2026.014 RIB bijlage Gemeente Roermond BL 2025 ondertekend

16 JANUARI 2026

Boardletter 2025 Gemeente Roermond

BDO Audit & Assurance B.V., Philitelaan 73/Postbus 229, 5617 AM Eindhoven, www.bdo.nl

Aan:

Geachte raad,

Aan de gemeenteraad van de gemeente Roermond Postbus 900 6040 AX Roermond

In het kader van de aan ons verstrekte opdracht tot controle van de jaarrekening 2025 van gemeente Roermond brengen wij met deze boardletter verslag uit over onze bevindingen naar aanleiding van onze interim-controle. Voor een nadere omschrijving van onze opdracht, de reikwijdte en aanpak van onze controle en overige afspraken verwijzen wij naar de opdrachtbevestiging 2025.

Eindhoven, 16 januari 2026 Kenmerk: 39270/DDe/SP/260017

Deze boardletter bevat onze belangrijkste bevindingen ten aanzien van de processen binnen gemeente Roermond en de daarin opgenomen beheersingssystemen. In deze rapportage richten wij ons met name op mogelijke verbeterpunten in de bedrijfsvoering en de processen die wij hebben onderzocht in het kader van de controle van de jaarrekening. Dit heeft tot doel een bijdrage te leveren aan de interne beheersing en het zelf controlerend vermogen binnen de organisatie. Tijdens onze bezoeken aan gemeente Roermond komen wij ook in aanraking met andere ontwikkelingen van de organisatie en bedrijfsvoering. We bespreken graag een aantal van die andere ontwikkelingen. In deze boardletter besteden we daarom ook aandacht aan ontwikkelingen op andere gebieden dan de processen. Wij hopen u met dit verslag van dienst te zijn. Vanzelfsprekend zijn wij graag bereid om een nadere toelichting op de inhoud te geven. Met vriendelijke groet, BDO Audit & Assurance B.V. namens deze,

drs. D.O. Meeuwissen RA Partner en extern accountant gemeente Roermond

3

Boardletter 2025 – Gemeente Roermond

01

02

03

Dashboard interim-controle

Ontwikkelingen en aandachtspunten

Observaties en bevindingen interim-controle

4

Boardletter 2025 – Gemeente Roermond

1. Dashboard interim-controle

1.1 Dashboard interim-controle

5

Boardletter 2025 – Gemeente Roermond

ONTWIKKELINGEN EN AANDACHTSPUNTEN

RECHTMATIGHEIDSVERANTWOORDING EN VIC

Wijziging van de materialiteit en verantwoordingsgrens  Naar aanleiding van de wijzigingen in BADO en BBV wijzigen de materialiteit en verantwoordingsgrens. Het is noodzakelijk dat de verordeningen worden aangepast.

De grenzen in de rechtmatigheidsverantwoording  Het aangepaste protocol accountantscontrole wordt in de vergadering van 26 februari 2026 voorgelegd aan de gemeenteraad.

Aandacht voor fraude en non-compliance De intern opgestelde frauderisicoanalyse is recent geactualiseerd en is geagendeerd bij zowel het college als de auditcommissie. Dat vinden wij een goede zaak.  Tijdens onze werkzaamheden zijn door het management signalen omtrent mogelijke fraude gedeeld. Conform de afgesproken procedure zullen eerst interne onderzoeken plaatsvinden voordat verdere stappen worden overwogen.

Gemeente Roermond beschikt over een adeqaat functionerende derdelijnscontrole (VIC). We onderstrepen de interne ambitie om meer te beleggen in de eerste en tweede lijn Ons advies om de meerwaarde en kracht van de VIC verder te verhogen:  Het toetsen op de werking van systemen kan bij de teams zelf (eerste lijn) of in de tweede lijn worden belegd. Dan kan de VIC meer acteren als derde lijn, waarbij het hun taak is om de betrouwbaarheid van de informatievoorziening van de eerste en tweede lijn te beoordelen (3-lines model).  Het huidige niveau van de controles door kwaliteitsmedewerkers biedt ruimte voor verbetering om te voldoen aan de gewenste kwaliteitsstandaard. Hierdoor kan de VIC zich richten op steekproeven en risicogerichte controles, waardoor het interne controleproces efficiënter en effectiever wordt.  Het concreet en zichtbaar vertalen van het volledige normenkader naar het toetsingskader om de volledigheid van de toetspunten binnen de geplande VIC-werkzaamheden te waarborgen.



Aanscherpingen in het kader van Wet DBA en nieuwe BBV-notities hebben impact De gemeente Roermond huurt personeel in via een Managed Service Provider (MSP)constructie met Maandag Managed Services (MMS). Door de inzet van een MSP en het hanteren van strikte toetsingscriteria wordt het risico op schijnzelfstandigheid en daarmee de aansprakelijkheid onder de Wet DBA adequaat gemitigeerd.  De Commissie BBV heeft de notities overhead, Rente en Grondbeleid 2023 geactualiseerd. Deze notities dienen vanaf boekjaar 2025 verplicht toegepast te worden. Actualisatie van financiële verordening en eventuele andere beleidsstukken zijn onderhanden bij de organisatie. 

UW INTERNE BEHEERSING De interne beheersing is van voldoende niveau We concluderen dat de interne beheersing en controleomgeving van de gemeente Roermond, voor zover relevant voor de jaarrekeningcontrole, van voldoende niveau is, rekening houdend met de werkzaamheden van de VIC achteraf. We constateren dat de gemeente Roermond actief aan de slag is met de opvolging van de bevindingen uit voorgaande jaren. Er zijn aspecten waarop ruimte is voor doorontwikkeling in de interne beheersing Wij begrijpen dat vanuit kosten/baten perspectief processen pragmatisch zijn ingericht, maar het is onze rol om de organisatie in het kader van de doorontwikkeling van de interne beheersing en controleomgeving (breder) te adviseren. Wij zien ruimte voor verbetering met betrekking tot (niet limitatief):  Het opstellen van procesbeschrijvingen op basis van de 5 W’s zodat de eventuele risico’s omtrent de onvervangbare AO/IB en/of primaire registratie expliciet worden gemaakt;  Toetsing en documentatie van de prestatielevering in de lijn;  Aanscherping van de procedures m.b.t. het wijzigen van crediteurenstamgegevens;  Periodieke controle op toegang en juistheid ingerichte autorisaties van Suite4SociaalDomein en Decade.  Binnen de gemeente is een proces geformaliseerd waarbij memoriaalboekingen door twee functionarissen worden geaccordeerd.

De onderbouwing van die memoriaalboeking wordt echter niet zichtbaar getoetst. Wel vindt er achteraf een VIC-controle plaats. Wij raden aan om de toets op de onderbouwing van een memoriaalboeking expliciet vast te leggen.

VOORUITBLIK Fouten en onzekerheden dienen bij elkaar te worden opgeteld Vanaf boekjaar 2025 wordt er voor evaluatie van bevindingen geen onderscheid meer gemaakt tussen fouten en onzekerheden. Met name de onzekerheden binnen het sociaal domein zijn dan ook punt van aandacht. Voorgaande wordt verder versterkt door het verhogen van de omzetgrens voor verantwoording en controle volgens het accountantsprotocol financiële verantwoording Jeugdwet en Wmo. Het belangrijkste aandachtspunt voor de gemeente betreft het aantoonbaar en preventief beheersen van de prestatielevering binnen het sociaal domein, zodat onzekerheden over geleverde zorg en ondersteuning zoveel mogelijk worden beperkt. Dit vraagt om het structureel en geformaliseerd vastleggen van interne beheersingsmaatregelen en uitgevoerde onderzoeken, zodat deze toetsbaar zijn tijdens de jaarrekeningcontrole. Wij adviseren de organisatie hier tijdig mee aan de slag te gaan om het risico op aanvullende werkzaamheden tijdens de jaarrekeningcontrole te beperken. APPA-pensioenaanspraken dient conform de stellige uitspraak te worden verwerkt in de jaarstukken 2025 Per 1 januari 2028 moeten de APPA-pensioenaanspraken van politieke ambtsdragers worden ondergebracht in een pensioenfonds. In aanloop hier naartoe zijn door het Ministerie onderzoeken en herberekeningen uitgevoerd naar de voorzieningen aangehouden bij gemeenten.

Commissie BBV heeft begin december 2025 een Q&A gepubliceerd met stellige uitspraken die de organisatie in de jaarstukken 2025 zal verwerken.

6

Boardletter 2025 – Gemeente Roermond

2. Ontwikkelingen en aandachtspunten

2.1 Aandachtspunten jaarrekening 2025 2.2 Ontwikkelingen in de wet- en regelgeving

7

Boardletter 2025 – Gemeente Roermond

2.1 Aandachtspunten jaarrekening 2025

Aanpassing materialiteit naar 2% voor 2025 Vanaf boekjaar 2025 is de wettelijke controlegrens voor de accountant verhoogd van 1% naar 2%. Deze wijziging betreft tevens de samenvoeging van de controlegrens van 1% voor fouten en 3% voor onzekerheden tot één norm van 2%. De omvangsbasis is gelijk aan de totale lasten van de gemeente, exclusief de toevoegingen aan de reserves. Wij adviseren u uw protocol accountantscontrole voor de accountantscontrole hierop aan te passen. Het aangepaste protocol accountantscontrole wordt in de vergadering van 26 februari 2026 voorgelegd aan de gemeenteraad. Onzekerheden prestatielevering Wmo en/of Jeugdzorg Door de wijziging van de BADO en BBV vanaf verslagjaar 2025 geldt er voor onzekerheden geen aparte materialiteitsgrens meer; onzekerheden worden opgeteld bij de fouten. Landelijk is bij een aantal gemeenten sprake van omvangrijke onzekerheden bij de Wmo en/of Jeugdzorg, omdat zijzelf geen toereikende controle op prestatielevering uitvoeren en de onzekerheden niet worden ondervangen door productieverantwoordingen en goedkeurende controleverklaring vanuit zorgaanbieders. Omvangrijke onzekerheden kunnen (in combinatie met ongecorrigeerde fouten uit de jaarrekeningcontrole) de materialiteit overschrijden. Als de materialiteit wordt overschreden, zal de gemeente alsnog werkzaamheden moeten uitvoeren om de onzekerheden te reduceren.

Een herstelactie kan de bestuurlijke agenda en de jaarrekening(controle) beïnvloeden. Voorgaande wordt verder versterkt door het verhogen van de omzetgrens voor verantwoording en controle volgens het accountantsprotocol financiële verantwoording Jeugdwet en Wmo. De controle van de prestatielevering bij Wmo en/of Jeugdzorg dient door de organisatie met voldoende omvang en diepgang te worden uitgevoerd, en daarnaast structureel en traceerbaar te worden vastgelegd om te voorkomen dat in het voorjaar aanvullende werkzaamheden noodzakelijk zijn.

Rechtmatigheidsverantwoording Het wetgevingstraject rondom de rechtmatigheidsverantwoording is voor gemeenten afgerond op 21 maart 2025. Naar aanleiding van de afgeronde wijzigingen in het BBV wijzigt vanaf boekjaar 2025 het maximum van de door de raad vastgestelde verantwoordingsgrens naar 2% van de lasten exclusief dotaties aan reserves (was 3%). Dit is gelijk aan de wettelijke materialiteit die in het kader van de jaarrekeningcontrole over 2025 door ons wordt gehanteerd. Gemeenteraadsverkiezingen en proces van overdracht In 2026 vinden de gemeenteraadsverkiezingen plaats. De auditcommissie zal mogelijk niet in de huidige samenstelling doorgaan. Wij adviseren om aan de opvolgende auditcommissie een goede overdracht te doen van lopende ontwikkelingen en aandachtspunten. Wij organiseren graag voor de nieuwe auditcommissie een trainingssessie in het kader van de jaarrekeningcontrole.

8

Boardletter 2025 – Gemeente Roermond

2.2 Ontwikkelingen in de wet- en regelgeving

Wet DBA De wetgeving voor de beoordeling van arbeidsrelaties is onderhanden. De kern is dat de wetgeving meer nadruk zal leggen op de vraag of het werk en de werkende organisatorisch zijn ingebed in de organisatie van de werkverschaffer.

Voorziening voor pensioenaanspraken van politieke ambtsdragers Met de invoering van het nieuwe pensioenstelsel is besloten dat ook de APPApensioenaanspraken van politieke ambtsdragers in een pensioenfonds ondergebracht moeten worden per 1 januari 2028.

Ook wordt gewerkt aan een wetsvoorstel dat bepaalt aan welke criteria iemand moet voldoen om als zelfstandige te worden erkend. Dit voorstel, de Wet verduidelijking beoordeling arbeidsrelaties en rechtsvermoeden (Wet VBAR), beoordeelt zelfstandigheid op basis van tien criteria. Enerzijds vijf criteria rondom hoeveel vrijheid iemand heeft in het werk. En anderzijds vijf criteria over de risico’s die iemand als ondernemer draagt. Pas als die criteria in evenwicht zijn, wordt er gekeken naar extern ondernemerschap (zoals klanten werven en investeren in het eigen bedrijf).

Het ministerie van Binnenlandse zaken heeft een onderzoek gedaan of de huidige pensioenvoorzieningen toereikend zijn voor de overdracht per 1 januari 2028. De gemeenten die hieraan mee hebben gewerkt, hebben een individuele brief ontvangen waarin verschillende bedragen worden genoemd, zoals het benodigd vermogen per 1 januari 2025 en een herberekening van de voorziening 2024.

Bij ons is bekend dat de gemeente reeds aan de slag is gegaan met dit onderwerp. Dit ziet toe op de inhuur van personeel via een MSP-constructie met Maandag Managed Services (MMS). MMS verzorgt vrijwel alle inhuur en toetst vooraf of opdrachten voldoen aan de Wet DBA. Hierbij wordt onder meer beoordeeld: looptijd van de opdracht, aanwezigheid van meerdere opdrachtgevers, aard en omschrijving van de werkzaamheden en onderscheid ten opzichte van reguliere vacatures. Na goedkeuring door MMS neemt deze partij de risico’s verbonden aan de Wet DBA over. Indien nodig worden opdrachten aangepast om aan de toetsingscriteria te voldoen of worden opdrachten beëindigd. Door de inzet van een MSP en het hanteren van strikte toetsingscriteria wordt het risico op schijnzelfstandigheid en daarmee de aansprakelijkheid onder de Wet DBA adequaat gemitigeerd.

Volledigheidshalve melden we dat de commissie BBV begin december 2025 een stellige uitspraak heeft gedaan waarbij is aangegeven dat de voorziening in de jaarstukken 2025 dient aan te sluiten bij de herberekening. De organisatie is van deze stellige uitspraak op de hoogte en zal hiermee rekening houden bij het opstellen van de jaarrekening 2025.

9

Boardletter 2025 – Gemeente Roermond

3. Observaties en bevindingen interimcontrole 3.1 Controleaanpak en aandacht voor fraude, corruptie en non-compliance 3.2 Onze werkzaamheden 3.3 Verbijzonderde Interne Controle 3.4 Overzicht van onze bevindingen t.a.v. de IT en cybersecurity 3.5 Conversie naar een nieuw systeem

10 Boardletter 2025 – Gemeente Roermond

3.1 Controleaanpak en aandacht voor fraude, corruptie en noncompliance 1/2 Controleaanpak en doel van de interim-controle Het doel van de jaarrekeningcontrole is om een oordeel tot uitdrukking te brengen over de getrouwheid van de jaarrekening van gemeente Roermond. De controle heeft onder meer betrekking op het overwegen van de interne beheersing die relevant is voor het opstellen van de jaarrekening, teneinde controlewerkzaamheden op te zetten die in de gegeven omstandigheden passend zijn, maar niet met het doel om een oordeel te geven over de effectiviteit van de interne beheersing. Het gaat hierbij niet alleen om de kwaliteit van de accountantscontrole, maar ook over de wijze waarop gemeente Roermond hiervan kan profiteren. Op basis van onze bevindingen bij deze werkzaamheden, geven wij, in het kader van onze natuurlijke adviesfunctie, in deze boardletter aanbevelingen over de opzet van de administratieve organisatie en berichten wij u over vastgestelde tekortkomingen in de uitvoering daarvan en in hoeverre corrigerende maatregelen door het management zijn genomen. De aangelegenheden waarover wij rapporteren, betreffen die tekortkomingen die tijdens de controle zijn geïdentificeerd en waarvan wij van mening zijn dat deze voldoende belangrijk zijn om verslag van te doen.

Onze inschatting van de aandachtspunten In het kader van de controle van de jaarrekening 2025 en onze aanpak hebben wij een zogenaamde initiële risico-inschatting gemaakt. Wij zien de volgende aandachtspunten bij de controle van de jaarrekening van gemeente Roermond:





In onze controlestandaarden (NV COS) wordt expliciet het risico van management override (bewuste beïnvloeding door het college, de directie of het management van de jaarcijfers) als een belangrijk te onderkennen theoretisch risico benoemd. Als accountant moeten wij in onze werkzaamheden hier specifiek aandacht aan besteden. Wij zijn van mening dat de mogelijkheden om buiten de getroffen interne beheersmaatregelen invloed uit te oefenen op de in de jaarrekening gepresenteerde uitkomsten, beperkt zijn. Om het resterende risico te beperken, beoordelen wij schattingsprocessen en bijzondere journaalposten in detail. De gemeente heeft een nieuwe grondexploitatie ‘Herontwikkeling centrumkwartier’ geopend gedurende boekjaar 2025. Het voornaamste risico is de schatting van de nog te maken kosten en nog te realiseren opbrengsten. Wij beoordelen derhalve de aanvaardbaarheid van de schattingselementen in de exploitatieopzetten van deze grondexploitatie.

Rapportering in onze controleverklaring Per onderwerp zullen wij in alle gevallen rapporteren in onze controleverklaring over wat de belangrijke frauderisico’s zijn, over de inschatting van het college om de risico’s vanuit de bedrijfsvoering financieel op te vangen en hoe op beide thema’s in de controle is ingespeeld.

11 Boardletter 2025 – Gemeente Roermond

3.1 Controleaanpak en aandacht voor fraude, corruptie en noncompliance 2/2 Onze bevindingen ten aanzien van fraude(risicobeheersing) en corruptie Bij de planning voor de jaarrekeningcontrole houden wij rekening met het risico dat de jaarrekening als gevolg van fraude en onregelmatigheden onjuistheden van materieel belang zou kunnen bevatten. Daarnaast hebben wij beoordeeld in hoeverre sprake kan zijn van een risico omtrent corruptie of een risico omtrent het nietnaleven van wet- en regelgeving. Eén van de door ons uitgevoerde maatregelen is het bespreken van de mogelijke frauderisico’s en fraudesituaties met verschillende personen binnen de gemeente Roermond. Hiertoe hebben wij de mogelijke frauderisico’s en – situaties, mede aan de hand van de door u opgestelde frauderisicoanalyse en de compliancevragenlijst, besproken. Tijdens onze werkzaamheden zijn door het management signalen omtrent mogelijke fraude gedeeld. Conform de afgesproken procedure zullen eerst interne onderzoeken plaatsvinden voordat verdere stappen worden overwogen. ONZE BEVINDINGEN IN HET KADER VAN FRAUDE(RISICOBEHEERSING) EN CORRUPTIE Aandachtsgebieden

2025

Evaluatie

Frauderisicoanalyse



Gemeente Roermond heeft in 2024 de frauderisicoanalyse geactualiseerd. In deze notitie zijn onder andere de externe kaders en doorvertaling naar interne kaders, de fraudedriehoek en de risicobereidheid opgenomen. Tevens zijn per primair proces de potentiële frauderisico’s, kans en impact en de beheersmaatregelen opgenomen. De door u onderkende processen sluiten aan op de door ons ten behoeve van de jaarrekeningcontrole onderkende processen. De gemeente Roermond heeft reeds de nodige maatregelen getroffen. Wel zien wij mogelijkheden om de beheersing van fraude(risico’s) verder te versterken. Dit ziet toe op het volgende:  Toepassen data-analyse: Momenteel wordt data-analyse nog niet ingezet om fraude en non-compliance te voorkomen of op te sporen. Het gebruik ervan maakt vroegtijdige detectie mogelijk. Voorbeelden hiervan zijn de analyse op dubbele betalingen, analyse wijziging bankrekeningnummers en de koppeling van bankrekeningnummers aan crediteuren en bijzonderheden in de memoriaalboekingen.  Frauderisicoanalyse verankeren in de beheersomgeving: leg de frequentie om de frauderisicoanalyse bij te werken vast, bespreek de uitkomsten frauderisicoanalyse minstens één keer per jaar bestuurlijk en bespreek de aanpak met de gemeenteraad.

 Periodieke themaonderzoeken: Overweeg om de VIC regelmatig themaonderzoeken te laten uitvoeren naar (fraudegevoelige) onderwerpen en hierover te rapporteren. Neem de bevindingen op in de frauderisicoanalyse.

Gedragscode



U beschikt over diverse interne kaders. Een aantal voorbeelden zijn de gedragscodes voor het college, de gemeenteraad en het bestuur en de regeling melding vermoeden misstand en inbreuk op unierecht.

Frauderesponsplan



Gemeente Roermond beschikt niet over een geformaliseerd frauderesponsplan. Een frauderesponsplan stelt gemeente Roermond in staat om adequaat en voortvarend te handelen om schade voor de organisatie, in welke vorm dan ook, zoveel mogelijk te beperken. Ter inspiratie: de werkgroep Fraude van de NBA heeft de handreiking ‘Opstellen frauderesponsplan – Aanbevelingen voor bestuurders en toezichthouders’ ontwikkeld.

Incidenten



Tijdens onze werkzaamheden zijn door het management signalen omtrent mogelijke fraude gedeeld. Conform de afgesproken procedure zullen eerst interne onderzoeken plaatsvinden voordat verdere stappen worden overwogen. Daarnaast volgen uit de VIC-werkzaamheden geen aanwijzingen voor materiële bevindingen met betrekking tot misbruik en oneigenlijk gebruik.

 onvoldoende

 verbetermogelijkheden/onderhanden  toereikend

12 Boardletter 2025 - Gemeente Roermond

3.2 Onze werkzaamheden

Belangrijkste processen Voor elk proces beoordelen wij de volgende onderdelen:  AO/IB: Is sprake van een actuele en toereikende procesbeschrijving met voldoende beheersmaatregelen?  IT-maatregelen: Zijn in en rondom het systeem voldoende waarborgen getroffen ten aanzien van de betrouwbaarheid van de gegevensverwerking?  VIC: Heeft de VIC de interne beheersmaatregelen getoetst en kunnen wij daar gebruik van maken? Indien al deze vragen positief kunnen worden beantwoord, is gemeente Roermond optimaal in control en kunnen ook wij gebruikmaken van uw eigen interne beheersing. Vanzelfsprekend geven wij vanuit onze natuurlijke adviesrol aanbevelingen over de wijze waarop verbeteringen in de interne beheersing mogelijk zijn. Wij concluderen dat wij voor de processen nog niet kunnen steunen op de AO/IB. Daarom richten wij ons vooral op gegevensgerichte werkzaamheden. Ter voorbereiding van de jaarrekeningcontrole zullen wij afspraken maken met de concerncontroller over de impact van onze bevindingen en de resterende werkzaamheden.

De interne beheersing is van voldoende niveau We concluderen dat de interne beheersing en controleomgeving van de gemeente Roermond, voor zover relevant voor de jaarrekeningcontrole, van voldoende niveau is, rekening houdend met de werkzaamheden van de VIC achteraf. We constateren dat de gemeente Roermond actief aan de slag is met de opvolging van de bevindingen uit voorgaande jaren. Er zijn aspecten waarop ruimte is voor doorontwikkeling in de interne beheersing Wij begrijpen dat vanuit kosten/baten perspectief processen pragmatisch zijn ingericht, maar het is onze rol om de organisatie in het kader van de doorontwikkeling van de interne beheersing en controleomgeving (breder) te adviseren. Wij zien ruimte voor verbetering met betrekking tot (niet limitatief):  Het opstellen van procesbeschrijvingen op basis van de 5 W’s zodat de eventuele risico’s omtrent de onvervangbare AO/IB en/of primaire registratie expliciet worden gemaakt;  Toetsing en documentatie van de prestatielevering in de lijn;  Aanscherping van de procedures m.b.t. het wijzigen van crediteurenstamgegevens;  Periodieke controle op toegang en juistheid ingerichte autorisaties van Suite4SociaalDomein en Decade.  Binnen de gemeente is een proces geformaliseerd waarbij memoriaalboekingen door twee functionarissen worden geaccordeerd.

De onderbouwing van die memoriaalboeking wordt echter niet zichtbaar getoetst. Wel vindt er achteraf een VIC-controle plaats. Wij raden aan om de toets op de onderbouwing van een memoriaalboeking expliciet vast te leggen.

13 Boardletter 2025 – Gemeente Roermond

3.3 Verbijzonderde Interne Controle 1/2

Er is een belangrijke coördinerende rol voor de Verbijzonderde Interne Controle (VIC) weggelegd ten aanzien van de rechtmatigheidsverantwoording. De VIC-functie van de gemeente Roermond is gericht op het verkrijgen van inzicht vanuit de eigen organisatie in de getrouwe en rechtmatige totstandkoming van de baten, lasten en balansmutaties, zoals deze in de jaarrekening (en de rechtmatigheidsverantwoording) tot uitdrukking komen. Gemeente Roermond heeft de processen zo ingericht dat met name de VICwerkzaamheden, vastleggingen en uitkomsten de basis vormen voor de rechtmatigheidsverantwoording. De verantwoordelijkheden voor de rechtmatigheidsverantwoording liggen echter veel breder; alle organisatieonderdelen en het voltallige college van B&W zijn hiervoor verantwoordelijk. Het toetsen van de werking van de systemen of het eventueel aanvullen met de gegevensgerichte werkzaamheden kan ook bij de teams zelf (eerste lijn) of in de tweede lijn worden belegd. Dan kan de VIC meer acteren als derde lijn waarbij het hun taak is om de betrouwbaarheid van informatievoorziening van de eerste en tweede lijn te beoordelen. Er vindt dan een verschuiving plaats van ‘de VIC als onderbouwing van de rechtmatigheidsverantwoording naar ‘de VIC als bevestiging van de getrouwheid van de rechtmatigheidsverantwoording van de verschillende teams’.

Deze doorontwikkeling helpt u meer in control te zijn in de lijn, fouten te voorkomen en het lerend en zelfcontrolerend vermogen van de organisatie te vergroten. De tijdigheid van de werkzaamheden van de VIC is van belang. In het kader van een goede samenwerking hebben wij onze werkprogramma’s ten aanzien van SiSa, aanbestedingsrechtmatigheid en grondexploitatie met de ambtelijke organisatie gedeeld. Daarnaast zullen wij voorafgaand aan de eindejaarscontrole de BBV-checklist en WNT vragenlijsten met de gemeente Roermond delen.

Wij hebben enkele observaties om de kwaliteit van de VIC-werkzaamheden en het lerend en zelfcontrolerend vermogen van de organisatie te vergroten. Tijdens onze interim-controle hebben wij het interne controleprogramma, de vertaling van het normenkader naar toetsingskader, de steekproefmethodiek, de kwaliteit en diepgang van de documentatie, de foutevaluatie en de (tussentijdse) rapportages van de VIC beoordeeld. Hieruit volgen de onderstaande observaties:  In onze optiek dient de meerwaarde van de VIC voor de organisatie te worden vergroot door 'aan de voorkant’ expliciet aandacht te geven aan de opzet en inrichting van de AO/IB per proces alsmede de advisering daaromtrent (systeemprocesgericht). Wij verwachten dat de VIC, alvorens over te gaan tot het uitvoeren van de testaantallen, zich ook richt op de procesbeschrijvingen en het uitvoeren en documenteren van de omvattende lijncontroles per proces. De verantwoordelijkheid voor het opstellen en onderhouden van deze procesbeschrijvingen dient echter primair in de lijn te worden belegd. Dit zorgt ervoor dat de proceseigenaren zelf verantwoordelijk zijn voor een correcte en actuele beschrijving van hun processen, inclusief de daarin opgenomen beheersmaatregelen. De VIC kan vervolgens toetsen of deze beschrijvingen volledig en juist zijn en de testwerkzaamheden hierop afstemmen.

De testwerkzaamheden zouden zich vervolgens 1:1 moeten verhouden tot de binnen de verschillende processen geïdentificeerde 'keycontrols' of beheersmaatregelen. Alhoewel voorgaande is opgenomen in het interne controleplan 2025 is hier nog geen opvolging aan gegeven.

14 Boardletter 2025 – Gemeente Roermond

3.3 Verbijzonderde Interne Controle 2/2









Binnen de uitvoering van de Verbijzonderde Interne Controle (VIC) constateren wij dat er sprake is van wisselingen binnen het team dat deze controles verricht. Dit brengt risico’s met zich mee ten aanzien van continuïteit en deskundigheid. Voor een adequate uitvoering van VIC is het essentieel dat betrokken medewerkers beschikken over voldoende kennis van het proces en het relevante toetsingskader. Voor verschillende processen zijn de normen vastgelegd in KiC ter ondersteuning van het uitvoeren van steekproeven. Een belangrijk verbeterpunt is het duidelijk en zichtbaar vertalen van het volledige normenkader naar een toetsingskader, zodat de volledigheid van de toetspunten binnen de geplande VIC-werkzaamheden gewaarborgd blijft. Wij constateren dat de in opzet beschreven werkzaamheden primair achteraf plaatsvinden, op één of meerdere momenten gedurende het jaar. Voor de rechtmatigheidsverantwoording is het van belang dat de VIC consequent, tijdig (kort-cyclisch) en met voldoende diepgang werkzaamheden uitvoert en dat de uitkomsten hiervan (bestuurlijk) besproken worden. Tijdens de interimcontrole zijn VIC-werkzaamheden uitgevoerd over het eerste en tweede kwartaal. De bijbehorende bevindingen zijn echter nog niet gerapporteerd.

In het interne controleplan is gekozen voor een controlemethodiek waarbij door middel van target testing 20% van de populatie wordt gecontroleerd om een representatief beeld te vormen van 80% van de financiële omvang. Deze methode wordt toegepast bij de controle op subsidies, materiële activa en reserves. Bij het gebruik van deze methode blijft een restpopulatie onbeoordeeld, wat een restrisico oplevert. Om dit risico te beperken, wordt aanbevolen een risicoanalyse uit te voeren op de restpopulatie en, indien nodig, aanvullende steekproeven of data-analyses toe te passen. De gemaakte keuzes en maatregelen dienen duidelijk te worden vastgelegd voor een transparante verantwoording. Volledigheidshalve is ons medegedeeld dat de restpopulatie bij de subsidies wordt beoordeeld.





Voor de controle van de inkoopfacturen en memorialen wordt gebruik gemaakt van een aselecte steekproef door middel van sampling. Het is van belang dat de testaantallen van de VIC representatief zijn voor de controlepopulatie en de controlepopulatie voldoende afdekken. Wij constateren dat de VIC-werkzaamheden bestaan uit steekproeven. We missen een concrete vastlegging op onderstaande twee thema’s: • Is de steekproefomvang voldoende in relatie tot de omvang van de gehele populatie? • Is de gehele populatie betrokken in het bepalen van de steekproef? Wij constateren dat de kwaliteitsmedewerkers op dit moment nog geen gedegen controles uitvoeren op de volgende posten: memoriaalboekingen, factuurverwerking en betaling. Hierdoor ontbreekt een betrouwbare eerste lijn van kwaliteitsborging. Wij adviseren om de rol en verantwoordelijkheid van kwaliteitsmedewerkers te versterken door hen structureel te betrekken bij het uitvoeren van inhoudelijke controles. Deze verantwoordelijkheid ligt bij de gehele organisatie en niet enkel bij de VIC. Dit kan worden gerealiseerd door het opstellen van duidelijke richtlijnen, het bieden van gerichte training en het implementeren van een toetsingskader dat aansluit bij de interne beheersingsdoelstellingen.

Door deze kwaliteitscontroles in de lijn te borgen, kan de VIC zich richten op steekproeven en risicogerichte controles, waardoor het interne controleproces efficiënter en effectiever wordt.

15 Boardletter 2025 – Gemeente Roermond

3.4 Overzicht van onze bevindingen t.a.v. de IT en cybersecurity 1/2

In het kader van de jaarrekeningcontrole is een IT-audit uitgevoerd. De IT-audit is primair gericht op de betrouwbaarheid van de gegevensverwerking ten behoeve van de totstandkoming van de jaarrekening. Dit betekent dat de ITaudit zich niet primair richt op het doen van uitspraken omtrent de betrouwbaarheid en continuïteit van de geautomatiseerde gegevensverwerking als geheel of van onderdelen daarvan.

Vanuit de IT-audit werkzaamheden volgen belangrijke aandachtspunten. Wij hebben in samenwerking met onze IT-auditors een aantal algemene ITbeheersmaatregelen beoordeeld voor Suite4SociaalDomein en Decade. Dit om de impact van de risico’s van onbeheerste wijzigingen, ongeautoriseerde handelingen en verstoringen te kunnen vaststellen voor die systemen die gekoppeld zijn aan de voor ons relevante processen en posten.

Het inzicht in de gebruikte IT-applicaties en ondersteunende IT-infrastructuur vormt een onderdeel van het inzicht in de interne beheersing. Algemene ITbeheersingsmaatregelen (hierna: IT General Controls) rond de IT-processen leveren een belangrijke bijdrage aan het mitigeren van de risico's die voortkomen uit het gebruik van IT.

Onze algemene indruk is dat de IT General Controls goed zijn vormgegeven en geïmplementeerd. Ten aanzien van borging functiescheiding binnen de applicaties in scope zijn stappen te zetten.

De scope van relevante IT General Controls wordt jaarlijks beoordeeld en kan hierdoor afwijken van de scope van voorgaande jaren. Geautomatiseerde gegevensverwerking enkel beoordeeld in het kader van de jaarrekeningcontrole. De accountant dient op basis van artikel 2:393, lid 4 BW, aandacht te besteden aan de bevindingen met betrekking tot de betrouwbaarheid en continuïteit van de geautomatiseerde gegevensverwerking. Wij hebben de automatiseringsorganisatie uitsluitend in het kader van de jaarrekeningcontrole beoordeeld.

16 Boardletter 2025 – Gemeente Roermond

3.4 Overzicht van onze bevindingen t.a.v. de IT en cybersecurity 2/2

Digitale weerbaarheid is in het kader van informatiebeveiliging een belangrijk thema, gegeven ook de toenemende eisen voor digitale veiligheid vanuit Europese wet- en regelgeving, alsmede het zich blijven voordoen van nieuwe incidenten in dit domein. Om de juiste weerbaarheid te bereiken, dient een zorgvuldige afweging te worden gemaakt tussen het implementeren en continu bewaken van beheersingsmaatregelen enerzijds en het accepteren van risico's anderzijds. Overheidsorganisaties zijn in toenemende mate afhankelijk van de continuïteit van IT-systemen en digitale verbindingen met de buitenwereld, waardoor verstoring, uitval of een cybersecurity-incident grote gevolgen kan hebben. Op basis van onze cyber in de audit-aanpak hebben wij, in afstemming met de organisatie, drie hoofdthema’s op het gebied van cybersecurity besproken: 1. Security Governance & Management Dit thema ziet toe op inzicht in het IT-landschap en kritieke IT-systemen, de aanwezigheid van een informatiebeveiligingsbeleid, het beleggen van verantwoordelijkheden rondom informatiebeveiliging, informatiebeveiligingsbewustzijn, IT-risicomanagement, classificatie van data en/of IT-systemen, en leveranciersmanagement. Op basis van onze werkzaamheden ten aanzien van dit thema hebben wij geconstateerd dat er inzicht is in de kritieke IT-systemen. Tevens is er een dataclassificatie bepaald.

De recent gepubliceerde Baseline Informatiebeveiliging Overheid (BIO2) geeft op een andere manier invulling aan classificatie en risicoanalyse. De gemeente Roermond is voornemens deze nieuwe methode te implementeren. De Informatiebeveiligingsdienst (IBD) heeft voor gemeenten best practices op dit gebied gedeeld. De gemeente Roermond besteedt ruime aandacht aan het vergroten van het informatiebeveiligingsbewustzijn van medewerkers.

Ten aanzien van leveranciersmanagement zijn nog stappen te zetten in het aangaan van contracten met nieuwe IT-leveranciers en in het periodiek monitoren van de belangrijkste leveranciers. Wij adviseren dan ook om, met de komst van de BIO2, de maatregelen rondom leveranciersmanagement verder vorm te geven. 2. Beveiliging van IT-systemen Om kwetsbaarheden tegen te gaan, is het van belang om IT-systemen te beveiligen. Dit houdt in dat uw organisatie de IT-systemen op een consistente manier configureert conform de BIO, zodat cybersecurity-incidenten, ongeautoriseerde handelingen en gijzeling van data kunnen worden tegengegaan. Op basis van onze werkzaamheden hebben wij geconstateerd dat de ITleveranciers verantwoordelijk zijn voor de beveiliging van de IT-infrastructuur. Er zijn afspraken met deze leveranciers gemaakt. Zoals hiervoor toegelicht, verdient het monitoren van deze afspraken aandacht. 3. Security operations Security operations heeft betrekking op de activiteiten en getroffen maatregelen die door de organisatie worden uitgevoerd om cybersecuritykwetsbaarheden te monitoren, preventief tegen te gaan, te onderzoeken en, indien nodig, erop reageren. Op basis van onze werkzaamheden hebben wij geconstateerd dat jaarlijks een pentest wordt uitgevoerd door een externe partij.

Tevens wordt het netwerkverkeer gemonitord en wordt de infrastructuur dagelijks gescand op kwetsbaarheden. Er is een IT-continuïteitsplan dat jaarlijks wordt getest. De gemeente Roermond is bezig met het opzetten van een overkoepelend bedrijfscontinuïteitsplan op basis van een business impactanalyse.

17 Boardletter 2025 – Gemeente Roermond

3.5 Conversie naar een nieuw systeem

Migratie naar een nieuwe financieel systeem ERPX Vanuit onze natuurlijke adviesrol signaleren wij een aantal belangrijke ITontwikkelingen en geplande IT-initiatieven die (op termijn) van invloed kunnen zijn op de interne beheersing en de controle van de jaarrekening. Gemeente Roermond stapt per 1 januari 2026 over op het nieuwe financiële pakket ERPX van leverancier Unit4, ter vervanging van Decade. Inmiddels is gestart met de implementatie en inrichting van het nieuwe pakket. In augustus hebben wij gesproken met de externe projectleider en concerncontroller van gemeente Roermond over de conversie en de inrichting van de interne beheersing. Graag staan wij stil bij de dataconversie, de interne beheersing en de IT General Controls. Dataconversie Bij de implementatie van een nieuw systeem ter vervanging van een ander systeem is dataconversie cruciaal om de volledigheid, betrouwbaarheid en nauwkeurigheid van data te waarborgen. Daarom is het belangrijk om de juiste conversiecontroles te bepalen. Uit het gesprek in augustus bleek dat er diverse conversiecontroles mogelijk zijn. Op basis van dit gesprek adviseren wij om vanuit financieel oogpunt te kijken naar de belangrijkste financiële gegevens die worden overgezet en daarop controles op juistheid en volledigheid te bepalen.

Daarnaast dient het risico van de conversiecontrole (de kans dat er fouten ontstaan door handmatige acties of opschoning) meegewogen te worden. Het advies is dan ook om vooraf een risicoanalyse uit te voeren en de uitkomsten hiervan mee te nemen in de verdere aanpak. Tot slot adviseren wij de organisatie om de conversiecontroles als test uit te voeren bij een proefconversie. Op deze manier kan het succes van een proefconversie mede worden bepaald. Uiteindelijk zullen bij de daadwerkelijke conversie deze controles opnieuw uitgevoerd moeten worden. De documentatie hiervan dient te worden opgenomen in een conversiedossier, dat ten behoeve van de jaarrekeningcontrole door BDO zal worden beoordeeld.

Interne beheersing ERPX van Unit4 vervangt per 1 januari 2026 het huidige Decade. Daarmee verandert ook de interne beheersing rondom de financiële administratie. Denk hierbij aan functiescheiding in het pakket, maar ook aan geautomatiseerde controles. Dit biedt een belangrijke kans om de betrouwbaarheid en efficiëntie van de gegevensverwerking te verbeteren. Wij adviseren de gemeente Roermond om tijdens de inrichting van ERPX een blauwdruk te maken van de gewenste interne beheersing, gericht op de financiële risico’s die de gemeente loopt. Samen met de leverancier kan worden bepaald in hoeverre deze beheersmaatregelen kunnen worden ingericht. Ons advies is om de inrichting in een testfase te controleren. Ervaring leert dat interne beheersmaatregelen na de livegang soms niet werkbaar blijken voor de organisatie en daardoor vaak worden afgezwakt. Mocht dit onverhoopt toch nodig zijn, dan adviseren wij de organisatie om direct aanvullende controles rondom het pakket ERPX in te richten. IT General Controls Decade wordt op een bepaalde manier beheerd volgens een specifieke aanpak ten aanzien van logische toegangsbeveiliging, change management en continuïteit. ERPX is een SaaS-applicatie, waarbij processen als continuïteit en change management (deels) door de leverancier worden uitgevoerd. Ook cyber security is een gedeelde verantwoordelijkheid.

Wij adviseren de organisatie dan ook om vóór de livegang van ERPX te bepalen hoe de IT General Controls worden ingericht en hoe het toezicht op de SaaSleverancier Unit4 wordt vormgegeven.