RIB 25 001 Bijlage A Managementletter gemeente Rijswijk

Aanbeveling

Wij adviseren om bij de inrichting van de interne processen rondom het facilitair grondbeleid specifieke aandacht te besteden aan de inrichting van de processen rondom de inschatting van de verwachte kosten van projecten te structureren en hierop beleid en procedures in te richten en te monitoren.

Opvolging 2024 en gevolgen voor de jaarrekeningcontrole

De gemeente Rijswijk is druk bezig met verschillende acties voor deze aanbeveling. Zo wordt er gewerkt aan het actualiseren en verder uitwerken van projectbegrotingen en consolidatie, onderbouwing bij de projectbegrotingen, planningen voor alle gebieden, inzicht verkrijgen in de subsidies en balansposten voor de IOK/AOK ontkoppelen van de algemene posten. Wij merken hierbij een grote vooruitgang in dit proces, maar constateren hierbij dat de implementatie nog niet is afgerond. Wij zullen bij de jaarrekening de aanwezige onderbouwing beoordelen voor de controle van de facilitaire projecten. Wij zouden hierbij voorafgaand aan de werkzaamheden graag een gesprek hebben met verantwoordelijke functionarissen waarbij uiteen wordt gezet welke verliezen worden verwacht/niet worden verwacht en hoe dit is bepaalt.

pagina | 34

6a. Bijlage - Opvolging detailbevindingen voorgaande jaren Detailbevindingen interne beheersing – Bevindingen per proces Bevinding

Geen geformaliseerd proces ingericht op de verantwoording van subsidiebaten

Kans:

Middel

Jaar van constateren

2023

Impact:

Hoog

Constatering

Wij hebben gedurende de jaarrekeningcontrole 2022 geconstateerd dat de gemeente beperkt inzicht heeft in de volledigheid en nauwkeurigheid van de subsidiebaten vanuit de SiSa-regelingen en de overige subsidieregelingen, bijvoorbeeld vanuit de provincie en de MRDH. Na deze bevinding is er een traject opgestart door de gemeente om de beheersing van de specifieke uitkeringen te verbeteren. Tijdens de jaarrekeningcontrole 2023 bleek dat er op veel vlakken intensief wordt gewerkt om de kwaliteit van de aanlevering te verbeteren. Echter hebben wij tijdens de jaarrekeningcontrole 2023 vastgesteld dat een geformaliseerd, beschreven proces waarin duidelijk is wat er van alle betrokken functionarissen in dit proces wordt verwacht echter nog niet aanwezig is en daarnaast de beheersing van de specifieke uitkeringen ook nog niet op voldoende niveau is.

Risico

Het risico bestaat dat de gemeente niet alle kosten verantwoord die betrekking hebben op een subsidieregeling, waardoor de gemeente inkomsten vanuit de subsidiebaten misloopt. Daarnaast bestaat het risico dat onterechte kosten worden opgevoerd, waardoor subsidiebedragen worden geclaimd waarop de gemeente (nog) geen recht heeft.

Aanbeveling

Wij adviseren u specifiek voor dit proces een duidelijke procesbeschrijving op te stellen en een taakverdeling te maken waarin duidelijk is gespecificeerd welke rollen welke medewerkers in deze processen vervullen. Daarnaast adviseren wij u specifiek aandacht te besteden aan de controle op de subsidieverantwoordingen en de verantwoorde lasten in de SiSa-bijlage als onderdeel van de controle op het jaarrekeningdossier 2024.

Opvolging 2024 en gevolgen voor de jaarrekeningcontrole

De gemeente Rijswijk heeft in januari 2024 een projectgroep gestart met de inrichting van een proces voor verwerving en verantwoording van externe subsidies en het hierbij benodigde instrumentarium. Onder begeleiding van een externe expert, Ignite-Group, is gewerkt aan een handboek dat de rollen, taken en verantwoordelijkheden beschrijft voor het te implementeren proces. Het Handboek Subsidieverwerving d.d. 1 juli 2024, vastgesteld door het GMT op 10 juli 2024. Tevens is door het GMT een implementatieplan vastgesteld. Aan de hand van dit plan worden richting 1-1-2025 de vervolgstappen gezet.

Status bevinding: Actie ondernomen

Gezien het grote aantal bevindingen bij de jaarrekeningcontrole 2023 is het ons inziens noodzakelijk dat dit proces voldoende aandacht krijgt in het kader van de jaarrekeningcontrole 2024.

pagina | 35

6a. Bijlage - Opvolging detailbevindingen voorgaande jaren Detailbevindingen interne beheersing – Bevindingen per proces Bevinding

Geen geformaliseerd proces rondom verantwoording van baten en bestedingen Riolering

Kans:

Middel

Jaar van constateren

2023

Impact:

Middel

Constatering

Wij constateren dat de gemeente verschillende activiteiten ontplooit die leiden tot baten die toekomstige kosten met betrekking tot (investeringen) in Riolering moeten dekken. Dit betreft onder andere investeringen in nieuwe rioolaansluitingen binnen gemeentelijke grondexploitaties, verzwarende aansluitingen binnen facilitaire projecten en daarnaast rioolheffing waarin zowel een spaarcomponent voor vervangingsinvesteringen als een component ter dekking van de reguliere onderhoudslasten van het riool is opgenomen.

Status bevinding: Afgerond

De toerekening van baten en lasten aan de verschillende activiteiten kan niet altijd één op één worden gekoppeld, doordat uitbreiding van een aantal aansluitingen op een ander punt in het rioolnetwerk tot een knelpunt kan leiden. Op dit moment is het beleid hieromtrent en de bevoegdheden en verantwoordelijkheden met betrekking tot bijvoorbeeld het maken van afspraken over kostendekkende bijdragen door ontwikkelaars niet beschreven. Daarnaast wordt voor dit onderdeel geen matching toegepast tussen de baten vanuit de bijdragen en de lasten die in de toekomst zullen moeten worden gemaakt.

Risico

Het risico bestaat dat de toerekening van opbrengsten en kosten aan de verschillende componenten van het beheer van het rioleringsstelsel niet nauwkeurig plaatsvindt, waardoor de burger middels de rioolheffing meebetaald aan nieuwe aansluitingen of andersom. Ook het spaarbedrag ten behoeve van vervangingsinvesteringen is niet expliciet beschreven in het GRP.

Aanbeveling

Wij adviseren u in het nieuwe beleid en GRP deze specifieke aandachtspunten mee te nemen en specifiek voor de toerekening van opbrengsten en kosten de huidige verwerkingswijze te beschrijven en te controleren aan de hand van de randvoorwaarden die hieraan door het BBV gesteld worden.

Opvolging 2024 en gevolgen voor de jaarrekeningcontrole

De gemeente Rijswijk heeft de aanbeveling opgevolgd. De berekeningen voor de voorziening Riolering volgen uit het gemeentelijke riolerings- en waterplan. In het plan wordt er gespaard voor vervangingsinvesteringen. Indien de investeringen achterblijven bij het plan wordt de rest aan de spaarvoorziening toegevoegd. Het saldo van het product riolering (inclusief doorbelastingen) dat er overblijft wordt ook in een voorziening gestort (100% kostendekkendheid). Hiermee achten wij de aanbeveling afgerond.

pagina | 36

6a. Bijlage - Opvolging detailbevindingen voorgaande jaren Detailbevindingen interne beheersing – Bevindingen per proces Bevinding

Periodieke analyse uitputting beheerplannen niet geformaliseerd

Kans:

Middel

Jaar van constateren

2023

Impact:

Middel

Constatering

De gemeenteraad keurt periodiek de beheerplannen goed die ten grondslag liggen aan de egalisatievoorzieningen die in de jaarrekening zijn opgenomen. De egalisatievoorzieningen worden aangehouden om ervoor te zorgen dat de gemeente een evenwichtig uitgavenpatroon heeft ten behoeve van het groot onderhoud aan haar investeringen. Wij constateren dat de gemeente tussentijds geen geformaliseerd bijsturingsproces heeft ingericht om overbestedingen ten opzichte van het beheerplan te signaleren en bij te sturen. Hierdoor is tussentijds niet inzichtelijk of de dotatie aan de voorziening onderhoud toereikend is.

Risico

Het risico bestaat dat de egalisatievoorzieningen te hoog of te laag zijn verantwoord in de jaarrekening, doordat de dotatie aan de voorziening hoger of lager is dan op basis van de werkelijke bestedingen noodzakelijk is.

Aanbeveling

Wij adviseren u om periodiek de werkelijke uitgaven van de verschillende projecten af te zetten tegen de prognose volgens het beheerplan. Ons inziens zou de gemeente op basis hiervan overbestedingen en onderbestedingen moeten analyseren om vast te stellen of er indicaties zijn dat de kosten waarmee in het beheerplan zijn gerekend over het geheel genomen te hoog of te laag zijn opgenomen. Wij adviseren de gemeente hierover te rapporteren aan de Raad en hierbij de Raad te adviseren over een eventuele tussentijdse bijstelling van de dotatie aan de egalisatievoorzieningen.

Opvolging 2024 en gevolgen voor de jaarrekeningcontrole

De aanbeveling is besproken met de gemeente Rijswijk. Hierbij wordt aangegeven dat ten minste eens in de vijf jaar de onderliggende beheerplannen worden geactualiseerd en de jaarlijkse dotatie aan de voorziening hierbij zo nodig wordt aangepast. Dit wordt ter besluitvorming voorgelegd aan de Raad. In het geval van grote wijzigingen vindt er ook een tussentijdse actualisatie plaats van het MJOP en de bijbehorende dotatie.

Status bevinding: Geen actie ondernomen

Met de beantwoording vanuit de gemeente hebben wij vastgesteld dat er geen wijziging is doorgevoerd. De gemeente stelt eens in de 5 jaar een aangepaste begroting vast en kijkt tussendoor niet formeel naar de voortgang. Hierdoor blijft het risico zoals geformuleerd is bestaan.

pagina | 37

6a. Bijlage - Opvolging detailbevindingen voorgaande jaren Detailbevindingen interne beheersing – Bevindingen per proces Bevinding

Beperkte mogelijkheid tot monitoring vanuit de financiële administratie

Kans:

Middel

Jaar van constateren

2021

Impact:

Middel

Constatering

Er is een beperkte mogelijkheid om vanuit de financiële administratie op bijzondere boekingen en specifieke transactiestromen te monitoren. Om dit effectief en efficiënt uit te voeren raden wij u aan om de inrichting van de financiële administratie op bepaalde punten te wijzigen zodat transactiesoorten van elkaar onderscheiden kunnen worden. Dit maakt het makkelijker om een gedegen rechtmatigheidsverantwoording te komen, aangezien één van de eisen is dat deze opgesteld wordt op basis van de financiële omvang van posten en stromen.

Risico

Het risico bestaat dat onrechtmatige (significante) transacties niet gesignaleerd worden vanuit een (verbijzonderde) interne controle.

Aanbeveling

Wij adviseren u om de in de administratie specifieke transactiestromen duidelijk in de administratie te onderscheiden.

Opvolging 2024 en gevolgen voor de jaarrekeningcontrole

De gemeente Rijswijk zal vanaf 1 januari 2025 een nieuw financieel pakket in gebruik nemen, zijnde Unit4. In Unit4 zal het proces tot monitoring op bijzondere boekingen en specifieke transactiestromen vanuit de financiële administratie verder uitgewerkt worden. Dit betekent dat de aanbeveling onderhanden blijft totdat het nieuwe financiële pakket daadwerkelijk geïmplementeerd is.

Status bevinding: Actie ondernomen

pagina | 38

6a. Bijlage - Opvolging detailbevindingen voorgaande jaren Detailbevindingen interne beheersing – Bevindingen per proces Bevinding

Het ontbreken van een verplichtingenadministratie

Kans:

Middel

Jaar van constateren

2018

Impact:

Middel

Constatering

Wij hebben tijdens de controle geconstateerd dat de verplichtingen die de gemeente Rijswijk aangegaan is niet altijd inzichtelijk zijn. Hierdoor is het controleren of voldaan is aan de aanbestedingsvoorschriften een intensief proces.

Status bevinding: Actie ondernomen

Wij constateren dat de verplichtingen in het kader van de jaarrekening steeds strikter worden, waardoor het voor de organisatie belangrijk is inzicht te hebben in de aangegane verplichtingen.

Risico

Het risico bestaat dat aangegane verplichtingen niet tijdig worden gesignaleerd met als gevolg dat rechtmatigheidsfouten niet tijdig worden geconstateerd en daardoor niet kunnen worden gecorrigeerd.

Aanbeveling

Wij adviseren u om zorg te dragen voor een juiste en volledige registratie van de verplichtingen en rekening te houden met mogelijkheden om op eenvoudige wijze de naleving van de aanbestedingsrichtlijnen te controleren. Wij vragen uw aandacht voor de beschikbaarheid van medewerkers om de implementatie succesvol te laten verlopen.

Opvolging 2024 en gevolgen voor de jaarrekeningcontrole

De gemeente Rijswijk zal vanaf 1 januari 2025 een nieuw financieel pakket in gebruik nemen, zijnde Unit4. In Unit4 kan het proces van de verplichtingenadministratie beter bij worden gehouden doordat deze verplichtingenadministratie in het proces van bestellen en betalen beter ingebouwd kan worden dan in Key2Financiën. Dit betekent dat de aanbeveling onderhanden blijft totdat het nieuwe financiële pakket daadwerkelijk geïmplementeerd is. Voor de jaarrekeningcontrole 2024 zullen wij een selectie maken van te controleren inkoopdossiers voor de spendanalyse. Hierbij wijkt de aanpak niet af van voorgaande jaren. Bij de implementatie van het nieuwe financiële pakket is het doel de werkzaamheden omtrent de spendanalyse efficiënter uit te kunnen voeren. Deze efficiëntie slag zal voornamelijk voortkomen uit het makkelijker kunnen verkrijgen van de informatie uit de inkoopdossiers.

pagina | 39

6a. Bijlage - Opvolging detailbevindingen voorgaande jaren Detailbevindingen interne beheersing – Bevindingen per proces Bevinding

Geen eenduidige registratie van inkoopdossiers

Kans:

Middel

Jaar van constateren

2015

Impact:

Middel

Constatering

Wij hebben vastgesteld dat binnen de gemeente geen sprake is van een eenduidige wijze waarop de inkoopdossiers vastgelegd worden. Hierdoor is het niet mogelijk vooraf te bepalen of het juiste inkooptraject gevolgd wordt.

Risico

Het risico bestaat dat achteraf niet aangetoond kan worden dat de juiste inkoopprocedure gevolgd is, waardoor de rechtmatigheid van de lasten niet aangetoond kan worden.

Aanbeveling

Wij adviseren u om een eenduidige procedure te implementeren op de archivering van inkoopdossiers en erop toe te zien dat deze procedure breed binnen de organisatie gedragen wordt.

Opvolging 2024 en gevolgen voor de jaarrekeningcontrole

Voor de meervoudige onderhandse procedures en de (nationale/Europese) openbare/niet-openbare procedures, welke door de inkoopadviseurs worden ondersteund, wordt een dossiernummer aangevraagd. Na afloop zorgen de inkoopadviseurs voor archivering van de dossiers. De enkelvoudige onderhandse procedures worden door de afdelingen zelf gedaan.

Status bevinding: Actie ondernomen

De gemeente Rijswijk zal vanaf 1 januari 2025 een nieuw financieel pakket in gebruik nemen, zijnde Unit4. In Unit4 kan het proces van registratie van inkoopdossiers eenduidig worden ingericht. Dit betekent dat de aanbeveling onderhanden blijft totdat het nieuwe financiële pakket daadwerkelijk geïmplementeerd is. Voor de jaarrekeningcontrole 2024 zullen wij een selectie maken van te controleren inkoopdossiers voor de spendanalyse. Hierbij wijkt de aanpak niet af van voorgaande jaren. Bij de implementatie van het nieuwe financiële pakket is het doel de werkzaamheden omtrent de spendanalyse efficiënter uit te kunnen voeren. Deze efficiëntie slag zal voornamelijk voortkomen uit het makkelijker kunnen verkrijgen van de informatie uit de inkoopdossiers.

pagina | 40

6a. Bijlage - Opvolging detailbevindingen voorgaande jaren Detailbevindingen interne beheersing – Bevindingen per proces Bevinding

Het ontbreken van een toereikende onderbouwing van de prestatielevering

Kans:

Middel

Jaar van constateren

2019

Impact:

Hoog

Constatering

Wij constateren tijdens de controle op de inkopen dat bij veel medewerkers niet duidelijk is waarom ze een factuur autoriseren. Tevens constateren wij dat het huidige beleid dat ingaat op prestatielevering niet volledig voldoet aan de vereisten van de controle, waardoor niet altijd de juiste documenten (conform beleid) gearchiveerd worden. Om deze reden kunnen wij niet steunen op de autorisatie van inkoopfacturen in de financiële administratie.

Risico

Het risico bestaat dat facturen ten onrechte goedgekeurd worden terwijl de prestatie niet geleverd is.

Aanbeveling

Wij adviseren u om medewerkers te instrueren over de procedures bij vaststellen prestatielevering en het beleid op juiste wijze aan te passen. Het advies is om, zoals afgelopen perioden is gebeurd, periodiek te blijven controleren of en op welke wijze controle van prestatielevering heeft plaatsgevonden om hiermee het belang van de naleving van deze procedure te onderstrepen en goede implementatie te versnellen.

Opvolging 2024 en gevolgen voor de jaarrekeningcontrole

Gedurende 2024 zijn er workshops gehouden met budgethouders, prestatiebeoordelaars en business controllers binnen de gemeente Rijswijk om uit te leggen wat er van hen wordt verwacht met betrekking tot het akkoord geven op een prestatie. Verder zal de aangeleverde prestatieonderbouwing worden getoetst door eerst de business controller en vervolgens een medewerker P&C. De bevindingen van de medewerker P&C en de bevindingen uit de werkzaamheden van de accountant worden vervolgens teruggekoppeld aan de business controller met als doel te leren en verbeteren.

Status bevinding: Actie ondernomen

De gemeente Rijswijk zal vanaf 1 januari 2025 een nieuw financieel pakket in gebruik nemen, zijnde Unit4. In Unit4 kan zal bij het boeken van een factuur de achterliggende documentatie worden toegevoegd. Dit dient vervolgens beoordeeld te worden door een prestatie akkoord verklaarder (PAV’er). Dit betekent dat de aanbeveling onderhanden blijft totdat het nieuwe financiële pakket daadwerkelijk geïmplementeerd is. Daarnaast blijft het voor de gemeente Rijswijk een belangrijk punt om de betrokken functionarissen te blijven opleiden in het proces van het goedkeuren van facturen en alles wat hierbij hoort. Voor de jaarrekeningcontrole 2024 zullen wij de werkzaamheden op de inkopen volledig gegevensgericht uitvoeren middels detailcontroles.

pagina | 41

6a. Bijlage - Opvolging detailbevindingen voorgaande jaren Detailbevindingen interne beheersing – Bevindingen per proces Bevinding

Beperkte inrichting verbijzonderde interne controle

Kans:

Middel

Jaar van constateren

2019

Impact:

Middel

Constatering

Op basis van de tussentijdse rapportages en de gesprekken met diverse proceseigenaren constateren wij dat de VIC niet binnen elk proces een rol heeft. Ook geldt voor sommige processen dat de VIC werkzaamheden zijn verlegd naar Team Financiën, waar vervolgens de derdelijns controle onvoldoende wordt uitgevoerd.

Risico

Het risico bestaat dat tekortkomingen in de opzet, het bestaan of de werking van processen niet worden gesignaleerd, waardoor risico’s niet afdoende worden gemitigeerd.

Aanbeveling

Wij raden u aan om per proces gedetailleerd vast te leggen wat de taken en verantwoordelijkheden zijn van de eerste, tweede en derde lijn. Voor processen waar de VIC niet bij is betrokken of waarbij dit is verlegd naar Team Financiën is het belangrijk om wel vast te leggen dat de interne controle op voldoende niveau wordt uitgevoerd. Het is hierbij aan de VIC om dit te signaleren en te rapporteren. Daarnaast is het belangrijk dat vanuit Concerncontrol wordt vastgelegd wat de consequenties zijn voor de rechtmatigheidsmededeling wanneer de kwaliteit van de interne controle onvoldoende is, en welke aanvullende werkzaamheden moeten worden uitgevoerd.

Opvolging 2024 en gevolgen voor de jaarrekeningcontrole

Voor de begrotingsrechtmatigheid heeft de gemeente Rijswijk de processen aangescherpt (beter ramen van inkomsten en bijstelling van budgettair neutrale posten bij de slotwijziging). Op basis van de jaarrekeningcijfers en de spendanalyse kan de verantwoording worden opgesteld, inclusief de toelichting in de paragraaf bedrijfsvoering.

Status bevinding: Actie ondernomen

Voor de processen waarbij de VIC niet betrokken is, of waar de interne controle van onvoldoende kwaliteit is, zullen wij zelfstandig gegevensgerichte werkzaamheden verrichten, waaronder steekproeven en cijferanalyses.

pagina | 42

6a. Bijlage - Opvolging detailbevindingen voorgaande jaren Detailbevindingen interne beheersing – Bevindingen per proces Bevinding

Geen zichtbare controle op memoriaalboekingen

Kans:

Middel

Jaar van constateren

2019

Impact:

Hoog

Constatering

In 2020 is een procedure opgesteld voor het controleren en boeken van de memoriaalboekingen. Hierin is opgenomen dat de memoriaalboekingen gecontroleerd worden bij het afsluiten van de administratie. Wij constateren dat een gedegen afsluiting van de administratie nog ontbreekt. Daarnaast lopen er veel verschillende boekingen over het memoriaaldagboek (bijvoorbeeld boeking belastingheffingen).

Risico

Het risico bestaat dat memoriaalboekingen ten onrechte worden doorgevoerd. Hiermee neemt het risico op fraude en fouten in de verantwoording toe.

Aanbeveling

Wij adviseren u vanuit de administratie te analyseren welke memoriaalboekingen over het dagboek lopen. Wij adviseren u de ‘bijzondere boekingen’ met een verhoogd risico te controleren op juistheid.

Status bevinding: Actie ondernomen

Tevens verwijzen wij naar de aanbeveling over het wijzigen van de inrichting van de financiële administratie. Doordat er veel verschillende boekingen over het memoriaal geboekt worden, is het lastig om de risico boekingen en eventuele foutieve boekingen op een eenvoudige wijze vanuit de administratie te herleiden. Wij adviseren u de inrichting van de administratie hierop te wijzigen.

Opvolging 2024 en gevolgen voor de jaarrekeningcontrole

Per sub administratie, zoals Belastingen of Subsidies, worden perdiodieke journaliseringsbestanden ingelezen om de systemen aan elkaar te koppelen. Hiervoor worden specifieke dagboeken gebruikt. Verder wordt er een controle uitgevoerd op de aangeleverde handmatige memoriaalboekingen. Bij de invoering van het nieuwe financiële pakket in 2025 worden verdere verbeteringen geïmplementeerd. Voor de jaarrekeningcontrole 2024 zullen wij gegevensgerichte werkzaamheden uitvoeren op de memoriaalboekingen.

pagina | 43

6a. Bijlage - Opvolging detailbevindingen voorgaande jaren Detailbevindingen interne beheersing – Bevindingen per proces Bevinding

De controle op subsidieverstrekkingen vindt plaats zonder checklist

Kans:

Middel

Jaar van constateren

2017

Impact:

Middel

Constatering

Wij constateerden in 2017 dat de gemeente geen checklist gebruikt om bij aanvraag of vaststelling van de subsidies vast te stellen of voldaan is aan de eisen uit de subsidieverordening.

Risico

Het risico bestaat dat bij het verstrekken van subsidies de subsidieverstrekking niet volledig wordt getoetst aan de algemene subsidieverordening (ASV) en eventuele andere beleidskaders.

Aanbeveling

Wij adviseren u na te gaan of het mogelijk is werkstappen in de applicatie af te dwingen. Op deze wijze kan een controle op het naleven van de subsidieverordening ingebouwd worden.

Opvolging 2024 en gevolgen voor de jaarrekeningcontrole

Op dit moment wordt de checklist binnen de gemeente Rijswijk nauwelijks gebruikt. Er is recent een evaluatie gedaan op het subsidiebeleidskader, de Algemene subsidieverordening en de processen daaromheen. De resultaten worden via een Raadsinformatiebrief gedeeld met de raad. Onderdeel daarvan is dat het college op basis van de resultaten een opdracht gaat verstrekken om het subsidiebeleidskader, de Algemene subsidieverordening en de processen daaromheen te verbeteren. De werkgroep daarvoor zal in 2025 starten.

Status bevinding: Actie ondernomen

Voor de jaarrekeningcontrole 2024 hanteren wij een gegevensgerichte controleaanpak voor de subsidieverstrekkingen. Hierbij zullen wij kijken dat subsidies worden verstrekt conform de algemene subsidieverordening en eventuele andere beleidskaders.

pagina | 44

6a. Bijlage - Opvolging detailbevindingen voorgaande jaren Detailbevindingen interne beheersing – Bevindingen per proces Bevinding

Geen proces rondom de voorraadbeheer Wmo-hulpmiddelen

Kans:

Hoog

Jaar van constateren

2022

Impact:

Middel

Constatering

De gemeente koopt hulpmiddelen in bij haar leveranciers. Deze hulpmiddelen worden na aankoop direct ingezet bij cliënten. De gemeente heeft geen interne registratie van de ingekochte voorraad. Het beheer van de voorraad is belegd bij contractpartijen. De gemeente voert geen toets uit op de opgave van de contractpartijen. De voorraden worden in de financiële administratie direct in de kosten opgenomen in het boekjaar van aanschaf.

Status bevinding: Actie ondernomen

Periodiek vindt een beoordeling plaats waarbij eventuele afstoting van de in het verleden ingekochte hulpmiddelen plaatsvindt. Er is geen beleid/proces rondom de goedkeuring van verkoopbesluiten van voorraden.

Risico

Het risico bestaat dat hulpmiddelen ten onrechte aan het beheer van de gemeente worden onttrokken als gevolg van fraude of fouten.

Aanbeveling

Wij adviseren u om waarborgen in dit proces aan te brengen ten einde het voorraadbeheer in te richten, zodat inzicht wordt verkregen in de eigendommen van de gemeente. Daarnaast adviseren wij u functiescheiding in te richting in het proces rondom afstoting van hulpmiddelen.

Opvolging 2024 en gevolgen voor de jaarrekeningcontrole

In 2024 is een project opgestart waarbij Medipoint is gevraagd welke middelen Rijswijk momenteel in gebruik heeft. Het doel van de actie is tweeledig: - Een kloppende registratie van de ingekochte voorraad hulpmiddelen krijgen - Zicht hebben op de hulpmiddelen die de gemeente Rijswijk in bezit heeft Het ontvangen overzicht van Medipoint wordt vergeleken met de gegevens van ZorgNed. Zaken die bij de vergelijking opvallen worden momenteel onderzocht en handmatig hersteld. Zodra alles opgeschoond is, wilt de gemeente dit proces automatisch kunnen uitvoeren. Hiermee blijft de aanbeveling voor boekjaar 2024 nog onderhanden.

pagina | 45

6a. Bijlage - Opvolging detailbevindingen voorgaande jaren Detailbevindingen interne beheersing – Bevindingen per proces Bevinding

Geen tweede toetsing op de gehanteerde bouwkosten in een vergunningsaanvraag

Kans:

Middel

Jaar van constateren

2018

Impact:

Middel

Constatering

Wij hebben tijdens de controle vastgesteld dat er bij het beschikken van de omgevingsvergunningen geen controle plaatsvindt op de nauwkeurigheid van de bouwkosten. Wel hebben wij begrepen dat deze controle nog voor het opstellen van de jaarrekening uitgevoerd wordt.

Risico

Het risico bestaat dat bouwbedrijven bewust een te lage bouwkostensom opgeven en dat medewerkers deze als gevolg van fraude of fouten ten onrechte niet signaleren. In deze gevallen vindt legesoplegging voor een te laag bedrag plaats, waardoor de gemeente te lage baten uit bouwleges heeft.

Aanbeveling

Wij adviseren u om een plausibiliteitscheck uit te voeren op de juistheid van de opgave bouwkosten in een aanvraag. Wij adviseren u een procedure op te stellen waarin ingegaan wordt op wanneer deze analyse een vereiste is. Bijvoorbeeld wanneer sprake is van een specifieke vergunning of een hoge leges.

Opvolging 2024 en gevolgen voor de jaarrekeningcontrole

In 2024 is de gemeente Rijswijk gestart met een rekentool van Casadata. Deze rekentool is ook opgenomen in de legestabel. De casemanager voert via deze tool een check op de bouwkosten uit. Ook heeft de gemeente het vierogen-principe strakker ingericht op de leges. Voor 2025 wil de gemeente met een externe partij een opdracht afsluiten om een aantal dossiers – met name grote projecten -op bouwkosten door te rekenen.

Status bevinding: Actie ondernomen

Voor de jaarrekeningcontrole 2024 zullen wij een gegevensgerichte controle op een aantal omgevingsvergunningen dossiers uitvoeren. Deze controle-aanpak wijkt niet af van voorgaand jaar.

pagina | 46

6a. Bijlage - Opvolging detailbevindingen voorgaande jaren Detailbevindingen interne beheersing – Bevindingen per proces Bevinding

Onvolledige onderbouwing uitgangspunten grondexploitatie

Kans:

Middel

Jaar van constateren

2019

Impact:

Hoog

Constatering

Wij hebben in het verleden geconstateerd dat niet alle uitgangspunten van de verwachte kosten en opbrengsten bij Rijswijk Buiten (voldoende) onderbouwd zijn.

Risico

Het risico bestaat dat uitgangspunten in de grondexploitatie, voor wat betreft de te verwachten grondopbrengsten of nog te maken kosten, niet toereikend zijn ingeschat of onderbouwd waardoor de waardering van de grondexploitaties onnauwkeurig kan zijn.

Aanbeveling

Wij adviseren u de actualisatie van RijswijkBuiten tijdig op te pakken en af te ronden, zodat de eventuele impact hiervan op het exploitatieresultaat en de waardering in de jaarrekening tijdig bekend is.

Opvolging 2024 en gevolgen voor de jaarrekeningcontrole

In navolging op de al gerealiseerde verbeteringen uit afgelopen jaren is gemeente Rijswijk gedurende 2024 verder bezig geweest met actualiseren van de uitgangspunten voor grondexploitatie RijswijkBuiten. Hierbij heeft de gemeente dit jaar alle civieltechnische kosten aangepast op externe ramingen. Alleen de laatste kleinere restjes Sion en Parkrijk zijn op dezelfde manier naar prijspeilniveau gecorrigeerd met 3,5%. De aanbeveling rondom het onderbouwen en actualiseren van de uitgangspunten in de grondexploitatie is hiermee onderhanden.

Status bevinding: Actie ondernomen

Bij de controle van jaarrekening 2024 zullen wij de opvolging hiervan toetsen.

pagina | 47

6a. Bijlage - Opvolging detailbevindingen voorgaande jaren Detailbevindingen interne beheersing – Bevindingen per proces Bevinding

Monitoring volledigheid parkeeropbrengsten

Kans:

Middel

Jaar van constateren

2019

Impact:

Middel

Constatering

In het verleden hebben wij geconstateerd dat een duidelijke vastlegging en aansluiting van parkeeropbrengsten ontbrak.

Risico

Het risico bestaat dat parkeeropbrengsten niet volledig worden verantwoord en dat dit intern niet wordt opgemerkt.

Aanbeveling

Wij begrijpen dat u afgelopen jaar het proces ‘parkeerbelastingen’ uitgebreid heeft geëvalueerd. Wij adviseren u de taken en verantwoordelijkheden (waaronder de samenwerking en afspraken met externe partijen) van dit proces eenduidig te beschrijven en controle op de volledigheid van de opbrengsten heffingen en naheffingen mee te nemen en deze controle periodiek uit te voeren.

Opvolging 2024 en gevolgen voor de jaarrekeningcontrole

In 2024 is de gemeente Rijswijk begonnen met het maandelijks uitdraaien van een overzicht bij het team van Mobiliteit & Parkeren met alle inkomsten uit het systeem en de inkomsten die worden verkregen vanuit Cannock Chase (de externe partij die de naheffingen voor de gemeente verzorgt). Deze overzichten worden uitgewerkt in een rapportage die wordt gedeeld binnen de organisatie. De volgende stap die de gemeente hierbij wilt zetten is om tussen beiden bestanden een verschillenanalyse te maken. Daarnaast gaat aan Cannock Chase gevraagd worden om een jaarlijks overzicht / accountantsverklaring.

Status bevinding: Actie ondernomen

Ook is de gemeente sinds 1 februari 2024 aangesloten bij SHPV – NPR (Straatparkeren - SHPV). Deze partij zorgt voor de contracten en betalingen van alle aangesloten belparkeerders/parkeerproviders. Tevens leveren zij een accountantsverklaring aan. De gegevens uit de schriftelijke rapportages van maandinkomsten en gegevens uit het systeem van Rijswijk ten aanzien van inkomsten per provider komen tot nu toe een op een overeen met elkaar. Gemeente Rijswijk is daarnaast bezig met het ontwikkelen van een dashboard waarin zij alle data inzake parkeeropbrengsten centraal bij elkaar zullen hebben. Naar verwachting zal dit vanaf 2025 te gebruiken zijn. Voor de jaarrekeningcontrole 2024 zullen wij, voor zover dit kan, gebruik maken van de accountantsverklaringen van de verschillende providers bij het controleren van de volledigheid van de parkeeropbrengsten.

pagina | 48

6a. Bijlage - Opvolging detailbevindingen voorgaande jaren Detailbevindingen interne beheersing – Bevindingen per proces Bevinding

Geen zichtbare controle op de volledigheid van het verhuurregister

Kans:

Middel

Jaar van constateren

2018

Impact:

Middel

Constatering

Tijdens de controles in voorgaande jaren hebben wij geconstateerd dat er geen aansluiting gemaakt wordt tussen de contractenadministratie (verhuur register) en de financiële administratie. Tevens ontbreekt een analyse tussen de vastgoedadministratie en de verhuuradministratie. Hierdoor is het niet mogelijk om op effectieve wijze vast te stellen of de verhuuradministratie volledig is.

Risico

Het risico bestaat dat verhuuropbrengsten niet volledig worden verantwoord, doordat nieuwe contracten niet worden geregistreerd in het verhuurregister.

Aanbeveling

Wij adviseren u om jaarlijks een vergelijking op objectniveau te maken tussen de contractenadministratie en de verhuuropbrengsten. Tevens adviseren wij u om periodiek een analyse te maken tussen de vastgoedregistratie en de verhuuropbrengsten om na te gaan of de opbrengstenverantwoording volledig is

Opvolging 2024 en gevolgen voor de jaarrekeningcontrole

Momenteel lopen er een aantal trajecten met als doel om de vastgoedorganisatie van Rijswijk naar een kwalitatief hoger plan te tillen. Als onderdeel daarvan worden er ook werkprocessen onder de loep genomen. Dit specifieke werkproces maakt daar onderdeel van uit en is inmiddels opgeleverd.

Status bevinding: Actie ondernomen

Voor de jaarrekeningcontrole 2024 vragen wij van de gemeente om dit specifieke afgeronde werkproces op te leveren voor beoordeling. Daarnaast vragen wij in het kader van de jaarrekeningcontrole (voor zover dit nog niet is gedaan met dit specifieke werkproces) een analyse van de volledigheid van de verhuuropbrengsten te maken per pand door een relatie te leggen tussen het gemeentelijke vastgoed in eigendom, het huidige gebruik en de bijbehorende verhuuropbrengsten, zodat kan worden vastgesteld dat voor alle panden de verhuuropbrengsten worden verantwoord.

pagina | 49

6a. Bijlage - Opvolging detailbevindingen voorgaande jaren Detailbevindingen interne beheersing – Bevindingen per proces Bevinding

Geen eenduidige werkwijze verhuurproces

Kans:

Middel

Jaar van constateren

2022

Impact:

Middel

Constatering

Wij constateren dat verschillende personen van verschillende afdelingen betrokken zijn bij het proces verhuur. Bij het interview dat wij over dit proces hebben gehouden bleek dat er niet over alle processtappen eenduidige werkafspraken zijn gemaakt die door alle afdelingen worden nageleefd. Onder andere om deze reden heeft de afdeling Financiën in dit proces een uitvoerende rol in het verzamelen van verhuurafspraken en het registreren en factureren.

Risico

Het risico bestaat dat verhuurcontracten niet bekend zijn bij de relevante functionarissen, waardoor verhuuropbrengsten ten onrechte niet in rekening worden gebracht.

Aanbeveling

Wij adviseren u om het proces rondom de verhuuropbrengsten te beschouwen en waar nodig aanvullende maatregelen te nemen zodat bevoegdheden en verantwoordelijkheden van medewerkers duidelijk zijn, zodat alle betrokkenen de juiste taken uitvoeren.

Opvolging 2024 en gevolgen voor de jaarrekeningcontrole

Momenteel lopen er een aantal trajecten met als doel om de vastgoedorganisatie van Rijswijk naar een kwalitatief hoger plan te tillen. Als onderdeel daarvan worden er ook werkprocessen onder de loep genomen. Dit specifieke werkproces maakt daar onderdeel van uit en is inmiddels opgeleverd.

Status bevinding: Actie ondernomen

Voor de jaarrekeningcontrole 2024 vragen wij van de gemeente om dit specifieke afgeronde werkproces op te leveren voor beoordeling. Daarnaast vragen wij in het kader van de jaarrekeningcontrole (voor zover dit nog niet is gedaan met dit specifieke werkproces) een analyse van de volledigheid van de verhuuropbrengsten te maken per pand door een relatie te leggen tussen het gemeentelijke vastgoed in eigendom, het huidige gebruik en de bijbehorende verhuuropbrengsten, zodat kan worden vastgesteld dat voor alle panden de verhuuropbrengsten worden verantwoord.

pagina | 50

6b. Bijlage – Bevindingen IT omgeving Detailbevindingen interne beheersing – Toegangsbeveiliging netwerk

Authenticatie

Autorisatie

Constatering

De wachtwoordinstellingen zijn toereikend aan de “Best Practice” van Baker Tilly. De gemeente Rijswijk heeft het netwerk en de instellingen hiervan belegd bij de gemeente Delft. Er zijn afspraken gemaakt rondom het periodiek controleren van actieve gebruikers, dit wordt eens per 90 dagen uitgevoerd.

De hoge rechten in de Windows Active Directory zijn beperkt tot onafhankelijke functionarissen in het kader van de jaarrekeningcontrole. De hoge rechten zijn belegt bij de gemeente Delft als netwerk leverancier. Wij hebben geen functie-autorisatie matrix met een uitgangspositie (norm) voor inrichting en controle vastgesteld.

Risico

Wij hebben geen verhoogd risico vastgesteld met betrekking tot de authenticatie van het netwerk.

Het risico van het niet hebben van een functie autorisatie matrix is dat gebruikers mogelijk toegang krijgen tot informatie en systemen waarvoor ze niet bevoegd zijn, wat kan leiden tot fouten en misbruik binnen de organisatie.

Aanbeveling

Niet van toepassing

Wij raden aan om een functie-autorisatie matrix te implementeren en rollen ten aanzien hiervan te verdelen.

Gevolgen voor de jaarrekeningcontrole

Voor de jaarrekeningcontrole is het risico verlaagd naar een acceptabel niveau doordat er gebruik wordt gemaakt van Single-Sign-On met betrekking tot applicatie ZorgNed. Wij hebben geen verhoogd risico met betrekking tot authenticatie vastgesteld ten behoeve van de applicaties die gebruik maken van SSO.

Management commentaar

pagina | 51

6b. Bijlage – Bevindingen IT omgeving Detailbevindingen interne beheersing – Toegangsbeveiliging en wijzigingsbeheer ZorgNed

Authenticatie

Autorisatie

Wijzigingsbeheer

Constatering

Binnen de applicatie is sprake van Single SignOn (SSO), waardoor de wachtwoord instellingen op het netwerk leidend zijn. Zie uitwerking slide ‘netwerk’. Daarnaast voldoen de wachtwoordinstellingen voor toegang buiten het netwerk aan de “BT best practise”.

De hoge rechten voor het netwerk zijn belegd bij onafhankelijke functionarissen in het kader van de jaarrekeningcontrole. Daarnaast hebben wij vastgesteld dat er een formele functie-autorisatiematrix en een periodieke review van gebruikers en rechten wordt uitgevoerd en wordt vastgelegd.

Bij ZorgNed worden de wijzigingen doorgevoerd door de leverancier van de applicatie, te weten ZorgNed. De release notes worden beoordeeld en deze beoordeling wordt formeel vastgelegd.

Risico

Zie uitwerking slide ‘’netwerk’’.

Niet van toepassing

Niet van toepassing

Aanbeveling

Zie uitwerking slide ‘’netwerk’’.

Niet van toepassing

Niet van toepassing

Gevolgen voor de jaarrekeningcontrole

Voor de jaarrekeningcontrole is het risico verlaagd naar een acceptabel niveau voor authenticatie en autorisatie. Ten aanzien van het wijzigingsbeheer kan er gebruik worden gemaakt van de technische functionaliteiten van de applicatie.

Management commentaar

pagina | 52

6b. Bijlage – Bevindingen IT omgeving Detailbevindingen interne beheersing – Toegangsbeveiliging en wijzigingsbeheer Key2Financien

Authenticatie

Autorisatie

Wijzigingsbeheer

Constatering

De wachtwoordinstellingen zijn toereikend aan de “Best Practise” van Baker Tilly. Wij hebben geen formeel proces vastgesteld voor het periodiek controleren van actieve gebruikers in de applicatie.

Wij hebben vastgesteld dat een overzicht van De hoge rechten voor het netwerk zijn belegd bij onafhankelijke functionarissen in het kader van de bevindingen wordt gedocumenteerd ten aanzien van het doorvoeren van wijzigingen bij jaarrekening controle. Daarnaast hebben wij elke versie. De release notes worden vastgesteld dat er een formele functieautorisatiematrix en logging van de wijzigingen van beoordeeld en deze beoordeling wordt gebruikers en de behorende rechten aanwezig is. vastgelegd.

Risico

Niet van toepassing Het risico bestaat dat door het niet uitvoeren van periodieke controles op gebruikersrechten en rollen, accounts van medewerkers die uit-dienst zijn getreden actief blijven in het systeem. Dit leidt tot ongeautoriseerde toegang en eventuele datalekken.

Niet van toepassing

Aanbeveling

Wij raden aan om periodieke controles uit op de gebruikersrechten en rollen, en deze controle formeel vast te leggen.

Niet van toepassing

Niet van toepassing

Gevolgen voor de jaarrekeningcontrole

Voor de jaarrekeningcontrole is het risico verlaagd naar een acceptabel niveau voor authenticatie en autorisatie. Ten aanzien van het wijzigingsbeheer kan er gebruik worden gemaakt van de technische functionaliteiten van de applicatie.

Management commentaar

pagina | 53

6b. Bijlage – Bevindingen IT omgeving Detailbevindingen interne beheersing – Toegangsbeveiliging en wijzigingsbeheer Suite Sociaal Domein

Authenticatie

Autorisatie

Wijzigingsbeheer

Constatering

De wachtwoordinstellingen zijn toereikend aan de “Best Practice” van Baker Tilly. De wachtwoord eisen worden afgedwongen door de leverancier. Verder hebben wij vastgesteld dat er een periodieke controle op actieve gebruikers plaatsvindt.

De hoge rechten voor het netwerk zijn belegd bij onafhankelijke functionarissen in het kader van de jaarrekening controle. Daarnaast hebben wij vastgesteld dat er een functieautorisatiematrix en een periodieke review van gebruikers en rechten worden uitgevoerd.

Wij hebben vastgesteld dat er een procedure bestaat voor het doorvoeren van wijzigingen voor de applicatie. Hierin hebben wij vastgesteld dat er nieuwe wijzigingen worden beoordeeld en de resultaten hiervan formeel worden vastgelegd.

Risico

Niet van toepassing

Niet van toepassing

Niet van toepassing

Aanbeveling

Niet van toepassing

Niet van toepassing

Niet van toepassing

Gevolgen voor de jaarrekeningcontrole

Voor de jaarrekeningcontrole is het risico verlaagd naar een acceptabel niveau voor authenticatie en autorisatie. Ten aanzien van het wijzigingsbeheer kan er gebruik worden gemaakt van de technische functionaliteiten van de applicatie.

Management commentaar

pagina | 54

Contact Stefan Turenhout Director Audit s.turenhout@bakertilly.nl Barbara Dijkstra – De Klerk Manager Audit b.dijkstra@bakertilly.nl

Kantoorgegevens Baker Tilly (Netherlands) N.V. Churchillplein 5D Postbus 85745 2517 KZ Den Haag +31 70 358 90 00

Baker Tilly (Netherlands) N.V. trading as Baker Tilly is a member of the global network of Baker Tilly International Ltd., the members of which are separate and independent legal entities.