IB 21 006 Bijlage Managementletter 2020.pdf

Managementletter Gemeente Rijswijk Boekjaar 2020

16/12/2020

© Baker Tilly

1

Vertrouwelijk Aan het College van de gemeente Rijswijk Bogaardplein 15 2284 DP Rijswijk December, 2020

Geachte leden van het College, Als onderdeel van de controle van de jaarrekening 2020 van gemeente Rijswijk, hebben wij de administratieve organisatie en de daarin opgenomen maatregelen van interne beheersing beoordeeld, teneinde onze controlewerkzaamheden in overeenstemming met Nederlands recht, waaronder de controlestandaarden te kunnen bepalen. De opzet en het bestaan van de interne beheersingsmaatregelen van de belangrijkste processen, inclusief de geautomatiseerde gegevensverwerking in uw gemeente zijn beoordeeld, zodat we een terugkoppeling kunnen geven over de betrouwbaarheid van de interne informatievoorziening en de jaarrekening. Onze bevindingen zijn gebaseerd op de normale werkzaamheden in het kader van de jaarrekeningcontrole. Deze brief bevat daardoor niet alle onvolkomenheden in uw gemeente, die bij een eventueel uitgebreid en hierop specifiek gericht onderzoek naar voren kunnen komen. Zoals u zult begrijpen, is de managementletter van nature kritisch. Wij rapporteren over de eventuele leemtes of mogelijkheden ter verbetering van de financiële processen, de administratieve organisatie en de daarin opgenomen maatregelen van interne beheersing.

Wij geven in deze managementletter aan op welke wijze verbeteringen van de administratieve organisatie en de daarin opgenomen maatregelen van interne beheersing kunnen worden gerealiseerd. De aanbevelingen en oplossingsrichtingen zoals beschreven in deze managementletter bieden u handvatten voor deze uitwerking. Wij hebben de concept managementletter toegelicht en besproken met de portefeuillehouder financiën en een afvaardiging van de ambtelijke organisatie. Deze managementletter is door ons opgesteld voor uw informatie en mag niet zonder onze uitdrukkelijke toestemming geheel of gedeeltelijk aan derden ter beschikking worden gesteld. Wij danken u en uw medewerkers voor de samenwerking en zijn graag bereid tot het verstrekken van nadere toelichting. Met vriendelijke groet Baker Tilly (Netherlands) N.V.

drs. R. (Rik) Opendorp RA Partner Audit

2

Inhoudsopgave

1. Management samenvatting

4

2. Aandachtspunten 2020

11

3. Bevindingen IT-beheersing

15

4. Voorbereiding rechtmatigheidsverantwoording

22

5. Overige onderwerpen

25

Bijlage Detailbevindingen

28 3

Management samenvatting 4

1. Management samenvatting Inleiding Inleiding Het kalenderjaar 2020 zal de geschiedenisboeken ingaan als een bewogen jaar, waarin de COVID-19 pandemie de dagelijkse gang van zaken domineert. Het feit dat we een crisis van deze omvang in de recente historie nog niet eerder hebben meegemaakt als ook de onbekende duur, leidt tot onzekerheden en onduidelijkheden.

Algemeen Afgelopen jaren heeft onze controle geleid tot een oordeelsbeperking op het onderdeel rechtmatigheid. Deze conclusies hebben bestuurlijke impact gehad. In de tweede helft van 2019 heeft de organisatie geïnventariseerd welke verbeteringen in de interne beheersing nodig zijn en heeft de gemeente een verbeterplan vastgesteld.

De crisis heeft niet alleen een financiële impact – COVID-19 heeft geleid tot het grootste landelijke begrotingstekort ooit - maar ook een belangrijke operationele impact. Ambtenaren zijn lange tijd niet op het gemeentehuis aanwezig geweest, overleggen zijn uitgesteld, crisismaatregelen hebben er toe geleid dat uw reguliere beleid wellicht op taken op het tweede plan is gekomen. Ook financieel gezien voelt uw gemeente in 2020 en vermoedelijk ook verder de impact van COVID-19. Daarbij valt te denken aan hogere lasten, lagere baten, onzekerheden in de omvang van steunmaatregelen en vraagstukken omtrent de rechtmatigheid van al deze componenten. Deze zaken hebben hun weerslag op uw planning&controlcyclus en daarmee ook het proces van de jaarrekeningcontrole en de daarvoor afgesproken deadlines. Partijen waar uw gemeente van afhankelijk is van informatievoorziening ten behoeve van het opstellen en onderbouwen van de jaarstukken leveren mogelijk later aan en waarschijnlijk dienen er aanvullende werkzaamheden uitgevoerd te worden, die inherent zijn aan dit crisisjaar. Wij adviseren u tijdig een inventarisatie te maken welke gevolgen Corona op uw interne planningsproces aangaande de jaarrekening heeft en in welke mate u daarin afhankelijk bent van informatie vanuit derden, zoals zorgaanbieders.

Op basis van deze analyse is het zorg om de bestuurlijke planning van het jaarrekeningproces te bepalen.

Voorgaand jaar heeft de organisatie een ‘ontwikkelagenda Bedrijfsvoering’ vastgesteld welke een doorlooptijd van drie jaar kent. In lijn hiermee constateren wij dat de oplossingen van een aantal aanbevelingen een langere doorlooptijd kennen doordat de oplossing uit meerdere stappen bestaat (bijvoorbeeld de inrichting van een verplichtingenadministratie). Wij begrijpen dit, maar adviseren u wel om voor deze actiepunten een heldere planning te maken waarin de diverse stappen (inclusief tijdspad) die genomen moeten worden uitgewerkt zijn. Dit zorgt voor een bewaking van de totale doorlooptijd van het verbeterplan.

Aandachtspunten controle 2020 Wij identificeren een aantal aandachtspunten voor de jaarrekeningcontrole 2020. Naast de aandachtspunten die voortvloeien uit onze reguliere risicoanalyse en interim-controle, zien deze ook toe op de gevolgen van COVID-19 op de interne beheersing, Tozo (Tijdelijke overbruggingsregeling zelfstandig ondernemers), recht op zorg, prestatielevering inkopen en de voorbereiding op de rechtmatigheidsverantwoording. Deze belangrijkste aandachtspunten lichten we verderop in dit verslag uitgebreid toe.

Tijdens onze controle signaleren wij dat veel aanbevelingen uit voorgaande jaren nog niet zijn opgelost. Een aantal aanbevelingen vergt ons inziens een aanpassing van ‘gedrag en cultuur’ binnen de gemeente (bijvoorbeeld de controle op prestatielevering). Wij constateren dat de gemeente procedures aangepast heeft, maar deze nog onvoldoende duidelijk zijn bij medewerkers (bijvoorbeeld vastleggen prestatielevering) of tot weerstand leidt bij medewerkers. Wij willen u vragen om aandacht te geven aan het ‘opleiden’ van medewerkers zodat zij bekend zijn met de procedures en van nut en noodzaak doordrongen raken. Wij concluderen dat op dit moment diverse risico’s nog niet of onvoldoende ondervangen zijn om vanuit de interne beheersing te kunnen concluderen dat financiële informatie betrouwbaar en rechtmatig verantwoord wordt. Dit betekent dat wij in samenwerking met de organisatie achteraf moeten vaststellen of transacties rechtmatig en getrouw tot stand gekomen zijn. Dit leid tot extra werkzaamheden achteraf die door een juiste inrichting voorkomen kunnen worden. Dit is in het verbeterplan onderkend.

5

1. Management samenvatting Inleiding Vanaf voorgaand jaar bent u ook gestart met de inrichting van een verbijzonderde interne controle. Tijdens onze interim-controle hebben wij de financieel significante processen besproken met medewerkers van uw organisatie. Overall vallen ons hierbij een aantal punten op. Wij signaleren dat er nog veel onduidelijkheid is over de verschillende verantwoordelijkheden tussen de afdelingen, financiën en control. Wij willen benadrukken dat het rechtmatig handelen een gezamenlijke verantwoordelijkheid is voor de gehele gemeente. Hierbij kunt u als organisatie keuzes maken bij de inrichting van de ‘three lines of defence’ (zie ook hoofdstuk 4). Dit betreft een gezamenlijke keuze om de omvang en impact van het aantal risico’s op totaalniveau van de gemeente tot een gewenst niveau te beperken. Uit gesprekken met de verschillende afdelingen die wij afgelopen najaar gevoerd hebben ontstaat bij ons het gevoel dat er nog te vaak gekeken wordt naar de afdeling financiën en control voor de financiële rechtmatigheid en getrouwheid van de activiteiten van de gemeente. Dit is echter een verantwoordelijkheid van het gehele management. Iedere manager is integraal verantwoordelijk voor zijn/haar afdeling.

De afdeling financiën en control dient met name vast te stellen of alle afdelingen in control zijn waarbij beheersing in de voldoende mate in de lijnprocessen is belegd. Wij willen uw aandacht vragen voor het implementeren voor het gewenste niveau van interne beheersing en implementatie en acceptatie proces hiervan binnen de diverse afdelingen. Wij signaleren dat de organisatie zoekende is met de wijze waarop de beheersing moet worden ingericht en waar welke verantwoordelijkheden liggen. Graag ondersteunen wij u hierbij met de ervaring die wij vanuit andere organisatie hebben in combinatie met de kennis van uw organisatie.

Inrichting (verbijzonderde) interne controle De bevindingen in deze managementletter zijn gebaseerd op basis van de bevindingen van de interne controle en onze eigen waarnemingen en lijncontroles. Wij constateren dat er een overall plan is voor het uitvoeren van de verbijzonderde interne controle (VIC). De VIC heeft per proces de opzet en bestaan van de maatregelen van interne beheersing in kaart gebracht. Per proces is een tussentijdse rapportage opgesteld, waarin wordt ingegaan op de stand van zaken van de opzet en het bestaan van het proces. Wij begrijpen dat uw organisatie gekozen heeft om binnen alle processen een 1e en 2e lijncontrole te implementeren. De organisatie kiest ervoor om een derde lijn controle alleen uit te voeren als er een juiste tweede lijncontrole uitgevoerd is. Doordat deze 2e lijn vaak nog in de processen ontbreekt, constateren wij dat bij veel processen de derde lijn nog niet uitgevoerd kan worden zoals beoogd. Wij constateren wel dat een derde lijn VIC uitgevoerd is. De VIC heeft in deze processen

aanbevelingen gedaan voor de 1e en 2e lijn, maar nog geen aanvullende gegevensgerichte werkzaamheden om de leemtes in de 1e en 2e lijn te ondervangen. Volgend jaar is het voor het opstellen van rechtmatigheidsmededeling wel van belang deze risico’s en constateringen op de 1e en 2e lijn te ondervangen zodat reparatie achteraf door VIC en de accountant niet nodig is. Wij adviseren u een gedegen afwegingen te maken, onder andere op basis van kosten en baten hoeveel interne beheersing per proces wenselijk is. Ondanks de aandacht van uw gemeente voor interne beheersing, zien wij dat de eerder door ons geconstateerde bevindingen weliswaar zijn opgepakt maar slechts een beperkt aantal bevindingen daadwerkelijk afgerond is.

Op onderdelen hadden wij verwacht dat het afgelopen jaar al meer stappen gezet zouden zijn en actiepunten afgewikkeld zouden zijn. Wij vragen uw aandacht voor de eerder geconstateerde bevindingen die nog niet zijn opgepakt en afgerond binnen uw organisatie, maar waar wel belangrijke risico's gelopen worden. Dit is met name van belang voor processen waar onvoldoende interne controles zijn ingebouwd en/of onvoldoende functiescheiding is ingericht. Voorts zal de vastlegging inzake de prestatielevering alsmede het opstellen van een frauderisicoanalyse prioriteit moeten krijgen. Een ontoereikende inrichting en werking van de interne beheersing maakt een financiële functie kwetsbaar hetgeen risico’s oplevert voor de betrouwbaarheid van de financiële informatievoorziening, waaronder de jaarrekening en bestuursrapportages. Wij constateren dat er binnen de procedures wel gekeken is naar fraude-elementen, maar constateren dat de overall-analyse op frauderisico’s binnen de gemeente niet is geformaliseerd. Gezien de aard en impact van fraude op een organisatie adviseren wij u om deze op te stellen en met college en auditcommissie (of gemeenteraad) de frauderisico’s te bespreken.

6

1. Management samenvatting Inleiding Risicoanalyse Onze risicoanalyse richt zich op een betrouwbare totstandkoming van de jaarrekening. Dit betekent dat wij niet alle risico’s die voor u als gemeente relevant zijn in onze controle meenemen. De risicoanalyse is een continue proces en stellen wij gedurende de controle indien nodig bij. De belangrijkste bij uw gemeente onderkende risico’s / kernpunten in de controle zijn:  Waardering van Rijswijk Buiten;  Aanbestedingsrechtmatigheid;  Risico dat het management van de gemeente de procesafspraken doorbreekt, hetgeen een standaard risico is vanuit onze beroepsregels. Dit risico ziet bij uw gemeente met name toe op de schattingsposten in de grondexploitatie en voorzieningen;  Prestatielevering van de jeugdzorg, de WMO en andere voorzieningen die vanwege COVID-19 hebben stilgelegen. In ons verslag van bevindingen rapporteren wij naar aanleiding van de jaarrekeningcontrole over bovenstaande punten.

Frauderisicoanalyse De primaire verantwoordelijkheid voor het voorkomen en detecteren van fraude berust bij het College van Burgemeester en Wethouders. Deze verantwoordelijkheid betreft ook het onderhouden van een zodanige interne beheersing om het opmaken van de jaarrekening mogelijk te maken zonder dat deze afwijkingen van materieel belang bevat als gevolg van fraude of fouten. Op basis van onze uitgevoerde interim-controle hebben wij vastgesteld dat de gemeente veel aandacht heeft voor frauderisico’s en de preventie daarvan. Per proces is in de verbijzonderde interne controle geanalyseerd of er frauderisico’s aanwezig zijn binnen de procedures. Deze rapportages zijn onderdeel van de uitgevoerde interne controles. Wij constateren dat de gemeente in gesprek is over de frauderisico’s. Deze brainstorm sessies zijn bedoelt om met elkaar zicht te krijgen op frauderisico’s en brengt integriteit opnieuw onder de aandacht bij de medewerkers van de gemeente. Wij bevelen u aan om op basis van deze kennis een formele frauderisicoanalyse voor de gemeente op te stellen en dit onderwerp met zowel college als de auditcommissie te bespreken.

7

1. Management samenvatting Bevindingen interne beheersing Administratieve Organisatie en Interne Beheersing Voorgaande jaren hebben wij tijdens onze besprekingen met u diverse aanbevelingen benoemd ter verdere optimalisering van de bestaande administratieve organisatie. In deze managementletter geven wij u een schriftelijke update van onze bevindingen omtrent de interne beheersing. Deze rapportage bevat de (significante) bevindingen en opmerkingen met betrekking tot de administratieve organisatie en interne beheersing. Tijdens de interim-controle is aandacht besteed aan de volgende processen:  Inkopen en aanbestedingen;  Betalingen;  Lonen en salarissen;  Subsidieverstrekkingen;  Grondexploitatie;  Belastingen;  Sociaal Domein (WMO, Jeugd en Participatiewet);  Omgevingsvergunningen;  Financieel afsluitproces en memoriaalboekingen. Van deze processen is de opzet beoordeeld en het bestaan vastgesteld en waar mogelijk en efficiënt is de werking van de interne beheersingsmaatregelen getest. Bevindingen In onderstaande tabel is een totaal overzicht opgenomen van het totaal aantal bevindingen: Bevindingen met prioriteit hoog

Overige bevindingen

Aantal aanbevelingen uit voorgaande jaren

4

20

Waarvan opgelost in 2020

0

-5

Wijziging prioritering van overig naar hoog

2

-2

Aantal nieuwe aanbevelingen

0

0

Aantal openstaande aanbevelingen

6

13

De bevindingen en onze aanbevelingen worden in de bijlage bij deze managementletter in detail toegelicht. Onze observaties ten aanzien van uw IT-beheersing zijn nader toegelicht in hoofdstuk 2, wij constateren dat de automatiseringsomgeving binnen de gemeente nog niet volledig voldoet aan de daaraan te stellen eisen, waardoor ten behoeve van de jaarrekeningcontrole niet gesteund kan worden op uitgevoerde controles in het systeem. Met name op het gebied van het toekennen van rechten en de mogelijkheden die behoren bij deze rechten binnen de applicaties constateren wij onvolkomenheden. Wij vragen uw nadrukkelijke aandacht hiervoor. Graag plannen we met uw automatiseringsafdeling een afzonderlijke afspraak om te kijken hoe deze stappen gezet kunnen worden, omdat de acties reeds lange tijd open staan maar in het kader van de beheersing en steunen op applicaties noodzakelijke stappen zijn om als organisatie verder te groeien. Uit het voorgaande komt naar voren dat uw gemeente op het gebied van de kwaliteit en inrichting van de administratieve organisatie en interne beheersing (AO/IB) nog belangrijke stappen moet zetten. In de bijlage rapporteren wij onze bevindingen in meer detailvorm. De conclusie is dat uw gemeente als gevolg van de tekortkomingen op het gebied van de AO/IB risico’s loopt. Daarnaast heeft deze situatie impact op de accountantscontrole.

De accountantscontrolewerkzaamheden dienen hierdoor gegevensgericht plaats te vinden in plaats van systeemgericht. Dit verhoogt de controlekosten omdat gegevensgericht bij de omvangrijke processen veel meer deelwaarnemingen worden uitgevoerd dan bij een systeemgerichte / procesgerichte controle. Wij stellen voor in overleg met de verantwoordelijken binnen uw gemeente de gevolgen hiervan te bepalen en te kijken wat de gemeente nog kan doen om de omvang van controlewerkzaamheden te beperken en de gevolgen voor het controlebudget 2020 inzichtelijk te maken.

8

1. Management samenvatting Bevindingen interne beheersing In onderstaand overzicht hebben wij onze bevindingen ten aanzien van de interne beheersing van de bedrijfsprocessen uiteengezet met daarbij de prioriteitstelling. Nr. Proces

Bevinding

Status

Prioriteit 2020

Prioriteit 2019

Sociaal domein

Evaluatie inrichting IC/VIC



-

Laag

Automatisering

Logische toegangsbeveiliging GWS4All



-

Gemiddeld

Belastingen

Controle invoer tarieven



-

Gemiddeld

Belastingen

Controle nauwkeurigheid basisgegevens rioolheffing



-

Laag

Sociaal domein – WMO

Afgeven beschikkingen



-

Gemiddeld

1

Inkopen

Verplichtingenadministratie



Hoog

Hoog

2

Inkopen

Inkoopdossiers



Gemiddeld

Gemiddeld

3

Inkopen

Prestatielevering



Hoog

Hoog

4

Betalingen

Handmatige betalingen



Hoog

Hoog

5

Monitoring

Frauderisicoanalyse



Gemiddeld

Gemiddeld

6

Monitoring

Verbijzonderde interne controle



Hoog

Gemiddeld

7

Lonen en salarissen

Controle personeelsmutaties



Gemiddeld

Gemiddeld

8

Subsidies

Coördinatie inkomende subsidies



Gemiddeld

Gemiddeld

Legenda status:

Toelichting prioriteit

 = opgelost

Prioriteit hoog: Bevinding op te lossen voor de jaarrekeningcontrole 2020

 = actie ondernomen, maar nog niet afgerond

Prioriteit gemiddeld: Bevinding op te lossen voor de jaarrekeningcontrole 2021

 = geen actie ondernomen

Prioriteit laag: Bevinding op te lossen op lange termijn

 = nieuwe bevinding

9

1. Management samenvatting Bevindingen interne beheersing In onderstaand overzicht hebben wij onze bevindingen ten aanzien van de interne beheersing van de bedrijfsprocessen uiteengezet met daarbij de prioriteitstelling. Nr. Proces

Bevinding

Status

Prioriteit 2020

Prioriteit 2019

9

Subsidies

Checklist Subsidies



Gemiddeld

Gemiddeld

10

Sociaal domein – WMO

Wijzigingen crediteurenstamgegevens zorginstellingen



Gemiddeld

Hoog

11

Sociaal domein – WMO

Controles bij automatische matching



Gemiddeld

Gemiddeld

12

Omgevingsvergunningen

Controle bouwkosten



Gemiddeld

Gemiddeld

13

Grondexploitatie

Actualisatie grondexploitatie



Gemiddeld

Gemiddeld

14

Parkeerbelasting

Monitoring volledigheid



Hoog

Gemiddeld

15

Verhuur en pacht

Volledigheid contractenadministratie



Gemiddeld

Gemiddeld

16

Monitoring

Controle memoriaalboekingen



Hoog

Hoog

17

Automatisering

Mutaties crediteurenbankrekeningnummers



Gemiddeld

Gemiddeld

18

Automatisering

Geen actief gebruikersbeheer



Gemiddeld

Gemiddeld

19

Automatisering WMO

4-ogen controle beschikking



Gemiddeld

Gemiddeld

Legenda status:

Toelichting prioriteit

 = opgelost

Prioriteit hoog: Bevinding op te lossen voor de jaarrekeningcontrole 2020

 = actie ondernomen, maar nog niet afgerond

Prioriteit gemiddeld: Bevinding op te lossen voor de jaarrekeningcontrole 2021

 = geen actie ondernomen

Prioriteit laag: Bevinding op te lossen op lange termijn

 = nieuwe bevinding

10

Aandachtspunten voor 2020 11

2. Aandachtspunten 2020 COVID-19 Zoals reeds aangegeven in de inleiding heeft COVID-19 impact op veel beleidsvelden, denk hier bijvoorbeeld aan: Sociaal domein (Tozo, continuïteitsbijdrage zorgaanbieders); Lokale infrastructuur (steun lokale instellingen); Uitvoeringslasten (handhaving, GGD, Veiligheidsregio, thuiswerkfaciliteiten); Bedrijfseconomisch (waardering deelnemingen / vorderingen, aanspraak garanties); Inkomstenderving (belastingen, leges, dividend, verkopen grondexploitaties). Wij hebben vastgesteld dat de gemeente een initiële inventarisatie heeft uitgevoerd ten aanzien van de impact die COVID-19 heeft op de gemeente. De financiële impact is echter nog niet volledig in beeld gebracht. Wellicht ten overvloede benadrukken wij graag het belang van een actuele en zo volledig mogelijke analyse. Wij identificeren een vijftal beleidsvelden die deze analyse in optiek tenminste zou moeten raken:

1) Ondersteuning (zorg, werk en inkomen): − Tozo: verantwoording in SiSa (Tozo 1, 2 en 3). Hiervoor verwijzen wij u naar de uitgebreide toelichting op de volgende pagina. − Betaalde continuïteitsbijdrage aan zorgleveranciers (WMO en Jeugdzorg): gemeenten betalen in lijn met het landelijk verzoek door, ook wanneer geen zorg geleverd wordt. Landelijk wordt gewerkt aan een verantwoordingssystematiek die gebruik maakt van een bijlage in de jaarstukken 2020 van de zorgleveranciers om gemeenten in staat te stellen te bepalen of er geen positief rendement is gemaakt op de continuïteitsbijdragen. Complicerende factor daarbij is dat de uiterlijk indieningstermijn voor de jaarstukken van zorginstellingen 1 juni is, hetgeen in het uiterste geval kan betekenen dat de gemeente daarop zou moeten wachten in het kader van haar eigen jaarrekeningcontrole. − Meerkosten sociaal domein: meerkosten worden veelal vergoed. Hoe staat het met de gemaakte afspraken met zorginstellingen en de wijze van verantwoorden? − De reguliere productieverantwoordingen blijven bestaan. Het is echter niet ondenkbaar dat de aanlevering daarvan als gevolg van corona- pandemie vertraagd zal zijn hetgeen ook de afwikkeling van de gemeentelijke jaarstukken mogelijk vertraagt.

−

Dak en thuislozen en Veilig thuis: de druk op opvang van dak- en thuislozen loopt door corona maatregelen extra op en leidt tot meerkosten, mede door 1,5-meter richtlijnen. Ook de druk op veilig thuis organisaties neemt alleen maar sneller toe door de huidige corona maatregelen (huiselijk geweld). Welke aanspraken zullen er door instanties worden gemaakt bij uw gemeente? Welke afspraken c.q. aanvullende subsidies zijn er met de uitvoerende partijen?

2) Lokale infrastructuur (sport, cultuur, media, onderwijs): − Steun aan culturele en sportinstellingen: Is sprake van gederfde inkomsten uit huur en belastingen aan zijde gemeente? Heeft de gemeente financiële compensatie door wegvallende eigen inkomsten toegezegd? Welke afspraken zijn er gemaakt en hoe wordt omgegaan met bestaande prestatieafspraken met subsidieontvangers betreffende eventuele onder realisatie van partijen? − Kinderopvang: is er binnen de gemeente sprake geweest van 24-uurs opvang? Hoe is de afrekening daarvan geregeld? − Leerlingenvervoer: De landelijke afspraak is dat gemeenten 80% doorbetalen. Welke afspraken heeft gemeente met aanbieders gemaakt? 3) Uitvoeringslasten (Handhaving, GGD-en, huisvesting): − GGD-en en veiligheidsregio’s: In uitvoering worden niet direct veel extra kosten verwacht dergelijke situaties zijn core business en qua extra kosten is de verwachting dat een groot gedeelte rechtstreeks vanuit het Rijk bekostigd zal worden, via de Wet Publieke Gezondheid (art. 62) en Besluit Publieke Gezondheid (art. 15). Sommige gemeenten verwachten nog wel later de rekening. Bijv. zorghotels die nu worden ingericht. − Handhaving corona: Extra personele inzet in verband met het handhaven van de regels voor social distancing.

De meeste gemeenten kunnen dit met bestaande capaciteit aan BOA’s af, eventueel door percelen te verbreden (alle type BOA's inzetten). Eventueel is er wel meer budget noodzakelijk, hetgeen in het kader van begrotingsrechtmatigheid relevant is. − Thuiswerkfaciliteiten/ICT/beschermingsmiddelen: Welke kosten zijn er gemaakt binnen de gemeentelijke organisatie (coronaproof werkplekken) en voor thuiswerken. Ook het 1,5 meter-proof maken van KCC’s/publieksloketten/spreekkamers brengt extra kosten met zich mee. Past dit allemaal nog binnen de bestaande c.q. aangepaste budgetten?

12

2. Aandachtspunten 2020 −

JGZ: JGZ organisaties worden via contracten gefinancierd door gemeenten. Nu liggen veel activiteiten stil. Denk aan groepsvaccinaties en een deel van de individuele screenings. Veel organisaties hebben hun artsen en verpleegkundigen uitgeleend aan de GGD en huisartsenpraktijken etc. Na de crisis zullen veel activiteiten moeten worden ingehaald. Daarvoor is mogelijk o.a. extra inhuur personeel nodig. Welke afspraken zijn er?

4) Bedrijf-economisch (SW-bedrijven, deelnemingen, vorderingen) − Sociale werkvoorziening: landelijk wordt via de koepelorganisatie (Cedris) geregeld dat omzetverlies wordt gecompenseerd. Loopt de gemeente nog risico’s door aanvullende afspraken met haar SW-bedrijf? − Beschikt de gemeente over deelnemingen die als gevolg van Corona mogelijk een lagere opbrengstwaarde hebben en derhalve in aanmerking zouden moeten komen voor een duurzaam lagere balanswaardering? − Heeft de gemeente vorderingen op partijen die door de coronacrisis in financiële moeilijkheden verkeren? Zo ja, wat betekent dit voor de inbaarheid van die vorderingen?

Tozo Als onderdeel van de Participatiewet is in maart 2020 de Tijdelijke Overbruggingsregeling Zelfstandig Ondernemers (Tozo) ingevoerd. De verantwoording van de baten, lasten en aantal aanvragen inzake Tozo 1, 2 en mogelijk 3 zal op afzonderlijke regels in de Sisa-bijlage worden opgenomen. Vanwege het verschil in het normenkader dient het onderscheid per Tozo regeling zowel in de aanvragenadministratie als in de uitkeringenadministratie geregeld te zijn. Bij de aanvraag en uitkering was een snelle verwerking vaak van groot belang. Dit kan echter consequenties hebben voor de controle achteraf. Belangrijke elementen bij deze controle is het bepalen van de omvang, het beoordelen van de volledigheid en juistheid van de aanvraag, het uitvoeren van een inlichtingenplicht, eventuele nabetalingen of terugvorderingen en de evaluatie van de bevindingen. Wij zijn op dit moment in overleg met de gemeente om de aantallen en financiële omvang van ToZo 1, 2 en 3 te bepalen zodat gestart kan worden met de controlewerkzaamheden.

5) Inkomstenderving (heffingen, leges, deelnemingen) − Welke afspraken zijn er gemaakt met partijen over uitstel van huur, belasting of leges? − Zijn er gevolgen voor de begrote dividenden en winstuitkeringen? − Wat is de verwachte impact op de afzetplanning en prijsontwikkeling van de grondexploitaties? − Is er voldoende rekening gehouden met lagere opbrengsten eigen bijdrage in de WMO? Wij verzoeken u dan om de analyse voor het einde van het jaar uit te voeren. Wij zullen de uitkomsten van uw analyse meenemen in onze risicoafweging en controleaanpak en verwachten dat de analyse en impact beschikbaar is tijdens de jaarrekeningcontrole.

13

2. Aandachtspunten 2020 Prestatielevering inkopen Op 24 juli 2020 is de BADO-notitie ‘Vastlegging en onderbouwing prestatielevering bij inkopen door decentrale overheidsorganisaties’ verschenen. Vorig jaar hebben wij u reeds gewezen op dit onderwerp en bevindingen gerapporteerd in onze managementletter. Wij vragen u kennis te nemen van deze notitie en de vereisten inzake functiescheiding, de controle en documentatie van de prestatielevering. Wij willen u wijzen op het belang van deze notitie mede in relatie tot fraudegevallen zoals geconstateerd bij diverse gemeenten. Wij voeren graag tijdig overleg met u over de (interne) controle van prestatielevering. Afhankelijk van de uitkomsten (aard van de fouten en onzekerheden) kan dit leiden tot een verdere uitbreiding van de deelwaarneming en extra werk. Rechtmatigheidsverantwoording Met ingang van het boekjaar 2021 moet het College naar alle waarschijnlijkheid een rechtmatigheidsverantwoording opnemen in de jaarrekening. De accountant dient vervolgens de getrouwheid van deze verantwoording te toetsen. De bewijslast inzake de rechtmatigheid wordt hiermee verplaatst van de accountant naar het College.

De belangrijkste aandachtspunten ter voorbereiding zijn:  Afstemming reikwijdte met de raad;  Juiste opzet normenkader en toetsingskader;  Adequaat vastleggen van procesbeschrijvingen;  Opzetten controle-plan inclusief uitwerking risicoanalyse;  Adequaat werkprogramma ter uitvoering VIC. Wij hebben begrepen dat de gemeente Rijswijk momenteel bezig is met het verder op orde brengen van deze punten. Wel willen wij benadrukken dat ten aanzien van de (verbijzonderde) interne controle nog belangrijke stappen moeten worden gezet. In hoofdstuk 4 geven wij u een eerste indruk van de status van uw VIC werkzaamheden in relatie tot de interne beheersing binnen uw primaire en secundaire processen.

14

Bevindingen IT-beheersing 15

Algemeen

Werkzaamheden Op basis van de door ons uitgevoerde werkzaamheden hebben wij onze inschatting van de kwaliteit van uw IT systeem en/of applicatie opgenomen. Hierbij hebben wij de volgende onderverdeling gemaakt om de kwaliteit weer te geven: Op dit moment voldoende

IT General Controls Veel handelingen die binnen organisaties plaatsvinden, worden geregistreerd door middel van automatisering. Daarbij zijn diverse interne beheersingsmaatregelen steeds vaker geautomatiseerd in softwarepakketten. Wij onderzoeken daarom de algemene onderwerpen rondom de beheersing van uw IT omgeving en rapporteren daarover in de navolgende pagina’s.

Benodigd verbetering op (korte) termijn Urgente verbetering vereist Let op: de onderwerpen die niet gerelateerd zijn aan toegangsbeveiliging en wijzigingsbeheer volgen uit interviews en hierop zijn door ons over het algemeen geen testwerkzaamheden uitgevoerd om vast te stellen dat de IT-omgeving is ingericht zoals ons voorgesteld is. Dit beperkt de zekerheid die u kunt ontlenen aan de door ons beschreven aandachtspunten. De mate van risico die u als organisatie loopt bij constateringen verschilt per aandachtsgebied. Een grafische inschatting van de impact op de controle en op uw organisatie vindt u in onderstaande afbeelding.

Impact op de controle

Voor u ligt het managementletter onderdeel gebaseerd op onze IT-auditwerkzaamheden welke zijn uitgevoerd in het kader van de jaarrekeningcontrole voor over het boekjaar 2020. In dit onderdeel van de managementletter staat welke activiteiten we hebben uitgevoerd, wat onze bevindingen zijn voor de controle, maar ook welke interessante ontwikkelingen en kansen wij zien voor uw organisatie voor nu en in de toekomst.

Toegangsbeveiliging

Wijzigingsbeheer Overige punten

Adviespunten zonder directe impact Het is voor ons van belang om inzicht te krijgen in de verantwoordelijkheden die binnen de organisatie zijn ingericht – of met andere organisaties overeen zijn gekomen (uitbesteding) – ten aanzien van de beheersing van de IT omgeving. Hierbij kijken wij naar beleidsstukken ten aanzien van IT strategie, beveiliging en functiescheiding. Ook de interne beheersingsmaatregelen die al dan niet zijn ingericht binnen de IT omgevingen zijn onderdeel van onze scope. Indien maatregelen periodiek worden uitgevoerd kunnen wij hier gebruik van maken in de jaarrekeningcontrole. Deze adviespunten hebben niet een directe impact op onze controlewerkzaamheden, maar zijn wel wenselijk. Toegangsbeveiliging Bij het toetsen van ‘toegangsbeveiliging’ wordt onderzocht of de inrichting van de IT-omgeving de authenticiteit van de gebruiker van een gebruikersaccount borgt. Vervolgens onderzoeken wij de mogelijkheden voor het ‘steunen’ op autorisaties en de processen rondom het verstrekken, muteren en ontnemen van autorisaties binnen de omgeving. Wanneer de randvoorwaarden hiervoor voldoende aanwezig zijn, kunnen wij in de controle gebruik maken van ingerichte functiescheiding in het systeem.

Wijzigingsbeheer (Change management) Bij het toetsen van ‘wijzigingsbeheer’ wordt vastgesteld dat wijzigingen aan de applicatie op gestructureerde en gecontroleerde wijze worden doorgevoerd. Voor uw organisatie heeft wijzigingsbeheer ten doel om te voorkomen dat applicaties zich niet gedragen zoals u verwacht na een wijziging in de software, resulterend in , wellicht niet opgemerkte, (financiële) gevolgen.

Impact op uw organisatie 16

IT adviespunten zonder directe impact op de controle Beleid en plannen Beleid Binnen uw organisatie is geen uitgewerkt IT beleidsplan aanwezig, waarin de uitgangspunten voor IT beheer en ontwikkelingen zijn beschreven. Het is niet mogelijk om zonder een beleidsplan monitoring op basis van een plan-do-check-act cyclus toe te passen binnen uw organisatie. Wij adviseren u de voorgang van de implementatie te bewaken en het plan tijdig aan te passen aan de invoering van de BIO.

Uitvoering Beheersing van incidenten Om de performance van uw IT systemen en eventueel de performance van uw IT dienstverlener te monitoren, is registratie van de incidenten en problemen van belang. Hierdoor verkrijgt u inzicht in de performance van uw systemen, maar ook van uw IT organisatie en kunt u waar nodig uw beleidsplan corrigeren. Middels interviews met de applicatiebeheerders hebben wij vernomen dat u beschikt over een ticketsysteem, maar dat incidenten en meldingen niet altijd in dit systeem geregistreerd worden. Wij adviseren u registratie en afhandeling ban incidenten structureel vast te leggen om zo verbetering door middel van de plan-do-check-act cyclus mogelijk te maken

Uitvoering beheersingsmaatregelen IT Op verschillende vlakken worden (nog) geen toetsbare beheersingsmaatregelen uitgevoerd binnen uw organisatie. Denk aan:

Verantwoordelijkheden en functiescheiding Wij verwachten dat binnen uw organisatie duidelijke afspraken zijn gemaakt ten aanzien van verantwoordelijkheden over uitvoering en strategie op het gebied van IT. We hebben vernomen dat dit het geval is. Het informatiebeveiligingsbeleid is beschreven welke zaken de verantwoordelijkheid van de gemeente Rijswijk zijn en welke zaken onder het beheer van de Gemeente Delft vallen. In de meest recente DVO zijn hierover duidelijke afspraken gemaakt.

Daarnaast verwachten wij dat binnen uw organisatie op basis van een risicoanalyse organisatie breed is nagedacht over kritische functiescheiding. Dit resulteert in rollen op basis waarvan o.a. autorisaties in applicaties toegekend kunnen worden. Hoewel wij geconstateerd hebben dat u op bepaalde gebieden binnen processen heeft nagedacht over functiescheiding, is er geen organisatie brede functie-autorisatiematrix beschikbaar. Wij adviseren u organisatie breed op basis van een risicoanalyse te kijken naar kritische functiescheiding en de daaruit resulterende functie-autorisatiematrix te gebruiken als basis voor de toekenning van autorisaties binnen de verschillende applicaties.

-

Procedure voor wijzigingsbeheer (zie ook punt ‘Wijzigingsbeheer’); Procedure rondom uitgifte en controle op unieke en individuele gebruikersnamen; Periodieke controle op actieve gebruikers; Periodieke controle op inrichting van wachtwoordbeleid; Periodieke controle op inrichting van rechten in het systeem conform beleid.

Deze procedures en daaruit volgende controlemaatregelen zorgen ervoor dat uw organisatie grip houdt op de IT-omgeving en faciliteren dat de randvoorwaarden, die de effectiviteit van ingerichte beheersingsmaatregelen beïnvloeden, van voldoende niveau zijn. Wij adviseren u periodieke controles uit te voeren op met name de juiste inrichting van wachtwoorden en rechten en rollen en de uitvoering hiervan toetsbaar vast te leggen. Tevens adviseren wij u een gestructureerde manier van testen waar de nodige vastleggingen in worden gedaan te hanteren.

IT adviespunten zonder directe impact op de controle Continuïteitsmaatregelen Recovery Point objective (RPO): De RPO is het punt in de tijd tot waar men minimaal de gegevens moet kunnen herstellen. Het is dus de acceptabele hoeveelheid aan dataverlies uitgedrukt in tijd.

Beveiliging De beveiliging van de IT-omgeving delen wij op in verschillende aspecten, welke wij hieronder hebben weergegeven.

Back-ups: Wij hebben vernomen dat back-ups periodiek en incrementeel worden gemaakt en extern worden opgeslagen. Daarnaast hebben we vernomen dat er controle op de volledigheid van back-ups wordt uitgevoerd. Wij achten de genomen maatregelen omtrent dit proces van voldoende niveau. Daarnaast zijn er heldere afspraken en service-levels overeengekomen in de DVO.

Fysieke beveiliging: De serverruimtes zijn voorzien van diverse beveiligingsmaatregelen ten aanzien van temperatuur, klimaat en brandrisico’s. We hebben vernomen dat dit voor beide hosting locaties geldt.

Recovery Time Objective (RTO): Een RTO is de tijd waarna een proces/middel na een onderbreking moet teruggebracht zijn op een aanvaardbaar niveau, om een onacceptabele impact op de organisatie te vermijden Recovery: Middels interview met functionarissen van de Gemeente Delft vernomen dat er periodieke recoverytests worden uitgevoerd. De processen hieromtrent zijn helder en liggen vast in de DVO.

Uitwijk: Middels interview met functionarissen van de Gemeente Delft vernomen dat er uitwijkmogelijkheden zijn ingericht en dat deze periodiek virtueel worden getest. Ook hierover zijn duidelijke afspraken gemaakt welke in de DVO vastliggen.

Remote access: Voor het extern inloggen wordt gebruik gemaakt van two-factor authenticatie, waarmee het risico op ongeautoriseerde inlogpogingen wordt verlaagd. We hebben vernomen dat dit intern bij gemeentelijke kantoren niet benodigd is. Wij achten het raadzaam two-factor authenticatie voor alle locaties door te voeren.

Preventie: Een firewall en virusscanner zijn aanwezig. We hebben vernomen dat functionarissen van de Gemeente Delft actief zorgdragen voor het beheer hiervan.

Monitoring: We hebben vernomen dat functionarissen van de Gemeente Delft gebruik maken van diverse monitoringtools. Hiermee houdt men zicht op de succesvolle werking van maatregelen t.b.v. continuïteit. Daarnaast wordt hiermee actief zorg gedragen voor preventie en beveiliging.

Toegangsbeveiliging Wij onderscheiden vijf bouwstenen ten aanzien van toegangsbeveiliging, waarbij bouwstenen gestapeld, naast een sterke IT beheersing, ook de meeste controlezekerheid oplevert. Beperkingen in de onderliggende steen, zorgt voor een verzwakking van de bovenliggende stenen. Een toelichting:

Onze verwachting Beheersen mutaties: Wanneer de gewenste situatie is ingericht, verwachten wij een beheerst proces ten aanzien van het toekennen, ontnemen en wijzigen van rechten inclusief monitoring en controle.

Gewenste situatie: Iedere organisatie zal moeten bepalen wat de “SOLL-positie” is ten aanzien van rechten, met name gericht op kritische functiescheidingen

Hoge rechten: Voor het beheersen van autorisaties is het cruciaal dat de rechten tot het aanpassen van rechten zijn beperkt tot medewerkers die geen belang hebben bij aanpassingen.

Wachtwoorden: Sterke, regelmatig wijzigende wachtwoorden voor applicaties en databaseszijn de basis voor toegangsbeveiliging, samenhangend met bewustzijn bij medewerkers.

Databases: Basis voor toegangsbeveiliging van een applicatie is dat de applicatie de enige toegangspoort is en dat niet rechtstreeks op de database gemuteerd kan worden.

Uw Organisatie Wij hebben vastgesteld dat er een geformaliseerd proces is voor het toekennen van rechten binnen applicatie. Voor het netwerk en de applicaties Suites en WMOned worden wijzigingen in rechten niet gelogd. Voor WMONed en Key2Financiën wordt de inrichting van rollen en rechten niet periodiek beoordeeld.

Wij hebben vastgesteld dat er een geformaliseerd proces is voor het toekennen van rechten binnen applicatie. Er is echter geen norm waaraan accounts kunnen worden getoetst, aangezien er geen functie-autorisatie matrix beschikbaar is. Voor Suites is een beheerder bijgesprongen in het operationele Tozo-proces. Voor WMONed waren een deel van het jaar de hoge rechten belegd bij een functionaris die operationeel betrokken was in het proces. In Key2Financiën is een generiek account met hoge rechten, waarbij onduidelijk is wie dit account beheert. Hierdoor kan ingerichte functiescheiding doorbroken worden. Wachtwoorden voor Key2Financiën zijn onbeperkt herbruikbaar en hoeven dus de facto nooit gewijzigd te worden. Op het netwerk zijn verschillende accounts waarvan het wachtwoord niet verloopt. Dit heeft een verhoogd risico tot ongeautoriseerde toegang. Voor Suites en WMOned is de basis op orde. De databases voor WMOned, Key2Financiën en Suites voor het Sociale Domein zijn niet voorzien van passende wachtwoordeisen. Wij adviseren u de wachtwoordeisen aan te scherpen.

19

Wijzigingsbeheer Bij het doorvoeren van wijzigingen in software-omgevingen ontstaan risico’s voor de bedrijfsvoering van uw organisatie. Wij verwachten daarom dat het proces voor wijzigingen een proces doorloopt, waarmee de risico’s die gelopen worden, zijn ingeschat, worden geadresseerd en dat hierop maatregelen genomen worden. Wij hebben onderstaand aangegeven wat wij verwachten per fase en wat wij hebben geconstateerd tijdens onze controle (deels op basis van interview) en of dit overeen komt met de verwachting. Opstellen testplan en -aanpak: Vanuit de geïdentificeerde risico’s kan een testplan worden gemaakt waarin de te testen elementen van de software benoemd zijn evenals de inhoudelijk uit te voeren testwerkzaamheden op deze elementen. Belangrijke elementen hierin zijn go/no-go momenten, het maken van een back up voor implementatie, wat te doen als een implementatie mislukt en de impact op de organisatie (opleiden van medewerkers). Uw situatie: Wij hebben vernomen dat uw organisatie niet beschikt over een sjabloon waarin bovenstaande punten zijn opgenomen. Wij adviseren u dit proces te formaliseren. We hebben vernomen dat vaste testplannen zijn opgesteld voor wijzigingen in Suites, maar er nog niet de mogelijkheid geweest is om deze toe te passen.

Gebruikersacceptatie: Een wijziging is pas effectief als deze niet alleen is geaccepteerd vanuit een technisch oogpunt, maar ook vanuit de gebruikersorganisatie. Wij verwachten daarom een formele goedkeuring vanuit de gebruikersorganisatie, zowel voor implementatie als na de implementatie Uw situatie: Wij hebben vernomen dat de applicatiebeheerder namens de vakafdeling een functionele test uitvoert. Dit wordt veelal gedaan op basis van zijn/haar kennis van het proces. Alleen bij WMONed wordt de vakafdeling hier bij betrokken. Wij adviseren de vakafdeling testen te laten uitvoeren en goedkeuring te laten geven voor implementatie aangezien zij de experts zijn op het betreffende proces.

1. Risicoinschatting

Risico-inschatting: Voor iedere software wijziging is het relevant om te beoordelen wat de risico’s zijn die de wijziging met zich mee brengt voor de hoofdprocessen én welke geïdentificeerde technische en organisatorische wijzigingsrisico’s worden geraakt bij het uitvoeren van de change, waaronder maatwerk. Per wijziging worden vastgesteld welke nieuwe of gewijzigde functionaliteit een risico vormt voor een goede werking van uw bedrijfsvoering. Uw situatie: Wij hebben geen concrete risicoanalyse bij uw organisatie geïdentificeerd. Hiermee is de kans groot dat bepaalde risico’s in beperkte mate of geheel niet ondervangen zijn in het proces.

2. Opstellen testplan en -aanpak

3. Testen en documenteren

Testen en documenteren: Softwarewijzigingen kunnen gestructureerd worden getest, na het correct uitvoeren van de voorgaande twee stappen. Een vastlegging van testwerkzaamheden is van belang voor de aantoonbaarheid en controleerbaarheid van de uitgevoerde stappen. Uw situatie: Het uitvoeren van testen is ogenomen in uw wijzigingsbeheerproces. Wij hebben echter vernomen dat er beperkte vastlegging van testwerkzaamheden plaatsvindt. Wij adviseren u deze werkzaamheden uitgebreider en structureler vast te leggen.

4. Gebruikersacceptatie

20

Samenvatting ‘General IT’ De conclusies die wij op basis van onze werkzaamheden trekken over de algemene inrichting van IT bij uw organisatie, delen wij op deze pagina met u. Uit de stoplichten valt op te maken in hoeverre we gebruik kunnen maken van de randvoorwaarden die binnen uw organisatie aanwezig zijn voor de controle. Authenticatie Door middel van authenticatie wordt geborgd dat de gebruiker zichzelf kan identificeren binnen een geautomatiseerde omgeving. Kort gezegd: de gebruiker toont aan dat hij/zij inlogt met een eigen persoonsgebonden account en daarmee is wie hij/zij claimt te zijn. Wij scharen onder dit onderwerp met name wachtwoordvereisten en herleidbaarheid van accounts.

Key2Financiën

Suites voor het Sociaal Domein

WMOned

Netwerk

Autorisatie Op het gebied van autorisatie zijn verschillende vormen van diepgang te definiëren. Wat wij onderzoeken als het gaat om de randvoorwaarden rondom autorisatie, zijn de rechten die de mogelijkheid bieden om autorisatiestructuren te wijzigen en of deze rechten belegd zijn bij functionarissen met een onafhankelijke positie ten opzichte van de jaarrekening. Daarnaast is een effectieve procedure voor het wijzigen van rechten noodzakelijk.

Wijzigingsbeheer Gedurende een (boek)jaar worden wijzigingen doorgevoerd in de IT-omgeving van uw organisatie. Wanneer deze wijzigingen een impact hebben op de functionaliteiten of rapportages die een rol spelen in de jaarrekening (en uw organisatie deze niet signaleert), heeft dit gevolgen voor de controlewerkzaamheden. Wij beoordelen dit onderdeel door te steunen op uw procedure of werkzaamheden uit te voeren op documentatie vanuit de leverancier.

N.v.t

21

Voorbereiding rechtmatigheidsverantwoording 22

4. Voorbereiding rechtmatigheidsverantwoording Three lines of defense model Wij rapporteren via de 3 lines of defense model. Dat wil zeggen dat wij binnen de processen nagaan op welk niveau in de organisatie de interne beheersmaatregelen worden ondervangen. De volgende niveaus worden hierbij onderkend: 1e lijn: in het primaire proces, onder verantwoordelijkheid van de proceseigenaar. 2e lijn: in de ondersteunende processen zoals financiën en control, waar checks and balances ingericht zijn om fouten te signaleren. 3e lijn: in uw verbijzonderde interne controle achteraf. Indien de beheersmaatregelen in de 1e en/of 2e lijn adequaat zijn ingericht dan is de organisatie optimaal in control en is een voornamelijk systeemgerichte controleaanpak mogelijk. Indien dit niet het geval is kan dit gecompenseerd worden door de gegevensgerichte werkzaamheden van de VIC. Wij constateren dat u afgelopen jaar aan de slag gegaan bent met het inrichten van de VIC. De inhoud van deze VIC is gericht geweest op het toetsen van opzet en bestaan van de 1e en 2e lijn controles binnen de diverse afdelingen. Bij veel processen (zie schema hieronder) constateren wij dat er nog verbeteringen nodig zijn in de 1e en 2e lijn. In 2020 is ervoor gekozen om vanuit de 3e lijn geen aanvullende werkzaamheden te verrichten op het moment dat de 1e of 2e lijn onvoldoende was.

In het kader van de rechtmatigheidsverantwoording dient in ieder geval de 3e lijn (VIC) toereikend te zijn. Hoe beter de beheersing in de 1e of 2e lijn hoe minder uitgebreid de werkzaamheden in de 3e lijn plaats hoeven vinden. Onderstaand overzicht geeft een beeld over de mate van beheersing en controle van uw gemeente. Gezien de genoemde constatering hebben wij de beheersing van derde lijn hierbij nog niet meegenomen. Nr.

Proces

1e lijn

2e lijn

Opmerking / toelichting

1

Inkopen en betalingen

◆

◆

De beheersing rondom vastlegging prestatielevering is nog onvoldoende om hierop te kunnen steunen. Wij signaleren dat de ‘kennis’ van prestatieleveringen nog beperkt binnen uw organisatie aanwezig is. Wij vragen hiervoor u aandacht. Met de uitvoering van een interne controle is gestart.

2

Sociaal Domein (Participatiewet, WMO, Jeugd)

◆

◆

Er is bewust gekozen om geen volledige toetsing uit te voeren op af te geven beschikkingen. De uitkeringen ‘ToZo’ zijn nog niet in de 2e lijn of 3e lijn betrokken. Hiervoor vragen wij u aandacht.

◆

Medio 2020 is een medewerker geworven die de taak van subsidiecoördinator op zich neemt. De organisatie is bezig met de implementatie van een subsidieregister. Op dit moment ontbreekt een ‘register’ om de volledigheid en nauwkeurigheid te kunnen vaststellen.

3

Subsidies

◆

Legenda status: ◆ = geen bevindingen, enkel aanbeveling ter verdere optimalisatie ◆ = één of enkele bevindingen met geringe impact resteren ◆ = meerdere bevindingen en aanbevelingen met mogelijk grote impact

23

4. Voorbereiding rechtmatigheidsverantwoording Three lines of defense model 1e lijn

2e lijn

Nr.

Proces

Opmerking / toelichting

4

Belastingen

◆

◆

Begin 2020 is een nieuwe procescoördinator aangesteld. Het proces is opnieuw beschreven. Wij constateren dat controles wel uitgevoerd worden, maar dit is nog onvoldoende zichtbaar.

5

Personeel

◆

◆

Wij constateren dat controles in de 1e en 2e lijn onvoldoende zichtbaar zijn en binnen het proces onvoldoende prioritering ligt bij de uitvoering van deze controles

6

Omgevingsvergunningen

◆

◆

Er vinden onvoldoende controles in de 1e lijn plaats, zie hiervoor ook onze detailbevindingen.

7

Grondexploitatie

◆

◆

Gezien de beperkte omvang van de projectorganisatie is functiescheiding niet altijd mogelijk binnen de 1e of 2e lijn.

8

Aanbestedingsrechtmatigheid

◆

◆

Er is voor gekozen om geen controle af te dwingen in de 1e lijn. De organisatie is gestart met het opzetten van een spendanalyse. Gezien status van deze analyse hebben wij tijdens de interim-controle deze analyse nog niet beoordeeld.

9

Begrotingsrechtmatigheid

◆

◆

Wij constateren dat budgetoverschrijdingen veelal toegelicht en gemonitord worden vanuit de tweede lijn in plaats van de eerste lijn.

10

Bijzondere boekingen (memoriaalboekingen)

◆

◆

Wij constateren dat er geen zichtbare controle plaatsvindt op de memoriaalboekingen.

Uit bovenstaand beeld komt naar voren dat wij nog niet op de processen kunnen steunen maar in samenwerking met de VIC een gegevensgerichte aanpak hanteren. Wij bespreken uiteraard graag met u de mate van beheersing en uw gewenste ambitieniveau.

24

Overige onderwerpen 25

5. Overige onderwerpen Aanbestedingsrechtmatigheid Wij constateren dat de controle op de aanbestedingsrechtmatigheid in 2018 en 2019 meer tijd van uw en onze organisatie heeft gekost en geleid heeft tot diverse controlebevindingen. Belangrijke oorzaak hiervan is dat de gemeente geen centraal zicht heeft op de juiste naleving van de naleving van de (Europese) aanbestedingsregelgeving. Daarnaast heeft de Sectorgroep Decentrale Overheden (SDO) begin 2019 de notitie ‘Uitvoering van de controle op aanbestedings-rechtmatigheid bij de jaarrekeningcontrole van decentrale overheden’ gepubliceerd, waarin een aanscherping van de controle op de aanbestedingsrechtmatigheid is opgenomen. Wij adviseren u in het kader van de voorbereiding op de door u op te stellen spendanalyse over 2017-2020 kennis te nemen van deze notitie. Vanzelfsprekend adviseren wij u ook om de beheersing op de naleving van de aanbestedingsregelgeving aan te scherpen.

Waardering grondexploitaties Bij de gemeente Rijswijk is sprake van een significante grondexploitatie RijswijkBuiten. Gezien de financiële omvang van dit project ten opzichte van de totale financiële lasten en opbrengsten controleren wij de waardering van RijswijkBuiten met bijzondere diepgang. Wij vragen in dat kader specifieke aandacht voor de volgende punten: −

− − −

Ten behoeve van onze jaarrekeningcontrole is het noodzakelijk dat u een gedetailleerdere en onderbouwde spendanalyse oplevert. Gezien de (enorme) impact op de werkzaamheden die u moet voorbereiden en de controles die wij uit voeren vragen wij u de analyse tijdig op te leveren. Wij vragen daarbij expliciet aandacht voor een toereikende analyse op alle uitgaven die gedurende de periode 2017-2020 hoger zijn dan € 214.000 (exclusief btw) en over 2020 hoger zijn dan € 53.500 (exclusief btw). Deze topdown analyse dient tenminste de volgende stappen te bevatten. Wij constateren dat de gemeente gedurende de interimcontrole gestart is met deze analyse. Gezien de aanzienlijke tijdsinspanning dringen wij er op aan hier tijdig mee te beginnen. Om dit punt echt te borgen is het noodzakelijk een verplichtingenadministratie op te zetten waarbij digitaal de gehanteerde inkoopprocedure als stappenplan vast te leggen (omvang in tijd en bedrag alsmede gevolgde procedure). Hierdoor kan u vanuit het systeem eenvoudiger toetsen of de procedure rechtmatig is en kan achteraf op basis van een analyse de risico dossiers beoordeeld worden in plan van de nu tijdsintensieve spnendanalyse.

− −

Programma/planning: actuele onderbouwingen op basis van marktrapporten of externe onderzoeken van zowel het aanbod als de vraag, met bijbehorende realistische planningen. Prijs: deugdelijke en actuele onderbouwingen van (marktconforme) grondprijzen. Parameters: onderbouwen marktconforme kosten- en opbrengstenstijging voor korte en middellange termijn. Planontwikkelingskosten: inzichtelijke en project specifieke onderbouwingen van de planontwikkelingskosten (zowel plankosten als de kosten van Voorbereiding & Toezicht). Civieltechnische werken: geactualiseerde en degelijk onderbouwde civieltechnische ramingen, navolgbaar aansluitend op de laatste stand van de planvorming. Risicoanalyse: gefundeerde risicoanalyse mede ter onderbouwing van een eventuele project specifieke risicoafslag bij de tussentijdse winstneming.

Wij hebben vernomen dat uw gemeenteraad binnenkort besluit neemt tot inpassen van het Marktprogramma van Pasgeld-West in RijswijkBuiten. Wij adviseren u om bij de actualisatie rekening te houden met de financiële consequenties van deze besluiten.

Verder vragen wij u een detailanalyse op te stellen inzake de inschattingen met betrekking tot jaarschijf 2020 en 2021, versus de daadwerkelijke realisatie in 2020 en 2021, tot de start van de controle. Daarnaast vragen wij u afwijkingen in de totale ingeschatte baten en lasten per project te analyseren. De belangrijke afwijkingen dienen nader te worden toegelicht en onderbouwd.

26

5. Overige onderwerpen Volledigheid opgelegde naheffingsaanslagen parkeerbelasting Tijdens onze controle vernamen wij dat de naheffingsaanslagen van parkeerbelasting in 2020 niet volledig geïnd zijn. De ontstane achterstand in verzending is veroorzaakt door het ontbreken van het vereiste SNG-certificaat en gewijzigde mandatering van de deurwaarder. Het gaat om aanslagen die al langere tijd geleden opgelegd zijn. In het kader van de jaarrekeningcontrole verzoeken wij u:  

Inzichtelijk te maken welke aanslagen nog niet opgelegd zijn en wat hier de financiële impact van is; en Na te gaan of deze aanslagen op basis van de verordening nog opgelegd kunnen worden.

Aansluitingen subadministratie Bij de jaarrekening controle 2019 constateerden wij dat het een uitdaging was om een aansluiting te krijgen tussen de financiële administratie en de subadministraties. Wij willen benadrukken dat deze aansluiting een randvoorwaarde is voor het uitvoeren van onze controles. Wij hebben begrepen dat de organisatie dit actiepunt onderhanden heeft. Bij de controle verwachten wij ten minste een aansluiting met de volgende administraties:         

Subadministratie Participatiewet; Subadministratie WMO; Lasten en overlopende posten met opgave Serviceorganisatie Jeugdhulp Haaglanden; Subadministratie belastingopbrengsten; Personeelsadministratie; Subadministratie omgevingsvergunningen; Opbrengsten parkeerbelastingen (opgave derden); Aansluiting startersleningen met opgave derden; Huuropbrengsten met het contracten register.

Voorziening groot onderhoud Wij hebben vastgesteld dat er een nieuw onderhoudsplan is vastgesteld door de gemeenteraad. De hoogte van de periodieke toevoeging aan de voorziening wordt bepaald op basis van dit beheerplan, maar dient minimaal gebaseerd te zijn op de onderhoudslasten die in het beheerplan zijn opgenomen voor het begrotingsjaar plus de drie jaren van de meerjarenraming. Lasten van groot onderhoud kunnen alleen dan ten laste van een gevormde voorziening worden gebracht, indien er een recent beheerplan van het kapitaalgoed aanwezig is waarin deze lasten zijn opgenomen. Ten behoeve van het opstellen van de jaarrekening willen wij u vragen om de uitgaven hierop te toetsen.

Onder recent wordt een beheerplan verstaan van maximaal vijf jaar oud. Deze vijf jaar dient te worden gehanteerd als richttermijn waar gemotiveerd van kan worden afgeweken. Een gemotiveerde afwijking houdt in dat deze motivatie is geautoriseerd door de Raad en verantwoord is in de paragraaf ‘Onderhoud kapitaalgoederen’. Binnen deze vijf jaar bestaat wel de verplichting om het beheerplan tussentijds bij te stellen, indien het beheerplan in belangrijke mate niet meer aansluit bij de actuele situatie van staat van het onderhoud.

In geval van achterstallig onderhoud, waarbij sprake is van kapitaalvernietiging en/of onveilige situaties, moet een voorziening worden gevormd. Wanneer de gemeente over onvoldoende middelen beschikt om een voorziening te vormen, moet het achterstallig onderhoud, daadwerkelijk en financieel, binnen een termijn van maximaal vier jaar worden ingelopen.

27

Bijlage Detailbevindingen 28

Detailbevindingen interim-controle Uitleg opbouw management letter In deze bijlage zijn de detailbevindingen opgenomen. Per bladzijde van deze bijlage is een bevinding opgenomen met daarbij het risico en een aanbeveling. Bij elke bevinding staat het boekjaar van de eerste vermelding aangegeven samen met de gradatie van de constatering. Bij de prioriteit staat de mate van belangrijkheid en urgentie (hoog, gemiddeld, laag).

Boekjaar Boekjaar eerste vermelding

Prioriteit Urgentie en belang van de bevinding

De kleur van de het symbool geeft de status van de constatering aan.  = opgelost  = actie ondernomen, maar nog niet afgerond  = geen actie ondernomen  = nieuwe bevinding

Update 2020: In dit blok wordt een update gegeven van de status van de bevindingen uit voorgaande jaren.

Bevinding /risico/aanbeveling / gevolgen jaarrekeningcontrole

Bevinding

Risico

Aanbeveling

In dit blok wordt aangegeven wat gedurende de accountantscontrole is geconstateerd en waarvan wij u graag op de hoogte willen brengen.

Hierbij geven wij aan wat de risico's zijn van de bevinding en wat de gevolgen voor uw onderneming kunnen zijn.

Hier geven wij u Aanbevelingen met betrekking tot de Bevinding. Deze aanbeveling is een mogelijke oplossing voor de bevinding.

Gevolgen jaarrekeningcontrole Hier geven wij aan wat de gevolgen zijn van de bevinding in relatie tot de verdere werkzaamheden voor de jaarrekeningcontrole.

29

Detailbevindingen interim-controle Bevinding 1

Verplichtingenadministratie

Jaar van constatering:

2018

Proces:

Inkopen

Prioriteit:

Hoog

Status:



Bevinding

Risico

Aanbeveling en gevolgen jaarrekening

Wij hebben tijdens de controle geconstateerd dat de verplichtingen die de gemeente Rijswijk aangegaan is niet altijd inzichtelijk zijn. Hierdoor is het controleren of voldaan is aan de aanbestedingsvoorschriften een intensief proces.

Risico dat niet tijdig gesignaleerd wordt welke verplichtingen aangegaan zijn met als gevolg dat mogelijke rechtmatigheidsfouten niet tijdig worden onderkend.

Wij adviseren u om zorg te dragen voor een juiste en volledige registratie van de verplichtingen en hier rekening te houden met mogelijkheden om op eenvoudige wijze de naleving van de aanbestedingsrichtlijnen te controleren. Wij vragen u aandacht voor de beschikbaarheid van medewerkers om de implementatie succesvol te laten verlopen.

Wij constateren dat de verplichtingen in het kader van de jaarrekening steeds strikter worden, waardoor het voor de organisatie belangrijk is inzicht te hebben in de aangegane verplichtingen.

Voor de jaarrekening en het opstellen van de niet uit de balans blijkende verplichtingen is het van belang dat verplichtingen groter dan de Europese drempel (€ 214.000) over vier jaar tijd inzichtelijk zijn en vermeld staan in de paragraaf NUBBV.

Update 2019 en 2020 De gemeente heeft in 2019 de keuze gemaakt om de verplichtingenadministratie verder te implementeren. Begin 2020 zijn de procedures vastgesteld en is gestart met het implementeren van de administratie. Vanwege verloop van medewerkers loopt de implementatie vertraging op.

30

Detailbevindingen interim-controle Bevinding 2