarend in de samenwerking gestart, ondanks COVID-19 verloopt de samenwerking met de gemeente Nunspeet op een effectieve en efficiënte wijze.

2. Bevindingen en aandachtspunten 6

2. Bevindingen en aandachtspunten 2.1 Algemeen Inleiding Doel en reikwijdte

Risicoanalyse

Het doel van onze jaarrekeningcontrole is het vormen van een oordeel over de getrouwheid en de rechtmatigheid van de jaarrekening als geheel, zoals bedoeld in het Besluit Accountantscontrole Decentrale Overheden (BADO). Vanuit de jaarrekeningcontrole beoordelen wij of de kwaliteit van de administratieve organisatie en interne beheersing voor zover relevant voor onze oordeelsvorming en geven wij geen zelfstandig oordeel over de kwaliteit van de administratieve organisatie en interne beheersing. De controle van de jaarrekening omvat het uitvoeren van controlewerkzaamheden, waaronder risicoanalyse, cijferanalyses, beoordeling van de administratieve procedures en het daarmee samenhangende systeem van interne beheersingsmaatregelen en gegevensgerichte controlewerkzaamheden. De samenstelling en omvang van die werkzaamheden zijn noodzakelijk voor het verkrijgen van voldoende controle-informatie ter onderbouwing van ons oordeel.

Onze risicoanalyse richt zich op een betrouwbare totstandkoming van de jaarrekening. Dit betekent dat wij niet alle risico’s die voor u als gemeente relevant zijn in onze controle meenemen. De risicoanalyse is een continue proces en stellen wij gedurende de controle indien nodig bij. De belangrijkste bij uw gemeente onderkende risico’s / kernpunten in de controle zijn: • Waardering van uw grondexploitatie; • Rechtmatigheid aanbestedingen; • Prestatielevering inkopen; • Handmatige betalingen; • Risico dat het management van de gemeente de procesafspraken doorbreekt, hetgeen een standaard risico is vanuit onze beroepsregels. Dit risico ziet bij uw gemeente met name toe op de schattingsposten in de grondexploitatie. In ons verslag van bevindingen rapporteren wij naar aanleiding van de jaarrekeningcontrole over bovenstaande punten. Deze punten zijn ongewijzigd ten opzichte van voorgaand jaar.

2. Bevindingen en aandachtspunten 2.2 Bedrijfsprocessen Interne beheersing

Beeld interne beheersing Wij zien dat de gemeente Nunspeet belang hecht aan het verbeteren van de administratieve organisatie en interne beheersing. Een belangrijke stap die uw organisatie hierbij heeft gezet is het invoeren van functiescheiding tussen prestatie-akkoord-verklaarder en budgethouder bij het autoriseren van inkoopfacturen en het vormen van beleid op de benodigde prestatieonderbouwing. Uit de eerste periode komt naar voren dat er verbeteringen in de uitvoeringen kunnen worden aangebracht door deze werkwijze verder te integreren in de organisatie en in het DNA van de medewerkers te krijgen. Op een aantal andere adviezen uit voorgaande jaren zien wij nog beperkte opvolging (zie paragraaf 2.3). Overigens heeft uw organisatie hierbij wel de risico’s overwogen en zijn de redenen van het niet opvolgen van deze punten organisatorische uitdagingen (personeelsbezetting) of systeemtechnische beperkingen. Wel vragen wij uw aandacht voor de eerder geconstateerde bevindingen die nog niet zijn afgerond binnen uw organisatie.

Basis op orde echter beheersmaatregelen nog onvoldoende (zichtbaar)

Wij constateren dat op dit moment in de processen de primaire functiescheiding is ingeregeld. Daarentegen zijn op onderdelen de interne beheersingsmaatregelen in het proces nog onvoldoende verankerd dan wel onvoldoende zichtbaar. In die laatste situatie kan achteraf niet vastgesteld worden of de afgesproken procedures en interne controles wel hebben bestaan en gewerkt. De verbijzonderde interne controlefunctie kan in beide gevallen niet systeemgericht controleren en wij als accountant ook niet. Dat laatste betekent dat een controle meer tijd kost voor zowel de gemeente als voor ons. Daarnaast neemt hierdoor ook het risico op fouten en onrechtmatigheden toe. Bovendien ontbreekt, doordat geen systeemgerichte controle kan plaatsvinden, een automatisch mechanisme waarbij de efficiency, doelmatigheid en effectiviteit van de processen en daarin opgenomen interne beheersingsmaatregelen tegen het licht worden gehouden. Wij adviseren de zichtbaarheid van de interne beheersingsmaatregelen te vergroten om u in staat te stellen bestaan en werking van de beheersingsmaatregelen te monitoren. Dit stelt uw gemeente in staat verder “in control” te komen.

Procesbeschrijvingen

Verder is het van belang dat de gemeente beschikt over procesbeschrijvingen, waaruit blijkt hoe interne controles er precies uitzien. Om dit scherp in beeld te brengen is het belangrijk procesbeschrijvingen op te stellen en waar deze reeds voorhanden zijn, deze te verfijnen voor de “key-controls”. Deze “key-controls” zitten vaak bij de rollen in functiescheiding van controlerend en autoriserend. Belangrijk hierbij is om de "key-controls" zo scherp mogelijk te beschrijven aan de hand van de 6W's (wie, wat, waarom, wanneer, met welke informatie en wat wordt vastgelegd) zodat iedere betrokken functionaris weet wat er van hem of haar verwacht wordt. Momenteel zijn deze uitgewerkt voor de verbijzonderde interne controle, echter wij adviseren u om de procesbeschrijvingen centraal open te stellen voor alle medewerkers. Daarnaast adviseren wij u blijvend aandacht te besteden aan het up-to-date houden van de procesbeschrijvingen. Uw gemeente heeft aangegeven dat iemand in dienst zal worden genomen om de procesbeschrijvingen te updaten.

Transformatie van controle achteraf naar beheersing vooraf

Een adequate beschrijving en toereikende inrichting en werking van de interne beheersing vormt de basis om voor de verbijzonderde interne controle en door ons als accountant over te gaan van een gegevensgerichte naar een organisatiegerichte controlestrategie. Hierdoor wordt het mogelijk om te steunen op de maatregelen van interne beheersing waardoor minder gegevensgerichte detailcontroles hoeven te worden uitgevoerd. Daarnaast biedt een toereikende inrichting en werking van de interne beheersing ook een goede grondslag voor de toekomstige rechtmatigheidsverantwoording door het college.

2. Bevindingen interne beheersing 2.3 Follow- up bevindingen Deze tabel geeft een overzicht van de follow-up van de aanbevelingen uit onze management letter van 2020 en eerder. Indien wij in de hoofdrapportage gerapporteerd hebben over een onderwerp, kan dit ten opzichte van voorgaand jaar als niet opgelost worden beschouwd. Om niet in herhaling te vervallen, rapporteren wij hierover niet in alle gevallen separaat in dit hoofdstuk.

Bevinding

Follow- up 2021

Salarissen: Bevoegdheden medewerkers salarisadministratie (2020) Wij hebben vastgesteld dat mutaties in de personeels/salarisadministratie niet in functiescheiding tot stand komen. Medewerkers hebben (te) ruime bevoegdheden en uitgevoerde controles worden niet vastgelegd.

Uw organisatie heeft aangegeven dat vanwege de kwetsbaarheid (qua bezetting) de bevoegdheden niet anders te organiseren zijn. Het restrisico wordt geaccepteerd.

Het risico bestaat dat mutaties niet nauwkeurig of volledig worden uitgevoerd hetgeen onrechtmatige uitstroom van middelen tot gevolg kan hebben.

Het symbool geeft de status van de constatering aan. Opgelost Actie ondernomen, maar nog niet afgerond Geen actie ondernomen Nieuwe bevinding

Handmatige betalingen: Onvoldoende zichtbaarheid uitgevoerde controlehandelingen (2020) Wij hebben vastgesteld dat er geen geformaliseerde procedure is rondom handmatige (veelal spoed) betalingen. Hierdoor worden eventueel uitgevoerde controlehandelingen niet gedocumenteerd. Het risico bestaat dat betalingen plaatsvinden aan niet rechthebbenden.

Status 2021

Wel wordt maandelijks een controle uitgevoerd door de coördinator financiën, waarbij steekproefsgewijs een controle plaatsvindt op bijzondere afwijkingen. Hierbij wordt echter niet vastgelegd met welke documenten de controle is uitgevoerd en wat de conclusies zijn. Wij adviseren u dit wel te doen.

De procedure die voor de automatische betalingen geldt, geldt ook voor de handmatige betalingen. De PAV-er en de budgethouder en eventueel de directie moeten akkoord geven. De akkoordstukken worden bijgevoegd voordat tot betaling wordt overgegaan. Wij adviseren u wel om de handmatige betalingen zoveel mogelijk te beperken, waarbij alle betalingen via de reguliere autorisatieflow lopen en alleen bij grote uitzondering handmatig betaald wordt. Doordat handmatige betalingen niet de reguliere route volgen qua controles en autorisaties, is er een verhoogd risico op fouten of onrechtmatigheden. De handmatige betalingen zorgen ook voor een verhoogde werklast bij de crediteurenadministratie en voor minder overzicht in de administratie.

Bevinding

Follow- up 2021

Aanbestedingen: Juiste aanbestedingsvorm (2017) Bij de inkoop van diensten boven de € 40.000 en voor werken boven de € 90.000 wordt door de gemeente gebruik gemaakt van een inkoopformulier dat dient als hulpmiddel voor het kiezen van de juiste aanbestedingsvorm. Er zijn echter geen controles ingebouwd die waarborgen dat dit ook gebeurt en bovendien vindt geen zichtbare controle plaats op het kiezen van de juiste aanbestedingsvorm. De inkoopcoördinator heeft bij het toepassen van het inkoopbeleid en uitvoering inkoopproces een ondersteunende rol.

Het proces is ongewijzigd ten opzichte van vorig jaar.

Sociaal domein: Wijzigingen bankrekeningnummers in Civision Samenlevingszaken (2017) De bankrekeningnummers van leveranciers en cliënten binnen het sociaal domein worden beheerd in Civision Samenlevingszaken. De gemeente heeft een procedure ingericht waarbij een medewerker van de uitkeringsadministratie wijzigingen van bankrekeningnummers controleert. Deze controle is echter niet afgedwongen in het systeem en bovendien moet de medewerker die de wijziging doorvoert hiervoor een signaal sturen naar de controlerend medewerker. Hierdoor bestaat het risico dat fouten of frauduleuze wijzigingen niet ontdekt worden en betalingen op het verkeerde bankrekeningnummer plaatsvinden en daardoor gelden ten onrechte aan de organisatie onttrokken worden.

Er is functiescheiding ingevoerd, waarbij de medewerker uitkeringsadministratie de gegevens controleert welke zijn ingevoerd door de consulent. Wanneer onjuistheden worden geconstateerd, wordt dit door de medewerker uitkeringsadministratie teruggekoppeld aan de consulent, waarna de consulent de aanpassing dient door te voeren. Dit proces wordt niet afgedwongen in het systeem en daardoor is het in theorie mogelijk dat de medewerker uitkeringsadministratie zelfstandig mutaties doorvoert.

Het symbool geeft de status van de constatering aan. Opgelost Actie ondernomen, maar nog niet afgerond Geen actie ondernomen Nieuwe bevinding

Status 2021

Wel heeft uw organisatie aangegeven dat een risicoanalyse is uitgevoerd en dat aan de hand van deze risicoanalyse is gestart met het uitvoeren van diverse controles. Er is echter geen vastlegging aanwezig van deze risicoanalyse.

Uw organisatie heeft aangegeven dat omdat de software vervangen gaat worden per 01-01-2023, het beperkte risico dat nu en in het boekjaar 2022 wordt gelopen als aanvaardbaar geacht wordt.

2. Bevindingen en aandachtspunten 2.4 Status Rechtmatigheidsverantwoording Rechtmatigheidsverantwoording Stand van zaken in verband met invoering Rechtmatigheidsverantwoording

Inmiddels is duidelijk geworden dat de rechtmatigheidsverantwoording met een jaar is uitgesteld. Het eerste jaar waarover het college expliciet verantwoording gaat afleggen over financiële rechtmatigheid wordt naar verwachting 2022. De gemeente Nunspeet is net als veel andere gemeenten al met de voorbereidingen begonnen. Het jaar uitstel kan dan ook het beste worden gebruikt om de aanpak om te komen tot de rechtmatigheidsverantwoording verder aan te scherpen. Het is wenselijk om over 2021 al ervaring op te doen met het zelfstandig uitvoeren van de benodigde interne controle. Het voordeel daarvan is dat ‘kinderziektes’, discussies en inzicht in de benodigde tijdsbesteding vroegtijdig inzichtelijk zijn. Daar kunt u uw voordeel mee doen in de aanloop naar het eerste verantwoordingsjaar. Uw gemeente heeft dit onderkend en in mei 2021 is een plan van aanpak (notitie rechtmatigheidsverantwoording) door de gemeenteraad vastgesteld. Wij willen uw aandacht vragen voor de doorlooptijd van het proces. Voornamelijk omdat vanuit de benodigde aanscherpingen van de procesbeschrijvingen en hieruit volgende beheersingsmaatregelen aandachtspunten kunnen komen die tijd nodig hebben om in de organisatie geïmplementeerd te worden. In de praktijk ervaren wij dat veel gemeenten zich vooral richten op de versterking van de verbijzonderde interne controle.

Dat is een prima aanpak die ook goed kan voorzien in de benodigde werkzaamheden om te komen tot de rechtmatigheidsverantwoording. Het instrument is echter ook nadrukkelijk geïntroduceerd om de interne beheersing van de gemeente te versterken. Wij adviseren u dan ook om ook zeker aandacht te besteden aan de interne controlemaatregelen in de processen zelf. Daarbij draait het niet alleen om de handelingen van bij het proces betrokken ambtenaren. Juist de inzet van de mogelijkheden die de procesondersteunende applicaties bieden kan efficiënt zijn. Een in het systeem ingerichte beheersmaatregel is in beginsel effectiever en efficiënter dan een handmatige beheersmaatregel. Wij zijn van mening dat financieel rechtmatig handelen een belangrijk streven is voor een gemeente. De praktijk is wel eens weerbarstig. Soms moet snel gehandeld worden (denk aan inkopen in de tijd van de Corona lockdowns: handhaving, verkeersmaatregelen, noodvoorzieningen). Het open en transparante gesprek tussen raad en college is dan raadzaam. Het Ministerie van Binnenlandse Zaken en Koninkrijksrelaties heeft toegezegd een handreiking te zullen publiceren, om te komen tot de rechtmatigheidsverantwoording. Deze is echter nog niet beschikbaar.

2. Bevindingen en aandachtspunten 2.5 Fraudeanalyse Frauderisicoanalyse Verantwoordelijkheid College

De primaire verantwoordelijkheid voor het voorkomen en detecteren van fraude berust bij het College van Burgemeester en Wethouders. Deze verantwoordelijkheid betreft ook het onderhouden van een zodanige interne beheersing om het opmaken van de jaarrekening mogelijk te maken zonder dat deze afwijkingen van materieel belang bevat als gevolg van fraude of fouten. Op basis van onze uitgevoerde interim-controle hebben wij vastgesteld dat er binnen de gemeente aandacht is voor frauderisico’s en de preventie daarvan. Uw organisatie beschikt over een frauderisicoanalyse die periodiek wordt herzien. Wij adviseren u om de frauderisicoanalyse ook tot integreren in de aanpak om te komen tot de rechtmatigheidsverantwoording door het College. Door de ingevoerde beheersingsmaatregelen in uw organisatie hierbij te betrekken, kunt u tot een gewogen afweging komen welke aanpak vereist is om de risico’s te mitigeren. De verbijzonderde interne controle kan ook gerichter worden ingezet als de opdracht hiervoor wordt ingegeven vanuit een interne frauderisicoanalyse, waardoor de werkzaamheden aansluiten op de risico’s binnen de organisatie.

3. Bevindingen IT-beheersing 13

3. Bevindingen IT-beheersing 3.1 Algemeen IT General Controls Veel handelingen die binnen organisaties plaatsvinden, worden geregistreerd door middel van automatisering. Daarbij zijn diverse interne beheersingsmaatregelen steeds vaker geautomatiseerd in softwarepakketten. Wij onderzoeken daarom de beheersing van uw IT omgeving en rapporteren daarover in deze management letter. Op basis van de door ons uitgevoerde werkzaamheden d.d. 22-11-2021 hebben wij onze inschatting van de kwaliteit van uw IT systeem en/of applicaties opgenomen. Hierbij hebben wij de volgende onderverdeling gemaakt om de kwaliteit weer te geven: Benodigd verbetering op (korte) termijn Adviespunt, verdere aanscherping mogelijk Op dit moment voldoende

Bij het uitvoeren van onze werkzaamheden hebben wij gekeken naar de algemene onderwerpen rondom de beheersing van uw IT omgeving zoals in de tabel rechts opgenomen. Op de navolgende pagina’s rapporteren wij onze bevindingen.

Onderwerp Toegangsbeveiliging (paragraaf 4.3) Bij het toetsen van ‘toegangsbeveiliging’ wordt onderzocht of de inrichting van de IT-omgeving de authenticiteit van de gebruiker van een gebruikersaccount borgt. Vervolgens onderzoeken wij de mogelijkheden voor het ‘steunen’ op autorisaties en de processen rondom het verstrekken, muteren en ontnemen van autorisaties binnen de omgeving. Wanneer de randvoorwaarden hiervoor voldoende aanwezig zijn, kunnen wij in de controle gebruik maken van ingerichte functiescheiding in het systeem. Een adequate inrichting kan preventief risico’s voor uw organisaties beperken en tegelijkertijd efficiency voordelen opleveren in de controle. Wijzigingsbeheer (Change management) (paragraaf 4.4) Bij het toetsen van ‘wijzigingsbeheer’ wordt vastgesteld dat wijzigingen aan de applicatie op gestructureerde en gecontroleerde wijze worden doorgevoerd. Voor uw organisatie heeft wijzigingsbeheer ten doel om te voorkomen dat applicaties zich niet gedragen zoals u verwacht na een wijziging in de software, resulterend in, wellicht niet opgemerkte, (financiële) gevolgen. Continuïteitsmaatregelen en beveiliging (paragraaf 4.5) Onder de noemer continuïteit en beveiliging krijgen wij inzicht in uw beheersing van risico’s gericht op continuïteit van uw bedrijfsvoering.

Hierbij kan discontinuïteit worden veroorzaakt door menselijk of technisch falen, maar ook door interne of externe kwaadwillenden. Voor continuïteit zijn met name het punt in de tijd aan tot waar u gegevens bij discontinuïteit kunt herstellen en de tijd die het kost om tot een normale bedrijfsvoering te komen bij discontinuïteit van belang. Hiernaast schatten wij uw beheersing van cyber risico’s in. Adviespunten zonder directe impact (paragraaf 4.6) Het is van ons van belang om inzicht te krijgen in de verantwoordelijkheden die binnen de organisatie zijn ingericht – of met andere organisaties overeen zijn gekomen (uitbesteding) – ten aanzien van de beheersing van de IT-omgeving. Hierbij kijken wij naar beleidsstukken ten aanzien van IT strategie, beveiliging en functiescheiding. Ook de interne beheersingsmaatregelen die al dan niet zijn ingericht binnen de IT-omgevingen zijn onderdeel van onze scope. Indien maatregelen periodiek worden uitgevoerd kunnen wij hier gebruik van maken in de jaarrekeningcontrole. Deze adviespunten hebben niet een directe impact op onze controlewerkzaamheden, maar zijn wel wenselijk.

3. Bevindingen IT-beheersing 3.2 Toegangsbeveiliging De conclusies die wij op basis van onze werkzaamheden trekken over de algemene inrichting van IT bij uw organisatie, delen wij op deze pagina met u. Uit de stoplichten valt op te maken in hoeverre wij gebruik kunnen maken van de randvoorwaarden die binnen uw organisatie aanwezig zijn voor de controle. Authenticatie Door middel van authenticatie wordt geborgd dat de gebruiker zichzelf kan identificeren binnen een geautomatiseerde omgeving. Kort gezegd: de gebruiker toont aan dat hij/zij inlogt met een eigen persoonsgebonden account en daarmee is wie hij/zij claimt te zijn. Wij scharen onder dit onderwerp met name wachtwoordvereisten en herleidbaarheid van accounts. Generieke accounts zijn dan ook niet wenselijk omdat functiescheiding kan worden doorbroken bij te ruime rechten en zijn mutaties niet te herleiden tot een persoon. Autorisatie Op het gebied van autorisatie zijn verschillende vormen van diepgang te definiëren. Wat wij onderzoeken als het gaat om de randvoorwaarden rondom autorisatie, zijn de rechten die de mogelijkheid bieden om autorisatie-structuren te wijzigen en of deze rechten belegd zijn bij functionarissen met een onafhankelijke positie ten opzichte van de jaarrekening. Daarnaast is een effectieve procedure voor het wijzigen van rechten noodzakelijk.

Authenticatie

Netwerk

Autorisatie

Onze bevindingen

Uw reactie

De ingestelde wachtwoordeisen van het netwerk zijn van voldoende niveau. Er zijn 5 persoonsgebonden accounts waarvan het wachtwoord langer dan een jaar niet is gewijzigd. Wij adviseren u om deze accounts te laten voldoen aan het periodiek wijzigingen van het wachtwoord. De hoge rechten op het netwerk zijn beperkt tot onafhankelijke functionarissen in het kader van de jaarrekeningcontrole. Daarnaast adviseren wij een procedure te implementeren voor het gestructureerd toekennen, wijzigen en ontnemen van rechten op basis van functieprofielen.

Civision Middelen

Voor het inloggen in de applicatie gebruikt men inlognaam en wachtwoord. Hierdoor zijn de wachtwoordeisen van de applicatie relevant. Deze eisen zijn van voldoende niveau. Wij adviseren u het aantal inlogpogingen toe te passen om de wachtwoordeisen te optimaliseren. 5 accounts hoeven niet te voldoen aan het periodiek wijzigen van het wachtwoord. Hierdoor is de authenticiteit van gebruikers geborgd met uitzondering van deze 5 accounts. De hoge rechten op in de applicatie zijn niet beperkt tot onafhankelijke functionarissen in het kader van de jaarrekeningcontrole. Twee accounts zijn niet onafhankelijk. Er wordt geen zichtbare periodieke controle (bijv. o.b.v. een functie-autorisatie matrix) uitgevoerd op gebruikers en gebruikersrechten binnen de applicatie. Hierdoor ontstaat het risico op ongeautoriseerde mutaties binnen de applicatie, wat de functiescheiding zou kunnen doorbreken. Wij adviseren u om de rechten opnieuw te beoordelen en functiescheiding in kaart te brengen. Daarnaast adviseren wij een procedure te implementeren voor het gestructureerd toekennen, wijzigen en ontnemen van rechten op basis van functieprofielen. 15

3. Bevindingen IT-beheersing 3.3 Wijzigingsbeheer Bij het doorvoeren van wijzigingen in softwareomgevingen ontstaan risico’s voor de bedrijfsvoering van uw organisatie. Wij verwachten daarom dat het proces voor wijzigingen een proces doorloopt, waarmee de risico’s die gelopen worden, zijn ingeschat, worden geadresseerd en dat hierop maatregelen genomen worden.

Proces

Onze bevindingen

Risico inschatting

U heeft aangegeven dat er geen specifieke risicoanalyse bij uw organisatie wordt geïdentificeerd voor het doorvoeren van updates en fixes. Een lijst met wijzigingen vanuit de leverancier wordt door de applicatiebeheerder opgesteld en geprioriteerd. Wij hebben geen bijzonderheden geconstateerd bij de doorgevoerde wijzingen in het boekjaar.

Wij hebben in de tabel aangegeven wat wij verwachten per fase en wat wij hebben geconstateerd tijdens onze controle (deels op basis van interview) en of dit overeen komt met de verwachting. .

Opstellen testplan en aanpak

U heeft aangegeven dat er geen sprake is van testplannen voor het uitvoeren van testwerkzaamheden. De wijzigingen welke worden doorgegeven via de leverancier worden bijgehouden middels een lijst met te testen wijzigingen. De applicatiebeheerder legt eventuele bevindingen uit de testwerkzaamheden vast. De volledige uitgevoerde werkzaamheden worden niet aantoonbaar vastgelegd.

Testen en documenteren

U heeft aangegeven dat er niet in alle gevallen vastlegging wordt gemaakt van de uitgevoerde testwerkzaamheden. Dit heeft tot gevolg dat wij werkzaamheden hebben moeten uitvoeren om de impact van de doorgevoerde wijzigingen vast te stellen, op basis van de release documentatie. Wij hebben geen bijzonderheden geconstateerd bij de doorgevoerde wijzingen in het boekjaar. Wij adviseren u om de uitgevoerde testwerkzaamheden te documenteren.

Gebruikers acceptatie

Wijzigingen worden getest door de applicatiebeheerder. Indien de tests zijn uitgevoerd wordt door de applicatiebeheerder akkoord gegeven waarna de ICT afdeling de release doorzet naar de productieomgeving. Registratie van de gebruikerstests en acceptatie vindt niet altijd plaats. Wij adviseren u om deze werkstap op te nemen in de procedure.

Uw reactie

3. Bevindingen IT-beheersing 3.4 Continuïteitsmaatregelen en beveiliging Let op: de onderwerpen volgen uit interviews en hierop zijn door ons over het algemeen geen testwerkzaamheden uitgevoerd om vast te stellen dat de IT-omgeving is ingericht zoals ons voorgesteld is. Dit beperkt de zekerheid die u kunt ontlenen aan de door ons beschreven aandachtspunten.

Recovery Time Objective (RTO): Een RTO is de tijd waarna een proces/middel na een onderbreking moet teruggebracht zijn op een aanvaardbaar niveau, om een onacceptabele impact op de organisatie te vermijden. Recovery: U heeft aangegeven dat er geen volledige recovery test wordt uitgevoerd. Wij adviseren u om dit periodiek uit te voeren.

Continuïteitsmaatregelen Recovery Point objective (RPO): De RPO is het punt in de tijd tot waar men minimaal de gegevens moet kunnen herstellen. Het is dus de acceptabele hoeveelheid aan dataverlies uitgedrukt in tijd. Back-ups: U heeft aangegeven dat er sprake is van een werkwijze omtrent het uitvoeren en monitoren van back-ups. Dagelijks wordt er een back-up gemaakt, welke tevens wordt overgezet naar een externe locatie. Een back-up in de cloud is een ontwikkeling welke voor 2022 op de planning staat.

Uitwijk: U heeft aangegeven dat er een uitwijklocatie is ingericht, waar de back-ups dagelijks worden gekopieerd vanuit uw locatie. U heeft aangegeven dat er nog geen uitwijktest heeft plaatsgevonden. Beveiliging Beveiliging De beveiliging van de IT-omgeving delen wij op in verschillende aspecten, welke wij hieronder hebben weergegeven. Remote access: Voor het extern inloggen wordt gebruik gemaakt van extra beveiligingsmaatregelen zoals twofactor authenticatie. Hiermee wordt een extra authenticatie stap afgedwongen voor inloggen van buiten de organisatie. Intern is dit niet van toepassing. Wij adviseren u dit ook intern toe te passen.

Vervolg Beveiliging Fysieke beveiliging: De servers zijn ondergebracht in een serverruimte op locatie. Deze ruimte is fysiek afgesloten en alleen toegankelijk middels een tag waar alleen geautoriseerde medewerkers over beschikken. Daarnaast is de ruimte voorzien van een alarmsysteem, airco, ups en blusinstallatie. Preventie: Een firewall en virusscanner zijn aanwezig en wordt actief beheerd en gemonitord. Monitoring: In 2021 heeft een attack- and penetration test plaatsgevonden door een externe partij. De bevindingen die hierin naar voren zijn gekomen zijn geprioriteerd en waar mogelijk direct opvolging aan gegeven. Door het uitvoeren van een dergelijke test zijn eventuele zwakheden in de IT-omgeving blootgelegd en kan actie ondernomen worden.

3. Bevindingen IT-beheersing 3.5 Adviespunten zonder directe impact Let op: de onderwerpen volgen uit interviews en hierop zijn door ons over het algemeen geen testwerkzaamheden uitgevoerd om vast te stellen dat de IT-omgeving is ingericht zoals ons voorgesteld is. Dit beperkt de zekerheid die u kunt ontlenen aan de door ons beschreven aandachtspunten.

Beleid en Plannen Beleid U heeft aangegeven dat uw organisatie beschikt over een beleidsplan opgesteld omtrent IT en informatiebeveiliging, welke voldoet aan de BIO. Deze is nog niet geïmplementeerd en is voorgelegd aan de directie ter goedkeuring.

Verantwoordelijkheden en regiefunctie Wij verwachten dat binnen uw organisatie duidelijke afspraken zijn gemaakt ten aanzien van verantwoordelijkheden over uitvoering en strategie op het gebied van IT. U heeft aangegeven dat dit het geval is. Taken en verantwoordelijkheden omtrent de IT-organisatie zijn opgenomen in het beleidsplan. Met leveranciers zijn contracten afgesloten. Een vastlegging van periodieke controle op contracten vindt niet plaats. Uitvoering Beheersing van incidenten Om de performance van uw IT systemen en eventueel de performance van uw IT dienstverlener te monitoren, is registratie van de incidenten en problemen van belang. Hierdoor verkrijgt u inzicht in de performance van uw systemen, maar ook van uw IT organisatie en kunt u waar nodig uw beleidsplan corrigeren. U heeft aangegeven dat er sprake is van een werkwijze omtrent de beheersing van incidenten en dat incidenten geregistreerd worden in een ticketsysteem. Hierdoor is het inzichtelijk welke incidenten hebben plaatsgevonden en hoe hieraan opvolging is gegeven.

Uitvoering beheersingsmaatregelen IT Op verschillende vlakken worden (nog) geen toetsbare beheersingsmaatregelen uitgevoerd binnen uw organisatie. Denk aan:  Procedure voor wijzigingsbeheer t.b.v. de gebruikersorganisatie/applicaties (zie ook punt ‘Wijzigingsbeheer’);  Procedure rondom uitgifte en controle op unieke en individuele gebruikersnamen;  Periodieke controle op actieve gebruikers;  Periodieke controle op inrichting van wachtwoordbeleid;  Procedure voor het gestructureerd toekennen, wijzigen en ontnemen van rechten op basis van functieprofielen;  Periodieke controle op inrichting van rechten in het systeem conform beleid (middels functieautorisatie matrix). Deze procedures en daaruit volgende controlemaatregelen zorgen ervoor dat uw organisatie grip houdt op de IT-omgeving en faciliteren dat de randvoorwaarden, die de effectiviteit van ingerichte beheersingsmaatregelen beïnvloeden, van voldoende niveau zijn. Wij adviseren u om de bovenstaande procedures in te richten en (toetsbaar) periodiek te beheersen in de organisatie.

Bijlage 1: actualiteiten 26/01/2022

Overige onderwerpen Wijzigingen in relevante verslaggevingsvoorschriften Een goede voorbereiding is het halve werk, en daarom geven we alvast een vooruitblik op de belangrijkste nieuwe bepalingen. Zowel vanuit de wet als het Besluit Begroting en Verantwoording (BBV).

Wijziging Schatkistbankieren In de beleidsdoorlichting schatkistbankieren van juli 2019 is onder meer geconstateerd dat decentrale overheden kampen met administratieve lasten bij schatkistbankieren. Het kabinet heeft in de beleidsdoorlichting het probleem erkend dat met name decentrale overheden die structureel rood staan en slechts incidenteel overtollige middelen hebben met hogere administratieve lasten te maken hebben dan gewenst is. Met een eventuele verhoging dan wel een andere berekening van het drempelbedrag komt het kabinet aan deze bezwaren tegemoet. Vanaf 1 juli 2021 is voor gemeenten (en provincies, waterschappen en hun gemeenschappelijke regelingen) met een begrotingstotaal tot € 500 miljoen de drempel voor het verplicht schatkistbankieren verhoogd naar 2% van het begrotingstotaal (was 0,75%) met een minimum van € 1 miljoen (was € 250.000). Voor gemeenten met een begrotingstotaal van € 500 miljoen of meer wordt de drempel € 10 miljoen (was € 3,75 miljoen) plus 0,2% van het deel van het begrotingstotaal dat de € 500 miljoen te boven gaat. Dit betekent dat provincies, gemeenten en waterschappen op basis van hun verantwoordingsvoorschriften twee drempelbedragen voor 2021 moeten hanteren, te weten: 

een drempelbedrag voor het eerste half jaar (huidige situatie);



een drempelbedrag voor het tweede half jaar (nieuwe situatie).

Voor de berekening van het nieuwe drempelbedrag heeft het Rijk de volgende voorbeeld berekening ter beschikking gesteld: https://www.dsta.nl/schatkistbankieren/documenten/publicaties/2021/06/29/voorbeeld-berekening-drempelbedrag In de voorbeeld jaarrekening welke Baker Tilly tegen het einde van het jaar publiceert wordt ook een verantwoordingsvoorbeeld voor de jaarrekening met een splitsing naar de oude en de nieuwe situatie opgenomen.

Notitie Lokale heffingen Deze notitie (ter vervanging van de Notitie Riolering 2014) geeft een overzicht van alle relevante aspecten van lokale heffingen en bijbehorende voorzieningen en reserves met betrekking tot vraagstukken van begroting en verantwoording voor gemeenten, provincies en gemeenschappelijke regelingen. In deze notitie zijn de volgende stellige uitspraken opgenomen, welke met ingang van begrotingsjaar 2022, of zoveel eerder als mogelijk, van toepassing zijn: 

De methodiek voor het toerekenen van overhead, zoals opgenomen in het overzicht overhead, aan lokale heffingen en rechten mag niet afwijken van de overige methodieken voor het toerekenen van overhead aan gemeentelijke taakvelden.



Indien een voorziening onderhoud (artikel 44, lid 1, sub c BBV) onvoldoende is onderbouwd dan komen deze gelden niet in een reserve maar in een voorziening ex. artikel 44, lid 2 BBV. Dit geldt ook voor de baten uit lokale heffingen die aan het einde van het belastingjaar niet zijn besteed omdat begrote investeringen en (onderhouds)werkzaamheden niet zijn uitgevoerd.



Als een gemeente spaart in het tarief voor toekomstige vervangingsinvesteringen in de voorziening toekomstige vervangingsinvesteringen ex artikel 44, lid 1, sub d BBV, dan mogen deze niet gebruikt worden om boekwaarden van eerdere, bestaande investeringen af te boeken.



Ook wanneer de jaarlijkse spaarbedragen voor de heffing gelijk zijn aan de jaarlijkse vervangingsinvesteringen (=ideaalcomplex) moeten de ‘spaarbedragen’ als last worden geboekt en wordt vervolgens de daarmee gevormde voorziening afgeboekt op de geactiveerde vervangingsinvesteringen.



Het is toegestaan om de bijdragen van derden (baten van de heffing) in te zetten ten behoeve van tariefegalisatie. De middelen worden dan op begrotingsbasis gedoteerd aan een voorziening ex artikel 44, lid 2 BBV. Er moet extracomptabel worden aangetoond dat deze middelen binnen een redelijke termijn ingezet worden ter bestrijding van de lasten waarvoor een heffing is opgelegd.



Indien baten van lokale heffingen in één jaar geraamd en gerealiseerd worden en de lasten zich over meerdere jaren uitstrekken, is het toegestaan deze te matchen. Hiertoe wordt gebruik gemaakt van een voorziening ex artikel 44, lid 2 BBV (baat gaat voor de last uit) of de balanspost ‘nog te verrekenen bedragen’ (last gaat voor de baat uit; dit laatste is enkel toegestaan bij bouwvergunningen).



Investeringen in riolering in uitbreidingsgebieden kunnen ten laste van de grondexploitatie worden gebracht. De bijdragen die de gemeente via de grondprijs ontvangt, zijn te beschouwen als bijdragen van derden, die de gemeente op grond van artikel 62, lid 2 BBV op de waardering van de investering in mindering brengt.

Notitie Lokale heffingen (vervolg) Naast de bovenstaande stellige uitspraken heeft de commissie ook een aantal aanbevelingen gedaan: 

De commissie BBV adviseert (documenten die ondersteunend zijn aan) onderhouds- en investeringsplannen die basis zijn voor de berekening van tarieven voor heffingen en rechten uiterlijk eens in de vijf jaar te actualiseren en vast te laten stellen door de raad vanuit hun kaderstellende rol en de rechtmatigheidstoets. De raad kan besluiten deze actualisatie uit te stellen op basis van een raadsbesluit. Binnen deze vijf jaar dienen de onderhouds- en investeringsplannen wel tussentijds te worden bijgesteld als ze niet meer actueel zijn.



De commissie BBV adviseert dat in het geval dat een gemeente kiest voor tariefegalisatie dit vast te leggen in een raadsbesluit.



De commissie BBV adviseert om periodiek een analyse uit te voeren op de begrote en gerealiseerde lasten en baten van de lokale heffingen. Het inzichtelijk maken van de opbouw van de voorzieningen ex artikel 44, lid 1, sub c, lid 1, sub d, en lid 2 BBV vormt een expliciet onderdeel van deze analyse.



De commissie BBV adviseert in geval van heffingen die beogen het gedrag te beïnvloeden de risico’s die hiermee samenhangen op te nemen in de paragraaf lokale heffingen.



De commissie BBV adviseert om in de paragraaf lokale heffingen onder het onderdeel beleid een overzicht op te nemen van de te onderscheiden lokale heffingen, de maatstaf en de doelstelling die wordt beoogd met het opleggen van de heffing.



De commissie BBV adviseert om in het gemeentelijk rioleringsplan (GRP) eenduidig onderscheid te maken tussen onderhoud en vervangingsinvesteringen.

We adviseren u voor de jaarrekening 2021 kennis te nemen van deze notitie en onder andere na te gaan in hoeverre uw gemeente reeds voldoet aan de stelde uitspraken en de aanbevelingen. Op deze wijze heeft u inzichtelijk of er in 2022 nog herstelacties noodzakelijk zijn. Mocht u nader advies nodig hebben van onze specialisten aarzel dan niet om contact met ons op te nemen.

Overige onderwerpen Wijzigingen in relevante verslaggevingsvoorschriften Kadernota rechtmatigheid 2021

De commissie BBV heeft recent een addendum op de Kadernota 2018 uitgebracht. Hierin zijn de volgende stellige uitspraken en aanbevelingen gedaan. We adviseren u hier bij het opstellen van de jaarstukken 2021 rekening mee te houden. We merken daarbij op dat de twee laatste aanbevelingen ook al in de Kadernota 2018 waren opgenomen, maar dat wij constateren dat niet alle gemeenten een duidelijke invulling hebben gegeven aan deze afspraken tussen college en raad. Stellige uitspraken •

Niet-financiële onrechtmatigheden in verband met het niet naleven van bepalingen in de Wet fido en bijbehorende regelingen moeten in de paragraaf bedrijfsvoering worden opgenomen en toegelicht.

Aanbevelingen

2022

•

De commissie BBV adviseert om geconstateerde fraude door eigen medewerkers toe te lichten in de paragraaf bedrijfsvoering.

•

De commissie BBV adviseert om afspraken tussen college en raad over verschuivingen van uitgaven tussen jaarschijven in een investeringsbudget vast te leggen in de financiële verordening ex artikel 212 Gemeentewet.

•

De commissie BBV adviseert om kaders op te nemen in de financiële verordening, ex artikel 212 Gemeentewet, indien specifieke budgetten bij onder uitputting op jaareinde in bestemmingsreserves worden opgenomen.

Met ingang van het verslagjaar 2022 wordt dan de verantwoordelijkheid van het college van burgemeester en wethouders (‘college’) voor de rechtmatigheid benadrukt doordat het college een verantwoording over rechtmatigheid af moet gaan geven in plaats van de accountant. De Kadernota Rechtmatigheid is vooruitlopend op de wetswijziging geheel herzien, daarbij zijn een groot aantal stellige uitspraken en aanbevelingen herzien ten opzichte van voorgaande uitingen. We adviseren u integraal kennis te nemen van de notitie. Het is daarnaast belangrijk om op korte termijn voorbereidingen te treffen, daarbij zijn onder andere de volgende stappen van belang: -

Stel het normenkader op en werk deze uit door middel van een toetsingskader en een controleplan. Stem dit controleplan, op basis waarvan het college van plan is de rechtmatigheid in de jaarstukken aan te tonen, vooraf met uw accountant af.

Stem tijdig de kaders tussen college en raad af. Doe dit door niet alleen het normenkader en de verantwoordingsgrens vast te laten stellen, maar ook goede afspraken over de inhoud van de paragraaf bedrijfsvoering te maken. Laat u daarin adviseren door uw accountant.

Gebruik 2021 als “oefenjaar” om enerzijds de afspraken tussen raad en college op de juiste wijze te krijgen ingericht en anderzijds om uw verbijzonderde interne controle verder te optimaliseren. We adviseren u om dit moment van de invoering van de rechtmatigheidsmededeling te gebruiken om de inrichting van uw administratieve organisatie en interne controle tegen het licht te houden. 23

Overige onderwerpen Wijzigingen in relevante verslaggevingsvoorschriften Notities BBV

Notitie paragraaf bedrijfsvoering De commissie BBV heeft, mede naar aanleiding van het uitbrengen van de geactualiseerde kadernota rechtmatigheid, recent de notitie Paragraaf Bedrijfsvoering aangepast. Hierin zijn de volgende stellige uitspraken en aanbevelingen gedaan die ingaan over het boekjaar 2022. Stellige uitspraken •

In de paragraaf bedrijfsvoering wordt, op basis van de kadernota rechtmatigheid van de commissie BBV en op basis van de afspraken met de gemeenteraad, aanvullende informatie opgenomen over de individueel geconstateerde afwijkingen uit de rechtmatigheidsverantwoording.

•

In de paragraaf bedrijfsvoering beschrijft het college welke actie hij onderneemt om de afwijkingen in de rechtmatigheidsverantwoording in de toekomst te voorkomen.

•

Niet-financiële onrechtmatigheden in verband met het niet naleven van bepalingen in de wet Fido en bijbehorende Regelingen moeten worden opgenomen en toegelicht in de paragraaf bedrijfsvoering.

Aanbevelingen •

De commissie BBV adviseert kaderstelling op het gebied van bedrijfsvoering niet bij begroting vorm te geven, maar door middel van de (financiële) verordening of nota bedrijfsvoering aan de raad voor te leggen en deze periodiek te herzien.

•

De commissie BBV adviseert focus aan te brengen in de paragrafen. Minimaliseer herhalingen tussen verordeningen, nota’s, programma’s en paragrafen. Maak hierbij gebruik van verwijzingen binnen begroting of jaarverslag teneinde de omvang van deze documenten te beperken en daarmee de toegankelijkheid voor de raad te vergroten.

•

De commissie BBV adviseert om afspraken te maken tussen raad en college over de wijze waarop met niet financiële onrechtmatigheden wordt omgegaan. Deze afspraken kunnen onderdeel zijn van de nota bedrijfsvoering of de financiële verordening.

•

De commissie BBV adviseert om geconstateerde fraude(s) vanuit de eigen organisatie door bijvoorbeeld eigen medewerkers toe te lichten in de paragraaf bedrijfsvoering.

Overige onderwerpen Overige aandachtspunten Financiële verordening

Grensbedrag belangrijke verplichtingen Vanuit de wetgeving is voorgeschreven om belangrijke financiële verplichtingen op te nemen en toe te lichten onder de ‘Niet in de balans opgenomen verplichtingen’. Er is echter geen nadere duiding gegeven aan het begrip ‘belangrijk’ waardoor dit ter interpretatie is door de gemeente zelf. Om te waarborgen dat dit op een consistente wijze en in overeenstemming met de verwachtingen vanuit de raad wordt toegepast adviseren wij u om een grensbedrag op te nemen in de financiële verordening.

Overige onderwerpen Overige aandachtspunten Auditplicht bij de Wet politiegegevens

Auditplicht bij de Wet politiegegevens U heeft als gemeente boa’s in dienst. Dat betekent dat de Wet politiegegevens (WPG) en Besluit politiegegevens (BPG) voor u van toepassing is. Voor het uitvoeren van de opsporingstaken van sommige boa’s is toegankelijkheid van bevoegde medewerkers tot politiegegevens van belang. Dit betreft zeer gevoelige informatie. Bij specifieke taken op het gebied van opsporing is voor de beveiliging van persoonsgegevens de Wet politiegegevens (WPG) van toepassing en niet de Algemene verordening gegevensbescherming (AVG). Boa’s combineren vaak opsporingstaken met toezichthoudende taken in hun werkzaamheden. Het verwerken van persoonsgegevens in verband met het uitoefenen van opsporingstaken voor strafbare feiten valt onder de WPG. Het verwerken van persoonsgegevens in verband met het uitoefenen van toezichthoudende taken valt onder de AVG. Dit betekent dat registratie en toezicht vanuit twee perspectieven plaats moeten vinden. De WPG komt in grote lijnen overeen met de AVG. Toch zijn er ook belangrijke verschillen. De WPG is een wet die de rechten en plichten van de politie en de burger regelt voor het verwerken van deze politiegegevens. Verschillen met de AVG zijn onder meer dat er specifieke verwerkingsgrondslagen met eigen voorwaarden en verwerkingstermijnen zijn voor politiegegevens. Daarnaast is de rol van de privacyfunctionaris anders ingericht.

Het meest in het oog springende verschil tussen AVG en WPG is de auditplicht op de gegevensverwerking bij opsporingstaken voor de WPG. Jaarlijks voert u een interne audit uit. Eenmaal in de vier jaar moet u een externe audit laten uitvoeren. Het eerste jaar waarin deze externe audit uitgevoerd dient te worden is hoogstwaarschijnlijk 2022 (In 2021 is de uitvoering een jaar uitgesteld). Om te kunnen voldoen aan de wettelijke eisen zijn de volgende stappen van belang: 1. Stel een normenkader op voor uw interne beheersing en om de interne en externe audits te kunnen voorbereiden en uitvoeren. Dit normenkader dient tenminste de verplichte elementen in het kader van de privacy audit te bevatten. 2. Verkrijg inzicht in de scope van de audit. Breng daarbij in beeld: - Welke medewerkers en applicaties betrokken zijn; - Welke type boa’s worden gebruikt; - Welke alle gegevensverwerkingen in het kader van de WPG worden gebruikt; - Of door de door de leverancier al een WPG audit op de applicatie is uitgevoerd; - Welke verantwoordelijkheden er over blijven voor uw organisatie. 3. Voer een nulmeting uit. Hierna weet u waar uw organisatie staat en welke verbeterslagen u nog kunt maken. 4. Laat de interne en/of externe audit uitvoeren c.q. voer de interne en/of externe audit uit.

Wij kunnen u, indien gewenst, op verschillende manieren helpen aan het tijdig voldoen aan uw auditverplichtingen in het kader van de WPG.

Overige onderwerpen Overige aandachtspunten Ontwikkelingen op het gebied van gebiedsontwikkeling en vastgoed

Toenemende vraag naar woningen en verduurzaming maatschappelijk vastgoed vraagt extra aandacht van de interne organisatie “Het woningtekort is opgelopen tot meer dan 300.000 woningen. Als er niet rigoureus wordt ingrepen wordt het alleen maar erger. De sleutel ligt in meer aanbod, vooral in het middensegment. Om weer naar gezonde regionale woningmarkten te groeien, moet de woningbouwproductie in alle prijssegmenten verhoogd worden.” * Omvang en complexiteit van de woningbouwopgave neemt toe Gemeentes krijgen door het woningtekort te maken met een sterke kwantitatieve groei van het te realiseren aanbod. De huidige prognoses gaan uit van een woningbouw opgave van 900.000 tot 1,0 miljoen woningen voor 2030, welke zelfs oploopt tot 1,7 miljoen woningen in 2050. Daarbij komt ook een toenemende complexiteit bij het invullen van deze woningbouwopgave, op termijn zijn er geen ‘eenvoudige’ ontwikkellocaties meer. Deze groei en complexiteit zal enerzijds leiden tot een capaciteitsvraagstuk (voldoende mensen/ planeconomen) om de opgave aan te kunnen, en anderzijds tot een toenemende behoefte aan efficiëntie en beheersing (organisatorische optimalisatie en risicomanagement). Verduurzaming van maatschappelijk vastgoed zet door De verduurzaming van maatschappelijk vastgoed vraagt om een grote financiële impuls, zonder dat daar concrete opbrengsten tegen overstaan.

Daarbij komt de verplichting vanuit het Bouwbesluit dat kantoorgebouwen waarbij de gebruiksoppervlakte aan kantoorfuncties 50% of meer beslaat van het totaal én groter is dan 100m2 in 2023 minimaal moet beschikken over een energielabel C. Er wordt van (lokale) overheidsinstanties verwacht dat zij een voortrekkersrol in de verduurzaming vervullen. Lokale overheden zijn nu met name gericht op de Regionale Energie Strategieën. Aandacht voor de verduurzaming van de (eigen) maatschappelijke vastgoedportefeuille neemt, mede door de aanscherpende wet- en regelgeving, toe. De vraag is wat dit betekent voor de financiële positie van de gemeente. Waarbij de impact van disrupters als stikstof/ PAS en PFAS nog steeds niet zijn opgelost. De impact van de verduurzaming(-splicht) leidt tot (1) een toenemende financiële impuls voor extra benodigde investeringen in het vastgoed en (2) impact op het bouwvolume door vertraagde (bouw)aanvragen in relatie tot stikstof/ PAS en PFAS. Nu tijd om te anticiperen Tijdig anticiperen op de groeiende vraag en complexiteit van de woningbouw en de verduurzaming van de maatschappelijke vastgoed portefeuille is noodzakelijk om de gevolgen voor de (interne) organisatie te kunnen inschatten en beheersen. Denk daarbij aan capaciteit, sturing en beheersing en procesoptimalisatie.

Bij niet tijdig anticiperen neemt de risicoblootstelling toe met mogelijke financiële consequenties tot gevolg. Verandering vraagt tijd. Nu actief inspelen op deze ontwikkelingen stelt u in staat de organisatie bewust te maken van de opgave en maatregelen te treffen om de verandering succesvol en tijdig te laten verlopen. * Actieagenda Wonen 2021, Opgesteld door 33 organisaties die allemaal dagelijks bezig zijn met wonen, bouwen, zorg en welzijn

Overige onderwerpen Overige aandachtspunten HR proces

Digitalisering HR processen Veel organisaties zijn bezig met het digitaliseren van standaard HR processen. De komende jaren zal deze ontwikkeling sterk doorzetten. Als gevolg van digitalisering zullen nog meer HR processen geautomatiseerd worden en kunt u uw data binnen uw organisatie steeds beter benutten. Human Resources is een essentieel onderdeel van elk bedrijf. Vroeger bestond de afdeling voor het merendeel uit handmatige en administratieve processen. De technische ontwikkelingen binnen het HR vakgebied hebben een ware evolutie ondergaan. HR processen kunnen tegenwoordig vergaand geautomatiseerd worden, waardoor we meer tijd kunnen besteden aan de werknemers en ons als bedrijf kunnen focussen op de strategie. Daarnaast wordt uw werknemersbestand steeds meer ingevuld door de Generatie Z. Deze generatie is opgegroeid in het digitale tijdperk en verwacht van hun werkgever ook deze manier van werken. Digitalisering is dan ook zeker een onderdeel van het binden en boeien van uw (toekomstige) werknemers. Om als organisatie in control te blijven is het belangrijk dat: •

•

• •

U er voor zorgdraagt dat u voor uw werknemers de HR processen zo innovatief mogelijk heeft geregeld. Digitalisering kan namelijk bijdragen aan werknemerstevredenheid en meer betrokkenheid. In zijn algemeenheid heeft digitalisering een gunstig effect op de verdieping van de functie-inhoud van de werknemer. U als gevolg daarvan uw administratieve processen efficiënt heeft ingeregeld, wat verlaging van kosten met zich meebrengt. Deze besparingen kunnen substantieel zijn. Daarnaast is personeel schaars en willen we ze vooral de juiste dingen laten doen, die bijdragen aan het succes van uw organisatie. U dus ook de beschikking heeft over real-time personeelsdata, waar u gericht op kunt sturen als onderdeel van uw strategie. Data-analyse wordt hierin steeds belangrijker, ook als onderdeel van bijvoorbeeld strategische personeelsplanning of bijvoorbeeld uw verzuim. U door het automatiseren van uw HR processen uw administratie op orde heeft conform de geldende wettelijke en fiscale richtlijnen. Denk hierbij ook aan bijvoorbeeld de AVG-wetgeving of de Wet Arbeidsmarkt in Balans (WAB). Deze onderwerpen kunnen, indien niet goed toegepast, grote financiële risico’s met zich mee brengen.

Bent u in controle omtrent deze onderwerpen? Wij kunnen passende oplossingen bieden die passen bij de omvang van uw organisatie, dan wel met onze professionals met u meedenken hoe en met welke instrumenten we dit onderwerp binnen uw organisatie verder kunnen brengen. Mocht u over dit onderwerp en de bijbehorende uitdagingen meer willen weten kunt u contact opnemen met onze HR consultants binnen Employment Advisory. 28

KANTOORGEGEVENS Baker Tilly (Netherlands) N.V. Burgermeester Roelenweg 14-18 8021 EV Zwolle Postbus 508 8000 AM Zwolle +31 38 425 86 00

De tekst is automatisch uit het bestand gehaald en kan afwijken van het origineel (kolommen, tabellen en koppen lopen door elkaar). Het officiële stuk bij de gemeente is leidend. Bron: https://api.notubiz.nl/document/11341106/1