Gemeente Rheden, def. management letter 2022 - getekend.pdf
Tekst van het document
Management letter Gemeente Rheden Boekjaar 2022
04/01/2023
© Baker Tilly
1
Aan het College van Burgemeester en Wethouders en de gemeentesecretaris van de gemeente Rheden Postbus 9110 6994 ZJ DE STEEG
Geachte leden van het college en de geachte secretaris,
ONDERWERP: Management letter 2022
De opzet, het bestaan en in voorkomende gevallen de werking van de interne beheersingsmaatregelen van de belangrijkste bedrijfsprocessen, inclusief de geautomatiseerde gegevensverwerking, in uw onderneming zijn beoordeeld en getoetst, zodat we een terugkoppeling kunnen geven over de betrouwbaarheid van de interne informatievoorziening en de jaarrekening.
KENMERK: 4 januari 2023
Als onderdeel van de controle van de jaarrekening 2022 van gemeente Rheden hebben wij de administratieve organisatie en de daarin opgenomen maatregelen van interne beheersing beoordeeld, teneinde onze controlewerkzaamheden in overeenstemming met Nederlands recht waaronder de controlestandaarden te kunnen bepalen.
Onze bevindingen zijn gebaseerd op de normale werkzaamheden in het kader van de jaarrekeningcontrole. Deze brief bevat daardoor niet alle onvolkomenheden in uw organisatie, die bij een eventueel uitgebreid en hierop specifiek gericht onderzoek naar voren zouden kunnen komen. Zoals u zult begrijpen, is de management letter van nature kritisch. Wij rapporteren over de eventuele leemtes of mogelijkheden ter verbetering van de financiële en administratieve processen, de administratieve organisatie daarvan en de daarin opgenomen maatregelen van interne beheersing. Op uw verzoek geven wij in deze management letter aan op welke wijze verbeteringen van de administratieve organisatie en de daarin opgenomen maatregelen van interne beheersing kunnen worden gerealiseerd. De aanbevelingen en oplossingsrichtingen zoals beschreven in deze management letter bieden u handvatten voor deze uitwerking. Wij hebben deze management letter toegelicht en besproken met de portefeuillehouder Financiën en een afvaardiging van de directie en ambtelijke organisatie. Deze management letter is door ons opgesteld voor uw informatie en mag niet zonder onze uitdrukkelijke toestemming geheel of gedeeltelijk aan derden ter beschikking worden gesteld. Wij danken u en uw medewerkers voor de samenwerking en zijn graag bereid tot het verstrekken van nadere toelichting. Hoogachtend, Baker Tilly (Netherlands) N.V.
drs. E.H.J.D. Damman RA 2
Inhoudsopgave CONTACT drs. E.H.J.D. (Edwin) Damman RA Partner Audit (verantwoordelijke accountant) +31 (0)6 13 74 45 08 e.damman@bakertilly.nl J.B. (Martine) Vree-Brink MSc RA Manager Audit +31 (0)6 52 76 55 24 m.vree@bakertilly.nl
KANTOORGEGEVENS Baker Tilly (Netherlands) N.V. Burgemeester Roelenweg 14-18 8021 EV Zwolle Postbus 508 8000 AM Zwolle +31 38 425 86 00
1. Bestuurlijke samenvatting
4
2. Bevindingen en aandachtspunten
6
Bijlage 1: Detailbevindingen IT-beheersing
18
Bijlage 2: Logische toegangsbeveiliging en wijzigingsbeheer 25 Bijlage 3: Actuele ontwikkelingen
28
Bijlage 4: Rechtmatigheidsverantwoording
31
3
Bestuurlijke samenvatting 4
1. Bestuurlijke samenvatting
Deze management letter bevat onze bevindingen die zijn gebaseerd op onze tussentijdse werkzaamheden in het kader van de jaarrekeningcontrole voor het jaar eindigend op 31 december 2022.
Dit boekjaar heeft u voor de IT-beheersing een ISAE 3402 Type 2 verklaring verkregen van De Connectie. Dit is een goede stap voor de monitoring van de gemeente op De Connectie, aangezien dit rapport zowel de conclusies van opzet, bestaan als werking van de ITbeheersingsmaatregelen bevat. De vervolgstap is het blijven toezien op de acties die De Connectie in gang wil zetten om de conclusie omtrent de werking te verbeteren (bewaking van de opvolging).
Wij zien dat de gemeente Rheden belang hecht aan een goede interne beheersing. Middels het (verbijzonderde) interne controleplan heeft u in 2022 een mooie basis gelegd voor het uitvoeren van de interne controles en de voorbereiding op de rechtmatigheidsverantwoording. Via het opvolgingsplan worden de verbeteracties voor de interne beheersing gestructureerd opgepakt. Wel is uw organisatie op sommige vlakken kwetsbaar op het gebied van capaciteit en kennis waardoor verbeterslagen tijd nodig hebben. In diverse processen zien wij dat verbeteringen mogelijk c.q. noodzakelijk zijn. Belangrijke onderdelen zijn daarbij het inrichten van de processen en het zichtbaar maken van beheersing en controles.
Nederland heeft op dit moment te maken met enkele extreme omstandigheden: fors oplopende inflatie, de energiecrisis en de capaciteitsproblemen op de arbeidsmarkt. Deze omstandigheden leiden tot financiële risico’s voor de gemeente op langere termijn, maar zeker ook op korte termijn in relatie tot het opstellen van de jaarrekening 2022.
5
2. Bevindingen en aandachtspunten 6
2. Bevindingen en aandachtspunten 2.1 Algemeen Inleiding Doel en reikwijdte
Risicoanalyse
Het doel van onze jaarrekeningcontrole is het vormen van een oordeel over de getrouwheid en de rechtmatigheid van de jaarrekening als geheel, zoals bedoeld in het Besluit Accountantscontrole Decentrale Overheden (BADO). Vanuit de jaarrekeningcontrole beoordelen wij of de kwaliteit van de administratieve organisatie en interne beheersing voor zover relevant voor onze oordeelsvorming en geven wij geen zelfstandig oordeel over de algehele kwaliteit van de administratieve organisatie en interne beheersing. De controle van de jaarrekening omvat het uitvoeren van controlewerkzaamheden, waaronder risicoanalyse, cijferanalyses, beoordeling van de administratieve procedures en het daarmee samenhangende systeem van interne beheersingsmaatregelen en gegevensgerichte controlewerkzaamheden. De samenstelling en omvang van die werkzaamheden zijn noodzakelijk voor het verkrijgen van voldoende controle-informatie ter onderbouwing van ons oordeel.
Onze risicoanalyse richt zich op een betrouwbare totstandkoming van de jaarrekening. Dit betekent dat wij niet alle risico’s die voor u als gemeente relevant zijn in onze controle meenemen. De risicoanalyse is een continue proces en stellen wij gedurende de controle indien nodig bij. De belangrijkste bij uw gemeente onderkende risico’s / kernpunten in de controle zijn: • • • • • • •
Naleving van Europese aanbestedingsregelgeving; Doorbreking van AO/IB door het management; Schattingsposten en veronderstellingen van het management, waaronder de voorzieningen; Handmatige c.q. spoedbetalingen; Prestatielevering inkopen. Uitkeringen (lasten Participatiewet, WMO, Jeugd) Waardering van de grondexploitaties.
In deze management letter en ons verslag van bevindingen rapporteren wij naar aanleiding van de jaarrekeningcontrole over bovenstaande punten.
7
2. Bevindingen en aandachtspunten 2.2 Bedrijfsprocessen Beeld interne beheersing
Uw gemeente dient op het gebied van interne beheersing nog verdere verbetering in te zetten. Om alle financiële uitdagingen voor uw gemeente in de komende tijd in goede banen te leiden worden hoge eisen aan het planning- en control instrumentarium, alsmede het interne beheersingssysteem gesteld. De aanstaande invoering van de rechtmatigheidsverantwoording door het college stelt hogere eisen aan het interne beheersingssysteem. De aanwezigheid van een adequaat intern (financieel) beheersingssysteem is daarbij een essentiële randvoorwaarde om te kunnen bijsturen en de betrouwbaarheid van financiële informatie en verslaglegging is van groot belang om dit tijdig en goed te kunnen doen. In 2022 heeft u gewerkt aan de fundering van de organisatie. Van de bevindingen die wij voorgaande jaren hebben gerapporteerd heeft u veel punten opgepakt en/of onderhanden. De actiepunten voor de verbetering van de interne beheersing monitort u gestructureerd via het opvolgingsplan. De implementatie en afwikkeling vergt aandacht van de gehele organisatie en dat heeft tijd nodig. Ook zien wij dat de financiële en VIC-functies nog veelal met inhuurkrachten zijn ingevuld, waardoor u moet waken voor de stabiliteit en borging van kennis in uw organisatie.
Basis op orde echter beheersmaatregelen nog deels onvoldoende (zichtbaar)
Procesbeschrijvingen
Transformatie van controle achteraf naar beheersing vooraf
Wij constateren dat op dit moment de processen in de basis op orde zijn en dat primaire functiescheiding is ingeregeld. Daarentegen zijn op onderdelen de interne beheersingsmaatregelen in het proces nog onvoldoende verankerd dan wel onvoldoende zichtbaar. In die laatste situatie kan achteraf niet vastgesteld worden of de afgesproken procedures en interne controles wel hebben bestaan en gewerkt. De verbijzonderde interne controlefunctie kan in beide gevallen niet systeemgericht controleren en wij als accountant ook niet. Dat laatste betekent dat een controle meer tijd kost voor zowel de gemeente als voor ons. Daarnaast neemt hierdoor ook het risico op fouten en onrechtmatigheden toe. Bovendien ontbreekt, doordat geen systeemgerichte controle kan plaatsvinden, een automatisch mechanisme waarbij de efficiency, doelmatigheid en effectiviteit van de processen en daarin opgenomen interne beheersingsmaatregelen tegen het licht wordt gehouden. Wij adviseren de zichtbaarheid van de interne beheersingsmaatregelen te vergroten om u in staat te stellen bestaan en werking van de beheersingsmaatregelen te monitoren. Dit stelt uw gemeente in staat verder “in control” te komen. Tot slot is het van belang dat de gemeente beschikt over procesbeschrijvingen, waaruit blijkt hoe interne controles er precies uitzien.
Om dit scherp in beeld te brengen is het belangrijk procesbeschrijvingen op te stellen en waar deze reeds voorhanden zijn, deze te verfijnen voor de “key-controls”. Deze “key-controls” zitten vaak bij de rollen in functiescheiding van controlerend en autoriserend. Belangrijk hierbij is om de "key-controls" zo scherp mogelijk te beschrijven aan de hand van de 6W's (wie, wat, waarom, wanneer, met welke informatie en wat wordt vastgelegd) zodat iedere betrokken functionaris weet wat er van hem of haar verwacht wordt. Het opstellen en actualiseren van de procesbeschrijvingen heeft u onderhanden. Een adequate beschrijving en toereikende inrichting en werking van de interne beheersing vormt de basis om voor de verbijzonderde interne controle en door ons als accountant over te gaan van een gegevensgerichte naar een organisatiegerichte controlestrategie. Hierdoor wordt het mogelijk om te steunen op de maatregelen van interne beheersing waardoor minder gegevensgerichte detailcontroles hoeven te worden uitgevoerd. Daarnaast biedt een toereikende inrichting en werking van de interne beheersing ook een goede grondslag voor de toekomstige rechtmatigheidsverantwoording door het college.
8
2. Bevindingen en aandachtspunten 2.3 Status Rechtmatigheidsverantwoording Rechtmatigheidsverantwoording Stand van zaken in verband met invoering rechtmatigheidsverantwoording
De gemeente draait in 2022 het 2e proefjaar voor de rechtmatigheidsverantwoording, zodat u voorbereid bent op de rechtmatigheidsverantwoording die het college in 2023 moet opnemen in de jaarrekening. Wij achten uw voorbereiding en planning passend bij deze wetswijziging. Daarnaast heeft de financiële verordening en controleverordening (ex artikel 213) reeds voorbereid zodat ze in lijn gebracht zijn met de nieuwe wetgeving. Het is belangrijk om in beeld te brengen of naar mening van het college de drie criteria voor de rechtmatigheidsverantwoording voldoende scherp zijn beschreven en geoperationaliseerd. Deze drie criteria betreffen: begrotingscriterium, voorwaardencriterium en criterium met betrekking tot Misbruik en Oneigenlijk gebruik (ook wel M&O). Wij zien hierin nog verbetermogelijkheden in het documenteren van het begrotingscriterium en voorwaardencriterium voor de gemeente. Daarnaast heeft de gemeente Rheden het M&O Beleid verwerkt in diverse beleidsstukken, evenwel is daar niet expliciet gemaakt welke onderdelen M&O-beleid betreffen, waardoor een afzonderlijk c.q. overkoepelend inzicht niet meteen voor handen is. De commissie BBV adviseert een nota M&O beleid op te stellen. Zie nadere toelichting in bijlage 4.
9
2. Bevindingen en aandachtspunten 2.4 Bedrijfsprocessen Deze management letter bevat onze bevindingen die zijn gebaseerd op de onze werkzaamheden in het kader van de jaarrekeningcontrole 2022. Deze werkzaamheden zijn dan ook niet gericht op het geven van een oordeel over de interne beheersing van uw organisatie als geheel. Voorgaande jaren hebben wij tijdens onze besprekingen met u diverse aanbevelingen benoemd ter verdere optimalisering van de bestaande administratieve organisatie en interne beheersing. In deze management letter geven wij u een schriftelijke update van onze bevindingen. In het overzicht hiernaast is de samenvatting van het aantal bevindingen en de status opgenomen. Een overzicht van de detailbevindingen is opgenomen in bijlage 1. Voor de bevindingen uit voorgaande jaren verwijzen wij u naar eerdere management letters.
Samenvatting
Aandachtspunten
Aantal aanbevelingen uit voorgaande jaren*
24
Nieuwe bevindingen uit 2022
0
Waarvan afgerond en opgelost in 2022
-7
Waarvan acties zijn ondernomen in 2022, maar nog niet afgerond
8
Waarvan reeds acties zijn ondernomen in voorgaande jaren, maar nog niet zijn afgerond
3
Waarvan nog geen acties zijn ondernomen
6
Aantal openstaande aanbevelingen
17
* Dit betreffen de bevindingen die in de management letter 2021 zijn opgenomen in opsomming en tekstuele toelichting tekst
Legenda status: = opgelost = actie ondernomen, maar nog niet afgerond = geen actie ondernomen = advies niet overgenomen = nieuwe bevinding 10
2. Bevindingen en aandachtspunten 2.4 Bedrijfsprocessen Onze aanbevelingen in de bedrijfsprocessen (deel 1): Proces
Bevinding/Aandachtspunt
Status 2022
Status 2021
Impact
2021.01
Aanbestedingen
Startformulier niet gehanteerd
Gemiddeld
2021.02
Leges
Doorbreken functiescheiding
Laag
2021.03
Leges
Mutaties tarieven
Laag
2021.04
Betalingen
Zelfstandig verrichten van betalingen door de Burgemeester
Gemiddeld
2020.01
Sociaal Domein
Onjuiste controle op het woonplaatsbeginsel bij jeugdzorg
Hoog
2020.02
Sociaal Domein
Signaleringslijsten onvoldoende gecontroleerd
Middel
2020.03
Sociaal Domein
Hoge wachttijden en hoge werkdruk die kunnen leiden tot ongewenste situaties
Middel
2020.04
Sociaal Domein
Bevoegdheden per functionaris onlogisch
Laag
2020.05
Inkopen
Bij het autoriseren van inkoopfacturen wordt de prijs en prestatie onvoldoende onderbouwd
Hoog
2020.06
Inkopen
Geen zicht op naleving aanbestedingsrichtlijn
Hoog
2020.08
Leges
Geen zichtbare toets op heffingsgrondslag bij leges voor omgevingsvergunningen
Middel
2020.09
Belastingopbrengsten
Tussentijdse aansluiting tussen de belastingapplicatie en financiële administratie is niet gemaakt
Middel
2020.10
Subsidieverstrekkingen
Onvoldoende structuur en documentatie bij subsidieverstrekkingen en –vaststellingen
Middel
Nr.
Legenda status: = opgelost = actie ondernomen, maar nog niet afgerond = geen actie ondernomen = advies niet overgenomen = nieuwe bevinding 11
2. Bevindingen en aandachtspunten 2.4 Bedrijfsprocessen Onze aanbevelingen in de bedrijfsprocessen (deel 2): Proces
Bevinding/Aandachtspunt
Status 2022
Status 2021
Impact
2020.11
Administratie & verslaglegging
Onvoldoende controle op verwerking van begrotingswijzigingen
Hoog
2020.12
Treasury
Onduidelijke afspraken over treasurybeheer
Laag
2020.13
Treasury
Het accorderen van kasgeldleningen wordt door onbevoegde medewerkers gedaan
Laag
2020.14
Treasury
Het treasurystatuut is verouderd
Laag
2019.01
Sociaal Domein
Geen functiescheiding bij aanmaken en muteren van stamgegevens crediteuren
Hoog
2019.02
Sociaal Domein
Onvoldoende documentatie en collegiale toetsing in dossiers
Middel
2019.04
IT-omgeving
Monitoring en regiefunctie onvoldoende
Hoog
2018.01
Treasury
Geen formele liquiditeitsplanning voor lange en korte termijn
Laag
2018.02
Administratie & Verslaglegging
Onvoldoende functiescheiding tussen maken, verwerken en controleren van memoriaalboekingen
Middel
2018.03
Subsidiebaten
Geen geformaliseerde procedure voor het aanvragen, registreren en monitoren van subsidiebaten en de daarbij horende verplichtingen.
Laag
2016.01
Grondexploitatie
Geen zichtbare interne beheersing bij actualisaties grondexploitaties
Laag
Nr.
Voor de details van de bevinding verwijzen wij naar onze management letter van voorgaande jaren en uw opvolgingsplan. Legenda status: = opgelost = actie ondernomen, maar nog niet afgerond = geen actie ondernomen = advies niet overgenomen = nieuwe bevinding 12
2. Bevindingen en aandachtspunten 2.5 IT-omgeving In het kader van de jaarrekeningcontrole hebben wij ook de relevante IT-beheersing gecontroleerd bij de DOWR-. In dit hoofdstuk is de samenvatting van onze waarneming opgenomen. De kleur van het symbool geeft de kwaliteit weer: = Op dit moment voldoende = Adviespunt, verdere aanscherping mogelijk = Benodigd verbetering op (korte) termijn
IT General controls Veel handelingen die binnen de gemeente plaatsvinden, worden geregistreerd door middel van automatisering. Daarbij zijn diverse interne beheersingsmaatregelen door u geautomatiseerd in softwarepakketten. Wij onderzoeken daarom de beheersing van uw IT-omgeving die relevant is voor de jaarrekeningcontrole via De Connectie en rapporteren daarover in deze management letter. Dit boekjaar heeft u voor de IT-beheersing een ISAE 3402 Type 2 verklaring verkregen van De Connectie. Dit is een goede stap voor de monitoring van de gemeente op De Connectie, aangezien dit rapport zowel de conclusies van opzet, bestaan als werking van de ITbeheersingsmaatregelen bevat. De vervolgstap is toezien op de acties die De Connectie in gang wil zetten om de conclusie omtrent de werking te verbeteren (de invulling van de regiefunctie). Tevens hebben wij naar de general IT-controls van het netwerk en de financiële applicatie Unit4 beoordeeld. Voor Civision Samenlevering zijn de beheersingsmaatregelen in het systeem niet relevant voor onze controle, daarom hebben wij daarvan enkel het wijzigingsbeheer beoordeeld om na te gaan of het lijstwerk uit het systeem betrouwbaar is. Hieronder volgt onze samenvatting: Omgeving
Authenticatie
Autorisatie
Netwerk
Wijzigingsbeheer N.v.t.
Unit4 Civision Samenlevingszaken In bijlage 1 is de nadere toelichting en uitleg van het bovenstaande opgenomen.
13
2. Bevindingen en aandachtspunten 2.6 Overige bevindingen Voorzieningen
Voorzieningen in de jaarrekening Voorzieningen voor toekomstige uitgaven (voor egalisatie van kosten) in de jaarrekening kunnen alleen gevormd worden als dit past binnen de richtlijnen van het BBV. Daarnaast dienen de schattingen aan te sluiten met interne beleidsplannen en wordt de onderbouwing met position papers sterk aanbevolen. In het voortraject hebben wij reeds met elkaar gesproken over de beheersplannen gebouwen/wegen/spelen. Op basis van de huidige beheerplannen wordt niet voldaan aan de vereisten om een voorziening te kunnen vormen. Het handhaven van een reserve achten wij passend voor deze toekomstige uitgaven.
Financieel afsluitingsproces
Tijdigheid en kwaliteit financieel afsluitingsproces De gemeenteraad heeft de wens uitgesproken om de jaarrekeningcontrole eerder af te ronden. Om de controle naar voren te halen heeft de organisatie diverse kwaliteitsslagen te maken om de jaarrekening en het balansdossier eerder gereed te hebben. Met name vanwege de huidige vacatures op financieel beheerders zien wij hier een grote uitdaging voor de gemeente. Daarnaast zien wij ook op afdeling Samenleving capaciteitsproblemen om controle-documentatie aan te leveren. De gemeente moet de interne data en informatievoorziening verbeteren voordat de jaarrekeningcontrole naar voren kan. Wij raden u aan een stappenplan te maken zodat u stapsgewijs de verantwoordingscyclus kunt vervroegen.
Fout in aanbesteding
Onrechtmatigheid in aanbestedingen Tijdens de tussentijdse controle op de naleving van aanbestedingsrichtlijnen is geconstateerd dat er ten onrechte een dienst op het gebied van ingenieursdiensten niet is aanbesteed. Er is bewust gekozen voor een onderhandse gunning en het niet volgen van een Europees Aanbestedingstraject. Deze afwijking van het eigen inkoopbeleid is gemotiveerd in een memo en akkoord bevonden door het directieteam. Echter past de motivatie niet binnen de uitzonderingsmogelijkheden die in de Europese Aanbestedingswet worden benoemd, waardoor deze werkwijze niet rechtmatig is. De financiële impact van deze onrechtmatigheid zullen wij per jaareinde evalueren en meenemen in ons oordeel.
14
2. Bevindingen en aandachtspunten 2.7 Belangrijke macro-economische ontwikkelingen Grondexploitaties
Grondexploitaties Er zijn momenteel diverse onzekere factoren die impact hebben op de ontwikkeling van grondexploitaties, denk hierbij onder andere aan een stijgende vraag naar woningen, krapte aan (betaalbare) woningen op de markt, krapte op de arbeidsmarkt bij bouwondernemingen, stijgende energie- en grondstofprijzen + stijgende rente en verduurzamingsopgave. Deze huidige ontwikkeling en de onzekerheid over de toekomstige ontwikkelingen betekent een grote schattingsonzekerheid op de realisatie. Gezien de beperkte lopende projecten in de gemeente Rheden signaleren wij hiervoor geen bijzonderheden voor u. Wij raden u aan de reken technische uitgangspunten en analyses van de lopende grondexploitaties vroegtijdig uit te voeren en intern af te stemmen, zodat dit goed verwerkt kan worden in de jaarrekening.
Energiecrisis en hoge inflatie
Energiecrisis en hoge inflatie Nederland heeft op dit moment te maken met enkele extreme omstandigheden: enorm oplopende inflatie, de energiecrisis en de capaciteitsproblemen op de arbeidsmarkt. Deze omstandigheden leiden tot financiële risico’s voor de gemeenten op langere termijn, maar zeker ook op korte termijn in relatie tot het opstellen van de jaarrekening 2022. We vragen hier dan ook nadrukkelijk uw aandacht voor en verwachten van u bij de jaarrekeningcontrole een expliciete analyse van: -
Waardering (langlopende) vorderingen. Ook partijen waar u leningen aan heeft verstrekt of waar u vorderingen op heeft, kunnen zijn getroffen door de genoemde ontwikkelingen. Het is bij het opstellen van de jaarrekening dan ook noodzakelijk om een toereikende voorziening te treffen voor de eventuele oninbaarheid van deze vorderingen. In het bijzonder vragen we u aandacht voor de onderbouwing van de inbaarheid vorderingen richting gesubsidieerde instellingen.
-
Begrotings- en kredietrechtmatigheid. De genoemde ontwikkelingen leiden zowel op korte als langere termijn tot hogere lasten voor de gemeente. In het kader van de begrotingsrechtmatigheid is het van belang dat het college eventuele begrotingsafwijkingen als gevolg van deze hogere lasten zoals te doen gebruikelijk tijdig meldt aan de gemeenteraad. Ook mogelijke kredietoverschrijdingen dienen tijdig in beeld te zijn en daar waar noodzakelijk tijdig met de gemeenteraad te worden gecommuniceerd.
-
Tot slot is het noodzakelijk om de toekomstige risico’s, zoals bijvoorbeeld ten aanzien van de toenemende rente in beeld te hebben en daar in de paragraaf financiering op te reflecteren.
15
2. Bevindingen en aandachtspunten 2.8 Fraude en continuïteit Fraude en continuïteit in de controleverklaring
Als reactie op de rapporten van de Commissie Toezicht Accountancysector en Monitoring Commissie Accountancy heeft de NBA in de 2e helft van 2020 aangekondigd dat zij het beleid op de gebieden Fraude en Continuïteit meer concreet en meer zichtbaar tot uitdrukking wil brengen. Dit wordt gedaan met een aanvulling op Standaard 700. De aanvulling in Standaard 700 komt er in hoofdlijnen op neer dat afzonderlijke secties voor de onderwerpen continuïteit en fraude in de controleverklaring worden opgenomen. Hierin wordt uiteengezet hoe de accountant bij de controleaanpak inspeelt op risico’s ten aanzien van fraude en continuïteit en worden de uitgevoerde werkzaamheden toegelicht. Als aanvulling kan de accountant ook de uitkomsten van deze werkzaamheden of belangrijke waarnemingen met betrekking tot het onderwerp toelichten. De beide secties worden in alle controleverklaringen (verplicht) opgenomen; ook in situaties waar geen sprake is van ernstige continuïteitsonzekerheid of spraakmakende fraudecasuïstiek.
Fraude
Frauderisicoanalyse De primaire verantwoordelijkheid voor het voorkomen en detecteren van fraude (waaronder corruptie) berust bij het college van burgemeester en wethouders. Deze verantwoordelijkheid betreft ook het onderhouden van een zodanige interne beheersing om het opmaken van de jaarrekening mogelijk te maken zonder dat deze afwijkingen van materieel belang bevat als gevolg van fraude of fouten. Wij willen u erop wijzen dat wij vanaf dit boekjaar verplicht zijn om in onze controleverklaring specifiek te vermelden welke frauderisico’s wij bij de controle van uw jaarrekening hebben geïdentificeerd en welke werkzaamheden wij ten aanzien van deze risico’s hebben uitgevoerd. Idealiter sluiten de door ons onderkende frauderisico’s in onze controleaanpak aan op de frauderisicoanalyse zoals opgesteld door het college, en de toelichting van het college op de eventuele frauderisico’s in de paragraaf bedrijfsvoering in de jaarrekening. Frauderisicoanalyse (intern) Op basis de onderzoeken op het gebied van fraude risico-analyse, misbruik & oneigenlijk, corruptie en kwetsbare functies, stellen wij vast dat er binnen de gemeente in belangrijke mate aandacht is voor frauderisico’s en de preventie daarvan. Gemeente Rheden heeft enkele jaren geleden een fraude-risicoanalyse laten opstellen door een externe partij.
Actualisering van deze frauderisico-analyse heeft echter niet (meer) plaatsgevonden. Wij vragen uw aandacht hiervoor. Aanvullend is het belangrijk dat de interne controle inzicht verkrijgt in de opzet en het bestaan van de maatregelen van interne beheersing rondom de geïdentificeerde frauderisico’s en deze in kaart brengt.
16
2. Bevindingen en aandachtspunten 2.8 Fraude en continuïteit Frauderisicoanalyse vanuit de blik van de accountant Op basis van de bedrijfsverkenning en onze interim-controle onderkennen wij de volgende frauderisico’s bij onze jaarrekeningcontrole: • Het risico dat het management maatregelen van interne beheersing doorbreekt, bijvoorbeeld bij de verantwoording van investeringskredieten. • Het risico dat bewust van het Europees inkoopbeleid wordt afgeweken, waardoor er onrechtmatig wordt gehandeld. • Het risico dat handmatige c.q. spoedbetalingen uitgevoerd worden aan niet-rechthebbenden. De passages in relatie tot bovenstaande fraude-risico’s die wij voornemens zijn op te nemen in de controleverklaring stemmen wij met u af en zullen wij bij de bespreking van het accountantsverslag met u doornemen. Fraude driehoek Wij hebben vastgesteld dat bij het identificeren van de fraude-risico’s binnen uw gemeente specifiek gebruik wordt gemaakt van de fraude driehoek. De fraudedriehoek kent de elementen ‘Gelegenheid’, ‘Rationalisatie’ en ‘Druk’ en is een goed hulpmiddel om frauderisicofactoren in beeld te krijgen en vandaar uit te bepalen of deze frauderisicofactoren ook daadwerkelijk tot een frauderisico voor uw gemeente leiden. Een frauderisico-analyse is een dynamisch stuk: nieuwe omstandigheden brengen mogelijk nieuwe risico’s met zich mee.
Wij vragen u als gevolg van de huidige economische ontwikkelingen (o.a. stijgende energieprijzen en indexatie) bij uw analyse nadrukkelijk aandacht te besteden aan de elementen druk en rationalisatie. Deze kunnen mogelijk leiden tot aanvullende frauderisico’s. Continuïteit Voor gemeenten geldt dat vanwege de vrijwel onbegrensde leencapaciteit bij de BNG (en daardoor altijd aanwezige liquiditeit) per definitie geen onzekerheid kan bestaan over de continuïteitsveronderstelling. Evenwel stellen wij vast dat dat feit slechts zelden ook daadwerkelijk wordt benoemd in gemeentelijke jaarstukken. Dit zou bijvoorbeeld kunnen in de paragraaf weerstandsvermogen en risicobeheersing. Daarnaast is het ook raadzaam om de impliciete veronderstelling dat de gemeentelijke jaarstukken op basis van een continuïteitsveronderstelling zijn opgesteld, expliciet genoemd mogen worden in de grondslagen. Wij vragen beide zaken mee te nemen bij het opstellen van de jaarstukken 2022. Naast feitelijke discontinuïteit is ook de mate waarin de gemeente zelfstandig en autonoom (financieel) beleid kan voeren een belangrijke veronderstelling. Derhalve is het toezichtregime waaronder u valt bij het interbestuurlijk toezicht van de provincie Gelderland (artikel 12) in onze optiek een onderwerp welke in paragraaf weerstandsvermogen en risicobeheersing meegenomen moet worden.
17
Bijlage 1: detailbevindingen IT-beheersing
18
1. Bevindingen IT-beheersing 1.1 Algemeen IT General Controls Veel handelingen die binnen organisaties plaatsvinden, worden geregistreerd door middel van automatisering. Daarbij zijn diverse interne beheersingsmaatregelen steeds vaker geautomatiseerd in softwarepakketten. Wij onderzoeken daarom de beheersing van uw IT omgeving en rapporteren daarover in deze management letter. Op basis van de door ons uitgevoerde werkzaamheden d.d. 31-10-2022 hebben wij onze inschatting van de kwaliteit van uw IT systeem en/of applicaties opgenomen. Hierbij hebben wij de volgende onderverdeling gemaakt om de kwaliteit weer te geven: Benodigd verbetering op (korte) termijn Adviespunt, verdere aanscherping mogelijk Op dit moment voldoende
Bij het uitvoeren van onze werkzaamheden hebben wij gekeken naar de algemene onderwerpen rondom de beheersing van uw IT omgeving zoals in de tabel rechts opgenomen. Op de navolgende pagina’s rapporteren wij onze bevindingen.
Categorie
Onderwerp Toegangsbeveiliging Bij het toetsen van ‘toegangsbeveiliging’ wordt onderzocht of de inrichting van de IT-omgeving de authenticiteit van de gebruiker van een gebruikersaccount borgt. Vervolgens onderzoeken wij de mogelijkheden voor het ‘steunen’ op autorisaties en de processen rondom het verstrekken, muteren en ontnemen van autorisaties binnen de omgeving. Wanneer de randvoorwaarden hiervoor voldoende aanwezig zijn, kunnen wij in de controle gebruik maken van ingerichte functiescheiding in het systeem. Een adequate inrichting kan preventief risico’s voor uw organisaties beperken en tegelijkertijd efficiency voordelen opleveren in de controle. In paragraaf 3.2 is dit uitgewerkt. Wijzigingsbeheer (Change management) Bij het toetsen van ‘wijzigingsbeheer’ wordt vastgesteld dat wijzigingen in de applicatie op gestructureerde en gecontroleerde wijze worden doorgevoerd. Voor uw organisatie heeft wijzigingsbeheer het doel om te voorkomen dat applicaties zich niet gedragen zoals u verwacht na een wijziging in de software, resulterend in, wellicht niet opgemerkte (financiële) gevolgen. De conclusies omtrent wijzigingsbeheer zijn uitgewerkt in paragraaf 3.3. Continuïteitsmaatregelen en beveiliging Onder de noemer continuïteit en beveiliging krijgen wij inzicht in uw beheersing van risico’s gericht op continuïteit van uw bedrijfsvoering.
Hierbij kan discontinuïteit worden veroorzaakt door menselijk of technisch falen, maar ook door interne of externe kwaadwillenden. Voor continuïteit zijn met name het punt in de tijd aan tot waar u gegevens bij discontinuïteit kunt herstellen en de tijd die het kost om tot een normale bedrijfsvoering te komen bij discontinuïteit van belang. Hiernaast schatten wij uw beheersing van cyber risico’s in. Zie verdere uitwerking in paragraaf 3.4. Adviespunten zonder directe impact Het is ons van belang om inzicht te krijgen in de verantwoordelijkheden die binnen de organisatie zijn ingericht – of met andere organisaties overeen zijn gekomen (uitbesteding) – ten aanzien van de beheersing van de IT-omgeving. Hierbij kijken wij naar beleidsstukken ten aanzien van IT-strategie, beveiliging en functiescheiding. Ook de interne beheersingsmaatregelen die al dan niet zijn ingericht binnen de IT-omgevingen zijn onderdeel van onze scope. Indien maatregelen periodiek worden uitgevoerd kunnen wij hier gebruik van maken in de jaarrekeningcontrole. Deze adviespunten hebben niet een directe impact op onze controlewerkzaamheden, maar zijn wel wenselijk. In paragraaf 3.5 is dit nader uitgewerkt. 19
1. Bevindingen IT-beheersing 1.2 Toegangsbeveiliging en wijzigingsbeheer netwerk (active directory) De conclusies die wij op basis van onze werkzaamheden trekken over de algemene inrichting van het netwerk bij uw organisatie, delen wij op deze pagina met u. Authenticatie Door middel van authenticatie wordt geborgd dat een gebruiker zichzelf kan identificeren binnen een geautomatiseerde omgeving. Kort gezegd: de gebruiker toont aan dat hij/zij inlogt met een eigen persoonsgebonden account en daarmee is wie hij/zij claimt te zijn. Wij scharen onder dit onderwerp m.n. de wachtwoordvereisten. Autorisatie Op het gebied van autorisatie zijn verschillende vormen van diepgang te definiëren. Wat wij onderzoeken en aan u rapporteren als het gaat om de randvoorwaarden rondom autorisatie, zijn de rechten die de mogelijkheid bieden om autorisatiestructuren te wijzigen en of deze rechten belegd zijn bij functionarissen met een onafhankelijke positie ten opzichte van de jaarrekening. Dit geldt voor zowel voor rechten op applicatie- als databaseniveau voor applicaties in scope van onze controle. Daarnaast is een effectieve vaste werkwijze voor het toekennen van rechten noodzakelijk om gedurende een periode te kunnen steunen op het feit dat rechten adequaat beperkt zijn.
Authenticatie
Autorisatie
Wijzigingsbeheer
Netwerk N.v.t.
Omgeving Authenticatie De ingestelde wachtwoordeisen van het netwerk zijn van voldoende niveau om op de authenticatie van gebruikers te kunnen steunen. Wachtwoorden dienen te voldoen aan het wachtwoordbeleid, waarbij een minimale lengte, complexiteit en periodiek wijzigen worden afgedwongen. Tevens wordt er periodiek een controle uitgevoerd op het wachtwoordbeleid en of alle accounts voldoen aan de wachtwoordinstellingen. Autorisatie In relatie tot de jaarrekeningcontrole is het van belang dat de hoge rechten op het netwerk beperkt zijn ingericht. De hoge rechten (rechten om gebruikers(rechten) te muteren) in de Windows Active Directory zijn beperkt tot onafhankelijke functionarissen in het kader van de jaarrekeningcontrole, en zijn niet betrokken bij processen die relevant zijn voor de jaarrekening. Hoge rechten worden enkel toegekend volgens de opgestelde procedure. Wijzigingsbeheer In relatie tot de jaarrekeningcontrole is wijzigingsbeheer omtrent de Windows Active Directory minder relevant, en hebben wij hiervoor geen werkzaamheden uitgevoerd. Wel hebben wij aandacht voor patch management in het kader van mogelijke cyber securityrisico’s.
Wijzigingsbeheer (Change management) Bij het doorvoeren van wijzigingen in softwareomgevingen ontstaan risico’s voor de bedrijfsvoering van uw organisatie. Wij verwachten daarom dat het proces voor wijzigingen een proces doorloopt, waarmee de risico’s die gelopen worden, zijn ingeschat, worden geadresseerd en dat hierop maatregelen genomen worden. 20
1. Bevindingen IT-beheersing 1.2 Toegangsbeveiliging en wijzigingsbeheer Unit4 Financials De conclusies die wij op basis van onze werkzaamheden trekken over de algemene inrichting van de applicatie iFinanciën bij uw organisatie, delen wij op deze pagina met u. Authenticatie Door middel van authenticatie wordt geborgd dat een gebruiker zichzelf kan identificeren binnen een geautomatiseerde omgeving. Kort gezegd: de gebruiker toont aan dat hij/zij inlogt met een eigen persoonsgebonden account en daarmee is wie hij/zij claimt te zijn. Wij scharen onder dit onderwerp m.n. de wachtwoordvereisten. Autorisatie Op het gebied van autorisatie zijn verschillende vormen van diepgang te definiëren. Wat wij onderzoeken en aan u rapporteren als het gaat om de randvoorwaarden rondom autorisatie, zijn de rechten die de mogelijkheid bieden om autorisatiestructuren te wijzigen en of deze rechten belegd zijn bij functionarissen met een onafhankelijke positie ten opzichte van de jaarrekening. Dit geldt voor zowel voor rechten op applicatie- als databaseniveau voor applicaties in scope van onze controle. Daarnaast is een effectieve vaste werkwijze voor het toekennen van rechten noodzakelijk om gedurende een periode te kunnen steunen op het feit dat rechten adequaat beperkt zijn.
Wijzigingsbeheer (Change management) Bij het doorvoeren van wijzigingen in softwareomgevingen ontstaan risico’s voor de bedrijfsvoering van uw organisatie. Wij verwachten daarom dat het proces voor wijzigingen een proces doorloopt, waarmee de risico’s die gelopen worden, zijn ingeschat, worden geadresseerd en dat hierop maatregelen genomen worden.
Authenticatie
Unit4 Financials
Autorisatie
Wijzigingsbeheer
Omgeving Authenticatie De ingestelde wachtwoordeisen van de applicatie zijn van voldoende niveau om op de authenticatie van gebruikers te kunnen steunen. Wachtwoorden dienen te voldoen aan het wachtwoordbeleid, waarbij een minimale lengte, complexiteit en periodiek wijzigen worden afgedwongen. Tevens wordt er periodiek een controle uitgevoerd op het wachtwoordbeleid en of alle accounts voldoen aan de wachtwoordinstellingen. Autorisatie Er is sprake van een autorisatieprocedure en deze wordt jaarlijks gereviewd. Echter zijn de autorisatiewijzigingen niet inzichtelijk te maken, waardoor het niet mogelijk is te valideren of mutaties in gebruikersaccounts enkel op basis van een goedgekeurde aanvraag zijn doorgevoerd. Er zijn geen uitzonderingen vastgesteld in het aanmaken van gebruikersaccounts. Wij hebben begrepen dat er gedurende het jaar opvolging is gegeven aan deze bevinding en dat er inmiddels sprake is van logging op autorisatiewijzigingen. Hierdoor zijn de autorisatiewijzigingen inzichtelijk te maken. Elke week wordt er een controle uitgevoerd op uitdiensttredingen en functiewijzigingen. Elke maand wordt er een controle uitgevoerd op indiensttredingen, uitdiensttredingen en functiewijzigingen conform de autorisatieprocedure zijn doorlopen.
De hoge rechten (rechten om gebruikers(rechten) te muteren) in de applicatie zijn beperkt tot onafhankelijke functionarissen in het kader van de jaarrekeningcontrole, en zijn niet betrokken bij processen die relevant zijn voor de jaarrekening. Hoge rechten worden enkel toegekend volgens de opgestelde procedure. Wijzigingsbeheer Er is sprake van een procedure omtrent het gestructureerd doorvoeren van nieuwe releases in de applicatie. Deze procedure wordt jaarlijks gereviewd. Elk kwartaal wordt er een controle uitgevoerd of alle doorgevoerde releases conform de change management procedure zijn doorlopen. Verder is er sprake van een gescheiden testen productie omgeving. 21
1. Bevindingen IT-beheersing 1.3 Wijzigingsbeheer – Civision Samenlevingszaken Bij het doorvoeren van wijzigingen in softwareomgevingen ontstaan risico’s voor de bedrijfsvoering van uw organisatie. Wij verwachten daarom dat het proces voor wijzigingen een proces doorloopt, waarmee de risico’s die gelopen worden, zijn ingeschat, worden geadresseerd en dat hierop maatregelen genomen worden. Wij hebben in de tabel aangegeven wat wij verwachten per fase en wat wij hebben geconstateerd tijdens onze controle (deels op basis van interview) en of dit overeen komt met de verwachting. .
Proces
Onze bevindingen
Risico inschatting
Wij hebben vernomen dat de risico-inschatting voor Civision Samenlevingszaken niet wordt vastgelegd. Wij adviseren u om deze werkstap te documenteren.
Opstellen testplan en aanpak
Wij hebben vernomen dat er voor Civision Samenlevingszaken nog geen gebruik wordt gemaakt van een testplan voor het uitvoeren van testwerkzaamheden. Wel is er sprake van een vaste werkwijze voor het doorvoeren van wijzigingen. Deze werkwijze is niet vastgelegd in een procedure. Wij adviseren u om vooraf een testplan op te stellen voor het uitvoeren van de testwerkzaamheden.
Testen en documenteren
Wij hebben vernomen dat er omtrent Civision Samenlevingszaken testwerkzaamheden worden uitgevoerd. Deze testwerkzaamheden (controles op functionaliteiten) worden niet gedocumenteerd. Wij adviseren u om de testwerkzaamheden vast te leggen in een testplan.
Gebruikers acceptatie Wij hebben vernomen dat het testen voor Civision Samenlevingszaken in de huidige situatie met name plaatsvindt door een technisch applicatiebeheerder. Hierbij wordt in mindere mate de gebruikersorganisatie betrokken. Wij adviseren u om key-users (de gebruikers die de applicatie bij de dagelijkse werkzaamheden veel gebruiken en veel kennis hebben van de applicatie) te laten testen en deze werkstap documenteren. Hierdoor is het akkoord vanuit de gebruikersorganisatie voldoende zichtbaar.
22
1. Bevindingen IT-beheersing 1.4 Continuïteitsmaatregelen en beveiliging De weergave op deze sheet volgt uit de gesprekken en interviews die wij hebben uitgevoerd bij u op locatie. Het is een momentopname.
Continuïteitsmaatregelen Recovery Point objective (RPO): De RPO is het punt in de tijd tot waar men minimaal de gegevens moet kunnen herstellen. Het is dus de acceptabele hoeveelheid aan dataverlies uitgedrukt in tijd. Back-ups: De gemeente heeft het operationele IT beheer uitbesteed aan de Connectie. De Connectie heeft procedures ingericht die beschrijven op welke wijze back-ups dienen plaats te vinden en omtrent het monitoren van back-ups. Recovery Time Objective (RTO): Een RTO is de tijd waarna een proces/middel na een onderbreking moet teruggebracht zijn op een aanvaardbaar niveau, om een onacceptabele impact op de organisatie te vermijden.
Vervolg RTO Recovery: De gemeente heeft het operationele IT beheer uitbesteed aan de Connectie. De Connectie heeft een formele procedure die beschrijft op welke wijze en met welke periodiciteit recovery testen dienen plaats te vinden. Deze procedures zijn adequaat ingericht. Periodiek worden er recovery testen uitgevoerd en vindt hier terugkoppeling en eventueel opvolging op plaats. Dit wordt gedocumenteerd in Topdesk. Uitwijk: De gemeente heeft het operationele IT beheer uitbesteed aan de Connectie. De Connectie heeft geen uitwijklocatie, maar maakt gebruik van een failover configuratie met twee gespiegelde omgevingen. Elke omgeving is op een andere locatie, op die manier is er een locatie aanwezig die als back-up kan dienen. Hiervoor heeft de Connectie adequate procedures ingericht waarbij er periodiek een failover test worden uitgevoerd. Tevens vindt hier terugkoppeling en eventueel opvolging op plaats. Dit wordt gedocumenteerd in Topdesk. Beveiliging Beveiliging De beveiliging van de IT-omgeving delen wij op in verschillende aspecten, welke wij hieronder hebben weergegeven.
Vervolg Beveiliging Fysieke beveiliging: De servers staan fysiek op twee locaties in datacenters (met eigen toegangsprocedures). Daarnaast is het gebouw van de Connectie niet toegankelijk zonder toegangspas. De toegang is adequaat beveiligd. Monitoring van temperatuur e.d. zijn aanwezig en worden periodiek getest. Remote access: Voor remote toegang wordt gebruik gemaakt van two-factor authenticatie. Doordat de bedrijfskritische applicaties alleen bereikbaar zijn in de Citrix-omgeving waar altijd two-factor wordt afgedwongen voor de medewerkers van gemeente Rheden is het adequaat beveiligd. Preventie: De Connectie heeft op het Windows domein een virusscanner en firewall actief van Safepoint. De firewall stuurt ook actief pushberichten nar de beheerders als zich ongebruikelijk verkeer vertoont. Monitoring: Cybersecurity wordt actief gemonitord door de firewall en opvolging te geven aan de meldingen van de IBD. Beheerders krijgen notificaties om bij calamiteiten actie te ondernemen. Periodiek worden er kwetsbaarheidsscans (door De Connectie) en pentesten (door externe partij) uitgevoerd. Hier wordt eventueel opvolging aan gegeven. 23
1. Bevindingen IT-beheersing 1.5 Adviespunten zonder directe impact De weergave op deze sheet volgt uit de gesprekken en interviews die wij hebben uitgevoerd bij u op locatie. Het is een momentopname.
Beleid en Plannen Beleid Gemeente Rheden heeft een informatiebeveiligingsbeleid voor 2019-2021 op basis van de BIO. Tevens is er sprake van een informatiebeveiligingsplan voor 2018-2022. Voor IT-beheersing is het beleid van de Connectie van toepassing. Binnen de Connectie zijn processen in kader van IT-beheersing beschreven. Deze beleidsstukken zijn recent en hierin worden relevante processen beschreven. Wij adviseren de naleving van IT-beheersing te monitoren door middel van periodieke interne controles. De gemeente Rheden blijft eindverantwoordelijk.
Verantwoordelijkheden en regiefunctie De gemeente heeft het beheer van ITinfrastructuur (maar ook technisch beheer van applicaties) belegd bij de Connectie. Daarom is het is voor gemeente Rheden belangrijk om regie te houden op de uitbestede diensten. Wij hebben begrepen dat er sprake is van een Service Level Agreement (SLA) en dat maandelijks een service level rapportage (SLR) wordt uitgebracht. Tevens rapporteert de Connectie jaarlijks op basis van een ISAE rapport. Hierin zijn het voorgaande jaar bevindingen geconstateerd. Wij adviseren u om dit rapport te analyseren en na te gaan in hoeverre deze bevindingen impact hebben op uw organisatie. Uitvoering Beheersing van incidenten Om de performance van uw IT systemen en eventueel de performance van uw IT dienstverlener te monitoren, is registratie van de incidenten en problemen van belang. Hierdoor verkrijgt u inzicht in de performance van uw systemen, maar ook van uw IT-organisatie en kunt u waar nodig uw beleidsplan corrigeren.
Uitvoering beheersingsmaatregelen IT Op verschillende vlakken worden (nog) geen toetsbare beheersingsmaatregelen uitgevoerd binnen uw organisatie. Denk aan: Procedure voor wijzigingsbeheer t.b.v. de gebruikersorganisatie/applicaties (zie ook punt ‘Wijzigingsbeheer’ Civision Samenlevingszaken); Periodieke controle op inrichting van rechten in het systeem conform beleid (middels functieautorisatie matrix); Monitoring van de diensten van de Connectie. Deze procedures en daaruit volgende controlemaatregelen zorgen ervoor dat uw organisatie grip houdt op de IT-omgeving en faciliteren dat de randvoorwaarden, die de effectiviteit van ingerichte beheersingsmaatregelen beïnvloeden, van voldoende niveau zijn. Wij raden aan om bovenstaande procedures in te richten en (toetsbaar) periodiek te beheersen in de organisatie.
Incidenten en problemen worden op basis van een adequate procedure en middels de applicatie Topdesk geïdentificeerd, geregistreerd en opgevolgd. 24
Bijlage 2: Logische toegangsbeveiliging en wijzigingsbeheer 25
2.1 Logische toegangsbeveiliging Wij onderscheiden vijf bouwstenen ten aanzien van toegangsbeveiliging, waarbij bouwstenen gestapeld, naast een sterke IT beheersing, ook de meeste controlezekerheid oplevert. Beperkingen in de onderliggende steen, zorgt voor een verzwakking van de bovenliggende stenen. In het onderstaande figuur zijn de bouwstenen schematisch weergegeven.
Authenticatie
Databases: Basis voor toegangsbeveiliging van een applicatie is dat de applicatie de enige toegangspoort is en dat niet rechtstreeks op de database gemuteerd kan worden.
Wachtwoorden: Sterke, regelmatig wijzigende wachtwoorden voor applicaties en databaseszijn de basis voor toegangsbeveiliging, samenhangend met bewustzijn bij medewerkers.
Autorisatie
Hoge rechten: Voor het beheersen van autorisaties is het cruciaal dat de rechten tot het aanpassen van rechten zijn beperkt tot medewerkers die geen belang hebben bij aanpassingen.
Gewenste situatie: Iedere organisatie zal moeten bepalen wat de “SOLLpositie” is ten aanzien van rechten, met name gericht op kritische functiescheidingen
Beheersen mutaties: Wanneer de gewenste situatie is ingericht, verwachten wij een beheerst proces ten aanzien van het toekennen, ontnemen en wijzigen van rechten inclusief monitoring en controle.
26
2.2 Wijzigingsbeheer Bij het doorvoeren van wijzigingen in softwareomgevingen ontstaan risico’s voor de bedrijfsvoering van uw organisatie. Wij verwachten daarom dat het proces voor wijzigingen een proces doorloopt, waarmee de risico’s die gelopen worden, zijn ingeschat, worden geadresseerd en dat hierop maatregelen genomen worden. Wij hebben onderstaand aangegeven wat wij verwachten per fase. Onder wijzigingen verstaan wij niet alleen nieuwe versie updates, maar ook aanpassingen in (kritieke) systeemconfiguraties.
Proces
Onze verwachting
Risico inschatting
Voor iedere softwarewijziging is het relevant om te beoordelen wat de risico’s zijn die de wijziging met zich meebrengt voor de hoofdprocessen. Daarnaast moet beoordeeld worden welke geïdentificeerde technische en organisatorische wijzigingsrisico’s er spelen bij het uitvoeren van de change, in het bijzonder wanneer er sprake is van maatwerk. Hiermee beoordeelt u per wijziging welke nieuwe of gewijzigde functionaliteit een risico vormt voor een goede werking van uw bedrijfsvoering.
Opstellen testplan en aanpak
Vanuit de geïdentificeerde risico’s kan een testplan worden gemaakt waarin de te testen elementen van de software benoemd zijn evenals de inhoudelijk uit te voeren testwerkzaamheden op deze elementen. Belangrijke elementen hierin zijn go/no-go momenten, het maken van een back-up voor implementatie, een fall-back scenario in het geval een implementatie mislukt en het definiëren van de impact op de organisatie (denk bijvoorbeeld aan het opleiden van medewerkers)
Testen en documenteren
Softwarewijzigingen kunnen gestructureerd worden getest, na het correct uitvoeren van de voorgaande twee stappen. Het maken van een gedegen vastlegging van testwerkzaamheden is van belang voor de aantoonbaarheid en controleerbaarheid van de uitgevoerde stappen. Daarnaast kan de vastlegging van testwerkzaamheden een belangrijke bron van informatie zijn als er onverhoopt na het doorvoeren van de wijziging toch verstoringen van uw bedrijfsvoering optreden.
Gebruikers acceptatie
Een wijziging is pas effectief als deze niet alleen is geaccepteerd vanuit een technisch oogpunt, maar ook vanuit de gebruikersorganisatie. Wij verwachten daarom een formele goedkeuring vanuit de gebruikersorganisatie, zowel voor implementatie als na de implementatie. Het kan natuurlijk ook voorkomen dat het nodig is om gebruikers te informeren over bijzonderheden als gevolg van de wijziging, zoals veranderingen in de werkwijze of aandachtspunten bij het gebruik van de applicatie.
1. Risicoinschatting
2. Opstellen testplan en -aanpak
3. Testen en documenteren
4. Gebruikersacceptatie
27
Bijlage 3: actuele ontwikkelingen ihkv onze natuurlijke adviesfunctie 04/01/2023
© Baker Tilly
28
3. Actuele ontwikkelingen Overige aandachtspunten De commissie BBV (Besluit Begroting en Verantwoording) heeft gedurende 2022 geen nieuwe notities uitgebracht. Wel zijn er een aantal “vraag en antwoord” verschenen, welke relevant kunnen zijn bij het opstellen van de jaarrekening 2022. We adviseren u hiervan kennis te nemen en indien noodzakelijk rekening mee te houden bij het opstellen van de jaarrekening 2022.
Voorziening Verlofsparen Medewerkers kunnen vanaf 1 januari 2022 bovenwettelijke vakantie-uren sparen. Met dit 'verlofsparen' kunnen medewerkers passend bij hun levensfase hun bovenwettelijke vakantie-uren inzetten op een manier die aansluit bij hun persoonlijke levens- en carrièreplanning en het gemeentelijke vitaliteitsbeeld. Deze vakantie-uren verjaren niet. Dit kan gaan leiden tot verlofstuwmeren die bijvoorbeeld ingezet gaan worden om eerder met pensioen te gaan. Aangezien er bij verlofsparen sprake is van arbeidskostengerelateerde verplichtingen die een niet voorspelbare opbouw en daarmee ook onvoorspelbare afbouw kennen, dient hier een voorziening voor gevormd te worden. Tijdelijke woningen in grondexploitaties Indien een gemeente besluit om tijdelijke woningbouw te realiseren binnen een (langlopende) grondexploitatie dan is het toegestaan om de gronden waar de tijdelijke woningen op gerealiseerd zijn onderdeel te laten blijven van de grondexploitatie. De voorwaarde die natuurlijk wel van toepassing is dat de grond eigendom is van de gemeente. Tevens worden ook de lasten en baten samenhangend met de tijdelijke invulling van de gronden onderdeel van de grondexploitatiebegroting.
Vaststellen normenkader Met ingang van het boekjaar 2023 is het niet langer toegestaan om het normenkader ter kennisgeving aan de raad te verstrekken, maar dient het normenkader jaarlijks expliciet door de gemeenteraad vastgesteld te worden. Verkoop van woningen via de KoopGarant-regeling De Commissie BBV heeft vragen ontvangen over de administratieve verwerking van de verkoop van woningen via de zogenaamde KoopGarant-regeling. Landelijk zijn er meerdere aanbieders van deze regelingen. Ter illustratie voor de verwerking en de aandachtspunten heeft de commissie een specifieke casus beschreven om zo gemeenten een handvat te bieden bij de (financiële) uitwerking van de regeling ten behoeve van hun eigen situatie. De commissie wijst erop dat elke casus zijn eigen specifieke afspraken kent en dat de uitwerking daarom niet onverkort toegepast kan worden op elke regeling met ‘KoopGarant’ kenmerken. Wij adviseren u, indien u een KoopGarantregeling heeft, de unieke kenmerken van deze regeling en de (financiële) uitwerking vroegtijdig af te stemmen met het controleteam. Reservering accountantskosten De commissie BBV stelt in haar beantwoording dat voor de kostenverantwoording ook voor de accountantskosten aangesloten moet worden op het moment van prestatielevering. Lasten worden verantwoord in het jaar dat de prestatie wordt geleverd, aldus de commissie BBV.
De contractuele verplichting ontstaat weliswaar in jaar T, maar die wordt niet verantwoord in de rekening van baten en lasten van jaar T (eventueel wel vermelden bij de niet uit de balans blijkende verplichting). Dit impliceert derhalve dat voor de kosten en uren die de accountant voor de jaarrekening 2022 in 2023 maakt deze in het begrotingsjaar 2023 dienen te worden verantwoord.
29
3. Actuele ontwikkelingen Overige aandachtspunten De commissie BBV (Besluit Begroting en Verantwoording) heeft gedurende 2022 geen nieuwe notities uitgebracht. Wel zijn er een aantal “vraag en antwoord” verschenen, welke relevant kunnen zijn bij het opstellen van de jaarrekening 2022. We adviseren u hiervan kennis te nemen en indien noodzakelijk rekening mee te houden bij het opstellen van de jaarrekening 2022.
Afschrijvingsduur van een bijdrage aan activa in eigendom van derden Artikel 64 lid 6 van het BBV bepaald dat voor deze bijdragen aan de activa in eigendom van derden, bedoeld in artikel 34, onderdeel c, de afschrijvingsduur maximaal gelijk is aan die van de activa waarvoor de bijdrage aan derden wordt verstrekt. In de vraag in hoeverre een bijdrage van de provincie dan wel de gemeente ten behoeve van een actief van het Rijk geactiveerd kan worden, geeft de commissie BBV het antwoord dat dergelijke bijdragen direct ten laste van de exploitatie dienen te worden genomen. Dit is gelegen in het feit dat het Rijk het kasstelsel hanteert en investeringen derhalve niet activeert. Wet Open overheid In artikel 3.5 (Openbaarheidsparagraaf) van de Wet Open overheid (Woo) wordt voorgeschreven dat bestuursorganen in de jaarlijkse begroting aandacht besteden aan de beleidsvoornemens inzake de uitvoering van deze wet en in de jaarlijkse verantwoording verslag doen van de uitvoering ervan, mede in relatie tot de beleidsvoornemens. Deze begroting en jaarlijkse verantwoording vloeien voort uit het Besluit Begroting en Verantwoording (BBV). Notitie paragraaf bedrijfsvoering Zoals vorig jaar reeds benoemd heeft de commissie BBV de notitie Paragraaf Bedrijfsvoering aangepast.
Wij willen u erop wijzen om de stellige uitspraken en aanbevelingen hieruit over te nemen in de paragraaf zoals opgenomen in het jaarverslag SPUK Oekraïne Vanwege de komst van vele ontheemden uit Oekraïne naar Nederland, is sinds maart 2022 de noodzaak ontstaan om op binnen een korte termijn voldoende opvangplekken te creëren. De toestroom van ontheemden uit Oekraïne was dermate hoog dat Nederland niet in staat is om binnen de bestaande structuren opvang te bieden. Om die reden heeft het kabinet in het Veiligheidsberaad van 7 maart 2022 de opdracht gegeven aan de voorzitters van de veiligheidsregio’s om samen met gemeenten opvanglocaties te realiseren en te exploiteren voor 50.000 of meer opvangplekken. In de brief aan de Tweede Kamer van 8 maart 20221 heeft het kabinet toegezegd dat de kosten, die worden gemaakt vanwege de realisatie en exploitatie van deze opvang, van rijkswege worden vergoed. De Bekostigingsregeling opvang ontheemden Oekraïne is de uitwerking van die toezegging ten aanzien van gemeenten. De regeling is ingegaan op 4 juni 2022 en zal worden verlengd per 15 oktober 2022.
De regeling voorziet in het verstrekken van een specifieke uitkering aan gemeenten voor het vergoeden van de kosten die zijn gemaakt ten behoeve van het realiseren en exploiteren van de opvang en verstrekkingen aan ontheemden uit Oekraïne in de Gemeentelijke Opvang Oekraïne (GOO) en de Particuliere Opvang Oekraïne (POO). In de uitwerking van de regeling wordt onderscheid gemaakt in kosten tot het moment van ingang van de regeling (dus tot en met 3 juni 2022) de eerste fase (4 juni 2022 tot en met 14 oktober 2022) en de tweede fase (15 oktober ev.) waarbij de verantwoording per SiSa hierop zal aansluiten. Het is van belang in uw registratie van de kosten duidelijk onderscheid te maken tussen de verschillende perioden waarbij de periode waarop de gemaakte kosten betrekking hebben leidend is en niet de factuurdatum. Daarnaast zal de SiSa bijlage naar verwachting ook vragen om het cumulatief van het aantal beschikbare bedden per dag. Wij adviseren u om uw registratie daarop te controleren.
30
Bijlage 4: Rechtmatigheidsverantwoording
31
4. Rechtmatigheidsverantwoording Rechtmatigheidsverantwoording (1/2) Stand van zaken in verband met invoering rechtmatigheidsverantwoording
Op 27 september jl. heeft de Eerste Kamer het wetvoorstel inzake de invoering van de rechtmatigheidsverantwoording aangenomen. Dit betekent dat met ingang van het boekjaar 2023 de accountant uitsluitend nog een oordeel over de getrouwheid van de jaarrekening afgeeft. In de jaarrekening wordt door het college een nieuwe toelichting over rechtmatigheid opgenomen (‘rechtmatigheidsverantwoording’). In deze rechtmatigheidsverantwoording verantwoordt het college zich over de al dan niet rechtmatige totstandkoming van de lasten, baten en balansmutaties. De accountant stelt vervolgens de getrouwheid van deze verantwoording vast. Wij hebben vernomen dat u over boekjaar 2022 een 2e proefjaar draait met de rechtmatigheidsverantwoording. Op dit moment wordt gekeken naar de noodzakelijke aanpassingen van het Besluit Accountantscontrole Decentrale Overheden (BADO) en het Besluit Begroting en Verantwoording (BBV). Ook bij gemeenten moeten de noodzakelijke voorbereidingen worden getroffen. Naast de verplichting dat in de jaarstukken 2023 een rechtmatigheidsverantwoording moet worden opgenomen en het feit dat deze ook onderbouwd moet worden door (bijvoorbeeld) een verbijzonderde interne controle zijn ook een aantal operationele zaken die (in)geregeld moeten worden.
Met ingang van boekjaar 2023 is het verplicht het normenkader voor de rechtmatigheid jaarlijks door de gemeenteraad te laten vaststellen. Tot en met boekjaar 2022 bestaat ook de mogelijkheid om het normenkader ter kennisgeving in de raad te brengen. Inhoudelijk krijgt de gemeenteraad ook een aanvullende verantwoordelijkheid, namelijk het bepalen van de verantwoordingsgrens die het college moet hanteren voor het opmaken van de rechtmatigheidsverantwoording: •
De gemeenteraad stelt een verantwoordingsgrens (tussen 0% en 3%) vast. Het college moet de financiële onrechtmatigheden boven dit bedrag rapporteren in de rechtmatigheidsverantwoording. Wij adviseren u deze verantwoordingsgrens in de financiële verordening (ex artikel 212) vast te leggen.
•
De gemeenteraad kan kaders opstellen ten behoeve van de rapporteringsgrens waarboven de raad een nadere uiteenzetting verwacht in de paragraaf bedrijfsvoering. In lijn met artikel 212 lid 1 van de gemeentewet kan de gemeenteraad deze kaders vastleggen in de financiële verordening.
•
De commissie BBV heeft in haar kadernota rechtmatigheid aanbevolen om de afspraken die de gemeenteraad met het college ook kan maken over een nadere toelichting van de onrechtmatigheden in de paragraaf Bedrijfsvoering in het jaarverslag. Bijvoorbeeld hoe het college opvolging geeft om de gerapporteerde afwijkingen in de rechtmatigheids-verantwoording in de toekomst te voorkomen. Wij adviseren u deze aanbeveling over te nemen.