St. t.k.n. nr. 3. Bijlage Gemeente Nunspeet, definitieve management letter boekjaar 2025
Tekst van het document
Management letter Gemeente Nunspeet Boekjaar 2025
Aanbiedingsbrief Aan het college van burgemeester en wethouders van de gemeente Nunspeet Postbus 79 8070 AB NUNSPEET Onderwerp: Management letter 2025 Datum: 23 januari 2026
Geacht college, Als onderdeel van de jaarrekeningcontrole van boekjaar 2025 van de gemeente Nunspeet rapporteren wij u onze bevindingen uit de interimcontrole. In deze management letter rapporteren wij de bevindingen naar aanleiding van onze controle, de belangrijkste risico’s, ons beeld van de interne beheersing, relevante ontwikkelingen in wet- en regelgeving en indien van toepassing andere veranderingen die voor u relevant kunnen zijn. De bevindingen komen voort uit onze werkzaamheden in het kader van de jaarrekeningcontrole en zijn opgenomen voor zover wij het van belang achten om deze met u te communiceren. De bevindingen en aanbevelingen dienen te worden gelezen als constructieve aanwijzingen voor het college als onderdeel van een continue proces van het veranderen en verbeteren van de beheersing van de organisatie. Deze management letter is door ons opgesteld voor uw informatie en mag niet zonder onze uitdrukkelijke toestemming geheel of gedeeltelijk aan derden ter beschikking worden gesteld. Wij danken u en uw medewerkers voor de samenwerking en zijn graag bereid tot het verstrekken van nadere toelichting. Met vriendelijke groet, Baker Tilly (Netherlands) B.V.
drs. E.H.J.D. Damman RA
2
Inhoud 1. Management samenvatting 2. Kwaliteit interne beheersing & IT 3. Voorbereiding jaarrekeningcontrole 4. Actualiteiten 5. Bijlagen
3
1. Management samenvatting
4
1. Management samenvatting Algemene conclusie over interne beheersing Bij gemeente Nunspeet is sprake van een goede interne beheersing, passend bij de omvang van de organisatie. Ook in 2025 zien wij een verdere doorontwikkeling in processen, met name op het gebied van de subsidieverstrekkingen. Een punt van aandacht is wat ons betreft het inkoopproces (aangaan van contracten). In 2024 is een nieuwe spendtool in gebruik genomen om grip te houden op de inkopen. Echter is deze spendtool nog niet volledig in gebruik en dient deze nog gebruiksvriendelijk te worden gemaakt. Wij adviseren om de spendtool verder te implementeren binnen het inkoopteam. Hiermee wordt het risico op onjuiste inkoopprocedures verder beperkt.
Actuele ontwikkelingen Vanuit het oogpunt van onze natuurlijke adviesfunctie hebben wij in deze management letter een hoofdstuk opgenomen met actuele ontwikkelingen. Wij vragen u hiervan kennis te nemen en hier indien noodzakelijk rekening mee te houden bij het opstellen van de jaarrekening 2025.
Rechtmatigheidsverantwoording De wet- en regelgeving aangaande de rechtmatigheidsverantwoording is in april 2025 definitief geworden. Belangrijk is dat de goedkeuringstolerantie (materialiteit) voor zowel de controle van de accountant als de rechtmatigheidsverantwoording wijzigt. De goedkeuringstolerantie voor totaal van fouten en onzekerheden bedraagt nu 2% van de totale lasten exclusief dotaties aan de reserves. Gemeente Nunspeet heeft deze aanpassingen doorgevoerd in het controleprotocol en in het normenkader. Vaststelling door de raad heeft plaatsgevonden op 30 oktober 2025.
Aandachtspunten jaarrekeningcontrole In 2025 is de gemeente Nunspeet overgegaan naar een nieuw platform van het salarispakket van dezelfde leverancier. Door een moeizame overgang zijn de loonjournaalposten vanaf maart 2025 nog niet geboekt en zijn er veel handmatige (extra) controles uitgevoerd. De gemeente heeft besloten om per 1 januari 2026 over te stappen een nieuw salarispakket van een andere leverancier. De overeenkomst met de oude leverancier eindigt op 28 februari 2026.
5
Management samenvatting
Kwaliteit interne beheersing & IT
2. Kwaliteit interne beheersing & IT Dit hoofdstuk bevat onze bevindingen ten aanzien van de interne beheersing (inclusief de IT-omgeving). Vanuit onze natuurlijke adviesfunctie willen wij bijdragen aan verbetering van uw bedrijfsvoering, onder andere door het analyseren van de IT-omgeving en de bedrijfsprocessen. Onze observaties en aanbevelingen koppelen we in dit hoofdstuk aan de gemeente terug.
Voorbereiding jaarrekeningcontrole
Actualiteiten
Bijlagen
6
Management samenvatting
2. Kwaliteit interne beheersing & IT 2.1 Algemeen beeld
Kwaliteit interne beheersing & IT
Voorbereiding jaarrekeningcontrole
Onderwerp
Omschrijving
Overkoepelend beeld van de interne beheersing
Bij gemeente Nunspeet is sprake van een goede interne beheersing, passend bij de omvang van de organisatie. Uit de gesprekken die wij bij de interim-controle hebben gehad, merken wij dat er bewustzijn is van het belang van een goede interne beheersing. Ook in 2025 zien wij een verdere doorontwikkeling in processen, met name op het gebied van de subsidieverstrekkingen. De gemeente heeft binnen het zaaksysteem een subsidieregister ingericht en de verwachting is dat vanaf boekjaar 2026 alle subsidieaanvragen en –vaststellingen in het subsidieregister worden opgenomen. Hierdoor komt er een centraal overzicht van welke subsidieaanvragen binnenkomen en wat de status hiervan is. Een punt van aandacht is wat ons betreft het inkoopproces (aangaan van contracten). In 2024 is een nieuwe spendtool in gebruik genomen om grip te houden op de inkopen. Echter is deze spendtool nog niet volledig in gebruik en dient deze nog gebruiksvriendelijk te worden gemaakt. Wij adviseren om de spendtool verder te implementeren binnen het inkoopteam. Hiermee wordt het risico op onjuiste inkoopprocedures verder beperkt. Verder hebben wij de beheersing van uw IT-omgeving onderzocht. Op basis van onze werkzaamheden hebben wij een inschatting gemaakt van de kwaliteit van de IT-omgeving.
We hebben een aantal adviespunten geformuleerd op basis van onze bevindingen, die voornamelijk toezien op het uitvoeren en vastleggen van periodieke controles (bijvoorbeeld op het gebied van wachtwoordinstellingen, gebruikersrechten en wijzigingsbeheer).
Actualiteiten
Bijlagen
7
Management samenvatting
2. Kwaliteit interne beheersing & IT 2.2 Kernpunten in de controle
Kwaliteit interne beheersing & IT
Onze risicoanalyse richt zich op een betrouwbare totstandkoming van de jaarrekening. Dit betekent dat wij niet alle risico’s die voor u als gemeente relevant zijn in onze controle meenemen. De risicoanalyse is een continue proces en stellen wij gedurende de controle indien nodig bij. De belangrijkste bij uw gemeente onderkende risico’s / kernpunten in de controle zijn:
Voorbereiding jaarrekeningcontrole
•
De rechtmatigheidsverantwoording;
•
Waardering van de grondexploitaties;
•
Prestatielevering inkopen;
•
Corruptierisico ten aanzien van inkoopcontracten met het risico op belangenverstrengeling en kickbacks;
•
Risico dat het management van de gemeente de procesafspraken doorbreekt, hetgeen een standaard risico is vanuit onze beroepsregels.
In ons accountantsverslag rapporteren wij naar aanleiding van de jaarrekeningcontrole over bovenstaande punten. Actualiteiten
Bijlagen
8
Management samenvatting
2. Kwaliteit interne beheersing & IT 2.3 Follow-up bevindingen voorgaande jaren
Kwaliteit interne beheersing
Onderstaande tabel geeft een overzicht van onze waarneming en de geconstateerde follow-up van de bevindingen en daarbij horende aanbevelingen uit de management letter van 2024 (en eerder). De kleur van het symbool geeft de status van de constatering aan. #
Bevinding en aanbeveling
Waarneming en follow-up
1 Auditplan
Betalingen – Bevoegdheden betalingen Rabobank (2023) Geconstateerd dat door een enkele gebruiker wijzigingen in de bevoegdheden in het bankpakket kunnen worden doorgevoerd zonder verdere autorisatie. Hierdoor is sprake van een verhoogd risico op het bewust of onbewust doorvoeren van onjuiste wijzigingen in de bankbevoegdheden.
De bevoegdhedenstructuur is aangepast, waarbij de beheerders akkoord moeten hebben van een tweede beheerder bij het doorvoeren van wijzigingen. Omdat de aanpassing pas later in 2025 is doorgevoerd, dienen wij voor de jaarrekeningcontrole nog wel een aanvullende analyse uit te voeren om vast te stellen of er zelfstandige betalingen (zonder autorisatie door een tweede medewerker) hebben plaatsgevonden. Indien noodzakelijk, zullen hier aanvullende controles op worden uitgevoerd.
2
Actualiteiten
Subsidies – Niet naleven van de termijnen uit de Algemene Subsidieverordening (2022) Toekenningen (beschikkingen) van subsidies worden niet altijd tijdig verstuurd of subsidies worden niet binnen de gestelde termijnen vastgesteld. Het niet naleven van de gestelde termijnen in de subsidieverordening kan tot onduidelijkheid leiden bij de subsidieontvangers en bovendien leidt dit tot niet-financiële onrechtmatigheden.
Uit onze interim-controle 2025 is gebleken dat in het boekjaar extra aandacht is besteed aan de toetsing en rapportering in het proces van het verstrekken van subsidies. De gemeente heeft binnen het zaaksysteem een subsidieregister ingericht. De verwachting is dat vanaf boekjaar 2026 alle subsidieaanvragen en –vaststellingen in het subsidieregister worden opgenomen. Hierdoor komt er een centraal overzicht van welke subsidieaanvragen binnenkomen en wat de status hiervan is.
Bijlagen
Opgelost
Actie ondernomen, maar nog niet afgerond
Geen actie ondernomen
Status
Nieuwe bevinding
9
Management samenvatting
2. Kwaliteit interne beheersing & IT 2.3 Follow-up bevindingen voorgaande jaren
Kwaliteit interne beheersing
Auditplan
Onderstaande tabel geeft een overzicht van onze waarneming en de geconstateerde follow-up van de bevindingen en daarbij horende aanbevelingen uit de management letter van 2024 (en eerder). De kleur van het symbool geeft de status van de constatering aan. #
Bevinding en aanbeveling
Waarneming en follow-up
Status
3
Inkopen – Inschakelen inkoopcoördinator (2017) Bij de inkoop van diensten boven de € 40.000 en voor werken boven de € 90.000 wordt door de gemeente gebruik gemaakt van een inkoopformulier dat dient als hulpmiddel voor het kiezen van de juiste aanbestedingsvorm. Er zijn echter geen controles ingebouwd die waarborgen dat dit ook gebeurt en bovendien vindt geen zichtbare controle plaats op het kiezen van de juiste aanbestedingsvorm. De inkoopcoördinator heeft bij het toepassen van het inkoopbeleid en uitvoering inkoopproces een ondersteunende rol.
In 2024 is een nieuwe Spendtool in gebruik genomen om grip te houden op de inkopen. Echter is deze spendtool nog niet volledig in gebruik en dient deze nog gebruiksvriendelijk te worden gemaakt. Wij adviseren om de spendtool verder te implementeren binnen het inkoopteam. Hiermee wordt het risico op onjuiste inkoopprocedures beperkt.
Actualiteiten
Bijlagen
Opgelost
Actie ondernomen, maar nog niet afgerond
Geen actie ondernomen
Nieuwe bevinding
10
Management samenvatting
2. Kwaliteit interne beheersing & IT 2.3 Follow-up bevindingen voorgaande jaren Applicatie
Toegangsbeveiliging
Kwaliteit interne beheersing & IT
Authenticatie
Netwerk
Wijzigingsbeheer
Continuïteit
Belangrijkste bevindingen en gevolgen voor de controle
Autorisatie Authenticatie Wij hebben vastgesteld dat er geen sprake is van een periodieke controle op wachtwoordinstellingen en langdurig ongewijzigde wachtwoorden per gebruiker.
N.v.t.
Autorisatie - Wij hebben vernomen dat er geen sprake is van een beschreven opzet voor de inrichting van rechten/rollen; - Wij hebben geconstateerd dat er geen sprake is van een reproduceerbare controle op autorisaties.
Voorbereiding jaarrekeningcontrole
Key2Financiën
N.v.t.
Actualiteiten
Autorisatie Hoge rechten zijn belegd bij niet-onafhankelijke functionarissen. Er is een nieuwe applicatiebeheerder aangesteld om dit probleem op te lossen. Verder ontbreekt een zichtbare periodieke controle op rollen en rechten. Wijzigingsbeheer Wij hebben beperkingen in het wijzigingsbeheerproces aangetroffen, onder andere: - Niet aantoonbaar risico- en impactanalyse uitgevoerd; - Geen zichtbare testen uitgevoerd.
Bijlagen
Opgelost
Actie ondernomen, maar nog niet afgerond
Geen actie ondernomen
Nieuwe bevinding
11
Management samenvatting
2. Kwaliteit interne beheersing & IT 2.4 Frauderisicoanalyse
Kwaliteit interne beheersing & IT
Voorbereiding jaarrekeningcontrole
De primaire verantwoordelijkheid voor het voorkomen en detecteren van fraude (waaronder corruptie) berust bij het college van burgemeester en wethouders. Deze verantwoordelijkheid betreft ook het onderhouden van een zodanige interne beheersing om het opmaken van de jaarrekening mogelijk te maken zonder dat deze afwijkingen van materieel belang bevat als gevolg van fraude of fouten. Op basis van onze uitgevoerde interim-controle stellen wij vast dat er binnen de gemeente aandacht is voor frauderisico’s en de preventie daarvan. Uw organisatie heeft in 2024 een update uitgevoerd op de Frauderisico inventarisatie. Het doel van deze Frauderisicoanalyse is om te voorkomen dat in de interne beheersing van de organisatie kwetsbare onderdelen onopgemerkt blijven. In januari 2026 zal nog een update van de frauderisicoanalyse en rapportage hierover gaan plaatsvinden. Hier hebben wij derhalve nog geen kennis van kunnen nemen. Wij adviseren om in deze frauderisicoanalyse concreter te evalueren of er nog restrisico’s bestaan die niet door de interne beheersingsmaatregelen worden ondervangen, hoe de gemeente deze restrisico’s ondervangt of dat deze worden geaccepteerd. Daarnaast adviseren wij u om vervolgens ook breder het gesprek aan te gaan binnen de gemeente, om de bewustwording verder te vergroten.
Voor het boekjaar 2025 delen wij onze observaties en aanbevelingen aan de hand van 6 punten. 1. Er is een integrale frauderisicoanalyse opgesteld waarin het misbruik- en oneigenlijk gebruikbeleid (M&O) en corruptierisico’s expliciet zijn meegenomen. 2. Bij elk onderkend frauderisico is een inschatting gemaakt van de omvang van het risico. De waarschijnlijkheid van optreden en de potentiële impact (financieel, reputatie, juridisch, externe signalen) kunnen nog wat explicieter worden benoemd.
Actualiteiten
3. Er is overzichtelijk vastgelegd welke interne beheersingsmaatregelen reeds zijn getroffen om de geïdentificeerde frauderisico’s te beperken. 4. Wij adviseren de gemeente haar risicobereidheid en wijze van omgaan met frauderisicosignalen te beschrijven in een beleidsnota. 5. Er is expliciete aandacht voor soft controls zoals integriteitscultuur, voorbeeldgedrag, training en bewustwording, open communicatie en ethisch leiderschap als onderdeel van fraudepreventie. 6. De gemeente beschikt over actueel beleid en regelingen ter bevordering van integriteit, waaronder een regeling melden financiële belangen, regeling nevenwerkzaamheden, screeningsbeleid en een integriteitshoofdstuk in het personeelshandboek.
Bijlagen
Voor verbetering vatbaar
Toereikend 12
Management samenvatting
3. Voorbereiding jaarrekeningcontrole
Kwaliteit interne beheersing & IT
Voorbereiding jaarrekeningcontrole
Actualiteiten
Bijlagen
13
Management samenvatting
3. Voorbereiding jaarrekeningcontrole Aanpassing BADO en BBV leidt tot wijziging in o.a. financiële verordening
Kwaliteit interne beheersing & IT
In de aanpassing van BADO op 16 april 2025 is een belangrijke wijziging opgenomen: de maximale goedkeuringstolerantie van 1% voor fouten en 3% voor onzekerheden (dus samen 4%) wijzigt met ingang van het boekjaar 2025 in een maximale goedkeuringstolerantie van 2% voor afwijkingen. Met afwijkingen worden zowel fouten als onzekerheden bedoeld. Daarnaast wijzigt ook de grondslag voor de goedkeuringstolerantie van lasten inclusief toevoegingen aan de reserves naar lasten exclusief toevoegingen aan de reserves.
Voorbereiding jaarrekeningcontrole
Voor de rechtmatigheidsverantwoording geldt dat deze met ingang van 2025 maximaal 2% van de lasten exclusief toevoegingen aan de reserves mag bedragen (in 2023 en 2024 nog maximaal 3% van de lasten inclusief toevoegingen aan de reserves).
Actualiteiten
Gemeente Nunspeet heeft deze aanpassingen doorgevoerd in het controleprotocol en in het normenkader. Vaststelling door de raad heeft plaatsgevonden op 30 oktober 2025.
Gevolgen onzekerheden sociaal domein De hiervoor genoemde aanscherping van de tolerantiegrens naar 2% voor afwijkingen heeft mogelijk gevolgen voor gemeenten waarbij sprake is van een hoge omvang van onzekerheden in het sociaal domein. Onder de nieuwe normering kunnen deze onzekerheden sneller leiden tot een overschrijding van controletoleranties (en de aard van de verklaring raken). Hierbij kan het ook relevant zijn dat in het onlangs door i-Sociaal Domein gepubliceerde controleprotocol Financiële Productieverantwoording Wmo en Jeugdwet 2025 de omzetgrens voor verantwoording en controle is verhoogd van € 125.000 naar € 200.000. Wij adviseren u om voor de WMO na te gaan welke impact dit heeft op basis van de afspraken die gemaakt zijn bij de inkoop van zorg in natura.
Salarisadministratie In 2025 is de gemeente Nunspeet overgegaan naar een nieuw platform van het salarispakket van dezelfde leverancier. Door een moeizame overgang zijn de loonjournaalposten vanaf maart 2025 nog niet geboekt en zijn er veel handmatige (extra) controles uitgevoerd. De gemeente heeft besloten om per 1 januari 2026 over te stappen een nieuw salarispakket van een andere leverancier. De overeenkomst met de oude leverancier eindigt op 28 februari 2026.
Bijlagen
14
Management samenvatting
3. Voorbereiding jaarrekeningcontrole Controleverklaring in aparte paragraaf ‘Overige gegevens’
Kwaliteit interne beheersing & IT
Voorbereiding jaarrekeningcontrole
Met ingang van het boekjaar 2025 is het Besluit Begroting en Verantwoording (BBV) aangepast. Eén van de aanpassingen betreft de plaats van de controleverklaring in de jaarstukken. De controleverklaring van de accountant wordt voortaan opgenomen in het onderdeel ‘Overige gegevens’ van de jaarrekening. Deze paragraaf Overige gegevens moet in de jaarstukken worden opgenomen ná de jaarrekening en dus niet als onderdeel van de jaarrekening. Voor het proces van opstellen, goedkeuren en publiceren van de jaarstukken betekent dit dat de Raad een versie van de jaarstukken goedkeurt waarin de definitieve controleverklaring van de accountant is opgenomen. De publicatie van de jaarstukken op de website omvat voortaan de opgestelde versie inclusief de paragraaf Overige gegevens, met daarin de controleverklaring van de accountant.
Actualiteiten
Notitie grondbeleid (en rente) in jaarstukken In 2023 is de Notitie Grondbeleid van de Commissie BBV geactualiseerd. De wijzigingen in deze notitie hebben met name invloed op de verslaggevingsregels. Deze wijzigingen waren niet verplicht om toe te passen met ingang van het boekjaar 2024, maar zijn met ingang van het boekjaar 2025 wel verplicht geworden. 1. Voor het faciliterend grondbeleid zijn de verhaalsmogelijkheden van kosten uitgebreid. Tevens is de kostensoortenlijst uitgebreid, waardoor ook meer kosten verhaald kunnen worden. 2. De voorwaarden voor warme gronden zijn gewijzigd. Deze voorwaarden gelden met ingang van de nieuwe notitie ook voor bedrijventerreinen. 3. Gemaakte voorbereidingskosten mogen na 5 jaar ook worden voorzien in plaats van te worden afgeboekt. Hierdoor wordt het mogelijk gemaakt om in een later stadium alsnog deze kosten op te voeren. 4. In een gemengde grondexploitatie mag het resultaat gesaldeerd worden indien de deelgebieden in ontwikkeling onlosmakelijk met elkaar verbonden zijn. 5. Winstneming door middel van POC-methode kan alleen plaatsvinden als de looptijd van een grondexploitatie 10 jaar of korter is. 6. Toerekening van rente aan grondexploitaties dient ook conform de gemeentelijke omslagrente plaats te vinden.
Bijlagen
15
Management samenvatting
Kwaliteit interne beheersing & IT
4. Actualiteiten Afgelopen jaar heeft het Rijk enkele wijzigingen op het Besluit Begroting en Verantwoording provincies en gemeenten (BBV) en het Besluit Accountantscontrole Decentrale Overheden (Bado) voorgesteld voor toekomstige jaren. Samenvattend zijn in dit hoofdstuk de belangrijkste voorgestelde wijzigingen opgenomen.
Voorbereiding jaarrekeningcontrole
Actualiteiten
Bijlagen
16
Management samenvatting
Kwaliteit interne beheersing & IT
Voorbereiding jaarrekeningcontrole
Actualiteiten
4. Actualiteiten Wethouderspensioen
Notitie structurele en incidentele baten en lasten
De nieuwe pensioenwet geldt vanaf 1 juli 2023, maar niet voor politieke ambtsdragers zoals wethouders. Zij vallen onder de aparte Appa-regeling, die zoveel mogelijk aansluit bij de ABP-regeling voor overheidswerknemers. Sinds juli 2022 zijn de verschillen tussen Appa en ABP grotendeels gelijkgetrokken. Gemeenten betalen nu nog pensioenen rechtstreeks, maar het is de bedoeling dat deze pensioenen via een collectieve waardeoverdracht worden ondergebracht bij het ABP. Hierdoor vervalt ook de pensioenvoorziening voor wethouders op de gemeentelijke balans.
De Commissie BBV heeft eind 2024 een vernieuwde notitie gepubliceerd over hoe gemeenten moeten omgaan met structurele en incidentele baten en lasten. Deze notitie geeft extra uitleg en nieuwe afspraken, vooral over het gebruik van geld uit de algemene reserve.
Gemeenten hebben de mogelijkheid om mee te doen aan onderzoek uitgevoerd door Montae & Partners naar de verwachte overdrachtswaarde van de APPA-pensioenen naar het ABP per 1 januari 2028. Er hebben 240 gemeenten meegedaan aan het onderzoek, waaronder ook de gemeente Nunspeet. Ook bij gemeente Nunspeet is de uitkomst van het onderzoek dat de omvang van de huidige voorziening lager is dan de uitgevoerde berekening in het onderzoek. De Commissie BBV heeft op 3 december een stellige uitspraak gedaan dat bij de verantwoording over begrotingsjaar 2025 de hoogte van de voorziening en eventueel aanwezige kapitaalverzekeringen per 31 december 2025 gelijk gesteld moeten worden aan de prognose op basis van het uitgevoerde onderzoek en daarbij wel rekening te houden met de gewijzigde verplichtingen over 2025.
Belangrijkste wijziging: inzet van de algemene reserve Vanaf begrotingsjaar 2025 is het toegestaan voor gemeenten om maximaal 10% van het overschot (surplus) van de algemene reserve te gebruiken om structurele uitgaven te betalen. Dit mag alleen als: • De solvabiliteit (de verhouding tussen eigen vermogen en totaal vermogen) minimaal 20% is en blijft; • Er een goede risico-inventarisatie is gemaakt; • Het weerstandsvermogen voldoende is om de risico’s op te vangen. Wat moeten gemeenten doen? • Zorg voor een duidelijke begroting. Laat in de begroting en de jaarrekening zien of er sprake is van een structureel evenwicht. Gebruik hiervoor het voorbeeld uit de notitie; • Maak onderscheid tussen incidenteel en structureel. Neem in de financiële verordening een grensbedrag op: vanaf welk bedrag moeten incidentele lasten en baten apart worden toegelicht? Licht deze incidentele baten en lasten toe in de jaarrekening. Dit zorgt voor duidelijkheid en consistentie; • Controleer het weerstandsvermogen. Zorg dat het weerstandsvermogen groot genoeg is om de geïnventariseerde risico’s te kunnen opvangen.
Bijlagen
17
Management samenvatting
4. Actualiteiten Notitie verbonden partijen Op 24 juni 2025 heeft commissie BBV de aangepaste Notitie Verbonden partijen gepubliceerd. Wijzigingen volgen met name uit de per 1 juli 2022 aangepaste Wet gemeenschappelijke regelingen (Wgr). De belangrijkste wijzigingen die in de notitie verder worden uitgewerkt zijn:
Kwaliteit interne beheersing & IT
Voorbereiding jaarrekeningcontrole
Actualiteiten
Versterking van de positie van gemeenteraden • Zienswijze indienen: Gemeenteraden krijgen meer invloed én verantwoordelijkheid doordat ze zienswijzen mogen indienen bij belangrijke besluiten zoals de begroting, jaarrekening en beleidsnota’s.
Introductie van aanvullende controle-instrumenten raad • Recht van enquête: Recht om onderzoek te doen naar mogelijke misstanden binnen een GR. Dit omvat het recht van enquête.
• Adviescommissie: De mogelijkheid om een gemeenschappelijke adviescommissie in te stellen, die gemeenteraden ondersteunt in hun taak, is geïntroduceerd.
• Onderzoek door rekenkamers: Rekenkamers kunnen o.a. onderzoek doen naar het gevoerde bestuur van een GR. Omdat meerdere gemeenten en rekenkamers betrokken zijn bij GR's, worden audits waarschijnlijk vaker en grondiger uitgevoerd.
• Informatieplicht: Colleges van burgemeester en wethouders moeten proactief de gemeenteraden op de hoogte houden van relevante ontwikkelingen binnen de GR’s.
• Evaluatie van de regeling: Gemeenteraden kunnen nu afspraken maken over de frequentie en focus van evaluaties van de GR.
Verbetering van governance-structuren • Uittreding uit een regeling: Het maken van duidelijke afspraken over de gevolgen voor het vermogen van de rechtspersoon bij uittreding uit een GR. Dit omvat zaken als personeel, contracten, huisvesting en investeringen. • Begrotingscyclus: De termijnen voor de indiening van de kadernota, de ontwerpbegroting en de begroting zijn aangepast om een betere afstemming op de besluitvorming van de gemeenteraad te waarborgen.
Bijlagen
18
Management samenvatting
Kwaliteit interne beheersing & IT
Voorbereiding jaarrekeningcontrole
4. Actualiteiten NIS2 / Cyberbeveiligingswet
Aandachtspunten cyberbeveiligingswet
De Cyberbeveiligingswet (Cbw), die de Europese NIS2richtlijn implementeert, is op 17 juni 2025 ingediend bij de Tweede Kamer. De beoogde inwerkingtreding is het tweede kwartaal van 2026. De wet heeft als doel de digitale weerbaarheid van vitale en essentiële organisaties te versterken, waaronder gemeenten. Gemeenten gaan rechtstreeks onder de Cbw vallen, omdat ze worden aangemerkt als essentiële overheidsentiteiten.
De wet introduceert de volgende verplichtingen voor gemeenten:
Hoewel de wet nog niet van kracht is, hebben sommige bepalingen uit de NIS2-richtlijn al directe werking. Wij adviseren de gemeente om vooruitlopend op de inwerkingtreding al te starten met de implementatie van de Cyberbeveiligingswet.
1. Zorgplicht: gemeenten moeten passende technische en organisatorische maatregelen nemen om hun netwerk- en informatiesystemen te beveiligen. De BIO2-normering biedt hiervoor de beoogde uitwerking. 2. Meldplicht: Ernstige cyberincidenten moeten worden gemeld aan nog nader te bepalen bevoegde instanties (bijvoorbeeld Rijkinspectie Digitale Infrastructuur (RDI), het CSIRT en de Informatiebeveiligingsdienst (IBD)). 3. Bestuurlijke verantwoordelijkheid: Burgemeesters en wethouders zijn persoonlijk verantwoordelijk voor naleving. Zij moeten een verplichte training informatiebeveiliging volgen. Bij nalatigheid kunnen boetes oplopen tot € 10 miljoen voor de organisatie en € 25.000 voor individuele bestuurders. Concrete stappen die al gezet kunnen worden: Voer een NIS2 GAP-analyse uit om inzicht te krijgen in de huidige volwassenheid van de informatiebeveiliging.
Actualiteiten
• Werk daarbij volgens de Baseline Informatiebeveiliging Overheid (BIO 2.0), die als normenkader voor de Cbw zal dienen; • Implementeer een Information Security Management System (ISMS) om structureel risico’s te beheersen en compliance te borgen; • Start met bewustwording en training van bestuurders, zodat zij hun rol in risicomanagement en besluitvorming effectief kunnen invullen;
Bijlagen
• Leg verantwoording en toezicht vast in de gemeentelijke governance, inclusief betrokkenheid van de gemeenteraad. 19
Management samenvatting
Kwaliteit interne beheersing & IT
5. Bijlagen
Voorbereiding jaarrekeningcontrole
Actualiteiten
Bijlagen
20
Management samenvatting
5. Bijlagen Detailbevindingen interne beheersing – Netwerk
Kwaliteit interne beheersing & IT
Constatering
Autorisatie
Wij hebben geconstateerd dat de wachtwoordeisen van voldoende niveau zijn. Er zijn 19 accounts waarmee in 2025 is ingelogd, waarvan het wachtwoord langer dan 365 dagen niet is gewijzigd. Deze worden verklaard (omdat dit service accounts zijn), met uitzondering van twee persoonsgebonden accounts.
Hoge rechten binnen de Windows Active Directory zijn belegd bij onafhankelijke functionarissen in het kader van de jaarrekeningcontrole, namelijk gebruikers met een IT-functie binnen de organisatie. Er is geen sprake van een reproduceerbare controle op autorisaties / inrichting van rechten en rollen.
Er wordt een periodieke controle uitgevoerd op actieve gebruikers. De controle ziet niet toe op onder andere de juiste wachtwoordinstellingen; wie langer dan een jaar niet het wachtwoord heeft gewijzigd; en, wordt bovendien niet volledig gedocumenteerd. Er is sprake van een geaccordeerde policy met daarin de minimale wachtwoordvereisten (SOLL).
Voorbereiding jaarrekeningcontrole
Risico
Door het ontbreken van een zichtbare periodieke controle op actieve gebruikers bestaat het risico dat uitzonderingen op het wachtwoordbeleid niet tijdig worden geïdentificeerd en adequaat worden opgevolgd. Eventuele uitzonderingen vormen een verhoogd risico op ongeautoriseerde toegang tot de applicaties waarbij Single Sign-On (verder: SSO) is geactiveerd, zoals Key2Financiën.
Door het ontbreken van een zichtbare periodieke controle op rechten en rollen binnen het netwerk bestaat het risico dat ongeautoriseerde toegang onopgemerkt blijft.
Aanbeveling
Wij adviseren u om de wachtwoordinstellingen van de Windows Active Directory periodiek te controleren (IST) aan de hand van geaccordeerde minimale wachtwoordinstellingen (SOLL).
Wij adviseren u om de inrichting van rollen en rechten op het Windows Active Directory periodiek te controleren (IST) aan de hand van een geaccordeerde functie-autorisatiematrix (SOLL).
Gevolgen voor de jaarrekening-controle
De beperkingen kunnen leiden tot ongeautoriseerde toegang tot het netwerk en mogelijk het financieel systeem, aangezien hier sprake is van SSO. We bepalen de impact per applicatie.
Actualiteiten
Bijlagen
Authenticatie
21
Management samenvatting
5. Bijlagen Detailbevindingen interne beheersing – Toegangsbeveiliging en wijzigingsbeheer K2F
Kwaliteit interne beheersing & IT
Constatering
Authenticatie
Autorisatie
Wijzigingsbeheer
Geen bijzonderheden.
De hoge rechten in de applicatie zijn voor één account niet beperkt tot onafhankelijke functionarissen in het kader van de jaarrekeningcontrole.
Er vindt geen zichtbare vastlegging plaats van de risicoanalyse en de uit te voeren testwerkzaamheden (testplan). De testwerkzaamheden worden niet altijd gedocumenteerd.
De persoonsgebonden accounts op het netwerk hebben geen toegang tot K2F.
Er wordt nog geen zichtbare periodieke controle uitgevoerd op de juiste inrichting van gebruikersrechten aan de hand van een functie-autorisatie matrix (een gewenste SOLL-positie). Deze matrix is ook niet aanwezig. Voorbereiding jaarrekeningcontrole
Risico
N.v.t.
Het risico bestaat dat gewenste functiescheiding binnen de applicatie wordt doorbroken. Gebruikers met hoge rechten kunnen gebruikers aanmaken en rechten en rollen toekennen om zo functiescheiding te omzeilen.
Door het ontbreken van een vastlegging van een risicoanalyse, testplan en testwerkzaamheden, bestaat de kans dat niet alle risicovolle functionaliteiten met de juiste impact worden getest.
Aanbeveling
N.v.t.
Wij adviseren u om hoge rechten te beperken en deze te beleggen bij onafhankelijke functionarissen in het kader van de jaarrekeningcontrole. Daarnaast adviseren wij u om bij het controleren van de autorisaties binnen de applicatie de huidige inrichting van uw gebruikers (IST) te vergelijken met een geaccordeerde functie-autorisatiematrix (SOLL).
Wij raden u aan om een risicoanalyse uit te voeren voor het doorvoeren van wijzigingen, en op basis daarvan een testplan op te stellen van de uit te voeren testwerkzaamheden.
Gevolgen voor de jaarrekeningcontrole
Voor de jaarrekeningcontrole heeft dit tot gevolg dat wij niet op autorisaties in de applicatie kunnen steunen en eventueel aanvullende werkzaamheden dienen uit te voeren. Door het ontbreken van gestructureerd proces omtrent het doorvoeren van wijzigingen hebben wij aanvullende werkzaamheden uitgevoerd. Op basis van deze werkzaamheden zijn geen bevindingen geconstateerd met een impact op de jaarrekeningcontrole tot op heden.
Actualiteiten
Bijlagen
22
Management samenvatting
5. Bijlagen Overige opmerkingen – Continuïteitsmaatregelen en beveiliging Onderstaande onderwerpen volgen over het algemeen vanuit interviews. Hierop zijn door ons over het algemeen geen testwerkzaamheden uitgevoerd om vast te stellen dat de IT-omgeving is ingericht zoals ons voorgesteld is. Dit beperkt de zekerheid die u kunt ontlenen aan de door ons beschreven aandachtspunten indien deze als zodanig zijn geformuleerd.
Kwaliteit interne beheersing & IT
Voorbereiding jaarrekeningcontrole
Onderwerp
Bevinding
Back-up
Er wordt gebruik gemaakt van een VM-ware omgeving, waarbij VEEAM wordt gebruikt voor back-ups.
Recovery
Er is een uitwijk- en recoverytest uitgevoerd.
Uitwijk
De uitwijklocatie is bij de gemeente Elburg ondergebracht, zie hiervoor ook bovenstaand.
Fysieke beveiliging
De eigen servers zijn geplaatst in een afgesloten ruimte die alleen toegankelijk is via tag en toegangscode voor de afdeling automatisering, voorzien van brandmelder, blusinstallatie, vernieuwde UPS (2025), airco’s, monitoring van temperatuur en luchtvochtigheid, periodieke test van de noodaggregaat, waardoor er geen indicaties zijn dat continuïteitsrisico’s voortkomen uit fysieke toegangsbeveiliging.
Cyber
We zijn geïnformeerd dat zich in het boekjaar geen cyberbeveiligingsincidenten hebben voorgedaan die hebben geleid tot een afwijking van materieel belang in de jaarrekeningcontrole van uw organisatie. Onze controlewerkzaamheden zijn niet primair gericht op het doen van uitspraken over cyberbeveiliging en we hebben ook geen instructies van het management in die zin ontvangen voor het uitvoeren van meer diepgaande werkzaamheden.
SaaS applicaties zonder Assurance rapportage.
U maakt gebruik van de “Software as a Service” (verder: SaaS) applicatie Key2Financiën. Omdat dit een SaaS-applicatie is, draait deze niet bij uzelf op het netwerk, en ligt het beheer hiervan voornamelijk bij de leverancier. Omdat er vanuit de leverancier geen Assurance-rapportage wordt verstrekt (een rapportage waarin een onafhankelijke auditor een uitspraak doet om over de interne beheersing van de IT-omgeving waar uw SaaS applicatie op draait), kunnen zowel wij als u geen inzicht verkrijgen in de interne beheersing van de IT-omgeving van uw leverancier. Hierdoor hebben wij nog geen uitspraak kunnen doen omtrent de continuïteitsmaatregelen voor deze SaaS applicatie (K2F). Wij adviseren u dan ook om de voor u belangrijke aspecten van de leverancier periodiek te monitoren.
Actualiteiten
Bijlagen
23
Contact drs. E.H.J.D. (Edwin) Damman RA Partner Audit e.damman@bakertilly.nl P.S. (Peter) Moerbeek MSc RA Senior Manager Audit p.moerbeek@bakertilly.nl
Kantoorgegevens Baker Tilly (Netherlands) B.V. Postbus 508 8000 AM Zwolle T +31 (038) 425 86 00