Document · PDF

RIB 22 005 Bijlage bij Managementletter 2021 definitief

Forum Stad en Samenleving 19 april 2022, gemeente RijswijkBij agendapunt: Lijst van ingekomen stukken Forum Samenleving: vaststelling wijze van afdoening16.154 woorden

Open het PDF bij de gemeente ↗Naar de vergadering →

Tekst van het document

Uit het bestand gehaald, zonder opmaak, tabellen en afbeeldingen · deel 1 van 2

Management letter Gemeente Rijswijk Boekjaar 2021

12/01/2022

Aan het College van Burgemeester en Wethouders van de gemeente Rijswijk Boogaardplein 15 2284 DP Rijswijk

Geacht College,

ONDERWERP: Management letter 2021

De opzet, het bestaan en in voorkomende gevallen de werking van de interne beheersingsmaatregelen van de belangrijkste bedrijfsprocessen, inclusief de geautomatiseerde gegevensverwerking, in uw organisatie zijn beoordeeld en getoetst, zodat we een terugkoppeling kunnen geven over de betrouwbaarheid van de interne informatievoorziening en de jaarrekening.

Als onderdeel van de controle van de jaarrekening 2021 van de gemeente Rijswijk hebben wij de administratieve organisatie en de daarin opgenomen maatregelen van interne beheersing beoordeeld, teneinde onze controlewerkzaamheden in overeenstemming met Nederlands recht waaronder de controlestandaarden te kunnen bepalen.

Onze bevindingen zijn gebaseerd op de normale werkzaamheden in het kader van de jaarrekeningcontrole. Deze brief bevat daardoor niet alle onvolkomenheden in uw organisatie, die bij een eventueel uitgebreid en hierop specifiek gericht onderzoek naar voren zouden kunnen komen. Zoals u zult begrijpen, is de managementletter van nature kritisch. Wij rapporteren over de eventuele leemtes of mogelijkheden ter verbetering van de financiële en administratieve processen, de administratieve organisatie daarvan en de daarin opgenomen maatregelen van interne beheersing. Op uw verzoek geven wij in deze managementletter aan op welke wijze verbeteringen van de administratieve organisatie en de daarin opgenomen maatregelen van interne beheersing kunnen worden gerealiseerd. De aanbevelingen en oplossingsrichtingen zoals beschreven in deze managementletter bieden u handvatten voor deze uitwerking. Wij hebben de management letter toegelicht en besproken met een afvaardiging van de ambtelijke organisatie. Wij danken u en uw medewerkers voor de samenwerking en zijn graag bereid tot het verstrekken van nadere toelichting. Hoogachtend, Baker Tilly (Netherlands) N.V.

S. Turenhout RA

Inhoudsopgave CONTACT

1. Bestuurlijke samenvatting

S. (Stefan)Turenhout RA Director + 31 6 52 75 98 79 s.turenhout@bakertilly.nl

2. Overige bevindingen en aandachtspunten

3. Bevindingen IT-beheersing

Bijlage 1: Detailbevindingen

Bijlage 2: Actuele ontwikkelingen

Bijlage 3: IT-audit

E.D. (Linda) de Vries RA Manager + 31 6 52 75 99 01 l.devries@bakertilly.nl

KANTOORGEGEVENS Scheveningseweg 80-82 2517 KZ Den Haag

Bestuurlijke samenvatting 4

1. Bestuurlijke samenvatting Deze managementletter bevat onze bevindingen die zijn gebaseerd op onze werkzaamheden in het kader van de jaarrekeningcontrole voor het jaar eindigend op 31 december 2021.

Uw interne beheersing behoeft verbetering. We hebben geen significante tekortkomingen in uw AO/IB geconstateerd. Wel hebben we in deze managementletter u een aantal aanbevelingen meegegeven. Wij signaleren nu dat bepaalde controles tussen ‘wal en schip’ vallen waardoor er een risico ontstaat op een onvolledige en onnauwkeurige verantwoording. De belangrijkste oorzaken zijn terug te brengen naar de samenwerking tussen afdelingen, kennis van interne beheersing en vastlegging van processen.

In het kader van onze jaarrekeningcontrole hebben we de interne beheersing rondom uw IT onderzocht. We constateren dat er verbeteringen mogelijk zijn op het gebied van authenticatie en autorisatie binnen de financiële administratie. Wij vragen u aandacht voor het opvolgen van deze bevindingen.

Covid-19 heeft ook voor 2021 nog een belangrijke invloed op uw gemeente, de gemeentelijke processen en uw financiële stromen. In lijn met voorgaand jaar heeft de Tozo (Tijdelijke overbruggingsregeling zelfstandige ondernemers) doorgelopen, daarbovenop is ook de TONK (Tijdelijke Ondersteuning Noodzakelijke Kosten) ingevoerd. Dit blijft een aandachtspunt voor onze jaarrekeningcontrole 2021, waarbij wij u vragen tijdig af stemming te zoeken met de betrokken partijen over afrekeningen Covid-19 2021.

1. Bestuurlijke samenvatting Rechtmatigheidsverantwoording: Vanwege de lopende formatie is er tot op heden door het demissionaire kabinet nog geen besluit genomen over de invoering van de rechtmatigheidsverantwoording binnen de decentrale overheden. In dit wetsvoorstel staat dat de rechtmatigheidsverantwoording ingevoerd wordt vanaf boekjaar 2022 Wij adviseren u deze ontwikkelingen te volgen. Wij constateren dat er afgelopen jaar stappen gemaakt zijn in de verdere ontwikkeling van de (verbijzonderde) interne controle, maar signaleren nog verbeteringen in de samenwerking tussen de 1e, 2e en 3e lijn.

Vooruitblik richting jaarrekeningcontrole 2021. We hebben met uw gemeente goede afspraken over de planning van de jaarrekeningcontrole gemaakt. Op voorhand identificeren we een aantal aandachtsgebieden met verhoogde aandacht in onze controle. Dit betreffen met name de controle op de waardering van de grondexploitaties, de controle op de toereikendheid van uw (onderhouds)voorzieningen en de controle van de naleving van de aanbestedingsregelgeving. Ondanks de aanbevelingen die wij rapporteren, kunnen wij op basis van de huidige inzichten, nog steeds tot een goedkeurend oordeel komen. Dit zal wel gepaard gaan met aanvullende gegevensgerichte werkzaamheden om de jaarrekeningrisico’s voldoende te kunnen ondervangen. Deze aanvullende werkzaamheden zullen wij naar aanleiding van de interim-controle communiceren met de organisatie zodat zij deze werkzaamheden kunnen voorbereiden.

Tot slot hebben we vanuit het oogpunt van onze natuurlijke adviesfunctie, in deze managementletter een bijlage opgenomen met actuele ontwikkelingen. Belangrijke elementen zijn hier onder andere in het feit dat de commissie BBV afgelopen jaar een aantal belangrijke notities uitgebracht. Dit betreft onder andere de notitie heffingen, de Kadernota Rechtmatigheid 2022, Addendum Kadernota rechtmatigheid 2021 en de notitie paragraaf bedrijfsvoering. In de bijlage worden de belangrijkste aandachtspunten toegelicht. Daarnaast is de regeling Schatkistbankieren gewijzigd, wat gevolgen heeft voor de verantwoording in de jaarrekening. Ook wijzen we u op een aantal ontwikkelingen binnen de vastgoedmarkt, het sociaal domein en uw HR-processen.

2. Overige bevindingen en aandachtspunten 7

2. Overige bevindingen en aandachtspunten 2.1 Algemeen Inleiding Doel en reikwijdte

Risicoanalyse

Het doel van onze jaarrekeningcontrole is het vormen van een oordeel over de getrouwheid en de rechtmatigheid van de jaarrekening als geheel, zoals bedoeld in het Besluit Accountantscontrole Decentrale Overheden (BADO). Vanuit de jaarrekeningcontrole beoordelen wij of de kwaliteit van de administratieve organisatie en interne beheersing voor zover relevant voor onze oordeelsvorming en geven wij geen zelfstandig oordeel over de kwaliteit van de administratieve organisatie en interne beheersing. De controle van de jaarrekening omvat het uitvoeren van controlewerkzaamheden, waaronder risicoanalyse, cijferanalyses, beoordeling van de administratieve procedures en het daarmee samenhangende systeem van interne beheersingsmaatregelen en gegevensgerichte controlewerkzaamheden. De samenstelling en omvang van die werkzaamheden zijn noodzakelijk voor het verkrijgen van voldoende controle-informatie ter onderbouwing van ons oordeel.

Onze risicoanalyse richt zich op een betrouwbare totstandkoming van de jaarrekening. Dit betekent dat wij niet alle risico’s die voor u als gemeente relevant zijn in onze controle meenemen. De risicoanalyse is een continue proces en stellen wij gedurende de controle indien nodig bij. De belangrijkste bij uw gemeente onderkende risico’s / kernpunten in de controle zijn: • Waardering van uw grondexploitatie; • Rechtmatigheid aanbestedingen; • Prestatielevering inkopen; • Controle op de rechtmatige toeleiding en prestatielevering sociale domein • Risico dat het management van de gemeente de procesafspraken doorbreekt, hetgeen een standaard risico is vanuit onze beroepsregels. Dit risico ziet bij uw gemeente met name toe op de schattingsposten in de grondexploitatie en voorzieningen. In ons verslag van bevindingen rapporteren wij naar aanleiding van de jaarrekeningcontrole over bovenstaande punten. Deze punten zijn (on)gewijzigd ten opzichte van voorgaand jaar.

2. Overige bevindingen en aandachtspunten 2.2 Bedrijfsprocessen Beeld interne beheersing Interne beheersing

Afgelopen jaren hebben wij vanwege geconstateerde afwijkingen de controle met verhoogde diepgang uitgevoerd. Dit heeft voorgaande jaren geleid tot een aanzienlijk aantal detailbevindingen. Wij constateren dat de gemeente hiermee aan de slag gegaan is, maar nog niet alle punten (volledig) zijn afgewikkeld. Dit komt deels doordat de oplossing van deze punten bestaat uit meerdere stappen, waaronder o.a. de implementatie van systemen en andere werkwijzen. Een logisch gevolg hiervan is dat de doorlooptijd van het opvolgen meer tijd in beslag neemt.

Overkoepelende thema’s

Het aantal detailbevindingen die u in deze managementletter aantreft is heel divers, mede doordat zij op veel verschillende processen zien. Tijdens onze controle constateren wij echter wel een overkoepelende punten waarmee deze ‘detailbevindingen’ samengevat kunnen worden. De overkoepelende thema’s bestaan uit: Inrichting van procesverantwoordelijkheid en onderlinge samenwerking, kennis van risicobeheersing en interne beheersing en borging van uitgewerkte processen. Ook de inrichting en capaciteit van de VIC speelt hierbij een rol. Ons inziens is er aandacht nodig voor deze thema’s om de interne beheersing van de gehele organisatie op het gewenste niveau te krijgen. Deze thema’s lichten wij toe in deze paragraaf.

Procesverantwoordelijkheid en onderlinge samenwerking

Tijdens onze controle hebben wij gesproken met procesverantwoordelijken bij de processen met een financieel significante omvang. Samenvattend concluderen wij hierbij dat bij veel processen veel verschillende medewerkers en soms ook veel afdelingen betrokken zijn. Daarbij constateren wij in gesprekken dat er geen duidelijke proceseigenaar is en het bij medewerkers niet altijd duidelijk is bij wie welke verantwoordelijkheid ligt. Een voorbeeld hiervan is het proces van parkeerbelasting. Voor onze controle spreken wij om die reden veel verschillende medewerkers om de juiste controle informatie te verkrijgen. Uit deze overleggen blijkt dat verantwoordelijkheden tussen afdelingen niet altijd duidelijk zijn. Verantwoordelijkheid wordt bij andere afdelingen gelegd wordt, waar deze ‘andere’ afdelingen zich (soms) niet bewust van zijn. Doordat processen soms erg verspreid over de organisatie liggen worden essentiële risico’s niet (of niet tijdig) gesignaleerd, waardoor essentiële interne beheersing ontbreekt. In onze beleving is ‘In Control’ zijn en blijven een gezamenlijke verantwoordelijkheid waarbij ‘uitvoerende’ en ‘ondersteunende’ afdelingen met elkaar samenwerken.

Wij vinden het bij uitstek een rol van het management om met elkaar duidelijke afspraken te maken over de procesverantwoordelijkheid en adviseren u om dit mee te nemen in de doorontwikkeling richting de rechtmatigheidsmededeling.

2. Overige bevindingen en aandachtspunten 2.2 Bedrijfsprocessen Beeld interne beheersing Kennis inzake risicobeheersing en interne beheersing

In het verlengde van deze bevinding over ‘procesverantwoordelijkheid’ constateren wij dat de kennis en deskundigheid over ‘interne beheersing’ en de daarmee samenhangende risico inschatting en monitoring op de diverse afdelingen te beperkt aanwezig is. Dit creeërt mogelijk het risico dat afdelingen onvoldoende in staat of bereid zijn om de juiste proces- of kwaliteitscontroles (1e of 2e lijn controles) in de processen te implementeren en uitvoeren. Een concreet voorbeeld hiervan is de beperkte aanwezigheid van ‘verbandscontroles’ of ‘monitoring’ binnen de afdeling. Verbandscontroles bestaan o.a. uit de vergelijking van externe kwalitatieve informatie met de financiële informatie enerzijds om te toetsen of de financiële informatie betrouwbaar is, anderzijds ook om een juiste en toereikende verklaring te kunnen geven van de afwijkingen ten opzichte van de verwachting. Wij vragen u hier specifiek aandacht te schenken aan de kennis en deskundigheid over ‘interne beheersing’ op de afdelingen , aangezien de succesfactor van de ‘controletoren’ o.a. afhankelijk is van de juiste kennis binnen de afdelingen.

Processen onvoldoende uitgewerkt

VIC

Zoals al gezegd hebben wij tijdens onze controle gesproken met de procesverantwoordelijken van diverse (financieel) significante processen. Naast de reeds genoemde aandachtspunten constateren wij hierbij dat diverse processen niet of onvoldoende uitgewerkt zijn waardoor het onduidelijk is welke werkzaamheden door wie uitgevoerd worden. Hierdoor is er soms geen ‘compleet’ beeld over de controles die in het proces plaatsvinden en ontbreekt de mogelijkheid vanuit ‘Concern control’ te beoordelen of er risico’s zijn binnen het proces. Wij adviseren u om eenduidige procedurebeschrijvingen op te stellen zodat een juiste risicoanalyse op het proces mogelijk is.

Een aantal jaar geleden is binnen u organisatie gestart met het opzetten van een ‘Verbijzonderde interne controle’ (VIC). Doelstelling van de VIC is om toe te zien op een juiste implementatie en toetsing van controles binnen de procedures van de gemeente. Wij begrijpen dat de keuze gemaakt is de VIC een zuiver onderzoekende en adviserende rol te geven. De verantwoordelijkheid om de eventuele risico’s en constateringen middels werkzaamheden te vertalen naar een mogelijke financiële onrechtmatigheid ligt daarmee primair bij de lijnorganisatie. In het kader van de oordeelsvorming voor de rechtmatigheidsverantwoording ontstaat hiermee het risico dat een toetsende rol ontbreekt. Wij wijzen u er daarbij op dat de toetsing van de rechtmatigheid onderdeel wordt van het opstellen van de jaarrekening. Wij adviseren u om die reden nadrukkelijk aandacht te geven aan deze constatering en deze op te nemen in de verdere doorontwikkeling van de ‘controletoren’. Wij raden concerncontrol aan om deze controletoren en de verwachte werkzaamheden van de diverse controlelijnen goed en eenduidig te beschrijven zodat voor medewerkers en afdelingen duidelijk is wat er verwacht wordt.

2. Overige bevindingen en aandachtspunten 2.2 Bedrijfsprocessen Aandachtspunten voor specifieke processen Beheersing binnen het belastingproces

Wij vragen uw nadrukkelijke aandacht voor het belastingproces binnen uw organisatie. Wij constateren dat de bezetting op deze afdeling bijzonder kwetsbaar is, waarmee u ons inziens significante (financiële) risico’s loopt bij de uitvoering van belastinginning en heffing. Tijdens het bespreken van de interne beheersing binnen dit proces kwam tevens naar voren dat hier diverse ‘afdelingen’ betrokken zijn bij het proces. Wij constateerden daarbij dat het overzicht op het gehele proces en de onderlinge afspraken en verantwoordelijkheden over de interne beheersing ontbreken. Zo ontbreken concrete afspraken over de aanlevering van informatie en het uitvoeren van benodigde controles ten behoeve van de jaarrekening. Wij adviseren u het proces, inclusief de gewenste interne beheersing, eenduidig te beschrijven en heldere afspraken te maken over de verantwoordelijkheden in het proces. Wij adviseren u vanuit de Verbijzonderde interne controle toe te zien op de naleving van de afspraken en interne controles die uitgevoerd worden.

Beheersing binnen het sociaal domein

Inkoop

De afdeling ‘Sociaal domein’ is één van de afdelingen die al meerdere jaren een gedegen 2e lijn controle heeft geïmplementeerd. De wijze waarop de 3e lijn hun controle uitvoert sluit niet geheel aan op de huidige insteek van de 2e lijn, waardoor bepaalde controles nu (onnodig) dubbel uitgevoerd worden. Ons inziens is het mogelijk om de 1e, 2e, en 3e lijn op elkaar te laten aansluiten of er (op onderdelen) bewust voor te kiezen een controle alleen vanuit de 2e of 3e lijn uit te voeren. Wij raden het u aan om hierbij ook rekening te houden met de eisen voor de 4e lijn (accountantscontrole). Wij adviseren u om met elkaar de verschillende eisen en doelstellingen van de controles door te nemen en gezamenlijk afspraken te maken welke controles in welke lijn opgepakt worden en in hoeverre hierbij gebruik gemaakt kan worden van reeds uitgevoerde controlewerkzaamheden. Wij wijzen u erop dat het inrichten van het juiste niveau van risico beheersing primair een verantwoordelijkheid is van de organisatie. Uiteraard zijn wij wel bereid om vanuit de wettelijke eisen bij de jaarrekeningcontrole mee te denken over een effectieve inrichting van de interne beheersing. Uw gemeente is in 2020 gestart met de implementatie van de verplichtingenadministratie. Vanwege personeelsverloop is deze implementatie tijdelijk stilgevallen en in het laatste kwartaal van 2021 weer opgepakt.

De organisatie heeft het voornemen dat de verplichtingenadministratie vanaf 1 april 2022 volledig is. Voorgaande jaren constateerde wij dat er door medewerkers te beperkt invulling gegeven werd aan de onderbouwing van de prestatieleveringen. Sinds vorig jaar wordt deze controle meegenomen in de (verbijzonderde) interne controle. Tijdens onze controlewerkzaamheden constateren wij verbeteringen in de aanlevering. Medewerkers zijn (in algemene zin) sneller in staat de juiste documentatie ter onderbouwing op te leveren. Wij constateren echter wel dat het juiste niveau om tijdens de controle te kunnen steunen op de interne beheersing nog ontbreekt. Dit komt mede doordat het huidige interne beleid inzake de onderbouwing van prestatielevering niet volledig voldoet aan de vereisten. Wij adviseren u dit beleid aan te scherpen en tegelijkertijd via de uitvoering van een (Verbijzonderde) interne beheersing.

2. Overige bevindingen en aandachtspunten 2.2 Bedrijfsprocessen Deze managementletter bevat onze bevindingen die zijn gebaseerd op de onze werkzaamheden in het kader van de jaarrekeningcontrole voor het jaar eindigend op 31 december 2021. Deze werkzaamheden zijn dan ook niet gericht op het geven van een oordeel over de interne beheersing van uw organisatie als geheel. Voorgaand jaren hebben wij tijdens onze besprekingen met u diverse aanbevelingen benoemd ter verdere optimalisering van de bestaande administratieve organisatie en interne beheersing. In deze management letter geven wij u een schriftelijke update van onze bevindingen. In het overzicht hiernaast zijn de bevindingen met prioriteit ‘hoog’ opgenomen. Een totaaloverzicht van de detailbevindingen is opgenomen in bijlage 1.

In de tabel rechts is een totaal overzicht opgenomen van de het totaal aantal detailbevindingen. De bevindingen en onze aanbevelingen worden op de volgende pagina's van deze managementletter uitgebreider toegelicht. De kleur van de het symbool geeft de status van de constatering aan.  = opgelost  = in opzet opgelost, de werking nog niet (kunnen) toetsen  = actie ondernomen, maar nog niet afgerond  = geen actie ondernomen  = Nieuwe bevinding

Proces

Bevinding

Inkopen

aandachtspunten Aantal nieuwe aanbevelingen

Aantal aanbevelingen uit voorgaande jaren

Waarvan opgelost in 2021

Aantal openstaande aanbevelingen

Ontwikkelingen in openstaande bevindingen: Resterende aanbevelingen uit voorgaande jaren

Waarvan reeds acties zijn ondernomen, maar nog niet zijn afgerond

Waarvan acties die afgerond zijn, maar de werking pas zichtbaar wordt in 2022

Waarvan nog geen acties zijn ondernomen

Status

Prioriteit 2021

Prioriteit 2020

Ontbreken verplichtingenadministratie

Gemiddeld

Hoog

Inkopen

Eenduidige registratie inkoopdossiers

Gemiddeld

Inkopen

Onderbouwing prestatielevering

Hoog

Betalingen

Handmatige betalingen

Hoog

Monitoring

Frauderisicoanalyse

Gemiddeld

Monitoring

Verbijzonderde interne controle

Gemiddeld

Hoog

Lonen en salarissen

Controle personeelsmutaties

Laag

Gemiddeld

Subsidies

Ontbreken coördinator inkomende subsidies

Laag

Gemiddeld

2. Overige bevindingen en aandachtspunten 2.2 Bedrijfsprocessen #

Proces

Bevinding

Subsidies

Status

Prioriteit 2021

Prioriteit 2020

Ontbreken checklist subsidies

Gemiddeld

Sociaal domein - Wmo

Wijzigingen crediteurenstamgegevens zorginstellingen

Gemiddeld

Sociaal domein – Wmo

Controles bij automatische matching

Gemiddeld

Omgevingsvergunningen

Controle bouwkosten

Gemiddeld

Grondexploitatie

Actualisatie grondexploitatie

Gemiddeld

Parkeerbelasting

Monitoring volledigheid parkeeropbrengsten

Hoog

Verhuur en pacht

Volledigheid contractenregistratie

Gemiddeld

Monitoring

Controle memoriaalboekingen

Gemiddeld

Hoog

Automatisering

Mutaties crediteurenstamgegevens

Gemiddeld

Automatisering

Geen actief gebruikersbeheer

Laag

Gemiddeld

Financiële administratie

Mogelijkheid tot monitoring vanuit de financiële administratie

Gemiddeld

Jeugdhulp

Inzicht in betalingen SbJh

Gemiddeld

Betalingen

Zichtbare controle op definitieve betaalbatch

Gemiddeld

2. Overige bevindingen en aandachtspunten 2.3 Gevolgen voor ons oordeel bij de jaarrekeningcontrole Gevolgen voor ons oordeel bij de jaarrekeningcontrole In de voorgaande pagina’s hebben wij een behoorlijk aantal aandachtspunten aan uw organisatie opgeschreven. Deze aandachtspunten komen voort uit onze controle van de afgelopen maanden, waarbij wij hebben gekeken naar de bedrijfsprocessen en de interne beheersing daarin. Onze aandacht ligt daarbij zodat wij weten welke mogelijkheden wij hebben bij de uitvoering van onze controle en om u te adviseren de processen te optimaliseren de risico’s te beheersen. Constateringen die wij doen, betekenen niet direct dat procedures fout gegaan zijn, maar dat (ons inziens) een organisatie onacceptabele of onwenselijke risico’s loopt dat er (financiële) fouten ontstaan. Wij kijken naar deze interne beheersing, omdat in ons optiek een organisatie voldoende ‘in Control’ moet zijn om zelfstandig betrouwbare verantwoording af te kunnen leggen. Daarbij vinden wij dat uw organisatie zeker voor de significante processen maatregelen zou moeten hebben die voorkomen dat er fouten ontstaan. Bij veel processen geldt echter dat er ook achteraf vastgesteld kan worden dat het proces goed is verlopen.

Voor de jaarrekeningcontrole 2021 geld niet dat de geconstateerde punten een onmogelijkheid in onze controle veroorzaken of wij reeds materiële financiële fouten geconstateerd hebben. Voor alle geconstateerde aandachtspunten geldt enkel dat dit een inefficiency in onze controle oplevert, maar maakt het de controle niet onmogelijk, noch heeft dit op voorhand impact op ons oordeel. Hieronder lichten wij dit voor de belangrijkste processen verder toe.

Inkopen

Belastingopbrengsten

Al een aantal jaren hebben wij opmerkingen over de beheersing van het inkoopproces. Voorgaande jaren hebben wij diverse fouten en onzekerheden geconstateerd bij de aanbestedingen. Deze fouten en onzekerheden ontstonden doordat bij het aangaan van de verplichtingen een niet juiste procedure is gevolgd. Deze fouten zijn geanalyseerd en konden ontstaan doordat er geen verplichting is bij alle inkooptrajecten een inkoopadviseur te betrekken. Om te voorkomen dat dit opnieuw gebeurt adviseren wij een verplichtingenadministratie te implementeren zodat een centraal overzicht ontstaat op alle verplichtingen waarmee bevindingen sneller geconstateerd worden. Tegelijkertijd heeft de organisatie aan de hand van de werkelijke inkopen afgelopen jaren de fouten in kaart gebracht en hersteld door een nieuw inkooptraject te starten. De constatering en aanbeveling die wij doen leidt daarmee niet tot een fout in de jaarrekening.

In deze managementletter hebben wij ook een aantal aanbevelingen bij het belastingproces. Deze opmerkingen zien toe op de wijze waarop de organisatie het heffen en innen van belastingen beheerst en controleert. Hierbij signaleren wij dat de organisatie onvoldoende tijdig signaleert dat er mogelijk belastingaanslagen of naheffingen niet of onjuist opgelegd worden. Aangezien voor opleggen van belastingen specifieke wet- en regelgeving geld zijn onzorgvuldigheden die in het proces gemaakt worden niet altijd meer te herstellen. Onze constatering betekent echter niet dat dit ook gebeurd is. Voor onze controle betekent dit wel dat wij kritischer kijken naar de belastingopbrengsten die verantwoord zijn en wij zelfstandig werkzaamheden verrichten om vast te stellen dat de juiste tarieven en/of objecten (bijv. WOZ waarde) gehanteerd zijn. Mocht u voor andere detailbevindingen vergelijkbare vragen hebben, dan lichten wij deze uiteraard graag aan u toe.

2. Overige bevindingen en aandachtspunten 2.4 Samenwerking en VIC Onze samenwerking met de gemeente in het controleproces Organisatie

Inrichting en kwaliteit VIC

Samenwerking tijdens de interim-controle Als voorbereiding op de interim-controle hebben wij een evaluatie gedaan van het controleproces van voorgaand jaar en zijn er tussen ons en de gemeentelijke organisatie heldere afspraken, bijvoorbeeld ten aanzien van inkopen en aanbestedingen, gemaakt over de verwachtingen voor het controleproces van 2021. Tijdens de interim-controle hebben wij in een prettige en constructieve wijze samengewerkt met de gemeente. Belangrijke elementen in de samenwerking hierbij zien onder andere toe op: - Proactieve afstemming op bijzonderheden en/of belangrijke aandachtsgebieden bijvoorbeeld ten aanzien van de controle op de belastingopbrengsten, de aanbestedingsrechtmatigheid en de werkzaamheden van de (verbijzonderde) interne controle; en - Inspanning om te zorgen dat alle gewenste informatie op een adequate wijze en voor aanvang van de controle aanwezig is Een belangrijk onderdeel van de interne beheersing is de (verbijzonderde) interne controlefunctie. U heeft een controletoren opgezet waarbij u uitgaat van een juiste inrichting van proces en kwaliteitscontroles (1e en 2e lijn) op de afdelingen. De VIC controleert of dit juist wordt toegepast binnen de afdelingen.

Wij constateren tijdens onze controle dat de afspraken en verantwoordelijkheden tussen de afdeling controle en de uitvoerende afdelingen nog niet altijd juist zijn afgestemd en voor de medewerkers duidelijk is wat er van hen verwacht wordt. Deels komt dit doordat de huidige werkwijze afwijkt van de werkwijze die voorheen gehanteerd werd. Wij willen u erop wijzen dat een gedegen uitvoering van de verbijzonderde interne controle steeds belangrijker zal worden als gevolg van het in de toekomst verplicht worden van een rechtmatigheidsverantwoording door het college. Een kwalitatief goed intern controleplan en een juiste uitvoering bevat in onze optiek een gedegen samenwerking tussen de VIC en de uitvoerende afdelingen. Wij rapporteren via de 3 lines of defense model. Dat willen zeggen dat wij binnen de processen nagaan op welk niveau in de organisatie de interne beheersmaatregelen worden ondervangen. De volgende niveaus worden hierbij onderkend: •

1e lijn: in het primaire proces, onder verantwoordelijkheid van de proceseigenaar.

•

2e lijn: bij het primaire proces waarin een afdeling kwaliteitscontroles uitvoert gericht zijn om fouten te signaleren.

•

3e lijn: in het ondersteunende proces, waarin de 1e en 2e lijn getoetst wordt en aanvullende compenserende werkzaamheden uitgevoerd worden om tot een rechtmatigheidsmededeling te komen.

Indien de beheersmaatregelen in de 1e en/of 2e lijn adequaat zijn ingericht dan is de organisatie optimaal in control en is een voornamelijk systeemgerichte controleaanpak mogelijk. Indien dit niet het geval is kan dit gecompenseerd worden door de gegevensgerichte werkzaamheden. In het kader van de rechtmatigheidsverantwoording dienen deze compenseerde maatregelen minimaal aanwezig te zijn. Uw kiest ervoor deze werkzaamheden niet te beleggen bij de VIC, maar hiervoor nog andere medewerkers aan te stellen. Dit betekent dat wij mogelijk in de toekomst (bij invoering van de rechtmatigheidsverantwoording) niet tot een oordeel kunnen komen. Wij willen u erop wijzen dat dit betekent dat er nog een forse stap gezet moet worden om tot een rechtmatigheidsmededeling te komen. Het overzicht op de volgende pagina geeft een beeld over de mate van beheersing en controle van uw gemeente. Aangezien de derde lijn (volgens bovenstaand model) nog niet wordt uitgevoerd hebben wij deze daar niet in opgenomen.

2. Overige bevindingen en aandachtspunten 2.5 Three lines of defense Nr.

Proces

Inkopen en betalingen

1e lijn



2e lijn



Opmerking / toelichting De beheersing rondom vastlegging prestatielevering is nog onvoldoende om hierop te kunnen steunen. Wij signaleren dat de ‘kennis’ van prestatieleveringen nog beperkt binnen uw organisatie aanwezig is. Wij vragen hiervoor u aandacht. Met de uitvoering van een interne controle is gestart.

Aanbestedingen



Bij de jaarrekening voorgaand jaar is door de organisatie een gedegen spendanalyse opgezet. Wij signaleren echter nog wel verbetermogelijkheden bij het vastleggen en trekken van de juiste conclusies. Door de afdeling inkoop wordt op dit moment gewerkt aan een spendanalyse waarbij het mogelijk is de historie (de rechtmatigheid inkopen moet over een periode van 48 maanden beoordeeld worden) mee te nemen. Wij onderschrijven deze aanbeveling. De implementatie van de verplichtingenadministratie is in verband met ondercapaciteit uitgesteld, waarmee deze aanbeveling op de 1e lijn blijft staan.

Lonen en salarissen



Wij hebben tijdens de controle vastgesteld dat de personeelsmutaties steekproefsgewijs gecontroleerd worden. Deze controle vindt echter niet zichtbaar plaats.

Subsidies



Het subsidieregister en een checklist om de procedure te monitoren zullen vanaf aanvragen 2022 worden gebruikt.

Grondexploitaties



Gezien de beperkte omvang van de projectorganisatie is functiescheiding niet altijd mogelijk binnen de 1e of 2e lijn. Wij signaleren wel een gedegen 2e lijn controle op de grondverkopen, echter ontbreekt een ‘onafhankelijke’ interne toetsing op de juiste uitgangspunten in de waardering.

Belastingen



Wij constateren dat een gedegen ‘controlesysteem’ met afstemming van verantwoordelijkheden tussen de diverse afdelingen ontbreekt, waardoor ons inziens essentiële interne beheersingsmaatregelen niet aanwezig zijn

Participatiewet



Jeugdwet ZIN



Wmo ZIN



Omgevingsvergunni ngen



Huren en pachten



Door de afdeling wordt een gedegen kwaliteitscontrole uitgevoerd. Wij signaleren echter dat het lastig is om de populatie van de kwaliteitscontrole aan te sluiten op de financiële administratie, waardoor de VIC slechts beperkt gebruik kan maken van de kwaliteitscontrole. Wij adviseren u om samen afspraken te maken over een effectieve en efficiënte uitvoering van zowel de 2e als de VIC. Wij constateren dat een controle op de nauwkeurigheid van bouwkosten nog niet is uitgevoerd. Wij hebben begrepen dat de controles in de eerste maanden van 2022 opgepakt worden.

Uit bovenstaande beeld komt naar voren dat wij nog niet optimaal op de processen kunnen steunen maar in samenwerking met de VIC grotendeels een gegevensgerichte aanpak hanteren. Wij bespreken uiteraard graag met u de mate van beheersing en uw gewenste ambitieniveau. Legenda status:  = geen bevindingen met kans op materiële fouten, enkel aanbeveling ter verdere optimalisatie  = meerdere bevindingen en aanbevelingen met mogelijk grote impact  = één of enkele bevindingen met geringe impact resteren

2. Overige bevindingen en aandachtspunten 2.6 Aandachtspunten jaarrekening Aandachtspunten jaarrekeningcontrole Grondexploitatie Bij de gemeente Rijswijk is sprake van een significante grondexploitatie RijswijkBuiten. Gezien de financiële omvang van dit project ten opzichte van de totale financiële lasten en opbrengsten controleren wij de waardering van RijswijkBuiten met bijzondere diepgang. Wij vragen in dat kader specifieke aandacht voor de volgende punten: • • • • • •

Programma/planning: actuele onderbouwingen op basis van marktrapporten of externe onderzoeken van zowel het aanbod als de vraag, met bijbehorende realistische planningen. Prijs: deugdelijke en actuele onderbouwingen van (marktconforme) grondprijzen. Parameters: onderbouwen marktconforme kosten- en opbrengstenstijging voor korte en middellange termijn. Planontwikkelingskosten: inzichtelijke en project specifieke onderbouwingen van de planontwikkelingskosten (zowel plankosten als de kosten van Voorbereiding & Toezicht). Civieltechnische werken: geactualiseerde en degelijk onderbouwde civieltechnische ramingen, navolgbaar aansluitend op de laatste stand van de planvorming. Risicoanalyse: gefundeerde risicoanalyse mede ter onderbouwing van een eventuele project specifieke risicoafslag bij de tussentijdse winstneming.

Wij hebben vernomen dat uw gemeenteraad een besluit genomen neemt tot het inpassen van het Marktprogramma van Pasgeld-West in RijswijkBuiten. Hierdoor verandert de exploitatieopzet van de grondexploitatie aanzienlijk. Wij adviseren u om bij de actualisatie rekening te houden met de financiële consequenties van deze besluiten. Tozo en Tonk Voorgaand jaar was in de ‘nota verwachtingen accountantscontrole SiSa’ opgenomen dat wij moesten vaststellen of er een plan van aanpak was inzake de toetsing op het M&O beleid (Misbruik en Oneigenlijk gebruik). Wij verwachten dat wij bij de controle 2021 moeten vaststellen of dit beleid en het opgestelde plan is nageleefd. Wij adviseren u toe te zien op de uitvoering van dit plan. De nota verwachtingen accountantscontrole is vaak vanaf medio december beschikbaar via de website van het ministerie. Zodra duidelijk is welke aspecten wij mee moeten nemen in onze controle zullen wij u hierover informeren.

2. Overige bevindingen en aandachtspunten 2.7 Fraudeanalyse Frauderisicoanalyse Verantwoordelijkheid College

De primaire verantwoordelijkheid voor het voorkomen en detecteren van fraude berust bij het College van Burgemeester en Wethouders. Deze verantwoordelijkheid betreft ook het onderhouden van een zodanige interne beheersing om het opmaken van de jaarrekening mogelijk te maken zonder dat deze afwijkingen van materieel belang bevat als gevolg van fraude of fouten. Op basis van onze uitgevoerde interim-controle hebben wij vastgesteld dat er binnen de gemeente aandacht is voor frauderisico’s en de preventie daarvan. De gemeente heeft in 2021 opdracht gegeven aan een externe partij voor het uitvoeren van een frauderisicoanalyse. Doel van deze analyse is ook om (meer) bewustzijn te creëren voor frauderisico’s. Het onderzoek bestond o.a. uit het doorlichten van het huidige beheersingskader en het houden van interviews met diverse medewerkers. Wij hebben begrepen dat dit onderzoek bijna afgerond is en eind november een eindrapportage beschikbaar is. Hiervoor verwijzen wij ook naar het reeds geïdentificeerde aandachtspunt op dit vlak (detailbevinding 5). Wij adviseren u om de risicoanalyse onderdeel te maken van het interne controleplan en regelmatig (intern bij de diverse afdelingen) aandacht voor deze risicoanalyse te vragen en deze periodiek te analyseren.

Wij adviseren u om hierbij ook specifiek aandacht te besteden aan het (fraude)risico van onrechtmatige onttrekkingen van geld aan de gemeente. Als belangrijke prioriteit noemen wij het risico dat facturen worden goedgekeurd waar geen prestatie voor uw gemeente tegenover staat. Daarbij kunt u vanzelfsprekend de ingevoerde beheersingsmaatregelen in uw organisatie met tot het risico op onrechtmatige betalingen betrekken.

3. Bevindingen IT-beheersing 19

3. Bevindingen IT-beheersing 3.1 Algemeen IT General Controls Veel handelingen die binnen organisaties plaatsvinden, worden geregistreerd door middel van automatisering. Daarbij zijn diverse interne beheersingsmaatregelen steeds vaker geautomatiseerd in softwarepakketten. Wij onderzoeken daarom de beheersing van uw IT omgeving en rapporteren daarover in deze management letter. Op basis van de door ons uitgevoerde werkzaamheden op d.d. 28-10-2021 hebben wij onze inschatting van de kwaliteit van uw IT systeem en/of applicaties opgenomen. Hierbij hebben wij de volgende onderverdeling gemaakt om de kwaliteit weer te geven:

Onderwerp

Toegangsbeveiliging

Wijzigingsbeheer

Benodigd verbetering op (korte) termijn Adviespunt, verdere aanscherping mogelijk Op dit moment voldoende

Bij het uitvoeren van onze werkzaamheden hebben wij gekeken naar de algemene onderwerpen rondom de beheersing van uw IT omgeving zoals in de tabel rechts opgenomen. Op de navolgende pagina’s zullen wij onze bevindingen rapporteren.

Continuiteïtsmaatregelen en beveiliging

Adviespunten zonder directe impact

Bij het toetsen van ‘toegangsbeveiliging’ wordt onderzocht of de inrichting van de IT-omgeving de authenticiteit van de gebruiker van een gebruikersaccount borgt. Vervolgens onderzoeken wij de mogelijkheden voor het ‘steunen’ op autorisaties en de processen rondom het verstrekken, muteren en ontnemen van autorisaties binnen de omgeving. Wanneer de randvoorwaarden hiervoor voldoende aanwezig zijn, kunnen wij in de controle gebruik maken van ingerichte functiescheiding in het systeem. Een adequate inrichting kan preventief risico’s voor uw organisaties beperken en tegelijkertijd efficiency voordelen opleveren in de controle. Bij het toetsen van ‘wijzigingsbeheer’ ofwel change management wordt vastgesteld dat wijzigingen aan de applicatie op gestructureerde en gecontroleerde wijze worden doorgevoerd. Voor uw organisatie heeft wijzigingsbeheer ten doel om te voorkomen dat applicaties zich niet gedragen zoals u verwacht na een wijziging in de software, resulterend in, wellicht niet opgemerkte, (financiële) gevolgen.

Onder de noemer continuïteit en beveiliging krijgen wij inzicht in uw beheersing van risico’s gericht op continuïteit van uw bedrijfsvoering. Hierbij kan discontinuïteit worden veroorzaakt door menselijk of technisch falen, maar ook door interne of externe kwaadwillenden. Voor continuïteit zijn met name het punt in de tijd aan tot waar u gegevens bij discontinuïteit kunt herstellen en de tijd die het kost om tot een normale bedrijfsvoering te komen bij discontinuïteit van belang. Hiernaast schatten wij uw beheersing van cyber risico’s in. Het is van ons van belang om inzicht te krijgen in de verantwoordelijkheden die binnen de organisatie zijn ingericht – of met andere organisaties overeen zijn gekomen (uitbesteding) – ten aanzien van de beheersing van de IT omgeving. Hierbij kijken wij naar beleidsstukken ten aanzien van IT strategie, beveiliging en functiescheiding. Ook de interne beheersingsmaatregelen die al dan niet zijn ingericht binnen de IT omgevingen zijn onderdeel van onze scope. Indien maatregelen periodiek worden uitgevoerd kunnen wij hier gebruik van maken in de jaarrekeningcontrole. Deze adviespunten hebben niet een directe impact op onze controlewerkzaamheden, maar zijn wel wenselijk. 20

3. Bevindingen IT-beheersing 3.2 Toegangsbeveiliging De conclusies die wij op basis van onze werkzaamheden trekken over de algemene inrichting van IT bij uw organisatie, delen wij op deze pagina met u. Uit de stoplichten valt op te maken in hoeverre wij gebruik kunnen maken van de randvoorwaarden die binnen uw organisatie aanwezig zijn voor de controle. Authenticatie Door middel van authenticatie wordt geborgd dat de gebruiker zichzelf kan identificeren binnen een geautomatiseerde omgeving. Kort gezegd: de gebruiker toont aan dat hij/zij inlogt met een eigen persoonsgebonden account en daarmee is wie hij/zij claimt te zijn. Wij scharen onder dit onderwerp met name wachtwoordvereisten en herleidbaarheid van accounts. Generieke accounts zijn dan ook niet wenselijk omdat functiescheiding kan worden doorbroken bij te ruime rechten en zijn mutaties niet te herleiden tot een persoon. Autorisatie Op het gebied van autorisatie zijn verschillende vormen van diepgang te definiëren. Wat wij onderzoeken als het gaat om de randvoorwaarden rondom autorisatie, zijn de rechten die de mogelijkheid bieden om autorisatie-structuren te wijzigen en of deze rechten belegd zijn bij functionarissen met een onafhankelijke positie ten opzichte van de jaarrekening. Daarnaast is een effectieve procedure voor het wijzigen van rechten noodzakelijk.

Authenticatie

Netwerk

Autorisatie Onze bevindingen en impact op de controle De ingestelde wachtwoordeisen van het netwerk zijn van voldoende niveau. Gebruikers moeten middels two-factor authenticatie inloggen op het netwerk. De authenticatie van gebruikers is hiermee geborgd. De hoge rechten in de Windows Active Directory zijn beperkt tot onafhankelijke functionarissen in het kader van de jaarrekeningcontrole. Er vindt hierbij alleen geen zichtbare controle plaats op de rechten.

Suites

Voor Suites zijn de wachtwoordeisen van voldoende niveau; de applicatie kent een standaardset aan wachtwoordvereisten. Er zijn geen individuele gebruikers vrijgesteld van deze eisen. De hoge rechten in de applicatie zijn beperkt tot onafhankelijke functionarissen in het kader van de jaarrekeningcontrole. Er wordt echter geen zichtbare periodieke controle uitgevoerd op gebruikers en gebruikersrechten binnen de applicatie en er is geen functie-autorisatie matrix opgesteld. Wij adviseren u om functiescheiding te beschrijven middels een functie-autorisatie matrix en een periodieke controle uit te voeren op de inrichting van de rechten binnen de applicatie en dit vast te leggen.

Key2Financiën

Voor Key2Finaciën zijn de wachtwoordeisen niet van voldoende niveau. Zo moet het wachtwoord periodiek gewijzigd worden, maar is hergebruik van het wachtwoord toegestaan. In de applicatie zijn generieke accounts aanwezig. Wij adviseren om de wachtwoordeisen te herzien en zo min mogelijk gebruik te maken van generieke accounts. De hoge rechten in de applicatie zijn niet beperkt tot onafhankelijke functionarissen, er is een generiek account met hoge rechten. Er wordt geen zichtbare periodieke controle uitgevoerd op gebruikers en gebruikersrechten binnen de applicatie en er is geen functie-autorisatie matrix opgesteld. Wij adviseren u om de rechten opnieuw te beoordelen, functiescheiding in kaart te brengen en een periodieke controle uit te voeren op de inrichting van de rechten binnen de applicatie en dit vast te 21 leggen.

Authenticatie

Wmoned

Autorisatie Onze bevindingen en impact op de controle Voor Wmoned zijn de wachtwoordeisen van voldoende niveau. De applicatie geeft de mogelijkheid om two-factor authenticatie in te stellen. Er is één gebruiker die kan inloggen zonder two-factor authenticatie. We raden aan dit, waar mogelijk, zoveel mogelijk te beperken. De hoge rechten in de applicatie zijn beperkt tot onafhankelijke functionarissen in het kader van de jaarrekeningcontrole. Er wordt geen zichtbare periodieke controle uitgevoerd op gebruikers en gebruikersrechten binnen de applicatie en er is geen functie-autorisatie matrix opgesteld. Wij adviseren u om functiescheiding te beschrijven middels een functie-autorisatie matrix en een periodieke controle uit te voeren op de inrichting van de rechten binnen de applicatie en dit vast te leggen.

Autorisatie Op het gebied van autorisatie zijn verschillende vormen van diepgang te definiëren. Wat wij onderzoeken als het gaat om de randvoorwaarden rondom autorisatie, zijn de rechten die de mogelijkheid bieden om autorisatie-structuren te wijzigen en of deze rechten belegd zijn bij functionarissen met een onafhankelijke positie ten opzichte van de jaarrekening. Daarnaast is een effectieve procedure voor het wijzigen van rechten noodzakelijk. 22

3. Bevindingen IT-beheersing 3.3 Wijzigingsbeheer Bij het doorvoeren van wijzigingen in softwareomgevingen ontstaan risico’s voor de bedrijfsvoering van uw organisatie. Wij verwachten daarom dat het proces voor wijzigingen een proces doorloopt, waarmee de risico’s die gelopen worden, zijn ingeschat, worden geadresseerd en dat hierop maatregelen genomen worden. Wij hebben in de tabel aangegeven wat wij verwachten per fase en wat wij hebben geconstateerd tijdens onze controle (deels op basis van interview) en of dit overeen komt met de verwachting. .

Proces

Onze bevindingen

Risico inschatting Wij hebben vastgesteld dat wijzigingen via een standaard formulier verlopen. Een

concrete risicoanalyse waarin uw organisatie de risico’s identificeert is hierbij geen standaard stap. Hiermee is de kans aanwezig dat bepaalde risico’s in beperkte mate of geheel niet ondervangen zijn in het proces.

Opstellen testplan We hebben vernomen dat vaste testplannen worden opgesteld voor wijzigingen in Suites, maar er nog niet de mogelijkheid geweest is om deze toe te passen. en aanpak Wmoned wijzigingen worden ook op een gestructureerde manier doorgevoerd, waarbij testenplannen opgesteld worden. Deze plannen konden niet met ons gedeeld worden. Wij hebben vernomen dat bij wijzigingen van Key2Financiën geen testplannen opgesteld worden. De nieuwe applicatiebeheerder heeft echter aangegeven dat hij deze wel op wil gaan stellen.

Testen en documenteren

Wij hebben begrepen dat de uitgevoerde testwerkzaamheden bij versie-updates van Suites en Wmoned worden vastgelegd. Dit is niet het geval voor Key2Financiën. Test werkzaamheden zijn hierdoor niet aantoonbaar.

Gebruikers acceptatie

Wij hebben begrepen dat de ‘Business’ meestal wordt betrokken bij het proces voor het doorvoeren van softwarewijzigingen, en dat de controller & IT aftekenen voor het doorvoeren van de wijzigingen. We raden aan dit proces structureler en formeler vorm te geven.

Impact op de controle Voor alle applicaties zijn de releasenotes doorgenomen. Er zijn geen bevingen die impact hebben op de controle. We raden aan het wijzigingsproces voor de benoemde applicaties te formaliseren (zie bijlage 2) en de hiernaast benoemde processtappen structureel vast te leggen (bv. in een ticketsysteem).

3. Bevindingen IT-beheersing 3.4 Continuiteïtsmaatregelen en beveiliging Let op: de onderwerpen volgen uit interviews en hierop zijn door ons over het algemeen geen testwerkzaamheden uitgevoerd om vast te stellen dat de IT-omgeving is ingericht zoals ons voorgesteld is. Dit beperkt de zekerheid die u kunt ontlenen aan de door ons beschreven aandachtspunten.

Continuïteitsmaatregelen Recovery Point objective (RPO): De RPO is het punt in de tijd tot waar men minimaal de gegevens moet kunnen herstellen. Het is dus de acceptabele hoeveelheid aan dataverlies uitgedrukt in tijd.

Vervolg RTO Recovery: Middels interview met functionarissen van de Gemeente Delft vernomen dat er periodieke recoverytests worden uitgevoerd. De processen hieromtrent zijn helder en liggen vast in de DVO. Uitwijk: Middels interview met functionarissen van de Gemeente Delft vernomen dat er uitwijkmogelijkheden zijn ingericht en dat deze periodiek virtueel worden getest. Beveiliging Beveiliging De beveiliging van de IT-omgeving delen wij op in verschillende aspecten, welke wij hieronder hebben weergegeven.

Back-ups: Wij hebben vernomen dat back-ups periodiek en incrementeel worden gemaakt en extern worden opgeslagen. Daarnaast hebben we vernomen dat er controle op de volledigheid van back-ups wordt uitgevoerd.

Fysieke beveiliging: De serverruimtes zijn voorzien van diverse beveiligingsmaatregelen ten aanzien van temperatuur, klimaat en brandrisico’s. We hebben vernomen dat dit voor beide hosting locaties geldt.

Recovery Time Objective (RTO): Een RTO is de tijd waarna een proces/middel na een onderbreking moet teruggebracht zijn op een aanvaardbaar niveau, om een onacceptabele impact op de organisatie te vermijden.

Remote access: Voor het inloggen wordt gebruik gemaakt van two-factor authenticatie, waarmee het risico op ongeautoriseerde inlogpogingen wordt verlaagd.

Vervolg Beveiliging Hiernaast is two-factor authenticatie ingesteld voor inloggen op de Office 365 omgeving, wanneer deze online wordt benaderd. Hiermee wordt gevoelige data in deze omgeving aanvullend beschermd. Wij onderschrijven het belang van een dergelijke risicogerichte aanpak bij beveiligen van verschillende datasets. Preventie: Een firewall en virusscanner zijn aanwezig. We hebben vernomen dat functionarissen van de Gemeente Delft actief zorgdragen voor het beheer hiervan. Monitoring: We hebben vernomen dat functionarissen van de Gemeente Delft gebruik maken van diverse monitoringtools. Hiermee houdt men zicht op de succesvolle werking van maatregelen t.b.v. continuïteit. Daarnaast wordt hiermee actief zorg gedragen voor preventie en beveiliging.

3. Bevindingen IT-beheersing 3.5 Adviespunten zonder directe impact Let op: de onderwerpen volgen uit interviews en hierop zijn door ons over het algemeen geen testwerkzaamheden uitgevoerd om vast te stellen dat de IT-omgeving is ingericht zoals ons voorgesteld is. Dit beperkt de zekerheid die u kunt ontlenen aan de door ons beschreven aandachtspunten.

Beleid en Plannen Beleid Binnen uw organisatie is een uitgewerkt IT beleidsplan aanwezig, waarin de uitgangspunten voor IT beheer en ontwikkelingen zijn beschreven. We hebben vastgesteld dat het beleid actueel is dat de te verwachten onderdelen hierin aan bod komen.

Verantwoordelijkheden en regiefunctie Wij verwachten dat binnen uw organisatie duidelijke afspraken zijn gemaakt ten aanzien van verantwoordelijkheden over uitvoering en strategie op het gebied van IT. We hebben vernomen dat dit het geval is. Het informatiebeveiligingsbeleid is beschreven welke zaken de verantwoordelijkheid van de gemeente Rijswijk zijn en welke zaken onder het beheer van de Gemeente Delft vallen. In de meest recente DVO zijn hierover duidelijke afspraken gemaakt.

Uitvoering Beheersing van incidenten Om de performance van uw IT systemen en eventueel de performance van uw IT dienstverlener te monitoren, is registratie van de incidenten en problemen van belang. Hierdoor verkrijgt u inzicht in de performance van uw systemen, maar ook van uw IT organisatie en kunt u waar nodig uw beleidsplan corrigeren. Wij hebben vernomen dat u beschikt over een ticketsysteem, maar dat incidenten en meldingen niet altijd in dit systeem geregistreerd worden. Wij adviseren u registratie en afhandeling van incidenten structureel vast te leggen.

Uitvoering beheersingsmaatregelen IT Op verschillende vlakken worden (nog) geen toetsbare beheersingsmaatregelen uitgevoerd binnen uw organisatie. Denk aan: - Procedure rondom uitgifte en controle op unieke en individuele gebruikersnamen - Periodieke controle op actieve gebruikers - Periodieke controle op inrichting van wachtwoordbeleid - Periodieke controle op inrichting van rechten in het systeem conform beleid Deze procedures en daaruit volgende controlemaatregelen zorgen ervoor dat uw organisatie grip houdt op de IT-omgeving en faciliteren dat de randvoorwaarden, die de effectiviteit van ingerichte beheersingsmaatregelen beïnvloeden, van voldoende niveau zijn. Wij adviseren u periodieke controles uit te voeren op met name de juiste inrichting van wachtwoorden en rechten en rollen en de uitvoering hiervan toetsbaar vast te leggen. Tevens adviseren wij u een gestructureerde manier van testen waar de nodige vastleggingen in worden gedaan te hanteren.

Bijlage 1: detailbevindingen

Detailbevindingen Uitleg opbouw In dit hoofdstuk zijn de significante bevindingen opgenomen. Per bladzijde van deze managementletter is een bevinding opgenomen met daarbij het risico en een aanbeveling. Bij elke bevinding staat de datum van de eerste vermelding aangegeven te samen met de gradatie van de constatering. Bij de prioriteit staat de mate van belangrijkheid en urgentie. Per bevinding zullen wij aangeven welke alternatieve werkzaamheden wij zullen uitvoeren om het geconstateerde risico (gegevensgericht) te ondervangen. Voor bestaande bevindingen geven wij tevens een update van de status van deze bevinding in het huidige boekjaar.

Bevinding In dit blok wordt aangegeven wat gedurende de accountantscontrole is geconstateerd en waarvan wij u graag op de hoogte willen brengen.

Prioriteit Urgentie en belang van de bevinding

Boekjaar bevinding

Status

Boekjaar eerste vermelding Risico Hierbij geven wij aan wat de risico's zijn van de bevinding en wat de gevolgen voor uw organisatie kunnen zijn. Aanbeveling Hier geven wij u aanbevelingen met betrekking tot de bevinding. Deze aanbeveling is een mogelijke oplossing voor de bevinding. Update boekjaar / Gevolgen jaarrekeningcontrole Hier geven wij een update van de bevinding wanneer deze in een eerder boekjaar is geconstateerd. Tevens kan de bevinding gevolgen hebben voor de controleaanpak / omvang van onze controlewerkzaamheden. Op deze plaats maken wij hier eveneens vermelding van.

De kleur van de het symbool geeft de status van de constatering aan.  = opgelost  = actie ondernomen, maar nog niet afgerond  = geen actie ondernomen  = Nieuwe bevinding

Detailbevindingen 1. Verplichtingenadministratie Bevinding Wij hebben tijdens de controle geconstateerd dat de verplichtingen die de gemeente Rijswijk aangegaan is niet altijd inzichtelijk zijn. Hierdoor is het controleren of voldaan is aan de aanbestedingsvoorschriften een intensief proces. Wij constateren dat de verplichtingen in het kader van de jaarrekening steeds strikter worden, waardoor het voor de organisatie belangrijk is inzicht te hebben in de aangegane verplichtingen.

Prioriteit

Gemiddeld

Boekjaar bevinding

Status

2018 Risico Risico dat niet tijdig gesignaleerd wordt welke verplichtingen aangegaan zijn met als gevolg dat mogelijke rechtmatigheidsfouten niet tijdig worden onderkend.

Aanbeveling Wij adviseren u om zorg te dragen voor een juiste en volledige registratie van de verplichtingen en rekening te houden met mogelijkheden om op eenvoudige wijze de naleving van de aanbestedingsrichtlijnen te controleren. Wij vragen u aandacht voor de beschikbaarheid van medewerkers om de implementatie succesvol te laten verlopen.

Update boekjaar / Gevolgen jaarrekeningcontrole Doelstelling was om de verplichtingenadministratie in 2021 te implementeren. Vanwege ondercapaciteit heeft de implementatiefase vertraging opgelopen. Doelstelling is nu om de verplichtingenadministratie vanaf oktober 2021april 2022 in te richten. Bovenstaande betekent dat wij voor de controle van jaarrekening 2021 nog geen gebruik kunnen maken van de verplichtingenadministratie bij de controle op de rechtmatigheid inkopen. Met de organisatie zullen wij afspraken maken over de wijze waarop wij de controle voor boekjaar 2021 insteken. Dit zal vergelijkbaar zijn aan voorgaand jaar.

Detailbevindingen 2. Inkoopdossiers Bevinding Wij hebben vastgesteld dat er niet altijd sprake is van een eenduidige wijze waarop de inkoopdossiers vastgelegd worden. Hierdoor is het niet mogelijk vooraf te bepalen of het juiste inkooptraject gevolgd wordt.

Prioriteit

Gemiddeld

Boekjaar bevinding

Status

2015 Risico Risico dat achteraf niet aangetoond kan worden dat de juiste inkoopprocedure gevolgd is, waardoor de rechtmatigheid van de lasten niet aangetoond kan worden.

Aanbeveling Wij adviseren u om een eenduidige procedure te implementeren op de archivering van inkoopdossiers en erop toe te zien dat deze procedure breed binnen de organisatie gedragen wordt.

Update boekjaar / Gevolgen jaarrekeningcontrole Door een intensivering van de controle op inkoopdossiers en prestatielevering constateren wij een verbetering op de archivering van de inkoopdossiers. Wij constateren tegelijkertijd ook dat dit nog verder kan verbeteren. Dit zal meegenomen worden bij de implementatie van de verplichtingenadministratie. Voor de jaarrekening en het opstellen van de niet uit de balans blijkende verplichting is het van belang dat verplichtingen groter dan de Europese drempel ( € 214.000) over een periode van vier jaar inzichtelijk zijn en vermeld staan in de NUBBV.

Detailbevindingen 3. Prestatielevering Bevinding

Prioriteit

Boekjaar bevinding

Wij constateren echter tijdens de controle dat bij veel medewerkers niet duidelijk is waarom ze een factuur autoriseren.

Hoog

2019

Status

Risico Tevens constateren wij dat het huidige beleid dat ingaat op prestatielevering niet volledig voldoet aan de vereisten van de controle, waardoor niet altijd de juiste documenten (conform beleid) archiveren Om die reden kunnen wij niet steunen op de autorisaties binnen het systeem.

Risico dat facturen ten onrechte goedgekeurd worden omdat de prestatie niet geleverd is.

Aanbeveling Wij adviseren u om medewerkers te instrueren over de procedures bij ‘vaststellen prestatielevering en het beleid op juiste wijze aan te passen. Advies is om, zoals afgelopen perioden is gebeurd, periodiek te blijven controleren of en op welke wijze controle van prestatielevering heeft plaatsgevonden om hiermee het belang van de naleving van deze procedure te onderstrepen en goede implementatie te versnellen.

Update boekjaar / Gevolgen jaarrekeningcontrole Wij signaleren een verbetering in de vastlegging van de prestatielevering en kennis van medewerkers wat er van hen gevraagd wordt bij de controle op de prestatielevering. Tegelijkertijd signaleren wij dat dit kennisniveau en het naleven van de procedure nog onvoldoende is geborgd om systeemgericht te kunnen steunen. Voor de jaarrekeningcontrole zullen wij een aanvullende gegevensgerichte steekproef uitzetten om vast te stellen dat de prestatie voor de gemeente Rijswijk geleverd is.

Detailbevindingen 4. Handmatige betalingen Bevinding Wij hadden tijdens de interim-controle voorgaande jaren vastgesteld dat er relatief veel handmatige betalingen uitgevoerd worden. Wij zien dat de aantallen handmatige betalingen significant zijn gereduceerd. In de reguliere betaalprocedure is in de financiële applicatie een controle afgedwongen waarbij gecontroleerd wordt of het bankrekeningnummer juist is. Bij handmatige betalingen zijn er geen controles waarbij de juistheid van het bankrekeningnummer voor betaling afgedwongen worden.

Bij niet alle bankrekeningen is een functiescheiding in het betaalpakket afgedwongen, waardoor er ook mogelijkheden zijn om hoge betalingen zonder controle te verrichten.

Prioriteit

Boekjaar bevinding

Status

2019 Risico Risico dat betalingen ten onrechte plaatsvinden.

Update boekjaar Wij stelden tijdens de controle vast dat de handmatige betalingen tot en met oktober 2021 beperkt zijn. Om die reden is dit punt voldoende opgevolgd. Bij de controle constateerde wij wel dat het systeem geen eenduidige werkwijze kent om éénvoudig te analyseren hoeveel handmatige betalingen hebben plaatsgevonden. Hiervoor verwijzen wij ook naar detailbevinding 20. Gezien het (fraude)risico op onrechtmatige betalingen adviseren wij u te evalueren of de inrichting van de financiële administratie voldoet aan de verwachte eis om op effectieve en efficiënte wijze grip te houden op de financiën. Wij raden u aan om deze analyse te standaardiseren.

Detailbevindingen 5. Frauderisicoanalyse Bevinding Voorgaand jaar hebben wij aanbevolen een frauderisicoanalyse uit te voeren. Wij constateren dat de organisatie voor deze analyse een externe partij heeft ingeschakeld. De eindrapportage over de frauderisicoanalyse wordt naar verwachting medio december opgeleverd. In 2021 zijn tot op heden geen fraudes bekend bij de organisatie.

Prioriteit

Gemiddeld

Boekjaar bevinding

Status

2018 Risico Fraude wordt niet tijdig geconstateerd doordat de bewustwording en inzicht van de mogelijke onrechtmatigheden in de processen ontbreekt.

Aanbeveling Wij adviseren u een geformaliseerde fraudeanalyse op te stellen. Wij adviseren u om de risicoanalyse onderdeel te maken van het interne controleplan en regelmatig (intern bij de diverse afdelingen) aandacht voor deze risicoanalyse te vragen en deze periodiek te analyseren.

Volgend deel →

De tekst is automatisch uit het bestand gehaald en kan afwijken van het origineel (kolommen, tabellen en koppen lopen door elkaar). Het officiële stuk bij de gemeente is leidend. Bron: https://api1.ibabs.eu/publicdownload.aspx?site=Rijswijk&id=b9b1570f-44ae-4456-8f9a-c3723375821c