Boardletter 2024 gemeente Rheden

Boardletter Gemeente Rheden Boekjaar 2024

Aanbiedingsbrief Aan de gemeenteraad van de gemeente Rheden Postbus 9110 6994 ZJ DE STEEG Onderwerp: Boardletter 2024 Datum: 06-01-2025

Geachte gemeenteraad, Als onderdeel van de jaarrekeningcontrole van boekjaar 2024 van de gemeente Rheden rapporteren wij u onze bevindingen uit de interim-controle.

In deze boardletter rapporteren wij de bevindingen op hoofdlijnen naar aanleiding van onze controle, de belangrijkste risico’s, ons beeld van de interne beheersing, relevante ontwikkelingen in wet- en regelgeving en indien van toepassing andere veranderingen die voor u relevant kunnen zijn. De bevindingen komen voort uit onze werkzaamheden in het kader van de jaarrekeningcontrole en zijn opgenomen voor zover wij het van belang achten om deze met u te communiceren. In de management letter hebben wij de bevindingen in detail gepresenteerd aan de gemeentesecretaris en het college.

Deze boardletter is door ons opgesteld voor uw informatie en mag niet zonder onze uitdrukkelijke toestemming geheel of gedeeltelijk aan derden ter beschikking worden gesteld. Wij danken u en uw medewerkers voor de samenwerking en zijn graag bereid tot het verstrekken van nadere toelichting. Met vriendelijke groet, Baker Tilly (Netherlands) N.V.

Ondertekening alleen in definitieve versie M.C.J.M. Bekker RA

pagina | 2

1. Samenvatting In dit overzicht is een samenvatting van de belangrijkste punten naar aanleiding van onze werkzaamheden opgenomen. Onderwerp

Toelichting

Timing van de werkzaamheden

Deze boardletter bevat onze bevindingen die zijn gebaseerd op onze werkzaamheden in het kader van de jaarrekeningcontrole voor het jaar eindigend op 31 december 2024.

Algemene conclusie interne beheersing

De gemeente Rheden hecht belang aan een goede interne beheersing en heeft de ambitie om de interne beheersing naar een hoger niveau te tillen. Met het programma “Versterking Financiële Functie Rheden 2024-2027” geeft u hier invulling aan. Wij constateren dat de gemeente veel punten onderhanden heeft en daarop vooruitgang laat zien. Het voorgaande laat onverlet dat bij diverse processen nog wel verbeteringen mogelijk c.q. noodzakelijk zijn. Belangrijke onderdelen zijn daarbij het inrichten van, en bij andere processen ook het technisch afdwingen van (controle-technische) functiescheiding.

IT-omgeving

In het kader van onze jaarrekeningcontrole hebben we de interne beheersing rondom uw IT omgeving onderzocht. Wij hebben in dat kader het netwerk en drie applicaties bekeken (Unit4, Civision Samenlevingszaken en Youforce). Als onderdeel van onze jaarrekeningcontrole komt uit onze IT-audit naar voren dat op de door ons geïdentificeerde aandachtsgebieden van automatisering belangrijke onderdelen, zoals het netwerk en de financiële applicatie, nog verbeteringen mogelijk c.q. noodzakelijk zijn. Enerzijds in verband met de risico’s die er mee samenhangen. Anderzijds om de IT-omgeving de bedrijfsvoering zo goed mogelijk te laten faciliteren. De bevindingen zien met name toe op de wachtwoordlengte van het netwerk en periodiciteit van de controles op het informatie beveiligingsbeleid. Verder adviseren wij u om de verbeteracties van De Connectie te blijven monitoren ten behoeve van de ISAE 3402 Type 2.

pagina | 3

1. Samenvatting Onderwerp

Toelichting

Rechtmatigheidsverantwoording

In oktober 2024 heeft de commissie BBV de Kadernota Rechtmatigheid 2024 gepubliceerd. Hierin is een aantal zaken verder verduidelijkt rondom de rechtmatigheidsverantwoording die moet worden opgesteld door het college van B&W. Daarnaast is de verplichting tot het opnemen van geconstateerd misbruik waarbij het M&O beleid is toegepast en heeft geleid tot bijvoorbeeld terugvorderingen en het opleggen van sancties, in de rechtmatigheidsverantwoording vervallen. Tot slot is de voorgeschreven tekst van de rechtmatigheidsverantwoording aangepast. Deze moet worden overgenomen in de jaarstukken 2024.

Voorbereidingen jaarrekeningcontrole 2024

We hebben met uw gemeente afspraken gemaakt over de planning van de jaarrekeningcontrole 2024. Op voorhand identificeren we een aantal onderwerpen/posten (o.a. waardering gemeentehuis, grondexploitatie, reserves en voorzieningen) met verhoogde aandacht in onze controle. Deze onderwerpen/posten stemmen wij voorafgaand aan de controle met u af, zodat de uitgangspunten en de verwerkingswijze in de jaarrekening tijdig zijn afgestemd. Daarnaast dient uw gemeente zich te focussen op een duidelijke interne planning met verantwoordelijkheden en interne kwaliteitscontroles voor het opstellen van de jaarrekening en onderliggend dossier om de controle soepel te laten verlopen. Wij vragen u het controleproces voor de jaarrekening 2024 goed voor te bereiden.

Onderlinge samenwerking

Wij ervaren een prettige en constructieve wijze van samenwerken met de ambtelijke organisatie. Voorbeelden hierbij zijn de afstemming over de steekproeven en de afstemming over de nota inzake reserves. In onze werkwijze nemen wij de uitkomsten van de evaluatie met de organisatie mee. We hebben met de gemeente Rheden duidelijke afspraken gemaakt met betrekking tot de controlemomenten en op te leveren stukken. De gemaakte afspraken zijn tot op heden nagekomen.

pagina | 4

2. Kwaliteit interne beheersing Inleiding

De belangrijkste kernpunten in de controle bij uw gemeente zijn:

Deze boardletter bevat onze bevindingen ten aanzien van de interne beheersing (inclusief de IT-omgeving), die zijn gebaseerd op de onze

•

Risico dat het management van de gemeente de procesafspraken

werkzaamheden in het kader van de jaarrekeningcontrole 2024. Deze

doorbreekt, hetgeen een standaard risico is vanuit onze beroepsregels.

werkzaamheden zijn dan ook niet gericht op het geven van een oordeel

Dit risico ziet bij uw gemeente met name toe op de schattingsposten in

over de interne beheersing van uw organisatie als geheel.

de grondexploitatie en voorzieningen en sturing in budgetten en

kredieten. Een goede interne beheersing maakt dat de risico’s voor de organisatie

•

Waardering van uw grondexploitatie;

beter beheersbaar zijn en de jaarrekeningcontrole effectiever en efficiënter

•

Waardering van het nieuwe gemeentehuis;

kan plaatsvinden. Vanuit onze natuurlijke adviesfunctie willen wij bijdragen

•

Reserves en voorzieningen;

aan verbetering van uw bedrijfsvoering, onder andere door het analyseren

•

De rechtmatigheidsverantwoording;

van de IT-omgeving en de bedrijfsprocessen.

•

Prestatielevering inkopen;

•

Prestatielevering lasten WMO en Jeugdzorg;

•

Handmatige c.q. spoedbetalingen.

Onze risicoanalyse richt zich op een betrouwbare totstandkoming van de jaarrekening. Dit betekent dat wij niet alle risico’s die voor u als gemeente relevant zijn in onze controle meenemen. De risicoanalyse is een continue

In ons accountantsverslag rapporteren wij naar aanleiding van de

proces en stellen wij gedurende de controle indien nodig bij.

jaarrekeningcontrole over bovenstaande punten.

pagina | 5

2. Kwaliteit interne beheersing Samenvatting van de bevindingen voor de belangrijkste processen

Financieel

Sociaal Domein

Subsidies

Van de tien openstaande bevindingen uit voorgaand jaar zijn twee bevindingen afgerond en twee bevindingen onderhanden.

We hebben geen nieuwe bevindingen geconstateerd m.b.t het sociaal domein. Van de vier openstaande bevindingen uit voorgaand jaar zijn twee bevindingen onderhanden.

De openstaande bevinding vanuit voorgaand jaar is afgerond en een nieuwe bevinding is opgenomen.

Prioriteit bevindingen (exclusief IT) Geen wijziging : 9 Onderhanden: 11 Afgerond: 3 Nieuw: 2

Inkopen & aanbesteding Van de drie openstaande bevindingen uit voorgaand jaar zijn alle bevindingen onderhanden.

Betalingen Van de openstaande bevinding uit voorgaand jaar hebben wij beperkte ontwikkelingen waargenomen ten opzichte van voorgaand jaar.

Baten We hebben een nieuwe bevinding geconstateerd in het huidige boekjaar (onderdeel leges). De openstaande bevindingen uit voorgaande jaren zijn onderhanden (leges en subsidiebaten).

IT omgeving Wij hebben geconstateerd dat er verbeteringen zijn doorgevoerd in de ITomgeving. Daarnaast onderkennen wij een aantal adviespunten. Dit is uitgewerkt in hoofdstuk 3.

pagina | 6

2. Kwaliteit interne beheersing Samenwerking en ontwikkelingen Onderwerp

Omschrijving

Inrichting en kwaliteit VIC

Een belangrijk onderdeel van de interne beheersing is de (verbijzonderde) interne controlefunctie (VIC). Wij merken op dat de kwaliteit van de VIC de afgelopen jaren is verbeterd. Wij zien dit vooral terugkomen in de uitwerkingen en het zelfstandig trekken van de selecties. Ook bent u bezig met het intensiveren van de samenwerking tussen de VIC inzake de getrokken steekproeven en de kwaliteitscontroles door kwaliteitsmedewerker, waardoor efficiëntie kan worden behaald. Verdere verbetermogelijkheden zien toe op: • opzet van het controleplan waarin aandacht is besteed aan de risicoanalyse; • meer uniforme werkwijze met gebruik van standard formats; • het nader concretiseren van de VIC werkzaamheden d.m.v. het opstellen van een jaarplanning.

Versterken financiële functie

Voor het verbeteren van de interne beheersing en de kwaliteit van de financiële verslagging bent u in 2024 het programma “Versterken Financiële Functie Rheden” gestart. Wij onderschrijven de doelstellingen van dit programma. Aangezien het programma veel aspecten binnen de gemeente raakt is het belangrijk het programma op te knippen in kleinere onderdelen. Het afbaken zorgt voor overzicht en hiermee kunnen tussentijds successen gevierd worden. De basis is hiervoor gelegd in het programma en wij adviseren de planning nader te concretiseren in de deelplannen. Verder is het goed om te vernemen dat u beseft dat dit tijd en geld kost. Het vrijmaken van capaciteit is dus een vereiste om succes te behalen. Bovendien is het belangrijk dat iedereen binnen de gemeente beseft wat zijn of haar verantwoordelijkheden zijn omtrent financiën en het afleggen van verantwoording, want de financiële functie kan niet alleen versterkt worden door afdeling Financiën of Control, maar vraagt verantwoordelijkheid en cultuuromslag binnen de gehele gemeente.

pagina | 7

3. IT-omgeving Inleiding Als onderdeel van onze controleaanpak hebben wij in oktober 2024 werkzaamheden uitgevoerd om inzicht te krijgen in uw IT-omgeving en de daarbij

(eventueel) behorende risico’s voor de jaarrekeningcontrole.

Samenvatting bevindingen De tabel op deze pagina geeft een overzicht van onze bevindingen ten aanzien van de IT-aandachtsgebieden binnen uw organisatie. De risico’s kunnen per aandachtsgebied verschillen. Bij de tabel is onze inschatting van de impact op de controle en op uw organisatie opgenomen. De kleur van het symbool geeft de status van de constatering aan:

Verbetering nodig Adviespunt Voldoende Toegangsbeveiliging

Netwerk

Wijzigingsbeheer N.v.t.

Unit4 Financials

Continuïteit

Proces Algemeen Financiële administratie

Civision Samenlevingszaken

N.v.t.

Youforce

N.v.t.

Sociaal Domein HR- en Salarisverwerking

Impact op de controle

Omgeving

Toegangsbeveiliging

Wijzigingsbeheer

Overige punten Continuïteit

Belang voor uw organisatie

pagina | 8

3. IT-omgeving Strategie en ambitie De IT-strategie van de organisatie is gericht op het verbeteren van de IT-processen en het optimaal inrichten van het IT landschap. Dit vormt de basis voor een goed proces. Wij hebben geconstateerd dat er verbeteringen zijn doorgevoerd op de volgende aspecten in het IT-landschap gedurende 2024: • Vooruitgang in de geplande transities en implementatie van het gewenste IT-landschap voor de toekomst. Hiervoor heeft de gemeente in samenwerking met andere deelnemers uit G3DC (Gemeenten Arnhem, Renkum en Rheden en De Connectie) de Regionale Enterprise Architectuur verder geactualiseerd op basis van de GEMMA principes en de vernieuwde blik op Common Ground voor informatiebeheer. Dit plan vormt de link tussen strategie en missie en de vormgeving door de bedrijfsarchitectuur.

Afgelopen jaar hebben we geconstateerd dat IT-processen en controles voor de relevante IT-applicaties niet altijd geschikt zijn om alle relevante ITrisico's in voldoende mate te mitigeren. We hebben vastgesteld dat deze observaties nog steeds van toepassing zijn vanwege: • Maatregelen voor Civision Samenlevingszaken zijn niet formeel vastgelegd en geïmplementeerd (geen formele procedure wijzigingsbeheer, periodieke reviews en analyses op (actieve) gebruikers en periodieke reviews en analyses op functiescheiding worden uitgevoerd op basis van toegewezen gebruikersrechten). Om de IT-processen en de IT-beheersingsmaatregelen verder te verbeteren, herhalen wij de aanbeveling van vorig jaar om: • De regiefunctie op de uitbesteedde processen t.b.v. het technisch beheer van de IT infrastructuur en Unit4 adequaat in te richten en te monitoren. Denk hierbij aan het periodiek analyseren van de Service Level Rapportages (SLR) op de gemaakte afspraken in de Service Level Agreement (SLA) en het jaarlijks beoordelen van Assurance rapportages op bevindingen en maatregelen die onder uw eigen verantwoordelijkheid vallen (de zogeheten User Entity Controls).

pagina | 9

3. IT-omgeving Cybersecurity Als onderdeel van de jaarrekeningcontrole hebben wij inzicht gekregen in de cybersecurity-gerelateerde risico’s die zouden kunnen leiden tot een potentiële afwijking van materieel belang in de jaarrekening (met betrekking tot zowel financiële als niet-financiële informatie). Hiervoor hebben wij inzicht gekregen in de mate waarin, en de overweging waarom de organisatie bepaalde informatiebeveiligingsmaatregelen heeft genomen om deze cyberrisico's te beperken. Om het risico van cyberbeveiligingsbedreigingen (d.w.z. continuïteit van de dienstverlening en integriteit van de financiële verslaglegging) te verlagen, heeft uw organisatie een mix van beveiligingsmaatregelen geïmplementeerd.

In het spinnenweb is uw score weergegeven als een ratio waar 0 % de laagste en 100 % de hoogste score is. Rood betreft uw score. Blauw betreft de best practice ten aanzien van de EU wetgeving NIS2 en de Nederlandse vertaling in de Cyberbeveiligingswet vallen. Op veel vlakken scoort u beter dan de best practice, aandachtsgebieden zitten bij identificatie van kritieke gegevens, cyberrisico’s en maatregelen en detectie van verdacht gedrag. In de management letter is de Cybersecurity NIS2 scan verder uitgewerkt.

We zijn geïnformeerd dat zich in het boekjaar geen cyberbeveiligingsincidenten hebben voorgedaan die hebben geleid tot een afwijking van materieel belang in de jaarrekeningcontrole van uw organisatie. Onze controlewerkzaamheden zijn niet primair gericht op het doen van uitspraken over cyberbeveiliging en we hebben ook geen instructies van het management in die zin ontvangen voor het uitvoeren van meer diepgaande werkzaamheden.

pagina | 10

Contact M.C.J.M. (Marc) Bekker RA Extern accountant +31 (0)6 15 30 36 59 m.bekker@bakertilly.nl J.B. Vree-Brink MSc RA Senior Manager Audit +31 (0)6 52 76 55 24 m.vree@bakertilly.nl L.F. van Goor MSc RA Manager Audit +31 (0)6 223 850 55 l.vangoor@bakertilly.nl

Kantoorgegevens Baker Tilly (Netherlands) N.V. Burg. Roelenweg 14-18 8021 EV Zwolle Postbus 508 8000 AM Zwolle T +31 (0)38 425 86 00

Baker Tilly (Netherlands) N.V. trading as Baker Tilly is a member of the global network of Baker Tilly International Ltd., the members of which are separate and independent legal entities.