RIB 24 006 Bijlage A Managementletter accountant 2023

4. Informatieveiligheid 4.2 Is uw gemeente klaar voor de verplichte IT audits die wij in de publieke sector verwachten? Binnen de publieke sector is informatieveiligheid een hot topic. Gemeenten halen regelmatig negatief het nieuws vanwege incidenten met betrekking tot informatieveiligheid, zoals hacks, CEOfraude en datalekken. De komende jaren treden verschillende nieuwe wetten op het gebied van informatieveiligheid in werking waar ook uw gemeente mee te maken krijgt. Van gemeentelijke colleges wordt verwacht dat de ambtelijke organisatie wordt gefaciliteerd bij de implementatie van deze richtlijnen en wetten. Doel van deze wetten en richtlijnen is dat uw gemeente weerbaarder wordt op het gebied van informatieveiligheid. Daarnaast zal de toezichthoudende rol van de gemeenteraad op het dossier informatieveiligheid ook worden uitgebreid. Verder is het onze verwachting dat de auditlast in relatie tot nu al verplichte IT-audits zal toenemen en dat nieuwe IT-audits hun opwachting zullen maken. Wij adviseren u in beeld te brengen in hoeverre deze ontwikkelingen voor uw ambtelijke organisatie zijn gefaciliteerd en op basis daarvan vervolgstappen te nemen.

Huidige situatie Jaarlijks legt het college middels de ENSIA collegeverklaring onder andere verantwoording af over informatieveiligheid ten aanzien van DigiD en Suwinet. Van gemeenten wordt verwacht dat ieder jaar een interne audit Wpg (Wet Politiegegevens) wordt uitgevoerd. Eén keer in de vier jaar wordt een externe Wpgaudit uitgevoerd.

Vanaf 2023 – Wet Digitale Overheid Met ingang van 2023 treedt het eerste deel (eerste tranche) van de Wet Digitale Overheid (WDO) in werking. De Wet Digitale Overheid is gebaseerd op de Europese eIDAS-richtlijn en regelt dat burgers veilig kunnen inloggen bij de overheid. Vanaf 2023 is het gebruik van HTTPS en HSTS verplicht. HTTPS configuraties dienen daarnaast te voldoen aan de laatste TLS-richtlijnen.

Vanaf 2024 – wijzigingen ENSIA Tot op heden is de diepgang van de jaarlijkse ENSIA-audit beperkt tot ‘opzet’ en ‘bestaan’ (beleid en implementatie van het beleid middels beheersingsmaatregelen). Vanaf 2024 wordt op een aantal onderdelen ook ‘werking’ van beheersingsmaatregelen getoetst in de jaarlijkse ENSIA-audit. Dit vraagt van uw organisatie dat beheersingsmaatregelen gedurende het jaar consequent en aantoonbaar worden uitgevoerd.

Vanaf 2026 – Wet Digitale Overheid Vanaf 2026 is ook de tweede tranche van de Wet Digitale Overheid van toepassing. Dit deel van de wet vraagt van organisaties dat de governance rondom de verschillende basisregistraties en het delen van persoonsgegevens op orde is.

Vanaf 2024 – NIS2-richtlijn Naar verwachting is vanaf eind 2024 de Europese NIS2richtlijn (Network and Information Security Directive) van toepassing. De verwachting is dat de Baseline Informatiebeveiliging Overheid wordt uitgebreid met een aantal verplichte elementen. Vanuit de NIS2-richtlijn heeft uw organisatie een zorgplicht en meldplicht ten aanzien van informatieveiligheid. Daarnaast zal een toezichthouder toezicht houden op naleving van de NIS2-richtlijn middels (externe) IT-audits.

33

4. NIS2 als uitdaging voor uw gemeente? 4.2 De implementatie van NIS2 vraagt aandacht Onderwerp NIS2 als relevante ontwikkeling De nieuwe Network and Information Systems Directive (NIS2-richtlijn) heeft belangrijke implicaties voor gemeenten als het gaat om toezicht op informatiebeveiliging. Lokale overheidsinstanties vallen nu ook onder de NIS2. Tegelijkertijd is de uitwerking van de NIS2 nog niet geheel helder. Denk hierbij aan vragen rondom de toepasselijkheid van de richtlijn op de Nederlandse gemeenten en wijze waarop dit zich verhoudt met bestaande structureren als de BIO (Baseline Informatiebeveiliging Overheid) en bijvoorbeeld ENSIA (de jaarlijks terugkerende audit ten behoeve van de collegeverklaring over Suwinet en DigiD). Welke impact heeft de NIS2 op gemeenten in het algemeen? Gezien het feit dat gemeenten nu al een zorgplicht (BIO), een meldplicht (Informatiebeveiligingsdienst, IBD) en toezicht (Eenduidige Normatiek Single Information Audit, ENSIA) hebben zal de impact van NIS2 voor gemeenten afhankelijk zijn van de mate waarin nu al gedocumenteerd voldaan wordt aan de BIO. De VNG zet zich onder andere in om gemeenten het zo makkelijk mogelijk te maken en heeft de impact van de wetgeving opgenomen in een overzichtelijke rapportage. Wat kunt u doen? Informatiebeveiliging is een proces wat continu aandacht blijft vragen.

Daarom adviseren wij om door te blijven gaan met de cyclus van plannen, uitvoeren, controleren en bijstellen rondom de complete BIO. De BIO is een set van richtlijnen en best practices die specifiek is ontwikkeld voor de Nederlandse overheid. Door aandacht te geven aan de BIO kan in grote lijnen al een belangrijke stap gezet kan worden ter voorbereiding van de NIS2-richtlijn. Daarnaast kunnen wij uw organisatie adviseren in welke stappen u nog dient te ondernemen.

34

5. Bijlage

35

Bijlage 1: Detailbevindingen Uitleg opbouw In dit hoofdstuk zijn de significante bevindingen opgenomen. Per bladzijde van deze managementletter is een bevinding opgenomen met daarbij het risico en een aanbeveling. Bij elke bevinding staat de datum van de eerste vermelding aangegeven te samen met de gradatie van de constatering. Bij de prioriteit staat de mate van belangrijkheid en urgentie. Per bevinding zullen wij aangeven welke alternatieve werkzaamheden wij zullen uitvoeren om het geconstateerde risico (gegevensgericht) te ondervangen. Voor bestaande bevindingen geven wij tevens een update van de status van deze bevinding in het huidige boekjaar.

Bevinding In dit blok wordt aangegeven wat gedurende de accountantscontrole is geconstateerd en waarvan wij u graag op de hoogte willen brengen.

Prioriteit Urgentie en belang van de bevinding

Boekjaar bevinding

Status

Boekjaar eerste vermelding Risico Hierbij geven wij aan wat de risico's zijn van de bevinding en wat de gevolgen voor uw gemeente kunnen zijn. Aanbeveling Hier geven wij u aanbevelingen met betrekking tot de bevinding. Deze aanbeveling is een mogelijke oplossing voor de bevinding. Update boekjaar / Gevolgen jaarrekeningcontrole Hier geven wij een update van de bevinding wanneer deze in een eerder boekjaar is geconstateerd. Tevens kan de bevinding gevolgen hebben voor de controleaanpak / omvang van onze controlewerkzaamheden. Op deze plaats maken wij hier eveneens vermelding van.

De kleur van het symbool geeft de status van de constatering aan.  = opgelost  = in opzet opgelost, werking nog niet getoetst  = actie ondernomen, maar nog niet afgerond  = geen actie ondernomen  = Nieuwe bevinding

36

Detailbevindingen Risico 1: Onvolledig inzicht in activiteiten en bestedingen facilitaire projecten Bevinding Wij constateren op basis van de jaarrekeningcontrole 2022 dat de gemeente onvoldoende inzicht heeft in de uitputting van bijdragen die de gemeente ontvangt vanuit facilitaire projecten. Op basis van het BBV mag de gemeente opbrengsten verantwoorden indien hier lasten tegenover staan. Doordat inzicht in de lasten ontbreekt kan geen zekerheid worden verkregen bij de baten. Op basis van een interview dat wij met de medewerkers van de nieuw opgerichte afdeling hebben gehouden tijdens de interimcontrole van 2023 is vastgesteld dat de gemeente deze aanbeveling uit voorgaand jaar heeft opgepakt. De implementatie is echter nog niet afgerond, waardoor het inzicht nog niet aanwezig is.

Prioriteit

Boekjaar

Proces

Hoog

2023

Facilitair grondbeleid

Status

Risico Het risico bestaat dat de verantwoorde baten en lasten in het boekjaar niet toegerekend worden aan de (juiste) projecten, waardoor geen toereikend inzicht bestaat in de projectresultaten van de verschillende facilitaire projecten.

Aanbeveling Wij adviseren u om prioriteit te geven aan de verdere inrichting van de subadministratie voor de facilitaire projecten, zodat er bij de jaarrekeningcontrole 2023 geen onzekerheid meer bestaat over de nauwkeurigheid en volledigheid van de uitgaven en bijbehorende baten op de facilitaire projecten.

Gevolgen jaarrekening 2023 Indien de subadministratie bij de jaarrekeningcontrole 2023 ontoereikend is ingericht bestaat het risico dat er opnieuw onzekerheden optreden in de controle van de baten en lasten die samenhangen met de facilitaire projecten.

37

Detailbevindingen Risico 2: Geen inzicht in de te verwachten resultaten op facilitaire projecten Bevinding Wij constateren dat de gemeente in de afgelopen jaren een aantal omvangrijke facilitaire projecten heeft opgestart. Deze projecten bevinden zich in belangrijke mate nog in de beginfase. Met ontwikkelaars zijn afspraken gemaakt over de bijdragen die de ontwikkelaars doen in de kosten van de gemeente. In hoeverre hierin alle financiële risico’s voor de gemeente worden meegenomen en afgewogen wordt niet specifiek vastgelegd. Wij constateren daarnaast dat de gemeente op dit moment geen prognoses heeft opgesteld van de toekomstige kosten om te komen tot een toereikend inzicht in hoe de totale gemeentelijke kosten, gerealiseerde kosten en toekomstige kosten, zich verhouden tot de totale vergoeding die met de ontwikkelaars is afgesproken. Dit inzicht is noodzakelijk om te bepalen of al dan niet sprake is van toekomstige verliezen en de voldoen aan de Nota Kostenverhaal.

Prioriteit

Boekjaar

Proces

Hoog

2023

Facilitair grondbeleid

Status

Risico Het risico bestaat dat niet alle financiële risico’s voor de gemeente in beeld zijn bij het aangaan van contracten en dat toekomstige verliezen niet tijdig worden gesignaleerd en dus niet tijdig worden verantwoord. Daarnaast bestaat het risico dat toekomstige verliezen niet volledig zijn doordat niet alle toekomstige kosten in beeld zijn. Aanbeveling Wij adviseren om bij de inrichting van de interne processen rondom het facilitair grondbeleid specifieke aandacht te besteden aan de inrichting van de processen rondom de inschatting van de verwachte kosten van projecten te structureren en hierop beleid en procedures in te richten en te monitoren.

Gevolgen jaarrekeningcontrole 2023 In het kader van de jaarrekeningcontrole 2023 is een analyse van de toekomstige kosten en opbrengsten op hoofdlijnen noodzakelijk om vast te stellen of sprake is van verwachte toekomstige verliezen die in boekjaar 2023 moeten worden genomen. Wij zullen de uitgangspunten van deze inschattingen toetsen ten einde vast te stellen of de verliesvoorzieningen daar waar van toepassing volledig zijn genomen.

38

Detailbevindingen Risico 3: Geen geformaliseerd proces ingericht op de verantwoording van subsidiebaten Bevinding Wij constateren op basis van de jaarrekeningcontrole 2022 dat de gemeente beperkt inzicht heeft in de volledigheid en nauwkeurigheid van de subsidiebaten vanuit de SiSa-regelingen en de overige subsidieregelingen, bijvoorbeeld vanuit de provincie en de MRDH. Bij de interimcontrole 2023 constateren wij dat de gemeente met onze verbeterpunten aan de slag is gegaan om ervoor te zorgen dat de subsidiebaten voor de jaarrekening 2023 nauwkeuriger worden gemonitord. Een geformaliseerd, beschreven proces waarin duidelijk is wat er van alle betrokken functionarissen in dit proces wordt verwacht is echter nog niet aanwezig.

Prioriteit

Boekjaar

Proces

Hoog

2023

Subsidiebaten

Status

Risico Het risico bestaat dat de gemeente niet alle kosten verantwoord die betrekking hebben op een subsidieregeling, waardoor de gemeente inkomsten vanuit de subsidiebaten misloopt. Daarnaast bestaat het risico dat onterechte kosten worden opgevoerd, waardoor subsidiebedragen worden geclaimd waarop de gemeente (nog) geen recht heeft. Aanbeveling Wij adviseren u specifiek voor dit proces een duidelijke procesbeschrijving op te stellen en een taakverdeling te maken waarin duidelijk is gespecificeerd welke rollen welke medewerkers in deze processen vervullen. Daarnaast adviseren wij u specifiek aandacht te besteden aan de controle op de subsidieverantwoordingen en de verantwoorde lasten in de SiSa-bijlage als onderdeel van de controle op het jaarrekeningdossier 2023.

Gevolgen jaarrekeningcontrole 2023 Gezien het grote aantal bevindingen bij de jaarrekeningcontrole 2022 is het ons inziens noodzakelijk dat dit proces voldoende aandacht krijgt in het kader van de jaarrekeningcontrole 2023.

39

Detailbevindingen Risico 4: Geen geformaliseerd proces rondom verantwoording van baten en bestedingen Riolering Bevinding Wij constateren dat de gemeente verschillende activiteiten ontplooid die leiden tot baten die toekomstige kosten met betrekking tot (investeringen) in Riolering moeten dekken. Dit betreft onder andere investeringen in nieuwe rioolaansluitingen binnen gemeentelijke grondexploitaties, verzwarende aansluitingen binnen facilitaire projecten en daarnaast rioolheffing waarin zowel een spaarcomponent voor vervangingsinvesteringen als een component ter dekking van de reguliere onderhoudslasten van het riool is opgenomen. De toerekening van baten en lasten aan de verschillende activiteiten kan niet altijd één op één worden gekoppeld, doordat uitbreiding van een aantal aansluitingen op een ander punt in het rioolnetwerk tot een knelpunt kan leiden. Op dit moment is het beleid hieromtrent en de bevoegdheden en verantwoordelijkheden met betrekking tot bijvoorbeeld het maken van afspraken over kostendekkende bijdragen door ontwikkelaars niet beschreven. Daarnaast wordt voor dit onderdeel geen matching toegepast tussen de baten vanuit de bijdragen en de lasten die in de toekomst zullen moeten worden gemaakt.

Prioriteit

Boekjaar

Proces

Gemiddeld

2023

Riolering

Status

Risico Het risico bestaat dat de toerekening van opbrengsten en kosten aan de verschillende componenten van het beheer van het rioleringsstelsel niet nauwkeurig plaatsvindt, waardoor de burger middels de rioolheffing meebetaald aan nieuwe aansluitingen of andersom. Ook het spaarbedrag ten behoeve van vervangingsinvesteringen is niet expliciet beschreven in het GRP. Aanbeveling Wij adviseren u in het nieuwe beleid en GRP deze specifieke aandachtspunten mee te nemen en specifiek voor de toerekening van opbrengsten en kosten de huidige verwerkingswijze te beschrijven en te controleren aan de hand van de randvoorwaarden die hieraan door het BBV gesteld worden.

Update boekjaar 2022 / Gevolgen jaarrekeningcontrole 2022 In het kader van de jaarrekeningcontrole 2023 zullen wij de labeling van de baten en lasten vanuit de verschillende bijdragen aan de riolering toetsen aan de hand van het BBV.

40

Detailbevindingen Risico 5: Periodieke analyse uitputting beheerplannen niet geformaliseerd Bevinding De gemeenteraad keurt periodiek de beheerplannen goed die ten grondslag liggen aan de egalisatievoorzieningen die in de jaarrekening zijn opgenomen. De egalisatievoorzieningen worden aangehouden om ervoor te zorgen dat de gemeente een evenwichtig uitgavenpatroon heeft ten behoeve van het groot onderhoud aan haar investeringen. Wij constateren dat de gemeente tussentijds geen geformaliseerd bijsturingsproces heeft ingericht om overbestedingen ten opzichte van het beheerplan te signaleren en bij te sturen. Hierdoor is tussentijds niet inzichtelijk of de dotatie aan de voorziening onderhoud toereikend is.

Prioriteit

Boekjaar

Proces

Gemiddeld

2023

Egalisatievoorziening

Status

Risico Het risico bestaat dat de egalisatievoorzieningen te hoog of te laag zijn verantwoord in de jaarrekening, doordat de dotatie aan de voorziening hoger of lager is dan op basis van de werkelijke bestedingen noodzakelijk is. Aanbeveling Wij adviseren u om periodiek de werkelijke uitgaven van de verschillende projecten af te zetten tegen de prognose volgens het beheerplan. Ons inziens zou de gemeente op basis hiervan overbestedingen en onderbestedingen moeten analyseren om vast te stellen of er indicaties zijn dat de kosten waarmee in het beheerplan zijn gerekend over het geheel genomen te hoog of te laag zijn opgenomen. Wij adviseren de gemeente hierover te rapporteren aan de Raad en de Raad te adviseren over een eventuele tussentijdse bijstelling van de dotatie aan de egalisatievoorzieningen. Gevolgen jaarrekeningcontrole 2023 De bevinding heeft geen directe gevolgen voor de jaarrekeningcontrole 2023, alleen wanneer sprake is van acuut achterstallig onderhoud dient de egalisatievoorziening voor het bedrag van het achterstallige onderhoud te worden opgehoogd indien het huidige saldo niet toereikend is.

41

Detailbevindingen Risico 6: Beperkte mogelijkheid tot monitoring vanuit de financiële administratie Bevinding Het mogelijk is om vanuit de financiële administratie op bijzondere boekingen en specifieke transactiestromen te monitoren. Om dit effectief en efficiënt uit te voeren raden wij u aan om de inrichting van de financiële administratie op bepaalde punten te wijzigen zodat transactiesoorten van elkaar onderscheiden kunnen worden. Dit maakt het makkelijker om een gedegen rechtmatigheidsverantwoording te komen, aangezien één van de eisen is dat deze opgesteld wordt op basis van de financiële omvang van posten en stromen.

Prioriteit

Boekjaar

Proces

Gemiddeld

2021

Financieel beheer

Status

Risico Het risico bestaat dat onrechtmatige (significante) transacties niet gesignaleerd worden vanuit een (verbijzonderde) interne controle.

Aanbeveling Wij adviseren u om de in de administratie specifieke transactiestromen duidelijk in de administratie te onderscheiden.

Update boekjaar 2023 / Gevolgen jaarrekeningcontrole 2023 Aan Baker Tilly Advisory Public Sector was voor boekjaar 2022 een opdracht verstrekt om de gemeente te ondersteunen bij het efficiënter en effectiever inrichten van de financiële administratie. Hiermee was de verwachting dat dit issue voor het boekjaar 2023 opgelost had kunnen zijn.

Het project tussen Baker Tilly Advisory Public Sector en de gemeente Rijswijk loopt nog. Zodoende is de gemeente hier mee aan de slag gegaan, maar is dit punt nog niet afgewikkeld.

42

Detailbevindingen Risico 7: Geen tussentijds inzicht in betalingen Servicebureau Jeugdhulp Haaglanden Bevinding Wij constateren dat betalingen vanuit SbJH aangeleverd worden met inzicht op welk boekjaar of soort Jeugdzorg deze betaling betrekking heeft. Deze verdeling wordt intern tussentijds niet geanalyseerd, waardoor er geen zicht is of de inschatting van ‘nog te betalen Jeugdhulplasten’ in de jaarrekening van voorgaande jaren juist was.

Prioriteit

Boekjaar

Proces

Afgerond

2021

Jeugdzorg

Status

Risico Het risico bestaat dat onvoldoende inzicht is om een juiste inschatting te kunnen maken van verwachte of toekomstige verplichtingen Jeugdhulp.

Aanbeveling Wij adviseren u periodiek te analyseren of de betalingen Jeugdhulp die betrekking hebben op voorgaande jaren te vergelijken met de inschatting van de ‘onderhandenwerk’ positie.

Update boekjaar 2023 / Gevolgen jaarrekeningcontrole 2023 De balansposten ‘Te betalen’ en “Te verrekenen’ worden 2x per jaar geanalyseerd, 1x na de zomer / voor de interimcontrole en 1x gedurende de jaarrekeningperiode. Hierbij wordt ook de betalingen Jeugdhulp die betrekking hebben op voorgaande jaren vergeleken met de inschatting van de ‘onderhandenwerk’ positie. De gemeente heeft dit opgevolgd. In de zomer is OHW bekeken van voorgaande jaren. Voor einde van het jaar wordt dit opnieuw gedaan a.d.h.v. het bouwblok en de declaraties. Hiermee is toereikende opvolging gegeven aan deze bevinding.

43

Detailbevindingen Risico 8: Gedurende een deel van het boekjaar geen tweedelijns controle Bevinding Wij constateren dat de gemeente in de periode januari tot en met augustus 2022 geen tweedelijnscontrole heeft uitgevoerd op de processen Wmo en Jeugd binnen het sociaal domein. Hierdoor hebben toekenningen van Wmo, Jeugdzorg in de eerste acht maanden van het jaar plaatsgevonden, zonder dat er toetsingen op deze toekenningen plaatsvonden.

Prioriteit

Boekjaar

Proces

Afgerond

2022

Wmo en Jeugd

Status

Risico Het risico bestaat dat toekenningen in het boekjaar niet nauwkeurig hebben plaatsgevonden, waardoor niet de juiste zorg of te dure zorg beschikt is aan cliënten.

Aanbeveling Per 1 september 2022 is de tweedelijnscontrole door de gemeente weer opgestart, waarmee de processen per die datum weer toereikend is ingericht. Wij adviseren u te beoordelen in hoeverre het noodzakelijk wordt geacht om de toekenningen in de tussenliggende periode alsnog te beoordelen.

Update boekjaar 2023 / Gevolgen jaarrekeningcontrole 2023 Sinds onze bevinding voorgaand jaar is deze controle weer hersteld en heeft de tweedelijns controle weer plaatsgevonden. Hiermee is toereikende opvolging gegeven aan deze bevinding.

44

Detailbevindingen Risico 9: Ontbrekende verplichtingenadministratie Bevinding Wij hebben tijdens de controle geconstateerd dat de verplichtingen die de gemeente Rijswijk aangegaan is niet altijd inzichtelijk zijn. Hierdoor is het controleren of voldaan is aan de aanbestedingsvoorschriften een intensief proces. Wij constateren dat de verplichtingen in het kader van de jaarrekening steeds strikter worden, waardoor het voor de organisatie belangrijk is inzicht te hebben in de aangegane verplichtingen.

Prioriteit

Boekjaar

Proces

Gemiddeld

2018

Inkopen

Status

Risico Het risico bestaat dat aangegane verplichtingen niet tijdig worden gesignaleerd met als gevolg dat rechtmatigheidsfouten niet tijdig worden geconstateerd en daardoor niet kunnen worden gecorrigeerd.

Aanbeveling Wij adviseren u om zorg te dragen voor een juiste en volledige registratie van de verplichtingen en rekening te houden met mogelijkheden om op eenvoudige wijze de naleving van de aanbestedingsrichtlijnen te controleren. Wij vragen uw aandacht voor de beschikbaarheid van medewerkers om de implementatie succesvol te laten verlopen.

Update boekjaar 2023 / Gevolgen jaarrekeningcontrole 2023 Hierbij wordt door de gemeente aangesloten bij het project dat wordt gevolgd met ondersteuning van Baker Tilly Advisory Public Sector. Hiermee wordt verder voornamelijk gewacht tot de invoering van het nieuwe financieel pakket. In dit nieuwe financieel pakket kan het verplicht worden gesteld dat er een verplichting is aangemaakt alvorens een factuur goedgekeurd. In gebruik name van de nieuwe applicatie voor de financiële administratie staat gepland voor 1 januari 2025.

45

Detailbevindingen Risico 10: Geen eenduidige registratie inkoopdossiers Bevinding

Prioriteit

Boekjaar

Proces

Wij hebben vastgesteld dat binnen de gemeente geen sprake is van een eenduidige wijze waarop de inkoopdossiers vastgelegd worden. Hierdoor is het niet mogelijk vooraf te bepalen of het juiste inkooptraject gevolgd wordt.

Laag

2015

Inkopen

Status

Risico Risico dat achteraf niet aangetoond kan worden dat de juiste inkoopprocedure gevolgd is, waardoor de rechtmatigheid van de lasten niet aangetoond kan worden.

Aanbeveling Wij adviseren u om een eenduidige procedure te implementeren op de archivering van inkoopdossiers en erop toe te zien dat deze procedure breed binnen de organisatie gedragen wordt.

Update boekjaar 2023 / Gevolgen jaarrekeningcontrole 2023 Op Edison staat een checklist 'Archivering aanbestedingen (inkoopdossier)'. De halfjaarlijkse spendanalyse door de inkoopadviseurs is feitelijk een controle op de naleving hiervan. Inkoopprocedures die via de afdeling Inkoop verlopen worden door de inkoopadviseurs gearchiveerd. Dit wordt verder opgepakt door de gemeente in met de implementatie van de nieuwe financiële administratie. In gebruik name van de nieuwe applicatie voor de financiële administratie staat gepland voor 1 januari 2025.

46

Detailbevindingen Risico 11: Geen toereikende onderbouwing prestatielevering Bevinding Wij constateren tijdens de controle op de inkopen dat bij veel medewerkers niet duidelijk is waarom ze een factuur autoriseren. Tevens constateren wij dat het huidige beleid dat ingaat op prestatielevering niet volledig voldoet aan de vereisten van de controle, waardoor niet altijd de juiste documenten (conform beleid) gearchiveerd worden. Om die reden kunnen wij niet steunen op de autorisatie van inkoopfacturen in de financiële administratie.

Prioriteit

Boekjaar

Proces

Hoog

2019

Inkopen

Status

Risico Het risico bestaat dat facturen ten onrechte goedgekeurd worden terwijl de prestatie niet geleverd is.

Aanbeveling Wij adviseren u om medewerkers te instrueren over de procedures bij ‘vaststellen prestatielevering en het beleid op juiste wijze aan te passen. Advies is om, zoals afgelopen perioden is gebeurd, periodiek te blijven controleren of en op welke wijze controle van prestatielevering heeft plaatsgevonden om hiermee het belang van de naleving van deze procedure te onderstrepen en goede implementatie te versnellen. Update boekjaar 2023 / Gevolgen jaarrekeningcontrole 2023 In 2022 is de routing van een specifieke kredietbeheerder ingericht met een extra controleur. Hiermee zou de controle op de prestatielevering beter gewaarborgd moeten kunnen worden.

Hiermee heeft de gemeente vorig jaar reeds een stap gezet om de onderbouwing te verbeteren. Momenteel wordt er met verdere updates gewacht tot de invoering van het nieuwe financieel systeem. Voor de jaarrekeningcontrole 2023 zullen wij zodoende steekproeven moeten blijven uitvoeren.

47

Detailbevindingen Risico 12: Tussentijdse management informatie niet volledig Bevinding Wij begrijpen dat de informatie vanuit diverse subadministraties niet periodiek wordt aangesloten met de informatie vanuit de financiële administratie. Daarnaast begrijpen wij dat de informatie vanuit een aantal subadministraties (waaronder in ieder geval de salarisadministratie) een achterstand in de verwerking heeft opgebouwd, waardoor deze informatie op dit moment niet tijdig in de financiële administratie wordt verwerkt.

Prioriteit

Boekjaar

Proces

Afgerond

2022

Financieel beheer

Status

Risico Het risico bestaat dat de tussentijdse informatie die gerapporteerd wordt op onderdelen niet volledig is, waardoor mogelijke begrotingsoverschrijdingen en onderschrijdingen niet tijdig worden gesignaleerd.

Aanbeveling Wij adviseren u in ieder geval tussentijdse analyses uit te voeren op de cijfers die worden gehanteerd bij het opstellen van de tussentijdse rapportages.

Update boekjaar 2023 / Gevolgen jaarrekeningcontrole 2023 Sinds 2023 worden iedere twee maanden de cijfers geanalyseerd en besproken in "monitoringsgesprekken". Deze gesprekken worden gevoerd door de businesscontrollers met de budgethouders. De uitkomsten worden besproken in het GMT.

48

Detailbevindingen Risico 13: Beperkte inrichting verbijzonderde interne controle Bevinding De organisatie is in 2019 gestart met het opzetten van een VIC-plan en heeft in 2019 een eerste 0-meting gedaan op de interne beheersing binnen de afdelingen. Deze VIC is in 2020 en 2021 verder geïntensiveerd. Op basis van de tussentijdse rapportages en de gesprekken met diverse proceseigenaren constateren wij dat het doel en verwachtingen van de VIC’s nog niet altijd bekend is. Hierdoor zijn controles niet altijd effectief en efficiënt. Wij signaleren wel dat de VIC’s zijn uitgevoerd conform de opzet. Tevens constateren wij dat de keuze gemaakt is om eventuele aanvullende werkzaamheden die nodig zijn om tot een rechtmatigheidsverantwoording te komen niet bij de VIC te beleggen. Hierdoor moet u organisatie nog stappen zetten om tot een rechtmatigheidsmededeling te komen.

Prioriteit

Boekjaar

Proces

Gemiddeld

2019

Financieel beheer

Status

Risico Het risico bestaat dat tekortkomingen in de opzet, het bestaan of de werking van processen niet worden gesignaleerd, waardoor risico’s niet afdoende worden gemitigeerd.

Aanbeveling Gezien de huidige bevindingen verwachten wij dat het (nog) veel tijd in beslag zal nemen om de verschillende afdelingen mee te nemen in de acties die nodig zijn om op efficiënte wijze controles op de interne beheersing uit te voeren en te kunnen rapporteren over de rechtmatigheidsmededeling. Wij adviseren u te evalueren of deze capaciteit en kennis in voldoende mate aanwezig is binnen uw organisatie, mede gezien het feit dat de mogelijk aanvullende werkzaamheden die nodig zijn voor de rechtmatigheidsmededeling niet door de VIC uitgevoerd gaan worden. Update boekjaar 2023 / Gevolgen jaarrekeningcontrole 2023 De gemeente heeft een aantal acties in gang gezet om in 2023 de rechtmatigheidsverantwoording te kunnen afgeven. De VIC is kwalitatief en kwantitatief uitgebreid. Aan het begin van het jaar is voor verschillende processen een controleplan opgesteld, zodat het voor iedereen duidelijk is wie wat controleert. Van elk proces wordt bij de start van de jaarrekeningcontrole een rapport van bevindingen opgesteld dat de basis vormt voor de rechtmatigheidsverantwoording. Bij de interimcontrole hebben wij een deel van deze rapportages reeds verkregen en de verbeteringen waargenomen. Onze specifieke aandachtspunten ten behoeve van de rechtmatigheidsverantwoording zijn opgenomen in hoofdstuk 2 van deze management letter. 49

Detailbevindingen Risico 14: Geen zichtbare controle op memoriaalboekingen Bevinding In 2020 is een procedure opgesteld voor het controleren en boeken van de memoriaalboekingen. Hierin is opgenomen dat de memoriaalboekingen gecontroleerd worden bij het afsluiten van de administratie. Wij constateren dat een gedegen afsluiting van de administratie nog ontbreekt. Tijdens de controle is aangegeven dat het aantal memoriaalboekingen beperkt is. Uit de administratie blijkt echter dat er veel meer memoriaalboekingen verantwoord zijn. Dit wordt veroorzaakt doordat er ook andere boekingen (zoals boekingen belastingheffing) over het memoriaaldagboek heen lopen.

Prioriteit

Boekjaar

Proces

Gemiddeld

2019

Financieel beheer

Status

Risico Het risico bestaat dat memoriaalboekingen ten onrechte worden doorgevoerd. Hiermee neemt het risico op fraude en fouten in de verantwoording toe.

Aanbeveling Wij adviseren u vanuit de administratie te analyseren welke memoriaalboekingen over het dagboek lopen. Wij adviseren u de ‘bijzondere boekingen’ met een verhoogd risico te controleren op juistheid. Tevens verwijzen wij naar de aanbeveling over het wijzigen van de inrichting van de financiële administratie. Doordat er veel verschillende boekingen over het memoriaal geboekt worden, is het lastig om de risico boekingen en eventuele foutieve boekingen op een eenvoudige wijze vanuit de administratie te herleiden. Wij adviseren u de inrichting van de administratie hierop te wijzigen. Update boekjaar 2023 / Gevolgen jaarrekeningcontrole 2023 De gemeente geeft aan tussentijds de memoriaalboekingen te controleren. Voor de jaarrekeningcontrole 2023 zullen wij middels een dagboek-grootboek analyse en deelwaarneming op de memoriaalboekingen vaststellen of er bijzondere transacties verantwoord zijn en of deze terecht verantwoord zijn. Verdere verbeterslagen worden door de gemeente geïmplementeerd bij de invoering van het nieuwe financiële pakket in 2025.

50

Detailbevindingen Risico 15: Controle op subsidieverstrekkingen vindt plaats zonder checklist Bevinding Wij constateerden in 2017 dat de gemeente geen checklist gebruikt om bij aanvraag of vaststelling van de subsidies vast te stellen of voldaan is aan de eisen uit de subsidieverordening. Deze checklist wordt opgenomen in de applicatie.

Prioriteit

Boekjaar

Proces

Laag

2017

Subsidieverstrekkingen

Status

Risico Het risico bestaat dat bij het verstrekken van subsidies de subsidieverstrekking niet volledig wordt getoetst aan de algemene subsidieverordening (ASV) en eventuele andere beleidskaders.

Aanbeveling Wij adviseren u om afdelingen te verplichten de subsidies te registeren in de applicatie. Wij adviseren u na te gaan of het mogelijk is werkstappen in de applicatie af te dwingen. Op deze wijze kan een controle op het naleven van de subsidieverordening ingebouwd worden.

Update boekjaar 2023 / Gevolgen jaarrekeningcontrole 2023 Met ingang van boekjaar 2022 worden de subsidies allemaal geregistreerd in Key2Subsidies, maar de checklist wordt niet altijd gebruikt. Dat komt onder andere doordat er voor veel subsidies geen "concurrerende" aanvragen worden gedaan en er dus niet wordt vergeleken. De gemeente gaat onderzoeken of werken met een subsidieplafond breed toegepast kan worden. Indien daartoe wordt overgegaan, zal de checklist meer waarde krijgen en dan ook toegepast worden. Ook wordt het subsidieproces breed geëvalueerd en verbeterd en wordt daarbij meegenomen welke stappen afgedwongen kunnen worden. Overigens worden wel de nodige checks gedaan bij het beoordelen van de subsidieaanvragen, alleen worden deze niet structureel in Key2Subsidies vastgelegd. Hiermee is er een verbetering maar wordt er nog niet altijd afgedwongen dat de checklist wordt gehanteerd. Daarmee is het punt opgepakt, maar nog niet afgehandeld. 51

Detailbevindingen Risico 16: Geen proces rondom voorraadbeheer Wmo-hulpmiddelen Bevinding De gemeente koopt hulpmiddelen in bij haar leveranciers. Deze hulpmiddelen worden na aankoop direct ingezet bij cliënten. De gemeente heeft geen interne registratie van de ingekochte voorraad, dit beheer is belegd bij contractpartijen. De gemeente voert geen toets uit op de opgave van de contractpartijen. De voorraden worden in de financiële administratie direct in de kosten opgenomen in het boekjaar van aanschaf.

Periodiek vindt een beoordeling plaats waarbij eventuele afstoting van de in het verleden ingekochte hulpmiddelen plaatsvindt. Er is geen beleid/proces rondom de goedkeuring van verkoopbesluiten van voorraden.

Prioriteit

Boekjaar

Proces

Hoog

2022

Wmo

Status

Risico Het risico bestaat dat hulpmiddelen ten onrechte aan het beheer van de gemeente worden onttrokken als gevolg van fraude of fouten. Aanbeveling Wij adviseren u om waarborgen in dit proces aan te brengen ten einde het voorraadbeheer in te richten, zodat inzicht wordt verkregen in de eigendommen van de gemeente. Daarnaast adviseren wij u functiescheiding in te richting in het proces rondom afstoting van hulpmiddelen. Update boekjaar 2023 / Gevolgen jaarrekeningcontrole 2023 Tijdens de jaarrekeningcontrole 2022 hebben wij geconstateerd dat de onderhoudsfacturen van de leverancier niet inhoudelijk worden gecontroleerd doordat de gemeente geen aansluiting maakt met de hulpmiddelen die volgens de gemeentelijke administratie in gebruik zijn. Hierdoor bestaat het risico dat teveel onderhoudskosten in rekening worden gebracht. De impact hiervan is tijdens de jaarrekeningcontrole 2022 beoordeeld, is vastgesteld dat er geen overeenstemming is tussen de gemeentelijke administratie en de administratie van de leverancier, de financiële impact is beperkt. De gemeente heeft ons toegelicht dat zij met betrekking tot het voorraadsbeheer in 2024 een project gaat opstarten waarin beoordeeld wordt of de hulpmiddelenadministratie van de gemeente en de leverancier overeenkomen.

Hiermee wordt zekerheid verkregen dat de maandelijkse onderhoudsfacturen die de gemeente nu ontvangt van de leverancier gecontroleerd kunnen worden op nauwkeurigheid. Met betrekking tot de terugkoopregeling zijn financiële afspraken over de afschrijvingspercentage in het contract opgenomen. Hierdoor is er geen sprake van een onderhandelingsrisico bij afstoting van hulpmiddelen, omdat dit reeds contractueel is afgesproken. Wel adviseren wij om een tweede medewerker te betrekken in het besluitvormingsproces rondom afstoting van hulpmiddelen. 52

Detailbevindingen Risico 17: Geen tweede toetsing op de gehanteerde bouwkosten in vergunningsaanvraag Bevinding Wij hebben tijdens de controle vastgesteld dat er bij het beschikken van de omgevingsvergunningen geen controle plaatsvindt op de nauwkeurigheid van de bouwkosten. Wel hebben wij begrepen dat deze controle nog voor het opstellen van de jaarrekening uitgevoerd wordt.

Prioriteit

Boekjaar

Proces

Gemiddeld

2018

Omgevingsvergunningen

Status

Risico Het risico bestaat dat bouwbedrijven bewust een te lage bouwkostensom opgeven en dat medewerkers deze als gevolg van fraude of fouten ten onrechte niet signaleren. In deze gevallen vindt legesoplegging voor een te laag bedrag plaats, waardoor de gemeente te lage baten uit bouwleges heeft.

Aanbeveling Wij adviseren u om een plausibiliteitscheck uit te voeren op de juistheid van de opgave bouwkosten in een aanvraag. Wij adviseren u een procedure op te stellen waarin ingegaan wordt wanneer deze analyse een vereiste is. Bijvoorbeeld wanneer sprake is van een specifieke vergunning of een hoge leges.

Update boekjaar 2023 / Gevolgen jaarrekeningcontrole 2023 De gemeente laat momenteel een onderzoek uitgevoerd door Baker Tilly Advisory om tot een verbetering te komen van het totale proces Omgevingsvergunning en de deelproducten (zoals de vergunning, legesnota etc.). De aanbevelingen uit de managementletter 2022 worden hierin ook meegenomen. Het onderzoek bevindt zich in de afrondende fase. Tijdens de jaarrekeningcontrole 2022 heeft de toegezegde beoordeling van de 10 grootste dossiers niet plaatsgevonden. Achteraf is hier door de VIC op hoofdlijnen onderbouwd dat er geen materieel risico was opgenomen in de bouwleges, dit is echter niet de dossiercontrole zoals deze was toegezegd. Wij hebben opnieuw de afspraak met de gemeente gemaakt om voor de grootste dossiers de onderbouwing onder de bouwkostencontrole te ontvangen voorafgaand aan de jaarrekeningcontrole 2023. Daarnaast heeft de gemeente een bouwkostencalculator aangeschaft en de legesverordening aangepast om dit proces te verbeteren. 53

Detailbevindingen Risico 18: Onvolledige onderbouwing uitgangspunten grondexploitatie Bevinding

Prioriteit

Boekjaar

Proces

Wij hebben voorgaand jaar geconstateerd dat niet alle uitgangspunten van de verwachte kosten en opbrengsten bij Rijswijk Buiten (voldoende) onderbouwd zijn. Eind november hebben wij concrete afspraken gemaakt over de planning van de grondexploitatie RijswijkBuiten.

Hoog

2019

Grondexploitaties

Status

Risico Het risico bestaat dat uitgangspunten in de grondexploitatie voor wat betreft de te verwachten grondopbrengsten of nog te maken kosten niet toereikend zijn ingeschat of onderbouwd, waardoor de waardering van de grondexploitaties

Aanbeveling Wij adviseren u de actualisatie van RijswijkBuiten tijdig op te pakken en af te ronden, zodat de eventuele impact hiervan op het exploitatieresultaat en de waardering in de jaarrekening tijdig bekend is.

Update boekjaar 2023 / Gevolgen jaarrekeningcontrole 2023 In de management letter 2022 hebben wij de prioriteit van dit punt op hoog gezet op basis van de marktomstandigheden in 2022 die het belang van een toereikende onderbouwing van uitgangspunten vergroten. Wij hebben tijdens de jaarrekeningcontrole 2022 vastgesteld dat de onderbouwingen in zijn algemeenheid waren verbeterd ten opzichte van de jaren daarvoor. De aandachtspunten die wij hier nog in zagen zijn gerapporteerd in het accountantsverslag. Voor 2023 worden onze aandachtspunten door de gemeente meegenomen in de herziening. Bij de controle van de jaarrekening 2023 zullen wij de opvolging hiervan toetsen.

54

Detailbevindingen Risico 19: Monitoring volledigheid parkeeropbrengsten Bevinding Bij de controle 2019 hebben wij vastgesteld dat een duidelijke vastlegging en aansluiting ontbrak. Tijdens de controle 2020 hebben wij vernomen dat begin dit jaar geen naheffingsaanslagen zijn geïnd.

Prioriteit

Boekjaar

Proces

Gemiddeld

2019

Parkeeropbrengsten

Status

Risico Het risico bestaat dat parkeeropbrengsten niet volledig worden verantwoord en dat dit intern niet wordt opgemerkt.

Aanbeveling Wij begrijpen dat u afgelopen jaar het proces ‘parkeerbelastingen’ uitgebreid heeft geëvalueerd. Wij adviseren u de taken en verantwoordelijkheden (waaronder de samenwerking en afspraken met externe partijen) van dit proces eenduidig te beschrijven en controle op de volledigheid van de opbrengsten heffingen en naheffingen mee te nemen en deze controle periodiek uit te voeren.

Update boekjaar 2023 / Gevolgen jaarrekeningcontrole 2023 Voor de parkeerbelastingen is er nog geen formeel proces. De gemeente heeft een extern bureau ingehuurd om de processen bij de parkeerbelastingen te beoordelen en de processen zoals deze zouden moeten zijn formeel op papier te zetten. Zodoende is dit punt nu in eerste beginselen opgepakt, maar dit is nog niet zichtbaar. Wij hebben vernomen dat met ingang van Q1 2024 de veranderingen in dit proces geëffectueerd zullen worden.

55

Detailbevindingen Risico 20: Geen zichtbare controle op de volledigheid van het verhuurregister Bevinding Tijdens de controle hebben wij geconstateerd dat er geen aansluiting gemaakt wordt tussen de contractenadministratie (verhuurrregister) en de financiële administratie. Tevens ontbreekt een analyse tussen de vastgoedadministratie en de verhuuradministratie. Hierdoor is het niet mogelijk om op effectieve wijze vast te stellen of de verhuuradministratie volledig is.

Prioriteit

Boekjaar

Proces

Gemiddeld

2018

Verhuur

Status

Risico Het risico bestaat dat verhuuropbrengsten niet volledig worden verantwoord, doordat nieuwe contracten niet worden geregistreerd in het verhuurregister.

Aanbeveling Wij adviseren u om jaarlijks een vergelijking op objectniveau te maken tussen de contractenadministratie en de verhuuropbrengsten. Tevens adviseren wij u om periodiek een analyse te maken tussen de vastgoedregistratie en de verhuuropbrengsten om na te gaan of de opbrengstenverantwoording volledig is.

Update boekjaar 2023 / Gevolgen jaarrekeningcontrole 2023 De gemeente is in de afrondende fase van een verbetertraject. Als dit project is afgerond zullen wij kunnen toetsen of het de invulling van het verbetertraject de aanbeveling toereikend is opgevolgd. In het kader van de jaarrekeningcontrole 2023 verwachten wij van de gemeente een analyse van de volledigheid van de verhuuropbrengsten per pand door een relatie te leggen tussen het gemeentelijke vastgoed in eigendom, het huidige gebruik en de bijbehorende verhuuropbrengsten, zodat kan worden vastgesteld dat voor alle panden de verhuuropbrengsten worden verantwoord.

56

Detailbevindingen Risico 21: Geen eenduidige werkwijze verhuurproces Bevinding Wij constateren dat verschillende personen van verschillende afdelingen betrokken zijn bij het proces verhuur. Bij het interview dat wij over dit proces hebben gehouden bleek dat er niet over alle processtappen eenduidige werkafspraken zijn gemaakt die door alle afdelingen worden nageleefd. Onder andere om deze reden heeft de afdeling Financiën in dit proces een uitvoerende rol in het verzamelen van verhuurafspraken en het registreren en factureren.

Prioriteit

Boekjaar

Proces

Gemiddeld

2022

Verhuur

Status

Risico Het risico bestaat dat verhuurcontracten niet bekend zijn bij de relevante functionarissen, waardoor verhuuropbrengsten ten onrechte niet in rekening worden gebracht.

Aanbeveling Wij adviseren u om het proces rondom de verhuuropbrengsten te beschouwen en waar nodig aanvullende maatregelen te nemen zodat bevoegdheden en verantwoordelijkheden van medewerkers duidelijk zijn, zodat alle betrokkenen de juiste taken uitvoeren.

Update boekjaar 2023 / Gevolgen jaarrekeningcontrole 2023 Tijdens de interim controle reserves en voorzieningen is ons medegedeeld dat er een aantal trajecten lopen met als doel om de vastgoedorganisatie van Rijswijk naar een kwalitatief hoger plan te tillen. Als onderdeel daarvan worden er ook werkprocessen onder de loep genomen. Deze specifieke werkprocessen maken daar onderdeel van uit en inmiddels zijn al de eerste stappen genomen. De doelstelling is dat deze trajecten in de loop van boekjaar 2024 zijn afgerond. In het kader van de jaarrekeningcontrole verwachten wij van de gemeente een analyse van de volledigheid van de verhuuropbrengsten per pand door een relatie te leggen tussen het gemeentelijke vastgoed in eigendom, het huidige gebruik en de bijbehorende verhuuropbrengsten, zodat kan worden vastgesteld dat voor alle panden de verhuuropbrengsten worden verantwoord. 57

58