RIB 23 002a Managementletter Rijswijk 2022.pdf

Gemeente Rijswijk Boekjaar 2022

20/01/2023

© Baker Tilly

1

Geacht college, Aan het College van Burgemeester en Wethouders van de gemeente Rijswijk Boogaardplein 15 2284 DP Rijswijk ONDERWERP: Managementletter 2022 Versie: Definitief Datum: 23 januari 2023

Als onderdeel van de controle van de jaarrekening 2022 van gemeente Rijswijk hebben wij de administratieve organisatie en de daarin opgenomen maatregelen van interne beheersing beoordeeld, teneinde onze controlewerkzaamheden in overeenstemming met Nederlands recht waaronder de controlestandaarden te kunnen bepalen. De opzet, het bestaan en in voorkomende gevallen de werking van de interne beheersingsmaatregelen van de belangrijkste bedrijfsprocessen, inclusief de geautomatiseerde gegevensverwerking, in uw onderneming zijn beoordeeld en getoetst zodat we een terugkoppeling kunnen geven over de betrouwbaarheid van de interne informatievoorziening en de jaarrekening. Onze bevindingen zijn gebaseerd op de normale werkzaamheden in het kader van de jaarrekeningcontrole. Deze brief bevat daardoor niet alle onvolkomenheden in uw organisatie die bij een eventueel uitgebreid en hierop specifiek gericht onderzoek naar voren zouden kunnen komen. Zoals u zult begrijpen is de managementletter van nature kritisch. Wij rapporteren over de eventuele leemtes of mogelijkheden ter verbetering van de financiële en administratieve processen, de administratieve organisatie daarvan en de daarin opgenomen maatregelen van interne beheersing. De overige processen, inclusief de beoordeling van de IT-organisatie zijn als gevolg van personeelstekorten bij de gemeente nog niet afgerond.

Op uw verzoek geven wij in deze managementletter aan op welke wijze verbeteringen van de administratieve organisatie en de daarin opgenomen maatregelen van interne beheersing kunnen worden gerealiseerd. De aanbevelingen en oplossingsrichtingen zoals beschreven in deze managementletter bieden u handvatten voor deze uitwerking. Wij hebben de concept managementletter toegelicht en besproken met een afvaardiging van de ambtelijke organisatie. Wij danken u en uw medewerkers voor de samenwerking en zijn graag bereid tot het verstrekken van nadere toelichting. Met vriendelijke groet, Baker Tilly (Netherlands) N.V.

drs. S.M. Turenhout RA

2

Inhoudsopgave CONTACT S. Turenhout RA Verantwoordelijk accountant + 31 6 52 75 98 79 s.turenhout@bakertilly.nl

Y. van Kesteren Msc Manager Audit + 31 6 52 76 55 22 y.vankesteren@bakertilly.nl

KANTOORGEGEVENS Baker Tilly Den Haag Churchillplein 5D 2517 JW Den Haag

1. Bestuurlijke samenvatting

4

2. Overige bevindingen en aandachtspunten

7

3. Rechtmatigheidsverantwoording

20

4. Bevindingen IT-beheersing

23

Bijlage 1: Detailbevindingen

30

Bijlage 2: Actuele ontwikkelingen

54

Bijlage 3: IT-bijlagen

59

3

4

1. Bestuurlijke samenvatting Deze managementletter bevat onze bevindingen die zijn gebaseerd op onze werkzaamheden in het kader van de jaarrekeningcontrole voor het jaar eindigend op 31 december 2022.

Uw interne beheersing is nog voor verbetering vatbaar. We hebben geen significante tekortkomingen in uw interne beheersing (AO/IB) geconstateerd. Wel hebben we in deze managementletter u een aantal aanbevelingen meegegeven. Wij signaleren nu dat bepaalde controles tussen ‘wal en schip’ vallen waardoor er een risico ontstaat op een onvolledige en onnauwkeurige verantwoording. De belangrijkste oorzaken zijn terug te brengen naar de samenwerking tussen afdelingen, kennis van interne beheersing, eigenaarschap en vastlegging van processen.

Onze samenwerking. De samenwerking met de gemeente Rijswijk wordt de samenwerking vanuit het controleteam als prettig ervaren. De procesafspraken die gemaakt zijn met de medewerkers betrokken bij de aansturing van het proces zijn duidelijk en worden over het algemeen nagekomen. Een aandachtspunt is dat niet altijd duidelijk is welke medewerker van de gemeente verantwoordelijk is voor de beantwoording van onze vragen, waardoor de doorlooptijd van vragen relatief lang is.

De inflatie- en energiecrisis heeft voor 2022 een belangrijke invloed op uw gemeente. We vragen hier dan ook nadrukkelijk uw aandacht voor en verwachten van u bij de jaarrekeningcontrole een expliciete analyse van de onderhoudsvoorziening en de begrotings- en kredietrechtmatigheid. Indien de inflatie- en energiecrisis leidt tot een hoge mate van schattingsonzekerheid, bijvoorbeeld bij de waardering van de grondexploitaties, dient deze onzekerheid in de jaarrekening te worden toegelicht.

5

1. Bestuurlijke samenvatting Rechtmatigheidsverantwoording Vanaf 2023 dient het college van burgemeester en wethouders zelfstandig verantwoording af te leggen over de rechtmatigheid. Wij constateren dat er afgelopen jaar stappen gemaakt zijn in de verdere ontwikkeling van de (verbijzonderde) interne controle, maar signaleren nog verbeteringen in de samenwerking tussen de 1e, 2e en 3e lijn. De gemeente Rijswijk kan de uitkomsten van het three-lines model en de bevindingen van de VIC gebruiken om haar interne beheersing omtrent de processen verder te verstevigen.

Vooruitblik richting jaarrekeningcontrole 2022. We hebben met uw gemeente goede afspraken over de planning van de jaarrekeningcontrole gemaakt. Op voorhand identificeren we een aantal aandachtsgebieden met verhoogde aandacht in onze controle. Dit betreffen met name de controle op de waardering van de grondexploitaties, de controle op de toereikendheid van uw (onderhouds)voorzieningen en de controle van de prestatielevering van inkopen. Daarnaast constateren wij naar aanleiding van de jaarrekeningcontrole 2021 dat het proces rondom de jaarrekeningcontrole aandacht behoeft. De gemeente geeft hier nadrukkelijk invulling aan, onder andere aan de hand een begeleidingstraject.

De commissie BBV (Besluit Begroting en Verantwoording) heeft gedurende 2022 geen nieuwe notities uitgebracht. Wel zijn er een aantal “vraag en antwoord” verschenen, welke relevant kunnen zijn bij het opstellen van de jaarrekening 2022. Vanuit het oogpunt van onze natuurlijke adviesfunctie hebben we in deze managementletter een bijlage opgenomen met actuele ontwikkelingen.

6

7

2. Overige bevindingen en aandachtspunten 2.1 Algemeen Inleiding Doel en reikwijdte

Het doel van onze jaarrekeningcontrole is het vormen van een oordeel over de getrouwheid en de rechtmatigheid van de jaarrekening als geheel, zoals bedoeld in het Besluit Accountantscontrole Decentrale Overheden (BADO). Vanuit de jaarrekeningcontrole beoordelen wij of de kwaliteit van de administratieve organisatie en interne beheersing voor zover relevant voor onze oordeelsvorming. Wij geven geen zelfstandig oordeel over de kwaliteit van de administratieve organisatie en interne beheersing. De controle van de jaarrekening omvat het uitvoeren van controlewerkzaamheden, waaronder risicoanalyse, cijferanalyses, beoordeling van de administratieve procedures en het daarmee samenhangende systeem van interne beheersingsmaatregelen en gegevensgerichte controlewerkzaamheden. De samenstelling en omvang van die werkzaamheden zijn noodzakelijk voor het verkrijgen van voldoende controle-informatie ter onderbouwing van ons oordeel.

Risicoanalyse

Onze risicoanalyse richt zich op een betrouwbare totstandkoming van de jaarrekening. Dit betekent dat wij niet alle risico’s die voor u als gemeente relevant zijn in onze controle meenemen. De risicoanalyse is een continu proces en stellen wij gedurende de controle indien nodig bij. De belangrijkste bij uw gemeente onderkende risico’s / kernpunten in de controle zijn: • • • • •

Waardering van uw grondexploitatie Rijswijk Buiten; Rechtmatigheid aanbestedingen; Prestatielevering inkopen; Controle op de rechtmatige toeleiding en prestatielevering sociale domein Risico dat het management van de gemeente de procesafspraken doorbreekt, hetgeen een standaard risico is vanuit onze beroepsregels. Dit risico ziet bij uw gemeente met name toe op de schattingsposten in de grondexploitatie en voorzieningen.

In ons verslag van bevindingen rapporteren wij naar aanleiding van de jaarrekeningcontrole over bovenstaande punten. Deze punten zijn (on)gewijzigd ten opzichte van voorgaand jaar.

8

2. Overige bevindingen en aandachtspunten 2.2 Bedrijfsprocessen Beeld interne beheersing Interne beheersing

Afgelopen jaren hebben wij vanwege geconstateerde afwijkingen de controle met verhoogde diepgang uitgevoerd. Dit heeft voorgaande jaren geleid tot een aanzienlijk aantal detailbevindingen. Wij constateren dat de gemeente hiermee aan de slag gegaan is, maar nog niet alle punten (volledig) zijn afgewikkeld. Dit komt deels doordat de oplossing van deze punten bestaat uit meerdere stappen, waaronder o.a. de implementatie van systemen en het toepassen van andere werkwijzen. Een logisch gevolg hiervan is dat de doorlooptijd van het opvolgen meer tijd in beslag neemt.

Overkoepelende thema’s

De detailbevindingen die u in deze managementletter aantreft is heel divers, mede doordat zij op veel verschillende processen zien. Tijdens onze controle constateren wij echter wel een overkoepelende punten waarmee deze ‘detailbevindingen’ samengevat kunnen worden. De overkoepelende thema’s bestaan uit: Inrichting van procesverantwoordelijkheid en onderlinge samenwerking, kennis van risicobeheersing en interne beheersing en borging van uitgewerkte processen. Ook de inrichting en capaciteit van de VIC speelt hierbij een rol. Ons inziens is er aandacht nodig voor deze thema’s om de interne beheersing van de gehele organisatie op het gewenste niveau te krijgen. Deze thema’s lichten wij toe in deze paragraaf.

Procesverantwoordelijkheid en onderlinge samenwerking

Tijdens onze controle hebben wij gesproken met procesverantwoordelijken bij de processen met een financieel significante omvang. Samenvattend concluderen wij hierbij dat bij veel processen veel verschillende medewerkers en soms ook veel afdelingen betrokken zijn. Daarbij constateren wij in gesprekken dat er geen duidelijke proceseigenaar is en het bij medewerkers niet altijd duidelijk is bij wie welke verantwoordelijkheid ligt. Een voorbeeld hiervan is het proces verhuur, waarbij verschillende afdelingen in meer of mindere mate betrokken zijn. Bij de bespreking van dit proces leken wij niet alle informatie over de rollen van medewerkers beschikbaar en was volgens de betrokken medewerkers ook geen sprake van een eenduidige werkwijze voor alle betrokken functionarissen. Voor onze controle spreken wij om die reden meerdere medewerkers om de juiste controle informatie te verkrijgen. Uit deze overleggen blijkt dat verantwoordelijkheden tussen afdelingen niet altijd duidelijk zijn. Verantwoordelijkheid wordt bij andere afdelingen neergelegd, waarbij deze ‘andere’ afdelingen zich (soms) niet bewust van zijn. Doordat processen soms erg verspreid over de organisatie liggen worden essentiële risico’s niet (of niet tijdig) gesignaleerd, waardoor interne beheersing ontbreekt. Hierdoor mist een belangrijk uitgangspunt voor ‘In Control’ zijn.

In onze beleving is ‘In Control’ zijn en blijven een gezamenlijke verantwoordelijkheid waarbij ‘uitvoerende’ en ‘ondersteunende’ afdelingen met elkaar samenwerken en versterken. Hierin valt bijvoorbeeld op dat een deel van de uitvoerende taken van uitvoerende afdelingen, bijvoorbeeld op het gebied van het verzamelen van informatie en het opstellen van verkoopfacturen bij de (ondersteunende) financiële administratie terecht komen. Hierdoor ontstaat een vermenging van functies tussen de uitvoerende, registrerende en controlerende taken. Wij vinden het bij uitstek een rol van het management om met elkaar duidelijke afspraken te maken over inrichting van processen en het benoemen van het eigenaarschap van deze processen en adviseren u om dit mee te nemen in de doorontwikkeling richting de rechtmatigheidsmededeling.

9

2. Overige bevindingen en aandachtspunten 2.2 Bedrijfsprocessen Beeld interne beheersing Kennis inzake risicobeheersing en interne beheersing

In het verlengde van onze opmerking over eigenaarschap van processen constateren wij dat de kennis en deskundigheid over ‘interne beheersing’ en de daarmee samenhangende risico inschatting en monitoring op de diverse afdelingen te beperkt aanwezig is. Dit creëert mogelijk het risico dat afdelingen onvoldoende in staat of bereid zijn om de juiste proces- of kwaliteitscontroles (1e of 2e lijn controles) in de processen te implementeren en uitvoeren. Een concreet voorbeeld hiervan is de beperkte aanwezigheid van ‘verbandscontroles’ of ‘monitoring controls’ binnen de afdeling. Verbandscontroles bestaan o.a. uit de vergelijking van externe kwalitatieve informatie met de financiële informatie enerzijds om te toetsen of de financiële informatie betrouwbaar is, anderzijds ook om een juiste en toereikende verklaring te kunnen geven van de afwijkingen ten opzichte van de verwachting. Wij vragen u hier specifiek aandacht te schenken aan de kennis en deskundigheid over ‘interne beheersing’ op de afdelingen, aangezien de succesfactor van de ‘controletoren’ o.a. afhankelijk is van de juiste kennis binnen de afdelingen.

Processen onvoldoende uitgewerkt

Zoals gezegd hebben wij tijdens onze controle gesproken met de procesverantwoordelijken van diverse (financieel) significante processen. Naast de reeds genoemde aandachtspunten constateren wij hierbij dat diverse processen niet of onvoldoende uitgewerkt zijn waardoor in processen niet altijd duidelijk is: “Wie doet wat, wanneer en aan de hand waarvan?”. In deze gevallen is er geen compleet beeld over de controles die in het proces plaatsvinden. Controles vinden informeel of onzichtbaar plaats. Hierdoor ontbreekt de mogelijkheid om vanuit interne controle te beoordelen of maatregelen aanwezig zijn en of er niet afgedekte risico’s zijn binnen processen. Wij adviseren u om eenduidige procedurebeschrijvingen op te stellen, die antwoord geven op deze vraag, zodat een juiste risicoanalyse op het proces mogelijk is.

Inrichting 1e, 2e, 3e lijn van interne beheersing

In 2023 moet het college zich, via deze interne beheersing, tot een oordeel komen over de rechtmatigheid binnen de gemeente. Uitvoerende afdelingen zijn ‘eigenaar’ van het proces en moeten door middel van zichtbare eerstelijns en/of tweedelijnscontroles de beheersing van het proces inrichten. De afdeling verbijzonderde interne (VIC) heeft binnen uw gemeente een zuiver controlerende en adviserende rol. De VIC heeft een toetsende rol op processen en stromen om inzicht te krijgen in de interne beheersing. Deze rol bevindt zich in de ‘derde lijn’ van interne beheersing. Op die manier is interne beheersing continue aanwezig en gewaarborgd. De huidige inrichting van verschillende processen is hiervoor nog niet toereikend. Om tot een rechtmatigheidsverantwoording te komen moet, middels controles achteraf, tot zekerheid worden gekomen over de rechtmatige verantwoording van processen en stromen. Wij adviseren u nadrukkelijk aandacht te geven aan deze constatering en deze op te nemen in de verdere doorontwikkeling van de ‘controletoren’. Wij raden het college aan om deze controletoren en de verwachte werkzaamheden van de diverse controlelijnen goed en eenduidig te laten beschrijven zodat voor medewerkers en afdelingen duidelijk is wat er verwacht wordt. 10

2. Overige bevindingen en aandachtspunten 2.2 Bedrijfsprocessen Aandachtspunten voor specifieke processen Geen aansluitingen met basisadministratie

Wij vragen uw nadrukkelijke aandacht voor de kwaliteit van management informatie binnen de gemeente. Wij begrijpen dat de informatie vanuit diverse subadministraties niet periodiek wordt aangesloten met de informatie vanuit de financiële administratie. Daarnaast begrijpen wij dat de informatie vanuit een aantal subadministraties (waaronder in ieder geval de salarisadministratie) een achterstand in de verwerking aanwezig is, waardoor deze informatie op dit moment niet tijdig in de financiële administratie wordt verwerkt. Hierdoor is de tussentijdse informatie die gerapporteerd wordt op onderdelen niet volledig, waardoor mogelijke begrotingsoverschrijdingen en onderschrijdingen mogelijk niet tijdig worden gesignaleerd. Wij adviseren u in ieder geval tussentijdse analyses uit te voeren op de cijfers die worden gehanteerd bij het opstellen van de tussentijdse rapportages.

Beheersing binnen het sociaal domein

De afdeling ‘Sociaal domein’ is één van de afdelingen die al meerdere jaren een gedegen 2e lijnscontrole heeft geïmplementeerd. Wij constateren op basis van gesprekken met de gemeente dat deze 2e lijnscontrole voor Wmo en Jeugd voor eerste acht maanden van 2022 niet is uitgevoerd. Vanaf 1 september 2022 is weer invulling gegeven aan de 2e lijnscontrole. In 2022 is hierdoor een ‘gat’ in de interne beheersing ontstaan. Om dit gebrek aan interne beheersing op te vangen zullen wij gegevensgerichte controlewerkzaamheden uitvoeren op deze processen. Hiermee wordt zekerheid verkregen of het ontbreken van de interne controle heeft geleid tot fouten in de verantwoording.

Inkoop

Uw gemeente is in 2020 gestart met de implementatie van de verplichtingenadministratie. Deze implementatie zorgt voor een sterke verbetering van de interne beheersing van inkopen. Wij hebben begrepen dat in de tweede helft van 2022 de verplichtingenadministratie is ingericht en dat deze vanaf 1 januari 2023 geacht wordt voor alle afdelingen volledig in gebruik te zijn. Hierbij wordt voor alle verplichtingen en facturen boven de € 10.000 afgedwongen dat deze worden geregistreerd en gekoppeld. Voorgaande jaren constateerden wij dat er door medewerkers te beperkt invulling gegeven werd aan de onderbouwing van de prestatieleveringen. Sinds vorig jaar wordt deze controle meegenomen in de (verbijzonderde) interne controle. Vanwege de omvang van de uitvraag over de eerste acht maanden heeft de aanlevering van de contracten en prestatieleveringen voor deze periode tot op heden nog niet plaatsgevonden. Wij adviseren de gemeente prioriteit te geven aan de controle op de inkoopfacturen en de aansluiting met de contracten en de onderbouwing van de prestatielevering.

11

2. Overige bevindingen en aandachtspunten 2.3 Overzicht bevindingen (nieuwe bevindingen) Deze managementletter bevat onze bevindingen die zijn gebaseerd op de onze werkzaamheden in het kader van de jaar-rekeningcontrole voor het jaar eindigend op 31 december 2022. Deze werkzaamheden zijn dan ook niet gericht op het geven van een oordeel over de interne beheersing van uw organisatie als geheel. Voorgaand jaren hebben wij tijdens onze besprekingen met u diverse aanbevelingen benoemd ter verdere optimalisering van de bestaande administratieve organisatie en interne beheersing. In deze management letter geven wij u een schriftelijke update van onze bevindingen. In het overzicht hiernaast zijn de bevindingen met prioriteit ‘hoog’ opgenomen. Een totaaloverzicht van de detailbevindingen is opgenomen in bijlage 1. De kleur van de het symbool geeft de status van de constatering aan. " = opgelost " = actie ondernomen, maar nog niet afgerond " = geen actie ondernomen " = Nieuwe bevinding

Aanbevelingen Aantal nieuwe aanbevelingen

4

Aantal aanbevelingen uit voorgaande jaren

18

Waarvan opgelost/afgewerkt in 2022

6

Resterende aanbevelingen uit voorgaande jaren

12

Waarvan reeds acties zijn ondernomen, maar nog niet zijn afgerond

10

Waarvan nog geen acties zijn ondernomen

2

Aantal openstaande aanbevelingen

16

Nieuwe bevindingen 2022 #

Proces

Bevinding

Status

Prioriteit 2022

Prioriteit 2021

1

Wmo en Jeugd

Gedurende deel van het jaar geen tweedelijns controle

"

Hoog

n.v.t.

2

Financieel beheer

Tussentijdse management informatie niet volledig door het ontbreken van aansluiting naar de basisadministratie

"

Hoog

n.v.t.

3

Verhuur

Geen eenduidige werkwijze verhuurproces

"

Gemiddeld

n.v.t.

4

Wmo

Wmo hulpmiddelen in eigendom niet in administratie

"

Gemiddeld

n.v.t.

In de tabel rechts is een totaal overzicht opgenomen van de het totaal aantal detailbevindingen. De bevindingen en onze aanbevelingen worden op de volgende pagina's van deze managementletter uitgebreider toegelicht.

12

2. Overige bevindingen en aandachtspunten 2.3 Overzicht bevindingen (bestaande bevindingen) Deze managementletter bevat onze bevindingen die zijn gebaseerd op de onze werkzaamheden in het kader van de jaar-rekeningcontrole voor het jaar eindigend op 31 december 2022. Deze werkzaamheden zijn dan ook niet gericht op het geven van een oordeel over de interne beheersing van uw organisatie als geheel.

Opvolging bestaande bevindingen

Voorgaand jaren hebben wij tijdens onze besprekingen met u diverse aanbevelingen benoemd ter verdere optimalisering van de bestaande administratieve organisatie en interne beheersing. In deze management letter geven wij u een schriftelijke update van onze bevindingen. In het overzicht hiernaast zijn de bevindingen met prioriteit ‘hoog’ opgenomen. Een totaaloverzicht van de detailbevindingen is opgenomen in bijlage 1. De kleur van de het symbool geeft de status van de constatering aan. " = opgelost " = in opzet opgelost, werking nog niet getoetst " = actie ondernomen, maar nog niet afgerond " = geen actie ondernomen " = Nieuwe bevinding In de tabel rechts is een totaal overzicht opgenomen van de het totaal aantal detailbevindingen. De bevindingen en onze aanbevelingen worden op de volgende pagina's van deze managementletter uitgebreider toegelicht.

#

Proces

Bevinding

Status

Prioriteit 2022

Prioriteit 2021

5

Financieel beheer

Beperkte mogelijkheid tot monitoring vanuit de financiële administratie

"

Gemiddeld

Gemiddeld

6

Jeugdhulp

Geen tussentijds inzicht in betalingen Servicebureau Jeugdhulp Haaglanden

"

Laag

Gemiddeld

7

Betalingen

Geen zichtbare controle op definitieve betaalbatch

"

Afgerond

Gemiddeld

8

Inkopen

Ontbrekende verplichtingenadministratie

"

Laag

Gemiddeld

9

Inkopen

Geen eenduidige registratie inkoopdossiers

"

Laag

Gemiddeld

10

Inkopen

Onderbouwing prestatielevering

"

Hoog

Hoog

11

Financieel beheer

Frauderisicoanalyse

"

Afgerond

Gemiddeld

12

Financieel beheer

Verbijzonderde interne controle

"

Gemiddeld

Gemiddeld

13

Personeelskosten

Geen zichtbare controle personeelsmutaties

"

Afgerond

Laag

14

Subsidies

Controle op subsidieverstrekkingen vindt plaats zonder checklist

"

Laag

Gemiddeld

15

Wmo

Geen controle op wijzigingen crediteurenstamgegevens zorginstellingen

"

Afgerond

Gemiddeld

16

Omgevingsvergunningen

Geen tweede toetsing op de gehanteerde bouwkosten in vergunningsaanvraag

"

Gemiddeld

Gemiddeld

17

Grondexploitatie

Onvolledige onderbouwing uitgangspunten grondexploitatie

"

Hoog

Gemiddeld

18

Parkeerbelasting

Monitoring volledigheid parkeeropbrengsten

"

Gemiddeld

Hoog

19

Verhuur

Geen zichtbare controle op de volledigheid van de contractenregistratie

"

Gemiddeld

Gemiddeld

20

Financieel beheer

Geen zichtbare controle op memoriaalboekingen

"

Gemiddeld

Gemiddeld

21

IT-audit

Mutaties crediteurenstamgegevens

"

Afgerond

Gemiddeld

22

IT-audit

Geen actief gebruikersbeheer

"

Afgerond

Laag

13

2. Overige bevindingen en aandachtspunten 2.4 Samenwerking en VIC Onze samenwerking met de gemeente in het controleproces

Als voorbereiding op de interimcontrole hebben wij een evaluatie gedaan van het controleproces van voorgaand jaar en zijn er tussen ons en de gemeentelijke organisatie heldere afspraken, bijvoorbeeld ten aanzien van inkopen en aanbestedingen, gemaakt over de verwachtingen voor het controleproces van 2022. Tijdens de interimcontrole hebben wij in een prettige en constructieve wijze samengewerkt met de gemeente. Belangrijke elementen in de samenwerking hierbij zien onder andere toe op: - Proactieve afstemming op bijzonderheden en/of belangrijke aandachtsgebieden bijvoorbeeld ten aanzien van de controle op de belastingopbrengsten, de aanbestedingsrechtmatigheid en de werkzaamheden van de (verbijzonderde) interne controle; en - Inspanning om te zorgen dat alle gewenste informatie op een adequate wijze en voor aanvang van de controle aanwezig is

Inrichting en kwaliteit VIC

Een belangrijk onderdeel van de interne beheersing is de (verbijzonderde) interne controlefunctie. U heeft een controletoren opgezet waarbij u uitgaat van een juiste inrichting van proces en kwaliteitscontroles (1e en 2e lijn) op de afdelingen. De VIC controleert of dit juist wordt toegepast binnen de afdelingen. Wij constateren tijdens onze controle dat de afspraken en verantwoordelijkheden tussen de afdeling controle en de uitvoerende afdelingen nog niet altijd juist zijn afgestemd en voor de medewerkers duidelijk is wat er van hen verwacht wordt. Deels komt dit doordat de huidige werkwijze afwijkt van de werkwijze die voorheen gehanteerd werd. Wij willen u erop wijzen dat een gedegen uitvoering van de verbijzonderde interne controle steeds belangrijker zal worden als gevolg van het verplicht worden van de rechtmatigheidsverantwoording door het college met ingang van 2023. Een kwalitatief goed intern controleplan en een juiste uitvoering bevat in onze optiek een gedegen samenwerking tussen de VIC en de uitvoerende afdelingen. Wij rapporteren via de 3 lines of defense model. Dat willen zeggen dat wij binnen de processen nagaan op welk niveau in de organisatie de interne beheersmaatregelen worden ondervangen. De volgende niveaus worden hierbij onderkend: •

1e lijn: in het primaire proces, onder verantwoordelijkheid van de proceseigenaar.

•

2e lijn: bij het primaire proces waarin een afdeling kwaliteitscontroles uitvoert gericht zijn om fouten te signaleren.

•

3e lijn: in het ondersteunende proces, waarin de 1e en 2e lijn getoetst worden en controlewerkzaamheden uitgevoerd worden om tot een rechtmatigheidsmededeling te komen. De 3e lijn toetst de controles die in de 1e en 2e lijn zijn uitgevoerd.

Indien de beheersmaatregelen in de 1e en/of 2e lijn adequaat zijn ingericht dan is de organisatie optimaal in control en is een voornamelijk systeemgerichte controleaanpak mogelijk. Indien dit niet het geval is kan dit gecompenseerd worden door de gegevensgerichte werkzaamheden. In het kader van de rechtmatigheidsverantwoording dienen deze compenseerde maatregelen per proces/stroom minimaal op de afdelingen te worden ingericht. De VIC maakt gebruik van de werkzaamheden op de afdelingen om tot haar rechtmatigheidsoordeel te komen. Wij willen u erop wijzen dat dit betekent dat er nog een forse stap gezet moet worden om tot een rechtmatigheidsmededeling te komen. Het overzicht op de volgende pagina geeft een beeld over de mate van beheersing en controle van uw gemeente. Aangezien de derde lijn (volgens bovenstaand model) nog niet wordt uitgevoerd hebben wij deze daar niet in opgenomen.

14

2. Overige bevindingen en aandachtspunten 2.5 Three lines model Wij rapporteren via het Three lines model. Dat willen zeggen dat wij binnen de processen nagaan op welk niveau in de organisatie de interne beheersmaatregelen worden ondervangen. De volgende niveaus worden hierbij onderkend: 1e lijn: in het primaire proces, onder verantwoordelijkheid van de proceseigenaar. 2e lijn: in de ondersteunende processen zoals financiën en control, waar checks and balances ingericht zijn om fouten te signaleren. 3e lijn: in uw verbijzonderde interne controle achteraf, deze is in 2022 nog niet volledig ingericht, wij zien echter dat de gemeente concrete plannen heeft opgesteld om deze lijn vanaf 2023 verder vorm te geven. Indien de beheersmaatregelen in de 1e en/of 2e lijn adequaat zijn ingericht dan is de organisatie optimaal in control en is een voornamelijk systeemgerichte controleaanpak mogelijk. Indien dit niet het geval is kan dit gecompenseerd worden door de gegevensgerichte werkzaamheden. In het kader van de rechtmatigheidsverantwoording dienen deze compenseerde maatregelen per proces/stroom minimaal op de afdelingen te worden ingericht. De VIC maakt gebruik van de werkzaamheden op de afdelingen om tot haar rechtmatigheidsoordeel te komen. Nr.

Proces

1e lijn

2e lijn

3e lijn

Opmerking / toelichting

1

Inkopen en betalingen

"

"

n.v.t

De beheersing rondom vastlegging prestatielevering is nog onvoldoende om hierop te kunnen steunen. Wij signaleren dat de ‘kennis’ van prestatieleveringen nog beperkt binnen uw organisatie aanwezig is. Wij vragen hiervoor u aandacht. Met de uitvoering van een interne controle is gestart.

2

Aanbestedingen

"

"

n.v.t

De verplichtingenadministratie is in de loop van 2022 ingericht. Hiermee moet vanaf 2023 de controle op inkopen en aanbestedingen kunnen worden vereenvoudigd. De spendanalyse die door de organisatie wordt opgezet is in basis toereikend, de follow-up van bevindingen is hierin een aandachtspunt.

3

Lonen en salarissen

"

"

n.v.t

Er is een achterstand in de verwerking van de salarislasten in de financiële administratie. Inmiddels vinden wel zichtbare controles plaats op de mutaties in de salarisadministratie, waardoor deze bevinding uit 2021 is opgelost.

4

Subsidies

"

"

n.v.t

In 2022 is Key2Subsidies in gebruik genomen, waardoor het subsidieproces eenduidiger wordt vastgelegd in de subsidieadministratie. Een expliciete controle van het subsidiedossier aan de ASV is geen onderdeel van de ingerichte waarborgen in het systeem.

5

Grondexploitaties

"

"

n.v.t

Gezien de beperkte omvang van de projectorganisatie is functiescheiding niet altijd mogelijk binnen de 1e of 2e lijn. Wij signaleren wel een gedegen 2e lijn controle op de grondverkopen, echter ontbreekt een ‘onafhankelijke’ interne toetsing op de juiste uitgangspunten in de waardering.

6

Belastingen

"

"

n.v.t

Wij constateren dat een gedegen ‘controlesysteem’ met afstemming van verantwoordelijkheden tussen de diverse afdelingen ontbreekt, waardoor ons inziens essentiële interne beheersingsmaatregelen niet aanwezig zijn. Concreet ontbreekt op onderdelen in dit proces het vier ogen principe.

7

Participatiewet

"

"

n.v.t

8

Jeugdwet ZIN

"

"

n.v.t

9

Wmo ZIN

"

"

n.v.t

10

Omgevingsvergunningen

"

"

n.v.t

Wij constateren dat een controle op de nauwkeurigheid van bouwkosten nog niet is uitgevoerd. In overleg met de teamleider van de afdeling worden 10 dossiers, waar de gemeente het hoogste risico loopt dat de bouwsommen onterecht te laag zijn opgegeven, begin 2023 gecontroleerd.

11

Huren en pachten

"

"

n.v.t

Wij constateren dat de functiescheiding in dit proces niet duidelijk is ingericht, waardoor de financiële administratie zelf een deel van de uitvoering van dit proces heeft opgepakt. Wij adviseren de verantwoordelijkheden en bevoegdheden in dit proces te beoordelen en toe te wijzen.

De tweedelijnscontrole op de processen Wmo en Jeugd is gedurende een deel van het jaar niet uitgevoerd. Hierdoor bestaat het risico dat de toekenningen in het boekjaar niet nauwkeurig hebben plaatsgevonden.

Uit bovenstaande beeld komt naar voren dat wij nog niet optimaal op de processen kunnen steunen maar in samenwerking met de VIC grotendeels een gegevensgerichte aanpak hanteren. Wij bespreken uiteraard graag met u de mate van beheersing en uw gewenste ambitieniveau. Legenda status: " = geen bevindingen met kans op materiële fouten, enkel aanbeveling ter verdere optimalisatie " = één of enkele bevindingen met geringe impact resteren

" = meerdere bevindingen en aanbevelingen met mogelijk grote impact " = geen bevindingen geconstateerd. De VIC moet nog worden uitgevoerd 15

2. Overige bevindingen en aandachtspunten 2.6 Belangrijke macro-economische ontwikkelingen Grondexploitaties

Impact op schattingen Nederland heeft op dit moment te maken met enkele extreme omstandigheden: enorm oplopende inflatie, de energiecrisis en de capaciteitsproblemen op de arbeidsmarkt. Deze omstandigheden leiden tot financiële risico’s voor gemeenten op langere termijn, maar zeker ook op korte termijn in relatie tot het opstellen van de jaarrekening 2022. Er zijn momenteel diverse onzekere factoren die impact hebben op de ontwikkeling van grondexploitaties en meer in het algemeen de begroting beïnvloeden, denk hierbij onder andere aan: - Een stijgende vraag naar woningen; - Krapte aan (betaalbare) woningen op de markt; - Krapte op de arbeidsmarkt bij bouwondernemingen; - Stijgende energie- en grondstofprijzen + stijgende rente; - Verduurzamingsopgave; - Wijziging wet-en-regelgeving / jurisprudentie (Didam-arrest / Stikstof) Deze huidige ontwikkeling en de onzekerheid over de toekomstige ontwikkelingen betekent een grote schattingsonzekerheid op de verwachte realisatie van uw grondexploitaties. Wij verzoeken u om na te gaan in welke mate bovenstaande elementen impact hebben op uw specifieke situatie. Te meer omdat regionale verschillen en stijgingen van prijzen in specifieke kostensoorten fors van elkaar kunnen verschillen.

Toelichtingen in de jaarrekening Daarnaast dient bij een hoge mate van schattingsonzekerheid een adequate toelichting bij de verantwoording in de jaarrekening te worden opgenomen. Belangrijke elementen hierbij zijn: -

Het toelichten van de gehanteerde veronderstellingen; en

-

Een toelichting (impact / scenario’s) over de schattingsonzekerheid.

Wij vragen u na te gaan welke acties reeds zijn ondernomen en welke uitgangspunten gekozen zijn. Wij zijn reeds met de gemeente in overleg over de actualisatie van de grondexploitatie RijswijkBuiten per 1 januari 2023, zodat bovenstaande zaken hierin worden meegenomen en tijdig door ons worden getoetst.

16

2. Overige bevindingen en aandachtspunten 2.6 Belangrijke macro-economische ontwikkelingen Overige jaarrekeningposten

Nederland heeft op dit moment te maken met enkele extreme omstandigheden: enorm oplopende inflatie, de energiecrisis en de capaciteitsproblemen op de arbeidsmarkt. Deze omstandigheden leiden tot financiële risico’s voor de gemeenten op langere termijn, maar zeker ook op korte termijn in relatie tot het opstellen van de jaarrekening 2022. Actualisatie van de grondexploitaties ligt gezien de genoemde omstandigheden voor de hand, maar ook op andere gebieden is het noodzakelijk om afdoende rekening te houden met de huidige ontwikkelingen. We vragen hier dan ook nadrukkelijk uw aandacht voor en verwachten van u bij de jaarrekeningcontrole een expliciete analyse van: -

Waardering (langlopende) vorderingen. Ook partijen waar u leningen aan heeft verstrekt of waar u vorderingen op heeft, kunnen zijn getroffen door de genoemde ontwikkelingen. Het is bij het opstellen van de jaarrekening dan ook noodzakelijk om een toereikende voorziening te treffen voor de eventuele oninbaarheid van deze vorderingen. In het bijzonder vragen we u aandacht voor de vorderingen richting gesubsidieerde instellingen.

-

Onderhoudsvoorzieningen. Gezien het feit dat bouwkosten fors toenemen, is de kans groot dat de beheerplannen waarop uw onderhoudsvoorziening is gebaseerd, niet meer actueel zijn. Het BBV heeft als een van de eisen dat er een actueel beheerplan aanwezig is. Het is dan ook noodzakelijk om de geschetste ontwikkelingen in financiële zin door te vertalen in de aanwezige beheerplannen. De gemeenteraad dient tijdig geïnformeerd te worden over eventuele benodigde bijstelling van de beheerplannen. Voor alle plannen zou jaarlijks de analyse gedaan moeten worden. Als hieruit blijkt dat de realisatie van kosten (veel) hoger is dan begroot, dan is dit een indicatie om het beheerplan te herijken. Bijstorting in voorzieningen is alleen noodzakelijk indien sprake is van een negatief saldo van de voorziening. In alle andere gevallen dient de gemeente op basis van de afwijkende realisatie een bijgesteld beheerplan voor te leggen aan de raad ter goedkeuring.

-

Begrotings- en kredietrechtmatigheid. De genoemde ontwikkelingen leiden zowel op korte als langere termijn tot hogere lasten voor de gemeente. In het kader van de begrotingsrechtmatigheid is het van belang dat het college eventuele begrotingsafwijkingen als gevolg van deze hogere lasten tijdig meldt aan de gemeenteraad en hier begrotingsruimte voor vindt. Ook mogelijke kredietoverschrijdingen dienen tijdig in beeld te zijn en daar waar noodzakelijk tijdig met de gemeenteraad te worden gecommuniceerd.

-

Tot slot is het noodzakelijk om de toekomstige risico’s, zoals bijvoorbeeld ten aanzien van de toenemende rente in beeld te hebben.

17

2. Overige bevindingen en aandachtspunten 2.7 Fraudeanalyse Fraude driehoek

Wij raden u aan bij het identificeren van de fraude-risico’s binnen uw gemeente specifiek gebruik te maken van de fraude driehoek. De fraudedriehoek kent de elementen ‘Gelegenheid’, ‘Rationalisatie’ en ‘Druk’ en is een goed hulpmiddel om frauderisicofactoren in beeld te krijgen en vandaar uit te bepalen of deze frauderisicofactoren ook daadwerkelijk tot een frauderisico voor uw gemeente leiden. Belangrijk is om uw overwegingen/analyse goed te documenteren. Wij vragen u als gevolg van de huidige economische ontwikkelingen (o.a. stijgende energieprijzen en indexatie) bij uw analyse nadrukkelijk aandacht te besteden aan de elementen druk en rationalisatie. Deze kunnen mogelijk leiden tot aanvullende fraude-risico’s. Wij adviseren u daarbij specifiek te kijken naar het (fraude)risico van onrechtmatige onttrekkingen van geld aan de gemeente. Op basis van onze uitgevoerde interimcontrole hebben wij vastgesteld dat er binnen de gemeente reeds aandacht is voor frauderisico’s en de preventie daarvan. Wij adviseren u om de risicoanalyse met specifieke frauderisico’s verder uit te breiden en ook tot een gewogen afweging te komen welke risico’s te accepteren en welke risico’s te mitigeren. Daarnaast bevelen we aan om periodiek te beoordelen wat de mogelijke consequenties zijn van macro-economische, regionale of operationele omstandigheden en de impact hiervan op uw frauderisicoanalyse.

Verslechterende koopkrachtomstandigheden kunnen bijvoorbeeld leiden tot een verhoogd frauderisico door medewerkers of cliënten. Wij adviseren u om hierbij ook specifiek aandacht te besteden aan het (fraude)risico van onrechtmatige onttrekkingen van geld aan de gemeente. Als belangrijke prioriteit noemen wij ook het risico dat facturen worden goedgekeurd waar geen prestatie voor uw gemeente tegenover staat. De verbijzonderde interne controle kan ook aan waarde winnen als de opdracht hiervoor wordt ingegeven vanuit een interne frauderisicoanalyse, waardoor de werkzaamheden beter aansluiten op de risico’s binnen de organisatie. Hiermee wordt in het uiteindelijke oordeel van de VIC tevens vastgesteld of frauderisico’s in de processen/stromen voldoende zijn gewaarborgd.

Verantwoordelijkheid van het college

De primaire verantwoordelijkheid voor het voorkomen en detecteren van fraude berust bij het College van Burgemeester en Wethouders. Deze verantwoordelijkheid betreft ook het onderhouden van een zodanige interne beheersing om het opmaken van de jaarrekening mogelijk te maken zonder dat deze afwijkingen van materieel belang bevat als gevolg van fraude of fouten. Wij willen u erop wijzen dat wij vanaf dit boekjaar verplicht zijn om in onze controleverklaring specifiek te vermelden welke frauderisico’s wij bij de controle van uw jaarrekening hebben geïdentificeerd en welke werkzaamheden wij ten aanzien van deze risico’s hebben uitgevoerd. Idealiter zouden de door ons in onze controleaanpak onderkende frauderisico’s aan moeten sluiten op de frauderisico-analyse zoals opgesteld door het college en de toelichting van het college op de eventuele frauderisico’s in het jaarverslag. 18

2. Overige bevindingen en aandachtspunten 2.7 Fraudeanalyse Rapportage frauderisico’s

Op basis van onze kennis van uw organisatie en de interimcontrole onderkennen wij de volgende fraude-risico’s in onze jaarrekeningcontrole: •

Het risico op management-override of controls: Het management bevindt zich in zijn algemeenheid in de unieke positie om (onrechtmatige) invloed uit te oefenen op de resultaten van de gemeente. Dit risico bestaat met name bij schattingsposten, zoals de waardering van grondexploitaties, de waardering van (onderhouds)voorzieningen en de waardering van vorderingen.

Het risico op management-override of controls is een risico dat wij feitelijk bij al onze klanten als een standaard frauderisico zien. Voor de Gemeente Rijswijk zou dit risico kunnen toezien op sturing door het management op kostenoverschrijdingen of op de waardering van Rijswijk Buiten. Idealiter zouden de door ons in onze controleaanpak onderkende frauderisico’s aan moeten sluiten op de nog op te stellen frauderisicoanalyse door het college en de toelichting van het college op de onderkende frauderisico’s in het jaarverslag. De passages die wij voornemens zijn op te nemen in de controleverklaring stemmen wij tijdig met u af en zullen wij bij de bespreking van het accountantsverslag met u doornemen. Nadere duiding

In bijlage 2 hebben wij nadere informatie opgenomen over de wijziging in de accountantsregelgeving met betrekking tot fraude en continuïteit.

Fraudemelding

In het boekjaar heeft de gemeente een fraude geconstateerd met betrekking tot de betalingen van tegemoetkomingen aan cliënten binnen het sociaal domein. De impact van de fraude bedraagt circa € 17.000. De directie heeft op basis van de signalen die werden verkregen een onderzoek laten uitvoeren door een bedrijfsrecherche bureau. Wij hebben het onderzoeksrapport verkregen. Het onderzoeksrapport maakt ons inziens een gedegen indruk. Op basis van het onderzoekrapport heeft de gemeente ons inziens de juiste stappen gezet om verdere schade te voorkomen. De geconstateerde fraude geeft ons inziens het belang weer van de inrichting van een toereikende interne beheersing, met name gericht op frauderisico’s die de gemeente loopt. De frauderisico-analyse die in 2022 gereed is gekomen geeft hier een goede basis voor. Wij adviseren u na te gaan of alle frauderisico’s binnen de organisatie toereikend zijn afgedekt. Daarnaast adviseren wij u specifieke aandacht te besteden aan de interne processen rondom betalingen om vast te stellen of er andere beperkte betalingsstromen zijn, waarbij geen interne functiescheiding is ingericht op de goedkeuring van de betaling. Wij begrijpen dat de gemeente hier reeds actie op heeft ondernomen. 19

2. Overige bevindingen en aandachtspunten 2.8 Aandachtspunten jaarrekening Overige aandachtspunten jaarrekeningcontrole Wijziging woonplaatsbeginsel

Jeugdzorg In het boekjaar 2022 heeft een wijziging plaatsgevonden van de definitie van het woonplaatsbeginsel voor gemeenten. Hierdoor is per 1 januari 2022 de woonplaats van de gezaghouder niet meer leidend bij het bepalen van de gemeente die moet betalen voor de betreffende jeugdige. Met ingang van 1 januari 2022 is het criterium aangepast, waardoor de gemeente waar de jeugdige woont (of woonde op de laatste dag voordat hij of zij in een verblijfsinstelling wordt opgenomen) nu verantwoordelijk is voor de Jeugdzorg. De gemeente heeft om deze reden per 1 januari 2022 een analyse uitgevoerd om vast te stellen voor welke jeugdigen zij niet meer verantwoordelijk is, deze dossiers zijn overgedragen naar de gemeente die vanaf 1 januari 2022 verantwoordelijk is. Andere gemeenten in Nederland hebben nog tot uiterlijk 1 april 2023 de tijd om de dossiers over te dragen aan de gemeente. Hierdoor bestaat het risico dat de gemeente op balansdatum en bij de start van de controle nog niet volledig zicht heeft op de Jeugdzorglasten waarvoor de gemeente over 2022 verantwoordelijk is. Wij adviseren de gemeente om bij te houden van welke gemeenten zij nog geen overdracht heeft ontvangen van jeugdigen, zodat de gemeente hierop actie kan ondernemen als deze informatie niet tijdig wordt gedeeld door de betreffende gemeenten.

20

21

3. Rechtmatigheidsverantwoording 3.1 Inleiding Rechtmatigheidsverantwoording

Op 27 september jl. heeft de Eerste Kamer het wetvoorstel inzake de invoering van de rechtmatigheidsverantwoording aangenomen. Dit betekent dat met ingang van het boekjaar 2023 de accountant uitsluitend nog een oordeel over de getrouwheid van de jaarrekening afgeeft. In de jaarrekening wordt door het college een nieuwe toelichting over rechtmatigheid opgenomen (‘rechtmatigheidsverantwoording’). In deze rechtmatigheidsverantwoording verantwoordt het college zich over de al dan niet rechtmatige totstandkoming van de lasten, baten en balansmutaties. De accountant stelt vervolgens de getrouwheid van deze verantwoording vast. Op dit moment wordt gekeken naar de noodzakelijke aanpassingen van het Besluit Accountantscontrole Decentrale Overheden (BADO) en het Besluit Begroting en Verantwoording (BBV). Ook bij gemeenten moeten de noodzakelijke voorbereidingen worden getroffen. Naast de verplichting dat in de jaarstukken 2023 een rechtmatigheidsverantwoording moet worden opgenomen en het feit dat deze ook onderbouwd moet worden door (bijvoorbeeld) een verbijzonderde interne controle zijn ook een aantal operationele zaken die (in)geregeld moeten worden. Met ingang van boekjaar 2023 is het verplicht het normenkader voor de rechtmatigheid jaarlijks door de gemeenteraad te laten vaststellen.

Tot en met boekjaar 2022 bestaat ook de mogelijkheid om het normenkader ter kennisgeving in de raad te brengen. Inhoudelijk krijgt de gemeenteraad ook een aanvullende verantwoordelijkheid, namelijk het bepalen van de verantwoordingsgrens die het college moet hanteren voor het opmaken van de rechtmatigheidsverantwoording: • De gemeenteraad stelt een verantwoordingsgrens (tussen 0% en 3%) en een rapporteringsgrens vast. Het college moet de financiële onrechtmatigheden boven dit bedrag rapporteren in de rechtmatigheidsverantwoording. Wij adviseren u deze verantwoordingsgrens in de financiële verordening (ex artikel 212) vast te leggen. • De commissie BBV heeft in haar kadernota rechtmatigheid aanbevolen om de afspraken die de gemeenteraad met het college ook kan maken over een nadere toelichting van de onrechtmatigheden in de paragraaf Bedrijfsvoering in het jaarverslag. Bijvoorbeeld hoe het college opvolging geeft om de gerapporteerde afwijkingen in de rechtmatigheids-verantwoording in de toekomst te voorkomen. Wij adviseren u deze aanbeveling over te nemen. Uw gemeente heeft in voorbereiding op de rechtmatigheidsverantwoording stappen gezet. Zo zijn er gestandaardiseerde werkprogramma’s beschikbaar en zijn per proces risicoanalyses uitgevoerd.

In voorbereiding op de rechtmatigheidsverantwoording in 2023 zien wij nog de volgende belangrijke aandachtspunten voor de gemeente: • Inrichten integrale controleaanpak (In uw situatie: vaststellen normenkader en toetsingskader, formuleren beheersdoelstellingen en uitwerken gemeente brede (fraude)risicoanalyse), op volgende pagina gaan wij hier nader op in; • Afstemmen van deze integrale controleaanpak naar de controleaanpak per proces. De aanstaande invoering van de rechtmatigheidsverantwoording door het college stelt hogere eisen aan het interne beheersingssysteem. De aanwezigheid van een adequaat intern (financieel) beheersingssysteem is daarbij een essentiële randvoorwaarde om te kunnen bijsturen. De betrouwbaarheid van financiële informatie en verslaglegging is hierin van groot belang om dit tijdig en goed te kunnen doen. In de volgende pagina’s gaan wij nader in op het stelsel voor de rechtmatigheidsverantwoording en de status van de interne beheersing op basis van het model voor inrichting van de beheersing (three lines model). 22

23

4. Bevindingen IT-beheersing 4.1 Algemeen IT General Controls Veel handelingen die binnen organisaties plaatsvinden, worden geregistreerd door middel van automatisering. Daarbij zijn diverse interne beheersingsmaatregelen steeds vaker geautomatiseerd in softwarepakketten. Wij onderzoeken daarom de beheersing van uw IT omgeving en rapporteren daarover in deze management letter. Op basis van de door ons uitgevoerde werkzaamheden in november en december hebben wij onze inschatting van de kwaliteit van uw IT systeem en/of applicaties opgenomen. Hierbij hebben wij de volgende onderverdeling gemaakt om de kwaliteit weer te geven:

Onderwerp

Toegangsbeveiliging

Wijzigingsbeheer

Benodigd, verbetering op (korte) termijn Adviespunt, verdere aanscherping mogelijk Op dit moment voldoende

Bij het uitvoeren van onze werkzaamheden hebben wij gekeken naar de algemene onderwerpen rondom de beheersing van uw IT omgeving zoals in de tabel rechts opgenomen. Op de navolgende pagina’s zullen wij onze bevindingen rapporteren.

Continuïteitsmaatregelen en beveiliging

Adviespunten zonder directe impact

Bij het toetsen van ‘toegangsbeveiliging’ wordt onderzocht of de inrichting van de IT-omgeving de authenticiteit van de gebruiker van een gebruikersaccount borgt. Vervolgens onderzoeken wij de mogelijkheden voor het ‘steunen’ op autorisaties en de processen rondom het verstrekken, muteren en ontnemen van autorisaties binnen de omgeving. Wanneer de randvoorwaarden hiervoor voldoende aanwezig zijn, kunnen wij in de controle gebruik maken van ingerichte functiescheiding in het systeem. Een adequate inrichting kan preventief risico’s voor uw organisaties beperken en tegelijkertijd efficiency voordelen opleveren in de controle. Bij het toetsen van ‘wijzigingsbeheer’ ofwel change management wordt vastgesteld dat wijzigingen aan de applicatie op gestructureerde en gecontroleerde wijze worden doorgevoerd. Voor uw organisatie heeft wijzigingsbeheer ten doel om te voorkomen dat applicaties zich niet gedragen zoals u verwacht na een wijziging in de software, resulterend in, wellicht niet opgemerkte, (financiële) gevolgen.

Onder de noemer continuïteit en beveiliging krijgen wij inzicht in uw beheersing van risico’s gericht op continuïteit van uw bedrijfsvoering. Hierbij kan discontinuïteit worden veroorzaakt door menselijk of technisch falen, maar ook door interne of externe kwaadwillenden. Voor continuïteit zijn met name het punt in de tijd aan tot waar u gegevens bij discontinuïteit kunt herstellen en de tijd die het kost om tot een normale bedrijfsvoering te komen bij discontinuïteit van belang. Hiernaast schatten wij uw beheersing van cyber risico’s in. Het is van ons van belang om inzicht te krijgen in de verantwoordelijkheden die binnen de organisatie zijn ingericht – of met andere organisaties overeen zijn gekomen (uitbesteding) – ten aanzien van de beheersing van de IT-omgeving. Hierbij kijken wij naar beleidsstukken ten aanzien van IT-strategie, beveiliging en functiescheiding. Ook de interne beheersingsmaatregelen die al dan niet zijn ingericht binnen de IT omgevingen zijn onderdeel van onze scope. Indien maatregelen periodiek worden uitgevoerd kunnen wij hier gebruik van maken in de jaarrekeningcontrole. Deze adviespunten hebben niet een directe impact op onze controlewerkzaamheden, maar zijn wel wenselijk. 24

4. Bevindingen IT-beheersing 4.2 Toegangsbeveiliging De conclusies die wij op basis van onze werkzaamheden trekken over de algemene inrichting van IT bij uw organisatie, delen wij op deze pagina met u. Uit de stoplichten valt op te maken in hoeverre wij gebruik kunnen maken van de randvoorwaarden die binnen uw organisatie aanwezig zijn voor de controle. Authenticatie Door middel van authenticatie wordt geborgd dat de gebruiker zichzelf kan identificeren binnen een geautomatiseerde omgeving. Kort gezegd: de gebruiker toont aan dat hij/zij inlogt met een eigen persoonsgebonden account en daarmee is wie hij/zij claimt te zijn. Wij scharen onder dit onderwerp met name wachtwoordvereisten en herleidbaarheid van accounts. Generieke accounts zijn dan ook niet wenselijk omdat functiescheiding kan worden doorbroken bij te ruime rechten en zijn mutaties niet te herleiden tot een persoon. Autorisatie Op het gebied van autorisatie zijn verschillende vormen van diepgang te definiëren. Wat wij onderzoeken als het gaat om de randvoorwaarden rondom autorisatie, zijn de rechten die de mogelijkheid bieden om autorisatiestructuren te wijzigen en of deze rechten belegd zijn bij functionarissen met een onafhankelijke positie ten opzichte van de jaarrekening. Daarnaast is een effectieve procedure voor het wijzigen van rechten noodzakelijk.

Authenticatie

Autorisatie

Netwerk

Onze bevindingen en impact op de controle De ingestelde wachtwoordeisen van het netwerk zijn van voldoende niveau. Gebruikers moeten middels two-factor authenticatie inloggen op het netwerk. De authenticatie van gebruikers is hiermee geborgd. Wij hebben geen AD ontvangen en kunnen geen uitspraken doen over de hoge rechten op het netwerk van de gemeente Rijswijk. Wel hebben wij vernomen dat er geen admin rechten van de gemeente Rijswijk bij financiële medewerkers zijn belegd. Deze zijn belegt op netwerk niveau bij de gemeente Delft (IT afdeling)

Suites Voor Suites zijn de wachtwoordeisen van voldoende niveau; de applicatie kent een standaard set aan wachtwoordvereisten. Er zijn geen individuele gebruikers vrijgesteld van deze eisen. De hoge rechten in de applicatie zijn beperkt tot onafhankelijke functionarissen in het kader van de jaarrekeningcontrole. Er wordt echter geen zichtbare periodieke controle uitgevoerd op gebruikers en gebruikersrechten binnen de applicatie en er is geen functie-autorisatie matrix opgesteld. Wij adviseren u om functiescheiding te beschrijven middels een functie-autorisatie matrix en een periodieke controle uit te voeren op de inrichting van de rechten binnen de applicatie en dit vast te leggen

Gevolgen bevindingen toegangsbeveiliging voor de jaarrekeningcontrole

De inloggegevens op het netwerk zijn belegt bij de gemeente Delft. Er wordt gebruik gemaakt van MFA. Mede doordat wij geen AD analyse hebben kunnen uitvoeren doen wij geen vaststellingen over hoge rechten. Op autorisatieniveau worden de instellingen van het netwerk en in de applicaties voldoende gewaarborgd. Wij zien beperkte impact op de jaarrekening.

25

4. Bevindingen IT-beheersing 4.2 Toegangsbeveiliging De conclusies die wij op basis van onze werkzaamheden trekken over de algemene inrichting van IT bij uw organisatie, delen wij op deze pagina met u. Uit de stoplichten valt op te maken in hoeverre wij gebruik kunnen maken van de randvoorwaarden die binnen uw organisatie aanwezig zijn voor de controle. Authenticatie Door middel van authenticatie wordt geborgd dat de gebruiker zichzelf kan identificeren binnen een geautomatiseerde omgeving. Kort gezegd: de gebruiker toont aan dat hij/zij inlogt met een eigen persoonsgebonden account en daarmee is wie hij/zij claimt te zijn. Wij scharen onder dit onderwerp met name wachtwoordvereisten en herleidbaarheid van accounts. Generieke accounts zijn dan ook niet wenselijk omdat functiescheiding kan worden doorbroken bij te ruime rechten en zijn mutaties niet te herleiden tot een persoon. Autorisatie Op het gebied van autorisatie zijn verschillende vormen van diepgang te definiëren. Wat wij onderzoeken als het gaat om de randvoorwaarden rondom autorisatie, zijn de rechten die de mogelijkheid bieden om autorisatie-structuren te wijzigen en of deze rechten belegd zijn bij functionarissen met een onafhankelijke positie ten opzichte van de jaarrekening. Daarnaast is een effectieve procedure voor het wijzigen van rechten noodzakelijk.

Authenticatie

Zorgned

Autorisatie Onze bevindingen en impact op de controle Voor ZorgNed zijn de wachtwoordeisen van voldoende niveau. Er wordt gebruik gemaakt van MFA wanneer er moet worden ingelogd. De hoge rechten in de applicatie zijn beperkt tot onafhankelijke functionarissen in het kader van de jaarrekeningcontrole. Er wordt geen zichtbare periodieke controle uitgevoerd op gebruikers en gebruikersrechten binnen de applicatie en er is geen functie-autorisatie matrix opgesteld. Wel hebben wij een werkwijze vernomen t.a.v. periodieke controles. Wij adviseren u om functiescheiding te beschrijven middels een functie-autorisatie matrix en een periodieke controle uit te voeren op de inrichting van de rechten binnen de applicatie en dit vast te leggen. Ook adviseren wij u om de periodieke controle vast te leggen.

Key2Financiën

Voor Key2Financien zijn de wachtwoordeisen van voldoende niveau; de applicatie kent een standaard set aan wachtwoordvereisten. Er zijn geen individuele gebruikers vrijgesteld van deze eisen. De hoge rechten in de applicatie zijn beperkt tot onafhankelijke functionarissen. Er worden zichtbare periodieke controles uitgevoerd op gebruikers en gebruikersrechten binnen de applicatie en op de aanwezige functie-autorisatie matrix. Additioneel is er logging binnen de applicatie aanwezig op de mutaties van rechten.

26

4. Bevindingen IT-beheersing 4.3 Wijzigingsbeheer Bij het doorvoeren van wijzigingen in softwareomgevingen ontstaan risico’s voor de bedrijfsvoering van uw organisatie. Wij verwachten daarom dat het proces voor wijzigingen een proces doorloopt, waarmee de risico’s die gelopen worden, zijn ingeschat, worden geadresseerd en dat hierop maatregelen genomen worden. Wij hebben in de tabel aangegeven wat wij verwachten per fase en wat wij hebben geconstateerd tijdens onze controle (deels op basis van interview) en of dit overeen komt met de verwachting. .

Proces

Onze bevindingen

Risico inschatting

Wij hebben vastgesteld dat wijzigingen via een standaard formulier verlopen. Een concrete risicoanalyse waarin uw organisatie de risico’s identificeert is hierbij geen standaard stap. Hiermee is de kans aanwezig dat bepaalde risico’s in beperkte mate of in zijn geheel niet ondervangen zijn in het proces.

Opstellen testplan en aanpak

We hebben vernomen dat vaste testplannen worden opgesteld voor wijzigingen in Suites, ZorgNed en Key2Financiën. Echter zijn deze testplannen niet inzichtelijk gemaakt voor de ZorgNed en Key2Financiën.

Testen en documenteren

Wij hebben kunnen vaststellen dat er met betrekking van de applicaties, een separate test en productie omgeving aanwezig is. De releasenotes worden door applicatiebeheerders bijgehouden en beoordeeld op toepasbaarheid voordat deze worden getest en doorgevoerd.

Gebruikers acceptatie

Wij hebben begrepen dat er gebruik wordt gemaakt van key users die goedkeuring moeten geven bij het proces voor het doorvoeren van wijzigingen. Hierdoor wordt er goedkeuring gegeven voor het doorvoeren van de wijzigingen in de productieomgeving. Wij raden aan om een overzicht van formele goedkeuringen vast te leggen.

Gevolgen bevindingen Voor alle applicaties zijn de releasenotes doorgenomen. Er zijn geen bevingen die impact hebben op de wijzigingsbeheer voor controle. de jaarrekeningcontrole We raden aan het wijzigingsproces voor de benoemde applicaties te formaliseren (zie bijlage 3) en de hiernaast benoemde processtappen structureel vast te leggen (bijv. in een ticketsysteem). 27

4. Bevindingen IT-beheersing 4.4 Continuïteitsmaatregelen en beveiliging Let op: de onderwerpen volgen uit interviews en hierop zijn door ons over het algemeen geen testwerkzaamheden uitgevoerd om vast te stellen dat de IT-omgeving is ingericht zoals ons voorgesteld is. Dit beperkt de zekerheid die u kunt ontlenen aan de door ons beschreven aandachtspunten.

Continuïteitsmaatregelen Recovery Point objective (RPO): De RPO is het punt in de tijd tot waar men minimaal de gegevens moet kunnen herstellen. Het is dus de acceptabele hoeveelheid aan dataverlies uitgedrukt in tijd.

Vervolg RTO Recovery: Middels interview met functionarissen van de Gemeente Delft vernomen dat er periodieke recoverytests worden uitgevoerd. De processen hieromtrent zijn helder en liggen vast in de gemeenschappelijke regeling. Uitwijk: Middels interview met de Gemeente Delft vernomen dat er uitwijkmogelijkheden zijn ingericht en dat deze periodiek virtueel worden getest. Beveiliging Beveiliging De beveiliging van de IT-omgeving delen wij op in verschillende aspecten, welke wij hieronder hebben weergegeven.

Back-ups: Wij hebben vernomen dat back-ups periodiek en incrementeel worden gemaakt en extern worden opgeslagen. Daarnaast hebben we vernomen dat er controle op de volledigheid van back-ups wordt uitgevoerd.

Fysieke beveiliging: De serverruimtes zijn voorzien van diverse beveiligingsmaatregelen ten aanzien van temperatuur, klimaat en brandrisico’s. We hebben vernomen dat dit voor beide hosting locaties geldt.

Recovery Time Objective (RTO): Een RTO is de tijd waarna een proces/middel na een onderbreking moet teruggebracht zijn op een aanvaardbaar niveau, om een onacceptabele impact op de organisatie te vermijden.

Remote access: Voor het inloggen wordt gebruik gemaakt van two-factor authenticatie, waarmee het risico op ongeautoriseerde inlogpogingen wordt verlaagd.

Vervolg Beveiliging Tevens is two-factor authenticatie ingesteld voor inloggen op de Office 365 omgeving, wanneer deze online wordt benaderd. Hiermee wordt gevoelige data in deze omgeving aanvullend beschermd. Wij onderschrijven het belang van een dergelijke risicogerichte aanpak bij beveiligen van verschillende datasets. Preventie: Een firewall en virusscanner zijn aanwezig. We hebben vernomen dat functionarissen van de Gemeente Delft actief zorgdragen voor het beheer hiervan. Ook vindt er periodiek een penetratie test door een externe partij plaats. Monitoring: We hebben vernomen dat functionarissen van de Gemeente Delft gebruik maken van diverse monitoringtools. Hiermee houdt men zicht op de succesvolle werking van maatregelen t.b.v. continuïteit. Daarnaast wordt hiermee actief zorg gedragen voor preventie en beveiliging.