Gemeente Raalte, def. Boardletter 2022 - getekend

Boardletter Gemeente Raalte Boekjaar 2022

04/01/2023

© Baker Tilly

1

Aan de gemeenteraad van de gemeente Raalte T.a.v. T. Klein Wolterink Postbus 140 8100 AC RAALTE

Geacht leden van de raad,

ONDERWERP: Boardletter 2022

De opzet, het bestaan en in voorkomende gevallen de werking van de interne beheersingsmaatregelen van de belangrijkste bedrijfsprocessen, inclusief de geautomatiseerde gegevensverwerking, in uw gemeente zijn beoordeeld en getoetst, zodat we een terugkoppeling kunnen geven over de betrouwbaarheid van de interne informatievoorziening en de jaarrekening.

DATUM: 04-01-2023

Als onderdeel van de controle van de jaarrekening 2022 van gemeente Raalte hebben wij de administratieve organisatie en de daarin opgenomen maatregelen van interne beheersing beoordeeld, teneinde onze controlewerkzaamheden in overeenstemming met Nederlands recht waaronder de controlestandaarden te kunnen bepalen.

Onze bevindingen zijn gebaseerd op de normale werkzaamheden in het kader van de jaarrekeningcontrole. De uitkomsten zijn gerapporteerd in een management letter aan de ambtelijke organisatie en het college. Wij constateren dat de interne beheersing in het kader van een betrouwbare jaarrekening en financiële rechtmatigheid rekening houdend met de aanvullende gegevensgerichte werkzaamheden - van voldoende niveau is. In het kader van de doorontwikkeling van de interne beheersing denkt de gemeente Raalte verder na over het verbeteren van processen waarbij de inwoner meer centraal komt te staan. Hierbij zoekt de gemeente ook actief naar sparring om processen doelmatig en doeltreffend in te richten met daarbij een evenwichtige balans tussen risicobereidheid en ‘in control’ blijven. De management letter hebben wij op 14 december 2022 besproken met een afvaardiging van de directie en ambtelijke organisatie. Deze boardletter is een samenvatting van de management letter. Deze boardletter is door ons opgesteld voor uw informatie en mag niet zonder onze uitdrukkelijke toestemming geheel of gedeeltelijk aan derden ter beschikking worden gesteld. Wij danken u en uw medewerkers voor de samenwerking en zijn graag bereid tot het verstrekken van nadere toelichting. Hoogachtend, Baker Tilly (Netherlands) N.V.

drs. E.H.J.D. Damman RA 2

Inhoudsopgave CONTACT drs. E.H.J.D. (Edwin) Damman RA Partner Audit (verantwoordelijke accountant) +31 (0)6 13 74 45 08 e.damman@bakertilly.nl

1. Samenvatting

4

2. Bevindingen en aandachtspunten

6

J.B. (Martine) Vree-Brink MSc RA Manager Audit +31 (0)6 52 76 55 24 m.vree@bakertilly.nl

KANTOORGEGEVENS Baker Tilly (Netherlands) N.V. Burgemeester Roelenweg 14-18 8021 EV Zwolle Postbus 508 8000 AM Zwolle +31 38 425 86 00

3

Samenvatting 4

1. Bestuurlijke samenvatting Wij zien dat de gemeente Raalte belang hecht aan een goede interne beheersing. We constateren dat de gemeente proactief en planmatig werkt vanuit een overkoepelende visie op planning en control. We stellen vast dat de gemeente Raalte beschikt over een sterke kern van medewerkers binnen het team Financiën die aan de basis staat van een steeds, zich op basis van in- en externe omstandigheden en invloeden, verder ontwikkelende planning en control cyclus. Waarbij de wil om het goed te doen de boventoon voert. De gemeente Raalte gaat hierbij meer het accent van buiten naar binnen leggen in plaats van binnen naar buiten. De inwoner komt hierdoor meer centraal te staan. U wilt meer tijd aan de voorkant van een proces nemen, waardoor er aan de achterkant minder bijgestuurd hoeft te worden. U gaat kijken naar wat minimaal moet om processen doelmatig te houden maar wel ‘in control’ te blijven. Wij onderstrepen het belang en jullie acties om het in control zijn (zowel door hard- als softcontrols) verder door te zetten.

Deze boardletter bevat onze bevindingen die zijn gebaseerd op onze tussentijdse werkzaamheden in het kader van de jaarrekeningcontrole voor het jaar eindigend op 31 december 2022.

Uit onze IT-audit komt naar voren dat op de door ons geïdentificeerde aandachtsgebieden van automatisering ten aanzien van authenticatie voor de databases nog verbeteringen mogelijk zijn. Dat geldt ook voor de logische toegangsbeveiliging en het wijzigingsbeheer van zowel de financiële als de sociale zaken applicaties. Wij adviseren u deze zaken op te pakken. Enerzijds in verband met de risico’s die er mee samenhangen. Anderzijds om de IT-omgeving de bedrijfsvoering zo goed mogelijk te laten faciliteren. Nederland heeft op dit moment te maken met enkele extreme omstandigheden: fors oplopende inflatie, de energiecrisis en de capaciteitsproblemen op de arbeidsmarkt. Deze omstandigheden leiden tot financiële risico’s voor de gemeente op langere termijn, maar zeker ook op korte termijn in relatie tot het opstellen van de jaarrekening 2022.

Het voorgaande laat onverlet dat bij diverse processen nog wel verbeteringen mogelijk c.q. noodzakelijk zijn. Belangrijke onderdelen zijn daarbij het inrichten van, en bij andere processen ook het technisch afdwingen van (controletechnische) functiescheiding.

5

2. Bevindingen en aandachtspunten 6

2. Bevindingen en aandachtspunten 2.1 Algemeen Inleiding Doel en reikwijdte

Risicoanalyse

Het doel van onze jaarrekeningcontrole is het vormen van een oordeel over de getrouwheid en de rechtmatigheid van de jaarrekening als geheel, zoals bedoeld in het Besluit Accountantscontrole Decentrale Overheden (BADO). Vanuit de jaarrekeningcontrole beoordelen wij of de kwaliteit van de administratieve organisatie en interne beheersing voor zover relevant voor onze oordeelsvorming en geven wij geen zelfstandig oordeel over de algehele kwaliteit van de administratieve organisatie en interne beheersing. De controle van de jaarrekening omvat het uitvoeren van controlewerkzaamheden, waaronder risicoanalyse, cijferanalyses, beoordeling van de administratieve procedures en het daarmee samenhangende systeem van interne beheersingsmaatregelen en gegevensgerichte controlewerkzaamheden. De samenstelling en omvang van die werkzaamheden zijn noodzakelijk voor het verkrijgen van voldoende controle-informatie ter onderbouwing van ons oordeel.

Onze risicoanalyse richt zich op een betrouwbare totstandkoming van de jaarrekening. Dit betekent dat wij niet alle risico’s die voor u als gemeente relevant zijn in onze controle meenemen. De risicoanalyse is een continue proces en stellen wij gedurende de controle indien nodig bij. De belangrijkste bij uw gemeente onderkende risico’s / kernpunten in de controle zijn: • Waardering van de grondexploitaties; • Naleving van Europese aanbestedingsregelgeving; • Doorbreking van AO/IB door het management; • Schattingsposten en veronderstellingen van het management; • Handmatige c.q. spoedbetalingen; • Prestatielevering inkopen. • Uitkeringen (lasten Participatiewet, WMO, Jeugd) In deze boardletter en ons verslag van bevindingen rapporteren wij naar aanleiding van de jaarrekeningcontrole over bovenstaande punten.

7

2. Bevindingen en aandachtspunten 2.2 Bedrijfsprocessen Beeld interne beheersing

Om alle financiële, bestuurlijke en organisatorische uitdagingen in de komende tijd in goede banen te leiden worden hoge eisen aan het planning- en control instrumentarium, alsmede het interne beheersingssysteem gesteld. Ook de aanstaande invoering van de rechtmatigheidsverantwoording door het college stelt hogere eisen aan het interne beheersingssysteem. De gemeente Raalte hecht waarde aan een goede interne beheersing. We constateren dat de gemeente proactief en planmatig werkt vanuit een visie en plan op planning en control. We stellen vast dat de gemeente Raalte beschikt over een sterke kern van medewerkers binnen het team Financiën die aan de basis staat van de verder te ontwikkelen planning en control cyclus. Hierbij wordt voldoende rekening gehouden met de in- en externe omstandigheden en invloeden. Waarbij de wil om het goed te doen de boventoon voert. Het is belangrijk om de rest van de organisatie daarin mee te (blijven) nemen en blijvende alertheid en bewustzijn van risico’s en beheersingsmaatregelen te hebben (zowel door hard- als softcontrols), bijvoorbeeld op het gebied van autorisatie inkoopfacturen en cybersecurity.

Basis op orde echter beheersmaatregelen nog deels onvoldoende (zichtbaar)

Bij diverse processen zijn verbeteringen mogelijk c.q. noodzakelijk om uw organisatie verder in control te brengen. Belangrijke onderdelen zijn daarbij het inrichten van, en bij andere processen ook het technisch (geautomatiseerd) afdwingen van (controle-technische) functiescheiding. We stellen vast dat op onderdelen de interne beheersingsmaatregelen in het proces nog onvoldoende verankerd zijn. De verbijzonderde interne controlefunctie kan dan niet systeemgericht controleren en wij als accountant ook niet. Dat laatste betekent dat je slechts achteraf kan vaststellen of het goed gegaan is in plaats van of het proces goed werkt. Een controle achteraf kost meer tijd voor zowel de gemeente als voor ons. Daarnaast neemt hierdoor ook het risico op fouten en onrechtmatigheden toe. Bovendien ontbreekt, doordat geen systeemgerichte controle kan plaatsvinden, een automatisch mechanisme waarbij de efficiency, doelmatigheid en effectiviteit van de processen en daarin opgenomen interne beheersingsmaatregelen tegen het licht wordt gehouden.

Procesbeschrijvingen

Transformatie van controle achteraf naar beheersing vooraf

Verder is het van belang dat de gemeente beschikt over procesbeschrijvingen, waaruit blijkt hoe interne controles er precies uitzien. De gemeente Raalte heeft dit uitgewerkt in het interne controleplan. Wij constateren dat niet voor alle processen volledige/actuele vastlegging aanwezig is. Er wordt veelal gerefereerd aan procedures waar de gemeente over beschikt en functiescheidingen die geïmplementeerd zijn. Evenwel is dan niet exact duidelijk hoe de feitelijke key-controls eruit zien Daarnaast is ook niet overal even duidelijk wat nu echt de belangrijkste controls zijn (key controls vs andere interne beheersingsmaatregelen). Een adequate beschrijving en toereikende inrichting en werking van de interne beheersing vormt de basis voor een betrouwbare informatievoorziening. Daarnaast is het een randvoorwaarde voor de verbijzonderde interne controle en door ons als accountant om over te kunnen gaan van een gegevensgerichte naar een systeemgerichte controlestrategie. Hierdoor wordt het mogelijk om te steunen op de maatregelen van interne beheersing waardoor minder gegevensgerichte detailcontroles hoeven te worden uitgevoerd. Daarnaast biedt een toereikende inrichting en werking van de interne beheersing ook een goede grondslag voor de toekomstige rechtmatigheidsverantwoording door het college.

Wij gaan graag met de organisatie in gesprek hoe de weg naar systeemgerichte controles stapsgewijs verder vormgegeven kan worden.

8

2. Bevindingen en aandachtspunten 2.3 Status Rechtmatigheidsverantwoording Rechtmatigheidsverantwoording (1/2) Stand van zaken in verband met invoering rechtmatigheidsverantwoording

Op 27 september jl. heeft de Eerste Kamer het wetvoorstel inzake de invoering van de rechtmatigheidsverantwoording aangenomen. Dit betekent dat met ingang van het boekjaar 2023 de accountant uitsluitend nog een oordeel over de getrouwheid van de jaarrekening afgeeft. In de jaarrekening wordt door het college een nieuwe toelichting over rechtmatigheid opgenomen (‘rechtmatigheidsverantwoording’). In deze rechtmatigheidsverantwoording verantwoordt het college zich over de al dan niet rechtmatige totstandkoming van de lasten, baten en balansmutaties. De accountant stelt vervolgens de getrouwheid van deze verantwoording vast. Wij hebben vernomen dat u over boekjaar 2022 een 2e proefjaar draait met de rechtmatigheidsverantwoording. Op dit moment wordt gekeken naar de noodzakelijke aanpassingen van het Besluit Accountantscontrole Decentrale Overheden (BADO) en het Besluit Begroting en Verantwoording (BBV). Ook bij gemeenten moeten de noodzakelijke voorbereidingen worden getroffen. Naast de verplichting dat in de jaarstukken 2023 een rechtmatigheidsverantwoording moet worden opgenomen en het feit dat deze ook onderbouwd moet worden door (bijvoorbeeld) een verbijzonderde interne controle zijn ook een aantal operationele zaken die (in)geregeld moeten worden.

Met ingang van boekjaar 2023 is het verplicht het normenkader voor de rechtmatigheid jaarlijks door de gemeenteraad te laten vaststellen. Tot en met boekjaar 2022 bestaat ook de mogelijkheid om het normenkader ter kennisgeving in de raad te brengen. Inhoudelijk krijgt de gemeenteraad ook een aanvullende verantwoordelijkheid, namelijk het bepalen van de verantwoordingsgrens die het college moet hanteren voor het opmaken van de rechtmatigheidsverantwoording: •

De gemeenteraad stelt een verantwoordingsgrens (tussen 0% en 3%) vast. Het college moet de financiële onrechtmatigheden boven dit bedrag rapporteren in de rechtmatigheidsverantwoording. Wij adviseren u deze verantwoordingsgrens in de financiële verordening (ex artikel 212) vast te leggen.

•

De gemeenteraad kan kaders opstellen ten behoeve van de rapporteringsgrens waarboven de raad een nadere uiteenzetting verwacht in de paragraaf bedrijfsvoering. In lijn met artikel 212 lid 1 van de gemeentewet kan de gemeenteraad deze kaders vastleggen in de financiële verordening.

•

De commissie BBV heeft in haar kadernota rechtmatigheid aanbevolen om de afspraken die de gemeenteraad met het college ook kan maken over een nadere toelichting van de onrechtmatigheden in de paragraaf Bedrijfsvoering in het jaarverslag. Bijvoorbeeld hoe het college opvolging geeft om de gerapporteerde afwijkingen in de rechtmatigheidsverantwoording in de toekomst te voorkomen. Wij adviseren u deze aanbeveling over te nemen.

Naast de financiële verordening moet ook de controleverordening (ex artikel 213) in lijn worden gebracht met de nieuwe wetgeving. De controleverordening gaat over hoe de kaders voor de toetsing van de jaarrekening inclusief de rechtmatigheidsverantwoording moet worden getoetst door de accountant. Deze verordening wordt aangepast omdat het college rapporteert in de rechtmatigheidsverantwoording en de accountant de toetsing van de rechtmatigheid zal doen aan de hand van de rechtmatigheidsverantwoording van het college. De nauwkeurigheid en diepgang waarmee de accountantscontrole van de jaarrekening, met inbegrip van de rechtmatigheidsverantwoording, moet worden uitgevoerd, oftewel de materialiteit van maximaal 1%, wijzigt overigens niet door de invoering van de rechtmatigheidsverantwoording. Ten tijde van de interim-controle is aangegeven dat actualisatie van de financiële en controleverordening op de rol staat.

9

2. Bevindingen en aandachtspunten 2.3 Status Rechtmatigheidsverantwoording Rechtmatigheidsverantwoording (2/2) Stand van zaken in verband met invoering rechtmatigheidsverantwoording

Tot slot is belangrijk om in beeld te brengen of naar mening van het college de 3 criteria voor de rechtmatigheidsverantwoording voldoende scherp zijn beschreven en geoperationaliseerd. Voor het begrotingscriterium geldt dat het college en de gemeenteraad in de financiële verordening vastleggen op welke wijze zij omgaan met begrotingsoverschrijdingen. Uit de financiële verordening moet blijken hoe afwijkingen geïnterpreteerd worden in het kader van het uitoefenen van het budgetrecht door de gemeenteraad (stellige uitspraak Commissie BBV). De rechtmatigheidsverantwoording in de jaarrekening bevat belangrijke informatie voor het (politieke) verantwoordingsdebat van de gemeenteraad met het college. Daarom is het belangrijk om afspraken tussen college en raad over verschuivingen van uitgaven tussen jaarschijven in een meerjarig investeringsbudget vast te leggen, zodat hier achteraf duidelijke verantwoording over afgelegd kan worden. Het voorwaardencriterium ziet toe op voorwaarden die gelden voor de uitvoering van de financiële beheershandelingen. Deze voorwaarden komen voort uit de relevante regelgeving en hebben betrekking op aspecten zoals: doelgroep, termijn, grondslag, administratieve bepalingen, normbedragen, bevoegdheden, bewijsstukken, recht, hoogte en duur voor zover deze relevant zijn voor de financiële rechtmatigheid.

Het is daarbij raadzaam om afspraken te maken met de raad en college over hoe omgaan met niet financiële onrechtmatigheden. Het is verder van belang dat het college duidelijk maakt welke specifieke bepalingen van de regelgeving relevant zijn voor het financiële rechtmatigheidsbeheer en waar financiële consequenties uit kunnen voortkomen. De gemeente heeft de visie hoe daar inzicht en grip op te houden reeds vastgelegd in een intern controleplan. Een belangrijke rol daarbij is weggelegd voor de verbijzonderde interne controle (VIC). Deze VIC werkt vanuit een controleplan met werklijsten waarin de financiële beheershandelingen uit de gemeentelijke verordeningen zijn verwerkt. Het laatste criterium heeft betrekking op Misbruik en Oneigenlijk gebruik (ook wel M&O). Het college is verantwoordelijk voor het inrichten van effectieve maatregelen ter voorkoming van misbruik en oneigenlijk gebruik van overheidsregels om overheidssubsidies en bijdragen te ontvangen dan wel een te laag bedrag aan heffingen aan de overheid te betalen. Deze maatregelen hangen veelal samen met de interne beheersing ter borging van het voorwaardencriterium. Het college gaat straks een uitspraak doen in hoeverre het M&O beleid feitelijk wordt nageleefd en of de getroffen maatregelen effectief werken.

Wanneer het college concludeert dat het M&O-beleid (op onderdelen) niet actueel is en/of dat er geen M&O-beleid bestaat of het M&O-beleid feitelijk niet wordt nageleefd moet het college dit in de paragraaf Bedrijfsvoering melden. Afwijkingen, voor zover zij niet het getrouwheidsaspect raken, moet het college in de rechtmatigheidsverantwoording rapporteren. Om aan deze verplichting te kunnen voldoen is van belang dat inzichtelijk is hoe het M&O criterium is ingebed in de diverse verordeningen en gemeentelijke regelgeving. Dit kan door een inventarisatie te doen en een nota M&O beleid op te stellen waarin de uitkomsten en afwegingen voor te treffen c.q. getroffen maatregelen in zijn opgenomen. De gemeente Raalte heeft het M&O Beleid verwerkt in haar frauderisicoanalyse, evenwel is daar niet expliciet gemaakt welke onderdelen M&O-beleid betreffen, waardoor een afzonderlijk c.q. overkoepelend inzicht niet meteen voor handen is. De commissie adviseert een nota M&O beleid op te stellen.

10

2. Bevindingen en aandachtspunten 2.4 Bedrijfsprocessen Deze boardletter bevat onze bevindingen die zijn gebaseerd op onze werkzaamheden in het kader van de jaarrekeningcontrole voor het jaar eindigend op 31 december 2022. Deze werkzaamheden zijn dan ook niet gericht op het geven van een oordeel over de interne beheersing van uw organisatie als geheel.

#

Proces - bevinding

1

Inkopen – Functiescheiding bij autoriseren facturen niet altijd aanwezig

2

Inkopen – Prestatielevering onvoldoende onderbouwd

3

Inkopen – Contractenregister niet ingezet voor naleving aanbestedingsregels

hoog

In het overzicht hiernaast is een samenvatting met de bevindingen opgenomen. De bevindingen en onze aanbevelingen worden in de management letter uitgebreider toegelicht.

4

Aanbestedingen – Onvoldoende preventieve controle op juiste aanbestedingsvorm

hoog

5

Crediteurenstamgegevens - Controle op juistheid bankgegevens te summier

gemiddeld

6

WMO en Jeugdzorg – Collegiale toetsing ontbreekt

gemiddeld

7

Sociaal domein – Prestatielevering onvoldoende onderbouwd

gemiddeld

8

Omgevingsvergunningen – Volledigheidscontrole op legesomvang ontbreekt

gemiddeld

9

Omgevingsvergunningen – Collegiale bouwkostentoets ontbreekt

gemiddeld

10

Personeel – Tijdigheid verwerking mutaties

11

Planning & control – Procesbeschrijvingen onvolledig

gemiddeld

12

Fiscaal - Impact opnemen in besluitvormingsstukken

laag

De kleur van de het symbool geeft de status van de constatering aan.  = Opgelost  = Bevinding ook door vorige accountant gerapporteerd, de gemeente heeft actie ondernomen, maar deze is nog niet afgerond  = Bevinding ook door vorige accountant gerapporteerd, maar de gemeente heeft geen actie ondernomen  = Nieuwe bevinding

Status

Prioriteit hoog gemiddeld

laag

11

2. Bevindingen en aandachtspunten 2.5 IT-omgeving Veel handelingen die binnen de gemeente plaatsvinden, worden geregistreerd door middel van automatisering. Daarbij zijn diverse interne beheersingsmaatregelen door u geautomatiseerd in softwarepakketten. Wij onderzoeken daarom de beheersing van uw IT omgeving die relevant is voor de jaarrekeningcontrole via de DOWR-I en rapporteren daarover.

Onderdeel

Toelichting

Continuïteitsmaatregelen en beveiliging

Onder de noemer continuïteit en beveiliging krijgen wij inzicht in uw beheersing van risico’s gericht op continuïteit van uw bedrijfsvoering. Hierbij kan discontinuïteit worden veroorzaakt door menselijk of technisch falen, maar ook door interne of externe kwaadwillenden. Voor continuïteit zijn het met name het punt in de tijd tot waar u gegevens bij discontinuïteit kunt herstellen en de tijd die het kost om tot een normale bedrijfsvoering te komen bij discontinuïteit van belang. Op dit moment signaleren wij hierin geen aandachtspunten voor uw organisatie.

Op basis van de door ons uitgevoerde werkzaamheden in september 2022 hebben wij onze inschatting van de kwaliteit van het IT systeem bij DOWR-I en de relevante applicaties opgenomen.

Toegangsbeveiliging

Bij het toetsen van ‘toegangsbeveiliging’ wordt onderzocht of de inrichting van de IT-omgeving de authenticiteit van de gebruiker van een gebruikersaccount borgt. Vervolgens onderzoeken wij de processen rondom het verstrekken, muteren en ontnemen van autorisaties binnen de omgeving ter controle van de ingerichte functiescheiding in het systeem. De toegangsbeveiliging splitsen wij in twee onderdelen: • Authenticatie: Door middel van authenticatie wordt geborgd dat een gebruiker zichzelf kan identificeren binnen een geautomatiseerde omgeving. Kort gezegd: de gebruiker toont aan dat hij/zij inlogt met een eigen persoonsgebonden account en daarmee is wie hij/zij claimt te zijn. Wij scharen onder dit onderwerp m.n. de wachtwoordvereisten. • Autorisatie: Op het gebied van autorisatie zijn verschillende vormen van diepgang te definiëren. Wat wij onderzoeken en aan u rapporteren als het gaat om de randvoorwaarden rondom autorisatie, zijn de rechten die de mogelijkheid bieden om autorisatie-structuren te wijzigen en of deze rechten belegd zijn bij functionarissen met een onafhankelijke positie ten opzichte van de jaarrekening. Daarnaast is een effectieve vaste werkwijze voor het toekennen van rechten noodzakelijk. In de tabel op de volgende pagina is onze conclusie weergegeven voor zowel rechten op netwerk- als databaseniveau als voor applicaties in scope van onze controle.

Wijzigingsbeheer (Change management)

Bij het doorvoeren van wijzigingen in software-omgevingen kunnen er risico’s ontstaan voor de bedrijfsvoering van uw organisatie. Wij verwachten daarom dat er een vaste werkwijze is ingericht voor het doorvoeren van wijzigingen in de functionaliteiten van de applicatie. Daarnaast verwachten wij dat er gebruik wordt gemaakt van een test- en productie omgeving. In de tabel op de volgende pagina is onze conclusie voor het netwerk, de database en diverse applicaties weergegeven.

12

2. Bevindingen en aandachtspunten 2.5 IT-omgeving In het kader van de jaarrekeningcontrole hebben wij ook de relevante IT-beheersing gecontroleerd bij de DOWR-I. In dit hoofdstuk is de samenvatting van onze waarneming opgenomen. De kleur van het symbool geeft de kwaliteit weer:  = Op dit moment voldoende  = Adviespunt, verdere aanscherping mogelijk  = Benodigd verbetering op (korte) termijn

IT General controls Hieronder volgt voor het netwerk, de database en de relevante applicatie voor de jaarrekeningcontrole onze conclusie op de getoetste onderdelen:

Omgeving

Toegangsbeveiliging Authenticatie

Autorisatie

Wijzigingsbeheer

Netwerk

N.v.t.

Database

N.v.t.

Financiële administratie Administratie sociaal domein 1 Administratie sociaal domein 2

13

2. Bevindingen en aandachtspunten 2.6 Belangrijke macro-economische ontwikkelingen Grondexploitaties

Grondexploitaties Er zijn momenteel diverse onzekere factoren die impact hebben op de ontwikkeling van grondexploitaties, denk hierbij onder andere aan een stijgende vraag naar woningen, krapte aan (betaalbare) woningen op de markt, krapte op de arbeidsmarkt bij bouwondernemingen, stijgende energie- en grondstofprijzen + stijgende rente en verduurzamingsopgave. Deze huidige ontwikkeling en de onzekerheid over de toekomstige ontwikkelingen betekent een grote schattingsonzekerheid op de verwachte realisatie van uw complexen. Wij verzoeken u om na te gaan in welke mate bovenstaande elementen impact hebben op uw specifieke situatie en dit ook te betrekken in de position papers die conform afspraak zullen worden opgesteld voor de lopende complexen. Daarnaast dient bij een hoge mate van schattingsonzekerheid een adequate toelichting bij de verantwoording in de jaarrekening te worden opgenomen. Belangrijke elementen hierbij zijn: -

Het toelichten van de gehanteerde veronderstellingen; en

-

Een toelichting (impact / scenario’s) over de schattingsonzekerheid.

Vanuit ons vooroverleg signaleren wij geen bijzonderheden omtrent deze onderwerpen. Wij hebben met elkaar afgesproken de rekentechnische uitgangspunten waaronder uitgevoerde analyses en uitkomsten in februari 2023 door te nemen ter voorbereiding op de verdere controle. De toelichtingen als ook de uitkomsten van de werkzaamheden uit hoofde van het Intern Controleplan Grondexploitaties zullen wij ten tijde van de jaarrekeningcontrole in maart 2023 doornemen. Energiecrisis en hoge inflatie Nederland heeft op dit moment te maken met enkele extreme omstandigheden: enorm oplopende inflatie, de energiecrisis en de capaciteitsproblemen op de arbeidsmarkt. Deze omstandigheden leiden tot financiële risico’s voor de gemeenten op langere termijn, maar zeker ook op korte termijn in relatie tot het opstellen van de jaarrekening 2022. We vragen hier dan ook nadrukkelijk uw aandacht voor en verwachten van u bij de jaarrekeningcontrole een expliciete analyse van: -

Waardering (langlopende) vorderingen. Ook partijen waar u leningen aan heeft verstrekt of waar u vorderingen op heeft, kunnen zijn getroffen door de genoemde ontwikkelingen. Het is bij het opstellen van de jaarrekening dan ook noodzakelijk om een toereikende voorziening te treffen voor de eventuele oninbaarheid van deze vorderingen. In het bijzonder vragen we u aandacht voor de onderbouwing van de inbaarheid vorderingen richting gesubsidieerde instellingen.

-

Begrotings- en kredietrechtmatigheid. De genoemde ontwikkelingen leiden zowel op korte als langere termijn tot hogere lasten voor de gemeente. In het kader van de begrotingsrechtmatigheid is het van belang dat het college eventuele begrotingsafwijkingen als gevolg van deze hogere lasten zoals te doen gebruikelijk tijdig meldt aan de gemeenteraad. Ook mogelijke kredietoverschrijdingen dienen tijdig in beeld te zijn en daar waar noodzakelijk tijdig met de gemeenteraad te worden gecommuniceerd.

-

Tot slot is het noodzakelijk om de toekomstige risico’s, zoals bijvoorbeeld ten aanzien van de toenemende rente in beeld te hebben en daar in de paragraaf financiering op te reflecteren. 14

2. Bevindingen en aandachtspunten 2.7 Fraude en continuïteit Fraude en continuïteit in de controleverklaring

Als reactie op de rapporten van de Commissie Toezicht Accountancysector en Monitoring Commissie Accountancy heeft de NBA in de 2e helft van 2020 aangekondigd dat zij het beleid op de gebieden Fraude en Continuïteit meer concreet en meer zichtbaar tot uitdrukking wil brengen. Dit wordt gedaan met een aanvulling op Standaard 700. De aanvulling in Standaard 700 komt er in hoofdlijnen op neer dat afzonderlijke secties voor de onderwerpen continuïteit en fraude in de controleverklaring worden opgenomen. Hierin wordt uiteengezet hoe de accountant bij de controle-aanpak inspeelt op risico’s ten aanzien van fraude en continuïteit en worden de uitgevoerde werkzaamheden toegelicht. Als aanvulling kan de accountant ook de uitkomsten van deze werkzaamheden of belangrijke waarnemingen met betrekking tot het onderwerp toelichten. De beide secties worden in alle controleverklaringen (verplicht) opgenomen; ook in situaties waar geen sprake is van ernstige continuïteitsonzekerheid of spraakmakende fraudecasuïstiek.

Fraude

Frauderisicoanalyse De primaire verantwoordelijkheid voor het voorkomen en detecteren van fraude (waaronder corruptie) berust bij het college van burgemeester en wethouders. Deze verantwoordelijkheid betreft ook het onderhouden van een zodanige interne beheersing om het opmaken van de jaarrekening mogelijk te maken zonder dat deze afwijkingen van materieel belang bevat als gevolg van fraude of fouten. Wij willen u erop wijzen dat wij vanaf dit boekjaar verplicht zijn om in onze controleverklaring specifiek te vermelden welke frauderisico’s wij bij de controle van uw jaarrekening hebben geïdentificeerd en welke werkzaamheden wij ten aanzien van deze risico’s hebben uitgevoerd. Idealiter sluiten de door ons onderkende frauderisico’s in onze controleaanpak aan op de frauderisicoanalyse zoals opgesteld door het college, en de toelichting van het college op de eventuele frauderisico’s in de paragraaf bedrijfsvoering in de jaarrekening. Frauderisicoanalyse (intern) Op basis van de onderzoeken op het gebied van fraude risico-analyse, misbruik & oneigenlijk, corruptie en kwetsbare functies, stellen wij vast dat er binnen de gemeente in belangrijke mate aandacht is voor frauderisico’s en de preventie daarvan. Wij zijn van mening dat deze analyse uitgebreid is vormgegeven en signaleert welke beheersmaatregelen aanwezig zijn.

Wij adviseren u in de paragraaf bedrijfsvoering hierover te rapporteren. Belangrijkste prioriteit die vanuit onze optiek vanuit de interim-controle naar voren komt is het risico dat facturen worden goedgekeurd waar geen prestatie voor uw gemeente tegenover staat. Binnen uw organisatie is namelijk niet technisch (geautomatiseerd) afgedwongen dat facturen door twee personen worden gecontroleerd op prestatielevering (functiescheiding: prestatieakkoordverklaarder en budgethouder).

15

2. Bevindingen en aandachtspunten 2.7 Fraude en continuïteit Frauderisicoanalyse vanuit de blik van de accountant Op basis van de bedrijfsverkenning en onze interim-controle onderkennen wij de volgende fraude-risico’s bij onze jaarrekeningcontrole: • Het risico dat het management maatregelen van interne beheersing doorbreekt. • Het risico dat handmatige c.q. spoedbetalingen uitgevoerd worden aan niet-rechthebbenden. • Het risico dat inkoopfacturen niet in functiescheiding zijn verwerkt, waardoor ze niet nauwkeurig zijn verantwoord. De passages in relatie tot bovenstaande fraude-risico’s die wij voornemens zijn op te nemen in de controleverklaring stemmen wij met u af en zullen wij bij de bespreking van het accountantsverslag met u doornemen. Fraudedriehoek Wij hebben vastgesteld dat bij het identificeren van de frauderisico’s binnen uw gemeente specifiek gebruik wordt gemaakt van de fraudedriehoek. De fraudedriehoek kent de elementen ‘Gelegenheid’, ‘Rationalisatie’ en ‘Druk’ en is een goed hulpmiddel om frauderisicofactoren in beeld te krijgen en vandaar uit te bepalen of deze frauderisicofactoren ook daadwerkelijk tot een frauderisico voor uw gemeente leiden. Een frauderisico-analyse is een dynamisch stuk: nieuwe omstandigheden brengen mogelijk nieuwe risico’s met zich mee. Wij vragen u als gevolg van de huidige economische ontwikkelingen (o.a.

stijgende energieprijzen en indexatie) bij uw analyse nadrukkelijk aandacht te besteden aan de elementen druk en rationalisatie. Deze kunnen mogelijk leiden tot aanvullende frauderisico’s. Continuïteit

Voor gemeenten geldt dat vanwege de vrijwel onbegrensde leencapaciteit bij de BNG (en daardoor altijd aanwezige liquiditeit) per definitie geen onzekerheid kan bestaan over de continuïteitsveronderstelling. Evenwel stellen wij vast dat dat feit slechts zelden ook daadwerkelijk wordt benoemd in gemeentelijke jaarstukken. Dit zou bijvoorbeeld kunnen in de paragraaf weerstandsvermogen en risicobeheersing. Daarnaast is het ook raadzaam om de impliciete veronderstelling dat de gemeentelijke jaarstukken op basis van een continuïteitsveronderstelling zijn opgesteld, expliciet genoemd mogen worden in de grondslagen. Wij vragen beide zaken mee te nemen bij het opstellen van de jaarstukken 2022. Naast feitelijke discontinuïteit is ook de mate waarin de gemeente zelfstandig en autonoom (financieel) beleid kan voeren een belangrijke veronderstelling. Derhalve is het toezichtregime (groen/oranje/rood) waaronder u valt bij het interbestuurlijk toezicht van de provincie Overijssel (artikel 12) in onze optiek een onderwerp welke in paragraaf weerstandsvermogen en risicobeheersing meegenomen moet worden. 16