Gemeente Rheden Management letter 2020 (getekend)
Tekst van het document
Management letter Gemeente Rheden Boekjaar 2020
Vertrouwelijk Aan het college van burgemeester en wethouders en de gemeentesecretaris van de gemeente Rheden Postbus 9110 6994 ZJ DE STEEG Zwolle, 7 januari 2021
Geachte leden van het college en geachte secretaris, Als onderdeel van de controle van de jaarrekening 2020 van gemeente Rheden hebben wij de administratieve organisatie en de daarin opgenomen maatregelen van interne beheersing beoordeeld, teneinde onze controlewerkzaamheden in overeenstemming met Nederlands recht waaronder de controlestandaarden te kunnen bepalen. De opzet en het bestaan van de interne beheersingsmaatregelen van de belangrijkste processen, inclusief de geautomatiseerde gegevensverwerking, in uw gemeente zijn beoordeeld, zodat we een terugkoppeling kunnen geven over de betrouwbaarheid van de interne informatievoorziening en de jaarrekening. Onze bevindingen zijn gebaseerd op de normale werkzaamheden in het kader van de jaarrekeningcontrole. Deze brief bevat daardoor niet alle onvolkomenheden in uw gemeente, die bij een eventueel uitgebreid en hierop specifiek gericht onderzoek naar voren zouden kunnen komen. Wij hebben als gevolg van de beperkingen door Covid-19 de interim-controle geheel op afstand uitgevoerd. Hierbij hebben wij samen met u opgetrokken om alle gesprekken middels videobellen doorgang te laten vinden. Wij zijn van mening dat wij de controle ook op deze wijze volgens de wettelijke vereisten hebben kunnen uitvoeren.
Zoals u zult begrijpen, is de management letter van nature kritisch. Wij rapporteren over de eventuele leemtes of mogelijkheden ter verbetering van de financiële processen, de administratieve organisatie en de daarin opgenomen maatregelen van interne beheersing. Wij geven in deze management letter aan op welke wijze verbeteringen van de administratieve organisatie en de daarin opgenomen maatregelen van interne beheersing kunnen worden gerealiseerd. De aanbevelingen en oplossingsrichtingen zoals beschreven in deze management letter bieden u handvatten voor deze uitwerking. Wij hebben de management letter toegelicht en besproken met de portefeuillehouder financiën en een afvaardiging van de ambtelijke organisatie. Deze management letter is door ons opgesteld voor uw informatie en mag niet zonder onze uitdrukkelijke toestemming geheel of gedeeltelijk aan derden ter beschikking worden gesteld. Wij danken u en uw medewerkers voor de samenwerking en zijn graag bereid tot het verstrekken van nadere toelichting. Hoogachtend, Baker Tilly (Netherlands) N.V.
drs. E.H.J.D. Damman RA Director Audit 2
Inhoudsopgave
1. Management samenvatting
4
2. Aandachtspunten 2020
11
3. Bevindingen IT-beheersing
15
4. Overige onderwerpen
22
Bijlage: Detailbevindingen
24
3
Management samenvatting 4
1. Management samenvatting Algemeen Inleiding Het kalenderjaar 2020 zal de geschiedenisboeken ingaan als een bewogen jaar waarin de COVID-19 pandemie de dagelijkse gang van zaken domineert. Het feit dat we een crisis van deze omvang in de recente historie nog niet eerder hebben meegemaakt als ook de onbekende duur, leidt tot onzekerheden en onduidelijkheden. De crisis heeft niet alleen een financiële impact – COVID-19 heeft geleid tot het grootste landelijke begrotingstekort ooit – maar ook een belangrijke operationele impact. Ambtenaren zijn lange tijd niet op het gemeentehuis aanwezig geweest, overleggen zijn uitgesteld, crisismaatregelen hebben er toe geleid dat uw reguliere beleid wellicht op taken op het tweede plan is gekomen. Ook financieel gezien voelt uw gemeente in 2020 en vermoedelijk ook verder, de impact van COVID-19. Daarbij valt te denken aan hogere lasten, lagere baten, onzekerheden in de omvang van steunmaatregelen en vraagstukken omtrent de rechtmatigheid van al deze componenten. Deze zaken hebben hun weerslag op uw planning&controlcyclus en daarmee ook het proces van de jaarrekeningcontrole en de daarvoor afgesproken deadlines.
Partijen waar uw gemeente van afhankelijk is van informatievoorziening ten behoeve van het opstellen en onderbouwen van de jaarstukken leveren mogelijk later aan en waarschijnlijk dienen er aanvullende werkzaamheden uitgevoerd te worden, die inherent zijn aan dit crisisjaar. Wij adviseren u tijdig een inventarisatie te maken welke gevolgen Corona op uw interne planningsproces aangaande de jaarrekening heeft en in welke mate u daarin afhankelijk bent van informatie vanuit derden, zoals zorgaanbieders. Op basis van deze analyse is het zorg om de bestuurlijke planning van het jaarrekeningproces te bepalen. Aandachtspunten controle 2020 Wij identificeren een aantal aandachtspunten voor de jaarrekeningcontrole 2020. Naast de aandachtspunten die voortvloeien uit onze reguliere risicoanalyse en interim-controle, zien deze ook toe op de gevolgen van COVID-19 op de interne beheersing, Tozo (Tijdelijke overbruggingsregeling zelfstandig ondernemers), recht op zorg, prestatielevering inkopen en de voorbereiding op de rechtmatigheidsverantwoording. Daarnaast hebben we met de directie afgesproken dat we ook naar het totstandkomingsproces van de jaarstukken in brede zin zouden kijken. Deze belangrijkste aandachtspunten lichten we verderop in dit verslag uitgebreid toe.
Doel en reikwijdte van de controle Het doel van onze jaarrekeningcontrole is het vormen van een oordeel over de getrouwheid en de rechtmatigheid van de jaarrekening als geheel, zoals bedoeld in het Besluit Accountantscontrole Decentrale Overheden (BADO). Vanuit de jaarrekeningcontrole beoordelen wij of de kwaliteit van de administratieve organisatie en interne beheersing voor zover relevant voor onze oordeelsvorming en geven wij geen zelfstandig oordeel over de kwaliteit van de administratieve organisatie en interne beheersing. De controle van de jaarrekening omvat het uitvoeren van controlewerkzaamheden, waaronder risicoanalyse, cijferanalyses, beoordeling van de administratieve procedures en het daarmee samenhangende systeem van interne beheersingsmaatregelen en gegevensgerichte controlewerkzaamheden. De samenstelling en omvang van die werkzaamheden zijn noodzakelijk voor het verkrijgen van voldoende controle-informatie ter onderbouwing van ons oordeel. Risicoanalyse Onze risicoanalyse richt zich op een betrouwbare totstandkoming van de jaarrekening. Dit betekent dat wij niet alle risico’s die voor u als gemeente relevant zijn in onze controle meenemen. De risicoanalyse is een continue proces en stellen wij gedurende de controle indien nodig bij. De belangrijkste bij uw gemeente onderkende risico’s / kernpunten in de controle zijn: Aanbestedingsrechtmatigheid.
Prestatielevering van de jeugdzorg, de WMO en andere voorzieningen die vanwege COVID-19 hebben stilgelegen. Risico dat het management van de gemeente de procesafspraken doorbreekt, hetgeen een standaard risico is vanuit onze beroepsregels. Dit risico ziet bij uw gemeente met name toe op de schattingsposten in de grondexploitatie, voorzieningen en memoriaalboekingen. Naast bovenstaande onderwerpen zullen wij in het kader van onze jaarrekeningcontrole 2020 tevens specifieke aandacht besteden aan: Prestatielevering inkopen a.d.h.v. BADO-notitie over prestatielevering bij inkopen d.d. 24 juli 2020. In ons verslag van bevindingen rapporteren wij naar aanleiding van de jaarrekeningcontrole over bovenstaande punten.
5
1. Management samenvatting Beeld interne beheersing Algemeen Beeld Uw gemeente moet op het gebied van interne beheersing nog forse stappen zetten. Om alle financiële uitdagingen voor uw gemeente in de komende tijd in goede banen te leiden worden hoge eisen aan het planning- en controlinstrumentarium, alsmede het interne beheersingssysteem gesteld. Wij stellen vast dat nagenoeg alle eerder door ons geconstateerde bevindingen weliswaar zijn opgepakt, maar dat slechts één bevinding daadwerkelijk is afgerond. Bovendien zijn er meerdere nieuwe bevindingen bijgekomen. Dat laatste is deels het gevolg van de aanstaande invoering van de rechtmatigheidsverantwoording door het college, die hogere eisen aan het interne beheersingssysteem stelt. Daarnaast hebben de personele wisselingen, gebrek aan ervaren personele capaciteit, veranderingen in de structuur (door gedeeltelijke uitbesteding naar De Connectie), de bezuinigingen en COVID-19, de gemeente parten gespeeld bij het maken van stappen met betrekking tot de interne beheersing. De aanwezigheid van een adequaat intern (financieel) beheersingssysteem is een essentiële randvoorwaarde om te kunnen bijsturen en de betrouwbaarheid van financiële informatie en verslaglegging is van groot belang om dit tijdig en goed te kunnen doen.
Het is van groot belang de interne beheersing, binnen de mogelijkheden van de gemeente, naar een hoger peil te brengen, opdat u in staat bent de financiële ontwikkelingen adequaat te monitoren en waar nodig tijdig bij te sturen. Een ontoereikende inrichting en werking van de interne beheersing maakt uw financiële functie kwetsbaar, hetgeen risico’s oplevert voor de betrouwbaarheid en efficiënte totstandkoming van de financiële informatievoorziening, waaronder de jaarrekening.
Een kwalitatief goed intern controleplan bevat in onze optiek een opbouw die gebaseerd is op de financiële omvang van posten en stromen, waarin deze posten en stromen vervolgens worden gekoppeld aan relevante wet- en regelgeving en waarin de daaruit voortkomende relevante risico’s zijn gedefinieerd.
Wij vragen, wellicht ten overvloede, uw aandacht voor de geconstateerde bevindingen waar uw organisatie belangrijke risico’s loopt. Dit is met name van belang voor processen waar onvoldoende interne controles zijn ingebouwd en/of onvoldoende functiescheiding is ingericht. Voorts zal ook de vastlegging inzake de prestatielevering prioriteit moeten krijgen.
Wij hebben u eerder gerapporteerd dat belangrijke interne controles niet altijd zichtbaar zijn, waardoor achteraf niet vastgesteld kan worden of de afgesproken procedures en interne controles bestaan en hebben gewerkt. De verbijzonderde interne controlefunctie kan daardoor niet systeemgericht controleren en wij als accountant ook niet. Doordat er geen systeemgerichte controle kan plaatsvinden ontbreekt een automatisch mechanisme waarbij de efficiency, doelmatigheid en effectiviteit van de processen en daarin opgenomen interne beheersingsmaatregelen tegen het licht wordt gehouden.
In onze voorgaande management letter hebben we gerapporteerd over het belang van het doorontwikkelen van het intern controleplan alsook de formulering van key-controls. Dit blijft van belang. Niet alleen om de financiële informatievoorziening juist en tijdig te laten zijn, maar ook om invulling te kunnen geven aan de rechtmatigheidsverantwoording die vanaf 2021 verplicht wordt.
In uw intern controleplan is aandacht voor de financiële omvang van posten en stromen en het koppelen van deze posten en stromen aan relevante wet- en regelgeving. In het stuk wordt vervolgens wel gesproken over een risicoanalyse, maar de feitelijke risicoanalyse is niet expliciet gemaakt. Op deze wijze is onvoldoende duidelijke welke afwegingen er zijn gemaakt hetgeen het rendement van het stuk in het kader van de rechtmatigheidsverantwoording alsmede de jaarrekeningcontrole beperkt. Het stuk zou aan waarde kunnen winnen door belangrijkste risico’s vast te leggen in een risicoanalyse per post. Deze risicoanalyse vormt dan de basis bij het in kaart brengen van de aanwezige interne beheersingsmaatregelen. Wij hebben in onze management letter van 2019 geadviseerd de formulering van in ieder geval de “key-controls” (belangrijkste interne beheersingsmaatregelen) aan te passen op basis de 6W's (wie, wat, waarom, wanneer, met welke informatie en wat wordt vastgelegd) zodat iedere betrokken functionaris weet wat er van hem of haar verwacht wordt. Op deze wijze kan worden vastgesteld waar eventuele dubbelingen zijn of waar de interne beheersingsmaatregel het risico helemaal niet afdekt. Hieruit volgen dan de uit te voeren (interne) controles alsook een afweging in hoeverre een systeemgerichte controle mogelijk is.
6
1. Management samenvatting Beeld interne beheersing Op dit moment lopen er, ter voorbereiding op de rechtmatigheidsverantwoording, sessies binnen de gemeente om de risico’s en beheersingsmaatregelen binnen de gemeente in beeld te brengen. Wij zien dit als een zeer positieve ontwikkeling. Niet alleen omdat de gemeente hiermee voorsorteert op de rechtmatigheidsverantwoording, maar omdat deze inzichten de algehele interne beheersing ten goede zullen komen. Jaarrekeningproces Wij hebben vastgesteld dat er binnen de gemeente Rheden geen vast draaiboek is ten behoeve van de jaarrekeningcontrole. Er is geen sprake van een op medewerker-niveau gespecificeerde werkinstructie waar uit blijkt wat zijn of haar rol is, welke vastleggingen er ter onderbouwing van de jaarstukken wordt verwacht en welke wijze deze moet worden aangeleverd. Dientengevolge is binnen de organisatie veel onduidelijkheid omtrent de verantwoordelijkheden in het kader van het opstellen van de jaarrekening. De vakafdelingen en De Connectie lijken voor de totstandkoming, en zeker de onderbouwing, te veel te werken op ‘eilandjes,’ waarbij de verbinding onderling en met de financiële administratie heel beperkt aanwezig is of zelfs ontbreekt.
Dit beeld is mede ingegeven door het feit dat, ondanks duidelijke afspraken aan de voorkant, de aanlevering van de stukken nog niet van benodigde kwaliteit was om de controle efficiënt uit te kunnen voeren. Bovendien hebben wij tijdens onze interviews met diverse medewerkers binnen de organisatie gemerkt, dat de werkdruk als hoog wordt ervaren. Dit is met name het geval binnen het sociaal domein en de financiële afdeling. Als oorzaken worden veranderingen in de werkprocessen, COVID-19 (onder meer Tozo), bezuinigingen en personeelsverloop genoemd. Hierdoor stapelen werkzaamheden zich op en lopen wachttijden op. Dit heeft geleidt tot een moeizame interimcontrole en een vertraging in het proces. Het is belangrijk dat voor alle werknemers binnen de gemeente Rheden duidelijk is wat zijn/haar taken en verantwoordelijkheden zijn in het kader van de jaarrekeningcontrole om deze goed te kunnen vervullen. Door discrepantie over de onderlinge verwachtingen ontstaat er het risico dat taken niet uitgevoerd worden, waardoor interne en externe deadlines in het geding kunnen komen. Daarnaast bestaat het risico dat opgedane kennis onvoldoende geborgd is binnen de gemeente, waardoor deze verdwijnt als functionarissen vertrekken. Bovendien ontstaan inefficiënties, wanneer jaar op jaar zaken opnieuw uitgezocht en vastgelegd moeten worden.
Wij adviseren u om de verantwoordelijkheden binnen de organisatie met betrekking tot de jaarrekeningcontrole te formaliseren in een draaiboek, waarin naast een rolverdeling ook aandacht is voor gestandaardiseerde dossiervorming en aanlevering. Op deze wijze weten mensen wat er van hen verwacht wordt, wanneer en op welke wijze is dit in enig jaar alsook over de jaren heen gedocumenteerd moet worden. Dit zorgt er voor dat tijdig geanticipeerd kan worden op de uitvoering van de taken, in zowel het jaarrekeningproces. Frauderisicoanalyse De primaire verantwoordelijkheid voor het voorkomen en detecteren van fraude berust bij het College van Burgemeester en Wethouders. Deze verantwoordelijkheid betreft ook het onderhouden van een zodanige interne beheersing om het opmaken van de jaarrekening mogelijk te maken zonder dat deze afwijkingen van materieel belang bevat als gevolg van fraude of fouten. Op basis van onze uitgevoerde interim-controle hebben wij vastgesteld dat de gemeente belang hecht aan het vermijden en de preventie van fraude. Gemeente Rheden heeft in 2019 frauderisicoanalyse opgesteld c.q. laten opstellen, gericht op het risico van onrechtmatige onttrekkingen van geld en/of goederen aan de gemeente. Hiermee wordt de kans verkleind dat zich onvoorziene omstandigheden voordoen met grote (financiële) gevolgen als gevolg van fraude.
Wij verzoeken de frauderisicoanalyse te borgen in uw bedrijfsvoering en ten minste jaarlijks een herbeoordeling uit te voeren. Tevens kunt u de toetsing en monitoring meenemen in uw interne controleplan. Voor de frauderisicoanalyse kunt u de volgende werkzaamheden opnemen in uw interne controleplan: Informeren naar en toetsen van de interne fraudebeheersing. Informeren naar ontdekte of vermoede fraudes. Beoordelen of zich frauderisicofactoren voordoen. Initiële cijferanalyses. Het staven van andere informatie.
7
1. Management samenvatting Bevindingen interne beheersing Uitvoering taken door De Connectie Met ingang van boekjaar 2017 heeft u diverse taken belegd bij de bedrijfsvoeringsorganisatie De Connectie. Werkzaamheden rondom de financiële administratie, betalingen, personeel, belastingen en IT worden uitgevoerd door medewerkers van De Connectie. De gemeente Rheden blijft echter zelf verantwoordelijk voor de juistheid, volledigheid en de rechtmatigheid van de hiermee samenhangende baten en lasten. In onze vorige management letter hebben wij uw aandacht gevraagd voor de noodzakelijke veranderingen van uw interne beheersing op deze specifieke onderdelen. U bent met De Connectie in gesprek over hoe zij verantwoording af kunnen leggen over de uitgevoerde taken (bijvoorbeeld a.d.h.v. een ISAE 3402 verklaring), zodat u hier toezicht op kunt houden. Dit heeft zich nog niet geëffectueerd in 2020. De monitoring op de werkzaamheden en het naleven van de afspraken door De Connectie zijn beperkt. Voor de jaarrekeningcontrole 2020 zullen wij daarom aanvullende werkzaamheden moeten uitvoeren om de uitkomsten van de betreffende processen vast te stellen.
Automatiseringsomgeving Onze observaties ten aanzien van uw IT-beheersing zijn nader toegelicht in hoofdstuk 3, wij constateren dat de resterende verbeterpunten met betrekking tot de automatiseringsomgeving voornamelijk liggen in het vastleggen c.q. zichtbaar maken van inrichting, overwegingen en risico’s.
Aantal aanbevelingen uit voorgaande jaren
9
Administratieve Organisatie en Interne Beheersing (AO/IB) Voorgaand jaren hebben wij tijdens onze besprekingen met u diverse aanbevelingen benoemd ter verdere optimalisering van de bestaande administratieve organisatie. In deze management letter geven wij u een schriftelijke update van onze bevindingen omtrent de interne beheersing. Deze rapportage bevat de (significante) bevindingen en opmerkingen met betrekking tot de AO/IB. Tijdens de interim-controle is aandacht besteed aan de volgende processen: Inkopen en aanbestedingen. Betalingen. Lonen en salarissen. Sociaal Domein (uitvoering WMO, Wet Jeugdzorg, Participatiewet en Tozo). Subsidieverstrekkingen. Subsidiebaten. Belastingen. Omgevingsvergunningen. Grondexploitatie. Fiscaliteiten. Financiële administratie en verslaglegging inclusief de uitvoering van de verbijzonderde interne controle.
Waarvan opgelost in 2020
1
Bevindingen In onderstaande tabel is een totaal overzicht opgenomen van het totaal aantal bevindingen: Bevindingen Aantal nieuwe aanbevelingen
14
Aantal aanbevelingen uit voorgaande jaren
8
Aantal openstaande aanbevelingen
22
Uit het voorgaande komt naar voren dat uw gemeente op het gebied van de kwaliteit en inrichting van de AO/IB nog belangrijke stappen moet zetten. In de bijlage rapporteren wij onze bevindingen en onze aanbevelingen in meer detailvorm. De conclusie is dat uw gemeente als gevolg van de tekortkomingen op het gebied van de AO/IB risico’s loopt. Daarnaast heeft deze situatie impact op de accountantscontrole. De accountantscontrolewerkzaamheden dienen hierdoor gegevensgericht plaats te vinden in plaats van systeemgericht. Dit verhoogt de controle-kosten. Wij stellen voor in overleg met de verantwoordelijken binnen uw gemeente de gevolgen hiervan te bepalen en te kijken wat de gemeente nog kan doen om de omvang van controlewerkzaamheden te beperken dan wel wat de gevolgen zijn voor het controlebudget 2020.
8
1. Management samenvatting Bevindingen interne beheersing In onderstaand overzicht hebben wij onze nieuwe bevindingen (geconstateerd bij de interim-controle 2020) ten aanzien van de interne beheersing van de bedrijfsprocessen uiteengezet met daarbij de prioriteitstelling. In de bijlage rapporteren wij onze bevindingen, onze aanbevelingen ter verbetering en de gevolgen voor de controle. Nr.
Proces
Bevinding
Herkomst
Status
Prioriteit 2020
1
Sociaal Domein
Onjuiste controle op het woonplaatsbeginsel bij jeugdzorg
2020
Hoog
2
Sociaal Domein
Signaleringslijsten onvoldoende gecontroleerd
2020
Middel
3
Sociaal Domein
Hoge wachttijden en hoge werkdruk die kunnen leiden tot ongewenste situaties
2020
Middel
4
Sociaal Domein
Bevoegdheden per functionaris onlogisch
2020
Laag
5
Inkopen
Bij het autoriseren van inkoopfacturen wordt de prijs en prestatie onvoldoende onderbouwd
2020
Hoog
6
Inkopen
Geen zicht op naleving aanbestedingsrichtlijnen
2020
Hoog
7
Leges
Geen zichtbare controle op de legestarieven
2020
Middel
8
Leges
Geen zichtbare toets op heffingsgrondslag bij leges voor omgevingsvergunningen
2020
Middel
9
Belastingopbrengsten
Tussentijdse aansluiting tussen de belastingapplicatie en financiële administratie is niet gemaakt
2020
Middel
10
Subsidieverstrekkingen
Onvoldoende structuur bij subsidieverstrekkingen en –vaststellingen.
2020
Middel
11
Administratie & Verslaglegging
Onvoldoende controle op verwerking van begrotingswijzigingen en memoriaalboekingen
2020
Hoog
12
Treasury
Onduidelijke afspraken over treasurybeheer
2020
Laag
13
Treasury
Het accorderen van kasgeldleningen wordt door onbevoegde medewerkers gedaan
2020
Laag
14
Treasury
Het treasurystatuut is verouderd
2020
Laag
Legenda status:
Toelichting prioriteit
= opgelost
Prioriteit hoog: Bevinding op te lossen voor de jaarrekeningcontrole 2020
= actie ondernomen, maar nog niet afgerond
Prioriteit gemiddeld: Bevinding op te lossen voor de jaarrekeningcontrole 2021
= geen actie ondernomen
Prioriteit laag: Bevinding op te lossen op lange termijn
= nieuwe bevinding
9
1. Management samenvatting Bevindingen interne beheersing In onderstaand overzicht hebben wij de detailbevindingen uit voorgaande jaren weergegeven met daarbij de status in oktober/november 2020. In de bijlage is een uiteenzetting opgenomen van de details van de bevindingen, onze aanbevelingen voor verbetering, uw follow-up in 2020 en de gevolgen voor de controle 2020. Nr.
Proces
Bevinding
Herkomst
Status
Prioriteit 2020
1
Sociaal Domein
Geen functiescheiding bij aanmaken en muteren van stamgegevens crediteuren
2019
Hoog
2
Sociaal Domein
Onvoldoende documentatie en collegiale toetsing in dossiers
2019
Middel
3
Belastingopbrengsten
Geen zichtbare controle op de belastingtarieven
2019
Middel
4
IT-omgeving
Monitoring en regiefunctie onvoldoende
2019
Hoog
5
Grondexploitatie
Geen zichtbare interne beheersing bij actualisaties grondexploitaties
2016
Hoog
6
Grondexploitatie
Nota grondbeleid is verouderd
2018
Laag
7
Treasury
Geen formele liquiditeitsplanning voor lange en korte termijn
2018
Laag
8
Administratie & Verslaglegging
Onvoldoende functiescheiding tussen maken en het verwerken van memoriaalboekingen
2018
Hoog
9
Subsidiebaten
Geen geformaliseerde procedure voor het aanvragen, registreren en monitoren van subsidiebaten en de daarbij horende verplichtingen.
2018
Laag
Legenda status:
Toelichting prioriteit
= opgelost
Prioriteit hoog: Bevinding op te lossen voor de jaarrekeningcontrole 2020
= actie ondernomen, maar nog niet afgerond
Prioriteit gemiddeld: Bevinding op te lossen voor de jaarrekeningcontrole 2021
= geen actie ondernomen
Prioriteit laag: Bevinding op te lossen op lange termijn
= nieuwe bevinding 10
Aandachtspunten 2020 11
2. Aandachtspunten 2020 COVID-19 Zoals reeds aangegeven in de inleiding heeft COVID-19 impact op veel beleidsvelden. Wij hebben vastgesteld dat de gemeente een inventarisatie heeft uitgevoerd ten aanzien van de impact die COVID-19 heeft op de gemeentelijke financiën dat dat daarover is gerapporteerd in de bestuursrapportages 2020 en de bijbehorende begrotingswijzigingen. De financiële impact is echter nog niet volledig in beeld gebracht. Wij willen graag het belang van een dergelijke analyse benadrukken en verzoeken u dan ook om deze voor het einde van het jaar uit te voeren. Wij zullen de uitkomsten van uw analyse meenemen in onze risicoafweging en controleaanpak.
•
•
2) •
Wellicht ten overvloede benadrukken wij graag het belang van een actuele en zo volledig mogelijke analyse ten aanzien van de gevolgen van COVID-19. Deze is idealiter niet enkel financieel van aard. Wij identificeren een vijftal beleidsvelden die deze analyse in optiek tenminste zou moeten raken: •
1) • •
•
•
Ondersteuning (zorg, werk en inkomen): Tozo: verantwoording in SiSa (Tozo 1, 2 en 3). Betaalde continuïteitsbijdrage aan zorgleveranciers (WMO en Jeugdzorg): gemeenten betalen in lijn met het landelijk verzoek door, ook wanneer geen zorg geleverd wordt. Landelijk wordt gewerkt aan een verantwoordingssystematiek die gebruik maakt van een bijlage in de jaarstukken 2020 van de zorgleveranciers om gemeenten in staat te stellen te bepalen of er geen positief rendement is gemaakt op de continuïteitsbijdragen. Complicerende factor daarbij is dat de uiterlijke indieningstermijn voor de jaarstukken van zorginstellingen 1 juni is, hetgeen in het uiterste geval kan betekenen dat de gemeente daarop zou moeten wachten in het kader van haar eigen jaarrekeningcontrole. Compensatiemogelijkheden voor uitgestelde zorg achteraf. Er wordt op dit moment door landelijke werkgroepen gewerkt aan een uitwerking van de principe-afspraken, in totaal 6 werkgroepen. Meerkosten sociaal domein: meerkosten worden veelal vergoed. Hoe staat het met de gemeentelijke budgetten in verband met begrotingsrechtmatigheid?
•
3) •
•
De reguliere productieverantwoordingen blijven bestaan. Het is echter niet ondenkbaar dat de aanlevering daarvan als gevolg van corona-pandemie vertraagd zal zijn hetgeen ook de afwikkeling van de gemeentelijke jaarstukken mogelijk vertraagt. Veilig thuis: de druk op veilig thuis organisaties neemt alleen maar sneller toe door de huidige coronamaatregelen (huiselijk geweld). Welke aanspraken zullen er door instanties worden gemaakt bij uw gemeente? Welke afspraken c.q. aanvullende subsidies zijn er met de uitvoerende partijen? Lokale infrastructuur (sport, cultuur, media, onderwijs): Steun aan culturele en sportinstellingen: Is sprake van gederfde inkomsten uit huur en belastingen aan zijde gemeente? Heeft de gemeente financiële compensatie door wegvallende eigen inkomsten toegezegd? Welke afspraken zijn er gemaakt en hoe wordt omgegaan met bestaande prestatieafspraken met subsidieontvangers betreffende eventuele onderrealisatie van partijen? Kinderopvang: is er binnen de gemeente sprake geweest van 24-uurs opvang? Hoe is de afrekening daarvan geregeld? Leerlingenvervoer: De landelijke afspraak is dat gemeenten betalen 80% door. Welke afspraken heeft gemeente met aanbieders c.q.
de beheerder (BVO DRAN) gemaakt? Uitvoeringslasten (Handhaving, GGD-en, huisvesting): GGD-en en veiligheidsregio’s: In de uitvoering worden niet direct veel extra kosten verwacht; dergelijke situaties zijn core business en qua extra kosten is de verwachting dat een groot gedeelte rechtstreeks vanuit het Rijk bekostigd zal worden, via de Wet Publieke Gezondheid (art. 62) en Besluit Publieke Gezondheid (art. 15). Sommige gemeenten verwachten nog wel later de rekening. Bijv. zorghotels die zijn ingericht. Handhaving corona: Extra personele inzet in verband met het handhaven van de regels voor social distancing. De meeste gemeenten kunnen dit met bestaande capaciteit aan BOA’s af eventueel door percelen te verbreden (alle type BOA's inzetten). Eventueel is er wel meer budget noodzakelijk, hetgeen in het kader van begrotingsrechtmatigheid relevant is.
12
2. Aandachtspunten 2020 •
•
4) •
•
•
5) • • • •
Thuiswerkfaciliteiten/ICT/beschermingsmiddelen: Welke kosten zijn er gemaakt binnen de gemeentelijke organisatie (coronaproof werkplekken) en voor thuiswerken. Ook het 1,5 meter-proof maken van KCC’s/publieksloketten/spreekkamers brengt extra kosten met zich mee. Past dit allemaal nog binnen de bestaande c.q. aangepaste budgetten? JGZ: JGZ organisaties worden via contracten gefinancierd door gemeenten. Nu liggen veel activiteiten stil. Denk aan groepsvaccinaties en een deel van de individuele screeningen. Veel organisaties hebben hun artsen en verpleegkundigen uitgeleend aan de GGD, huisartsenpraktijken etc. Na de crisis zullen veel activiteiten moeten worden ingehaald. Daarvoor is mogelijk o.a. extra inhuur personeel nodig. Welke afspraken zijn er? Bedrijf-economisch (SW-bedrijven, deelnemingen, vorderingen): Sociale werkvoorziening: landelijk wordt via de koepelorganisatie (Cedris) geregeld dat omzetverlies wordt gecompenseerd. Loopt de gemeente nog risico’s door aanvullende afspraken met haar SW-bedrijf? Beschikt de gemeente over deelnemingen die als gevolg van Corona mogelijk een lagere opbrengstwaarde hebben en derhalve in aanmerking zouden moeten komen voor een duurzaam lagere balanswaardering? Heeft de gemeente vorderingen op partijen die door de coronacrisis in financiële moeilijkheden verkeren? Zo ja, wat betekent dit voor de inbaarheid van die vorderingen?
Inkomstenderving (heffingen, leges, deelnemingen): Welke afspraken zijn er gemaakt met partijen over uitstel van huur, belasting of leges? Zijn er gevolgen voor de begrote dividenden en winstuitkeringen? Wat is de verwachte impact op de afzetplanning en prijsontwikkeling van de grondexploitaties? Is voldoende rekening gehouden met lagere opbrengsten eigen bijdrage in de WMO?
Tozo Als onderdeel van de Participatiewet is in maart 2020 de Tijdelijke Overbruggingsregeling Zelfstandig Ondernemers (Tozo) ingevoerd. De verantwoording van de baten, lasten en aantal aanvragen inzake Tozo 1, 2 en mogelijk 3 zal op afzonderlijke regels in de Sisabijlage worden opgenomen. Vanwege het verschil in het normenkader dient het onderscheid per Tozo regeling zowel in de aanvragenadministratie als in de uitkeringenadministratie geregeld te zijn. Bij de aanvraag en uitkering was een snelle verwerking vaak van groot belang. Dit kan echter consequenties hebben voor de controle achteraf. Belangrijke elementen bij deze controle is het bepalen van de omvang, het beoordelen van de volledigheid en juistheid van de aanvraag, het uitvoeren van een inlichtingenplicht, eventuele nabetalingen of terugvorderingen en de evaluatie van de bevindingen. Wij verzoeken u om tijdig de reikwijdte, omvang en het werkprogramma voor de controle van de Tozo regelingen met ons af te stemmen. Recht op zorg Op 3 juli 2020 is de SDO-notitie ‘Jeugdzorg en WMO Controle van het recht op zorg’ verschenen. Een belangrijk aandachtspunt in deze notitie is het toetsen op een rechtmatige verwijzing.
De gemeente Rheden heeft in haar verordening Jeugdhulp het volgende opgenomen: “Het college draagt zorg voor de inzet van jeugdhulp na verwijzing door de huisarts, medisch specialist of jeugdarts, als en voor zover de jeugdhulpaanbieder van oordeel is dat inzet van jeugdhulp nodig is. Het college legt de te verlenen individuele voorziening vast in een beschikking.” Het lijkt erop dat de verwijzing daarmee onderdeel is van het normenkader. Deze wordt niet afgedekt in het landelijke controleprotocol met de zorgaanbieders. Wij vragen u om na te gaan of dit daadwerkelijk het geval is en indien aanvullende controle noodzakelijk is of u deze controle zelf gaat uitvoeren of dat u dit via de zorgaanbieder gaat toetsen.
Wij verzoeken u dan om de analyse op korte termijn uit te voeren en hier niet mee te wachten tot het opstellen van de jaarrekening. Wij zullen de uitkomsten van uw analyse meenemen in onze risicoafweging en controleaanpak. 13
2. Aandachtspunten 2020 Prestatielevering inkopen Op 24 juli 2020 is de BADO-notitie ‘Vastlegging en onderbouwing prestatielevering bij inkopen door decentrale overheidsorganisaties’ verschenen. Wij vragen u kennis te nemen van deze notitie en de vereisten inzake functiescheiding, de controle en documentatie van de prestatielevering. Wij willen u wijzen op het belang van deze notitie mede in relatie tot fraudegevallen zoals geconstateerd bij diverse gemeenten. Wij voeren graag tijdig overleg met u over de (interne) controle van prestatielevering. Afhankelijk van de uitkomsten (aard van de fouten en onzekerheden) kan dit leiden tot een verdere uitbreiding van de deelwaarneming en extra werk.
14
Bevindingen IT-beheersing
15 15
3. Bevindingen IT omgeving 3.1 Algemeen In dit onderdeel van de management letter zijn onze bevindingen opgenomen gebaseerd op de ITauditwerkzaamheden die in het kader van de jaarrekeningcontrole over het boekjaar 2020 zijn uitgevoerd. Wij rapporteren welke IT-audit activiteiten door ons zijn uitgevoerd en wat onze bevindingen zijn voor de controle. De IT audit activiteiten zijn in scope beperkt tot de applicaties in scope voor de jaarrekeningcontrole, en daarmee samenhangende (netwerk)infrastructuur.
Werkzaamheden Op basis van de door ons uitgevoerde werkzaamheden hebben wij onze inschatting van de kwaliteit van uw IT systeem en/of applicatie opgenomen. Hierbij hebben wij de volgende onderverdeling gemaakt om de kwaliteit weer te geven: Op dit moment voldoende Verbetering gewenst Verbetering benodigd Let op: de onderwerpen die niet gerelateerd zijn aan toegangsbeveiliging en wijzigingsbeheer volgen uit interviews en hierop zijn door ons over het algemeen geen testwerkzaamheden uitgevoerd om vast te stellen dat de IT-omgeving is ingericht zoals ons voorgesteld is. Dit beperkt de zekerheid die u kunt ontlenen aan de door ons beschreven aandachtspunten. De mate van risico die u als organisatie loopt bij constateringen verschilt per aandachtsgebied. Een grafische inschatting van de impact op de controle en op uw organisatie vindt u in onderstaande afbeelding.
Impact op de controle
IT General Controls Veel handelingen die binnen organisaties plaatsvinden, worden geregistreerd door middel van automatisering. Daarbij zijn diverse interne beheersingsmaatregelen steeds vaker geautomatiseerd in softwarepakketten. Wij onderzoeken daarom de algemene onderwerpen rondom de beheersing van uw IT omgeving en rapporteren daarover in de navolgende pagina’s.
Toegangsbeveiliging
Wijzigingsbeheer
Overige punten
Impact op uw organisatie
Logische toegangsbeveiliging Bij het toetsen van ‘logische toegangsbeveiliging’ wordt onderzocht of de inrichting van de IT-omgeving de authenticiteit van de gebruiker van een gebruikersaccount borgt. Ook onderzoeken wij de mogelijkheden voor het ‘steunen’ op autorisaties en de processen rondom het verstrekken, muteren en ontnemen van autorisaties binnen de omgeving en de applicaties. Wanneer de randvoorwaarden hiervoor voldoende aanwezig zijn, kunnen wij gebruik maken van eventuele functiescheiding dat in de omgeving of de applicatie is geïmplementeerd. Wijzigingsbeheer (Change management) Het doel van ‘wijzigingsbeheer’ is borgen dat wijzigingen aan de applicatie op een gestructureerde en gecontroleerde wijze worden doorgevoerd. Voor uw organisatie heeft wijzigingsbeheer ten doel om te voorkomen dat applicaties zich niet gedragen zoals u na een wijziging in de software, resulterend in, wellicht niet opgemerkte, (financiële) gevolgen. Van belang zijnde IT-punten die ingeval van optreden van risico's impact hebben op onze controle Het is voor ons van belang om inzicht te krijgen in de verantwoordelijkheden die binnen de organisatie zijn ingericht – of met andere organisaties overeen zijn gekomen (uitbesteding) – ten aanzien van de beheersing van de IT omgeving. Hierbij kijken wij naar beleidsstukken ten aanzien van IT strategie, beveiliging en functiescheiding.
Ook de interne beheersingsmaatregelen die al dan niet zijn ingericht binnen de IT omgevingen zijn onderdeel van onze scope. Indien maatregelen periodiek worden uitgevoerd kunnen wij hier gebruik van maken in de jaarrekeningcontrole. Deze adviespunten hebben niet een directe impact op onze controlewerkzaamheden, maar zijn wel wenselijk. Wij willen u in dit kader dan ook voornamelijk wijzen op eventuele risico's die uw organisatie loopt. 16
3. Bevindingen IT omgeving 3.2 Toegangsbeveiliging Wij onderscheiden vijf bouwstenen ten aanzien van toegangsbeveiliging, waarbij de bouwstenen gestapeld, naast een sterke IT beheersing, de meeste controlezekerheid opleveren. Beperkingen in de onderliggende steen, zorgt voor een verzwakking van de bovenliggende stenen. Een toelichting:
Onze verwachting Beheersen mutaties: Wanneer de gewenste situatie is ingericht, verwachten wij een beheerst proces ten aanzien van het toekennen, ontnemen en wijzigen van rechten inclusief monitoring en controle.
Gewenste situatie: Iedere organisatie zal moeten bepalen wat de “SOLL-positie” is ten aanzien van rechten, met name gericht op kritische functiescheidingen.
Hoge rechten: Voor het beheersen van autorisaties is het cruciaal dat de rechten tot het aanpassen van rechten zijn beperkt tot medewerkers die geen belang hebben bij aanpassingen.
Wachtwoorden: Sterke, regelmatig wijzigende wachtwoorden voor applicaties en databases zijn de basis voor toegangsbeveiliging, samenhangend met bewustzijn bij medewerkers.
Databases: Basis voor toegangsbeveiliging van een applicatie is dat de applicatie de enige toegangspoort is en dat niet rechtstreeks op de database gemuteerd kan worden.
Uw organisatie Er is een proces voor toekennen, ontnemen en wijzigen van rechten ingericht. De zekerheid die ontleend kan worden, wordt op dit moment beperkt door het ontbreken van een functie-autorisatiematrix (zie onderstaand) en het uitvoeren van een zichtbare eindcontrole. Hiernaast vindt geen periodieke zichtbare monitoring plaats Voor het Operating system en applicaties in scope is geen functieautorisatiematrix ingericht, waarin rechten en kritische functiescheidingen beschreven zijn. Wij adviseren deze op te stellen voor het inrichten van kritische functiescheidingen in het operating system en binnen applicaties.
Administrator rechten voor het operating system zijn belegd bij medewerkers IT van de Connectie.
Het wachtwoordbeleid van het operating system is voldoende. Dit geldt ook voor applicaties waarbij wordt ingelogd op basis van Single-Sign-On. Wij hebben geconstateerd dat een beperkt aantal gebruikers is uitgezonderd van het periodiek wijzigen van wachtwoorden. Echter, hebben deze geen toegang tot de applicatie.
Databasetoegang voor alle applicaties is adequaat beperkt. 17
3. Bevindingen IT omgeving 3.3 Wijzigingsbeheer Bij het doorvoeren van wijzigingen in softwareomgevingen ontstaan risico’s voor de bedrijfsvoering van uw organisatie. Wij verwachten daarom dat het proces voor wijzigingen een proces doorloopt, waarmee de risico’s die gelopen worden, zijn ingeschat, worden geadresseerd en dat hierop maatregelen genomen worden. Wij hebben onderstaand aangegeven wat wij verwachten per fase en wat wij hebben geconstateerd tijdens onze controle (deels op basis van interview) en of dit overeen komt met de verwachting. Onder wijzigingen verstaan wij niet alleen nieuwe versie updates, maar ook aanpassingen in (kritieke) systeemconfiguraties.
1. Risicoinschatting
2. Opstellen testplan en -aanpak
3. Testen en documenteren
4. Gebruikersacceptatie
1. Risico-inschatting: Voor iedere software wijziging is het relevant om te beoordelen wat de risico’s zijn die de wijziging met zich mee brengt voor de hoofdprocessen én welke geïdentificeerde technische en organisatorische wijzigingsrisico’s worden geraakt bij het uitvoeren van de change, waaronder maatwerk. Per wijziging wordt vastgesteld welke nieuwe of gewijzigde functionaliteit een risico vormt voor een goede werking van uw bedrijfsvoering.
2. Opstellen testplan en -aanpak: Vanuit de geïdentificeerde risico’s kan een testplan worden gemaakt waarin de te testen elementen van de software benoemd zijn evenals de inhoudelijk uit te voeren testwerkzaamheden op deze elementen. Belangrijke elementen hierin zijn go/no-go momenten, het maken van een back up voor implementatie, wat te doen als een implementatie mislukt en de impact op de organisatie (opleiden van medewerkers).
Uw situatie: Voor Unit 4 waren er geen wijzigingen geweest waarop wij het bestaan konden toetsen voor 2020. Voor Civision hebben wij vernomen dat risico-inschatting niet wordt vastgelegd. Wij adviseren deze op te stellen en zichtbaar te maken.
Uw situatie: Wijzigingen worden getest op basis van een testplan. Voor Unit 4 waren er geen wijzigingen geweest waarop wij het bestaan konden toetsen voor 2020. Voor Civision hebben wij vernomen dat het niet altijd wordt vastgelegd. Wij adviseren u dit in te voeren en hiermee risicogericht en efficiënt wijzigingen in applicaties te controleren.
3. Testen en documenteren: Softwarewijzigingen kunnen gestructureerd worden getest, na het correct uitvoeren van de voorgaande twee stappen. Een vastlegging van testwerkzaamheden is van belang voor de aantoonbaarheid en controleerbaarheid van de uitgevoerde stappen.
4. Gebruikersacceptatie: Een wijziging is pas effectief als deze niet alleen is geaccepteerd vanuit een technisch oogpunt, maar ook vanuit de gebruikersorganisatie. Wij verwachten daarom een formele goedkeuring vanuit de gebruikersorganisatie, zowel voor implementatie als na de implementatie.
Uw situatie: Testwerkzaamheden door de technisch applicatiebeheerder worden uitgevoerd en gedocumenteerd in het ticketsysteem Topdesk.
Uw situatie: Testen vindt in de huidige situatie met name plaats door een technisch applicatiebeheerder. Hierbij wordt in mindere mate de gebruikersorganisatie betrokken. Wij adviseren om keyusers per applicatie te laten testen en deze gebruikers een zichtbare acceptatie te laten geven.
18
3. Bevindingen IT omgeving 3.4 Samenvatting ‘General IT’ De conclusies die wij op basis van onze werkzaamheden trekken over de algemene inrichting van IT bij uw organisatie, delen wij op deze pagina met u. Uit de stoplichten valt op te maken in hoeverre we gebruik kunnen maken van de randvoorwaarden die binnen uw organisatie aanwezig zijn voor de controle.
Netwerk Authenticatie Door middel van authenticatie wordt geborgd dat de gebruiker zichzelf kan identificeren binnen een geautomatiseerde omgeving. Kort gezegd: de gebruiker toont aan dat hij/zij inlogt met een eigen persoonsgebonden account en daarmee is wie hij/zij claimt te zijn. Wij scharen onder dit onderwerp met name wachtwoordvereisten en herleidbaarheid van accounts. Autorisatie Op het gebied van autorisatie zijn verschillende vormen van diepgang te definiëren. Wat wij onderzoeken als het gaat om de randvoorwaarden rondom autorisatie, zijn de rechten die de mogelijkheid bieden om autorisatiestructuren te wijzigen en of deze rechten belegd zijn bij functionarissen met een onafhankelijke positie ten opzichte van de jaarrekening. Daarnaast is een effectieve procedure voor het wijzigen van rechten noodzakelijk. Wijzigingsbeheer Gedurende een (boek)jaar worden wijzigingen doorgevoerd in de IT-omgeving van uw organisatie. Wanneer deze wijzigingen een impact hebben op de functionaliteiten of rapportages die een rol spelen in de jaarrekening (en uw organisatie deze niet signaleert), heeft dit gevolgen voor de controlewerkzaamheden. Wij beoordelen dit onderdeel door te steunen op uw procedure of werkzaamheden uit te voeren op documentatie vanuit de leverancier.
Toelichting
Civision
Toelichting
Unit 4
Toelichting
De ingestelde wachtwoordeisen van het netwerk zijn van voldoende niveau om op de authenticatie van gebruikers te kunnen steunen. Er wordt voornamelijk gebruik gemaakt van persoonsgebonden accounts op e-mail, serviceaccounts na
Er wordt gebruik gemaakt van Single Sign On. Hierdoor is het netwerk wachtwoord van toepassing. Er wordt gebruik gemaakt van persoonsgebonden accounts op enkele generieke accounts na voor IT leveranciers en Service Accounts. Gezien de beperkte rechten van deze accounts is dit akkoord
De ingestelde wachtwoordeisen van het netwerk zijn van voldoende niveau om op de authenticatie van gebruikers te kunnen steunen. Er wordt gebruik gemaakt van persoonsgebonden accounts op enkele generieke accounts na. Gezien de beperkte rechten van deze accounts is dit akkoord
De hoge rechten in de applicatie zijn beperkt tot onafhankelijke functionarissen in het kader van de jaarrekening. Het beheer is uitbesteed aan de Connectie.
De hoge rechten in de applicatie zijn beperkt tot onafhankelijke functionarissen in het kader van de jaarrekening. Er is echter geen logging aanwezig op autorisaties in de applicatie, of een aantoonbare periodieke review van gebruikers en hun rechten waardoor wij niet kunnen steunen op de inrichting voor het gehele jaar.
De hoge rechten in de applicatie zijn beperkt tot onafhankelijke functionarissen in het kader van de jaarrekening. Er is echter geen logging aanwezig op autorisaties in de applicatie, of een aantoonbare periodieke review van gebruikers en hun rechten waardoor wij niet kunnen steunen op de inrichting voor het gehele jaar.
Niet van toepassing
Er zijn geen wijzigingen doorgevoerd met impact op de jaarrekeningcontrole.
Er zijn geen wijzigingen doorgevoerd met impact op de jaarrekeningcontrole.
19
20
3. Bevindingen IT omgeving 3.5 IT adviespunten zonder directe impact op de controle
Beleid en plannen Beleid Gemeente Rheden heeft een informatiebeleid voor 2019-2021 op basis van de BIO. Voor IT beheersing is het beleid van de Connectie van toepassing. Binnen de Connectie zijn processen in kader van IT beheersing beschreven. Deze beleidsstukken zijn recent en hierin worden relevante processen beschreven. Wij adviseren de naleving van IT beheersing te monitoren door middel van periodieke interne controles. De gemeente Rheden blijft eindverantwoordelijk.
Uitvoering Beheersing van incidenten Om de performance van uw IT systemen en eventueel de performance van uw IT dienstverlener te monitoren, is registratie van de incidenten en problemen van belang. Hierdoor verkrijgt u inzicht in de performance van uw systemen, maar ook van uw IT organisatie en kunt u waar nodig uw beleidsplan corrigeren. Incidenten en problemen worden op basis van een adequate procedure en middels de applicatie Topdesk geïdentificeerd, geregistreerd en opgevolgd.
Uitvoering beheersingsmaatregelen IT: Op verschillende vlakken worden (nog) geen toetsbare beheersingsmaatregelen uitgevoerd binnen uw organisatie. Denk aan: - Procedure voor wijzigingsbeheer (zie ook punt ‘Wijzigingsbeheer’). - Procedure rondom uitgifte en controle op unieke en individuele gebruikersnamen. - Periodieke controle op actieve gebruikers. - Periodieke controle op inrichting van wachtwoordbeleid. - Procedure voor het gestructureerd toekennen, wijzigen en ontnemen van rechten. - Periodieke controle op inrichting van rechten in het systeem conform beleid. Verantwoordelijkheden en functiescheiding De gemeente heeft het beheer van IT waaronder, users en rechten belegd bij de Connectie. Binnen de Connectie zijn applicatiebeheerders per applicatie aangesteld. Hiernaast vindt systeembeheer plaats binnen de Connectie. Hierdoor geen indicaties van doorbreking van functiescheiding, mede doordat registrerende/controlerende en uitvoerend medewerkers van gemeente Rheden niet verantwoordelijk zijn voor applicatiebeheer. Het is voor gemeente Rheden belangrijk om regie te houden op de uitbestede diensten.
Een deel van deze procedures zijn actief binnen de organisatie, echter wij adviseren ook om dit zichtbaar vast te leggen. Wij hebben vernomen dat deze procedures verder zijn ontwikkeld in 2020 samen met de Connectie. Daarom kunnen wij ervoor het gehele boekjaar 2020 nog niet volledig op steunen. Deze procedures en daaruit volgende controlemaatregelen zorgen ervoor dat uw organisatie grip houdt op de IT-omgeving en faciliteren dat de randvoorwaarden, die de effectiviteit van ingerichte beheersingsmaatregelen beïnvloeden, van voldoende niveau zijn.
20
21
3. Bevindingen IT omgeving 3.5 IT adviespunten zonder directe impact op de controle
Continuïteitsmaatregelen
Beveiliging
Recovery Point objective (RPO): De RPO is het punt in de tijd tot waar men minimaal de gegevens moet kunnen herstellen. Het is dus de acceptabele hoeveelheid aan dataverlies uitgedrukt in tijd.
Beveiliging De beveiliging van de IT-omgeving delen wij op in verschillende aspecten, welke wij hieronder hebben weergegeven.
Back-ups: De gemeente heeft het operationele IT beheer uitbesteed aan de Connectie. De Connectie heeft een formele procedure die beschrijft op welke wijze back-ups dienen plaats te vinden. Procedures ten aanzien van het maken en monitoren van back-ups voldoen.
Fysieke beveiliging: De servers staan fysiek op 2 locaties in datacenters (met eigen toegangsprocedures). Daarnaast is het gebouw van de Connectie niet toegankelijk zonder toegangspas. De toegang is adequaat beveiligd. Monitoring van temperatuur e.d. zijn aanwezig en worden periodiek getest..
Recovery Time Objective (RTO): Een RTO is de tijd waarna een proces/middel na een onderbreking moet teruggebracht zijn op een aanvaardbaar niveau, om een onacceptabele impact op de organisatie te vermijden. Recovery: De gemeente heeft het operationele IT beheer uitbesteed aan de Connectie. De Connectie heeft een formele procedure die beschrijft op welke wijze en met welke periodiciteit recovery testen dienen te gebeuren. Procedures hieromtrent zijn adequaat ingericht. Een test is in februari 2020 uitgevoerd aan de hand van een stappenplan. Hieruit zijn beperkingen geconstateerd met impact op de jaarrekeningcontrole. Uitwijk: De gemeente heeft het operationele IT beheer uitbesteed aan de Connectie. De Connectie heeft geen uitwijklocatie maar maakt gebruik van een failover configuratie met twee gespiegelde omgevingen. Elke omgeving is op een andere locatie, op die manier is er een locatie aanwezig die als back-up kan dienen. Dit is ook getest, hieruit zijn geen uitzonderingen geconstateerd.
Remote access: Voor remote toegang wordt gebruik gemaakt van twofactor authenticatie. Doordat de bedrijf kritische applicaties alleen bereikbaar zijn in de Citrix-omgeving waar altijd two-factor wordt afgedwongen voor de medewerkers van gemeente Rheden is het adequaat beveiligd. Preventie: De Connectie heeft op het Windows domein een virusscanner en firewall actief van Safepoint. De firewall stuurt ook actief pushberichten naar de beheerders als zich ongebruikelijk verkeer vertoont.
Monitoring: Cybersecurity wordt actief gemonitord door de firewall en opvolging te geven aan de meldingen van de IBD. Beheerders krijgen notificaties om bij calamiteiten actie te ondernemen. Op basis van interview is vernomen dat er maandelijks kwetsbaarheidsscans worden uitgevoerd door de Connectie. Hieruit zijn geen bijzonderheden geconstateerd.
21
Overige onderwerpen 22
4. Overige onderwerpen Rechtmatigheidsverantwoording Met ingang van het boekjaar 2021 moet het college een rechtmatigheidsverantwoording opnemen in de jaarrekening. De accountant dient vervolgens de getrouwheid van deze verantwoording te toetsen. De bewijslast inzake de rechtmatigheid wordt hiermee verplaatst van de accountant naar het college. De intentie is dat de accountant hierbij als vierde lijn gaat functioneren. In onze optiek kan dit alleen worden bereikt als uw zelfcontrolerend vermogen in de 1e (in het proces), 2e (na afloop van het proces) en 3e-lijn (de verbijzonderde interne controle, ook wel: VIC) binnen uw mogelijkheden optimaal is. Om voorbereid te zijn op deze wetswijziging bent u druk doende een kritische analyse uit te voeren op de huidige stand van zaken binnen uw gemeente. Hierbij wordt vastgesteld welke processen op steunen op welke (1e, 2e, of 3e) lijn. Indien de beheersmaatregelen in de 1e en/of 2e lijn adequaat zijn ingericht dan is de organisatie optimaal in control en is een voornamelijk systeemgerichte controleaanpak mogelijk. Indien dit niet het geval is kan dit gecompenseerd worden door de gegevensgerichte werkzaamheden van de VIC. In het kader van de rechtmatigheidsverantwoording dient in ieder geval de 3e lijn (VIC) toereikend te zijn.
Uit onze controle komt naar voren dat wij nog niet optimaal op de processen kunnen steunen, maar in samenwerking met de VIC een gegevensgerichte aanpak hanteren. Afhankelijk van de uitkomsten van deze analyse, is het van belang uw ambitie, gericht op de wetswijziging, vast te stellen dan wel bij te stellen. Wij raden u aan om deze ambitie officieel vast te stellen, waarmee verankering in de organisatie wordt geborgd. In deze visie dient een beeld te worden geschetst hoe u de organisatie wenst te beheersen/controleren. De visie bevat idealiter een leidraad voor de organisatie om te waarborgen en zichtbaar te maken dat binnen de gemeente getrouw en rechtmatig wordt gehandeld.
Vennootschapsbelasting (Vpb) Vanaf 1 januari 2016 zijn publiekrechtelijke lichamen (waaronder gemeenten) vennootschapsbelasting voor zover zij “een onderneming drijven”. Jaarlijks moet worden vastgesteld met welke (geclusterde) activiteiten sprake is van 1) een organisatie van kapitaal en arbeid, 2) die deelneemt aan het economische verkeer, en 3) waarmee overschotten worden gerealiseerd. Grosso modo wordt aan deze voorwaarden voldaan als van derden een tegenprestatie wordt ontvangen voor geleverde diensten of goederen en daarmee een overschot (op “fiscale grondslagen”) wordt behaald. De Vpb-beoordeling van de actieve grondexploitaties vormt vanuit financieel oogpunt het belangrijkste aandachtspunt. De gemeente Rheden heeft het standpunt ingenomen dat met de actieve grondexploitaties geen “onderneming” wordt gedreven en dat de actieve grondexploitaties daarom geen Vpb-plichtige activiteit vormen. In het voorjaar van 2020 hebben wij de aanwezige onderbouwing van dit standpunt beoordeeld. Zowel de cijfermatige berekening als de bijbehorende toelichting en inhoudelijke argumentatie zijn zeer summier vastgelegd. De aanwezige onderbouwing is naar onze mening daarom niet voldoende om het standpunt te kunnen dragen. Dit maakt de gemeente kwetsbaar.
Wij zien dat de Belastingdienst op dit moment bij veel gemeenten vragen stelt over de verwerking van de actieve grondexploitaties in de aangifte Vpb 2016. Dit vergroot de urgentie om de vastlegging van de Vpb-positie van de actieve grondexploitaties te verbeteren en daarnaast de mogelijke financiële risico’s (bijvoorbeeld in het geval dat de Belastingdienst het ingenomen standpunt niet volgt) in kaart te brengen en deze risico’s waar mogelijk te minimaliseren.
23
Bijlage Detailbevindingen 24
Detailbevindingen interim-controle Uitleg opbouw management letter In deze bijlage zijn de bevindingen van de interne beheersing opgenomen die wij tijdens de interim-controle hebben geconstateerd. Per bevinding hebben wij het daarbij behorende risico en een aanbeveling ter verbetering opgenomen. Bij de prioriteit staat de mate van belangrijkheid en urgentie voor de jaarrekeningcontrole ingedeeld in hoog, middel of laag. Wij vermelden eerst de bevindingen die wij in boekjaar 2020 hebben geconstateerde (de nieuwe bevindingen). Vervolgens rapporteren wij de follow-up van de door ons geconstateerde bevindingen uit voorgaande jaren.
Herkomst
Prioriteit Urgentie en belang van de bevinding
Boekjaar eerste vermelding van de bevinding
Follow-up 2020 In dit blok wordt een update gegeven van de status van de bevindingen uit voorgaand jaar.
Bevinding /risico/aanbeveling / gevolgen jaarrekeningcontrole
Bevinding
Risico
Aanbeveling
Gevolgen controle
In dit blok wordt aangegeven wat gedurende de accountantscontrole is geconstateerd en waarvan wij u graag op de hoogte willen brengen.
Hierbij geven wij aan wat de risico's zijn van de bevinding en wat de gevolgen voor uw gemeente kunnen zijn.
Hier geven wij u aanbevelingen met betrekking tot de Bevinding. Deze aanbeveling is een mogelijke oplossing voor de bevinding.
Hier geven wij aan wat de gevolgen zijn van de bevinding in relatie tot de verdere werkzaamheden voor de jaarrekeningcontrole.
25
Detailbevindingen interim-controle 2020 Bevinding
1
Sociaal domein - jeugdzorg Bij het verstrekken van een beschikking wordt het adres van de jeugdige in Civision Samenleving geregistreerd. Er vindt echter geen registratie plaats van het adres van de gezaghebbende ouder/voogd. Bij lopende zorgverlening zal er bij bijvoorbeeld een verhuizing van de gezaghebbende geen signalering plaatsvinden.
Risico
Aanbeveling
Gevolgen controle
2020
Het woonplaatsbeginsel is bij jeugdige van toepassing op de gezaghebbende ouder/voogd. Doordat mutaties in adresgegevens gedurende lopende zorgverlening niet bekend zijn is het risico bij de gemeente Rheden aanwezig dat er ten onrechte declaraties worden betaald.
Wij adviseren het adres van de Wij zullen aanvullende werkzaamheden gezaghebbende ouder/voogd aanvullend doen om na te gaan of de indicaties te registreren in Civision Samenleving. Dit rechtmatig zijn verstrekt. zorgt er voor dat mutaties in adresgegevens in de signaleringslijsten naar voren komen, waardoor de gemeente Rheden daarop kan anticiperen.
2020
Hierdoor bestaat het risico dat er ten onrechte declaraties worden betaald worden door de gemeente Rheden.
Wij adviseren de signalen inhoudelijk te controleren zodat zekerheid wordt verkregen over de aansluiting van de declaraties met de beschikkingen.
Prioriteit
Sociaal domein - signaallijsten Vanuit Civision Samenleving worden signaallijsten gegenereerd. Deze signalen zijn aandachtspunten voor de medewerkers Backoffice. Er worden onder andere signalen verstrekt bij mutaties in adresgegevens maar ook als de declaratie inconsistenties vertoont met de verstrekte beschikking. Gezien de signalen omtrent declaraties per zorgleverancier worden verstrekt, kunnen deze erg omvangrijk zijn. Deze signalen worden niet allen integraal gecontroleerd.
Omdat wij niet op het proces kunnen steunen zullen wij een gegevensgerichte controle uitvoeren om de nauwkeurigheid en rechtmatigheid van de verstrekte uitkeringen vast te stellen.
MIDDEL
2
Herkomst
MIDDEL
Nr
26
Detailbevindingen interim-controle 2020 Bevinding
3
Sociaal domein - wachttijden Tijdens onze interviews hebben medewerkers aangegeven dat de werkdruk bij de medewerkers van het sociaal domein als hoog wordt ervaren. Als oorzaken worden veranderingen in de werkprocessen, bezuinigingen, corona en personeelsverloop genoemd. Hierdoor loopt de wachttijd voor de behandeling van aanvragen en herindicaties op. De gemeente Rheden heeft besloten bij herindicatie de zorg te blijven verlenen tot herindicatie heeft plaatsgevonden.
Risico
Aanbeveling
Gevolgen controle
2020
De gemeente dient binnen een redelijke termijn te beslissen op aanvragen en herindicatie. Het door laten lopen van zorg na afloop van de indicatietermijn tot moment van herindicatie kan leiden tot onrechtmatige zorgkosten.
Wij adviseren u aandacht te hebben voor oplopende wachttijden voor het behandelen van zorgaanvragen. Gestructureerde werkprocessen kunnen helpen bij onverhoopte personeelswisselingen en overdracht van werkzaamheden.
Wij verzoeken u aanvullende werkzaamheden uit te voeren en na te gaan of de verlate herindicaties onrechtmatigheden tot gevolg hebben gehad.
2020
Het ondertekenen van een stuk is in de controleleer normaliter het uitvloeisel van een controle door de betreffende functionaris. Het automatisch genereren van handtekeningen van personen die geen rol in het operationele proces hebben is derhalve niet wenselijk.
Wij adviseren u om maatregelen te treffen Geen directe impact op de de ondertekening van de beschikking jaarrekeningcontrole. anders vorm te geven. Hierbij dient wel de mandaatregeling in ogenschouw genomen te worden.
Prioriteit
Sociaal domein - bevoegdheden Binnen uw gemeente worden beschikkingen voorzien van de handtekening van de teamleider. Dit terwijl de teamleider verder in het operationele proces geen rol heeft.
LAAG
4
Herkomst
MIDDEL
Nr
27
Detailbevindingen interim-controle 2020 Bevinding
5
Inkopen – prestatielevering Autorisatie van inkoopfacturen voor juistheid van de gefactureerde prijs en het leveren van de prestatie gaat veelal op vertrouwen van budgethouders en crediteuren en niet op basis van gedegen / zichtbare onderbouwing.
Risico
Aanbeveling
Gevolgen controle
2020
U loopt het risico dat inkoopfacturen ten onrechte of voor een te hoog bedrag in de administratie van de gemeente komen. Daarnaast loopt u het risico dat inkoopfacturen ten onrechte in de administratie worden verantwoord terwijl hiervoor geen zakelijke prestatie is geleverd.