Document · PDF

Gemeente Oss - ML 2022 def 19-10-2022.PDF

Rekeningcommissie 17 november 2022, gemeente OssBij agendapunt: Managementletter 2022 Baker Tilly8.962 woorden

Open het PDF bij de gemeente ↗Naar de vergadering →

Tekst van het document

Uit het bestand gehaald, zonder opmaak, tabellen en afbeeldingen · deel 1 van 2

Managementletter Gemeente Oss Boekjaar 2022

Geacht college, Aan het college van burgemeester en wethouders van de gemeente Oss Postbus 5 5340 BA Oss ONDERWERP: Managementletter 2022

Als onderdeel van de controle van de jaarrekening 2022 van gemeente Oss hebben wij de administratieve organisatie en de daarin opgenomen maatregelen van interne beheersing beoordeeld, teneinde onze controlewerkzaamheden in overeenstemming met Nederlands recht waaronder de controlestandaarden te kunnen bepalen. De opzet, het bestaan en in voorkomende gevallen de werking van de interne beheersingsmaatregelen van de belangrijkste bedrijfsprocessen, inclusief de geautomatiseerde gegevensverwerking, in uw organisatie zijn beoordeeld en getoetst, zodat we een terugkoppeling kunnen geven over de betrouwbaarheid van de interne informatievoorziening en de jaarrekening. Onze bevindingen zijn gebaseerd op de normale werkzaamheden in het kader van de jaarrekeningcontrole. Deze brief bevat daardoor niet alle onvolkomenheden in uw organisatie, die bij een eventueel uitgebreid en hierop specifiek gericht onderzoek naar voren kunnen komen. Zoals u zult begrijpen, is de managementletter van nature kritisch. Wij rapporteren over de eventuele leemtes of mogelijkheden ter verbetering van de financiële en administratieve processen, de administratieve organisatie daarvan en de daarin opgenomen maatregelen van interne beheersing.

Op uw verzoek geven wij in deze managementletter aan op welke wijze verbeteringen van de administratieve organisatie en de daarin opgenomen maatregelen van interne beheersing kunnen worden gerealiseerd. De aanbevelingen en oplossingsrichtingen zoals beschreven in deze managementletter bieden u handvatten voor deze uitwerking. Wij hebben de concept managementletter toegelicht en besproken met de wethouder financiën en een afvaardiging van de ambtelijke organisatie. Deze managementletter is door ons opgesteld voor uw informatie en mag niet zonder onze uitdrukkelijke toestemming geheel of gedeeltelijk aan derden ter beschikking worden gesteld. Wij danken u en uw medewerkers voor de samenwerking en zijn graag bereid tot het verstrekken van nadere toelichting. Met vriendelijke groet, Baker Tilly (Netherlands) N.V.

drs. B. (Barry) Smeenk RA 2

Inhoudsopgave CONTACT

1. Bestuurlijke samenvatting

drs. B. (Barry) Smeenk RA Eindverantwoordelijk accountant + 31 (0)6 15 59 17 58 b.smeenk@bakertilly.nl

2. Bevindingen en aandachtspunten

3. Bevindingen IT-beheersing

Bijlage 1: Detailbevindingen

Bijlage 2: Actuele ontwikkelingen

drs. R. (Rik) Opendorp RA Partner + 31 (0)6 10 09 04 64 r.opendorp@bakertilly.nl R. (Rianne) van Uden-Olders MSc RA Senior Manager + 31 (0)6 55 22 02 48 r.vanuden@bakertilly.nl

Bestuurlijke samenvatting

19/10/2022

1. Bestuurlijke samenvatting Deze managementletter bevat onze bevindingen die zijn gebaseerd op onze werkzaamheden in het kader van de jaarrekeningcontrole voor het jaar eindigend op 31 december 2022.

Uw interne beheersing is op orde. We hebben geen significante tekortkomingen in uw AO/IC geconstateerd. In deze managementletter geven we u een aantal aanbevelingen mee om de interne beheersing verder te optimaliseren. Ten opzichte van voorgaand jaar constateren we dat met de invoering van het nieuwe financiële pakket de interne beheersing verder is versterkt.

In het kader van onze jaarrekeningcontrole hebben we de interne beheersing rondom uw automatisering onderzocht. Wij hebben in dat kader de netwerkomgeving onderzocht, de financiële applicatie K2F en de applicatie voor het uitkeringsproces Suites. We constateren dat de interne beheersing in redelijke mate op orde is, maar dat er verbetermogelijkheden zijn ten aanzien van logische toegangsbeveiliging en wijzigingsbeheer. In boekjaar 2022 is ten opzichte van voorgaand boekjaar het wachtwoordbeheer verbeterd voor zowel de financiële administratie als voor het sociaal domein.

De hoge inflatie en de energiecrisis hebben voor 2022 een belangrijke invloed op uw gemeente. Niet alleen nemen hierdoor de gemeentelijke uitgaven voor boekjaar 2022 toe, maar ook in het kader van de jaarrekeningcontrole leiden deze ontwikkelingen tot verhoogde aandachtsgebieden. Allereerst op het gebied van de actualisatie van de grondexploitaties. Daarnaast zijn de waardering van vorderingen, de toereikendheid van de onderhoudsvoorzieningen en begrotings- en kredietrechtmatigheid ook belangrijke aandachtspunten hierbij.

1. Bestuurlijke samenvatting Onze samenwerking. De samenwerking met de gemeente Oss verloopt op een effectieve wijze. Naar aanleiding van de evaluatie van de controle over het boekjaar 2021 zijn er goede afspraken gemaakt voor de toekomstige samenwerking. Er is sprake van proactieve communicatie vanuit beide partijen en er zijn duidelijke afspraken, welke worden nagekomen. We constateren wel dat de informatie die verder uit de organisatie moet komen langer op zich laat wachten.

Vanaf 2023 dient het college van burgemeester en wethouders zelfstandig verantwoording af te leggen over de rechtmatigheid. De gemeente ligt in de voorbereiding op schema. We constateren dat ten opzichte van voorgaand jaar er een duidelijker controleplan is ingebed in het pakket Checkpoint. Hierdoor is het college ons inziens voldoende in staat om gestructureerd te komen tot een onderbouwd oordeel met betrekking tot de rechtmatigheid. In deze managementletter zijn vooruitlopend op de invoering van de rechtmatigheidsmededeling een aantal aandachtspunten voor het college in deze managementletter opgenomen.

Vooruitblik richting jaarrekeningcontrole 2022. We hebben met uw gemeente goede afspraken over de planning van de jaarrekeningcontrole gemaakt. Op voorhand identificeren we een aantal aandachtsgebieden met verhoogde aandacht in onze controle. Niet zozeer vanwege het feit dat de gemeente de beheersing hieromtrent niet op orde heeft, maar meer vanwege het feit dat bepaalde gebieden een verhoogd risico op fouten kennen. Dit betreffen met name de controle op de waardering van de grondexploitaties, de controle op de toereikendheid van uw (onderhouds)voorzieningen en de controle van de naleving van de aanbestedingsregelgeving.

Tot slot hebben we vanuit het oogpunt van onze natuurlijke adviesfunctie, in deze managementletter een bijlage opgenomen met actuele ontwikkelingen. Belangrijke elementen zijn hier onder andere de uitspraken van de commissie BBV, de aandachtspunten inzake de invoering van de rechtmatigheidsmededeling en de ontwikkelingen ten aanzien van de te verantwoorden regelingen in de SiSa-bijlage bij de jaarrekening.

Bevindingen en aandachtspunten

19/10/2022

2. Bevindingen en aandachtspunten 2.1 Algemeen Doel en reikwijdte

Risicoanalyse

Het doel van onze jaarrekeningcontrole is het vormen van een oordeel over de getrouwheid en de rechtmatigheid van de jaarrekening als geheel, zoals bedoeld in het Besluit Accountantscontrole Decentrale Overheden (BADO). Vanuit de jaarrekeningcontrole beoordelen wij of de kwaliteit van de administratieve organisatie en interne beheersing voor zover relevant voor onze oordeelsvorming en geven wij geen zelfstandig oordeel over de kwaliteit van de administratieve organisatie en interne beheersing. De controle van de jaarrekening omvat het uitvoeren van controlewerkzaamheden, waaronder risicoanalyse, cijferanalyses, beoordeling van de administratieve procedures en het daarmee samenhangende systeem van interne beheersingsmaatregelen en gegevensgerichte controlewerkzaamheden. De samenstelling en omvang van die werkzaamheden zijn noodzakelijk voor het verkrijgen van voldoende controle-informatie ter onderbouwing van ons oordeel.

Onze risicoanalyse richt zich op een betrouwbare totstandkoming van de jaarrekening. Dit betekent dat wij niet alle risico’s die voor u als gemeente relevant zijn in onze controle meenemen. In ons audit plan hebben we onze risicoanalyse in detail aan u toegelicht. De risicoanalyse is een continue proces en stellen wij gedurende de controle indien nodig bij. De belangrijkste bij uw gemeente onderkende risico’s / kernpunten in de controle zijn: • Waardering van uw grondexploitatie (inclusief waardering complex Heesch-West); • Rechtmatigheid inkopen; • Risico dat het management van de gemeente de procesafspraken doorbreekt, hetgeen een standaard risico is vanuit onze beroepsregels. Dit risico ziet bij uw gemeente met name toe op de schattingselementen in de grondexploitatie en voorzieningen. In ons verslag van bevindingen rapporteren wij naar aanleiding van de jaarrekeningcontrole over bovenstaande punten. Deze punten zijn ongewijzigd ten opzichte van voorgaand jaar.

2. Bevindingen en aandachtspunten 2.2 Beeld interne beheersing

Algemeen beeld

We hebben geen significante tekortkomingen in uw AO/IC geconstateerd. Ten opzichte van voorgaand jaar constateren we dat de organisatie bezig is de inrichting van de interne beheersing verder te optimaliseren. Een belangrijke stap hierin is de invoering van de nieuwe financiële applicatie. In het kader van onze jaarrekeningcontrole hebben we voor de facetten die voor onze controle van belang zijn, vastgesteld dat het overzetten van de data van de oude naar de nieuwe applicatie succesvol is verlopen. Ook is met de overgang naar de nieuwe applicatie de beheersing van het inkoop- en betalingsproces verder geoptimaliseerd. In deze managementletter gaan we nader in op deze aanpassingen en de verdere optimalisatiemogelijkheden binnen dit proces. Ook in de voorbereiding op de invoering van de rechtmatigheidsmededeling heeft de gemeente Oss stappen gezet. Het interne controleplan van de gemeente is opgenomen binnen de applicatie Checkpoint. Daarmee heeft de gemeente een duidelijker kader van aanpak en een meer gestructureerde aanpak geborgd ten opzichte van voorgaande jaren. We zien op dit vlak nog verdere verbetermogelijkheden. Tot slot blijft de beheersing van de grondexploitaties in lijn met voorgaand jaar een punt van aandacht. We constateren met de gemeente dat de invulling van de bezetting aandacht blijft behoeven.

Gezien het feit dat de schattingsgevoeligheid van de grondexploitaties als gevolg van de extreem hoge inflatie fors is toegenomen en het feit dat we constateren dat de inschatting van de timing van de kosten optimistisch is ingestoken, vragen we het college uitdrukkelijk haar aandacht voor een juiste onderbouwing van de uitgangspunten per jaareinde. Daarbij is het noodzakelijk om in de jaarrekening nader in te gaan op de schattingsgevoeligheid van de uitgangspunten.

2. Bevindingen en aandachtspunten 2.2 Beeld interne beheersing Inrichting en kwaliteit VIC

Een belangrijk onderdeel van de interne beheersing is de (verbijzonderde) interne controlefunctie (VIC). Voorgaand jaar hebben we als advies gegeven dat het denkkader om tot de uitvoering van de juiste werkzaamheden te komen op een meer gestructureerde manier vastgelegd kon worden. Dit adviespunt is voortvarend opgepakt en uitgevoerd door de implementatie van Checkpoint verder te realiseren. In Checkpoint zijn alle relevante bedrijfsprocessen vastgelegd, de hieruit voortvloeiende risico’s, de beheersmaatregelen om de geïdentificeerde risico’s te ondervangen en de werkzaamheden voor de VIC om de werking van de beheersmaatregelen te controleren. Wij zien dit als een goede verbetering ten opzichte van de situatie in voorgaand jaar. Wij hebben de uitwerking in Checkpoint beoordeeld en geven hierbij enkele aanbevelingen om de kwaliteit van de vastlegging in Checkpoint verder te verhogen: •

We adviseren binnen Checkpoint de vertaalslag van het door de raad vastgestelde normenkader naar het controleplan (toetsingskader) vast te leggen, zodat zichtbaar geborgd is dat het normenkader getoetst wordt.

•

Wij constateren dat de procesbeschrijvingen op hoofdlijnen zijn beschreven en veelal zijn uitgewerkt middels kernwoorden. Wij adviseren dit om dit gedetailleerder uit te werken zodat precies helder is wat de processtap is.

•

In het verlengde met het opstellen van de procesbeschrijvingen adviseren we u om de geïdentificeerde beheersmaatregelen uitgebreider te omschrijven en deze SMART te maken. Onder SMART maken verstaan wij het zo scherp mogelijk te beschrijven van de beheersmaatregel aan de hand van de 6W's (wie, wat, waarom, wanneer, met welke informatie en wat wordt vastgelegd). Op deze wijze is het voor iedere betrokken functionaris duidelijk wat er van hem of haar verwacht wordt. Ook adviseren we hierbij onderscheid te maken tussen hoog/laag risico’s en benoemen van zogenoemde “key-controls”.

•

We adviseren u om bij de uitvoering van de VIC de vastlegging van de onderbouwing van (sub)conclusies verder te duiden. In de meeste gevallen is de constatering akkoord of niet akkoord voldoende, echter zijn er ook werkzaamheden waarbij duidelijker vastgelegd kan worden waarom werkstappen akkoord of niet akkoord zijn. We adviseren u hiervoor gebruik te maken van de toelichtingsfunctie in Checkpoint.

•

Tot slot constateren we dat de huidige aanpak van de VIC gegevensgericht wordt gehanteerd. Door bovenstaande aanbevelingen op te pakken zou het in de toekomst mogelijk zijn om een meer systeemgerichte aanpak van de VIC te hanteren. Met een dergelijke aanpak krijgt de gemeente meer zicht op de werking van de beheersmaatregelen en daarmee meer zicht of de gemeente “in control” is. Wij stemmen graag met u af welke stappen efficiënt hierin te nemen zijn.

Verdere uitwerking benoemde beheersmaatregelen

Van een gegevensgerichte VIC naar een systeemgerichte VIC

Wij adviseren u met het oog op de naderende rechtmatigheidsverantwoording kennis te nemen van bovenstaande aanbevelingen en na te gaan of en hoe deze geïmplementeerd kunnen worden. Tevens hebben we in de bijlage een aantal algemene aandachtspunten opgenomen. We constateren dat de gemeente Oss deze aandachtspunten in het vizier heeft, maar dat een aantal formele aspecten, zoals de actualisatie van de verordeningen, nog actie behoeft. 10

2. Bevindingen en aandachtspunten 2.3 Bedrijfsprocessen Deze managementletter bevat onze bevindingen die zijn gebaseerd op de onze werkzaamheden in het kader van de jaarrekeningcontrole voor het jaar eindigend op 31 december 2022. Deze werkzaamheden zijn dan ook niet gericht op het geven van een oordeel over de interne beheersing van uw organisatie als geheel. Voorgaande jaren hebben wij tijdens onze besprekingen met u diverse aanbevelingen benoemd ter verdere optimalisering van de bestaande administratieve organisatie en interne beheersing. In deze managementletter geven wij u een schriftelijke update van onze bevindingen. In het overzicht hiernaast zijn de bevindingen inclusief prioriteit opgenomen. Een totaaloverzicht van de detailbevindingen is opgenomen in bijlage 1.

In de tabel rechts is een totaal overzicht opgenomen van het totaal aantal detailbevindingen. De bevindingen en onze aanbevelingen worden in bijlage 1 van deze managementletter uitgebreider toegelicht. De kleur van de het symbool geeft de status van de constatering aan.  = opgelost  = actie ondernomen, maar nog niet afgerond  = geen actie ondernomen  = nieuwe bevinding

aandachtspunten Aantal nieuwe aanbevelingen

Aantal aanbevelingen uit voorgaande jaren

Waarvan opgelost in 2022

Resterende aanbevelingen uit voorgaande jaren

Waarvan reeds acties zijn ondernomen, maar nog niet zijn afgerond

Waarvan nog geen acties zijn ondernomen

Aantal openstaande aanbevelingen

Proces

Bevinding

Status

Prioriteit 2022

Prioriteit 2021

Inkopen

Prestatielevering



N.v.t.

Hoog

Verstrekte subsidies

Monitoring op naleving subsidievoorwaarden



Laag

Inkopen

Inrichting van het proces



Middel

2. Bevindingen en aandachtspunten 2.4 Three lines model Wij rapporteren via het 3 lines model. Dat wil zeggen dat wij binnen de processen nagaan op welk niveau in de organisatie de risico’s door interne beheersmaatregelen worden ondervangen. De volgende niveaus worden hierbij onderkend: 1e lijn: in het primaire proces, onder verantwoordelijkheid van de proceseigenaar. 2e lijn: in de ondersteunende processen zoals financiën en control, waar checks and balances ingericht zijn om fouten te signaleren. 3e lijn: in uw verbijzonderde interne controle achteraf. Indien de beheersmaatregelen in de 1e en/of 2e lijn adequaat zijn ingericht dan is de organisatie optimaal in control en is een voornamelijk systeemgerichte controleaanpak mogelijk. Indien dit niet het geval is kan dit gecompenseerd worden door de gegevensgerichte werkzaamheden van de VIC. In het kader van de rechtmatigheidsverantwoording dient in ieder geval de 3e lijn (VIC) toereikend te zijn. Onderstaand overzicht geeft zodoende een beeld over de mate van beheersing en controle van uw gemeente. Nr.

Proces

1e lijn

2e lijn

3e lijn

Opmerking / toelichting

Inkopen en betalingen



Zie bijlage 1 detailbevinding 1 ‘inkopen-prestatielevering’ en 3 ‘inkopen- inrichting van het proces

Aanbestedingen



Lonen en salarissen



Subsidies



Zie bijlage 1 detailbevinding 2 ‘verstrekte subsidies - Monitoring op naleving subsidievoorwaarden’

Grondexploitaties



Zie paragraaf 2.5 in deze managementletter

Participatiewet



Jeugdwet



WMO



Omgevingsvergunningen



Huren en pachten



Zie hoofdstuk 3 bevindingen IT-beheersing

De bovenstaande tabel is ongewijzigd aan voorgaand jaar. Uit bovenstaand beeld komt naar voren dat wij nog niet optimaal op de processen kunnen steunen maar in samenwerking met de VIC grotendeels een gegevensgerichte aanpak hanteren. Wij bespreken uiteraard graag met u de mate van beheersing en uw gewenste ambitieniveau. Legenda status:  = geen bevindingen met kans op materiële fouten, enkel aanbeveling ter verdere optimalisatie  = meerdere bevindingen en aanbevelingen met mogelijk grote impact  = één of enkele bevindingen met geringe impact resteren

2. Bevindingen en aandachtspunten 2.5 Belangrijke macro-economische ontwikkelingen Grondexploitaties

Uit de controle bij de jaarrekening 2021 bleken verschillende bevindingen ten aanzien van de juistheid van de waardering van de grondexploitaties. Zoals vorig jaar geconstateerd was dit met name het gevolg van een onderbezetting en personele wisselingen binnen het grondbedrijf. We constateren dat de afdeling nog steeds te maken heeft met onderbezetting. Daarnaast constateren we uit de analyse van de najaarsbericht dat met name de timing van de te maken kosten wederom optimistisch is ingerekend. Op basis van onze werkzaamheden constateren we dat in 2022 (maar ook voorgaand jaar) zowel de realisatie van lasten (en in beperkte mate de baten) fors achterblijven op begroting. Tot slot merken we op dat er momenteel diverse onzekere factoren zijn die impact hebben op de ontwikkeling van grondexploitaties, denk hierbij onder andere aan: -

Een stijgende vraag naar woningen;

Krapte aan (betaalbare) woningen op de markt;

Krapte op de arbeidsmarkt bij bouwondernemingen, maar ook uw ambtelijke organisatie;

Stijgende energie- en grondstofprijzen + stijgende rente;

Verduurzamingsopgave.

We begrijpen dat bij de najaarsbericht met de impact van bovenstaande zaken rekening is gehouden, maar deze ontwikkelingen blijven zorgen voor grote onzekerheden. De onzekerheid over de toekomstige ontwikkelingen betekent een zeer grote schattingsonzekerheid op de verwachte realisatie van uw complexen. Wij verzoeken u bij het opstellen van de jaarrekening wederom om na te gaan in welke mate bovenstaande elementen impact hebben op uw specifieke situatie. Te meer omdat regionale verschillen en stijgingen van prijzen in specifieke kostensoorten fors van elkaar kunnen verschillen, maar ook de effecten op complexniveau kunnen verschillen. Daarnaast dient bij een hoge mate van schattingsonzekerheid een adequate toelichting bij de verantwoording in de jaarrekening te worden opgenomen. Belangrijke elementen hierbij zijn: -

Het toelichten van de gehanteerde veronderstellingen, zoals afgelopen jaar ook opgenomen; en

Een toelichting (impact / scenario’s) over de schattingsonzekerheid. Dit kan bijvoorbeeld door het hanteren van scenarioanalyses.

We gaan graag tijdig met de organisatie in overleg om de uitgevoerde analyses, de uitkomsten en de voorgestelde toelichtingen in de jaarstukken te bespreken.

2. Bevindingen en aandachtspunten 2.5 Belangrijke macro-economische ontwikkelingen

Energiecrisis en hoge inflatie

Nederland heeft op dit moment te maken met enkele extreme omstandigheden: enorm oplopende inflatie, de energiecrisis en de capaciteitsproblemen op de arbeidsmarkt. Deze omstandigheden leiden tot financiële risico’s voor de gemeenten op langere termijn, maar zeker ook op korte termijn in relatie tot het opstellen van de jaarrekening 2022. Actualisatie van de grondexploitaties, zoals op de vorige pagina benoemd, ligt gezien de genoemde omstandigheden voor de hand, maar ook op andere gebieden is het noodzakelijk om afdoende rekening te houden met de huidige ontwikkelingen. We vragen hier dan ook nadrukkelijk uw aandacht voor en verwachten van u bij de jaarrekeningcontrole een expliciete analyse van: -

Waardering (langlopende) vorderingen. Ook partijen waar u leningen aan heeft verstrekt of waar u vorderingen op heeft, kunnen zijn getroffen door de genoemde ontwikkelingen. Het is bij het opstellen van de jaarrekening dan ook noodzakelijk om eventuele risico’s ten aanzien van oninbaarheid in te schatten en een toereikende voorziening te treffen voor de eventuele oninbaarheid van deze vorderingen. In het bijzonder vragen we u aandacht voor de vorderingen richting gesubsidieerde instellingen.

Onderhoudsvoorzieningen. Gezien het feit dat bouwkosten fors toenemen, is de kans groot dat de financiële doorvertaling van beheerplannen waarop uw onderhoudsvoorziening is gebaseerd, niet meer actueel zijn. Het BBV heeft als een van de eisen dat er een actueel beheerplan aanwezig is en dat deze financieel jaarlijks getoetst dient te worden. We constateren dat de gemeente Oss actuele onderhoudsplannen heeft, het is derhalve dan ook zorg om vast te stellen dat de financiële uitgangspunten in deze plannen nog juist zijn.

Begrotings- en kredietrechtmatigheid. De genoemde ontwikkelingen leiden zowel op korte als langere termijn tot hogere lasten voor de gemeente. In het kader van de begrotingsrechtmatigheid is het van belang dat het college eventuele begrotingsafwijkingen als gevolg van deze hogere lasten tijdig meldt aan de gemeenteraad en hier begrotingsruimte voor vindt. Ook mogelijke kredietoverschrijdingen dienen tijdig in beeld te zijn en daar waar noodzakelijk tijdig met de gemeenteraad te worden gecommuniceerd. We constateren dat de gemeente Oss hier in haar bestuursrapportage nauwgezet rekening mee houdt.

Tot slot is het noodzakelijk om de toekomstige risico’s, zoals bijvoorbeeld ten aanzien van de toenemende rente in beeld te hebben.

2. Bevindingen en aandachtspunten 2.6 Fraudeanalyse Verantwoordelijkheid college/ frauderisicoanalyse

De primaire verantwoordelijkheid voor het voorkomen en detecteren van fraude (waaronder corruptie) berust bij het college van burgemeester en wethouders. Deze verantwoordelijkheid betreft ook het onderhouden van een zodanige interne beheersing om het opmaken van de jaarrekening mogelijk te maken zonder dat deze afwijkingen van materieel belang bevat als gevolg van fraude of fouten. Op basis van onze uitgevoerde interim-controle stellen wij vast dat er binnen de gemeente aandacht is voor frauderisico’s en de preventie daarvan. Wel zijn wij van mening dat hier een verbeterslag in te maken is. Wij constateren dat de gemeente een eigen frauderisicoanalyse heeft opgesteld die echter dateert uit 2015. Het is een belangrijk aandachtspunt om deze te actualiseren, zeker met het oog op de naderende rechtmatigheidsverantwoording. Te meer daar de oude financiële applicatie nog de basis van deze frauderisicoanalyse was. De verbijzonderde interne controle kan ook aan waarde winnen als de opdracht hiervoor wordt ingegeven vanuit een interne frauderisicoanalyse, waardoor de werkzaamheden beter aansluiten op de risico’s binnen de organisatie. Op deze wijze wordt de verbijzonderde interne controle volwaardiger en volwassener. Het is van belang dit door te vertalen in Checkpoint.

Wij adviseren u om de risicoanalyse met specifieke frauderisico’s te actualiseren, uit te breiden en tot een gewogen afweging te komen welke risico’s te accepteren en welke risico’s te mitigeren middels reeds genomen of nog te nemen interne beheersingsmaatregelen.

Fraudedriehoek

Wij raden u aan bij het identificeren van de frauderisico’s binnen uw gemeente specifiek gebruik te maken van de fraudedriehoek. De fraudedriehoek kent de elementen ‘Gelegenheid’, ‘Rationalisatie’ en ‘Druk’ en is een goed hulpmiddel om frauderisicofactoren in beeld te krijgen en vandaar uit te bepalen of deze frauderisicofactoren ook daadwerkelijk tot een frauderisico voor uw gemeente leiden. Belangrijk is om uw overwegingen/analyse goed te documenteren.

Wij vragen u als gevolg van de huidige economische ontwikkelingen (o.a. stijgende energieprijzen en indexatie) bij uw analyse nadrukkelijk aandacht te besteden aan de elementen druk en rationalisatie. Deze kunnen mogelijk leiden tot aanvullende frauderisico’s. Wij adviseren u daarbij specifiek te kijken naar het (fraude)risico van onrechtmatige onttrekkingen van geld of andere activa aan de gemeente. 15

2. Bevindingen en aandachtspunten 2.6 Fraudeanalyse

Onze frauderisicoanalyse en wijzigingen in controleverklaring

Op basis van de bedrijfsverkenning en de interim-controle onderkennen wij de volgende frauderisico’s bij onze jaarrekeningcontrole: •

Het risico dat het management maatregelen van interne beheersing doorbreekt. Het college of management bevindt zich in een unieke positie om fraude te plegen, omdat het in staat is de administratieve vastleggingen te manipuleren en frauduleuze financiële overzichten op te stellen door interne beheersingsmaatregelen te doorbreken, die anderszins effectief lijken te werken. Een incentive van het management zou hierbij kunnen zijn om op die wijze een betere financiële situatie of prestatie te presenteren. Wij richten onze controle zodanig in dat wij het geïdentificeerde risico ondervangen.

In onze controleverklaring rapporteren we vanaf boekjaar 2022 expliciet over welke frauderisico’s wij bij de controle van uw jaarrekening hebben geïdentificeerd, de door ons uitgevoerde controlewerkzaamheden én de bevindingen hieromtrent. De passages die wij voornemens zijn op te nemen in de controleverklaring stemmen wij tijdig met u af en nemen wij bij de bespreking van het accountantsverslag met u door.

2. Bevindingen en aandachtspunten 2.7 Conversie Key2Financiën Conversie van CODA Financials naar Key2Financiën Conversie van CODA Financials naar Key2Financiën

De gemeente Oss heeft besloten om de financiële applicatie Coda vanaf 1 januari 2022 te vervangen door de applicatie Key2Financiën. Vorig jaar zijn om tot een succesvolle conversie te komen diverse workshops en projecten opgestart om de gemeente goed op een succesvolle conversie voor te bereiden. Er is daarbij tevens gebruik gemaakt van een testomgeving om stapsgewijs data over te zetten. Aansluitend is de gemeente per 1 januari 2022 volledig overgegaan op Key2Financiën. In het kader van de jaarrekeningcontrole hebben we vastgesteld dat de voor ons relevantie gegevens, zoals onder andere de stamgegevens debiteuren en crediteuren, maar ook de ingebrachte beginbalans, juist en volledig zijn overgezet. We hebben vanuit onze werkzaamheden geen bevindingen geconstateerd. Bij onze controle van boekjaar 2021 constateerden wij dat er in het proces omtrent crediteurenstamgegevens en factuurautorisatie geen functiescheiding in het systeem geborgd was. Wij constateren dat dit in het nieuwe systeem in opzet geborgd is. Wel constateren wij enerzijds dat dat er twee medewerkers binnen het primaire proces hoge rechten hebben in Key2Financiën. Dit betekent dat wij niet systeemgericht op het proces kunnen steunen. Dit punt is ook door de verbijzonderde interne controle onderkent.

Gegevensgericht wordt middels data-analyse vastgesteld of de functiescheiding in alle gevallen van toepassing is geweest. Voor de detailbevindingen inzake de IT-beheersing verwijzen wij naar hoofdstuk 3 en voor de detailbevinding inzake inkopen verwijzen wij naar bijlage 1.

Bevindingen ITbeheersing

19/10/2022

3. Bevindingen IT-beheersing 3.1 Algemeen IT General Controls

Onderwerp

Veel handelingen die binnen organisaties plaatsvinden, worden geregistreerd door middel van automatisering. Daarbij zijn diverse interne beheersingsmaatregelen steeds vaker geautomatiseerd in softwarepakketten. Wij onderzoeken daarom de beheersing van uw IT omgeving en rapporteren daarover in deze managementletter.

Toegangsbeveiliging Bij het toetsen van ‘toegangsbeveiliging’ wordt onderzocht of de inrichting van de IT-omgeving de authenticiteit van de gebruiker van een gebruikersaccount borgt. Vervolgens onderzoeken wij de mogelijkheden voor het ‘steunen’ op autorisaties en de processen rondom het verstrekken, muteren en ontnemen van autorisaties binnen de omgeving. Wanneer de randvoorwaarden hiervoor voldoende aanwezig zijn, kunnen wij in de controle gebruik maken van ingerichte functiescheiding in het systeem.

Op basis van de door ons uitgevoerde werkzaamheden hebben wij onze inschatting van de kwaliteit van uw IT systeem en/of applicaties opgenomen. Hierbij hebben wij de volgende onderverdeling gemaakt om de kwaliteit weer te geven: Benodigd verbetering op (korte) termijn Adviespunt, verdere aanscherping mogelijk Op dit moment voldoende Bij het uitvoeren van onze werkzaamheden hebben wij gekeken naar de algemene onderwerpen rondom de beheersing van uw IT omgeving zoals in de tabel rechts opgenomen. Op de navolgende pagina’s rapporteren wij onze bevindingen.

Wijzigingsbeheer (Change management) Bij het doorvoeren van wijzigingen in software-omgevingen kunnen risico’s ontstaan voor de bedrijfsvoering van uw organisatie. Wij verwachten daarom dat er een vaste werkwijze is ingericht voor het doorvoeren van wijzigingen in de functionaliteiten van de applicatie. Daarnaast verwachten wij dat er gebruik wordt gemaakt van een test- en productie omgeving. Continuiteïtsmaatregelen en beveiliging Onder de noemer continuïteit en beveiliging krijgen wij inzicht in uw beheersing van risico’s gericht op continuïteit van uw bedrijfsvoering. Hierbij kan discontinuïteit worden veroorzaakt door menselijk of technisch falen, maar ook door interne of externe kwaadwillenden. Voor continuïteit zijn met name het punt in de tijd aan tot waar u gegevens bij discontinuïteit kunt herstellen en de tijd die het kost om tot een normale bedrijfsvoering te komen bij discontinuïteit van belang. Hiernaast schatten wij uw beheersing van cyber risico’s in.

Adviespunten zonder directe impact Gegeven de omvang van uw organisatie en de mate waarin de IT-beheersingsomgeving invloed heeft op de bedrijfsvoering binnen de organisatie, zijn wij met u overeengekomen dat wij over de volgende onderwerpen wel analyseren in kader van onze controle, maar niet rapporteren:  IT-beleid;  Verantwoordelijkheden en regiefunctie;  Procedure beheersing van incidenten;  Uitvoering procedures beheersingsmaatregelen IT (reproduceerbare beheersing van o.a. toegangsbeveiliging en wijzigingsbeheer). Overigens hebben wij omtrent deze onderwerpen geen bevindingen geconstateerd die significante impact hebben voor de jaarrekeningcontrole.

3. Bevindingen IT-beheersing 3.2 Toegangsbeveiliging en wijzigingsbeheer De conclusies die wij op basis van onze werkzaamheden trekken over de algemene inrichting van IT bij uw organisatie, delen wij op deze pagina met u. Authenticatie Door middel van authenticatie wordt geborgd dat een gebruiker zichzelf kan identificeren binnen een geautomatiseerde omgeving. Kort gezegd: de gebruiker toont aan dat hij/zij inlogt met een eigen persoonsgebonden account en daarmee is wie hij/zij claimt te zijn. Wij scharen onder dit onderwerp m.n. de wachtwoordvereisten. Autorisatie Op het gebied van autorisatie zijn verschillende vormen van diepgang te definiëren. Wat wij onderzoeken en aan u rapporteren als het gaat om de randvoorwaarden rondom autorisatie, zijn de rechten die de mogelijkheid bieden om autorisatiestructuren te wijzigen en of deze rechten belegd zijn bij functionarissen met een onafhankelijke positie ten opzichte van de jaarrekening. Dit geldt voor zowel voor rechten op applicatie- als databaseniveau voor applicaties in scope van onze controle. Daarnaast is een effectieve vaste werkwijze voor het toekennen van rechten noodzakelijk om gedurende een periode te kunnen steunen op het feit dat rechten adequaat beperkt zijn. Wijzigingsbeheer Bij het doorvoeren van wijzigingen in softwareomgevingen ontstaan risico’s voor de bedrijfsvoering van uw organisatie.

Wij verwachten daarom dat het proces voor wijzigingen een proces doorloopt, waarmee de risico’s die gelopen worden, zijn ingeschat, worden geadresseerd en dat hierop maatregelen genomen worden.

Authenticatie Autorisatie

Wijzigingsbeheer

Netwerk

n.v.t

Suites voor het Sociaal Domein

Omgeving

De ingestelde wachtwoordeisen van het netwerk zijn van voldoende niveau om op de authenticatie van gebruikers te kunnen steunen. We constateerden dat 341 accounts een niet verlopend wachtwoord hebben, waarvan 189 accounts ook een inlogdatum in dit jaar hebben. Gezien de aard van deze accounts (service-accounts, mailboxen, tvschermen), achten wij het risico daarvan laag. De accounts hebben geen impact op de relevante applicaties voor de jaarrekeningcontrole. De hoge rechten in Active Directory zijn beperkt tot onafhankelijke functionarissen in het kader van de jaarrekeningcontrole. Wij adviseren u na te gaan of het terecht is dat 189 accounts een niet verlopend wachtwoord dienen te hebben. Voor de overige 152 accounts adviseren wij u na te gaan in hoeverre deze accounts opgeschoond kunnen worden. De ingestelde wachtwoordeisen van de applicatie zijn van voldoende niveau om op de authenticatie van gebruikers te kunnen steunen. Suites voor het Sociaal Domein kent een vaste set wachtwoordvereisten waaraan de gebruikersorganisatie in basis geen aanpassingen aan kan doen. Wel kan er, per gebruiker, een afwijkende geldigheidsduur voor het wachtwoord worden ingesteld. Gebruikers hebben een verloopduur op wachtwoorden van 100 (96 gebruikers) of 365 dagen (69 gebruikers).

Binnen de applicatie is een termijn van 100 dagen standaard waardoor we concluderen dat er sprake is van 69 gebruikers die een te lange verloopduur hebben. Wij raden aan wachtwoorden minimaal ééns per 100 dagen te wijzigen, mede gegeven de privacy gevoeligheid van gegevens binnen het sociaal domein. We begrijpen bij de interim-controle dat er ook gebruik gemaakt wordt van zgn. ‘uitvoerend applicatiebeheerders’ (UAB’er). Voor deze uitgebreide rechten ‘in de lijn’ is gekozen voor aparte beheeraccounts. Deze gebruikers hebben daardoor meerdere accounts per persoon, waardoor bepaalde waarborgen in het systeem (bijv. het vier ogen principe op bankrekeningnummers) door één persoon kunnen worden uitgevoerd. Het risico wordt daarbij deels beperkt door het feit dat de UAB’er enkel beheer (en geen fiateer) rechten heeft. Wij raden aan de rechten van de UAB’er opnieuw te beoordelen. 20

Authenticatie Autorisatie

Authenticatie Door middel van authenticatie wordt geborgd dat een gebruiker zichzelf kan identificeren binnen een geautomatiseerde omgeving. Kort gezegd: de gebruiker toont aan dat hij/zij inlogt met een eigen persoonsgebonden account en daarmee is wie hij/zij claimt te zijn. Wij scharen onder dit onderwerp m.n. de wachtwoordvereisten.

Key2

Autorisatie Op het gebied van autorisatie zijn verschillende vormen van diepgang te definiëren. Wat wij onderzoeken en aan u rapporteren als het gaat om de randvoorwaarden rondom autorisatie, zijn de rechten die de mogelijkheid bieden om autorisatiestructuren te wijzigen en of deze rechten belegd zijn bij functionarissen met een onafhankelijke positie ten opzichte van de jaarrekening. Dit geldt voor zowel voor rechten op applicatie- als databaseniveau voor applicaties in scope van onze controle. Daarnaast is een effectieve vaste werkwijze voor het toekennen van rechten noodzakelijk om gedurende een periode te kunnen steunen op het feit dat rechten adequaat beperkt zijn. Wijzigingsbeheer Bij het doorvoeren van wijzigingen in softwareomgevingen ontstaan risico’s voor de bedrijfsvoering van uw organisatie. Wij verwachten daarom dat het proces voor wijzigingen een proces doorloopt, waarmee de risico’s die gelopen worden, zijn ingeschat, worden geadresseerd en dat hierop maatregelen genomen worden.

Financiën

Wijzigingsbeheer

Omgeving

Er wordt ingelogd in de applicatie middels Single Sign On (SSO). Hierdoor zijn de wachtwoordinstellingen van het netwerk leidend. De ingestelde wachtwoordeisen van het netwerk zijn van voldoende niveau om op de authenticatie van gebruikers te kunnen steunen. De hoge rechten in de applicatie zijn niet beperkt tot onafhankelijke functionarissen in het kader van de jaarrekeningcontrole. Er zijn twee medewerkers die hoge rechten hebben en betrokken zijn bij het primaire proces. Deze gebruikers met hoge rechten kunnen zichzelf of anderen rechten toe kennen die niet aan de functie zijn toebedeeld. Hierdoor is het risico aanwezig dat functiescheiding kan worden doorbroken. Wij raden aan de scheiding tussen beheer en processen aan te houden binnen Key2Financiën. Wij adviseren u om de rechten voor het aanmaken en verwijderen van gebruikers en het muteren van gebruikersrechten te registreren en hiervoor een matrix te hanteren voor de SOLL-positie en rollen en rechten in te richten en beheersen conform deze matrix met geformaliseerde procedures. Het proces m.b.t. wijzigingsbeheer achten wij in opzet voldoende. Bij de overgang naar Key2Financiën is een deel van het wijzigingsproces belegd bij de leverancier. Dit houdt echter niet in dat uw organisatie geen verantwoordelijkheden meer kent binnen het wijzigingsproces.

3. Bevindingen IT-beheersing 3.3 Continuiteïtsmaatregelen en beveiliging Let op: de onderwerpen volgen uit interviews en hierop zijn door ons over het algemeen geen testwerkzaamheden uitgevoerd om vast te stellen dat de IT-omgeving is ingericht zoals ons voorgesteld is. Dit beperkt de zekerheid die u kunt ontlenen aan de door ons beschreven aandachtspunten.

Continuïteitsmaatregelen Recovery Point objective (RPO): De RPO is het punt in de tijd tot waar men minimaal de gegevens moet kunnen herstellen. Het is dus de acceptabele hoeveelheid aan dataverlies uitgedrukt in tijd.

Back-ups: U heeft aangegeven dat back-ups periodiek en incrementeel worden gemaakt en extern worden opgeslagen. Er wordt een dagelijkse back-up gemaakt, waardoor het dataverlies beperkt wordt. Tevens wordt u geïnformeerd of de back-up naar behoren is uitgevoerd.

Recovery Time Objective (RTO): Een RTO is de tijd waarna een proces/middel na een onderbreking moet teruggebracht zijn op een aanvaardbaar niveau, om een onacceptabele impact op de organisatie te vermijden.

Recovery: U heeft aangegeven dat er periodiek (disaster) recovery test wordt uitgevoerd. Dit wordt opgenomen in een rapport en eventuele bevindingen zijn opgevolgd.

Uitwijk: U heeft aangegeven dat er periodiek een uitwijktest wordt uitgevoerd. Dit wordt opgenomen in een rapport en eventuele bevindingen zijn opgevolgd.

Beveiliging Beveiliging De beveiliging van de IT-omgeving delen wij op in verschillende aspecten, welke wij hieronder hebben weergegeven.

Fysieke beveiliging: De servers zijn ondergebracht in een aparte ruimte. De toegangsdeur van deze ruimte is voorzien van een slot en toegankelijk voor een beperkt aantal personen. Daarnaast zijn er maatregelen getroffen omtrent klimaatbeheersing en branddetectie. De serverruimte wordt niet gebruikt voor andere doeleinden.

Vervolg Beveiliging Remote access: Voor extern inloggen wordt gebruik gemaakt van een VPN verbinding, waarbij met een combinatie van gebruikersnaam en wachtwoord ingelogd wordt en aanvullend gebruik wordt gemaakt van Two-factor Authenticatie. Het risico dat externen zich toegang verschaffen tot uw geautomatiseerde omgeving is hierdoor beperkt.

Preventie: Een firewall en virusscanner is aanwezig en wordt actief beheerd. Hiernaast vindt een periodieke awareness training plaats, waarmee het risico op fouten door menselijk handelen verminderd wordt.

Monitoring: Intern vindt monitoring plaats ten aanzien van cyber risico’s. Daarnaast is er in het boekjaar een onderzoek door een externe partij uitgevoerd, daarnaast is een mystery guest uitgenodigd. Bevindingen vanuit deze test zijn/worden opgevolgd.

Bijlage 1: detailbevindingen

19/10/2022

Detailbevindingen 1. Uitleg opbouw In dit hoofdstuk zijn de significante bevindingen opgenomen. Per bladzijde van deze managementletter is een bevinding opgenomen met daarbij het risico en een aanbeveling. Bij elke bevinding staat de datum van de eerste vermelding aangegeven te samen met de gradatie van de constatering. Bij de prioriteit staat de mate van belangrijkheid en urgentie. Per bevinding zullen wij aangeven welke alternatieve werkzaamheden wij zullen uitvoeren om het geconstateerde risico (gegevensgericht) te ondervangen. Voor bestaande bevindingen geven wij tevens een update van de status van deze bevinding in het huidige boekjaar.

Bevinding In dit blok wordt aangegeven wat gedurende de accountantscontrole is geconstateerd en waarvan wij u graag op de hoogte willen brengen.

Prioriteit Urgentie en belang van de bevinding

Boekjaar bevinding

Status

Boekjaar eerste vermelding Risico Hierbij geven wij aan wat de risico's zijn van de bevinding en wat de gevolgen voor uw organisatie kunnen zijn. Aanbeveling Hier geven wij u aanbevelingen met betrekking tot de bevinding. Deze aanbeveling is een mogelijke oplossing voor de bevinding. Update boekjaar / Gevolgen jaarrekeningcontrole Hier geven wij een update van de bevinding wanneer deze in een eerder boekjaar is geconstateerd. Tevens kan de bevinding gevolgen hebben voor de controleaanpak / omvang van onze controlewerkzaamheden. Op deze plaats maken wij hier eveneens vermelding van.

De kleur van de het symbool geeft de status van de constatering aan.  = opgelost  = actie ondernomen, maar nog niet afgerond  = geen actie ondernomen  = nieuwe bevinding

Detailbevindingen 2. Inkopen - prestatielevering Bevinding Zichtbare vaststelling prestatielevering in combinatie met functievermenging in het inkoopproces. Een budgethouder heeft de mogelijkheid om bestellingen te plaatsen, goederen te ontvangen en ook de factuur te autoriseren. Achteraf wordt steekproefsgewijs een controle uitgevoerd door de VIC medewerkers.

Prioriteit

N.v.t.

Boekjaar bevinding

Status

Van vóór 2021 Risico Leveringen zijn niet bedrijfsmatig of leveringen hebben niet plaatsgevonden. In het primaire proces bestaat geen formele controle op het aspect van prestatielevering. Hiermee bestaat het risico op onrechtmatige inkoop en uitstroom van middelen.

Aanbeveling Wij bevelen aan om controle technische functiescheiding aan te brengen in het proces. Hierbij is het van belang dat sprake is van functiescheiding tussen het plaatsen van de bestelling, de ontvangst van de goederen en de autorisatie van de factuur. Daarnaast bevelen wij aan om het vier-ogenprincipe toe te passen bij de autorisatie van de factuur. Hierbij is het van belang dat een persoon zichtbaar vastlegt dat hij/zij de prestatielevering heeft controleert. Update boekjaar / Gevolgen jaarrekeningcontrole Update boekjaar Met de implementatie van K2F is controle technische functiescheiding ingeregeld bij de goedkeuring van inkoopfacturen. De bevinding ten aanzien van de functievermenging is derhalve opgelost.

Detailbevindingen 3. Verstrekte subsidies - monitoring op naleving subsidievoorwaarden Bevinding Er vindt geen gestructureerde zichtbare evaluatie plaats of de subsidieontvanger in formele zin aan de vereisten uit de subsidieverordening heeft voldaan. Tevens is er geen gestructureerde zichtbare vastlegging of de subsidieontvanger de prestaties heeft geleverd zoals afgesproken in de beschiking.

Prioriteit

Laag

Boekjaar bevinding

Status

2020 Risico Gestructureerde zichtbare evaluatie en vastlegging mist waardoor niet aangetoond kan worden of de subsidieontvanger in formele zin aan de vereisten uit de subsidieverordening heeft voldaan én of de subsidieontvanger de prestaties heeft geleverd zoals afgesproken in de beschikking.

Aanbeveling Wij adviseren u het beleid inzake verstrekte subsidies te evalueren ofwel voor zowel structurele als incidentele subsidies een checklist te implementeren (bijvoorbeeld in het subsidieadministratie systeem DMS) waarin is vastgelegd dat in welke mate de eisen uit de subsidieverordening en beschikking zijn nageleefd. We adviseren bovenstaand zodanig binnen DMS in te bedden, zodat periodieke monitoring plaats kan vinden.

Gevolgen jaarrekeningcontrole Tijdens de jaarrekeningcontrole voeren wij een steekproef uit om vast te stellen dat subsidies juist en rechtmatig zijn verstrekt.

Detailbevindingen 4. Inkopen – inrichting van het proces Bevinding We constateren dat er geen geformaliseerde vastlegging wat de codeerder (prestatieverklaarder) of een budgethouder moet controleren voordat een factuur wordt geautoriseerd. Voor zover ons nu bekend geeft men akkoord naar eigen invulling. Dit leidt er toe dat de mate van diepgang van de controle door de codeerder dan wel budgethouder kan verschillen. Tevens kan het zijn dat aspecten niet gecontroleerd worden doordat de codeerder dan wel budgethouder onvoldoende op de hoogte zijn wat hun verantwoordelijkheid is. Tevens is niet duidelijk in welke mate eventuele de onderliggende documenten ter onderbouwing van de prestatielevering in Key2Financien opgeslagen moeten worden. Achteraf wordt steekproefsgewijs een controle uitgevoerd door de VIC medewerkers of de medewerkers terecht akkoord hebben gegeven.

Prioriteit

Boekjaar bevinding

Middel

2022

Status

Risico Omdat onvoldoende duidelijk is wat de verantwoordelijkheid van de codeerder dan wel budgethouder is bestaat het risico dat de controle van de factuur op zowel op de levering als de facturatie van de juiste prijs onvoldoende geborgd is, waardoor facturen ten onrechte worden betaald. Ten aanzien van de archivering van de onderbouwing van de prestatielevering bestaat het risico dat achteraf deze onvoldoende kan worden aangetoond.

Aanbeveling Wij bevelen aan om schriftelijk aan de hand van de 6 W’s (wie, wat, waarom, wanneer, met welke informatie en wat moet worden vastgelegd/uitgevoerd) vast te leggen wie op welke manier voor wat akkoord geeft. Deze beschreven procedure dient iedere codeerder en budgethouder te volgen, zodat duidelijk is welke controle de codeerder dan wel de budgethouder op de factuur uitvoert. Tevens adviseren wij u daarbij te zorgen dat wordt voldaan aan de notitie van commissie Bado inzake ‘vastlegging en onderbouwing prestatielevering bij inkopen door decentrale overheidsorganisaties’. Gevolgen jaarrekeningcontrole Ten behoeve van de jaarrekeningcontrole zullen wij een gegevensgerichte detailcontrole uitvoeren om zo de getrouwheid en rechtmatigheid van de inkoop en uitstroom van middelen vast te stellen.

Bijlage 2: actuele ontwikkelingen ihkv onze natuurlijke adviesfunctie

19/10/2022

Actuele ontwikkelingen Invoering rechtmatigheidsverantwoording Rechtmatigheidsverantwoording (1/2) Stand van zaken in verband met invoering Rechtmatigheidsverantwoording

Op 27 september jl. heeft de Eerste Kamer het wetvoorstel inzake de invoering van de rechtmatigheidsverantwoording aangenomen. Dit betekent dat met ingang van het boekjaar 2023 de accountant uitsluitend nog een oordeel over de getrouwheid van de jaarrekening afgeeft. In de jaarrekening wordt door het college een nieuwe toelichting over rechtmatigheid opgenomen (‘rechtmatigheidsverantwoording’). In deze rechtmatigheidsverantwoording verantwoordt het college zich over de al dan niet rechtmatige totstandkoming van de lasten, baten en balansmutaties. De accountant stelt vervolgens de getrouwheid van deze verantwoording vast. Op dit moment wordt gekeken naar de noodzakelijke aanpassingen van het Besluit Accountantscontrole Decentrale Overheden (BADO) en het Besluit Begroting en Verantwoording (BBV). Ook bij gemeenten moeten de noodzakelijke voorbereidingen worden getroffen. Naast de verplichting dat in de jaarstukken 2023 een rechtmatigheidsverantwoording moet worden opgenomen en het feit dat deze ook onderbouwd moet worden door (bijvoorbeeld) een verbijzonderde interne controle zijn ook een aantal operationele zaken die (in)geregeld moeten worden. Met ingang van boekjaar 2023 is het verplicht het normenkader voor de rechtmatigheid jaarlijks door de gemeenteraad te laten vaststellen.

Er is reeds aangegeven dat het normenkader 2023 van de Gemeente Oss in januari 2023 door de Raad wordt vastgesteld. Inhoudelijk krijgt de gemeenteraad ook een aanvullende verantwoordelijkheid, namelijk het bepalen van de verantwoordingsgrens die het college moet hanteren voor het opmaken van de rechtmatigheidsverantwoording: •

De gemeenteraad stelt een verantwoordingsgrens (tussen 0% en 3%) vast. Het college moet de financiële onrechtmatigheden boven dit bedrag rapporteren in de rechtmatigheidsverantwoording. Wij adviseren u deze verantwoordingsgrens in de financiële verordening (ex. artikel 212) vast te leggen. Deze verantwoordingsgrens is op 25 juni 2020 door de raad vastgesteld op 1%. Voor fouten en onduidelijkheden geldt hetzelfde percentage van 1%.

•

De gemeenteraad kan kaders opstellen ten behoeve van de rapporteringsgrens waarboven de raad een nadere uiteenzetting verwacht in de paragraaf bedrijfsvoering. In lijn met artikel 212 lid 1 van de gemeentewet kan de gemeenteraad deze kaders vastleggen in de financiële verordening.

•

De commissie BBV heeft in haar kadernota rechtmatigheid aanbevolen om afspraken tussen de gemeenteraad en het college te maken over een nadere toelichting van de onrechtmatigheden in de paragraaf Bedrijfsvoering in het jaarverslag. Bijvoorbeeld hoe het college opvolging geeft om de gerapporteerde afwijkingen in de rechtmatigheidsverantwoording in de toekomst te voorkomen. Wij adviseren u deze aanbeveling over te nemen.

Naast de financiële verordening moet ook de controleverordening (ex. artikel 213) in lijn worden gebracht met de nieuwe wetgeving. De controleverordening gaat over hoe de kaders voor de toetsing van de jaarrekening inclusief de rechtmatigheidsverantwoording moet worden getoetst door de accountant. Deze verordening wordt aangepast omdat het college rapporteert in de rechtmatigheidsverantwoording en de accountant de toetsing van de rechtmatigheid zal doen aan de hand van de rechtmatigheidsverantwoording van het college. De aanpassing van de controleverordening dient nog plaats te vinden. De nauwkeurigheid en diepgang waarmee de accountantscontrole van de jaarrekening, met inbegrip van de rechtmatigheidsverantwoording, moet worden uitgevoerd, oftewel de materialiteit van maximaal 1%, wijzigt overigens niet door de invoering van de rechtmatigheidsverantwoording.

Actuele ontwikkelingen Invoering rechtmatigheidsverantwoording Rechtmatigheidsverantwoording (2/2) Tot slot is belangrijk om in beeld te brengen of naar mening van het college de 3 criteria voor de rechtmatigheidsverantwoording voldoende scherp zijn beschreven en geoperationaliseerd.

Stand van zaken in verband met invoering Rechtmatigheidsverantwoording

Voor het begrotingscriterium geldt dat het college en de gemeenteraad in de financiële verordening vastleggen op welke wijze zij omgaan met begrotingsoverschrijdingen. Uit de financiële verordening moet blijken hoe afwijkingen geïnterpreteerd worden in het kader van het uitoefenen van het budgetrecht door de gemeenteraad (stellige uitspraak Commissie BBV). Dit is reeds opgenomen in de financiële verordening. De rechtmatigheidsverantwoording in de jaarrekening bevat belangrijke informatie voor het (politieke) verantwoordingsdebat van de gemeenteraad met het college. Het voorwaardencriterium ziet toe op voorwaarden die gelden voor de uitvoering van de financiële beheershandelingen. Deze voorwaarden komen voort uit de relevante regelgeving en hebben betrekking op aspecten zoals: doelgroep, termijn, grondslag, administratieve bepalingen, normbedragen, bevoegdheden, bewijsstukken, recht, hoogte en duur voor zover deze relevant zijn voor de financiële rechtmatigheid. Het is van belang dat het college duidelijk maakt welke specifieke bepalingen van de regelgeving relevant zijn voor het financiële rechtmatigheidsbeheer en waar financiële consequenties uit kunnen voortkomen. Dit kan op verschillende wijzen vormgegeven worden: a.

In het normenkader zelf, door per wet/regel/verordening aan te geven op welke artikelen getoetst wordt en welke rechtmatigheidsaspecten daarbij relevant zijn (bijv. recht, hoogte, duur). b. In een apart toetsingskader of daaruit afgeleid control framework en afgeleid (interne)controleplan (zichtbaar gelinkt aan het normenkader). c.

In de werkprogramma’s waarbij per controleactiviteit wordt aangegeven welk artikel uit welke wet/regel/verordening wordt getoetst (zichtbaar gelinkt aan het normenkader).

Het laatste criterium is heeft betrekking op Misbruik en Oneigenlijk gebruik (ook wel M&O). Het college is verantwoordelijk voor het inrichten van effectieve maatregelen ter voorkoming van misbruik en oneigenlijk gebruik van overheidsregels om overheidssubsidies en bijdragen te ontvangen dan wel een te laag bedrag aan heffingen aan de overheid te betalen. Deze maatregelen hangen veelal samen met de interne beheersing ter borging van het voorwaardencriterium. Het college gaat straks een uitspraak doen in hoeverre het M&O beleid feitelijk wordt nageleefd en of de getroffen maatregelen effectief werken. Wanneer het college concludeert dat het M&O-beleid (op onderdelen) niet actueel is en/of dat er geen M&O-beleid bestaat of het M&Obeleid feitelijk niet wordt nageleefd moet het college in de paragraaf Bedrijfsvoering melden. Afwijkingen, voor zover zij niet het getrouwheidsaspect raken, moet het college in de rechtmatigheidsverantwoording rapporteren. Om aan deze verplichting te kunnen voldoen is van belang dat inzichtelijk is hoe het M&O criterium is ingebed in de diverse verordeningen en gemeentelijke regelgeving. Dit kan door een inventarisatie te doen en een nota M&O beleid op te stellen waarin de uitkomsten en afwegingen voor te treffen c.q. getroffen maatregelen in zijn opgenomen. Er dient nog een nieuwe M&O beleid vastgesteld te worden.

Actuele ontwikkelingen Overige aandachtspunten De commissie BBV (Besluit Begroting en Verantwoording) heeft gedurende 2022 geen nieuwe notities uitgebracht. Wel zijn er een aantal “vraag en antwoord” verschenen, welke relevant kunnen zijn bij het opstellen van de jaarrekening 2022. We adviseren u hiervan kennis te nemen en indien noodzakelijk rekening mee te houden bij het opstellen van de jaarrekening 2022.

Voorziening Verlofsparen Medewerkers kunnen vanaf 1 januari 2022 bovenwettelijke vakantie-uren sparen. Met dit 'verlofsparen' kunnen medewerkers passend bij hun levensfase hun bovenwettelijke vakantie-uren inzetten op een manier die aansluit bij hun persoonlijke levens- en carrièreplanning en het gemeentelijke vitaliteitsbeeld. Deze vakantie-uren verjaren niet. Dit kan gaan leiden tot verlofstuwmeren die bijvoorbeeld ingezet gaan worden om eerder met pensioen te gaan. Aangezien er bij verlofsparen sprake is van arbeidskostengerelateerde verplichtingen die een niet voorspelbare opbouw en daarmee ook onvoorspelbare afbouw kennen, dient hier een voorziening voor gevormd te worden.

Tijdelijke woningen in grondexploitaties Indien een gemeente besluit om tijdelijke woningbouw te realiseren binnen een (langlopende) grondexploitatie dan is het toegestaan om de gronden waar de tijdelijke woningen op gerealiseerd zijn onderdeel te laten blijven van de grondexploitatie. De voorwaarde die natuurlijk wel van toepassing is dat de grond eigendom is van de gemeente. Tevens worden ook de lasten en baten samenhangend met de tijdelijke invulling van de gronden onderdeel van de grondexploitatiebegroting.

Vaststellen normenkader Met ingang van het boekjaar 2023 is het niet langer toegestaan om het normenkader ter kennisgeving aan de raad te verstrekken, maar dient het normenkader jaarlijks expliciet door de gemeenteraad vastgesteld te worden.

Verkoop van woningen via de KoopGarant-regeling De Commissie BBV heeft vragen ontvangen over de administratieve verwerking van de verkoop van woningen via de zogenaamde KoopGarant-regeling. Landelijk zijn er meerdere aanbieders van deze regelingen. Ter illustratie voor de verwerking en de aandachtspunten heeft de commissie een specifieke casus beschreven om zo gemeenten een handvat te bieden bij de (financiële) uitwerking van de regeling ten behoeve van hun eigen situatie. De commissie wijst erop dat elke casus zijn eigen specifieke afspraken kent en dat de uitwerking daarom niet onverkort toegepast kan worden op elke regeling met ‘KoopGarant’ kenmerken. Wij adviseren u, indien u een KoopGarantregeling heeft, de unieke kenmerken van deze regeling en de (financiële) uitwerking vroegtijdig af te stemmen met het controleteam.

Reservering accountantskosten De commissie BBV stelt in haar beantwoording dat voor de kostenverantwoording ook voor de accountantskosten aangesloten moet worden op het moment van prestatielevering. Lasten worden verantwoord in het jaar dat de prestatie wordt geleverd, aldus de commissie BBV. De contractuele verplichting ontstaat weliswaar in jaar T, maar die wordt niet verantwoord in de rekening van baten en lasten van jaar T (eventueel wel vermelden bij de niet uit de balans blijkende verplichting). Dit impliceert derhalve dat voor de kosten en uren die de accountant voor de jaarrekening 2022 in 2023 maakt deze in het begrotingsjaar 2023 dienen te worden verantwoord. 31

Afschrijvingsduur van een bijdrage aan activa in eigendom van derden Artikel 64 lid 6 van het BBV bepaald dat voor deze bijdragen aan de activa in eigendom van derden, bedoeld in artikel 34, onderdeel c, de afschrijvingsduur maximaal gelijk is aan die van de activa waarvoor de bijdrage aan derden wordt verstrekt. In de vraag in hoeverre een bijdrage van de provincie dan wel de gemeente ten behoeve van een actief van het Rijk geactiveerd kan worden, geeft de commissie BBV het antwoord dat dergelijke bijdragen direct ten laste van de exploitatie dienen te worden genomen. Dit is gelegen in het feit dat het Rijk het kasstelsel hanteert en investeringen derhalve niet activeert.

Wet Open overheid In artikel 3.5 (Openbaarheidsparagraaf) van de Wet Open overheid (Woo) wordt voorgeschreven dat bestuursorganen in de jaarlijkse begroting aandacht besteden aan de beleidsvoornemens inzake de uitvoering van deze wet en in de jaarlijkse verantwoording verslag doen van de uitvoering ervan, mede in relatie tot de beleidsvoornemens. Deze begroting en jaarlijkse verantwoording vloeien voort uit het Besluit Begroting en Verantwoording (BBV).

Notitie paragraaf bedrijfsvoering Zoals vorig jaar reeds benoemd heeft de commissie BBV de notitie Paragraaf Bedrijfsvoering aangepast. Wij willen u erop wijzen om de stellige uitspraken en aanbevelingen hieruit over te nemen in de paragraaf zoals opgenomen in het jaarverslag.

Actuele ontwikkelingen Overige aandachtspunten SPUK Oekraïne

Specifieke Uitkering (SPUK) Oekraïne Vanwege de komst van vele ontheemden uit Oekraïne naar Nederland, is sinds maart 2022 de noodzaak ontstaan om op binnen een korte termijn voldoende opvangplekken te creëren. De toestroom van ontheemden uit Oekraïne was dermate hoog dat Nederland niet in staat is om binnen de bestaande structuren opvang te bieden. Om die reden heeft het kabinet in het Veiligheidsberaad van 7 maart 2022 de opdracht gegeven aan de voorzitters van de veiligheidsregio’s om samen met gemeenten opvanglocaties te realiseren en te exploiteren voor 50.000 of meer opvangplekken. In de brief aan de Tweede Kamer van 8 maart 20221 heeft het kabinet toegezegd dat de kosten, die worden gemaakt vanwege de realisatie en exploitatie van deze opvang, van rijkswege worden vergoed. De Bekostigingsregeling opvang ontheemden Oekraïne is de uitwerking van die toezegging ten aanzien van gemeenten. De regeling is ingegaan op 4 juni 2022 en zal worden verlengd per 15 oktober 2022. De regeling voorziet in het verstrekken van een specifieke uitkering aan gemeenten voor het vergoeden van de kosten die zijn gemaakt ten behoeve van het realiseren en exploiteren van de opvang en verstrekkingen aan ontheemden uit Oekraïne in de Gemeentelijke Opvang Oekraïne (GOO) en de Particuliere Opvang Oekraïne (POO).

Volgend deel →

De tekst is automatisch uit het bestand gehaald en kan afwijken van het origineel (kolommen, tabellen en koppen lopen door elkaar). Het officiële stuk bij de gemeente is leidend. Bron: https://api1.ibabs.eu/publicdownload.aspx?site=Oss&id=7d82b4e1-cd82-4fa5-b861-77ca41389539