St. t.k.n. nr. 2. Bijlage Plan VIC 2022 gemeente Nunspeet

Nunspeet “in control”

Plan (verbijzonderde) interne controle 2022

Inhoudsopgave 1.

2.

3.

Inleiding ........................................................................................................................................... 3 1.1

Aanleiding ................................................................................................................................ 3

1.2

Ontwikkelingen........................................................................................................................ 3

1.3

Rechtmatigheidsverantwoording ............................................................................................ 4

Controleaanpak en risicoanalyse..................................................................................................... 5 2.1

Inleiding ................................................................................................................................... 5

2.2

Normenkader verbijzonderde interne controle ...................................................................... 5

2.3

Controleaanpak ....................................................................................................................... 5

2.4

Toleranties ............................................................................................................................... 6

Uitvoering VIC.................................................................................................................................. 6 3.1

Bepaling processen uitvoering VIC .......................................................................................... 6

3.2

Methode van uitvoering en vastlegging .................................................................................. 7

3.3

Rapportering............................................................................................................................ 9

Bijlage 1: Visievorming op “in control” ................................................................................................. 10 1.1

Inleiding ................................................................................................................................. 10

1.2

Visie ....................................................................................................................................... 10

1.3

Rollen en verantwoordelijkheden ......................................................................................... 10

1.4

Automatiseringsomgeving..................................................................................................... 11

1.5

Processen .............................................................................................................................. 12

1.6

Rechtmatigheidsverantwoording .......................................................................................... 12

Bijlage 2: Verbijzonderde Interne Controle functie .............................................................................. 14 2.1

Inleiding ................................................................................................................................. 14

2.2

Rollen en verantwoordelijkheden ......................................................................................... 14

2.3

Waarom verbijzonderde interne controle ............................................................................ 14

2.4

Samenhang verbijzonderde interne controle en externe (accountants)controle ................ 15

2.5

Positionering VIC ................................................................................................................... 16

Bijlage 3: Significante transactiestromen .............................................................................................. 17

Plan verbijzonderde interne controle 2022 gemeente Nunspeet

2

1.

Inleiding

1.1

Aanleiding

Het College draagt conform art. 212/213 van de Gemeentewet zorg voor de interne toetsing van de getrouwheid van de informatieverstrekking en de rechtmatigheid van beheers handelingen. Om hier invulling aan te geven wordt jaarlijks het Controleplan bijgesteld en vastgesteld. Een goed opgezette interne controle is een belangrijke pijler voor de gemeente in het kader van planning en control. Enerzijds voor het controleren en signaleren van tekortkomingen in de uitvoering van de taken. Anderzijds voor het bijsturen en het afleggen van verantwoording over de uitgevoerde taken. Met een toereikend controleplan kan de uitvoering van taken met structuur en efficiency worden gedaan. Het primaire doel van interne controle is om een beeld te krijgen van de kwaliteit van de bedrijfsvoering. Interne controle is een middel om de kwaliteit van de bedrijfsvoering (continu) te verbeteren en tijdig bij te kunnen sturen in processen. Bij de interne controle wordt zichtbaar vastgesteld dat processen beheerst worden, zoals dat met de inrichting van de administratieve organisatie beoogd was. Ook wordt met de uitkomsten van interne controle aangetoond dat (wel of niet) aan de eisen van rechtmatigheid, verantwoording en controle wordt voldaan. Dit controleplan geeft aan hoe de Interne Controle binnen de gemeente Nunspeet georganiseerd is en dat de controle op procesniveau uitgevoerd moet worden.

Het controleplan sluit aan op het controleprotocol en het normenkader, dat door de gemeenteraad wordt vastgesteld. Het controleprotocol heeft als doel nadere aanwijzingen te geven aan de accountant over de reikwijdte van de accountantscontrole, de daarvoor geldende normstellingen en de daarbij verder te hanteren goedkeurings- en rapporteringstoleranties voor de controle van de jaarrekening.

1.2

Ontwikkelingen

Een aantal ontwikkelingen binnen en buiten de gemeente hebben invloed op de gewenste doorontwikkeling van de interne controle. De volgende ontwikkelingen zijn te noemen: •

•

•

•

Door de Corona pandemie heeft inmiddels een lange tijd impact op de organisatie. Gevolg hiervan is dat er sprake is van een hybride werkomgeving. Hierdoor zijn processen mogelijk anders gelopen of gaan anders lopen in de toekomst dan gebruikelijk. Dit vraagt om een aanvullende risicoanalyse of de beheersmaatregelen in het proces ten tijde van de Coronamaatregelen voldoende hebben gewerkt. In februari 2021 heeft de beroepsorganisatie de NBA een notitie “Best practice maatregelen frauderisicobeheersing voor bestuurders en toezichthouders” ter consultatie uitgebracht. In deze notitie wordt nadrukkelijk de rol van bestuurders en toezichthoudende organen zoals de gemeenteraad aan de orde gesteld bij het voorkomen en detecteren van fraude. Door de nadruk te leggen op het voorkomen van fraude kunnen de gelegenheden tot fraude afnemen. Dit vraagt om actief toezicht op risico’s en beheersmaatregelen ter voorkoming van fraude. Vanaf het boekjaar 2022 zal de accountant in de controleverklaring ook expliciete passages moeten opnemen aangaande de frauderisicobeheersing en continuïteit. Steeds meer auditverplichtingen (inclusief zelfevaluaties) op verschillende terreinen binnen de gemeente.

Bijvoorbeeld op het gebied van de Baseline Informatiebeveiliging Gemeenten (BIG), Eenduidige Normatiek Single Information Audit (ENSIA) maar ook binnen het sociaal domein voor bijvoorbeeld prestatielevering door zorgaanbieders. De aankomende wetswijziging wat het College vanaf 2023 verplicht tot het afgeven van een rechtmatigheidsverantwoording bij de jaarrekening; daarbij zal de rechtmatigheidsverklaring van de accountant komen te vervallen. Dit betekent dat de procesbeheersing goed op orde moet zijn en de ambtelijke organisatie aan het College moet kunnen aantonen dat de rechtmatigheid op orde is. Voorwaarde hiervoor is een risicoanalyse met betrekking tot significante transactiestromen, analyse welke elementen uit het normenkader van invloed zijn op rechtmatigheid en controle aan de hand van deze punten van de bijbehorende processen (systeemgericht of gegevensgericht). Tevens is een

Plan verbijzonderde interne controle 2022 gemeente Nunspeet

3

•

•

•

controle op de begrotingsrechtmatigheid (juiste verwerking begrotingswijzigingen en kwalitatieve toelichting verschillen realisatie versus begroting) essentieel. Binnen de (verbijzonderde) interne controle en de accountantscontrole krijgt automatisering meer aandacht, zowel het automatiseringsproces zelf als het gebruik van automatisering binnen de werkprocessen. Steeds meer gedigitaliseerde processen bevatten application controls (bijvoorbeeld digitale factuurafhandeling) waarbij goed werkende General IT Controls (logische toegangsbeveiliging, change management enzovoorts) een basisvoorwaarde zijn voor goed werkende application controls. Controleren ‘buiten de computer om’ is niet wenselijk, zowel voor de interne als de externe controle. Steunen op de GITC en application controls geeft de mogelijkheid de totale populatie te beoordelen in plaats van zekerheid verkrijgen op basis van een deelwaarneming. De rechtmatigheid wordt door de rechtmatigheidsverantwoording de verantwoordelijkheid voor de gemeenten. Gebleken in het land is dat de grootste onrechtmatigheden bij gemeenten ontstaan op het gebied van EU-aanbesteding. Door diverse arresten worden de regels steeds verder aangescherpt. Voor 2022 is dit een belangrijk onderdeel om voor de gemeente goed in de grip te hebben ter voorbereiding op de rechtmatigheidsverantwoording 2023.

In de genoemde kadernota rechtmatigheid 2022 wordt ook aandacht gevraagd voor het beleid inzake Misbruik & oneigenlijk gebruik. Het college dient een uitspraak te doen in hoeverre het M&O beleid Voldoende actueel is; en voldoende zijn afgestemd op de meest recente wetgeving en de praktijk. Het beleid feitelijk ook wordt nageleefd.

Mede door deze ontwikkelingen is het van belang om de eigen visie op interne controle binnen de gemeente periodiek te evalueren en bij te stellen waar nodig. Bouwstenen voor het vormen van deze visie en punten ter evaluatie hebben wij in bijlage 1 toegevoegd.

1.3 Rechtmatigheidsverantwoording De wetswijziging is aangenomen door de tweede kamer. Dit houdt in dat de colleges van burgemeester en wethouders een rechtmatigheidsverantwoording af dienen te geven over boekjaar 2023. Een randvoorwaarde is dat de verantwoording over de rechtmatigheid efficiënt en effectief dient te worden vormgegeven. Om een Rechtmatigheidsverantwoording te kunnen afgeven moet de procesbeheersing goed op orde zijn en met behulp van interne controle moet aangetoond worden aan het college dat de rechtmatigheid op orde is. Het college moet kunnen vertrouwen op een kwalitatief goede interne controle op basis waarvan een gefundeerd oordeel kan worden gegeven en een Rechtmatigheidsverantwoording kan worden afgeven. Dit vereist een professionele interne controle aanpak, vastlegging en een gestructureerde rapportage naar het college waarbij het college meegenomen moet worden in de uitkomsten van de interne controle. Goed ingerichte processen (procesinrichting) en een goede procesbeheersing (inclusief IT) zijn noodzakelijk voor het “in control” zijn van de organisatie. Een goede procesinrichting versterkt een goede procesbeheersing en andersom versterkt een goede procesbeheersing een goede procesinrichting. In de BADO notitie van maart 2020 is het kader van de Rechtmatigheidsverantwoording nader bekendgemaakt.

Criteria voor financiële rechtmatigheid zijn Begrotingsrechtmatigheid, Verantwoordingsrechtmatigheid en Misbruik en oneigenlijk gebruik. Door een goede risicoanalyse en aanmerken van significante transactiestromen en processen, vanuit het normenkader te komen tot een toetsingskader en het uitvoeren van de (verbijzonderde) interne controle werkzaamheden is er voldoende basis met betrekking tot het Verantwoordingscriterium en Misbruik en Oneigenlijk gebruik criterium. In 2021 zijn reeds voorbereidingen getroffen om te komen tot een toetsingskader, hierin is per significant proces (transacties met materiele omvang) de relevante wet- en regelgeving (intern en extern) met betrekking tot rechtmatigheid uitgewerkt. Voor begrotingsrechtmatigheid dienen de begrotingswijzigingen getoetst te worden en afwijking kwalitatief te worden toegelicht in de verantwoording. Voor het jaar 2022 zal dit verder uitgewerkt kunnen worden om tot een goed oordeel te komen voor 2023.

Plan verbijzonderde interne controle 2022 gemeente Nunspeet

4

Bij de verbijzonderde interne controle zullen wij waar nodig een onderscheidt aanbrengen tussen financiële rechtmatigheid en getrouwheid. Eventuele bevindingen met betrekking tot financiële rechtmatigheid kunnen op die manier separaat gerapporteerd worden en dienen als basis voor de rechtmatigheidsverantwoording.

2.

Controleaanpak en risicoanalyse

2.1

Inleiding

In dit hoofdstuk behandelen wij de controleaanpak en de risicoanalyse. We gaan achtereenvolgens in op het normenkader (2.2) de controleaanpak (2.3) en de toleranties (2.4). In bijlage 2 hebben wij toelichting gegeven op de functie van de verbijzonderde interne controle.

2.2

Normenkader verbijzonderde interne controle

Het wettelijke kader voor de interne controle is geregeld in: Externe kaders: • Gemeentewet • BADO (Besluit Accountantscontrole Decentrale Overheden) • BBV (Besluit Begroting en Verantwoording) • Kadernota rechtmatigheid Interne kaders: • Beleidskader rechtmatigheid en accountantscontrole (controle protocol) 2018 inclusief normenkader • Interne wet- en regelgeving Het normenkader (voor een rechtmatigheid controle) betreft de inventarisatie van relevante regelgeving en bestaat uit de externe wetgeving en de eigen regelgeving (o.a. verordeningen) waaruit handelingen met financieel gevolg tot stand komen. Jaarlijks dient het normenkader geactualiseerd te worden. Het betreft een dynamisch document aangezien er gedurende het jaar wijzigingen kunnen optreden in de geldende regelgeving. Tevens wordt dit normenkader per proces uitgewerkt in een toetsingskader met relevante toetspunten met betrekking tot financiële rechtmatigheid.

2.3

Controleaanpak

Belangrijkste uitgangspunten van de controleaanpak zijn: • Zoveel mogelijk controles te integreren. • Een aantal controles worden uitgevoerd in het voorjaar om de werklast gedurende het jaar te verdelen en voldoende spreiding over het jaar te realiseren. • Uitgebreide vastlegging. Onderliggende documenten worden zoveel mogelijk digitaal vastgelegd (bijvoorbeeld subsidiebeschikkingen, facturen, etc.) • Zoveel mogelijk applicatie controls vastleggen met printscreens. • Aantonen betrouwbaarheid lijstwerk • Duidelijke aansluiting tussen de controlestukken en de financiële administratie Van de geselecteerde processen is het de vraag welk doel ze hebben en in hoeverre de beheersingsmaatregelen de risico’s in het proces afdichten? Hierbij worden niet alleen financiële risico’s genoemd, maar ook operationele risico’s, waardoor de organisatiedoelstellingen mogelijk niet gerealiseerd (kunnen) worden. Overigens vindt risicoanalyse voortdurend plaats, omdat alle bevindingen aanleiding kunnen zijn om de aanpak bij te stellen. De fase van organisatiegerichte werkzaamheden is erop gericht vast te stellen of de belangrijke beheersmaatregelen in de processen inderdaad werken zoals beschreven (beoordeling opzet, bestaan en werking van de beheersmaatregelen in de processen).

In deze fase komen ook de verschillen aan het licht tussen hoe de organisatie denkt dat een proces verloopt en hoe het feitelijk verloopt.

Plan verbijzonderde interne controle 2022 gemeente Nunspeet

5

De gegevensgerichte werkzaamheden zijn erop gericht die processen of activiteiten te controleren, die geen procesbeschrijving hebben of waarvan het efficiënter is om direct naar de transacties te kijken in plaats van naar het hele proces. Een voorbeeld hiervan is het aangaan van langlopende leningen. De werkzaamheden worden verspreid over het jaar uitgevoerd, zodat er, bij gebleken aandachtspunten, voldoende tijd is om bij te sturen. Omdat er wel een voldoende omvangrijke massa dient te zijn om te controleren, zullen de deelwaarnemingen overwegend in het 2e deel van het jaar uitgevoerd worden.

2.4

Toleranties

De volgende goedkeuringstoleranties accountantscontrole worden gehanteerd (de toleranties vanuit de raad moeten nog vastgesteld worden): Bevindingen Goedkeuren Met Oordeelonth Afkeurend d beperking ouding Fouten in de jaarrekening (% van lasten)

≤ 1%

> 1% < 3%

N.v.t.

≥ 3%

Onzekerheden in de controle (% lasten)

≤ 3%

> 3% < 10%

≥ 10%

N.v.t.

De rapporteringsgrens voor de rechtmatigheidsverantwoording wordt separaat door de raad vastgesteld, indien nodig wordt hier bij de uitvoering van de verbijzonderde interne controle rekening mee gehouden.

3.

Uitvoering VIC

3.1

Bepaling processen uitvoering VIC

Wij toetsen jaarlijks de kwaliteit van de opzet, de invoering (het bestaan), en de werking van de belangrijkste interne controlemaatregelen voor alle significante (materiele) financiële bedrijfsprocessen en financiële bedrijfsprocessen met een hoog inherent risico. Een bedrijfsproces is in dit verband een afgebakend geheel van eenduidige maatregelen van administratieve organisatie en interne controle. Significante processen worden normaliter bepaald vanuit de IV3 matrix uitgaande van een goedkeuringstolerantie van 1% van de totale lasten inclusief mutatie reserves. Vanwege marge onontdekte fouten gaat de accountant uit van een controletolerantie die lager ligt (zgn. uitvoeringsmaterialiteit). De VIC zal de door de accountant gestelde uitvoeringsmaterialiteit volgen. De bepaalde significante processen zullen worden afgestemd met de accountant. Het inherente risico van de bedrijfsprocessen wordt bepaald aan de hand van de volgende aspecten: • • • • •

Complexiteit van de regelgeving. Bevindingen accountant en VIC van voorgaand jaar. Wijzigingen in wet- en regelgeving. Mate waarin IT-hulpmiddelen worden benut. Eventueel andere overweging (bijv. politieke focus).

Bij de beoordeling van het inherente risico wordt geen rekening gehouden met de aanwezigheid van de interne beheersmaatregelen. In bijlage 3 is een overzicht opgenomen van de risico inschatting op basis van transactiestromen, hieruit zijn de significante processen afgeleid.

Plan verbijzonderde interne controle 2022 gemeente Nunspeet

6

3.2

Methode van uitvoering en vastlegging

De basis voor de uitvoering en vastlegging zijn de interne controle werkprogramma’s per proces. Deze worden jaarlijks geactualiseerd. Jaarlijks starten we met de actualisering van de significante posten en processen en de risicoanalyse. Vervolgens worden per proces de opzet, het bestaan en de werking beoordeeld. Met de (verbijzonderde) interne controle wordt gekeken naar de opzet (hoe staat het op papier), het bestaan (wat is er werkelijk) en de werking (toetsing) van de beheersingsmaatregelen op procesniveau. De uitvoering van een (verbijzonderde interne controle) op een bedrijfsproces zal plaatsvinden in vier verschillende fases, namelijk: Fase 1: Het in kaart brengen van het bedrijfsproces (opzet) In deze fase wordt het bedrijfsproces in kaart gebracht door een (beknopte) procesbeschrijving en risicoanalyse op te stellen of te actualiseren. Voor de invoering van de rechtmatigheidsverantwoording zal een onderscheidt aangebracht worden tussen financiële rechtmatigheid en getrouwheid. De procesbeschrijvingen worden gebruikt voor het beschrijven van de verrichten activiteiten c.q. handelingen, de daarbij betrokken (verantwoordelijke) functionarissen en de in- en uitgaande informatiestromen van het bedrijfsproces. Het streven is om de processen niet te gedetailleerd te beschrijven. Wel zal de essentie van de processen worden vastgelegd. Fase 2.

Risicoanalyse en controle opzet Risico-inschatting is het (continue) proces waarin de organisatie zich bezig houdt met het identificeren en analyseren van risico’s (zowel interne als externe risico’s). We maken een onderscheidt tussen risico’s met betrekking tot financiële rechtmatigheid en getrouwheid. In deze fase worden aan de belangrijkste functionarissen van het proces gevraagd worden aan te geven wat de belangrijkste risico’s binnen proces zijn en hun visie op de deze risico’s. Aan de hand hiervan zal de in de risicoanalyse onderkende risico’s beschreven worden en deze gekoppeld worden aan de interne beheersingsmaatregelen die deze risico’s moeten ondervangen. Fase 3: Lijncontrole en testwerkzaamheden (bestaan en de werking) Door middel van een lijncontrole wordt het gehele proces doorgelopen aan de hand van de lijncontrole en eventueel aanvullende testwerkzaamheden. Het doel van de lijncontrole is vast te stellen of de procesbeschrijvingen juist zijn en dat de in de eerste fase geïdentificeerde controle maatregelen daadwerkelijk bestaan. Eventueel worden aanvullend op de lijncontrole testwerkzaamheden uitgevoerd op de belangrijkste interne beheersingsmaatregelen. Voor de uitvoering en vastlegging van de lijncontrole en testwerkzaamheden zal o.a. gebruik worden werklijsten.

Door het uitvoeren van testwerkzaamheden kan een oordeel worden gegeven over de werking van deze interne beheersingsmaatregelen. Binnen procesgericht controleren onderkennen we de volgende strategieën: -

-

Systeemgerichte controle: testen van beheersmaatregelen, op basis van analyse van het proces (opzet en bestaan) wordt bepaald in hoeverre er beheersmaatregelen bestaan binnen het proces waarop gesteund kan worden. Indien er effectieve beheersmaatregelen bestaan binnen het proces (minimaal 2 voor een specifiek risico), kan gekozen worden voor controle van de effectiviteit van beheersmaatregelen Gegevensgerichte werkzaamheden worden uitgevoerd om afwijkingen van materieel belang op beweringniveau (richting) te ontdekken en omvatten detailcontroles van transactiestromen, posten in het financiële overzicht en onderdelen van de toelichting bij het financiële overzicht, alsmede gegevensgerichte cijferanalyse. Gegevensgerichte werkzaamheden worden uitgevoerd om in te kunnen spelen op het ingeschatte risico van een afwijking van materieel belang. Deze methode wordt gevolgd indien blijkt dat niet gesteund kan worden op beheersingsmaatregelen.

Plan verbijzonderde interne controle 2022 gemeente Nunspeet

7

Om de werking van de procesgang vast te stellen, wordt in geval niet gesteund kan worden op interne beheersingsmaatregelen een transactiegerichte test uitgevoerd: hierbij wordt vastgesteld dat voor het proces de relevante transacties werken conform verwachting en deze juist en volledig worden verwerkt in de financiële administratie De doelstelling van het uitvoeren van systeemgerichte werkzaamheden is beoordelen of een interne beheersingsmaatregel effectief heeft gewerkt. Het doel van een gegevensgerichte detailcontrole is om afwijkingen van materieel belang op beweringniveau te ontdekken. Omdat regelmatig blijkt dat de interne beheersingsmaatregelen niet alle (specifieke) risico’s afdekken, kunnen beide doelstellingen (werking beheersingsmaatregel en afwijkingen op beweringniveau) tegelijkertijd worden bereikt door onderzoek van de interne beheersingsmaatregelen en gegevensgerichte detailcontrole van dezelfde transacties, ook wel bekend als de "dual-purpose test": hierbij wordt een transactie(stroom) getest op effectiviteit van beheersing en worden gegevensgerichte detailcontroles uitgevoerd. Voor een transactiegerichte test geldt hetzelfde: hierbij wordt vastgesteld dat voor het proces de relevante transacties werken conform verwachting en deze juist en volledig worden verwerkt in de financiële administratie.

Hiermee kan de omvang van de gegevensgerichte controle beperkt worden. Voor een systeemgerichte controle is de mate (aantal) waarin een interne beheersingsmaatregel wordt uitgevoerd bepalend voor het aantal testen dat uitgevoerd zal worden. Voor een transactiegerichte test is de mate van optreden van de procesgang bepalend voor het aantal deelwaarnemingen Een globale richtlijn hiervoor wordt in tabel 1. weer gegeven. *Tabel 1: Richtlijn voor hoeveelheid testwerkzaamheden Soort proces (mate van optreden)

Aantal waarnemingen Aantal waarnemingen Testen beheersmaatregel Testen transacties Dagelijkse proces. 25 25 Wekelijks proces 8 8 Maandelijks proces 2 2 Kwartaal 1 1 Jaarlijks proces 1 1 Indien bij het toetsten fouten worden ontdekt, dient de omvang van de deelwaarneming te worden verhoogd met 60% (bij 25 naar 40, bij 5 naar 8 en bij 2 naar 4, etc.). Indien bij de aanvullende deelwaarnemingen weer fouten worden geconstateerd dan wordt er uitgegaan van een niet/onvoldoende functionerende interne controle (zie verder fase 4 voor evaluatie). Bij detailcontroles (gegevensgerichte controle) wordt waar mogelijk gebruikt gemaakt van key-items, waarbij de grootste transacties als key item geselecteerd zal worden (om zo veel mogelijk zekerheid te verkrijgen over de verantwoorde bedragen). De toereikendheid van de aantallen voor de gegevensgerichte controle moeten in overleg met de accountant bepaald worden. De belangrijkste methoden voor het trekken van steekproeven zijn aselecte trekking, systematische trekking en willekeurige trekking. De steekproeven zullen overwegend a-select getrokken worden, waarbij tendentie vermeden in de selectie vermeden dient te worden. Hierbij dient rekening gehouden te worden met voldoende spreiding van de waarnemingen over het jaar heen.

In een aantal processen worden verbijzonderde interne controlewerkzaamheden al standaard uitgevoerd op grond van organisatorische overwegingen. Voorbeelden hiervan zijn het bijhouden van het standenregister en het opstellen van aansluiting tussen de financiële administratie en de salarisadministratie door de adviseur interne controle / kwaliteit.

Plan verbijzonderde interne controle 2022 gemeente Nunspeet

8

Fase 4: Evaluatie en vastlegging In de laatste fase van de uitgevoerde interne controle vindt de evaluatie van de interne beheersingsmaatregelen binnen het proces plaats en wordt de rapportage gevuld. In dit document worden onder meer eventueel gebleken tekortkomingen als bevindingen opgenomen. Geconstateerde financiële fouten kunnen in drie categorieën worden ingedeeld: - Structurele fouten; dit zijn fouten waarvan de oorzaak bekend is, zodat de financiële gevolgen zijn door te rekenen en te herstellen. Als die analyse van de gevolgen van de gevonden foutoorzaak voldoende fouten boven tafel haalt, is extrapolatie niet meer nodig. - Incidentele fouten; van deze fouten is de oorzaak niet bekend, zodat de accountant er rekening mee moet houden dat zij zich in de gehele massa kunnen voordoen. Extrapolatie is daarom nodig. - Unieke fouten; deze fouten zijn van dien aard dat ze verder niet in de massa voorkomen. In feite zijn het fouten die zich eenmalig voordoen. Aangetoond moet worden dat de oorzaak van de fout zodanig van aard is dat deze ook daadwerkelijk verder niet meer voorkomt. Extrapolatie is niet nodig. Er wordt altijd uitgezocht hoe de fout is ontstaan. Dit kan bijvoorbeeld door het uitvoeren van een aanvullende steekproef of het inkaderen van de massa waarin de fout kan plaatsvinden.

Als de fout is ontstaan in het boekjaar waarover verantwoording wordt afgelegd dan kan deze vaak worden hersteld. Als de fout wordt geconstateerd in een volgend boekjaar, dan moet na het herstellen van de fout alsnog worden meegenomen in de foutenevaluatie. Als de extrapolatie van incidentele fouten leidt tot een onacceptabel grote financiële (hoger dan de tolerantie) fout, dan wordt er aanvullend onderzoek uitgevoerd. De steekproef wordt uitgebreid op het aspect van de geconstateerde fout. Geconstateerde onrechtmatigheden kunnen vaak worden hersteld door de gemeenteraad of het college. De volgende methodes zijn beschikbaar: • De gemeenteraad is bevoegd om een voorwaarde buitenwerking te stellen. Deze voorwaarde heeft dan geen interne en externe werking en leidt dan niet tot een rechtmatigheidsfout. • De gemeenteraad is bevoegd om een werkwijze goed te keuren. Bijvoorbeeld als subsidieaanvragen niet tijdig zijn ingediend maar toch zijn behandeld kan het college besluiten dat dit rechtmatig is. Deze procedure heet de indemniteitsprocedure. • Op basis van een hardheidsclausule kan het college bevoegd zijn om per geval een onrechtmatigheid goed te keuren. Het college kan dit enkel voor specifieke gevallen en mag niet een gehele massa goedkeuren, dit recht is voorbehouden aan de raad.

Geconstateerde fouten (en onzekerheden) met betrekking tot financiële rechtmatigheid zullen separaat worden gerapporteerd zodat deze als basis kunnen dienen voor de rechtmatigheidsverantwoording. In digitale dossiers zijn de onderliggen stukken beschikbaar waardoor de accountant de uitvoering van onze werkzaamheden kan toetsen (bijvoorbeeld: beschikkingen, facturen, printscreens, etc).

3.3

Rapportering

Van de periodieke controles moet verslag worden gedaan aan de controller zodat deze tijdig op hoogte is van de kwaliteit van de uitvoering en eventueel tijdig kan bijsturen. De frequentie waarin wordt gerapporteerd en de wijze van rapportering (mondeling en/of schriftelijk) is afgestemd op de behoefte van de controller om op de hoogte blijven van de kwaliteit van de uitvoering. De rapportagefrequentie loopt synchroon met de onderzoeksperioden. Dit zorgt ervoor dat al in de eerstvolgende controleperiode verbeteringen kunnen worden doorgevoerd. Na afloop van de verbijzonderde interne controle vindt rapportage plaats waarbij de afwijkingen met betrekking tot financiële onrechtmatigheid separaat worden weergegeven met een onderbouwing.

Plan verbijzonderde interne controle 2022 gemeente Nunspeet

9

Bijlage 1: Visievorming op “in control” 1.1

Inleiding

In dit hoofdstuk wordt de visie op “in control” vanuit interne controle perspectief behandeld (1.2) inclusief de randvoorwaarden hiervoor zoals de rollen en verantwoordelijkheden (1.3), de automatiseringsomgeving (1.4), de processen (1.5) en het in te voeren “in control statement” (1.6).

1.2

Visie

De visie op “In Control” is veel breder dan de visie op AO/IC. AO/IC is echter wel een van de basisvoorwaarden om in control te zijn. Een organisatie is 'In Control' als een organisatie zodanig is ingericht dat de juiste discussie op het juiste moment op het juiste niveau wordt gevoerd zodat (indien nodig) bijgestuurd kan worden om zo de doelstellingen te realiseren. 'In Control' wil dus zeggen dat de organisatie zo is ingericht dat goed bestuur mogelijk is. Dit betekent ook een adequate, tijdige en actuele informatieverstrekking vanuit de werkprocessen. De controleomgeving is een basisvoorwaarde voor een goed functionerende organisatie. De aspecten ‘soft controls’, cultuur, houding en gedrag zijn hierin belangrijk. De organisatie moet zichzelf voortdurend de volgende vragen stellen: • Wat is het ambitieniveau als organisatie? Wat kan en wil de organisatie aan? Een hele realistische vraag! • Is onze organisatie bereid om te leren en te verbeteren? • Is onze organisatie afgestemd op uw ambities?

Interne beheersing is voor veel organisaties in het publieke domein een uitdaging. Gemeente Nunspeet wil graag de bedrijfsprocessen goed op orde hebben. De bedrijfsprocessen veranderen door de verdergaande digitalisering en automatisering. De verdergaande digitalisering en automatisering van de processen hebben ook effect op de aanpak van de (verbijzonderde) interne controle. De automatiseringsomgeving en de application controls in de applicaties worden steeds belangrijker. Dit is ook terug te zien in de landelijke aandacht voor de informatiebeveiliging en privacy binnen onze organisatie waarbij voldaan dient te worden aan de nieuw normen en de organisatie druk is met de invoering van de BIG en AVG.

1.3

Rollen en verantwoordelijkheden

De gemeenteraad is als hoogste orgaan binnen de gemeente kaderstellend en controlerend. Het College van B&W is als bestuur primair verantwoordelijk voor het “in control” zijn van de organisatie. De ambtelijke

Plan verbijzonderde interne controle 2022 gemeente Nunspeet

10

organisatie is verantwoordelijk voor de diverse processen en is het “werkapparaat” van het College. De ambtelijke organisatie is verantwoordelijk voor een goede bedrijfsvoering. ste

1 lijn

de

2 lijn de

3 lijn Management / Proces eigenaar Verantwoordelijk voor: - Beleid - Proces - Budget - Risicobeheersing (strategisch, tactisch, operationeel)

Advies

Ondersteunt, adviseert, coördineert en bewaakt 1ste lijn bij de inrichting en uitvoering van financieel en business control.

Interne audit / control Interne audit Verantwoordelijk voor het testen van de werking van beheersmaatregelen, de beoordeling van de e

samenwerking tussen de 1 en e

2 lijn en het doen van verbetervoorstellen.

Bovenstaand plaatje geeft aan dat de 1e lijnfuncties de basis zijn voor een goede interne beheersing. Het afdelingshoofd / teamleider en proceseigenaren zijn zelf verantwoordelijk voor de interne beheersing van hun processen maar ook goede en zichtbare interne beheersingsmaatregelen in hun processen. Zij worden hierbij ondersteund door de 2e en 3e lijn. De interne controle functie (3e lijn) heeft met name een toetsende en adviserende rol naar de 1e en 2e lijn.

1.4

Automatiseringsomgeving

De IT-omgeving is het fundament voor de meeste werkprocessen binnen een organisatie. Door de toegenomen digitalisering en automatisering, de informatiebeveiliging, privacy is een goede beheersing van de automatiseringsomgeving een must.

In het kader van de jaarrekeningcontrole voert de accountant een IT-audit uit. Deze IT-audit is met name gericht op de applicaties en processen die zijn gerelateerd aan de jaarrekening. Door de verdere digitalisering van veel processen zijn goed werkende IT controls een voorwaarde voor het in control zijn. Bovendien steunen accountants niet meer op processen op het moment dat hiaten aanwezig zijn in de IT controls, denk hierbij aan de zogenoemde ‘general controls’ (logische toegangsbeveiliging, wijzigingsbeheer en de continuiteit van de gegevensverwerking) en de ‘application controls’ (denk bijvoorbeeld aan de digitale autorisatie van een inkoopfactuur). Een IT-audit als onderdeel van de verbijzonderde interne controle is dan ook niet meer weg te denken. Reparatie achteraf door extra steekproeven en deelwaarnemingen doordat de procesbeheersing niet op orde is, moet dan zoveel mogelijk worden voorkomen. De energie moet dan in de ‘voorkant’ van een proces worden gestoken om zo de procesbeheersing goed op orde te krijgen.

Plan verbijzonderde interne controle 2022 gemeente Nunspeet

11

1.5

Processen

Een proces is een reeks samenhangende activiteiten gericht op het realiseren van een bepaald doel, bijvoorbeeld het verstrekken van WMO voorzieningen of het verstrekken van een omgevingsvergunning. De basis voor een goede procesbeheersing is een goede procesinrichting. De procesinrichting moet goed afgestemd zijn op het beleid en het normenkader. Zoals in 2.3 is weergegeven is de proceseigenaar primair verantwoordelijk voor de procesinrichting en de procesbeheersing.

• Procesbeschrijving • Automatiseringsomgeving • Normenkader

• Inventariseren risico’s en benoemen beheersmaatregelen

Procesinrichting

Risicomanagement

Op orde = effectievere VIC

ICS

Intern audit

Zelfevaluatie

• Toetsen en adviseren • Integraliteit audits (combi IT en proces audits) • security & privacy

• 1e lijn zelf verantwoordelijk maken voor procesbeheersing (basis voor ICS) • Gebeurt al met Ensia (zelfevaluatie) • Zelfevaluatie voeren we al uit maar moet meer zichtbaar zijn

De cyclus van de procesinrichting, risicoanalyse, zelfevaluatie en interne audit wordt al grotendeels toegepast in de interne controle aanpak van gemeente Nunspeet. Aandachtspunt hierin betreffen de procesbeschrijvingen, deze zijn niet altijd actueel. De zelfevaluatie vindt nu nog niet plaats door de proceseigenaren, het is de bedoeling dat dit in de komende jaren wel gaat plaatsvinden.

1.6

Rechtmatigheidsverantwoording

In de doorkijk naar een rechtmatigheidsverantwoording door het college in 2023 zijn de afdelingshoofden / teamleiders verantwoordelijk voor het afgeven van een rechtmatigheidsverantwoording voor hun team/afdeling. De verschillende verantwoordingen van de afdelingen en een gemeentebrede VIC-rapportage zijn dan de basis voor een door het college af te geven rechtmatigheidsverantwoording. Het afdelingshoofd/teamleider zijn verantwoordelijk voor het oppakken van verbeterpunten, die vanuit de verbijzonderde interne controle zijn genoemd. Zij hebben hierin een stimulerende rol richting de proceseigenaren. Het afdelingshoofd/teamleider wordt daarbij ondersteund door de 2e en 3e lijn. Het afdelingshoofd/teamleider is primair verantwoordelijk voor de voortgang van de verbeterpunten. De interne audit functie (3e lijn) toetst vanuit een onafhankelijke en deskundige rol de voortgang met betrekking tot de verbeterpunten. Hiermee wordt een lerende organisatie gecreëerd. Bovengenoemde aanpak is verwerkt in de aanpak van de interne controle en de controleplannen. Per proces zijn de risico’s en beheersmaatregelen in beeld gebracht, jaarlijks worden de beheersmaatregelen getoetst door middel van de beoordeling van de opzet, het bestaan en de werking van de beheersmaatregelen. Dit begint met een jaarlijks gesprek met de proceseigenaren en de medewerkers in het proces.

In dit gesprek worden de risico’s en beheersmaatregelen doorgenomen en geactualiseerd. Tegelijk worden de bevindingen

Plan verbijzonderde interne controle 2022 gemeente Nunspeet

12

en aanbevelingen uit voorgaande jaren doorgesproken. Vervolgens vindt een lijncontrole plaats en afsluitend wordt via deelwaarnemingen / steekproeven / IT controles en data-analyse de beheersmaatregelen getoetst. Niet alleen controles uitvoeren en rapporteren wat er niet goed gaat, maar ook de proceseigenaren helpen om de procesbeheersing te verbeteren. In de komende jaren zal ook nadrukkelijker de afstemming gezocht worden met de 2e lijn om zo ook de 2e lijn goed te betrekken in dit proces. Om in 2023 klaar te zijn voor een Rechtmatigheidsverantwoording hebben wij in 2021 met elkaar stappen gezet door de visie interne controle te bespreken en getrouwheid en rechtmatigheid te splitsen en het toetsingskader verder uit te werken, in 2022 ronden we dit af. Interne controle ondersteunt het management en de controller in het traject om in 2023 te komen tot een Rechtmatigheidsverantwoording. Zoals hierboven reeds benoemd is de rechtmatigheid primair de verantwoordelijkheid van de 1e lijn (eigenaarschap). Samen met de 2e lijn (afdelingsadministratie, adviseurs) dient de 3e lijn (IC) de 1e lijn maximaal te ondersteunen om te komen tot de Rechtmatigheidsverantwoording.

Plan verbijzonderde interne controle 2022 gemeente Nunspeet

13

Bijlage 2: Verbijzonderde Interne Controle functie 2.1

Inleiding

In dit hoofdstuk behandelen wij de inhoud van de verbijzonderde interne controle functie. We gaan achtereenvolgens in op de rollen en verantwoordelijkheden (2.2), waarom verbijzonderde interne controle (2.3), het normenkader van de verbijzonderde interne controle (2.4), de samenhang tussen de interne controle en de externe controle (2.5) en de positionering van de VIC functie (2.6).

2.2

Rollen en verantwoordelijkheden

Het College van B&W is verantwoordelijk voor de getrouwheid en de rechtmatigheid van de jaarrekening, en voor het daaraan ten grondslag liggende (financiële) beheer. De opdrachtverstrekking aan de accountant vindt plaats door de Raad. De Raad stelt in het controleprotocol het normenkader en de goedkeurings- en rapportagetoleranties vast. De accountant controleert de jaarrekening en verstrekt een verklaring waarin hij een oordeel geeft over het getrouwe beeld en de rechtmatigheid. De accountant is verantwoordelijk voor een degelijke en begrijpelijke onderbouwing van zijn oordeel in het verslag van bevindingen. De accountant rapporteert zijn constateringen aan raad. De Raad heeft bij het vaststellen van de jaarrekening de mogelijkheid om met betrekking tot bepaalde onrechtmatigheden een indemniteitsprocedure te starten. Indien onrechtmatigheden voortkomen uit eigen regelgeving heeft de Raad de bevoegdheid om bij voldoende uitleg deze onrechtmatige handelingen achteraf te sanctioneren. Indien de regel goed is maar de naleving onvoldoende dan is de Raad verantwoordelijk om het college op te dragen maatregelen te nemen die een adequate naleving verzekeren. Het college is verantwoordelijk voor de getrouwheid en de rechtmatigheid van de uitvoering van het financiële en niet-financiële beheer.

Het college moet zodanige maatregelen treffen dat de getrouwheid en rechtmatigheid van de complete uitvoering gewaarborgd is. Een onderdeel hiervan is het laten opstellen van het normenkader en toetsingskader. Het college legt verantwoording af aan de Raad over de uitvoering van de werkzaamheden / werkprocessen en adequate vastlegging hiervan. Het college geeft een schriftelijke bevestiging af aan de accountant waarin het college verklaart de juiste en volledige informatie te verstrekken en de zaken benoemt die in het kader van de getrouwheid en rechtmatigheid van belang kunnen zijn.

2.3

Waarom verbijzonderde interne controle

Het in beeld brengen van de procesrisico’s en de beheersingsmaatregelen zijn de basis voor een effectieve en efficiënte uitvoering van de (verbijzonderde) interne controle. Hierbij wordt onderscheid gemaakt tussen ‘interne controle’ en verbijzonderde interne controle. Interne controle De basis van de interne controle is een goede administratieve organisatie en daarin ingebouwde interne beheersing. Elke proceseigenaar binnen onze gemeente heeft inzicht nodig in “wat kan er fout gaan in mijn proces” en “welke maatregel heb ik getroffen om te voorkomen dat deze fout wordt gemaakt”. Deze interne controle in de 1e lijn moet geborgd zijn in het werkproces. Dit betekent niet dat alle afdelingen jaarlijks controles op basis van een steekproef moeten uitvoeren. In het werkproces moeten de beheersmaatregelen zijn ingeregeld. De uitvoering van de beheersmaatregel dient zichtbaar vastgelegd te worden. Naast interne controle in de 1e lijn is er ook interne controle in de 2e lijn. Dat betreft de interne controle die uitgevoerd wordt door de 2e lijn. Deze interne controle richt zich met name op het toetsen van de financiële uitkomsten van de processen en voert werkzaamheden uit om de volledigheid van de opbrengstenverantwoording en juistheid van de kostenweergave vast te stellen.

Plan verbijzonderde interne controle 2022 gemeente Nunspeet

14

Verbijzonderde interne controle Naast de interne controle is de verbijzonderde interne controle (VIC) te onderkennen. De verbijzonderde interne controle heeft als doel om vast te stellen dat processen beheerst worden, maar ook om tekortkomingen in de procesbeheersing en de uitvoering tijdig te onderkennen. Zodat ook tijdig actie kan worden ondernomen om correcties door te voeren. De informatie uit de interne controles en de inbedding van de interne controlemaatregelen in de organisatie helpen om de kwaliteit van de bedrijfsvoering te verbeteren. De VIC richt zich voornamelijk op de zogenaamde getrouwheid van de informatieverstrekking en de rechtmatigheid van (financiële) beheerhandelingen. Dit betekent dat de VIC vooral gericht is op vaststellen van / bijdragen aan: • het juist gebruik van gedelegeerde bevoegdheden; • het opvolgen van de wet- en regelgeving, gemeentelijke verordeningen, voorschriften, instructies, procedures • betrouwbaarheid (juistheid, volledigheid, tijdigheid) en rechtmatigheid van transacties en de daarbij behorende gegevensverwerking; • betrouwbaarheid (juistheid, volledigheid, tijdigheid) en rechtmatigheid van informatievoorziening en verantwoordingrapportages.

• te waarborgen dat wij onze processen beheersen en financiële risico’s voldoende zijn afgedekt door adequate beheersmaatregelen; • te waarborgen dat de interne beheersmaatregelen werken; • aanbevelingen te kunnen geven voor het verbeteren van de kwaliteit van de processen; De verbijzonderde interne controle richt zich daarbij (ook) op: • Zowel de 1e lijn als 2e lijn van interne controle. • IT-audit. De focus gericht op de algemene IT-beheersmaatregelen en beheersmaatregelen in de afzonderlijke applicaties. Het primaire doel is het verbeteren van de kwaliteit van de bedrijfsvoering; de informatie uit de interne controles en de inbedding van de interne controlemaatregelen in de organisatie helpen om de kwaliteit van de bedrijfsvoering te verbeteren. Het secundaire doel is een maximale aansluiting te realiseren tussen de werkzaamheden van de externe accountant en de verbijzonderde interne controle zodat de accountant optimaal gebruik kan maken van de werkzaamheden van de verbijzonderde interne controle functie.

2.4

Samenhang verbijzonderde interne controle en externe (accountants)controle

Een doelstelling van gemeente Nunspeet is een maximale aansluiting te realiseren tussen de uitgevoerde (verbijzonderde) interne controlewerkzaamheden en de door de accountant te verrichten (externe) werkzaamheden. Daarom is het belangrijk om onze accountant als adviseur te betrekken bij de aanpak van de VIC en de uitvoering van de VIC, waarbij het college wel de eigen verantwoordelijkheid blijft houden. Volgens de nadere voorschriften controle en overige standaarden (ook wel NV COS genoemd) toetst de accountant jaarlijks de kwaliteit van de opzet, de invoering (het bestaan), en de werking van de belangrijkste interne controlemaatregelen voor alle significante financiële bedrijfsprocessen. De bedrijfsprocessen worden in hoofdstuk 4 van dit plan nader uitgewerkt. De mate waarin de accountant gebruikmaakt van de werkzaamheden van de VIC in het kader van de verbijzonderde interne controle is afhankelijk van • de mate waarin de organisatorische positie en relevante beleidslijnen en procedures van de interne auditfunctie de objectiviteit van de interne auditors ondersteunen; • het competentieniveau van de interne auditfunctie; en • of de interne auditfunctie een systematische en gedisciplineerde benadering hanteert, inclusief kwaliteitsbeheersing (w.o. reviewfunctie).

Plan verbijzonderde interne controle 2022 gemeente Nunspeet

15

Het is aan de accountant om een keus te maken in het gebruik van de VIC functie. Normaal gesproken zijn 3 varianten mogelijk in het gebruikmaken van de werkzaamheden van de verbijzonderde interne controle door de accountant: 1. Steunen op de VIC conform Standaard 610 (COS); 2. Deels gebruik maken van de werkzaamheden van de VIC, door de VIC als verlengstuk te gebruiken (voorbereiden, organiseren, verzamelen); 3. Niet steunen op de werkzaamheden van de VIC. De controle van de accountant vindt plaats op basis van variant 2. Het al dan niet op basis van COS 610 gebruik maken van de VIC is een inschatting / keuze van de externe accountant. Accountantskantoren zijn erg terughoudend in het gebruikmaken van COS 610. In het gemeentelijke landschap komt dit niet of nauwelijks voor.

2.5

Positionering VIC

Voor een adequate uitvoering van de verbijzonderde interne controle moet worden voldaan aan enkele randvoorwaarden: • onafhankelijke positie van de interne controle functie; • geen belemmeringen opgelegd door het bestuur of management; • vaktechnische bekwaamheid van de interne controleur (uitvoering getrouwheids- en rechtmatigheidswerkzaamheden); • (Inhoudelijke) Deskundigheid van de interne controleurs met betrekking tot het object van onderzoek; • zorgvuldigheid: planning, begeleiding, beoordeling en vastlegging. De VIC functie bij gemeente Nunspeet is primair belegd bij de een medewerker IC. De aanpak en uitvoering is daarnaast deels belegd bij E&M Consultants. Hiermee is de vaktechnische bekwaamheid, de deskundigheid en zorgvuldigheid geborgd, met name ook doordat er een RA functioneert op het controleteam die veel ervaring heeft met zowel externe als interne controle bij gemeenten. De externe (accountants) controle is sinds boekjaar 2017 belegd bij BakerTilly Accountants.

Plan verbijzonderde interne controle 2022 gemeente Nunspeet

16

Bijlage 3: Significante transactiestromen

Van de significante transactiestromen wordt in het VIC het bijbehorende proces getoetst en vastgelegd.

Plan verbijzonderde interne controle 2022 gemeente Nunspeet

17

Afhankelijk van de werkelijke bestedingen zijn voor 2022 de volgende processen significant: Planning & control cyclus Inkoop Aanbesteding Betalingsverkeer Personeel Jeugdzorg WMO Persoonsgebonden budgetten (PGB’s) Subsidies Sociale uitkeringen Omgevingsvergunning Grondexploitatie Overige opbrengsten Gemeentelijke belastingen Treasury Algemene uitkering Huren en pachten

Plan verbijzonderde interne controle 2022 gemeente Nunspeet

18