Informatienota Boardletter 2024

Informatienota college/raad Datum Behandelaar Zaaknummer Portefeuillehouder Besluitvormend orgaan Publicatieniveau Onderwerp

: : : : : : :

15 januari 2025 Simone Koster 1193504 B. Fintelman College Rhenen Openbaar Boardletter 2024

Het college besluit: • •

kennis te nemen van de Management- en Boardletter 2024 en in te stemmen met de reactie van het college op de bevindingen en aanbevelingen; de Boardletter ter kennisname aan te bieden aan de raad.

Aanleiding/korte voorgeschiedenis In december 2024 is door de accountant de interim-controle gedaan en onlangs is de Managementletter 2024 uitgebracht. De Managementletter is bedoeld voor de organisatie. Een samenvatting hiervan wordt in de vorm van een Boardletter naar de raad gestuurd. In de Management- en Boardletter staan aanbevelingen voor de interne beheersing, de IT-omgeving en actuele ontwikkelingen. Het college geeft de accountant de volgende reactie op de bevindingen en aanbevelingen in de Managementletter 2024 (zie pagina 12 t/m 15 van de managementletter): Uitbreiden frequentie SPEND analyse (Hoog) Wij hebben het interne controleplan doorgenomen en daarbij geconstateerd dat de SPEND analyse, gericht op de rechtmatigheid van aanbestedingen, één keer per jaar wordt uitgevoerd. Op dit moment is de SPEND analyse over 2024 nog niet uitgevoerd. In voorgaand boekjaar is in de rechtmatigheidsverantwoording voor een bedrag van € 1,9 miljoen aan onrechtmatigheidsfouten verantwoord in het kader van het niet naleven van EU aanbestedingswetgeving . Wij adviseren u dringend vanaf het boekjaar 2025 de frequentie van de SPEND analyse uit te breiden naar tenminste ieder half jaar. Waarbij idealiter ook tussentijds nog een monitoring kan worden gedaan op dossiers met een hoog risico.

Enerzijds komen potentiële onrechtmatigheden sneller in beeld, tegelijkertijd biedt dat de organisatie ook mogelijkheden om tijdig maatregelen te treffen.

Reactie van het College 1

Voor het boekjaar 2025 willen we deze meenemen in de VIC en opnemen in het intern controleplan voor 2025 (in periode 2 en 3, dat is de VIC in de periode juni-okt en periode nov-dec). Dit is al besproken met de betrokkenen. Voor het boekjaar 2024 gaan we ook nu al een extra SPENDanalyse uitvoeren en zorgen dat deze vóór de controle door de accountant is uitgevoerd. Gebruik van een contractenregister (Middel) De gemeente hanteert geen centraal contractenregister. Wij hebben begrepen dat de gemeente hier wel mee bezig is maar nu afhankelijk is van de registratie van contracten in het zaaksysteem en de inkoopapplicatie. Het risico bestaat dat verplichtingen niet tijdig worden opgemerkt en niet volledig in beeld zijn en dat ongemerkt gemaakte financiële afspraken worden overschreden waardoor mogelijk sprake kan zijn van een (begrotings)onrechtmatigheid Wij adviseren u de mogelijkheden van het opstellen van een centraal contracten-register te onderzoeken. Aanvullend moeten mogelijk ook werkinstructies (en workflow) geschreven of aangepast worden, zodat medewerkers hiermee ook op een toereikende wijze bekend zijn. Dat vergt eenmalig een inhaalslag en daarnaast discipline om contracten goed vast te leggen. Reactie van het College In het jaar 2025 gaan we over op een nieuw zaaksysteem.

We hebben bij de aanbesteding van het nieuwe zaaksysteem ook een module aangekocht voor een centraal contractenregister. In de loop van het jaar 2025 is dit centrale contractenregister operationeel. De interne WPG audit over 2023 en 2024 is pas in het vierde kwartaal van 2024 uitgevoerd (Hoog) De interne audit in het kader van de Wet Politiegegevens (WPG) over de jaren 2023 en 2024 is pas in het vierde kwartaal van 2024 uitgevoerd door een externe partij. De rapportages van deze audits bevinden zich nog in de conceptfase en de bevindingen zijn nog niet door de organisatie opgevolgd. Het risico bestaat dat, wanneer de gemeente niet tijdig kan aantonen dat de WPG audits zijn uitgevoerd en afgerond, de Autoriteit Persoonsgegevens boetes oplegt. Daarnaast komt de gemeente onder een verscherpt toezicht te staan. Wij adviseren u dringend om de jaarlijkse WPG audit in het vervolg tijdig uit te (laten) voeren en de belangrijkste bevindingen uit de WPG audit over de jaren 2023 en 2024 zo spoedig mogelijk op te volgen. Let hierbij op dat, wanneer de kennis en capaciteit bij de gemeente Rhenen ontbreekt, de interne audit te beleggen bij een gecertificeerde externe partij (bij voorkeur een RE – certificering vereist in het kader van de specifieke expertise). Reactie van het College Over de periode 2023 en 2024 is een auditrapport opgeleverd.

Op verzoek van de auditor is naast interviews allerhande documentatie aangeleverd om te controleren of de Gemeente Rhenen zich aan de wetgeving houdt en zelf ook de wetgeving volgt. Getoetst wordt op de opzet (1), bestaan (2) en de werking (3) van de toezichtmaatregelen (TZM) zoals opgenomen in het controle framework getoetst die de wettelijke eisen van de in de Wpg (en Bpg boa) gestelde bepalingen waarborgen. De opzet (1) van de interne beheersingsmaatregelen van de gemeente Rhenen worden getoetst door het houden van interviews, het bestuderen van de documentatie en het doen van waarnemingen door de auditor. Het bestaan (2) toetst de auditor door het doen van waarnemingen en door van een aantal beheersingsmaatregelen vast te stellen of ze worden nageleefd conform de opzet. De werking (3) wordt getoetst door het houden van interviews en het bestuderen van documentatie om vast te stellen of de opzet en bestaan in werking worden gebracht. Dit alles heeft plaatsgevonden. Samengevat heeft de auditor eerst alle informatie verzamelt, en bestudeerd op compleetheid en op juistheid (voldoet de Gemeente Rhenen aan de regelgeving). Pas daarna is getoetst of de Gemeente zich aan de werkzaamheden heeft gehouden.

Dit gebeurt niet alleen door vragen te stellen, maar ook door bij de werkzaamheden mee te kijken om vast te stellen of de werkzaamheden overeenkomen met wat er op schrift is gesteld.

2

Vanaf 2025 is capaciteit geregeld voor de WPG-audit en worden de acties uit het rapport van 2023 en 2024 opgepakt. Dat geldt ook voor de WPG-audit 2025.

Actualisatie strategisch informatiebeveiligingsbeleid (Middel) Het strategisch informatiebeveiligingsbeleid van de gemeente Rhenen is gebaseerd op de BIO norm en heeft een looptijd tot en met 2024. Wij constateren dat enerzijds de looptijd van het informatiebeveiligingsbeleid afloopt na dit jaar. Tegelijkertijd ontbreken een aantal cruciale aandachtspunten. Wij adviseren u om binnen een redelijke termijn het strategisch informatie-beveiligingsbeleid te actualiseren. Daarbij is het noodzakelijk dat in ieder geval de actualiteiten inzake de invoering van de nieuwe en uitgebreidere cybersecurity standaarden (NIS2) worden verwerkt. Reactie van het Reactie van het College Zowel het beleid voor gegevensbescherming als het beleid voor informatiebeveiliging zullen in 2025 worden geactualiseerd. In deze actualisatie nemen we ook BIO2.0 en NIS2 mee. Actualisatie implementatieplan privacy (Middel) Gemeente Rhenen heeft een implementatieplan privacy 2024-2026 opgesteld. Het doel van het plan is om naar het gewenste volwassenheids-niveau 3 te groeien. Op dit niveau wordt organisatie breed gewerkt aan privacy én kan dit worden aangetoond. Wij hebben vernomen dat het plan en de daarin genoemde planning en acties, mede door het ontbreken van capaciteit en het ontbreken van een FG (Functionaris Gegevensbescherming), niet zijn gehaald en dit plan in 2025 wordt geactualiseerd.

Wij hebben vernomen dat de gemeente Rhenen inmiddels een FG heeft aangesteld die onder andere hiermee aan de slag gaat. Wij adviseren het implementatieplan privacy binnen redelijke termijn te actualiseren en acties duidelijk en concreet (bijvoorbeeld via de SMART-methode) te beschrijven. Daarnaast adviseren wij u om per actie de belangrijkste stakeholders (cluster, functie en naam) te benoemen. Ook geven wij u mee om in het plan de onderstaande cruciale aandachtspunten mee te nemen: - Richtlijnen ten aanzien van de naleving van de WPG (Wet Politiegegevens) en de planning van deze en andere audits. - Randvoorwaarden ten aanzien van de inzet van DPIA’s (Data Protection Impact Assessment). Reactie van het College Het implementatieplan ligt klaar voor uitvoering. Het ontbreekt op dit moment aan capaciteit om tot uitvoering van het plan over te gaan. Zodra capaciteit beschikbaar is (naar verwachting in de loop van het eerste halfjaar 2025) starten we met actualisatie en uitvoering van het plan. Verdieping frauderisicoanalyse (Middel) Gemeente Rhenen heeft een frauderisicoanalyse opgesteld die ook voor het boekjaar 2024 is geactualiseerd. Echter zien wij in dit document dat ‘slechts’ vier frauderisico’s van toepassing zijn en drie M&O (misbruik en oneigenlijk gebruik) risico’s.

Daarmee bestaat het risico dat de frauderisicoanalyse onvoldoende diepgang heeft en niet concreet genoeg wordt. Gezien de omvang van een organisatie als Rhenen, de aard van de dienstverlening en de vele personele wisselingen binnen de organisatie is de gemeente op meer plekken kwetsbaar. Wij adviseren om nog eens kritisch te kijken naar de diepgang van de frauderisico-analyse en deze verder uit te breiden. Wij vinden het relevant om juist ook lagere risico’s dan significant hierin mee te nemen inclusief de overwegingen. Concrete risico’s die wij missen zijn onder andere de risico’s frauduleuze verslaggeving en het oneigenlijk toe-eigenen van activa en zouden minimaal thuishoren in deze frauderisicoanalyse.

3

Reactie van het College Met de huidige capaciteit kunnen we uitvoering geven aan de frauderisicoanalyse. Met de huidige capaciteit is het niet mogelijk de frauderisicoanalyse verder te verdiepen. Opvolging risico’s in de frauderisicoanalyse (Hoog) In de door de gemeente Rhenen opgestelde frauderisicoanalyse zijn significante risico’s vertaald naar beheersmaatregelen die deze risico’s moeten mitigeren. Wij hebben echter geconstateerd dat nog geen structurele opvolging wordt gegeven met specifieke werkzaamheden ten aanzien van deze risico’s. Ook niet op het moment dat sprake is van significante frauderisico’s. Uw organisatie loopt hierdoor het risico dat binnen de interne beheersing kwetsbare plekken weliswaar worden gesignaleerd maar dat hier geen toereikende opvolging aan wordt gegeven. Juist door de inzet van gerichte werkzaamheden ten aanzien van gesignaleerde risico’s in de frauderisicoanalyse zorgt voor awareness bij medewerkers en dat collega’s in gesprek blijven over het onderwerp ‘fraude’. Wij adviseren u als volgende stap op de frauderisicoanalyse een zogeheten fraude respons te schrijven met concrete werkzaamheden gericht op het beheersbaar houden van (fraude)risico’s. Daarbij is het van belang om deze werkzaamheden periodiek uit te voeren.

Daarmee geeft u zichtbaar opvolging aan gesignaleerde risico’s waarmee ook een belangrijke preventief signaal richting de organisatie wordt afgegeven. Reactie van het College We geven opvolging aan de frauderisicoanalyse vanuit de risicomanagementgesprekken die we eind van het jaar voeren. Rapportage uitkomsten Verbijzonderde Interne Controle (VIC) (Middel) Wij hebben begrepen dat de rapportages die naar aanleiding van de uitgevoerde VIC vooralsnog niet gedeeld worden met het IMT en het College. Uit de gesprekken is naar voren gekomen dat hier nog geen concrete afspraken over zijn gemaakt. Deze rapportages bieden juist een gedetailleerd inzicht in de uitkomsten en waar verbeterkansen liggen voor de verschillende beleidsterreinen. Wij adviseren om concrete afspraken te maken met zowel de uitvoerende externe organisatie als het IMT en het College over de periodieke rapportage van VIC bevindingen. Daarmee krijgt de VIC ook een breder draagvlak binnen de organisatie en kunnen verbeteringen sneller doorgevoerd worden. Reactie van het College De tussentijdse rapportage is wel in het IMT behandeld, maar inderdaad niet in het college. Voor het verkrijgen van breder draagvlak binnen de organisatie zien we niet zozeer dat het nodig is om de tussentijdse rapportage te behandelen in het college.

Structureel en reproduceerbaar opschonen van tussenrekeningen (Middel) Wij hebben begrepen dat tussenrekeningen niet (altijd) structureel en reproduceerbaar worden geanalyseerd en opgeschoond. Het gebruik van tussenrekeningen in uw administratie is gebruikelijk, echter vraagt ook sturing. Het niet structureel en reproduceerbaar analyseren en opschonen van tussenrekeningen kan enerzijds administratieve processen onnodig complex maken. Daarnaast kan dit ook leiden tot baten en lasten die (te) laat in beeld komen en daarmee mogelijk bij kunnen dragen aan begrotingsonrechtmatigheden. Wij adviseren u om periodiek, bij voorkeur minimaal ieder kwartaal gestructureerd alle tussenrekeningen te analyseren, op te schonen en transacties die het resultaat beïnvloeden tijdig daarin te verwerken. Maak daarbij ook zichtbaar en dus reproduceerbaar op welke wijze opschoning heeft plaatsgevonden. Daarmee voorkomt u onnodige verrassingen en verhoogt dit de kwaliteit en betrouwbaarheid van de financiële rapportages omdat u minder afhankelijk bent van extracomptabele verwerking.

4

Reactie van het College We controleren wel de tussenrekeningen periodiek, maar deze controles zijn nog niet zichtbaar. Het belangrijkste is dat we het wel doen, maar inderdaad nog niet vastleggen. Deze zichtbaarheid werken we op een later moment uit. We spreken af dat we dat twee keer per jaar doen en op een later moment streven naar vier keer per jaar. Tussentijdse monitoring verlofsaldi (Middel) Wij hebben begrepen dat, mede door interne wisselingen, mogelijk onvoldoende tussentijdse monitoring plaatsvindt op verlofsaldi van medewerkers. Het risico bestaat hiermee dat enerzijds dit kan leiden tot aanzienlijke financiële verplichtingen in de vorm van een verlofvoorziening voor spaar- en bovenwettelijk verlof. Anderzijds kan ook een capaciteitsvraagstuk ontstaan op het moment dat medewerkers met omvangrijke verlofsaldo’s hier tussentijds gebruik van maken. Wij adviseren u om periodiek de ontwikkeling van individuele verlofsaldi te monitoren en opvallende ontwikkelingen te bespreken in het IMT en passende maatregelen te treffen. Reactie van het College We nemen een aantal maatregelen om in de loop van 2025 voortaan structureel te sturen op verlofsaldi. Aansluiting sub administratie legesopbrengsten (Laag) De gemeente Rhenen maakt geen periodieke aansluiting voor de diverse legesopbrengsten tussen sub administratie en financiële administratie.

Het risico bestaat dat wanneer de aansluiting achteraf jaarlijks wordt gemaakt en verschillen ontstaan, dit veel meer uitdaging geeft om verschillen uit te zoeken en te verklaren. Wij adviseren u om periodiek de aansluiting te maken tussen sub administratie en financiële administratie om daarmee tijdig eventuele verschillen in beeld te krijgen of te constateren dat leges niet of niet juist zijn opgelegd. Reactie van het College Het advies nemen we ter harte en wordt in 2025 opgevolgd. Vervolgprocedure De bevindingen en aandachtspunten zullen in een gebruikelijke follow-up lijst intern gemonitord worden. Bijlagen: Bijlage 1 Managementletter 2024 Bijlage 2 Aanbiedingsbrief Boardletter 2024 Bijlage 3 Boardletter 2024

5