Hoofdstuk 3 Managementletter - follow up voorgaande jaren
Tekst van het document
Follow-up managementletter punten voorgaande jaren 661077182/LA/3000
8
3.
Follow-up managementletterpunten voorgaande jaren
In de tabel hieronder is de follow-up in het jaar 2022 beschreven van de managementletterpunten van de voorgaande jaren zoals gecommuniceerd in de managementletter 2021 en eerder. Wij adviseren om in komend boekjaar invulling te geven aan de nog niet afgeronde verbeterpunten. 3.1
Tabel met openstaande en/of nog niet opgepakte verbeterpunten
Verwijzing management letter
Prioriteit
Bevinding en advies
Status van de bevinding gedurende de interimcontrole 2022
Reactie gemeente Rhenen
2020 – Paragraaf 4.3 – Inzet IT Audits en controle op processen in plaats van transactiestromen door de VIC functie
In 2020 is nog geen sprake van de Onderhanden uitvoering van een periodieke interne controle op de effectiviteit en betrouwbaarheid van de general IT controls en application controls. Daarnaast moet nog voor een aantal processen de VIC ingericht worden, waarbij ook controles worden uitgevoerd met focus op beheersing van processen in plaats van op de materiële financiële stromen. Wij adviseren u deze mee te nemen in het interne controleplan voor 2021.
Dit is nog geen onderdeel van de controle door de VIC. Wel zijn er veel aspecten waaronder de IT General Controls die wel onderdeel uitmaken van de jaarlijkse ENSIA audit en de privacy audit in het kader van de Wet politiegegevens (WPG). Dit zal in 2023 gecombineerd worden met / geïntegreerd worden in de VIC.
2021 – Paragraaf 5.2 – Niet volledig bijgewerkt verwerkingenregister
Wij constateren dat het huidige Afgerond verwerkingenregister niet volledig is bijgewerkt. De Autoriteit Persoonsgegevens toetst hierop en kan sancties opleggen op het moment dat deze niet worden nageleefd. De gemeente heeft hiervoor een projectteam samengesteld dat bezig is met de actualisatie van het verwerkingenregister. Wij adviseren u om topprioriteit te geven aan de opvolging van het projectplan dat nu is opgesteld en beschikbare capaciteit op te schalen, zodat waar mogelijk op hele korte termijn een zodanige inhaalslag te maken dat het verwerkingenregister actueel is.
Het verwerkingsregister is begin 2022 bijgewerkt. Hierbij is nadrukkelijk aandacht geweest voor het op structurele wijze inbedden van de werkzaamheden in de organisatie. Op deze manier wordt vermeden dat steeds weer een inhaalslag moet worden gemaakt.
661077182/LA/3000
9
Verwijzing management letter
Bevinding en advies
Status van de bevinding gedurende de interimcontrole 2022
Reactie gemeente Rhenen
2021 – Paragraaf 5.3 – Frauderisicoanalyse
De gemeente heeft nog geen structureel vastgelegde frauderisico analyse in één overzichtelijk document. Wij adviseren de gemeente op korte termijn een organisatie brede frauderisico analyse op te stellen en deze periodiek tussentijds te actualiseren vanuit het perspectief van het ‘in control’ willen zijn benaderen.
Onderhanden
2021 – Paragraaf 5.4 – Controle op prestatielevering inkoop
De organisatie heeft nog geen formeel Onderhanden beleid opgesteld omtrent het controleren en het vastleggen van de prestatielevering in het inkoopfactuur verwerkingsproces en het kunnen aantonen van prestatielevering is niet in het proces gestandaardiseerd. Het risico bestaat dat dit leidt tot onjuiste of onrechtmatige betalingen en daarmee ook de lasten. Wij adviseren topprioriteit te geven aan het herzien van het beleid omtrent zichtbaar vaststellen en aantonen van prestatielevering en dit nieuwe beleid te implementeren bij de afdelingen zodat met een uniform proces wordt gewerkt.
Binnen verschillende afdelingen zijn maatregelen getroffen, maar nog niet formeel vastgelegd in een rapport. In de rondetafelgesprekken rondom de jaarrekening 2022 inzake het risicomanagement zullen we speciale aandacht hebben voor het onderdeel frauderisico. Hieruit kunnen we een startdocument maken van hetgeen al onderkend is bij de verschillende afdelingen. De formele werkinstructie is er nog niet. Wel wordt bij de uitleg aan de budgethouders aangegeven dat ze goedkeuren voor prijs en prestatie. De prestatielevering wordt niet toegevoegd aan de inkoopfactuur en kan worden opgevraagd worden bij de budgethouders. We zullen de richtlijnen op papier zetten zodat het voor een ieder duidelijker wordt wat van hem verwacht wordt. De werkinstructie uiterlijk Q1 2023 gemaakt en later opgenomen worden in de budgethoudersregeling.
2021 – Paragraaf 5.5 – Periodieke analyse gebruikersaccounts
De gemeente heeft geen Onderhanden gestandaardiseerde procedure ten aanzien van het periodiek analyseren van gebruikersaccounts in de diverse applicaties binnen de gemeente. Daarnaast hebben we vernomen dat bij de doorstroom en uitstroom van medewerkers binnen de gemeente de gebruikersrechten niet altijd tijdig worden aangepast.
661077182/LA/3000
Prioriteit
Na de inventarisatie in 2022 is gebleken dat een doorstart met (een afgeleide van) SmartAIM niet haalbaar was. Hierdoor is het project niet verder opgepakt. Dit heeft de aandacht binnen de organisatie, maar niet de hoogste prioriteit. Dit mede omdat het afmelden van medewerkers ook de toegang tot vrijwel alle applicaties regelt zodat medewerkers niet bij applicaties kan waar ze niet meer bij zouden moeten kunnen.
10
Verwijzing management letter
Prioriteit
Bevinding en advies
Status van de bevinding gedurende de interimcontrole 2022
Reactie gemeente Rhenen
Om deze reden adviseren wij om een periodieke analyse te maken op actieve gebruikers-accounts en dit op een gestandaardiseerde wijze uit te voeren en hierover te rapporteren. 2021 – Paragraaf 5.6 – Functiescheiding in het autorisatieproces bij inkopen
Er wordt geen functiescheiding Onderhanden afgedwongen in het systeem tussen het plaatsen van een inkooporder, het zichtbaar vaststellen van de prestatielevering en de autorisatie van de inkoopfactuur op het moment dat sprake is van facturen kleiner dan € 10.000. Wij willen u in (her)overweging meegeven om, ondanks het principe van werken vanuit de bedoeling, te allen tijde functiescheiding aan te brengen in het inkoopproces, ook voor uitgaven onder de drempelwaarde van €10.000. Alternatief is om hier binnen de verbijzonderde interne controle specifieke controles op uit te voeren.
Dit risico is nog aanwezig. De drempelwaarde van € 10.000 is systematisch afgedwongen bij de goedkeuring van de inkoopfactuur. Om op elke inkoopfactuur het 4-ogen principe toe te passen legt een extra werkdruk bij de kredietbeheerders wat wij niet wenselijk achten. In de nog te formaliseren nieuwe budgethoudersregeling zullen we ook naar de drempelwaardes kijken of hier aanpassingen gewenst zijn en dit vastleggen. Er zijn wel maatregelen genomen door periodiek de budgetten te beoordelen waardoor afwijkingen met enige omvang boven komen. Ook met de controle van de VIC wordt er extra zekerheid gecreëerd.
2021 – Paragraaf 5.7/10 – Dossiervorming back-office jeugdzorg / Formalisatie rechtmatigheidstoezicht zorgaanbieders
De gemeente is nog niet toegekomen aan het aanscherpen van de werkwijze en procedures om zelfstandig en tijdig prestatielevering van geleverde Jeugdzorg tussentijds te monitoren. Daarnaast geeft de organisatie nog onvoldoende invulling aan een gestructureerde vastlegging van de diverse dossierstukken in het traject van aanvraag tot aan beschikking. De documentatie is wel aanwezig maar wordt niet door iedereen op een zelfde wijze vastgelegd. Wij adviseren u op korte termijn aandacht te schenken aan een gestandaardiseerde en gestructureerde wijze van vastlegging van de dossiers in het kader van de Jeugdzorg.
Door personeelstekort/ziekte is dit later dan verwacht, maar uiteindelijk op 1 oktober gestart. Binnen een half jaar zullen de werkprocessen bekeken en beschreven worden door de medewerkers samen met een projectleider. Hieruit volgt misschien een andere werkwijze, maar deze wordt dan meteen goed beschreven. Na het beschrijven zullen alle medewerkers volgens de (her)nieuwde processen gaan vastleggen.
661077182/LA/3000
Onderhanden
11
Verwijzing management letter
Prioriteit
Bevinding en advies
Status van de bevinding gedurende de interimcontrole 2022
Reactie gemeente Rhenen
2021 – Paragraaf 5.8 – Zichtbaarheid controles facturen lokale zorg
Binnen de Jeugdzorg is in beperkte mate Onderhanden sprake van contracten met lokale zorgaanbieders, waarbij vaak ook sprake is dat met deze zorgaanbieders afgerekend wordt op basis van factuurstromen. Controles op deze facturen van zorgaanbieders worden gedaan maar niet zichtbaar gedocumenteerd en daarmee achteraf niet aantoonbaar. Wij adviseren u om de procedures met betrekking tot de controle van facturen van lokale zorgaanbieders aan te passen en daarbij op een beknopte en efficiënte wijze invulling te geven aan de zichtbaarheid van de controles hierop.
Door personeelstekort/ziekte is dit later gestart dan gepland. Er wordt op dit moment in ZorgNed een proces rondom de vastlegging van de lokale zorg gebouwd. Hierdoor zal er per dossier te volgen zijn welke stappen er genomen zijn. Ook zullen hier de controles zichtbaar worden. De verwachte opleverdatum is Q1 2023.
2021 – Paragraaf 5.10 – Formalisatie rechtmatigheidstoezicht zorgaanbieders
De gemeente is bezig met het vastleggen Onderhanden van formeel beleid in het kader van rechtmatigheidstoezicht bij zorgaanbieders. Wij adviseren u hier de komende periode opvolging aan te geven en hier ook de financiële rechtmatigheidsaspecten in mee te nemen.
De inventarisatie rechtmatigheid wmo 2015 en jeugdwet is afgerond en middels een informatienota is het college geïnformeerd (maart 2022).
661077182/LA/3000
Na de visie op het Sociaal Domein (verwachting Q1 2023) dient er een integraal beleidsplan Sociaal Domein opgesteld te worden. Het handhavingsbeleid kan als onderdeel meegenomen worden in dit beleidsplan of naast dit beleidsplan worden opgesteld. Daarna kunnen processen ten aanzien van toezicht en handhaving herzien en ingericht worden.
12