02 Boardletter 2023 gemeente Raalte
Tekst van het document
Boardletter Gemeente Raalte Boekjaar 2023
Aan de gemeenteraad van de gemeente Raalte Postbus 140 8100 AC Raalte ONDERWERP: Boardletter 2023 Datum: 1 mei 2024
Geachte raad, Als onderdeel van de controle van de jaarrekening 2023 van gemeente Raalte hebben wij de administratieve organisatie en de daarin opgenomen maatregelen van interne beheersing beoordeeld, teneinde onze controlewerkzaamheden in overeenstemming met Nederlands recht, waaronder de controlestandaarden, te kunnen bepalen. De opzet, het bestaan en in sommige gevallen de werking van de interne beheersingsmaatregelen van de belangrijkste bedrijfsprocessen, inclusief de geautomatiseerde gegevensverwerking, in uw onderneming zijn beoordeeld en getoetst, zodat we een terugkoppeling kunnen geven over de betrouwbaarheid van de interne informatievoorziening en de jaarrekening. De bevindingen komen voort uit onze werkzaamheden in het kader van de jaarrekeningcontrole en zijn opgenomen voor zover wij het van belang achten om deze met u te communiceren. Deze brief bevat daardoor niet alle onvolkomenheden in de interne beheersing, die bij een eventueel uitgebreid en hierop specifiek gericht onderzoek naar voren zouden kunnen komen. Zoals u zult begrijpen, is de boardletter van nature positief kritisch. Wij rapporteren over de eventuele leemtes of mogelijkheden ter verbetering van de financiële en administratieve processen, de administratieve organisatie daarvan en de daarin opgenomen maatregelen van interne beheersing.
Op uw verzoek geven wij in deze boardletter aan op welke wijze verbeteringen van de administratieve organisatie en de daarin opgenomen maatregelen van interne beheersing kunnen worden gerealiseerd. Deze boardletter is door ons opgesteld voor uw informatie en mag niet zonder onze uitdrukkelijke toestemming geheel of gedeeltelijk aan derden ter beschikking worden gesteld. Wij danken u en uw medewerkers voor de samenwerking en zijn graag bereid tot het verstrekken van nadere toelichting. Hoogachtend, Baker Tilly (Netherlands) N.V.
drs. E.H.J.D. Damman RA 2
Inhoudsopgave CONTACT
drs. E.H.J.D. (Edwin) Damman RA Partner Audit (verantwoordelijke accountant) +31 (0)6 13 74 45 08 e.damman@bakertilly.nl
P. (Peter) Stevens RE RA Sr. Manager Audit +31 (0)6 52 76 55 24 p.stevens@bakertilly.nl
Bestuurlijke samenvatting
Interne beheersing
KANTOORGEGEVENS Baker Tilly (Netherlands) N.V. Burgemeester Roelenweg 14-18 8021 EV Zwolle Postbus 508 8000 AM Zwolle +31 38 425 86 00
Actualiteiten 3
1. Bestuurlijke samenvatting
4
1. Bestuurlijke samenvatting
Deze boardletter bevat onze bevindingen die zijn gebaseerd op onze werkzaamheden in het kader van de jaarrekeningcontrole voor het jaar eindigend op 31 december 2023.
Gemeente Raalte werkt gericht aan de verdere verbetering van de interne beheersing. Een aantal eerder gerapporteerde bevindingen (ML 2022) zijn opgepakt. Zo zijn er stappen gezet in de controle op prestatielevering van de als meer risicovol geclassificeerde inkopen, in de naleving aanbestedingsregels rondom inhuur personeel en bij de collegiale toetsing WMO. Voor verschillende andere bevindingen heeft de gemeente een bewuste afweging gemaakt omtrent het na te streven ambitieniveau van interne beheersing.
De invoering Rechtmatigheidsverantwoording (RMV) door het College miv 2023 stelt hoge eisen aan de interne organisatie. Gemeente Raalte lijkt in voldoende mate klaar voor haar rechtmatigheid verantwoording over 2023. De formele vaststelling van de benodigde kaders (normenkader, controleprotocol, financiële- en controleverordening) moet nog plaatsvinden maar is gepland. In het verlengde van zowel het werken aan de interne beheersing als de invoering van de RMV adviseren wij de inrichting van de processen nog uitvoeriger te beschrijven, inclusief een analyse van de aanwezige procesrisico’s (inclusief fraude). Ook de aanwezige gemeentelijke frauderisico analyse kan daarmee nog nader worden gedetailleerd.
IT omgeving. In het kader van onze jaarrekeningcontrole hebben we de processen rondom uw IT onderzocht. Wij hebben in dat kader de applicaties iFinancien, Suites voor Sociaal Domein en MO platform onderzocht. We constateren dat qua interne beheersing verschillende zaken goed geregeld zijn maar er op onderdelen nog verbeteringen gewenst zijn.
Tot slot hebben we vanuit het oogpunt van onze natuurlijke adviesfunctie in deze boardletter een onderdeel opgenomen met actuele ontwikkelingen De samenwerking met de gemeente Raalte verloopt op een prettige en effectieve wijze.
5
2. Interne beheersing
6
2. Interne beheersing 2.1 Algemeen Doel en reikwijdte
Het doel van onze jaarrekeningcontrole is het vormen van een oordeel over de getrouwheid van de jaarrekening (waaronder inbegrepen de rechtmatigheidsverantwoording) als geheel, zoals bedoeld in het Besluit Accountantscontrole Decentrale Overheden (Bado). Vanuit de jaarrekeningcontrole beoordelen wij de kwaliteit van de administratieve organisatie en interne beheersing voor zover relevant voor onze oordeelsvorming en geven wij geen zelfstandig oordeel over de kwaliteit van de administratieve organisatie en interne beheersing. De controle van de jaarrekening omvat het uitvoeren van controlewerkzaamheden, waaronder risicoanalyse, cijferanalyses, beoordeling van de administratieve procedures en het daarmee samenhangende systeem van interne beheersingsmaatregelen en gegevensgerichte controlewerkzaamheden. De samenstelling en omvang van die werkzaamheden zijn noodzakelijk voor het verkrijgen van voldoende controle-informatie ter onderbouwing van ons oordeel.
Risicoanalyse
Onze risicoanalyse richt zich op een betrouwbare totstandkoming van de jaarrekening. Dit betekent dat wij niet alle risico’s die voor u als gemeente relevant zijn in onze controle meenemen. De risicoanalyse is een continue proces en stellen wij gedurende de controle indien nodig bij. De belangrijkste bij uw gemeente onderkende risico’s / kernpunten in de controle zijn: • • • •
Invoering van de rechtmatigheidsverantwoording; Doorbreking van AO/IB door het management; Schattingsposten en veronderstellingen van het management (waaronder waardering grondexploitaties); Prestatielevering inkopen.
In ons verslag van bevindingen rapporteren wij naar aanleiding van de jaarrekeningcontrole over bovenstaande punten. In 2023 is het risico inzake de rechtmatigheidsverantwoording toegevoegd, deze verantwoordelijkheid ligt nu immers bij het college.
7
2. Interne beheersing 2.2 Beeld interne beheersing Processen Inzicht in de procesbeheersing is voldoende maar kan nog worden verbeterd
In onze boardletter 2022 hebben wij u gewezen op het belang van procesbeschrijvingen en –analyses waaruit blijkt welke de binnen de processen te beheersen (proces)risico’s zijn, welke maatregelen van interne beheersing de gemeente daarop heeft getroffen (of bewust juist niet) en op welke wijze de (al dan niet verbijzonderde) interne controle toetst op de werking van die maatregelen. Of daar waar beheersmaatregelen bewust – bijvoorbeeld gezien de omvang van de organisatie of vanuit een oogpunt van doelmatigheid – niet zijn getroffen, welke mitigerende (verbijzonderde) interne controle maatregelen getroffen zijn. Evenals over 2022 constateren wij dat de gemeente Raalte nog niet beschikt over expliciet uitgewerkte procesbeschrijvingen waaruit blijkt hoe interne controles er precies uitzien. Raalte heeft dit in beginsel uitgewerkt in het interne controleplan. Ofschoon daarmee voldoende basis bestaat voor een inzicht in het niveau van de interne beheersing en ook aanknopingspunten voor de uit te voeren verbijzonderde interne controles (keuze gegevens- of systeemgericht) bestaan, blijft als constatering dat hier nog een nadere verdieping mogelijk c.q. gewenst is.
Wij adviseren de inrichting van de processen nog uitvoeriger te beschrijven
Verschillende detailbevindingen uit de ML 2022 zijn opgepakt
Afwegingen na te streven ambitieniveau interne beheersing gemaakt door MT
Een adequate beschrijving en toereikende inrichting en werking van de interne beheersing vormt immers de basis voor een betrouwbare informatievoorziening. Daarnaast is het een randvoorwaarde voor de verbijzonderde interne controle en door ons als accountant om over te kunnen gaan van een gegevensgerichte naar een systeemgerichte controlestrategie. Hierdoor wordt het mogelijk om te steunen op de maatregelen van interne beheersing waardoor minder gegevensgerichte detailcontroles hoeven te worden uitgevoerd. Bovendien vereenvoudigd dit de insteek van de interne controles ten behoeve van de rechtmatigheidsverantwoording door het college. Wij gaan graag met u in gesprek over de op dit vlak te zetten stappen. Mede in dit kader hebben wij in onderdeel 2.4 van deze boardletter een meer gedetailleerd overzicht gegeven van de aandachtspunten die wij uit hoofde van onze interim controle binnen uw processen hebben gesignaleerd. Dit leidt tot het beeld dat gemeente Raalte gericht werkt aan de verdere verbetering van de interne beheersing. Een aantal eerder gerapporteerde bevindingen (ML 2022) zijn opgepakt. Zo zijn er stappen gezet in de controle op prestatielevering van de als meer risicovol geclassificeerde inkopen, naleving aanbestedingsregels rondom inhuur personeel en collegiale toetsing WMO.
Ten aanzien van verschillende andere bevindingen is een bewuste afweging gemaakt omtrent het na te streven ambitieniveau van interne beheersing. Dit in overleg met de betreffende domein managers en vervolgens na bespreking in het MT. Ofschoon dit de logische route is adviseren wij in voorkomende gevallen gemaakte keuzes nog expliciet te laten bekrachtigen door het DT.
8
2. Interne beheersing 2.3 Rechtmatigheidsverantwoording Invoering rechtmatigheidsverantwoording door het College m.i.v. 2023 stelt hoge eisen aan de interne organisatie
Rechtmatigheidsverantwoording 2023 Per 1 januari 2023 moet de gemeente zelf een rechtmatigheidsverantwoording in de jaarrekening opnemen. Voorheen vormde de accountant een oordeel en bracht hierover verslag uit. Met ingang van boekjaar 2023 wordt het een verplichting voor het college van burgemeester & wethouders. De van toepassing zijnde wet- en regelgeving (Besluit begroting en verantwoording en Besluit Accountantscontrole Decentrale overheden) is op dit moment in revisie/in consultatie. De verwachting is dat deze formalisatie de komende tijd gaat plaatsvinden. De rechtmatigheidsverantwoording ziet primair toe op de volgende rechtmatigheidsaspecten: • • •
Begrotingscriterium (begrotingsrechtmatigheid, kredietrechtmatigheid) Voorwaardencriterium (met betrekking tot b.v. aanbestedingsrechtmatigheid, treasury, subsidies, uitkeringen, enz.); M&O (Misbruik & Oneigenlijk) (vaststellen dat college M&O-beleid heeft nageleefd).
Het college zal derhalve op al deze aspecten tot een onderbouwd oordeel moeten komen inclusief de onderliggende interne controledossiers. Op basis hiervan moeten wij als onafhankelijke derde zelfstandig kunnen reviewen en beoordelen dat de rechtmatigheidsverantwoording door het college getrouw is. Dit stelt hoge eisen aan de door de gemeente uit te voeren risicoanalyses, te hanteren normen/toetsingskaders en de uitvoering en documentatie van de uitgevoerde interne controle werkzaamheden zoals die landen in de interne controle dossiers. Zie voor de actuele stand van zaken de samenvatting op de navolgende pagina
In de tabel op de navolgende pagina hebben wij de in dit kader door de gemeente uit te voeren werkstappen samengevat. Per stap is de status per het moment van schrijven van deze boardletter (medio november) middels een kleurcode en aanvullende toelichting zoals vanuit de organisatie verkregen (en door ons getoetst) weergegeven. Onze voorlopige conclusie is dat de door de gemeente Raalte gekozen aanpak (in opzet) pragmatisch, maar voldoende goed is. Als belangrijkste punten in dit kader gelden: •
• •
De gemeente heeft ervoor gekozen de uitvoering van de VIC werkzaamheden extern te beleggen op basis van het opgestelde controleplan 2023. Belangrijk is het feit dat de gemeente hierin zelf de eindverantwoording en –regie houdt. Dit wordt intern onderkend en is ingeregeld; De realisatie van de voorgenomen tijdsplanning. Belangrijkste aandachtspunt zal zijn een tijdige uitvoering van de (volledige) VIC werkzaamheden. Naar wij hebben begrepen is de interne monitoring op de voortgang tot aan komend voorjaar intern belegd; De kwaliteit (volgbare audit trail, cross references naar gebruikte controle informatie) van de interne controle dossiers. Het is van wezenlijk belang dat voor ons als controlerend accountant de door de VIC uitgevoerde werkzaamheden voldoende zichtbaar en duidelijk volgbaar zijn. 9
2. Interne beheersing 2.3 Rechtmatigheidsverantwoording en VIC Status Toelichting (nov)
Nr.
Benodigde werkstappen
1
Vaststellen Normenkader 2023
2
Vaststellen Controleprotocol 2023
3
Vaststellen geactualiseerde Financiële Verordening, Controle verordening (inclusief verantwoordingsgrens)
4
Actueel intern controleplan 2023 (kaderstelling en uitgangspunten)
Controleplan 2023 is gereed.
5
Bepalen posten en stromen in scope (tov verantwoordingsgrens)
Gedaan op basis van de begroting 2023, uitkomst is opgenomen in het controleplan 2023. Aandachtspunt blijft dat de finale scoping plaats moet vinden op de definitieve cijfers van de jaarrekening 2023. Dit kan logischerwijs pas in het voorjaar.
6
Actuele (RM) risico analyse per proces in scope
Voldoende opgenomen in VIC plan
7
Actuele procesanalyses / beschrijvingen irt de geïdentificeerde procesrisico’s ter identificatie aanwezig / noodzakelijke beheers- of aanvullende controlemaatregelen
Zie ook 2.2. Volledige uitwerking procesbeschrijvingen vormt nog een aandachtspunt.
In concept gereed, vaststelling door de raad gepland voor 21/12 a.s. In concept gereed, vaststelling door de raad gepland voor 21/12 a.s.
In concept gereed, vaststelling door de raad gepland voor 21/12 a.s.
8
Uitgewerkt toetsingskader (niet verplicht, wel zeer gewenst)
Gemeente Raalte heeft gekozen geen afzonderlijk RM-toetsingskader uit te werken. In een toetsingskader worden de relevante artikelen uit de wet- en regelgeving die betrekking hebben op financiële beheers handelingen gekoppeld aan de procescontroles. Dit is bij Raalte feitelijk impliciet gedaan middels de uitwerkingen per proces in het VIC plan 2023. Ofschoon dit een acceptabele werkwijze is blijft in potentie het risico bestaan dat nu pas in een later stadium blijkt dat mogelijk relevante artikelen niet geraakt zijn.
9
Actuele controlewerkprogramma’s per proces op basis van het geldende toetsingskader
VIC werkzaamheden zijn opgenomen in het VIC plan. In hoeverre deze volledig sluitend zijn hebben wij in dit stadium niet beoordeeld, zie ook de opmerking onder 8.
10
Tijd- en Resourceplanning uitvoering controlewerkprogramma’s
Tijdsplanning is aanwezig, resources zijn extern ingehuurd. De voortgang van de werkzaamheden wordt intern gemonitord.
Legenda status november 2023: = afgerond = onderhanden & op schema = nog niet opgepakt of achter op schema
10
2. Interne beheersing 2.4 Procesbevindingen Deze boardletter bevat onze bevindingen die zijn gebaseerd op onze werkzaamheden in het kader van de jaarrekeningcontrole voor het jaar eindigend op 31 december 2023. Deze werkzaamheden zijn dan ook niet gericht op het geven van een oordeel over de interne beheersing van uw organisatie als geheel. Vorig jaar zijn in de boardletter ook diverse aanbevelingen benoemd ter verdere optimalisering van de bestaande AO/IB. In deze boardletter hebben wij deze bevindingen meegenomen in de update van bevindingen.
In de tabel is een overzicht opgenomen van onze detailbevindingen. De kleur van het symbool geeft de status van de constatering aan. = opgelost = actie ondernomen, maar nog niet afgerond = geen actie ondernomen = nieuwe bevinding #
Proces
Bevinding
Status in ML 2022
Status per heden
1
Inkopen
2
Prioriteit
Functiescheiding bij autoriseren facturen niet altijd aanwezig
●
●
Hoog
Inkopen
Prestatielevering onvoldoende onderbouwd
●
●
Midden
3
Inkopen
Contractenregister niet ingezet voor naleving aanbestedingsregels
●
●
Midden
4
Aanbestedingen
Geen preventieve controle op juiste aanbestedingsvorm
●
●
Hoog
5
Crediteurenstamgegevens
Controle op juistheid bankgegevens te summier
●
●
Hoog
6
Sociaal domein
Collegiale toetsing ontbreekt
●
●
Midden
7
Sociaal domein
Prestatielevering onvoldoende onderbouwd
●
●
Midden
8
Omgevingsvergunningen
Volledigheidscontrole op legesomvang ontbreekt
●
●
9
Omgevingsvergunningen
Collegiale bouwkostentoets ontbreekt
●
●
10
Personeel
Tijdigheid verwerking mutaties
●
●
Laag
11
Planning & control
Procesbeschrijvingen onvolledig
●
●
Midden
12
Fiscaal
Impact opnemen in besluitvormingsstukken
●
●
Laag
13
Omgevingsvergunningen
Verouderde eenheidsprijzen in bouwkostentoets
●
Laag
14
Betalingen
Ontbreken originele handtekening
●
Hoog 11
2. Interne beheersing 2.5 Frauderisicoanalyse en frauderisico’s Fraude- en corruptierisico’s
Frauderisicoanalyse De primaire verantwoordelijkheid voor het voorkomen en detecteren van fraude (waaronder corruptie) berust bij het college van burgemeester en wethouders. Deze verantwoordelijkheid betreft ook het onderhouden van een zodanige interne beheersing om het opmaken van de jaarrekening mogelijk te maken zonder dat deze afwijkingen van materieel belang bevat als gevolg van fraude of fouten. Voor het opstellen van een frauderisicoanalyse is het raadzaam een template te gebruiken toegespitst op uw gemeente. Hierin kan voor processen waar materiële opbrengsten-/kostenstromen mee zijn gemoeid, inzichtelijk worden gemaakt:
Welke frauderisico’s de gemeente onderkent; Wat de geschatte kans en impact van deze frauderisico’s is; Wat de risicorespons van de gemeente is, idealiter afgestemd op de risicobereidheid van de gemeente zoals vastgelegd in frauderisicobeleid; Welke interne beheersmaatregelen reeds getroffen zijn om onderkende frauderisico’s te mitigeren; Welke eventuele restrisico’s/leemtes in de interne beheersing resteren en hoe de gemeente deze ondervangt (bijvoorbeeld via de verbijzonderde interne controle).
De kans- en impactweging van frauderisico’s kan via een risicomatrix weergegeven worden om op basis daarvan prioriteiten te stellen in de wijze waarop met risico’s wordt omgegaan. Een voorbeeld van hoe een risicomatrix eruit kan zien is hiernaast opgenomen. Voor de duidelijkheid benoemen we graag dat er een relatie is tussen fraude en misbruik en oneigenlijk gebruik (M&O). M&O is namelijk een vorm van fraude waarbij de nadruk ligt op handelingen van derden in relatie tot het verkrijgen van overheidsbijdragen dan wel het betalen van heffingen. Wij raden u aan om bij het opstellen van een frauderisicoanalyse, ook expliciet aandacht te besteden aan M&O-risico’s vanwege de verwevenheid tussen fraude en M&O, zie ook ‘Kadernota Voorkomen en Bestrijden Misbruik en Oneigenlijk gebruik 2023’. Tot slot merken wij op dat het uitvoeren van een frauderisicoanalyse en het treffen van interne beheersmaatregelen, onderdeel vormen van het bredere ‘frauderisicomanagement’. Frauderisicomanagement omvat namelijk ook het opstellen van frauderisicobeleid (waar M&O-beleid al dan niet onderdeel van kan vormen), het opstellen van een frauderesponsplan voor situaties dat een vermoeden van fraude bestaat en het periodiek intern evalueren in hoeverre frauderisicomanagement voldoende is ingericht en toereikend werkt binnen de organisatie. 12
2. Interne beheersing 2.6 Beheersing frauderisico’s Fraude- en corruptierisico’s
Gemeentelijke frauderisicoanalyse op hoofdlijnen opgesteld, nadere detaillering is gewenst
Op basis van onze uitgevoerde interim-controle stellen wij vast dat de gemeente nog niet beschikt over een gedetailleerde interne frauderisicoanalyse. Wel is er eind 2022 een meer beschrijvende frauderisico analyse opgesteld waarin een analyse op hoofdlijnen is gemaakt. Een gerichte analyse van de procesrisico’s (waaronder fraude risico's) per proces is nog niet voorhanden. Derhalve zijn wij van mening dat hier in principe nog een verdiepingsslag in te maken is en wij adviseren dit de komende tijd op te pakken. Ook de verbijzonderde interne controle kan aan waarde winnen als de insteek hiervan (mede) expliciet wordt ingericht vanuit de uitkomsten van een analyse van proces(fraude)risico’s en de daarop al dan niet getroffen interne beheersmaatregelen. In geval van aanwezige maatregelen kunnen die dan worden getest door de VIC, daar waar gesignaleerd wordt dat maatregelen nog ontbreken kunnen die worden geïmplementeerd of kan gekozen worden voor het expliciet accepteren van een risico in combinatie met detailcontroles achteraf.
Onze frauderisicoanalyse Vanuit onze controle van de jaarrekening onderkennen wij als belangrijke aandachtspunten: • •
Het risico dat facturen worden goedgekeurd waar geen prestatie voor uw gemeente tegenover staat; Vanuit de ontwikkelende regelgeving rondom corruptie / fraude geldt dat ook het (eventuele) corruptie risico t.a.v. inkopen moet worden beoordeeld. Dit werkt zo uit omdat voor alle contracten > 3 mln. bezien moet worden of sprake is geweest van aanwijsbare (duidelijke) functiescheiding rondom gunningscriteria, afwegingen ten aanzien van de gevolgde aanbesteding (hoe in de markt gezet) en gunning. Voor deze contracten moeten tevens expliciet worden bezien of de interne beoordeling van eventueel meerwerk ten opzichte van de originele contractwaarde en accordering daarvan onder voldoende functiescheiding heeft plaatsgehad.
De passages die wij voornemens zijn op te nemen in de controleverklaring stemmen wij tijdig met u af en zullen wij bij de bespreking van het accountantsverslag met u doornemen.
13
2. Interne beheersing 2.7 IT-Beheersing
De mate van risico die u als organisatie loopt bij constateringen verschilt per IT aandachtsgebied. Een inschatting van de impact op de controle en op uw organisatie vindt u in de afbeelding rechts. De kleur van de het symbool geeft de status van de constatering aan. Benodigd, verbetering op (korte) termijn
Belangrijkste bevindingen IT beheersing Omgeving Impact op de controle
De tabellen op deze pagina geven een overzicht van onze bevindingen ten aanzien van de processen en de IT aandachtsgebieden binnen uw organisatie.
s
Toegangsbeveiliging
Wijzigingsbeheer
Toegangsbeveiliging
Wijzigingsbeheer
Continuïteit
Proces
Netwerk AD MS SQL database Oracle database
Overige punten Continuïteit
Belang voor uw organisatie
iFinancien
Alle
SSD
Sociaal domein
MO Platform
Sociaal domein
Adviespunt, verdere aanscherping mogelijk Op dit moment voldoende
Het IT-beheer van de gemeente Raalte wordt uitgevoerd door de DOWR-I werkorganisatie. De in deze boardletter beschreven bevindingen zijn daarom de zaken zoals die resulteren de uit de door onze IT auditors bij en in DOWR-I verband uitgevoerde IT audit werkzaamheden ten behoeve van de aangesloten gemeenten. Uit het samenvattend overzicht blijkt dat het IT-beheer op feitelijk alle onderzochte vlakken minimaal toereikend is. Op onderdelen is nog nadere aanscherping mogelijk en/of in het licht van de toenemende vereisten rondom informatieveiligheid gewenst. Deze zaken hebben in DOWR-I verband de aandacht.
14
3. Actualiteiten
15
3. Actualiteiten 3.1 Aankomende wetswijzigingen in BBV en Bado Afgelopen zomer heeft het Rijk enkele wijzigingen op het Besluit Begroting en Verantwoording provincies en gemeenten (BBV) en het Besluit Accountantscontrole Decentrale Overheden (Bado) voorgesteld. Samenvattend zijn de belangrijkste voorgestelde wijzigingen opgenomen:
Aanpassing Bado
Controleverklaring bij de jaarrekening
Met ingang van 2024, mogelijk 2025, veranderen de goedkeuringstoleranties voor de jaarrekeningcontrole. Voorheen werd voor fouten uitgegaan van 1% van de totale lasten inclusief dotaties aan de reserves en voor onzekerheden 3%. Vanaf 2024 worden fouten en onzekerheden samengevoegd en wordt de goedkeuringsgrens gesteld op 2% van de totale lasten (dus zonder toevoeging reserves). Deze wijziging kan een belangrijke impact hebben. Wij adviseren u te evalueren wat dit voor uw situatie betekent en welke stappen gezet dienen te worden ter waarborging dat de fouten en onzekerheden binnen de goedkeuringstoleranties blijven vanaf 2024.
Vanuit onze beroepsvereniging NBA is aangegeven dat in het BBV duidelijkheid wordt gegeven over de publicatie van de controleverklaring in de jaarstukken van decentrale overheden. In het BBV is nu niet opgenomen dat deze verklaring onlosmakelijk deel uitmaakt van de jaarrekening en dat noch de definitieve jaarrekening en / of de jaarstukken noch de controleverklaring separaat gepubliceerd mogen worden. Hierdoor komt het voor dat jaarstukken van decentrale overheden worden gepubliceerd zonder de daarbij afgegeven controleverklaring.
Ten aanzien van de SISa-bijlage houdt de accountant de verantwoordelijkheid om ook de rechtmatigheid vast te stellen.
De volgende tabel zal gehanteerd worden t.b.v. het oordeel: Materialiteit
Goedkeurende verklaring
Verklaring met beperking
Verklaring van oordeelonthouding /afkeurende verklaring
Fouten in de jaarrekening en onzekerheden in de controle
≤2%
>2% - ≤4%
> 4%
Het is in het publiek belang dat de jaarstukken altijd met inbegrip van de controleverklaring toegankelijk worden voor het maatschappelijk verkeer, zoals raadsleden, burgers en andere belanghebbenden. Om dit te borgen heeft onze beroepsvereniging suggesties opgenomen ter aanpassing van artikel 24 lid 3 van het BBV, door daarin ‘overige gegevens’ toe te voegen waarin de controleverklaring wordt opgenomen. Wij adviseren u om vooruitlopend op deze aanpassing deze werkwijze alvast toe te passen voor de jaarrekening 2023.
16
3. Actualiteiten 3.1 Aankomende wetswijzigingen in BBV en Bado Afgelopen zomer heeft het Rijk enkele wijzigingen op het Besluit Begroting en Verantwoording provincies en gemeenten (BBV) en het Besluit Accountantscontrole Decentrale Overheden (Bado) voorgesteld. Samenvattend zijn de belangrijkste voorgestelde wijzigingen opgenomen:
Uitbreiding inhoud jaarrekening
Notitie Overhead
De voorgeschreven inhoud van de jaarrekening wordt uitgebreid met de rechtmatigheidsverantwoording. Hiermee bestaat de jaarrekening uit:
De Notitie Overhead van de commissie BBV is in het voorjaar 2023 geactualiseerd en ter consulatie gepubliceerd. Ten opzichte van de notitie overhead 2016 is een belangrijke aanpassing de definitie van het begrip overhead zelf. Deze wordt als volgt gedefinieerd:
• • • • •
Het overzicht van baten en lasten in de jaarrekening en de toelichting; De balans en de toelichting; De rechtmatigheidsverantwoording De bijlage met de verantwoordingsinformatie over specifieke uitkeringen; Een bijlage met het overzicht van de gerealiseerde baten en lasten per taakveld.
De volgende eisen worden gesteld aan de rechtmatigheidsverantwoording: 1. In de jaarrekening is een rechtmatigheidsverantwoording opgenomen, met inachtneming van de verantwoordingsgrens. 2. De rechtmatigheidsverantwoording bevat een toelichting op de rechtmatige totstandkoming van de baten, lasten en balansmutaties. 3. De gemeenteraad en provinciale staten stellen de verantwoordingsgrens vast. De verantwoordingsgrens valt binnen 0 tot 3% van de totale lasten, exclusief de dotaties aan de reserves. 4. Indien het eindbedrag hoger is dan de verantwoordingsgrens licht het college van burgermeesters en wethouders of gedeputeerde staten deze afwijking toe in de rechtmatigheidsverantwoording. De commissie BBV stelt een modeltekst voor de rechtmatigheidsverantwoording op.
“het geheel van functies gericht op de sturing en ondersteuning van de medewerkers in het primaire proces. Hiertoe behoren ook de systemen en aanverwante lasten die deze functies ondersteunen.”
Daarnaast doet de commissie BBV de volgende stellige uitspraken, welke overigens al bestonden. •
De methodiek voor het toerekenen van overhead, zoals opgenomen in het overzicht overhead, aan lokale heffingen en rechten mag niet afwijken van de overige methodieken voor het toerekenen van overhead aan gemeentelijke taakvelden;
•
Bij de berekening van de tarieven voor lokale heffingen moet de methodiek voor de toerekening van overhead worden opgenomen in de financiële verordening.
Ook zijn er voorbeelden toegevoegd die antwoord geven op actuele vraagstukken. De notitie treedt na publicatie naar verwachting in werking vanaf begrotingsjaar 2025.
17
3. Actualiteiten 3.1 Aankomende wetswijzigingen in BBV en Bado Afgelopen zomer heeft het Rijk enkele wijzigingen op het Besluit Begroting en Verantwoording provincies en gemeenten (BBV) en het Besluit Accountantscontrole Decentrale Overheden (Bado) voorgesteld. Samenvattend zijn de belangrijkste voorgestelde wijzigingen opgenomen:
Paragraaf Openbaarheid
Paragraaf Bedrijfsvoering
Paragraaf Openbaarheid moet ten minste inzicht verschaffen in:
Daarnaast worden de eisen t.a.v. de paragraaf bedrijfsvoering worden uitgebreid. Tot en met 2023 is de eis:
a. De informatie die op grond van de artikelen 3.1, 3.3 en hoofdstuk 4 van de Wet open overheid openbaar is gemaakt; b. De informatiehuishouding;
“De paragraaf betreffende de bedrijfsvoering geeft ten minste inzicht in de stand van zaken en de beleidsvoornemens ten aanzien van de bedrijfsvoering.”
c. Het aanwijzen en in dienst hebben van een contactpersoon als bedoeld in artikel 4.7 van de Wet open overheid; d. De besteding van subsidie voor de uitvoering van de Wet open overheid; e. De eventuele andere activiteiten benodigd ter uitvoering van de Wet open overheid.
Na goedkeuring van de voorgestelde wijziging verlangt de wetgever de volgende toelichting in deze paragraaf:
De paragraaf betreffende de bedrijfsvoering bevat ten minste: a. De stand van zaken van de bedrijfsvoering;
De op grond van artikel 3.3, eerste en tweede lid, van de Wet open overheid openbaar gemaakte informatie bevat per categorie van informatie ten minste: a. Op grond van welk artikel van de Wet open overheid de informatie openbaar is gemaakt;
b. De beleidsvoornemens ten aanzien van de bedrijfsvoering; c. Informatie over de financiële rechtmatigheid; d. Welke actie wordt ondernomen om afwijkingen van de financiële rechtmatigheid te voorkomen.
b. Het jaar waarin de openbaarmaking van de informatie naar verwachting verplicht is; c. Een omschrijving van de verstrekte informatie; d. Het aantal documenten dat openbaar is gemaakt; e. Het platform waarop de documenten openbaar zijn gemaakt. Het inzicht in de besteding van de subsidie bedoeld in het eerste lid, onderdeel d, bevat ten minste een omschrijving van de wijze waarop de subsidie is besteed.
18
3. Informatieveiligheid 3.2 Is uw gemeente klaar voor de verplichte IT-audits die wij in de publieke sector verwachten? Binnen de publieke sector is informatieveiligheid een hot topic. Gemeenten halen regelmatig negatief het nieuws vanwege incidenten met betrekking tot informatieveiligheid, zoals hacks, CEOfraude en datalekken. De komende jaren treden verschillende nieuwe wetten op het gebied van informatieveiligheid in werking waar ook uw gemeente mee te maken krijgt. Van gemeentelijke colleges wordt verwacht dat de ambtelijke organisatie wordt gefaciliteerd bij de implementatie van deze richtlijnen en wetten. Doel van deze wetten en richtlijnen is dat uw gemeente weerbaarder wordt op het gebied van informatieveiligheid. Daarnaast zal de toezichthoudende rol van de gemeenteraad op het dossier informatieveiligheid ook worden uitgebreid. Verder is het onze verwachting dat de auditlast in relatie tot nu al verplichte IT-audits zal toenemen en dat nieuwe IT-audits hun opwachting zullen maken. Overigens hebben wij begrepen dat de gemeente Raalte inmiddels een groot aantal van de hier genoemde aspecten in beeld heeft en daaraan – mede ook in DOWR-I verband – werkt.
Huidige situatie Jaarlijks legt het college middels de ENSIA collegeverklaring onder andere verantwoording af over informatieveiligheid ten aanzien van DigiD en Suwinet. Van gemeenten wordt verwacht dat ieder jaar een interne audit Wpg (Wet Politiegegevens) wordt uitgevoerd. Eén keer in de vier jaar wordt een externe Wpgaudit uitgevoerd.
Vanaf 2023 – Wet Digitale Overheid Met ingang van 2023 treedt het eerste deel (eerste tranche) van de Wet Digitale Overheid (WDO) in werking. De Wet Digitale Overheid is gebaseerd op de Europese eIDAS-richtlijn en regelt dat burgers veilig kunnen inloggen bij de overheid. Vanaf 2023 is het gebruik van HTTPS en HSTS verplicht. HTTPS configuraties dienen daarnaast te voldoen aan de laatste TLS-richtlijnen.
Vanaf 2024 – wijzigingen ENSIA Tot op heden is de diepgang van de jaarlijkse ENSIA-audit beperkt tot ‘opzet’ en ‘bestaan’ (beleid en implementatie van het beleid middels beheersingsmaatregelen). Vanaf 2024 wordt op een aantal onderdelen ook ‘werking’ van beheersingsmaatregelen getoetst in de jaarlijkse ENSIA-audit. Dit vraagt van uw organisatie dat beheersingsmaatregelen gedurende het jaar consequent en aantoonbaar worden uitgevoerd.
Vanaf 2026 – Wet Digitale Overheid Vanaf 2026 is ook de tweede tranche van de Wet Digitale Overheid van toepassing. Dit deel van de wet vraagt van organisaties dat de governance rondom de verschillende basisregistraties en het delen van persoonsgegevens op orde is.
Vanaf 2024 – NIS2-richtlijn Naar verwachting is vanaf eind 2024 de Europese NIS2richtlijn (Network and Information Security Directive) van toepassing. De verwachting is dat de Baseline Informatiebeveiliging Overheid wordt uitgebreid met een aantal verplichte elementen. Vanuit de NIS2-richtlijn heeft uw organisatie een zorgplicht en meldplicht ten aanzien van informatieveiligheid. Daarnaast zal een toezichthouder toezicht houden op naleving van de NIS2-richtlijn middels (externe) IT-audits. 19
Contactgegevens
Baker Tilly (Netherlands) N.V. Burgemeester Roelenweg 14-18 8021 EV Zwolle Postbus 508 8000 AM Zwolle +31 38 425 86 00
20