St. t.k.n. nr. 3. Bijlage Gemeente Nunspeet, def. management letter 2022

Management letter Gemeente Nunspeet Boekjaar 2022

1

Aan het College van Burgemeester en Wethouders van de gemeente Nunspeet Postbus 79 8070 AB NUNSPEET ONDERWERP: Management letter 2022 KENMERK: 06-02-2023

Geacht College, Graag presenteren wij u onze management letter 2022 die voorkomt uit de controle van de jaarrekening 2022 van gemeente Nunspeet. Hierbij hebben we de opzet, het bestaan en in voorkomende gevallen de werking van de interne beheersingsmaatregelen van de belangrijkste bedrijfsprocessen, inclusief de geautomatiseerde gegevensverwerking, beoordeeld en getoetst. Onze bevindingen zijn gebaseerd op de normale werkzaamheden in het kader van de jaarrekeningcontrole. Deze brief bevat daardoor niet alle onvolkomenheden in uw organisatie, die bij een eventueel uitgebreid en hierop specifiek gericht onderzoek naar voren zouden kunnen komen. Zoals u zult begrijpen, is de management letter van nature kritisch. Wij rapporteren over de eventuele leemtes of mogelijkheden ter verbetering van de financiële en administratieve processen, de administratieve organisatie daarvan en de daarin opgenomen maatregelen van interne beheersing. Wij geven in deze management letter aan op welke wijze verbeteringen van de administratieve organisatie en de daarin opgenomen maatregelen van interne beheersing kunnen worden gerealiseerd. De aanbevelingen en oplossingsrichtingen zoals beschreven in deze management letter bieden u handvatten voor deze uitwerking. Wij hebben de concept management letter toegelicht en besproken met een afvaardiging van de ambtelijke organisatie.

Deze management letter is door ons opgesteld voor uw informatie en mag niet zonder onze uitdrukkelijke toestemming geheel of gedeeltelijk aan derden ter beschikking worden gesteld. Wij danken u en uw medewerkers voor de samenwerking en zijn graag bereid tot het verstrekken van nadere toelichting. Hoogachtend, Baker Tilly (Netherlands) N.V. M.C.J.M. Bekker RA

2

Inhoudsopgave CONTACT M.CJ.M. (Marc) Bekker RA Extern accountant + 31 6 15 30 36 59 m.bekker@bakertilly.nl A. (Arjan) Scheper MSc RA Manager Audit + 31 6 11 86 79 74 a.scheper@bakertilly.nl P.S. (Peter) Moerbeek MSc RA Junior Manager Audit + 31 6 52 76 54 05 p.moerbeek@bakertilly.nl

1. Bestuurlijke samenvatting

4

2. Bevindingen en aandachtspunten

6

3. Bevindingen IT-beheersing

18

4. IT-ontwikkelingen

24

Bijlage: Actualiteiten

26

KANTOORGEGEVENS Baker Tilly (Netherlands) N.V. Burgemeester Roelenweg 14-18 8021 EV Zwolle Postbus 508 8000 AM Zwolle +31 (0)38 425 86 00

3

Bestuurlijke samenvatting 4

1. Bestuurlijke samenvatting De afgelopen jaren heeft de gemeente Nunspeet goede stappen gezet om de interne beheersing van de gemeente te versterken, waardoor de gemeente naar ons idee beter in control is gekomen. Enerzijds ziet dit toe op een traject waarbij door de leiding van de organisatie het belang van interne beheersing is uitgedragen en door de organisatie is overgenomen, waarbij de cultuur is verschoven van het werken op basis van vertrouwen naar een situatie waarin ook intern verantwoording wordt afgelegd. Hierbij moet opgemerkt worden dat het veranderen van een cultuur tijd kost en ook lastig meetbaar is. Uit de gesprekken die wij bij de interim-controle hebben gehad, merken wij dat er meer bewustzijn is van het belang van een goede interne beheersing. Anderzijds ziet dit toe op enkele concrete verbeteringen in processen in de afgelopen jaren. In 2022 heeft uw gemeente te maken gehad met een aantal uitdagingen. Zo is een nieuw financieel pakket geïmplementeerd, waar de nodige tijd en aandacht van uw medewerkers in is gaan zitten. Ook zijn er meerdere personeelswisselingen geweest in het team financiën en is het soms lastig voor uw gemeente om vacatures vervuld te krijgen. Op onze adviezen uit voorgaand jaar zien wij nog beperkte opvolging.

Onderwerp Deze management letter bevat onze bevindingen die zijn gebaseerd op onze werkzaamheden in het kader van de jaarrekeningcontrole voor het jaar eindigend op 31 december 2022.

Inleiding

Inflatie en de energiecrisis heeft voor 2022 een belangrijke invloed op uw gemeente. Het zorgt voor onzekerheden bij zowel de inwoners als bij uw gemeente. De openstaande vorderingen en/of de vraag naar uitkeringen kan toenemen. Daarnaast werken de inflatie en energiecrisis door in gemeentelijke lasten zoals de grondexploitatie. Wij adviseren u om bij de jaarrekening 2022 aandacht te besteden aan de impact hiervan op de realisatie. In deze management letter hebben we een aantal aanbevelingen meegegeven. De belangrijkste bevinding betreft het proces met betrekking tot aanbestedingen, mede met het oog op de rechtmatigheidsverantwoording.

Bevindingen interne beheersing

IT-omgeving

In het kader van onze jaarrekeningcontrole hebben we de interne beheersing rondom uw IT onderzocht. Uw organisatie is bij aanvang van dit boekjaar overgegaan van Civision Middelen naar Key2Fininanciën. Wij zien dat de toegangsbeveiliging hierbij beter is geregeld. Wel zijn de aanwezigheid van hoge rechten bij niet-onafhankelijke functionarissen en het ontbreken van periodieke controles op de gebruikers en gebruikersrechten aandachtpunten. In het kader van de controle over het boekjaar 2022 is het van belang dat uw organisatie kan aantonen dat de conversie van data naar Key2Financiën juist, tijdig en volledig is uitgevoerd.

Vooruitblik

• Vanaf 2023 dient het college van burgemeester en wethouders zelfstandig verantwoording af te leggen over de rechtmatigheid. Gemeente Nunspeet is gestart met de voorbereidingen. Voor 2023 zullen rechtmatigheidstoetsen nog voornamelijk door de VIC in de derde lijn worden uitgevoerd. Deze toetsen zullen de basis vormen voor de rechtmatigheidsverantwoording. Wij vragen uw aandacht voor de verdere uitbreiding van het intern controleplan 2023 en dit te koppelen aan het M&O-beleid. • Tot slot hebben we vanuit het oogpunt van onze natuurlijke adviesfunctie in deze management letter een bijlage opgenomen met actuele ontwikkelingen. Belangrijke elementen zijn hier onder andere de voorziening verlofsparen en SPUK Oekraïne. 5

2. Bevindingen en aandachtspunten 6

2. Bevindingen en aandachtspunten 2.1 Algemeen Inleiding Doel en reikwijdte

Risicoanalyse

Het doel van onze jaarrekeningcontrole is het vormen van een oordeel over de getrouwheid en de rechtmatigheid van de jaarrekening als geheel, zoals bedoeld in het Besluit Accountantscontrole Decentrale Overheden (BADO). Vanuit de jaarrekeningcontrole beoordelen wij of de kwaliteit van de administratieve organisatie en interne beheersing voor zover relevant voor onze oordeelsvorming en geven wij geen zelfstandig oordeel over de kwaliteit van de administratieve organisatie en interne beheersing. De controle van de jaarrekening omvat het uitvoeren van controlewerkzaamheden, waaronder risicoanalyse, cijferanalyses, beoordeling van de administratieve procedures en het daarmee samenhangende systeem van interne beheersingsmaatregelen en gegevensgerichte controlewerkzaamheden. De samenstelling en omvang van die werkzaamheden zijn noodzakelijk voor het verkrijgen van voldoende controle-informatie ter onderbouwing van ons oordeel.

Onze risicoanalyse richt zich op een betrouwbare totstandkoming van de jaarrekening. Dit betekent dat wij niet alle risico’s die voor u als gemeente relevant zijn in onze controle meenemen. De risicoanalyse is een continue proces en stellen wij gedurende de controle indien nodig bij. De belangrijkste bij uw gemeente onderkende risico’s / kernpunten in de controle zijn: • • • •

Waardering van uw grondexploitatie; Rechtmatigheid aanbestedingen; Prestatielevering inkopen; Risico dat het management van de gemeente de procesafspraken doorbreekt, hetgeen een standaard risico is vanuit onze beroepsregels. Dit risico ziet bij uw gemeente met name toe op de schattingsposten in de grondexploitatie.

In ons verslag van bevindingen rapporteren wij naar aanleiding van de jaarrekeningcontrole over bovenstaande punten. Deze punten zijn ongewijzigd ten opzichte van voorgaand jaar als gevolg van een wijziging in de controlestandaarden. Over frauderisico’s zullen wij vanaf dit boekjaar uitgebreider rapporteren. Zie hiervoor ook paragraaf 2.7.

7

2. Bevindingen en aandachtspunten 2.2 Bedrijfsprocessen Beeld interne beheersing Interne beheersing

De afgelopen jaren heeft de gemeente Nunspeet goede stappen gezet om de interne beheersing van de gemeente te versterken, waardoor de gemeente naar ons idee beter in control is gekomen Enerzijds ziet dit toe op een traject waarbij door de leiding van de organisatie het belang van interne beheersing is uitgedragen en door de organisatie is overgenomen, waarbij de cultuur is verschoven van het werken op basis van vertrouwen naar een situatie waarin ook intern verantwoording wordt afgelegd. Hierbij moet opgemerkt worden dat het veranderen van een cultuur tijd kost en ook lastig meetbaar is. Uit de gesprekken die wij bij de interim-controle hebben gehad, merken wij dat er meer bewustzijn is van het belang van een goede interne beheersing. Anderzijds ziet dit toe op enkele concrete verbeteringen in processen in de afgelopen jaren. In 2022 heeft uw gemeente te maken gehad met een aantal uitdagingen. Zo is een nieuw financieel pakket geïmplementeerd, waar de nodige tijd en aandacht van uw medewerkers in is gaan zitten. Ook zijn er meerdere personeelswisselingen geweest in het team financiën en is het soms lastig voor uw gemeente om vacatures ingevuld te krijgen. Op onze adviezen uit voorgaand jaar zien wij nog beperkte opvolging (zie paragraaf 2.4).

Overigens heeft uw organisatie hierbij wel de risico’s overwogen en zijn de redenen van het niet opvolgen van deze punten organisatorische uitdagingen (beperkte personeelsbezetting) of systeemtechnische beperkingen. Wij vragen uw aandacht voor de eerder geconstateerde bevindingen die nog niet zijn afgerond binnen uw organisatie.

Basis op orde, maatregelen niet altijd zichtbaar

Wij constateren dat op dit moment in de processen de primaire functiescheiding is ingeregeld. Daarentegen zijn op onderdelen de interne beheersingsmaatregelen in het proces nog onvoldoende verankerd dan wel onvoldoende zichtbaar. In die laatste situatie kan achteraf niet vastgesteld worden of de afgesproken procedures en interne controles wel hebben bestaan en gewerkt. De verbijzonderde interne controlefunctie kan in beide gevallen niet systeemgericht controleren en wij als accountant ook niet. Dat laatste betekent dat een controle meer tijd kost voor zowel de gemeente als voor ons. Daarnaast neemt hierdoor ook het risico op fouten en onrechtmatigheden toe. Bovendien ontbreekt, doordat geen systeemgerichte controle kan plaatsvinden, een automatisch mechanisme waarbij de efficiency, doelmatigheid en effectiviteit van de processen en daarin opgenomen interne beheersingsmaatregelen tegen het licht worden gehouden. Wij adviseren de zichtbaarheid van de interne beheersingsmaatregelen te vergroten om u in staat te stellen bestaan en werking van de beheersingsmaatregelen te monitoren. Dit stelt uw gemeente in staat verder “in control” te komen.

Interne controle

Een belangrijk onderdeel van de interne beheersing is de (verbijzonderde) interne controlefunctie. Uw organisatie heeft een Plan (verbijzonderde) interne controle 2022 opgesteld. Met dit plan wordt voorgesorteerd op de implementatie van de rechtmatigheidsverantwoording. Alle materiële financiële bedrijfsprocessen en financiële bedrijfsprocessen met een hoog inherent risico worden getoetst. De scope voldoet wat ons betreft voor de jaarrekeningcontrole 2022. Vanzelfsprekend zal de scope ieder jaar opnieuw bepaald worden, waarbij de uitkomsten van de actualisatie van de risico-inventarisatie meegenomen zullen worden. Eén van de rechtmatigheidscriteria is het misbruik en oneigenlijk gebruik criterium. In dat kader heeft uw gemeente een M&O-beleid opgesteld. Wij adviseren u om in het intern controleplan 2023 ook nadrukkelijker een koppeling te maken met het M&O-beleid en bijbehorende risico’s.

8

2. Bevindingen en aandachtspunten 2.3 Nieuwe bevindingen 2022 Bevinding: Niet naleven van de termijnen uit de Algemene Subsidieverordening 2019 Uit onze interim-controle is gebleken dat toekenningen (beschikkingen) van subsidies niet altijd tijdig worden verstuurd of dat subsidies niet binnen de gestelde termijnen worden vastgesteld. Dit is door uw organisatie ook vanuit de interne controle geconstateerd, waar voor de elf grootste subsidies is vastgesteld dat de toekenning in twee gevallen te laat is verstuurd en dat in vijf gevallen nog geen vaststelling is verstuurd, terwijl dat al wel had gemoeten.

Prioriteit

Boekjaar bevinding

Laag

2022 Risico Het niet naleven van de gestelde termijnen in de subsidieverordening kan tot onduidelijkheid leiden bij de subsidieontvangers en bovendien leidt dit tot niet-financiële onrechtmatigheden.

Aanbeveling Wij adviseren u de termijnen zoals gesteld in de Algemene Subsidieverordening strikter na te leven.

Gevolgen jaarrekeningcontrole Het niet tijdig toekennen en vaststellen van subsidies heeft geen financiële consequentie. Hierdoor is er sprake van een niet-financiële onrechtmatigheid, welke wij niet hoeven mee te wegen in ons oordeel. Wel dienen wij hierover te rapporteren aan de gemeenteraad.

9

2. Bevindingen interne beheersing 2.4 Follow- up bevindingen Deze tabel geeft een overzicht van de follow-up van de aanbevelingen uit onze management letter van 2021 en eerder. Indien wij in de hoofdrapportage gerapporteerd hebben over een onderwerp, kan dit ten opzichte van voorgaand jaar als niet opgelost worden beschouwd. Om niet in herhaling te vervallen, rapporteren wij hierover niet in alle gevallen separaat in dit hoofdstuk.

#

Bevinding

Follow- up 2022

01

Salarissen: Bevoegdheden medewerkers salarisadministratie (2020) Uw gemeente heeft een procedure waarbij salarismutaties door twee personen worden doorgevoerd (controle door tweede medewerker). Wij hebben vastgesteld dat niet is afgedwongen dat mutaties in de personeels/salarisadministratie in functiescheiding tot stand komen. Medewerkers hebben (te) ruime bevoegdheden en uitgevoerde controles worden niet voldoende vastgelegd om vast te stellen dat alle mutaties gecontroleerd zijn.

Het proces is ongewijzigd ten opzichte van vorig jaar.

Het symbool geeft de status van de constatering aan. Opgelost

Het risico bestaat dat mutaties niet nauwkeurig of volledig worden uitgevoerd hetgeen onrechtmatige uitstroom van middelen tot gevolg kan hebben.

Actie ondernomen, maar nog niet afgerond Geen actie ondernomen Nieuwe bevinding

02

Aanbestedingen: Juiste aanbestedingsvorm (2017) Bij de inkoop van diensten boven de € 40.000 en voor werken boven de € 90.000 wordt door de gemeente gebruik gemaakt van een inkoopformulier dat dient als hulpmiddel voor het kiezen van de juiste aanbestedingsvorm. Er zijn echter geen controles ingebouwd die waarborgen dat dit ook gebeurt en bovendien vindt geen zichtbare controle plaats op het kiezen van de juiste aanbestedingsvorm. De inkoopcoördinator heeft bij het toepassen van het inkoopbeleid en uitvoering inkoopproces een ondersteunende rol.

Status 2022

Uw organisatie heeft aangegeven dat vanwege de kwetsbaarheid (qua bezetting) de bevoegdheden niet anders te organiseren zijn. Het restrisico wordt geaccepteerd. Wel wordt maandelijks een controle uitgevoerd door de coördinator financiën, waarbij steekproefsgewijs een controle plaatsvindt op bijzondere afwijkingen. Hierbij wordt echter niet vastgelegd met welke documenten de controle is uitgevoerd en wat de conclusies zijn. Wij adviseren u dit wel te doen.

Het proces is ongewijzigd ten opzichte van vorig jaar. Wel heeft uw organisatie aangegeven dat een risicoanalyse is uitgevoerd en dat aan de hand van deze risicoanalyse is gestart met het uitvoeren van diverse controles. Er is echter geen vastlegging aanwezig van deze risicoanalyse.

10

2. Bevindingen interne beheersing 2.4 Follow- up bevindingen Deze tabel geeft een overzicht van de follow-up van de aanbevelingen uit onze management letter van 2021 en eerder. Indien wij in de hoofdrapportage gerapporteerd hebben over een onderwerp, kan dit ten opzichte van voorgaand jaar als niet opgelost worden beschouwd. Om niet in herhaling te vervallen, rapporteren wij hierover niet in alle gevallen separaat in dit hoofdstuk. Het symbool geeft de status van de constatering aan. Opgelost Actie ondernomen, maar nog niet afgerond Geen actie ondernomen Nieuwe bevinding

#

Bevinding

Follow- up 2022

03

Sociaal domein: Wijzigingen bankrekeningnummers in Civision Samenlevingszaken (2017) De bankrekeningnummers van leveranciers en cliënten binnen het sociaal domein worden beheerd in Civision Samenlevingszaken. De gemeente heeft een procedure ingericht waarbij een medewerker van de uitkeringsadministratie wijzigingen van bankrekeningnummers controleert. Deze controle is echter niet afgedwongen in het systeem en bovendien moet de medewerker die de wijziging doorvoert hiervoor een signaal sturen naar de controlerend medewerker. Hierdoor bestaat het risico dat fouten of frauduleuze wijzigingen niet ontdekt worden en betalingen op het verkeerde bankrekeningnummer plaatsvinden en daardoor gelden ten onrechte aan de organisatie onttrokken worden.

Het proces is ongewijzigd ten opzichte van vorig jaar.

Status 2022

Uw organisatie heeft aangegeven dat omdat de software vervangen gaat worden per april 2023, het risico dat nu wordt gelopen als aanvaardbaar geacht wordt.

11

2. Bevindingen en aandachtspunten 2.5 Status rechtmatigheidsverantwoording Rechtmatigheidsverantwoording (1/2) Stand van zaken in verband met invoering rechtmatigheidsverantwoording

Op 27 september jl. heeft de Eerste Kamer het wetsvoorstel inzake de invoering van de rechtmatigheidsverantwoording aangenomen. Dit betekent dat met ingang van het boekjaar 2023 de accountant uitsluitend nog een oordeel over de getrouwheid van de jaarrekening afgeeft. In de jaarrekening wordt door het college een nieuwe toelichting over rechtmatigheid opgenomen (‘rechtmatigheidsverantwoording’). In deze rechtmatigheidsverantwoording verantwoordt het college zich over de al dan niet rechtmatige totstandkoming van de lasten, baten en balansmutaties. De accountant stelt vervolgens de getrouwheid van deze verantwoording vast. Op dit moment wordt gekeken naar de noodzakelijke aanpassingen van het Besluit Accountantscontrole Decentrale Overheden (BADO) en het Besluit Begroting en Verantwoording (BBV). Ook bij gemeenten moeten de noodzakelijke voorbereidingen worden getroffen. Naast de verplichting dat in de jaarstukken 2023 een rechtmatigheidsverantwoording moet worden opgenomen en het feit dat deze ook onderbouwd moet worden door (bijvoorbeeld) een verbijzonderde interne controle zijn ook een aantal operationele zaken die (in)geregeld moeten worden. Met ingang van boekjaar 2023 is het verplicht het normenkader voor de rechtmatigheid jaarlijks door de gemeenteraad te laten vaststellen.

Tot en met boekjaar 2022 bestaat ook de mogelijkheid om het normenkader ter kennisgeving in de raad te brengen. Inhoudelijk krijgt de gemeenteraad ook een aanvullende verantwoordelijkheid, namelijk het bepalen van de verantwoordingsgrens die het college moet hanteren voor het opmaken van de rechtmatigheidsverantwoording: • • •

De gemeenteraad stelt een verantwoordingsgrens (tussen 0% en 3%) vast. Het college moet de financiële onrechtmatigheden boven dit bedrag rapporteren in de rechtmatigheidsverantwoording. Wij adviseren u deze verantwoordingsgrens in de financiële verordening (ex artikel 212) vast te leggen. De gemeenteraad kan kaders opstellen ten behoeve van de rapporteringsgrens waarboven de raad een nadere uiteenzetting verwacht in de paragraaf bedrijfsvoering. In lijn met artikel 212 lid 1 van de gemeentewet kan de gemeenteraad deze kaders vastleggen in de financiële verordening. De commissie BBV heeft in haar kadernota rechtmatigheid aanbevolen om de afspraken die de gemeenteraad met het college maakt over een nadere toelichting van de onrechtmatigheden in de paragraaf Bedrijfsvoering in het jaarverslag op te nemen. Bijvoorbeeld hoe het college opvolging geeft om de gerapporteerde afwijkingen in de rechtmatigheidsverantwoording in de toekomst te voorkomen. Wij adviseren u deze aanbeveling over te nemen.

Naast de financiële verordening moet ook de controleverordening (ex artikel 213) in lijn worden gebracht met de nieuwe wetgeving. De controleverordening gaat over hoe de kaders voor de toetsing van de jaarrekening inclusief de rechtmatigheidsverantwoording moeten worden getoetst door de accountant. Deze verordening wordt aangepast omdat het college rapporteert in de rechtmatigheidsverantwoording en de accountant de toetsing van de rechtmatigheid gaat doen aan de hand van de rechtmatigheidsverantwoording van het college. De nauwkeurigheid en diepgang waarmee de accountantscontrole van de jaarrekening, met inbegrip van de rechtmatigheidsverantwoording, moet worden uitgevoerd, oftewel de materialiteit van maximaal 1%, wijzigt overigens niet door de invoering van de rechtmatigheidsverantwoording.

12

2. Bevindingen en aandachtspunten 2.5 Status rechtmatigheidsverantwoording Rechtmatigheidsverantwoording (2/2)

Tot slot is het belangrijk om in beeld te brengen of naar mening van het college de 3 criteria voor de rechtmatigheidsverantwoording voldoende scherp zijn beschreven en geoperationaliseerd. Stand van zaken in verband met invoering rechtmatigheidsverantwoording

Voor het begrotingscriterium geldt dat het college en de gemeenteraad in de financiële verordening vastleggen op welke wijze zij omgaan met begrotingsoverschrijdingen. Uit de financiële verordening moet blijken hoe afwijkingen geïnterpreteerd worden in het kader van het uitoefenen van het budgetrecht door de gemeenteraad (stellige uitspraak Commissie BBV). De rechtmatigheidsverantwoording in de jaarrekening bevat belangrijke informatie voor het (politieke) verantwoordingsdebat van de gemeenteraad met het college. Het voorwaardencriterium ziet toe op voorwaarden die gelden voor de uitvoering van de financiële beheershandelingen. Deze voorwaarden komen voort uit de relevante regelgeving en hebben betrekking op aspecten zoals: doelgroep, grondslag, administratieve bepalingen, normbedragen, bevoegdheden, bewijsstukken, recht, hoogte en duur voor zover deze relevant zijn voor de financiële rechtmatigheid. Het is van belang dat het college duidelijk maakt welke specifieke bepalingen van de regelgeving relevant zijn voor het financiële rechtmatigheidsbeheer en waar financiële consequenties uit kunnen voortkomen. Dit kan op verschillende wijzen worden vormgegeven. a) In het normenkader zelf, door per wet/regel/verordening aan te geven op welke artikelen getoetst worden en welke rechtmatigheidsaspecten daarbij relevant zijn (bijv. recht, hoogte, duur).

b) In een apart toetsingskader of daaruit afgeleid control framework en afgeleid (interne)controleplan (zichtbaar gelinkt aan het normenkader). c) In de werkprogramma’s waarbij per controleactiviteit wordt aangegeven welk artikel uit welke wet/regel/verordening wordt getoetst (zichtbaar gelinkt aan het normenkader). Het laatste criterium heeft betrekking op Misbruik en Oneigenlijk gebruik (ook wel M&O). Het college is verantwoordelijk voor het inrichten van effectieve maatregelen ter voorkoming van misbruik en oneigenlijk gebruik van overheidsregels om overheidssubsidies en bijdragen te ontvangen dan wel een te laag bedrag aan heffingen aan de overheid te betalen. Deze maatregelen hangen veelal samen met de interne beheersing ter borging van het voorwaardencriterium. Het college gaat straks een uitspraak doen in hoeverre het M&O beleid feitelijk wordt nageleefd en of de getroffen maatregelen effectief werken. Wanneer het college concludeert dat het M&O-beleid (op onderdelen) niet actueel is en/of dat er geen M&O-beleid bestaat of het M&O-beleid feitelijk niet wordt nageleefd moet het college dit in de paragraaf Bedrijfsvoering melden. Afwijkingen, voor zover zij niet het getrouwheidsaspect raken, moet het college in de rechtmatigheidsverantwoording rapporteren.

Om aan deze verplichting te kunnen voldoen is het van belang dat inzichtelijk is hoe het M&O criterium is ingebed in de diverse verordeningen en gemeentelijke regelgeving. Dit kan door een inventarisatie te doen en een nota M&O beleid op te stellen waarin de uitkomsten en afwegingen voor te treffen c.q. getroffen maatregelen in zijn opgenomen. Gemeente Nunspeet is gestart met de voorbereidingen. Voor 2023 zullen rechtmatigheidstoetsen nog voornamelijk door de VIC in de derde lijn worden uitgevoerd. Deze toetsen zullen de basis vormen voor de rechtmatigheidsverantwoording. Wel vragen we nog aandacht voor de verdere uitbreiding van het intern controleplan 2023 en dit te koppelen aan het M&O-beleid.

13

2. Bevindingen en aandachtspunten 2.6 Belangrijke macro-economische ontwikkelingen Grondexploitaties Er zijn momenteel diverse onzekere factoren die impact hebben op de ontwikkeling van grondexploitaties, denk hierbij onder andere aan: - Een stijgende vraag naar woningen; - Krapte aan (betaalbare) woningen op de markt; - Krapte op de arbeidsmarkt bij bouwondernemingen; - Stijgende energie- en grondstofprijzen + stijgende rente; - Verduurzamingsopgave. Deze huidige ontwikkeling en de onzekerheid over de toekomstige ontwikkelingen betekent een grote schattingsonzekerheid op de verwachte realisatie van uw complexen. Wij verzoeken u om na te gaan in welke mate bovenstaande elementen impact hebben op uw specifieke situatie. Te meer omdat regionale verschillen en stijgingen van prijzen in specifieke kostensoorten fors van elkaar kunnen verschillen. Daarnaast dient bij een hoge mate van schattingsonzekerheid een adequate toelichting bij de verantwoording in de jaarrekening te worden opgenomen. Belangrijke elementen hierbij zijn: - Het toelichten van de gehanteerde veronderstellingen; en - Een toelichting (impact / scenario’s) over de schattingsonzekerheid. Wij vragen u na te gaan welke acties reeds zijn ondernomen en welke uitgangspunten gekozen zijn.

Daarnaast gaan wij graag tijdig met u in overleg om de uitgevoerde analyses, de uitkomsten en de voorgestelde toelichtingen te bespreken. Om het jaarrekeningtraject soepel te laten verlopen is het opstellen van een notitie met de te hanteren uitgangspunten en parameters voor de waardering van de grondexploitaties in de jaarrekening 2022 wenselijk. Deze notitie kan dan begin 2023 met ons als accountant worden afgestemd, voordat de grondexploitatieberekeningen worden uitgevoerd. Hiermee kunnen inhoudelijke vragen ook al voorafgaande aan de jaarrekeningcontrole worden afgehecht. Hierbij merken wij op dat de huidige marktomstandigheden, zoals hierboven ook geschetst, tot relatief grote onzekerheden leiden. Wij vragen uw aandacht voor het monitoren van de marktontwikkelingen en de gevolgen hiervan voor de waardering van de grondexploitaties. Uiteindelijk zal de waardering in de jaarrekening gebaseerd moeten zijn op de beste inschatting die te maken is op het moment van het opstellen van de jaarrekening. Verder is het wenselijk om meer gestructureerd vast te leggen welke onderlinge checks worden uitgevoerd binnen de gemeente bij het opstellen van de ramingen in de grondexploitaties. Ons advies is om hierbij zichtbaar te maken wat er gecontroleerd is en wat de conclusie is. Hiervoor zou de gemeente een format kunnen opstellen waarop dit per grondexploitatie kan worden vastgelegd.

Enerzijds zorgt dit voor minder kwetsbaarheid en afhankelijkheid bij de gemeente, omdat afwegingen niet alleen in het hoofd van medewerkers zitten, maar ook op papier staan. Anderzijds maakt dit het proces voor de jaarrekeningcontrole ook makkelijker. 14

2. Bevindingen en aandachtspunten 2.6 Belangrijke macro-economische ontwikkelingen Energiecrisis en hoge inflatie Nederland heeft op dit moment te maken met enkele extreme omstandigheden: enorm oplopende inflatie, de energiecrisis en de capaciteitsproblemen op de arbeidsmarkt. Deze omstandigheden leiden tot financiële risico’s voor de gemeenten op langere termijn, maar zeker ook op korte termijn in relatie tot het opstellen van de jaarrekening 2022. Actualisatie van de grondexploitaties ligt gezien de genoemde omstandigheden voor de hand, maar ook op andere gebieden is het noodzakelijk om afdoende rekening te houden met de huidige ontwikkelingen. We vragen hier dan ook nadrukkelijk uw aandacht voor en verwachten van u bij de jaarrekeningcontrole een expliciete analyse van: -

Waardering (langlopende) vorderingen. Ook partijen waar u leningen aan heeft verstrekt of waar u vorderingen op heeft, kunnen zijn getroffen door de genoemde ontwikkelingen. Het is bij het opstellen van de jaarrekening dan ook noodzakelijk om een toereikende voorziening te treffen voor de eventuele oninbaarheid van deze vorderingen. In het bijzonder vragen we uw aandacht voor de vorderingen richting gesubsidieerde instellingen.

-

Onderhoudsvoorzieningen. Gezien het feit dat bouwkosten fors toenemen, is de kans groot dat de beheerplannen waarop uw onderhoudsvoorziening is gebaseerd, niet meer actueel zijn. Het BBV heeft als een van de eisen dat er een actueel beheerplan aanwezig is. Het is dan ook noodzakelijk om de geschetste ontwikkelingen in financiële zin door te vertalen in de aanwezige beheerplannen. De gemeenteraad dient tijdig geïnformeerd te worden over eventuele benodigde bijstelling van de beheerplannen.

-

Begrotings- en kredietrechtmatigheid. De genoemde ontwikkelingen leiden zowel op korte als langere termijn tot hogere lasten voor de gemeente. In het kader van de begrotingsrechtmatigheid is het van belang dat het college eventuele begrotingsafwijkingen als gevolg van deze hogere lasten tijdig meldt aan de gemeenteraad en hier begrotingsruimte voor vindt. Ook mogelijke kredietoverschrijdingen dienen tijdig in beeld te zijn en daar waar noodzakelijk tijdig met de gemeenteraad te worden gecommuniceerd.

-

Tot slot is het noodzakelijk om de toekomstige risico’s, zoals bijvoorbeeld ten aanzien van de toenemende rente in beeld te hebben.

15

2. Overige bevindingen en aandachtspunten 2.7 Fraude en continuïteit Fraude en continuïteit in de controleverklaring

Als reactie op de rapporten van de Commissie Toezicht Accountancysector en Monitoring Commissie Accountancy heeft de NBA in de 2e helft van 2020 aangekondigd dat zij het beleid op de gebieden Fraude en Continuïteit meer concreet en meer zichtbaar tot uitdrukking wil brengen. Dit wordt gedaan met een aanvulling op Standaard 700. De aanvulling in Standaard 700 komt er in hoofdlijnen op neer dat afzonderlijke secties voor de onderwerpen continuïteit en fraude in de controleverklaring worden opgenomen. Hierin wordt uiteengezet hoe de accountant bij de controleaanpak inspeelt op risico’s ten aanzien van fraude en continuïteit en worden de uitgevoerde werkzaamheden toegelicht. Als aanvulling kan de accountant ook de uitkomsten van deze werkzaamheden of belangrijke waarnemingen met betrekking tot het onderwerp toelichten. De beide secties worden in alle controleverklaringen (verplicht) opgenomen; ook in situaties waar geen sprake is van ernstige continuïteitsonzekerheid of spraakmakende fraudecasuïstiek.

Fraude

Frauderisicoanalyse De primaire verantwoordelijkheid voor het voorkomen en detecteren van fraude (waaronder corruptie) berust bij het college van burgemeester en wethouders. Deze verantwoordelijkheid betreft ook het onderhouden van een zodanige interne beheersing om het opmaken van de jaarrekening mogelijk te maken zonder dat deze afwijkingen van materieel belang bevat als gevolg van fraude of fouten. Wij willen u erop wijzen dat wij vanaf dit boekjaar verplicht zijn om in onze controleverklaring specifiek te vermelden welke frauderisico’s wij bij de controle van uw jaarrekening hebben geïdentificeerd en welke werkzaamheden wij ten aanzien van deze risico’s hebben uitgevoerd. Idealiter sluiten de door ons onderkende frauderisico’s in onze controleaanpak aan op de frauderisicoanalyse zoals opgesteld door het college en de toelichting van het college op de eventuele frauderisico’s in de paragraaf bedrijfsvoering in de jaarrekening. Frauderisicoanalyse (intern) Op basis van onze uitgevoerde interim-controle stellen wij vast dat er binnen de gemeente aandacht is voor frauderisico’s en de preventie daarvan. Uw organisatie beschikt over een frauderisicoanalyse die periodiek wordt herzien. Wij adviseren u om de frauderisicoanalyse ook te integreren in de aanpak om te komen tot de rechtmatigheidsverantwoording door het College.

Door de ingevoerde beheersingsmaatregelen in uw organisatie hierbij te betrekken, kunt u tot een gewogen afweging komen welke aanpak vereist is om de risico’s te mitigeren. De verbijzonderde interne controle kan ook gerichter worden ingezet als de opdracht hiervoor wordt ingegeven vanuit een interne frauderisicoanalyse, waardoor de werkzaamheden aansluiten op de risico’s binnen de organisatie.

16

2. Overige bevindingen en aandachtspunten 2.7 Fraude en continuïteit Fraudedriehoek Wij raden u aan bij het identificeren van de frauderisico’s binnen uw gemeente specifiek gebruik te maken van de fraudedriehoek. De fraudedriehoek kent de elementen ‘Gelegenheid’, ‘Rationalisatie’ en ‘Druk’ en is een goed hulpmiddel om frauderisicofactoren in beeld te krijgen en van daaruit te bepalen of deze frauderisicofactoren ook daadwerkelijk tot een frauderisico voor uw gemeente leiden. Belangrijk is om uw overwegingen/analyse goed te documenteren. Wij vragen u als gevolg van de huidige economische ontwikkelingen (o.a. stijgende energieprijzen en indexatie) bij uw analyse nadrukkelijk aandacht te besteden aan de elementen druk en rationalisatie. Deze kunnen mogelijk leiden tot aanvullende frauderisico’s. Wij adviseren u daarbij specifiek te kijken naar het (fraude)risico van onrechtmatige onttrekkingen van geld aan de gemeente. Frauderisicoanalyse vanuit de blik van de accountant Op basis van de organisatieverkenning en de interim-controle onderkennen wij momenteel de volgende frauderisico’s bij onze jaarrekeningcontrole: • Doorbreken van interne beheersingsmaatregelen door het management (verplicht frauderisico in iedere controle).

De passages in relatie tot bovenstaande frauderisico’s die wij voornemens zijn op te nemen in de controleverklaring stemmen wij met u af en zullen wij bij de bespreking van het accountantsverslag met u doornemen. Hierbij merken wij op dat wij gedurende onze controle mogelijk nog andere frauderisico’s signaleren. Ook hiervoor zullen wij afstemming met u zoeken. Continuïteit

Voor gemeenten geldt dat vanwege de onbegrensde leencapaciteit bij de BNG (en daardoor altijd aanwezige liquiditeit) per definitie geen onzekerheid kan bestaan over de continuïteitsveronderstelling. Evenwel stellen wij vast dat dat feit slechts zelden ook daadwerkelijk wordt benoemd in gemeentelijke jaarstukken. Dit zou bijvoorbeeld kunnen in de paragraaf weerstandsvermogen en risicobeheersing. Daarnaast is het ook raadzaam om de impliciete veronderstelling dat de gemeentelijke jaarstukken op basis van een continuïteitsveronderstelling zijn opgesteld, expliciet te noemen in de grondslagen. Wij vragen beide zaken mee te nemen bij het opstellen van de jaarstukken 2022. Naast feitelijke discontinuïteit is ook de mate waarin de gemeente zelfstandig en autonoom (financieel) beleid kan voeren een belangrijke veronderstelling. Derhalve is in onze optiek ook het risico op preventief provinciaal toezicht (artikel 12) een onderwerp wat daar in mee genomen moet worden. 17

3. Bevindingen IT-beheersing 18

3. Bevindingen IT-beheersing 3.1 Algemeen IT General Controls Veel handelingen die binnen organisaties plaatsvinden, worden geregistreerd door middel van automatisering. Daarbij zijn diverse interne beheersingsmaatregelen steeds vaker geautomatiseerd in softwarepakketten. Wij onderzoeken daarom de beheersing van uw IT-omgeving en rapporteren daarover in deze management letter. Op basis van de door ons uitgevoerde werkzaamheden d.d. 06-12-2022 hebben wij onze inschatting van de kwaliteit van uw ITsysteem en/of applicaties opgenomen. Hierbij hebben wij de volgende onderverdeling gemaakt om de kwaliteit weer te geven: Verbetering op (korte) termijn benodigd Adviespunt, verdere aanscherping mogelijk Op dit moment voldoende

Bij het uitvoeren van onze werkzaamheden hebben wij gekeken naar de algemene onderwerpen rondom de beheersing van uw IT-omgeving zoals in de tabel rechts opgenomen. Op de navolgende pagina’s rapporteren wij onze bevindingen.

Onderwerp Toegangsbeveiliging (paragraaf 3.2) Bij het toetsen van ‘toegangsbeveiliging’ wordt onderzocht of de inrichting van de IT-omgeving de authenticiteit van de gebruiker van een gebruikersaccount borgt. Vervolgens onderzoeken wij de mogelijkheden voor het ‘steunen’ op autorisaties en de processen rondom het verstrekken, muteren en ontnemen van autorisaties binnen de omgeving. Wanneer de randvoorwaarden hiervoor voldoende aanwezig zijn, kunnen wij in de controle gebruik maken van ingerichte functiescheiding in het systeem. Een adequate inrichting kan preventief risico’s voor uw organisaties beperken en tegelijkertijd efficiency voordelen opleveren in de controle. Wijzigingsbeheer (Change management) (paragraaf 3.3) Bij het toetsen van ‘wijzigingsbeheer’ wordt vastgesteld dat wijzigingen aan de applicatie op gestructureerde en gecontroleerde wijze worden doorgevoerd. Voor uw organisatie heeft wijzigingsbeheer ten doel om te voorkomen dat applicaties zich niet gedragen zoals u verwacht na een wijziging in de software, resulterend in, wellicht niet opgemerkte, (financiële) gevolgen. Continuïteitsmaatregelen en beveiliging (paragraaf 3.4) Onder de noemer continuïteit en beveiliging krijgen wij inzicht in uw beheersing van risico’s gericht op continuïteit van uw bedrijfsvoering.

Hierbij kan discontinuïteit worden veroorzaakt door menselijk of technisch falen, maar ook door interne of externe kwaadwillenden. Voor continuïteit zijn met name het punt in de tijd aan tot waar u gegevens bij discontinuïteit kunt herstellen en de tijd die het kost om tot een normale bedrijfsvoering te komen bij discontinuïteit van belang. Hiernaast schatten wij uw beheersing van cyber risico’s in. Adviespunten zonder directe impact (paragraaf 3.5) Het is ons van belang om inzicht te krijgen in de verantwoordelijkheden die binnen de organisatie zijn ingericht – of met andere organisaties overeen zijn gekomen (uitbesteding) – ten aanzien van de beheersing van de IT-omgeving. Hierbij kijken wij naar beleidsstukken ten aanzien van IT-strategie, beveiliging en functiescheiding. Ook de interne beheersingsmaatregelen die al dan niet zijn ingericht binnen de IT-omgevingen zijn onderdeel van onze scope. Indien maatregelen periodiek worden uitgevoerd kunnen wij hier gebruik van maken in de jaarrekeningcontrole. Deze adviespunten hebben niet een directe impact op onze controlewerkzaamheden, maar zijn wel wenselijk.

19

3. Bevindingen IT-beheersing 3.2 Toegangsbeveiliging De conclusies die wij op basis van onze werkzaamheden trekken over de algemene inrichting van IT bij uw organisatie, delen wij op deze pagina met u. Uit de stoplichten valt op te maken in hoeverre wij gebruik kunnen maken van de randvoorwaarden die binnen uw organisatie aanwezig zijn voor de controle. Authenticatie Door middel van authenticatie wordt geborgd dat de gebruiker zichzelf kan identificeren binnen een geautomatiseerde omgeving. Kort gezegd: de gebruiker toont aan dat hij/zij inlogt met een eigen persoonsgebonden account en daarmee is wie hij/zij claimt te zijn. Wij scharen onder dit onderwerp met name wachtwoordvereisten en herleidbaarheid van accounts. Generieke accounts zijn dan ook niet wenselijk omdat functiescheiding kan worden doorbroken bij te ruime rechten en zijn mutaties niet te herleiden tot een persoon. Autorisatie Op het gebied van autorisatie zijn verschillende vormen van diepgang te definiëren. Wat wij onderzoeken als het gaat om de randvoorwaarden rondom autorisatie, zijn de rechten die de mogelijkheid bieden om autorisatiestructuren te wijzigen en of deze rechten belegd zijn bij functionarissen met een onafhankelijke positie ten opzichte van de jaarrekening. Daarnaast is een effectieve procedure voor het wijzigen van rechten noodzakelijk.

Authenticatie

Netwerk

Autorisatie

Onze bevindingen

Uw reactie

De ingestelde wachtwoordeisen van het netwerk zijn van voldoende niveau. Er zijn 4 persoonsgebonden accounts waarvan het wachtwoord langer dan een jaar niet is gewijzigd. Hiervan worden 3 accounts beheerd door raadsleden, waarmee niet meer kan worden ingelogd aangezien het wachtwoord dient te worden gewijzigd. Met het overige account is gedurende het jaar nog niet ingelogd, aangezien de betreffende medewerker nog in dienst dient te treden. Hierdoor is het risico op ongeautoriseerde toegang gering. De hoge rechten op het netwerk zijn beperkt tot onafhankelijke functionarissen in het kader van de jaarrekeningcontrole.

Key2 Financiën

Het inloggen in de applicatie geschiedt op basis van Single Sign-On. Hierdoor zijn de wachtwoordinstellingen van het netwerk relevant. De ingestelde wachtwoordeisen van het netwerk zijn van voldoende niveau. De hoge rechten op in de applicatie zijn voor 1 account niet beperkt tot onafhankelijke functionarissen in het kader van de jaarrekeningcontrole. Er wordt geen zichtbare periodieke controle (bijv. o.b.v. een functieautorisatie matrix) uitgevoerd op gebruikers en gebruikersrechten binnen de applicatie. Hierdoor ontstaat het risico op ongeautoriseerde mutaties binnen de applicatie, wat de functiescheiding zou kunnen doorbreken. Wij adviseren u om de rechten opnieuw te beoordelen en functiescheiding in kaart te brengen. Daarnaast adviseren wij een procedure te implementeren voor het gestructureerd toekennen, wijzigen en ontnemen van rechten op basis van functieprofielen.

20

3. Bevindingen IT-beheersing 3.3 Wijzigingsbeheer Bij het doorvoeren van wijzigingen in softwareomgevingen ontstaan risico’s voor de bedrijfsvoering van uw organisatie. Wij verwachten daarom dat het proces voor wijzigingen een proces doorloopt, waarmee de risico’s die gelopen worden, zijn ingeschat, worden geadresseerd en dat hierop maatregelen genomen worden. Wij hebben in de tabel aangegeven wat wij verwachten per fase en wat wij hebben geconstateerd tijdens onze controle (deels op basis van interview) en of dit overeen komt met de verwachting. .

Proces

Onze bevindingen

Risicoinschatting

U heeft aangegeven dat er geen specifieke risicoanalyse bij uw organisatie wordt geïdentificeerd voor het doorvoeren van updates en fixes. Een lijst met wijzigingen vanuit de leverancier wordt door de applicatiebeheerder opgesteld en geprioriteerd. Wij adviseren u om voorafgaand aan een update de releasenotes te analyseren om na te gaan of een nieuwe update mogelijke risico’s met zich meebrengt voor de werking van de applicatie.

Opstellen testplan en aanpak

U heeft aangegeven dat er geen sprake is van testplannen voor het uitvoeren van testwerkzaamheden. De wijzigingen welke worden doorgegeven via de leverancier worden bijgehouden middels een lijst met te testen wijzigingen. Wij adviseren u om een testplan op te stellen, en eventueel aanvullende testwerkzaamheden op te nemen op basis van de uitgevoerde risicoanalyse.

Testen en documenteren

U heeft aangegeven dat er niet in alle gevallen vastlegging wordt gemaakt van de uitgevoerde testwerkzaamheden. Dit heeft tot gevolg dat wij werkzaamheden hebben moeten uitvoeren om de impact van de doorgevoerde wijzigingen vast te stellen, op basis van de releasenotes. Wij hebben geen bijzonderheden geconstateerd bij de doorgevoerde wijzingen in het boekjaar. Wij adviseren u om de uitgevoerde testwerkzaamheden te documenteren.

Gebruikersacceptatie

Wijzigingen worden getest door de applicatiebeheerder. Indien de tests zijn uitgevoerd wordt door de applicatiebeheerder akkoord gegeven waarna de leverancier de release doorzet naar de productieomgeving. Registratie van de gebruikerstests en acceptatie vindt niet altijd plaats. Wij adviseren u om deze werkstap op te nemen in de procedure.

Uw reactie

21

3. Bevindingen IT-beheersing 3.4 Continuïteitsmaatregelen en beveiliging Let op: de onderwerpen volgen uit interviews en hierop zijn door ons over het algemeen geen testwerkzaamheden uitgevoerd om vast te stellen dat de IT-omgeving is ingericht zoals ons voorgesteld is. Dit beperkt de zekerheid die u kunt ontlenen aan de door ons beschreven aandachtspunten.

Continuïteitsmaatregelen Recovery Point objective (RPO): De RPO is het punt in de tijd tot waar men minimaal de gegevens moet kunnen herstellen. Het is dus de acceptabele hoeveelheid aan dataverlies uitgedrukt in tijd. Back-ups: U heeft aangegeven dat er sprake is van een werkwijze omtrent het uitvoeren en monitoren van back-ups. Dagelijks wordt er een back-up gemaakt, welke zowel op een externe locatie als in de cloud wordt opgeslagen. Dagelijks wordt er gemonitord of back-ups wel of niet zijn geslaagd en worden er eventueel vervolgstappen genomen.

Recovery Time Objective (RTO): Een RTO is de tijd waarna een proces/middel na een onderbreking moet teruggebracht zijn op een aanvaardbaar niveau, om een onacceptabele impact op de organisatie te vermijden. Recovery: U heeft aangegeven dat er geen volledige recovery test wordt uitgevoerd. Wel worden er succesvol losse bestanden teruggezet. Wij adviseren u om dit periodiek uit te voeren. Uitwijk: U heeft aangegeven dat er geen uitwijklocatie is ingericht. Er wordt gewerkt aan een nieuw continuïteitsplan en uitwijklocatie. Wij adviseren u om een locatie in te richten en dit periodiek te testen.

Beveiliging Beveiliging De beveiliging van de IT-omgeving delen wij op in verschillende aspecten, welke wij hieronder hebben weergegeven.

Vervolg Beveiliging Remote access: Voor het extern inloggen wordt gebruik gemaakt van extra beveiligingsmaatregelen zoals twofactor authenticatie. Hiermee wordt een extra authenticatie stap afgedwongen voor inloggen van buiten de organisatie. Fysieke beveiliging: De servers zijn ondergebracht in een serverruimte op locatie. Deze ruimte is fysiek afgesloten en alleen toegankelijk middels een tag waar alleen geautoriseerde medewerkers over beschikken. Daarnaast is de ruimte voorzien van een alarmsysteem, airco, ups en blusinstallatie. Preventie: Een firewall en virusscanner zijn aanwezig en wordt actief beheerd en gemonitord. Monitoring: Afgelopen jaar hebben er diverse kwetsbaarheidsscans plaatsgevonden. Bevindingen hieromtrent worden momenteel opgevolgd. Door het uitvoeren van een dergelijke test zijn eventuele zwakheden in de IT-omgeving blootgelegd en kan actie ondernomen worden.

22

3. Bevindingen IT-beheersing 3.5 Adviespunten zonder directe impact Let op: de onderwerpen volgen uit interviews en hierop zijn door ons over het algemeen geen testwerkzaamheden uitgevoerd om vast te stellen dat de IT-omgeving is ingericht zoals ons voorgesteld is. Dit beperkt de zekerheid die u kunt ontlenen aan de door ons beschreven aandachtspunten.

Beleid en Plannen Beleid U heeft aangegeven dat uw organisatie beschikt over een beleidsplan opgesteld omtrent IT en informatiebeveiliging, welke voldoet aan de BIO. Dit betreft een meerjarenplan en is goedgekeurd door het College van Burgemeester en Wethouders. Op dit document vindt periodiek een herziening plaats, waardoor het beheersen van risico’s op basis van een plan-do-check-act cyclus kan plaatsvinden.

Verantwoordelijkheden en regiefunctie Wij verwachten dat binnen uw organisatie duidelijke afspraken zijn gemaakt ten aanzien van verantwoordelijkheden over uitvoering en strategie op het gebied van IT. U heeft aangegeven dat dit het geval is. Taken en verantwoordelijkheden omtrent de IT-organisatie zijn opgenomen in het beleidsplan. Met leveranciers zijn contracten en Service Level Agreements (SLA’s) afgesloten. Een vastlegging van periodieke controle op contracten en/of SLA’s vindt niet plaats. Uitvoering Beheersing van incidenten Om de performance van uw IT-systemen en eventueel de performance van uw ITdienstverlener te monitoren, is registratie van de incidenten en problemen van belang. Hierdoor verkrijgt u inzicht in de performance van uw systemen, maar ook van uw IT-organisatie en kunt u waar nodig uw beleidsplan corrigeren. U heeft aangegeven dat er sprake is van een werkwijze omtrent de beheersing van incidenten en dat incidenten geregistreerd worden in een ticketsysteem. Hierdoor is het inzichtelijk welke incidenten hebben plaatsgevonden en hoe hieraan opvolging is gegeven.

Uitvoering beheersingsmaatregelen IT Op verschillende vlakken worden (nog) geen toetsbare beheersingsmaatregelen uitgevoerd binnen uw organisatie. Denk aan:  Procedure voor wijzigingsbeheer t.b.v. de gebruikersorganisatie/applicaties (zie ook punt ‘Wijzigingsbeheer’);  Periodieke controle op actieve gebruikers;  Periodieke controle op inrichting van het wachtwoordbeleid;  Procedure voor het gestructureerd toekennen, wijzigen en ontnemen van rechten op basis van functieprofielen;  Periodieke controle op inrichting van rechten in het systeem conform beleid (middels functieautorisatie matrix). Deze procedures en daaruit volgende controlemaatregelen zorgen ervoor dat uw organisatie grip houdt op de IT-omgeving en faciliteren dat de randvoorwaarden, die de effectiviteit van ingerichte beheersingsmaatregelen beïnvloeden, van voldoende niveau zijn. Wij adviseren u om de bovenstaande procedures in te richten en (toetsbaar) periodiek te beheersen in de organisatie.

23

4. IT-ontwikkelingen

24

Gegevensconversie Key2Financiën Uw organisatie is bij aanvang van dit boekjaar overgegaan van Civision Middelen naar Key2Fininanciën. Vaak is het zo dat nieuwe bedrijfssoftware de oudere software volledig vervangt. Daarbij wordt dan ook de data volledig overgezet naar het nieuwe systeem. Voor uw organisatie wordt de historische data niet overgezet, enkel de financiële eindsituatie is overgezet. Wel zijn bepaalde stamgegevens (bijvoorbeeld crediteuren) overgezet. Het is voor de betrouwbaarheid van de gegevensverwerking en daarmee voor de accountantscontrole van belang dat deze dataconversie juist, tijdig en volledig plaats vindt.

Borgen en aantonen betrouwbaarheid In het kader van de controle over het boekjaar 2022 is het van belang dat uw organisatie kan aantonen dat de conversie van data juist, tijdig en volledig is uitgevoerd. Ten aanzien van de dataconversie verwachten wij dat de volgende punten inzichtelijk zijn: − Projectaanpak ten aanzien van de uitgevoerde conversie; − Uitgevoerde proefconversies, eventuele bevindingen en opvolging hiervan; − Finale conversie. Ten aanzien van de finale conversie dient inzichtelijk te zijn dat alle data die geconverteerd worden juist, tijdig en volledig in Key2Financiën terecht zijn gekomen. Dit kan inzichtelijk worden gemaakt door aansluitingen te maken tussen Civision Middelen en Key2Financiën. Verder is het van belang dat inzichtelijk is welke handmatige schoning van data eventueel heeft plaatsgevonden. Afhandeling en impact incidenten De nazorgfase betreft de fase nadat de conversie is uitgevoerd en uw organisatie de nieuwe applicatie in gebruik heeft genomen. Tijdens conversie en nazorgfase kunnen zich incidenten voordoen die impact hebben op de betrouwbaarheid van de gegevensverwerking. Derhalve is het belangrijk dat incidenten worden vastgelegd en dat de afhandeling van incidenten inzichtelijk wordt gemaakt, zodat kan worden vastgesteld wat de impact is op de betrouwbaarheid van de gegevensverwerking en de controle over het boekjaar 2022.

Gewenste informatie ten aanzien van uitgevoerde dataconversie. In het kader van de jaarrekeningcontrole is het noodzakelijk dat ten aanzien de juistheid en volledigheid van gemigreerde data kan worden vastgesteld: − Eindbalans in het oude systeem (op rekeningniveau) is gelijk aan de beginbalans (op rekeningniveau) in het nieuwe systeem; − De boekwaarde (en splitsing naar aanschafwaarde en cumulatieve afschrijvingen) van de materiële vaste activa dient gelijk te zijn in beide systemen; − De afschrijvingstermijn (economische levensduur) dient gelijk te zijn in beide systemen; − De debiteurensubadministratie in het oude systeem is gelijk aan de debiteurensubadministratie in het nieuwe systeem (incl. factuurdetails zoals factuurdatum en uiterste betaaldatum; − De crediteurensubadministratie in oude systeem is gelijk aan de crediteurensubadministratie in het nieuwe systeem (incl. factuurdetails zoals factuurdatum en uiterste betaaldatum; − Crediteurenstamgegevens (incl. bankrekeningnummers) van het nieuwe systeem gemigreerde crediteuren dienen gelijk te zijn aan de crediteurenstamgegevens (incl. bankrekeningnummers) van deze crediteuren in het oude systeem. Bij de interim-controle hebben wij een eerste inventarisatie gemaakt van de aanwezige documentatie bij gemeente Nunspeet. De werkzaamheden in het kader van de beginbalans zullen naar verwachting in januari 2023 afgerond worden.

25

Bijlage: Actualiteiten 26

Overige onderwerpen Overige aandachtspunten De commissie BBV (Besluit Begroting en Verantwoording) heeft gedurende 2022 geen nieuwe notities uitgebracht. Wel zijn er een aantal “vraag en antwoord” verschenen welke relevant kunnen zijn bij het opstellen van de jaarrekening 2022. We adviseren u hiervan kennis te nemen en indien noodzakelijk rekening mee te houden bij het opstellen van de jaarrekening 2022.

Voorziening verlofsparen

Medewerkers kunnen vanaf 1 januari 2022 bovenwettelijke vakantie-uren sparen. Met dit 'verlofsparen' kunnen medewerkers passend bij hun levensfase hun bovenwettelijke vakantie-uren inzetten op een manier die aansluit bij hun persoonlijke levens- en carrièreplanning en het gemeentelijke vitaliteitsbeeld. Deze vakantie-uren verjaren niet. Dit kan gaan leiden tot verlofstuwmeren die bijvoorbeeld ingezet gaan worden om eerder met pensioen te gaan. Aangezien er bij verlofsparen sprake is van arbeidskosten gerelateerde verplichtingen die een niet voorspelbare opbouw en daarmee ook onvoorspelbare afbouw kennen, dient hier een voorziening voor gevormd te worden.

Tijdelijke woningen in grondexploitaties

Indien een gemeente besluit om tijdelijke woningbouw te realiseren binnen een (langlopende) grondexploitatie dan is het toegestaan om de gronden waar de tijdelijke woningen op gerealiseerd zijn onderdeel te laten blijven van de grondexploitatie. De voorwaarde die natuurlijk wel van toepassing is dat de grond eigendom is van de gemeente. Tevens worden ook de lasten en baten samenhangend met de tijdelijke invulling van de gronden onderdeel van de grondexploitatiebegroting.

Vaststellen normenkader

Met ingang van het boekjaar 2023 is het niet langer toegestaan om het normenkader ter kennisgeving aan de raad te verstrekken, maar dient het normenkader jaarlijks expliciet door de gemeenteraad vastgesteld te worden.

Verkoop van woningen via de KoopGarant-regeling

De Commissie BBV heeft vragen ontvangen over de administratieve verwerking van de verkoop van woningen via de zogenaamde KoopGarant-regeling. Landelijk zijn er meerdere aanbieders van deze regelingen. Ter illustratie voor de verwerking en de aandachtspunten heeft de commissie een specifieke casus beschreven om zo gemeenten een handvat te bieden bij de (financiële) uitwerking van de regeling ten behoeve van hun eigen situatie. De commissie wijst erop dat elke casus zijn eigen specifieke afspraken kent en dat de uitwerking daarom niet onverkort toegepast kan worden op elke regeling met ‘KoopGarant’ kenmerken. Wij adviseren u, indien u een KoopGarantregeling heeft, de unieke kenmerken van deze regeling en de (financiële) uitwerking vroegtijdig af te stemmen met het controleteam.

Reservering accountantskosten

De commissie BBV stelt in haar beantwoording dat voor de kostenverantwoording ook voor de accountantskosten aangesloten moet worden op het moment van prestatielevering. Lasten worden verantwoord in het jaar dat de prestatie wordt geleverd, aldus de commissie BBV. De contractuele verplichting ontstaat weliswaar in jaar T, maar die wordt niet verantwoord in de rekening van baten en lasten van jaar T (eventueel wel vermelden bij de niet uit de balans blijkende verplichting). Dit impliceert derhalve dat voor de kosten en uren die de accountant voor de jaarrekening 2022 in 2023 maakt deze in het begrotingsjaar 2023 dienen te worden verantwoord.

27

Overige onderwerpen Overige aandachtspunten De commissie BBV (Besluit Begroting en Verantwoording) heeft gedurende 2022 geen nieuwe notities uitgebracht. Wel zijn er een aantal “vraag en antwoord” verschenen, welke relevant kunnen zijn bij het opstellen van de jaarrekening 2022. We adviseren u hiervan kennis te nemen en indien noodzakelijk rekening mee te houden bij het opstellen van de jaarrekening 2022.

Afschrijvingsduur van een bijdrage aan activa in eigendom van derden

Artikel 64 lid 6 van het BBV bepaalt dat voor deze bijdragen aan de activa in eigendom van derden, bedoeld in artikel 34, onderdeel c, de afschrijvingsduur maximaal gelijk is aan die van de activa waarvoor de bijdrage aan derden wordt verstrekt. In de vraag in hoeverre een bijdrage van de provincie dan wel de gemeente ten behoeve van een actief van het Rijk geactiveerd kan worden, geeft de commissie BBV het antwoord dat dergelijke bijdragen direct ten laste van de exploitatie dienen te worden genomen. Dit is gelegen in het feit dat het Rijk het kasstelsel hanteert en investeringen derhalve niet activeert.

Wet Open overheid

In artikel 3.5 (Openbaarheidsparagraaf) van de Wet Open overheid (Woo) wordt voorgeschreven dat bestuursorganen in de jaarlijkse begroting aandacht besteden aan de beleidsvoornemens inzake de uitvoering van deze wet en in de jaarlijkse verantwoording verslag doen van de uitvoering ervan, mede in relatie tot de beleidsvoornemens. Deze begroting en jaarlijkse verantwoording vloeien voort uit het Besluit Begroting en Verantwoording (BBV).

Notitie paragraaf bedrijfsvoering

Zoals vorig jaar reeds benoemd heeft de commissie BBV de notitie Paragraaf Bedrijfsvoering aangepast. Wij willen u erop wijzen om de stellige uitspraken en aanbevelingen hieruit over te nemen in de paragraaf zoals opgenomen in het jaarverslag.

28

Overige onderwerpen Overige aandachtspunten SPUK Oekraïne

SPUK Oekraïne

Vanwege de komst van vele ontheemden uit Oekraïne naar Nederland, is sinds maart 2022 de noodzaak ontstaan om binnen een korte termijn voldoende opvangplekken te creëren. De toestroom van ontheemden uit Oekraïne was dermate hoog dat Nederland niet in staat is om binnen de bestaande structuren opvang te bieden. Om die reden heeft het kabinet in het Veiligheidsberaad van 7 maart 2022 de opdracht gegeven aan de voorzitters van de veiligheidsregio’s om samen met gemeenten opvanglocaties te realiseren en te exploiteren voor 50.000 of meer opvangplekken. In de brief aan de Tweede Kamer van 8 maart 2022 heeft het kabinet toegezegd dat de kosten, die worden gemaakt vanwege de realisatie en exploitatie van deze opvang, van rijkswege worden vergoed. De Bekostigingsregeling opvang ontheemden Oekraïne is de uitwerking van die toezegging ten aanzien van gemeenten. De regeling is ingegaan op 4 juni 2022 en zal worden verlengd per 15 oktober 2022. De regeling voorziet in het verstrekken van een specifieke uitkering aan gemeenten voor het vergoeden van de kosten die zijn gemaakt ten behoeve van het realiseren en exploiteren van de opvang en verstrekkingen aan ontheemden uit Oekraïne in de Gemeentelijke Opvang Oekraïne (GOO) en de Particuliere Opvang Oekraïne (POO).

In de uitwerking van de regeling wordt onderscheid gemaakt in kosten tot het moment van ingang van de regeling (dus tot en met 3 juni 2022) de eerste fase (4 juni 2022 tot en met 14 oktober 2022) en de tweede fase (15 oktober ev.) waarbij de verantwoording per SiSa hierop zal aansluiten. Het is van belang in uw registratie van de kosten duidelijk onderscheid te maken tussen de verschillende perioden waarbij de periode waarop de gemaakte kosten betrekking hebben leidend is en niet de factuurdatum. Daarnaast zal de SiSa bijlage naar verwachting ook vragen om het cumulatief van het aantal beschikbare bedden per dag. Wij adviseren u om uw registratie daarop te controleren.