RIB 24 006 Bijlage A Managementletter accountant 2023
Tekst van het document
Managementletter Gemeente Rijswijk
Boekjaar 2023
Aan het College van Burgemeester en Wethouders van de gemeente Rijswijk Generaal Spoorlaan 2283 GM Rijswijk ONDERWERP: Managementletter 2023 Datum: 1 december 2023
Geacht college,
Als onderdeel van de controle van de jaarrekening 2023 van gemeente Rijswijk hebben wij de administratieve organisatie en de daarin opgenomen maatregelen van interne beheersing beoordeeld, teneinde onze controlewerkzaamheden in overeenstemming met Nederlands recht, waaronder de controlestandaarden, te kunnen bepalen. De opzet, het bestaan en in sommige gevallen de werking van de interne beheersingsmaatregelen van de belangrijkste bedrijfsprocessen, inclusief de geautomatiseerde gegevensverwerking, in uw gemeente zijn beoordeeld en getoetst, zodat we een terugkoppeling kunnen geven over de betrouwbaarheid van de interne informatievoorziening en de jaarrekening. De bevindingen komen voort uit onze werkzaamheden in het kader van de jaarrekeningcontrole en zijn opgenomen voor zover wij het van belang achten om deze met u te communiceren. Deze brief bevat daardoor niet alle onvolkomenheden in de interne beheersing, die bij een eventueel uitgebreid en hierop specifiek gericht onderzoek naar voren zouden kunnen komen. Zoals u zult begrijpen, is de managementletter van nature positief kritisch. Wij rapporteren over de eventuele leemtes of mogelijkheden ter verbetering van de financiële en administratieve processen, de administratieve organisatie daarvan en de daarin opgenomen maatregelen van interne beheersing.
Op uw verzoek geven wij in deze managementletter aan op welke wijze verbeteringen van de administratieve organisatie en de daarin opgenomen maatregelen van interne beheersing kunnen worden gerealiseerd. De aanbevelingen en oplossingsrichtingen zoals beschreven in deze managementletter bieden u handvatten voor deze uitwerking. Deze managementletter is door ons opgesteld voor uw informatie en mag niet zonder onze uitdrukkelijke toestemming geheel of gedeeltelijk aan derden ter beschikking worden gesteld. Wij danken u en uw medewerkers voor de samenwerking en zijn graag bereid tot het verstrekken van nadere toelichting. Hoogachtend, Baker Tilly (Netherlands) N.V. Ondertekening alleen in definitieve versie drs. Stefan Turenhout RA 2
Inhoudsopgave CONTACT S. Turenhout RA Verantwoordelijk accountant + 31 6 52 75 98 79 s.turenhout@bakertilly.nl
Y. van Kesteren RA Manager Audit + 31 6 527 655 22 y.vankesteren@bakertilly.nl
Bestuurlijke samenvatting
Interne beheersing
Actualiteiten
Bijlagen
Voorbereiding controle
KANTOORGEGEVENS Baker Tilly Den Haag Churchillplein 5D 2517 JW Den Haag
3
1. Bestuurlijke samenvatting
4
1. Bestuurlijke samenvatting Deze managementletter bevat onze bevindingen die zijn gebaseerd op onze werkzaamheden in het kader van de jaarrekeningcontrole voor het jaar eindigend op 31 december 2023. Gedurende de interimcontrole zijn de opzet en het bestaan van de interne beheersingsmaatregelen door Baker Tilly beoordeeld.
Uw interne beheersing is nog voor verbetering vatbaar. We hebben geen significante tekortkomingen in uw interne beheersing (AO/IB) geconstateerd. Wel hebben we in deze managementletter u een aantal aanbevelingen meegegeven. Wij signaleren nu dat bepaalde controles tussen ‘wal en schip’ vallen waardoor er een risico ontstaat op een onvolledige en onnauwkeurige verantwoording. De belangrijkste oorzaken zijn terug te brengen naar de samenwerking tussen afdelingen, kennis van interne beheersing, eigenaarschap en vastlegging van processen. Dit is gelijk aan voorgaand jaar, wij merken dat er voor verschillende aanbevelingen verbeteringen zijn doorgevoerd, maar ook een deel nog niet volledig is verholpen.
IT omgeving: Wij hebben de IT-audit uitgevoerd op de applicaties: Key2Financiën, Suites voor het sociaal domein en Zorgned. Uit deze IT-audit blijkt dat de applicaties over het algemeen toereikend zijn ingericht. Er zijn enkele aanbevelingen geformuleerd met betrekking tot de zichtbare controle op maatregelen in de IT-omgeving. Ons overall oordeel is dat de applicaties toereikend zijn ingericht voor ons om gedurende de controlewerkzaamheden op het lijstwerk te kunnen steunen.
Onze samenwerking. De samenwerking met de gemeente Rijswijk verloopt op een effectieve wijze. Eveneens wordt de samenwerking vanuit het controleteam als prettig ervaren.
5
1. Bestuurlijke samenvatting Vanaf 2023 dient het College van Burgemeester en Wethouders zelfstandig verantwoording af te leggen over de rechtmatigheid. De gemeente heeft in het boekjaar verschillende stappen ondernomen om bij de jaarrekening tot een onderbouwde rechtmatigheidsverantwoording te komen. De dossiervorming kan nog verder worden verbeterd door een duidelijke relatie te leggen tussen het normenkader en de werkzaamheden die voor de verschillende processen worden uitgevoerd inzichtelijk te maken.
Vooruitblik richting jaarrekeningcontrole 2023. We hebben met uw gemeente goede afspraken over de planning van de jaarrekeningcontrole gemaakt. Op voorhand identificeren we een aantal aandachtsgebieden met verhoogde aandacht in onze controle. Hiervoor hebben wij reeds tijdens de interimcontrole afspraken gemaakt om de beheersing rondom deze processen in kaart te brengen en met de gemeente in overleg te gaan over verbeterslagen die hierin gemaakt moeten worden in het kader van de jaarrekeningcontrole. Dit betreffen de processen: facilitaire projecten, subsidiebaten en voorzieningen. Onze bevindingen met betrekking tot deze processen zijn opgenomen in deze management letter.
Tot slot hebben we vanuit het oogpunt van onze natuurlijke adviesfunctie in deze managementletter een bijlage opgenomen met actuele ontwikkelingen.
6
2. Interne beheersing
7
2. Interne beheersing 2.1 Inleiding Inleiding
In dit hoofdstuk behandelen wij onze bevindingen ten aanzien van de interne beheersing. Achtereenvolgens worden de volgende onderwerpen besproken: •
2.2 Voorbereiding rechtmatigheidsverantwoording: In dit onderdeel behandelen wij de belangrijkste bevindingen ten aanzien van de voorbereidingen op de rechtmatigheidsverantwoording.
•
2.3 Three lines model: De controleomgeving vormt de basis voor de interne beheersing. In dit onderdeel rapporteren wij onze waarnemingen ten aanzien van de eerste, tweede en derdelijnscontroles die binnen de gemeente zijn ingericht.
•
2.4 Detailbevindingen interne beheersing: In dit onderdeel worden de detailbevindingen ten aanzien van de interne processen uitgewerkt.
•
2.5/2.6. Frauderisicoanalyse en beheersing frauderisico’s: In dit onderdeel beschrijven wij de belangrijkste frauderisico’s, de bijbehorende beheersingsmaatregelen en onze inschatting van het restrisico, rekening houdend met de getroffen maatregelen.
•
2.7 IT-omgeving (VOLGT): In dit onderdeel geven wij een visuele weergave van de IT-omgeving. Daarnaast geven wij aan welke applicaties in scope zijn, in hoeverre hierop kan worden gesteund en wat de gevolgen zijn als onvoldoende op de applicatie kan worden gesteund.
8
2. Interne beheersing 2.1 Inleiding Doel en reikwijdte
Het doel van onze jaarrekeningcontrole is het vormen van een oordeel over de getrouwheid van de jaarrekening (waaronder inbegrepen de rechtmatigheidsverantwoording) als geheel, zoals bedoeld in het Besluit Accountantscontrole Decentrale Overheden (Bado). Vanuit de jaarrekeningcontrole beoordelen wij de kwaliteit van de administratieve organisatie en interne beheersing voor zover relevant voor onze oordeelsvorming en geven wij geen zelfstandig oordeel over de kwaliteit van de administratieve organisatie en interne beheersing. De controle van de jaarrekening omvat het uitvoeren van controlewerkzaamheden, waaronder risicoanalyse, cijferanalyses, beoordeling van de administratieve procedures en het daarmee samenhangende systeem van interne beheersingsmaatregelen en gegevensgerichte controlewerkzaamheden. De samenstelling en omvang van die werkzaamheden zijn noodzakelijk voor het verkrijgen van voldoende controle-informatie ter onderbouwing van ons oordeel.
Risicoanalyse
Onze risicoanalyse richt zich op een betrouwbare totstandkoming van de jaarrekening. Dit betekent dat wij niet alle risico’s die voor u als gemeente relevant zijn in onze controle meenemen. De risicoanalyse is een continue proces en stellen wij gedurende de controle indien nodig bij. De belangrijkste bij uw gemeente onderkende risico’s / kernpunten in de controle zijn: • Waardering van de grondexploitatie Rijswijk Buiten is te hoog; • Rechtmatigheidsverantwoording is niet volledig, niet alle relevante onrechtmatigheden zijn gesignaleerd en/of toereikend toegelicht • Inkoopfacturen zijn betaald zonder dat de gefactureerde prestatie is geleverd; • Risico dat het management van de gemeente de procesafspraken doorbreekt, hetgeen een standaard risico is vanuit onze beroepsregels. Dit risico ziet bij uw gemeente met name toe op de schattingsposten in de grondexploitatie en voorzieningen. In ons verslag van bevindingen rapporteren wij naar aanleiding van de jaarrekeningcontrole over bovenstaande punten. In 2023 is het risico inzake de rechtmatigheid van aanbestedingen verwijderd, aangezien de verantwoording over de rechtmatigheid is verschoven van de accountant naar het college. Om deze reden is tegelijkertijd een risico toegevoegd, aangezien het onze verantwoordelijkheid is om de betrouwbaarheid van de rechtmatigheidsverantwoording toetsen.
9
2. Bevindingen en aandachtspunten 2.2 Voorbereiding rechtmatigheidsverantwoording Is gemeente Rijswijk klaar voor de rechtmatigheidsverantwoording?
Per 1 januari 2023 moet gemeente Rijswijk zelf een rechtmatigheidsverantwoording in de jaarrekening opnemen. Voorheen vormde de accountant een oordeel en bracht hierover verslag uit. Met ingang van boekjaar 2023 is het een verplichting voor het college van burgemeester & wethouders. De van toepassing zijnde wet- en regelgeving (Besluit begroting en verantwoording en Besluit Accountantscontrole Decentrale overheden) is op dit moment in revisie/in consultatie. De verwachting is dat de deze formalisatie de komende tijd gaat plaatsvinden. De rechtmatigheidsverantwoording zien primair toe op de volgende aspecten:
•
•
•
Begrotingscriterium •
Begrotingsrechtmatigheid
•
Kredietrechtmatigheid
Voorwaardencriterium •
Aanbestedingsrechtmatigheid
•
Overige aspecten (treasury, subsidies, uitkeringen)
M&O (Misbruik & Oneigenlijk) – gebruik criterium •
Vaststellen dat college M&O-beleid heeft nageleefd
Op deze drie dossiers dient het college in het jaarrekeningdossier rekening te houden dat op deze aspecten er een toereikend onderbouwd oordeel beschikbaar dient te zijn inclusief het onderliggende interne controledossier. Dit dossier dient door de gemeente dusdanig aan ons als accountant gerapporteerd te worden, zodat wij dit als onafhankelijke derde zelfstandig moeten kunnen reviewen en beoordelen. De eisen die aan deze dossiers gesteld worden zijn dus hoger dan in voorgaande jaren. Op de volgende pagina hebben wij een schematische weergave opgenomen van de voortgang van de gemeente Rijswijk in het kader van de rechtmatigheidsverantwoording.
10
2. Bevindingen en aandachtspunten 2.2 Voorbereiding rechtmatigheidsverantwoording In onderstaand overzicht zijn de stappen opgenomen die de gemeente ons inziens zou moeten doorlopen om te komen tot een goed onderbouwde rechtmatigheidsverantwoording waarop wij als accountant in belangrijke mate kunnen steunen. De rode vlakken betreffen onderdelen die ons inziens nog onvoldoende zijn ingericht. Voor de gele vlakken geldt dat de gemeente hier nog stappen in moet zetten om te komen tot een toereikende onderbouwing op het moment dat wij starten met de eindejaarscontrole. Hieronder hebben wij per stap toegelicht wat de status is van dit deelproces en geven wij een oordeel over de kwaliteit van de tot nu toe uitgevoerde onderdelen. Op de volgende pagina gaan wij nader in op onze bevindingen.
I. II. III. IV. V.
VI.
Normenkader: Aanwezig en toereikend. Toetsingskader: Niet overkoepelend in beeld gebracht. Beheersdoelstellingen: Niet overkoepelend in beeld gebracht. Risico-analyse en key-controls: Niet overkoepelend in beeld gebracht. Frauderisicoanalyse wel aanwezig. Control Framework: Hieronder verstaan wij de inrichting van de controles van individuele processen. Dit is op dit moment vervat in de controleplannen per proces. De kwaliteit van de controleplannen is wisselend in kwaliteit en nog niet voor alle processen aanwezig. Overkoepelend IC-plan en controleplannen: Overkoepelend ICplan is aanwezig en bevat de relevante processen en planning. Wij adviseren nog wel een herbeoordeling van risico-inschatting per proces.
A. Opzet: De procesbeschrijvingen zijn niet voor alle processen aanwezig. Daarnaast verschillen de wel aanwezige procesbeschrijvingen in kwaliteit en diepgang. B. Bestaan: Voor een aantal processen zijn de lijncontroles aangeleverd. Voor verschillende processen volgen de lijncontroles nog. Dit is nader toegelicht op pagina 12. C. Werking: De processen binnen de gemeente zijn over het algemeen niet toereikend ingericht om als accountant op te steunen, waardoor een systeemgerichte controle op interne beheersmaatregelen niet mogelijk is. D. Gegevensgericht: De gegevensgerichte werkzaamheden zijn in lijn met de planning uitgevoerd. Wel voorzien wij nog een uitdaging om alle controlewerkzaamheden af te ronden voordat wij starten met de eindejaarscontrole.
11
2. Interne beheersing 2.2 Voorbereiding rechtmatigheidsverantwoording Raamwerk (Framework) nog niet ingericht
De gemeenteraad keurt jaarlijks het normenkader goed. Het is de verantwoordelijkheid van het college om vervolgens op basis van de inrichting van interne controles vast te stellen dat het normenkader door de organisatie wordt nageleefd in alle van belang zijnde aspecten. Op dit moment is het binnen de gemeente Rijswijk niet mogelijk om de rode draad te volgen vanuit het normenkader naar het toetsingskader, de beheersdoelstellingen en de risicoanalyses. Deze tussenstappen om te komen van het normenkader naar een controleplan en een werkprogramma zijn niet overkoepelend in beeld en kunnen alleen op het niveau van een individueel controleplan worden beoordeeld. Wij adviseren u een toetsingskader en een overkoepelend raamwerk met beheersdoelstellingen en risico’s op te stellen, in lijn met hoe dit voor de frauderisico’s in beeld is gebracht.
VIC-plan ingericht
De gemeente heeft een overkoepelend VIC-plan opgesteld waarin de relevante processen die door de VIC worden gecontroleerd zijn opgenomen. De risicoclassificatie van de verschillende processen is ons inziens niet volledig in lijn met hoe wij de risico’s in deze processen classificeren. Wij adviseren u op basis van de kans en impact van mogelijke rechtmatigheidsfouten de classificatie van de risico’s in het VIC-plan te evalueren.
Kwaliteit van controleplannen wisselend
Op basis van het VIC-plan heeft de VIC in samenwerking met de verschillende afdelingen controleplannen per proces opgesteld. Nog niet voor alle processen is een controleplan beschikbaar. Wij adviseren u om de controleplannen voor alle in het VIC-plan opgenomen processen op te stellen. Wij hebben de beschikbare controleplannen gecontroleerd in het kader van onze interimcontrole. Hierbij valt op dat de kwaliteit van de controleplannen inhoudelijk verschilt. Wij adviseren om vanuit de VIC de regie te houden op de inhoudelijke kwaliteit van de interne controleplannen.
Procesbeschrijvingen niet beschikbaar
Tot slot is het van belang dat de gemeente beschikt over procesbeschrijvingen, waaruit blijkt hoe interne controles er precies uitzien. Om dit scherp in beeld te brengen is het belangrijk procesbeschrijvingen op te stellen en waar deze reeds voorhanden zijn, deze te verfijnen voor de “key-controls”. Deze “key-controls” worden vaak uitgevoerd door functionarissen met een controlerende of beschikkende functie. Belangrijk hierbij is om de "key-controls" zo scherp mogelijk te beschrijven aan de hand van de 6W's (wie, wat, waarom, wanneer, met welke informatie en wat wordt vastgelegd) zodat iedere betrokken functionaris weet wat er van hem of haar verwacht wordt. Daarnaast adviseren wij u blijvend aandacht te besteden aan het up-to-date houden van deze procesbeschrijvingen.
Verbetering zichtbaar in gecontroleerde processen
Wij constateren dat de gemeente voor de processen inkoop en betalingen en de processen binnen het sociaal domein voortgang heeft geboekt ten opzichte van voorgaand boekjaar, waardoor meer dossiers voor ons beschikbaar waren om tijdens de interimcontrole te controleren. Voor wat betreft de verdere verbetering van de verschillende dossiers ten behoeve van de jaarrekeningcontrole zien wij echter nog wel de nodige aandachtspunten, waarvan de belangrijkste hierboven zijn vermeld.
12
2. Overige bevindingen en aandachtspunten 2.3 Three lines model Wij rapporteren via het three lines model. Dat willen zeggen dat wij binnen de processen nagaan op welk niveau in de organisatie de interne beheersmaatregelen worden ondervangen. De volgende niveaus worden hierbij onderkend: 1e lijn: in het primaire proces, onder verantwoordelijkheid van de proceseigenaar. 2e lijn: in de ondersteunende processen zoals financiën en control, waar checks and balances ingericht zijn om fouten te signaleren. 3e lijn: in uw verbijzonderde interne controle achteraf. Indien de beheersmaatregelen in de 1 e en/of 2e lijn adequaat zijn ingericht dan is de organisatie optimaal in control en is een voornamelijk systeemgerichte controleaanpak mogelijk. Indien dit niet het geval is kan dit gecompenseerd worden door de gegevensgerichte werkzaamheden van de VIC. In het kader van de rechtmatigheidsverantwoording dient in ieder geval de 3e lijn (VIC) toereikend te zijn. Onderstaand overzicht geeft zodoende een beeld over de mate van beheersing en controle van uw gemeente. Nr.
Proces
1e lijn
2e lijn
3e lijn
Opmerking / toelichting
1
Inkopen en betalingen
n.v.t
De beheersing rondom vastlegging prestatielevering is nog onvoldoende om hierop te kunnen steunen. Wij signaleren dat de ‘kennis’ van prestatieleveringen nog beperkt binnen uw organisatie aanwezig is. Wij vragen hiervoor u aandacht. Met de uitvoering van een interne controle is gestart.
2
Aanbestedingen
n.v.t
De verplichtingenadministratie is in de loop van 2022 ingericht. Hiermee moet vanaf 2023 de controle op inkopen en aanbestedingen kunnen worden vereenvoudigd. De spendanalyse die door de organisatie wordt opgezet is in basis toereikend, de follow-up van bevindingen is hierin een aandachtspunt.
3
Lonen en salarissen
n.v.t
4
Subsidieverstrekkingen
n.v.t
In 2022 is Key2Subsidies in gebruik genomen, waardoor het subsidieproces eenduidiger wordt vastgelegd in de subsidieadministratie. Een expliciete controle van het subsidiedossier aan de ASV is geen onderdeel van de ingerichte waarborgen in het systeem.
5
Grondexploitaties
n.v.t
Gezien de beperkte omvang van de projectorganisatie is functiescheiding niet altijd mogelijk binnen de 1 e of 2e lijn. Wij signaleren wel een gedegen 2e lijn controle op de grondverkopen, echter ontbreekt een ‘onafhankelijke’ interne toetsing op de juiste uitgangspunten in de waardering.
6
Belastingen
n.v.t
Wij constateren dat een gedegen ‘controlesysteem’ met afstemming van verantwoordelijkheden tussen de diverse afdelingen ontbreekt, waardoor ons inziens essentiële interne beheersingsmaatregelen niet aanwezig zijn. Concreet ontbreekt op onderdelen in dit proces het vier ogen principe.
7
Participatiewet
n.v.t
8
Jeugdwet ZIN
n.v.t
9
Wmo ZIN
n.v.t
10
Omgevingsvergunningen
n.v.t
Wij constateren dat de tweedelijnscontrole in het boekjaar 2023 weer zijn uitgevoerd in overeenstemming met de afspraken die hierover gemaakt zijn. De tweede lijn zoals deze binnen de gemeente Rijswijk wordt uitgevoerd is echter primair gericht op kwaliteit en niet specifiek op interne beheersing. Om ook een oordeel over de rechtmatigheid bij de jaarrekening te kunnen geven zijn daarnaast dossiercontroles uitgevoerd. Wij constateren dat een controle op de nauwkeurigheid van bouwkosten nog niet is uitgevoerd. In overleg met de teamleider van de afdeling worden 10 dossiers, waar de gemeente het hoogste risico loopt dat de bouwsommen onterecht te laag zijn opgegeven, begin 2023 gecontroleerd.
Uit bovenstaande beeld komt naar voren dat wij nog niet optimaal op de processen kunnen steunen maar in samenwerking met de VIC grotendeels een gegevensgerichte aanpak hanteren. Wij bespreken uiteraard graag met u de mate van beheersing en uw gewenste ambitieniveau. Legenda status: = geen bevindingen met kans op materiële fouten, enkel aanbeveling ter verdere optimalisatie = één of enkele bevindingen met geringe impact resteren
= meerdere bevindingen en aanbevelingen met mogelijk grote impact = geen bevindingen geconstateerd. De VIC moet nog worden uitgevoerd. 13
2. Overige bevindingen en aandachtspunten 2.3 Three lines model Wij rapporteren via het three lines model. Dat willen zeggen dat wij binnen de processen nagaan op welk niveau in de organisatie de interne beheersmaatregelen worden ondervangen. De volgende niveaus worden hierbij onderkend: 1e lijn: in het primaire proces, onder verantwoordelijkheid van de proceseigenaar. 2e lijn: in de ondersteunende processen zoals financiën en control, waar checks and balances ingericht zijn om fouten te signaleren. 3e lijn: in uw verbijzonderde interne controle achteraf. Indien de beheersmaatregelen in de 1e en/of 2e lijn adequaat zijn ingericht dan is de organisatie optimaal in control en is een voornamelijk systeemgerichte controleaanpak mogelijk. Indien dit niet het geval is kan dit gecompenseerd worden door de gegevensgerichte werkzaamheden van de VIC. In het kader van de rechtmatigheidsverantwoording dient in ieder geval de 3e lijn (VIC) toereikend te zijn. Onderstaand overzicht geeft zodoende een beeld over de mate van beheersing en controle van uw gemeente. Nr.
Proces
1e lijn
2e lijn
3e lijn
Opmerking / toelichting
11
Huren en pachten
n.v.t
Wij constateren dat de functiescheiding in dit proces niet duidelijk is ingericht, waardoor de financiële administratie zelf een deel van de uitvoering van dit proces heeft opgepakt. Wij adviseren de verantwoordelijkheden en bevoegdheden in dit proces te beoordelen en toe te wijzen.
12
Facilitaire projecten
n.v.t
Naar aanleiding van de jaarrekeningcontrole 2022 hebben wij specifieke aandacht besteed aan de procesinrichting rondom facilitaire projecten. In 2023 zijn spelregels opgesteld ten aanzien van het aangaan van nieuwe anterieure overeenkomsten, de toerekening van kosten en de berekening van de bijdragen. Wij constateren dat de toerekening van de kosten en de toerekening van toekomstige kosten nog niet volledig in beeld is. Ook is er nog geen procesbeschrijving beschikbaar waarin de verantwoordelijkheden van de verschillende functionarissen in het proces zijn vastgelegd.
13
Voorzieningen
n.v.t
Wij constateren dat de monitoring op de uitputting van de onderhoudsvoorzieningen nog niet toereikend is gewaarborgd in de interne beheersing van de gemeente. Hierdoor bestaat het risico dat niet tijdig worden bijgestuurd, doordat niet zichtbaar is dat de werkelijke onderhoudskosten mogelijk hoger zijn dan begroot is op basis van de beheerplannen.
n.v.t
Naar aanleiding van de jaarrekeningcontrole 2022 hebben wij specifieke aandacht besteed aan de procesinrichting rondom de subsidiebaten. In 2023 heeft de gemeente verschillende stappen ondernomen om ervoor te zorgen dat inzicht in de verschillende subsidielasten (en de daarmee samenhangende baten) wordt verbeterd. Wij constateren dat de verbeterstappen die zijn genomen nog niet geformaliseerd zijn in een procesbeschrijving en procesinrichting, waardoor nog geen duidelijke taakverdeling is vastgelegd. Daarnaast moet de tweedelijnscontrole nog voor het eerst worden uitgevoerd bij het opstellen van de jaarrekening 2023.
14
Subsidiebaten
Uit bovenstaande beeld komt naar voren dat wij nog niet optimaal op de processen kunnen steunen maar in samenwerking met de VIC grotendeels een gegevensgerichte aanpak hanteren. Wij bespreken uiteraard graag met u de mate van beheersing en uw gewenste ambitieniveau. Legenda status: = geen bevindingen met kans op materiële fouten, enkel aanbeveling ter verdere optimalisatie = één of enkele bevindingen met geringe impact resteren
= meerdere bevindingen en aanbevelingen met mogelijk grote impact = geen bevindingen geconstateerd. De VIC moet nog worden uitgevoerd.
14
2. Overige bevindingen en aandachtspunten 2.4 Overzicht bevindingen (nieuwe bevindingen) Deze managementletter bevat onze bevindingen die zijn gebaseerd op de onze werkzaamheden in het kader van de jaar-rekeningcontrole voor het jaar eindigend op 31 december 2023. Deze werkzaamheden zijn dan ook niet gericht op het geven van een oordeel over de interne beheersing van uw organisatie als geheel. Voorgaand jaren hebben wij tijdens onze besprekingen met u diverse aanbevelingen benoemd ter verdere optimalisering van de bestaande administratieve organisatie en interne beheersing. In deze management letter geven wij u een schriftelijke update van onze bevindingen. In het overzicht hiernaast zijn de bevindingen in omschrijving opgenomen. Een totaaloverzicht van de detailbevindingen is opgenomen in bijlage 1. De kleur van de het symbool geeft de status van de constatering aan. = opgelost = in opzet opgelost, werking nog niet getoetst = actie ondernomen, maar nog niet afgerond = geen actie ondernomen = Nieuwe bevinding
Aanbevelingen Aantal nieuwe aanbevelingen
5
Aantal aanbevelingen uit voorgaande jaren
16
Waarvan opgelost/afgewerkt in 2023
3
Resterende aanbevelingen uit voorgaande jaren
13
Waarvan in opzet opgelost, werking nog niet getoetst
4
Waarvan reeds acties zijn ondernomen, maar nog niet zijn afgerond
6
Waarvan nog geen acties zijn ondernomen
3
Aantal openstaande aanbevelingen
18
Nieuwe bevindingen 2023 #
Proces
Bevinding
Status
Prioriteit 2023
Prioriteit 2022
1
Facilitair grondbeleid
Onvolledig inzicht in activiteiten en bijbehorende bestedingen die ten behoeve van de facilitaire projecten worden uitgevoerd.
Hoog
n.v.t.
2
Facilitair grondbeleid
Geen inzicht in te verwachten resultaten op projecten door onvoldoende inzicht in toekomstige kosten.
Hoog
n.v.t.
3
Subsidiebaten
Geen geformaliseerd proces ingericht op de volledige en nauwkeurige verantwoording van subsidiebaten
Hoog
n.v.t.
4
Voorziening Riolering
Geen geformaliseerd proces ingericht rondom scheiding van de baten en lasten die samenhangen met de verschillende uitgaven met betrekking tot Riolering.
Gemiddeld
n.v.t.
5
Onderhoudsvoorzieningen
Periodieke analyse op uitputting van budgetten in beheerplannen Onderhoud niet geformaliseerd ingericht.
Gemiddeld
n.v.t.
15
2. Overige bevindingen en aandachtspunten 2.4 Overzicht bevindingen (bestaande bevindingen) Deze managementletter bevat onze bevindingen die zijn gebaseerd op de onze werkzaamheden in het kader van de jaar-rekeningcontrole voor het jaar eindigend op 31 december 2023. Deze werkzaamheden zijn dan ook niet gericht op het geven van een oordeel over de interne beheersing van uw organisatie als geheel.
Opvolging bestaande bevindingen
Voorgaand jaren hebben wij tijdens onze besprekingen met u diverse aanbevelingen benoemd ter verdere optimalisering van de bestaande administratieve organisatie en interne beheersing. In deze management letter geven wij u een schriftelijke update van onze bevindingen. In het overzicht hiernaast zijn de bevindingen in omschrijving opgenomen. Een totaaloverzicht van de detailbevindingen is opgenomen in bijlage 1. De kleur van de het symbool geeft de status van de constatering aan. = opgelost = in opzet opgelost, werking nog niet getoetst = actie ondernomen, maar nog niet afgerond = geen actie ondernomen = Nieuwe bevinding
#
Proces
Bevinding
Status
Prioriteit 2023
Prioriteit 2022
6
Financieel beheer
Beperkte mogelijkheid tot monitoring vanuit de financiële administratie
Gemiddeld
Gemiddeld
7
Jeugdhulp
Geen tussentijds inzicht in betalingen Servicebureau Jeugdhulp Haaglanden
-
Gemiddeld
8
Wmo en Jeugd
Gedurende deel van het jaar geen tweedelijns controle
-
Hoog
9
Inkopen
Ontbrekende verplichtingenadministratie
Laag
Gemiddeld
10
Inkopen
Geen eenduidige registratie inkoopdossiers
Laag
Gemiddeld
11
Inkopen
Onderbouwing prestatielevering
Hoog
Hoog
12
Financieel beheer
Tussentijdse management informatie niet volledig door het ontbreken van aansluiting naar de basisadministratie
-
Hoog
13
Financieel beheer
Verbijzonderde interne controle
Gemiddeld
Gemiddeld
14
Financieel beheer
Geen zichtbare controle op memoriaalboekingen
Gemiddeld
Gemiddeld
15
Subsidies
Controle op subsidieverstrekkingen vindt plaats zonder checklist
Laag
Gemiddeld
16
Wmo
Wmo hulpmiddelen in eigendom niet in administratie
Hoog
Gemiddeld
17
Omgevingsvergunningen
Geen tweede toetsing op de gehanteerde bouwkosten in vergunningsaanvraag
Gemiddeld
Gemiddeld
18
Grondexploitatie
Onvolledige onderbouwing uitgangspunten grondexploitatie
Hoog
Gemiddeld
19
Parkeerbelasting
Monitoring volledigheid parkeeropbrengsten
Gemiddeld
Hoog
20
Verhuur
Geen zichtbare controle op de volledigheid van de contractenregistratie
Gemiddeld
Gemiddeld
21
Verhuur
Geen eenduidige werkwijze verhuurproces
Gemiddeld
Gemiddeld
16
2. Interne beheersing 2.5 Frauderisicoanalyse en frauderisico’s Fraude- en corruptierisico’s
Frauderisicoanalyse
In onderstaande afbeelding is een voorbeeld van een risico-matrix opgenomen waarin risico’s worden ingedeeld op basis van de kans en de impact. Wij adviseren u voor de verschillende (fraude)risico’s te analyseren waar deze risico’s zich in de matrix bevinden.
De primaire verantwoordelijkheid voor het voorkomen en detecteren van fraude (waaronder corruptie) berust bij het college van burgemeester en wethouders. Deze verantwoordelijkheid betreft ook het onderhouden van een zodanige interne beheersing om het opmaken van de jaarrekening mogelijk te maken zonder dat deze afwijkingen van materieel belang bevat als gevolg van fraude of fouten. Wij constateren dat de gemeente een frauderisicoanalyse heeft laten opstellen door een extern bureau. In deze frauderisicoanalyse zijn de volgende relevante stappen uitgewerkt: • • • • •
welke frauderisico’s de gemeente onderkent; wat de geschatte kans en impact van deze frauderisico’s is; wat de risicorespons van de gemeente is; welke interne beheersmaatregelen reeds getroffen zijn om onderkende frauderisico’s te mitigeren; welke eventuele restrisico’s/leemtes in de interne beheersing resteren.
De frauderisicoanalyse kan ons inziens nog verder worden verbeterd door het uitvoeren van de volgende aanvullende stappen: •
Opstellen van een beleid rondom frauderisicomanagement. Hierin kunt u het frauderisicobeleid, het M&O beleid, het frauderesponsplan en een periodieke evaluatie van het frauderisicobeleid beschrijven en monitoren. Op basis van dit beleid kan periodiek worden vastgesteld in hoeverre frauderisicomanagement voldoende is ingericht en toereikend werkt binnen de organisatie;
•
In de risicoanalyse van de gemeente is een risicoclassificatie laag, midden of hoog opgenomen. Op dit moment is de risicoclassificatie van de verschillende frauderisico’s niet zichtbaar gekoppeld aan een kans- en impactafweging, hierdoor is niet voor alle risico’s duidelijk, wat de achtergrond is van de risicoclassificatie.
•
Wij constateren dat de frauderisico’s zoals deze zijn opgenomen in de frauderisicoanalyse op dit moment niet integraal zijn overgenomen in de verschillende controleplannen die per proces zijn opgesteld. Hierdoor wordt mogelijk niet voor alle frauderisico’s door de (V)IC vastgesteld dat de beheersmaatregelen die zijn ingericht ter afdekking van frauderisico’s ook daadwerkelijk bestaan en werken. Het risico bestaat hierdoor dat de gelegenheid tot fraude niet afdoende is gemitigeerd zonder dat dit wordt gesignaleerd.
Voor de duidelijkheid benoemen we graag dat er een relatie is tussen fraude en misbruik en oneigenlijk gebruik (M&O). M&O is namelijk een vorm van fraude waarbij de nadruk ligt op handelingen van derden in relatie tot het verkrijgen van overheidsbijdragen dan wel het betalen van heffingen. Wij raden u aan om bij het opstellen van een frauderisicoanalyse, ook expliciet aandacht te besteden aan M&Orisico’s vanwege de verwevenheid tussen fraude en M&O, zie ook ‘Kadernota Voorkomen en Bestrijden Misbruik en Oneigenlijk gebruik 2023’. 17
2. Interne beheersing 2.6 Beheersing frauderisico’s Fraude- en corruptierisico’s
Onze frauderisicoanalyse Op basis van de bedrijfsverkenning en de interimcontrole onderkennen wij de volgende (materiele) frauderisico’s bij onze jaarrekeningcontrole: •
Risico op een afwijking van materieel belang als gevolg van doorbreken van interne beheersingsmaatregelen door het management.
De frauderisico’s die wij signaleren en rapporteren in de controleverklaring betreffen alleen de risico’s die ons inziens materieel zijn en onvoldoende zijn gemitigeerd op basis van de aanwezige interne beheersingsmaatregelen. Hierdoor is het aantal risico’s dat wij rapporteren significant lager dan het aantal inherente frauderisico’s dat in de interne frauderisicoanalyse gesignaleerd is. Idealiter sluiten de door ons onderkende frauderisico’s in onze controleaanpak aan op de frauderisicoanalyse zoals opgesteld door het college, en de toelichting van het college op de eventuele frauderisico’s in de paragraaf bedrijfsvoering in de jaarrekening. De passages die wij voornemens zijn op te nemen in de controleverklaring stemmen wij tijdig met u af en zullen wij bij de bespreking van het accountantsverslag met u doornemen.
18
2. Interne Beheersing: 2.7 Detailbevindingen interne beheersing - IT General Controls IT General Controls Veel handelingen die binnen organisaties plaatsvinden, worden geregistreerd door middel van automatisering. Daarbij zijn diverse interne beheersingsmaatregelen steeds vaker geautomatiseerd in softwarepakketten. Wij onderzoeken daarom de beheersing van uw IT-omgeving en rapporteren daarover in deze managementletter. Op basis van de door ons uitgevoerde werkzaamheden hebben wij onze inschatting van de kwaliteit van uw IT-systeem en/of applicaties opgenomen. Hierbij hebben wij de volgende onderverdeling gemaakt om de kwaliteit weer te geven:
Onderwerp
Toegangsbeveiliging
Wijzigingsbeheer
Benodigd, verbetering op (korte) termijn Adviespunt, verdere aanscherping mogelijk Op dit moment voldoende
Bij het uitvoeren van onze werkzaamheden hebben wij gekeken naar de algemene onderwerpen rondom de beheersing van uw IT omgeving zoals in de tabel rechts opgenomen. Op de navolgende pagina’s zullen wij onze bevindingen rapporteren.
Continuïteitsmaatregelen en beveiliging
Adviespunten zonder directe impact
Bij het toetsen van ‘toegangsbeveiliging’ wordt onderzocht of de inrichting van de IT-omgeving de authenticiteit van de gebruiker van een gebruikersaccount borgt. Vervolgens onderzoeken wij de mogelijkheden voor het ‘steunen’ op autorisaties en de processen rondom het verstrekken, muteren en ontnemen van autorisaties binnen de omgeving. Wanneer de randvoorwaarden hiervoor voldoende aanwezig zijn, kunnen wij in de controle gebruikmaken van ingerichte functiescheiding in het systeem. Een adequate inrichting kan preventief risico’s voor uw organisaties beperken en tegelijkertijd efficiencyvoordelen opleveren in de controle. Bij het toetsen van ‘wijzigingsbeheer’ ofwel change management wordt vastgesteld dat wijzigingen aan de applicatie op gestructureerde en gecontroleerde wijze worden doorgevoerd. Voor uw organisatie heeft wijzigingsbeheer ten doel om te voorkomen dat applicaties zich niet gedragen zoals u verwacht na een wijziging in de software, resulterend in, wellicht niet opgemerkte, (financiële) gevolgen.
Onder de noemer continuïteit en beveiliging krijgen wij inzicht in uw beheersing van risico’s gericht op continuïteit van uw bedrijfsvoering. Hierbij kan discontinuïteit worden veroorzaakt door menselijk of technisch falen, maar ook door interne of externe kwaadwillenden. Voor continuïteit zijn met name het punt in de tijd tot waar u gegevens bij discontinuïteit kunt herstellen en de tijd die het kost om tot een normale bedrijfsvoering te komen bij discontinuïteit van belang. Hiernaast schatten wij uw beheersing van cyber risico’s in.
Het is voor ons van belang om inzicht te krijgen in de verantwoordelijkheden die binnen de organisatie zijn ingericht – of met andere organisaties overeen zijn gekomen (uitbesteding) – ten aanzien van de beheersing van de IT-omgeving. Hierbij kijken wij naar beleidsstukken ten aanzien van IT-strategie, beveiliging en functiescheiding. Ook de interne beheersingsmaatregelen die al dan niet zijn ingericht binnen de ITomgevingen zijn onderdeel van onze scope. Indien maatregelen periodiek worden uitgevoerd, kunnen wij hier gebruik van maken in de jaarrekeningcontrole. Deze adviespunten hebben niet een directe impact op onze controlewerkzaamheden, maar zijn wel wenselijk. 19
2. Interne Beheersing: 2.7 interne beheersing 2022Detailbevindingen Authenticatie Autorisatie 2023- Toegangsbeveiliging Authenticatie Autorisatie Netwerk
Authenticatie
Autorisatie
De ingestelde eisen voor wachtwoorden in het netwerk zijn van voldoende niveau. Geen enkele De hoge rechten in de Windows Active Directory zijn beperkt tot onafhankelijke gebruiker is vrijgesteld van het regelmatig wijzigen van het wachtwoord. De geldigheidsduur functionarissen in het kader van de jaarrekeningcontrole. De hoge rechten zijn belegt bij van wachtwoorden is 365 dagen, wat als vrij lang wordt beschouwd. Dit wordt echter de gemeente Delft als netwerk leverancier. Wij hebben geen functie-autorisatie matrix gecompenseerd door de verplichte dagelijkse MFA die is ingeschakeld voor alle gebruikers. met een uitgangspositie (norm) voor inrichting en controle vastgesteld. Bevinding
Er vindt geen zichtbare periodieke controle plaats om te verifiëren of gebruikers tijdig gedeactiveerd of verwijderd worden bij functiewijzigingen of uitdiensttreding op netwerkniveau. Onvoldoende documentatie van uitgevoerde controles vergroot het risico op onopgemerkte kwetsbaarheden en bemoeilijkt effectieve beveiligingsopvolging en incidentrespons.
Het ontbreken van controlevastleggingen en normen voor inrichting van de autorisaties vergroot het risico op ongedetecteerde beveiligingsproblemen, inefficiënte operaties en een gebrek aan naleving van beveiligingsstandaarden, wat kwetsbaarheden kan veroorzaken. Specifiek voor medewerkers met hoge rechten vergroot dit het risico op ongeautoriseerde toegang, misbruik van privileges en datadiefstal, met aanzienlijke gevolgen.
Ons advies is uitgevoerde controles te documenteren voor een effectieve beveiliging, identificatie van kwetsbaarheden en snelle incidentrespons.
Wij adviseren om een functie-autorisatiematrix op te stellen (gewenste functiescheiding = norm) en om de periodieke controle zichtbaar vast te leggen. Op basis van de functieautorisatiematrix kunnen de ingerichte autorisaties op netwerkniveau periodiek worden gecontroleerd op overeenstemming met de norm.
Risico
Aanbeveling Vanuit onze werkzaamheden is het risico gereduceerd tot een acceptabel niveau en kan voor de jaarrekeningcontrole worden gesteund op authenticatie en autorisatie.
Gevolgen voor de jaarrekeningcontrole 20
2. Interne Beheersing: 2.7 Detailbevindingen interne beheersing - Toegangsbeveiliging & wijzigingsbeheer Key2Financiën 2022
Authenticatie
Autorisatie
Wijzigingsbeheer
2023
Authenticatie
Autorisatie
Wijzigingsbeheer
Authenticatie
Autorisatie
Wijzigingsbeheer
De wachtwoordinstellingen voldoen aan de best practices. Er is echter geen formeel proces vastgesteld voor periodieke controles op de authenticatie-eisen van gebruikers in de applicatie.
De hoge rechten voor Key2Financiën zijn belegd bij onafhankelijke functionarissen van de financiële afdeling. Additioneel hebben wij een functie autorisatie matrix vastgesteld.
Bij Key2Financiën worden de wijzigingen doorgevoerd door de leverancier van de applicatie, te weten Centric. De release notes worden beoordeeld en deze beoordeling wordt vastgelegd.
Bevinding
Gebrek aan periodieke controles op N.v.t. gebruikersauthenticatie verhoogt het risico op onontdekte kwetsbaarheden, verzwakt beveiliging en vergemakkelijkt ongeautoriseerde toegang tot de applicatie.
N.v.t.
Wij adviseren u regelmatige controles voor gebruikersauthenticatie in te voeren om potentiële kwetsbaarheden te identificeren en de algehele beveiliging van de applicatie te versterken.
N.v.t.
Risico N.v.t.
Aanbeveling
Vanuit onze werkzaamheden is het risico gereduceerd tot een acceptabel niveau en kan voor de jaarrekeningcontrole worden gesteund op authenticatie, autorisatie en wijzigingsbeheer.
Gevolgen voor de jaarrekeningcontrole 21
2. Interne Beheersing: 2.7 Detailbevindingen interne beheersing - Toegangsbeveiliging & wijzigingsbeheer Suites4SD (SSD) 2022 Authenticatie Autorisatie Wijzigingsbeheer 2023 Authenticatie Autorisatie Wijzigingsbeheer Authenticatie
Bevinding
Autorisatie
Wijzigingsbeheer
Bij Suites4SD worden de wijzigingen doorgevoerd door de Voor Suites zijn de wachtwoordeisen van voldoende De hoge rechten voor Suites zijn belegd bij onafhankelijke leverancier van de applicatie, te weten Centric. Wij raden aan niveau; de applicatie kent een standaard set aan functionarissen. om de release notes formeel door te nemen en dit zichtbaar wachtwoordvereisten. Er zijn geen individuele gebruikers vrijgesteld van deze eisen. Er is daarnaast sprake van een proces van periodiek reviews op vast te leggen. gebruikers en de rechten. Tevens worden rechten op basis van een functie-autorisatie matrix toegekend aan gebruikers.
N.v.t.
N.v.t.
Het risico bestaat dat bevindingen uit de releasenotes van de leverancier niet tijdig worden opgemerkt en geadresseerd.
N.v.t.
N.v.t.
Wij adviseren om de releasenotes zichtbaar te beoordelen zodra deze beschikbaar is en eventuele bevindingen hieruit te adresseren.
Risico
Aanbeveling
Wij hebben geen bevindingen geconstateerd met impact op authenticatie en autorisatie. Er zijn processen ingericht waarbij gebruikers en rechten periodiek worden getoetst en de resultaten worden formeel vastgelegd. De hoge rechten zijn onafhankelijk van de financiële administratie belegt. Wat betreft wijzigingsbeheer zijn er geen bevindingen geconstateerd met impact op de betrouwbaarheid van de gegevensverwerking. Gevolgen voor de jaarrekeningcontrole
22
2. Interne Beheersing: 2.7 Detailbevindingen interne beheersing - Toegangsbeveiliging & wijzigingsbeheer ZorgNed 2022
Authenticatie
Autorisatie
Wijzigingsbeheer
Authenticatie
2023
Autorisatie
Authenticatie
Autorisatie
Wijzigingsbeheer
Wijzigingsbeheer
De wachtwoordinstellingen zijn conform best De rechten tot het aanmaken van gebruikers en wijzigen van Bij ZorgNed worden de wijzigingen doorgevoerd door de leverancier van de applicatie, te weten Zorgned Automatisering B.V. De release notes practices, maar er is een beheersysteem opgezet rechten in de applicatie zijn belegd bij onafhankelijke met beperkte formele documentatie. functionarissen. Wij hebben een autorisatie matrix vastgesteld worden beoordeeld en deze beoordeling wordt vastgelegd. als uitgangspunt voor het toekennen van rechten. Bevinding
Risico
Het ontbreken van controlevastleggingen N.v.t. vergroot het risico op ongedetecteerde beveiligingsproblemen wat kwetsbaarheden kan veroorzaken.
N.v.t.
Wij raden aan om de periodieke controles op gebruikers in de applicatie formeel en zichtbaar vast te leggen.
N.v.t.
N.v.t.
Aanbeveling
Wij hebben geen bevindingen geconstateerd met impact op authenticatie en autorisatie. Er zijn processen ingericht waarbij gebruikers en rechten periodiek worden getoetst. Echter worden de resultaten niet formeel vastgelegd. De hoge rechten zijn onafhankelijk van de financiële administratie belegt. Wat betreft wijzigingsbeheer zijn er geen bevindingen geconstateerd met impact op de betrouwbaarheid van de gegevensverwerking. Gevolgen voor de jaarrekeningcontrole 23
2. Interne Beheersing: 2.7 Detailbevindingen interne beheersing - Continuïteitsmaatregelen en beveiliging Let op: de onderwerpen volgen uit interviews en hierop zijn door ons over het algemeen geen testwerkzaamheden uitgevoerd om vast te stellen dat de IT-omgeving is ingericht zoals ons voorgesteld is. Dit beperkt de zekerheid die u kunt ontlenen aan de door ons beschreven aandachtspunten.
Verantwoordelijkheden en regiefunctie
U heeft aangegeven dat uw organisatie beschikt over een beleidsplan opgesteld omtrent IT en informatiebeveiliging, welke voldoet aan de BIO en is goedgekeurd door de gemeente. Het beleidsplan wordt periodiek herzien. Hierdoor kan er monitoring plaatsvinden op de ingerichte IT-organisatie. Binnen uw organisatie is een uitgewerkt IT beleidsplan aanwezig dat de uitgangspunten met betrekking tot de informatiebeveiliging van de gemeente Rijswijk beschrijft. Het is aan te raden dat dit beleid conform beschrijving in 2024 wordt herzien
Beheersing van incidenten
Om de performance van uw IT-systemen en eventueel de performance van uw IT dienstverlener te monitoren, is registratie van de incidenten en problemen van belang. Hierdoor verkrijgt u inzicht in de performance van uw systemen, maar ook van uw IT-organisatie en kunt u waar nodig uw beleidsplan corrigeren. U heeft aangegeven dat incidenten geregistreerd worden in een ticketsysteem (Topdesk). Hierdoor is het inzichtelijk welke incidenten hebben plaatsgevonden en hoe hieraan opvolging is gegeven.
Beveiliging
De beveiliging van de IT-omgeving delen wij op in verschillende aspecten, welke wij hieronder hebben weergegeven.
Fysieke beveiliging: De serverruimtes zijn afgeschermd en er zijn maatregelen genomen voor een continue stroomvoorziening. Remote access: Voor het extern inloggen wordt gebruik gemaakt van extra beveiligingsmaatregelen zoals two-factor authenticatie. Hiermee wordt een extra authenticatie stap afgedwongen.
Continuïteitsmaatregelen
Back-ups: U heeft aangegeven dat er sprake is van een back-up procedure, welke is opgenomen in het beleidsplan. Er wordt dagelijkse een back-ups gemaakt, daarnaast is er sprake van periodieke back-ups (wekelijks, maandelijks en jaarlijks) gemaakt. Recovery: Met regelmaat worden er bestanden van servers terug gezet, waarmee zeker wordt gesteld dat het herstellen van bestanden succesvol plaats kan vinden en vindt er een controle op juistheid en volledigheid plaats.
Preventie: Een firewall en virusscanner zijn aanwezig en worden actief beheerd en gemonitord. Monitoring Periodiek worden penetratietesten uitgevoerd. Eveneens worden ook vulnerability testen uitgevoerd. Dit vindt afwisselend plaats met de penetratietest. Daarnaast is vernomen dat Pink Roccade en Youforce ook voldoende maatregelen heeft genomen ten aanzien van cyberaanvallen.
Uitwijk: Minimaal één keer per jaar wordt een uitwijk-test uitgevoerd. 24
2. Interne Beheersing: 2.7 Logische toegangsbeveiliging Wij onderscheiden vijf bouwstenen ten aanzien van toegangsbeveiliging, waarbij bouwstenen gestapeld, naast een sterke IT-beheersing, ook de meeste controlezekerheid oplevert. Beperkingen in de onderliggende steen zorgen voor een verzwakking van de bovenliggende stenen. In het onderstaande figuur zijn de bouwstenen schematisch weergegeven.
Authenticatie
Databases: Basis voor toegangsbeveiliging van een applicatie is dat de applicatie de enige toegangspoort is en dat niet rechtstreeks op de database gemuteerd kan worden.
Wachtwoorden: Sterke, regelmatig wijzigende wachtwoorden voor applicaties en databases zijn de basis voor toegangsbeveiliging, samenhangend met bewustzijn bij medewerkers.
Autorisatie
Hoge rechten: Voor het beheersen van autorisaties is het cruciaal dat de rechten tot het aanpassen van rechten zijn beperkt tot medewerkers die geen belang hebben bij aanpassingen.
Gewenste situatie: Iedere organisatie zal moeten bepalen wat de “SOLLpositie” is ten aanzien van rechten, met name gericht op kritische functiescheidingen
Beheersen mutaties: Wanneer de gewenste situatie is ingericht, verwachten wij een beheerst proces ten aanzien van het toekennen, ontnemen en wijzigen van rechten, inclusief monitoring en controle.
25
2. Interne Beheersing: 2.7 Wijzigingsbeheer Bij het doorvoeren van wijzigingen in softwareomgevingen ontstaan risico’s voor de bedrijfsvoering van uw organisatie. Wij verwachten daarom dat het proces voor wijzigingen een proces doorloopt, waarmee de risico’s die gelopen worden, zijn ingeschat, worden geadresseerd en dat hierop maatregelen genomen worden. Wij hebben hiernaast aangegeven wat wij verwachten per fase. Onder wijzigingen verstaan wij niet alleen nieuwe versie updates, maar ook aanpassingen in (kritieke) systeemconfiguraties.
Proces
Onze verwachting
Risico inschatting
Voor iedere softwarewijziging is het relevant om te beoordelen wat de risico’s zijn die de wijziging met zich meebrengt voor de hoofdprocessen. Daarnaast moet beoordeeld worden welke geïdentificeerde technische en organisatorische wijzigingsrisico’s er spelen bij het uitvoeren van de change, in het bijzonder wanneer er sprake is van maatwerk. Hiermee beoordeelt u per wijziging welke nieuwe of gewijzigde functionaliteit een risico vormt voor een goede werking van uw bedrijfsvoering.
Opstellen testplan en Vanuit de geïdentificeerde risico’s kan een testplan worden gemaakt, waarin de te testen elementen van de software benoemd zijn evenals de inhoudelijk uit te voeren testwerkzaamheden op deze aanpak elementen. Belangrijke elementen hierin zijn go/no-go momenten, het maken van een back-up voor implementatie, een fall-back scenario in het geval een implementatie mislukt en het definiëren van de impact op de organisatie (denk bijvoorbeeld aan het opleiden van medewerkers).
Testen en documenteren
Softwarewijzigingen kunnen gestructureerd worden getest na het correct uitvoeren van de voorgaande twee stappen. Het maken van een gedegen vastlegging van testwerkzaamheden is van belang voor de aantoonbaarheid en controleerbaarheid van de uitgevoerde stappen. Daarnaast kan de vastlegging van testwerkzaamheden een belangrijke bron van informatie zijn als er onverhoopt na het doorvoeren van de wijziging toch verstoringen van uw bedrijfsvoering optreden.
Gebruikers acceptatie
Een wijziging is pas effectief als deze niet alleen is geaccepteerd vanuit een technisch oogpunt, maar ook vanuit de gebruikersorganisatie. Wij verwachten daarom een formele goedkeuring vanuit de gebruikersorganisatie, zowel voor implementatie als na de implementatie. Het kan natuurlijk ook voorkomen dat het nodig is om gebruikers te informeren over bijzonderheden als gevolg van de wijziging, zoals veranderingen in de werkwijze of aandachtspunten bij het gebruik van de applicatie.
26
3. Voorbereiding jaarrekeningcontrole
27
3. Voorbereiding jaarrekeningcontrole 3.1 Planning en afspraken Om aan uw behoeften te kunnen voldoen en om het proces voor de jaareinde controle verder te kunnen verbeteren vinden wij het belangrijk om vooraf afspraken te maken, het proces regelmatig te evalueren en onze bevindingen met u te delen. Om achteraf verassingen te voorkomen willen wij de volgende werkafspraken met u maken:
Voorbereiding voor de jaareinde controle 2023 Onderwerp
Toelichting
Planning
Wij starten met de jaarrekeningcontrole op 22 april 2024. Om de jaarrekeningcontrole efficiënt te laten verlopen is het belangrijk dat vóór deze datum een conceptjaarrekening en controledossier aanwezig is. Voor de benodigde controledocumentatie (het balansdossier) leveren wij een lijst ‘met op te leveren stukken’ aan, inclusief deadlines voor de aanlevering van deze documentatie.
Aanvullende gegevensgerichte werkzaamheden
Wij constateren dat de gemeente voor verschillende processen op het moment dat wij de interimcontrole uitvoeren nog niet volledig in control is. Hierbij signaleren wij het risico dat wij aanvullende gegevensgerichte werkzaamheden zullen moeten uitvoeren om voldoende zekerheid te verkrijgen. Indien dit van toepassing is zullen wij dit tijdig signaleren en bespreken met uw gemeente.
Deelwaarnemingen en gegevensgerichte werkzaamheden
Vooruitlopend op de jaarrekeningcontrole in april 2024 hebben wij in samenwerking met de VIC al een belangrijk deel van de deelwaarnemingen voor de eerste drie kwartalen reeds uitgezet. Hiermee voorkomen wij dat allerlei deelwaarnemingen nog tijdens de controle in april nog moeten worden uitgevoerd. De deelwaarnemingen voor het laatste kwartaal zullen ook vooraf worden uitgezet, zodat uw medewerkers ruim de tijd hebben om de gewenste informatie te verzamelen.
Kwaliteit van cruciaal belang
Voor een efficiënte controle en korte doorlooptijd is van cruciaal belang om een interne kwaliteitscheck uit te voeren op de door uw medewerkers aangeleverde stukken. Dit voorkomt onnodige vragen en uitzoekwerk gedurende de jaarrekeningcontrole. Op basis van de jaarrekeningcontrole 2022 hebben wij in de evaluatie met de gemeente specifieke aandacht besteed aan de interne controle die wij op het jaarrekeningdossier verwachten.
Specifieke aandachtspunten voor de jaarrekeningcontrole
Naar aanleiding van de jaarrekeningcontrole 2022 hebben wij een aantal specifieke aandachtsgebieden meegenomen in de interimcontrole 2023. Dit betreft de volgende deelprocessen: • Subsidiebaten (SiSa en overige subsidies); • Voorzieningen (Riolering en egalisatievoorzieningen); • Facilitaire projecten. Wij adviseren u in de voorbereidingen op de jaarrekeningcontrole specifieke aandacht te besteden aan het verbeteren van de onderbouwingen voor deze balansposten. 28
4. Actualiteiten
29
4. Actualiteiten 4.1 Aankomende wetswijzigingen in BBV en Bado Afgelopen zomer heeft het Rijk enkele wijzigingen op het Besluit Begroting en Verantwoording provincies en gemeenten (BBV) en het Besluit Accountantscontrole Decentrale Overheden (Bado) voorgesteld. Samenvattend zijn de belangrijkste voorgestelde wijzigingen opgenomen:
Aanpassing Bado Met ingang van 2024, mogelijk 2025, veranderen de goedkeuringstoleranties voor de jaarrekeningcontrole. Voorheen werd voor fouten uitgegaan van 1% van de totale lasten inclusief dotaties aan de reserves en voor onzekerheden 3%. Vanaf 2024 worden fouten en onzekerheden samengevoegd en wordt de goedkeuringsgrens gesteld op 2% van de totale lasten (dus zonder toevoeging reserves). Deze wijziging kan een belangrijke impact hebben. Wij adviseren u te evalueren wat dit voor uw situatie betekent en welke stappen gezet dienen te worden ter waarborging dat de fouten en onzekerheden binnen de goedkeuringstoleranties blijven vanaf 2024. Ten aanzien van de SiSa-bijlage houdt de accountant de verantwoordelijkheid om ook de rechtmatigheid vast te stellen. De volgende tabel zal gehanteerd worden t.b.v. het oordeel: Materialiteit
Goedkeurende verklaring
Verklaring met beperking
Verklaring van oordeelonthouding /afkeurende verklaring
Fouten in de jaarrekening en onzekerheden in de controle
≤2%
>2% - ≤4%
> 4%
De aanpassing van de materialiteit hoeft niet alleen effect te hebben op de controle van de jaarrekening van de gemeente. Voor Rijswijk zien wij ook op andere vlakken effecten. Hieronder hebben wij enkele voorbeelden voor u geschetst. -
Verantwoordingsgrens voor de rechtmatigheidsverantwoording.
-
Ontvangen subsidies vanuit de provincie of het Rijk.
-
Verstrekte subsidies aan door de gemeente gesubsidieerde instellingen.
-
Verantwoordingen van verbonden partijen.
-
Productieverantwoordingen voor Wmo en Jeugdzorg (via Servicebureau Jeugdhulp Haaglanden).
Wij adviseren om intern te analyseren in welke mate het effect van het BADO gevolgen heeft op de eisen die de gemeente ontvangt en aan anderen oplegt.
30
4. Actualiteiten 4.1 Aankomende wetswijzigingen in BBV en Bado Afgelopen zomer heeft het Rijk enkele wijzigingen op het Besluit Begroting en Verantwoording provincies en gemeenten (BBV) en het Besluit Accountantscontrole Decentrale Overheden (Bado) voorgesteld. Samenvattend zijn de belangrijkste voorgestelde wijzigingen opgenomen:
Uitbreiding inhoud jaarrekening
Notitie Overhead
De voorgeschreven inhoud van de jaarrekening wordt uitgebreid met de rechtmatigheidsverantwoording. Hiermee bestaat de jaarrekening uit:
De Notitie Overhead van de commissie BBV is in het voorjaar 2023 geactualiseerd en ter consulatie gepubliceerd. Ten opzichte van de notitie overhead 2016 is een belangrijke aanpassing de definitie van het begrip overhead zelf. Deze wordt als volgt gedefinieerd:
•
• • • •
het overzicht van baten en lasten in de jaarrekening en de toelichting; de balans en de toelichting; de rechtmatigheidsverantwoording de bijlage met de verantwoordingsinformatie over specifieke uitkeringen; een bijlage met het overzicht van de gerealiseerde baten en lasten per taakveld.
De volgende eisen worden gesteld aan de rechtmatigheidsverantwoording: 1. In de jaarrekening is een rechtmatigheidsverantwoording opgenomen, met inachtneming van de verantwoordingsgrens. 2. De rechtmatigheidsverantwoording bevat een toelichting op de rechtmatige totstandkoming van de baten, lasten en balansmutaties. 3. De gemeenteraad en provinciale staten stellen de verantwoordingsgrens vast. De verantwoordingsgrens valt binnen 0 tot 3% van de totale lasten, exclusief de dotaties aan de reserves. 4. Indien het eindbedrag hoger is dan de verantwoordingsgrens licht het college van burgermeesters en wethouders of gedeputeerde staten deze afwijking toe in de rechtmatigheidsverantwoording. De commissie BBV stelt een modeltekst voor de rechtmatigheidsverantwoording op.
“het geheel van functies gericht op de sturing en ondersteuning van de medewerkers in het primaire proces. Hiertoe behoren ook de systemen en aanverwante lasten die deze functies ondersteunen.” Daarnaast doet de commissie BBV de volgende stellige uitspraken, welke overigens al bestonden. •
De methodiek voor het toerekenen van overhead, zoals opgenomen in het overzicht overhead, aan lokale heffingen en rechten mag niet afwijken van de overige methodieken voor het toerekenen van overhead aan gemeentelijke taakvelden.
•
Bij de berekening van de tarieven voor lokale heffingen moet de methodiek voor de toerekening van overhead worden opgenomen in de financiële verordening.
Ook zijn er voorbeelden toegevoegd die antwoord geven op actuele vraagstukken. De notitie treedt na publicatie naar verwachting in werking vanaf begrotingsjaar 2025.
31
4. Actualiteiten 4.1 Aankomende wetswijzigingen in BBV en Bado Afgelopen zomer heeft het Rijk enkele wijzigingen op het Besluit Begroting en Verantwoording provincies en gemeenten (BBV) en het Besluit Accountantscontrole Decentrale Overheden (Bado) voorgesteld. Samenvattend zijn de belangrijkste voorgestelde wijzigingen opgenomen:
Paragraaf Openbaarheid
Paragraaf Bedrijfsvoering
Paragraaf Openbaarheid moet ten minste inzicht verschaffen in:
Daarnaast worden de eisen t.a.v. de paragraaf bedrijfsvoering worden uitgebreid. Tot en met 2023 is de eis:
a. de informatie die op grond van de artikelen 3.1, 3.3 en hoofdstuk 4 van de Wet open overheid openbaar is gemaakt; b. de informatiehuishouding; c. het aanwijzen en in dienst hebben van een contactpersoon als bedoeld in artikel 4.7 van de Wet open overheid; d. de besteding van subsidie voor de uitvoering van de Wet open overheid; e. de eventuele andere activiteiten benodigd ter uitvoering van de Wet open overheid; De op grond van artikel 3.3, eerste en tweede lid, van de Wet open overheid openbaar gemaakte informatie bevat per categorie van informatie ten minste:
“De paragraaf betreffende de bedrijfsvoering geeft ten minste inzicht in de stand van zaken en de beleidsvoornemens ten aanzien van de bedrijfsvoering.”
Na goedkeuring van de voorgestelde wijziging verlangt de wetgever de volgende toelichting in deze paragraaf: De paragraaf betreffende de bedrijfsvoering bevat ten minste: a. De stand van zaken van de bedrijfsvoering; b. De beleidsvoornemens ten aanzien van de bedrijfsvoering;
c. Informatie over de financiële rechtmatigheid; d. Welke actie wordt ondernomen om afwijkingen van de financiële rechtmatigheid te voorkomen.
a. op grond van welk artikel van de Wet open overheid de informatie openbaar is gemaakt; b. het jaar waarin de openbaarmaking van de informatie naar verwachting verplicht is; c. een omschrijving van de verstrekte informatie; d. het aantal documenten dat openbaar is gemaakt; e. het platform waarop de documenten openbaar zijn gemaakt. Het inzicht in de besteding van de subsidie bedoeld in het eerste lid, onderdeel d, bevat ten minste een omschrijving van de wijze waarop de subsidie is besteed. 32