1628866-E-BDO-Boardletter 2025.pdf

02 Ontwikkelingen & aandachtspunten

Dashboard interim-controle

BOARDLETTER 2025 - Gemeente Roosendaal

01

3

Bevindingen interim-controle

03

Inkoop- en betalingsorganisatie een zichtbare controle op mutaties crediteurstamgegevens is geborgd in SAP. Logging van mutatie crediteurgegevens is beschikbaar. Een controle, door de VIC, hierop vind nog niet plaats. De prestatielevering wordt niet altijd vastgelegd met onderbouwende documenten, maar wordt achteraf wel gecontroleerd door de VIC. In SAP kan de prestatielevering wel worden geregistreerd, maar dit wordt niet consequent afgedwongen en gedocumenteerd. Advies is in de lijn de documentatie te borgen zodat de VIC een toetsende rol krijgt en daarnaast de lijn versterkt wordt.

Gemeente Roosendaal beschikt over een functionerende VIC. We onderstrepen de interne ambitie om meer te beleggen in de eerste en tweede lijn Wij kunnen nog niet altijd steunen op de interne beheersing in de processen; de VIC en onze controle is daarmee hoofdzakelijk gegevensgericht en achteraf. Ons advies om de meerwaarde en kracht van de VIC verder te verhogen door o.a.: Het toetsen op de werking van ingerichte beheersmaatregelen kan bij de teams zelf (eerste lijn) of in de tweede lijn worden belegd. Dan kan de VIC meer acteren als derde lijn, waarbij het hun taak is om de betrouwbaarheid van de informatievoorziening van de eerste en tweede lijn te beoordelen (3-lines model). Het concreet en zichtbaar uitwerken van het volledige normenkader naar het toetsingskader om de volledigheid van de scope van de VIC-werkzaamheden te borgen. Meer risicogericht VIC-werkzaamheden, incl. expliciete risicoanalyse op het thema fraude en corruptie vormgeven ten aanzien van diepgang, omvang en roulatie. Aandacht voor deze vergroot de bewustwording en versterkt het zelf-controlerend vermogen. Identificeren van de kwaliteit/mogelijkheid van systeemgerichte interne beheersmaatregelen (3-lines model) en beschikbaarheid data-exports. De VIC stelt nog geen (tussentijdse) rapportages op om hun bevindingen te delen.

Wij adviseren dit wel te gaan doen en daarin aandacht te besteden aan opvolging van aanbevelingen uit voorgaande jaren.

Grondexploitaties - voor de grondexploitaties mist een formeel proces. Wij hebben van de ambtelijke organisatie vernomen dat hier actief aan wordt gewerkt. Daarnaast stellen wij vast dat de gekozen uitgangspunten en momenteel intern onvoldoende worden vastgelegd en gedocumenteerd. Dit kan leiden tot grote schommelingen in de waarderingen van eindwaarde van de grondexploitaties.

Personeel - binnen de salarisadministratie ontbreekt zichtbare functiescheiding doordat de salarisadministrateurs ruime bevoegdheden hebben en zowel mutaties kunnen controleren als doorvoeren. Advies is het 4-ogenprincipe in te richten of in de workflow te borgen.

Handmatige boekingen - functiescheiding en controle wordt niet afgedwongen in SAP. Bij de inrichting van SAP is ervoor gekozen om memorialen niet afdwingbaar te controleren en te autoriseren door een tweede persoon. Een zichtbare controle vindt momenteel niet in de lijn, noch door de VIC plaats.

BELANGRIJKSTE BEVINDINGEN SIGNIFICANTE PROCESSEN

NIS2-wetgeving (cybersecurity) is van toepassing. De gap-analyse (NIS2-BIO) is onderhanden

Aanscherpingen in het kader van Wet DBA en nieuwe BBV-notities hebben impact Gemeente Roosendaal huurt een aantal zelfstandigen in. De organisatie heeft de in het kader van de Wet DBA in beeld en beraadt zich op verdere reductie hiervan. De Commissie BBV heeft de notities overhead, Rente en Grondbeleid 2023 geactualiseerd. Deze notities dienen vanaf boekjaar 2025 verplicht toegepast te worden. Actualisatie van financiële verordening en eventuele andere beleidsstukken zijn onderhanden.

In het kader van de rechtmatigheidsverantwoording zijn er beperkte ontwikkelingen. Wijziging van de financiële verordening is op 27 november geagendeerd. Hierbij zijn de verantwoordingsgrens en rapportagegrens voortaan opgenomen in de financiële verordening in plaats van in het controleprotocol.

RECHTMATIGHEIDSVERANTWOORDING EN VIC

Er is op onderdelen ruimte voor doorontwikkeling in de interne beheersing Wij begrijpen dat vanuit kosten/baten perspectief processen pragmatisch zijn ingericht, maar het is onze rol u in het kader van de doorontwikkeling van de interne beheersing en controleomgeving (breder) te adviseren. Wij zien ruimte voor verbetering met betrekking tot (niet limitatief): Positionering van de VIC; Aanscherpen procedure voor het aanmaken, periodiek reviewen en monitoren generieke en/of administrator accounts (SAP); Periodieke controle op toegang en juistheid ingerichte autorisaties (alle applicaties); Beoordelen SOC2 rapportage SaaS applicaties (SAP en ADP); Verstevigen van beheersing in de lijn qua naleving van (EU-) aanbestedingsrichtlijnen; Verstevigen van beheersing in de lijn voor het proces Zorg in Natura ten aanzien van de controle en documentatie van prestatielevering.

Wijziging van de materialiteit en verantwoordingsgrens Naar aanleiding van de wijzigingen in BADO en BBV wijzigen de materialiteit en verantwoordingsgrens. Het is noodzakelijk dat de verordeningen worden aangepast. Doordat fouten en onzekerheden voor de getrouwheid bij elkaar worden opgeteld, wordt toetsbare interne controle op prestatielevering Zorg in Natura nog relevanter.

De interne beheersing is van voldoende niveau. Er wordt zichtbaar gewerkt aan verbetering We concluderen dat de interne beheersing en controleomgeving van gemeente Roosendaal, voor zover relevant voor de jaarrekeningcontrole, van voldoende niveau is, rekening houdend met de werkzaamheden van de VIC die achteraf plaatsvinden. We constateren dat de organisatie, afgezien van de VIC en IT, beperkt opvolging heeft gegeven aan eerder gerapporteerde bevindingen. We adviseren u expliciet af te wegen welke bevindingen ook wat u betreft opvolging behoeven en de voortgang hiervan actief te monitoren.

Geen (aanwijzingen of signalen van) fraude geïdentificeerd We hebben geen (aanwijzingen of signalen van) fraude of non-compliance geïdentificeerd. De intern opgestelde frauderisicoanalyse wordt jaarlijks geactualiseerd en geagendeerd bij zowel het college als de auditcommissie. Dat vinden wij een goede zaak. Wel is het raadzaam hierin ook expliciet aandacht te besteden aan .

ONTWIKKELINGEN & AANDACHTSPUNTEN

BOARDLETTER 2025 - Gemeente Roosendaal

UW INTERNE BEHEERSING

5

BOARDLETTER 2025 - Gemeente Roosendaal

De tekorten op de arbeidsmarkt hebben impact op gemeente Roosendaal De arbeidsmarkt voor gemeenten zal naar verwachting komende jaren krap blijven, met aanhoudende personeelstekorten en een toenemende werkdruk tot gevolg. Deze ontwikkelingen worden mede veroorzaakt door de vergrijzing van het personeelsbestand. Het is daarom van belang in te zetten op strategische personeelsplanning, evenals op het aantrekken en behouden van talent. Daarnaast kan het uitbesteden van taken, gevolgd door een herverdeling van rollen binnen de organisatie, bijdragen aan een verlichting van de werkdruk voor het huidige personeel bijvoorbeeld door de inzet van digitalisering en AI. Wij gaan graag met u in gesprek over de mogelijkheden hiertoe.

Rechtmatigheidsverantwoording Het wetgevingstraject rondom de rechtmatigheidsverantwoording is voor gemeenten afgerond op 21 maart 2025. Naar aanleiding van de afgeronde wijzigingen in het BBV wijzigt vanaf boekjaar 2025 het maximum van de door de raad vastgestelde verantwoordingen naar 2% van de lasten exclusief dotaties aan reserves (was 3%). Dit is gelijk aan de wettelijke materialiteit die in het kader van de jaarrekeningcontrole over 2025 door ons wordt gehanteerd. In de geagendeerde versie voor raadsbesluit d.d. 27 november 2025 zijn de noodzakelijke wijzigingen doorgevoerd.

Onzekerheden prestatielevering Zorg in Natura (vervolg) Wij adviseren u preventief maatregelen te treffen teneinde aantoonbaar te maken dat de zorg daadwerkelijk geleverd is. Deze zijn op voorgaande pagina opgenomen. De ambtelijke organisatie heeft in overweging genomen een mix van de daar voorgestelde maatregelen in te voeren. Daarmee ontstaat voldoende zekerheid over de prestatielevering. Vooruitlopend op de implementatie van deze verbeterpunten, is voor boekjaar 2025 de afspraak gemaakt om materiële controles bij zorgaanbieders, uit te voeren. Door uitvoering van deze materiële controles worden de niet zichtbare interne beheersingsmaatregelen getoetst en informatie ontvangen over de prestatielevering.

Voorgaande jaren hebben wij ervaren dat een sluitende auditfile, evenals data-exports in het algemeen, geen vanzelfsprekendheid zijn binnen Roosendaal. Tijdens de interim controle is een auditfile aansluitend op de saldibalans aangeleverd. Hiermee is een mooie verbetering bewerkstelligd. Het gebruik van data-exports in het kader van data-analyses verdient nog aandacht, waarover we in contact blijven met de ambtelijke organisatie. Inzet hiervan versterkt de monitorende rol van de verbijzonderde interne controle.

Ontwikkeling in informatietechnologie en AI Data-gedreven werken en digitaal transformeren is een voortdurende proces binnen gemeenten. In IT geldt dat stilstaan achteruitgang is. Daarom moeten gemeenten de komende jaren blijven investeren in informatietechnologie. Enerzijds om efficiënter en effectiever te werken en de informatievoorziening aan directie en college te verbeteren. En anderzijds voor bewustwording over de nieuwste ontwikkelingen op het gebied van cybersecurity ter borging van de continuïteit van de geautomatiseerde gegevensverwerking.

Omdat circulair bouwen ook speelt bij de gemeente Roosendaal geven wij de toepassing van dit model in de toekomst graag als suggestie mee om zodoende sneller dekking te hebben voor circulaire bouwplannen.

Methode ontwikkeld voor bepalen restwaarde bij circulaire bouw Invest NL heeft een model ontwikkeld waarmee de restwaarde van een actief bepaald kan worden bij circulaire bouw. Dit model/ deze berekening kan onder andere in de transitie van de huisvesting een goed uitgangspunt zijn voor bepaling van de restwaarde van gebouwen. Het doel van dit model is te komen tot een transparante, herleidbare en breed toepasbare methodiek voor bepaling van restwaardes. Verschillende organisaties waaronder een aantal gemeenten passen dit al toe.

2.1 Aandachtspunten jaarrekening 2025

8

BOARDLETTER 2025 - Gemeente Roosendaal

Op basis van de kadernota en de begroting 2026 van de gemeente Roosendaal lijkt de financiële positie minder positief. Voor 2026 wordt een positief saldo verwacht 97.000) maar voor 2028 en 2029 wordt een negatief saldo verwacht 2,7 miljoen en 1,5 miljoen nadelig). De belangrijkste oorzaak hiervan is dat de inkomsten vanuit het Rijk teruglopen, terwijl de kosten toenemen als gevolg van inflatie, vergrijzing en de toename van taken. Een uitdaging is dan ook het beperken en beheersen van de verwachte tekorten.

Huidige financiële positie en verwachte financiële positie De financiële positie op basis van de jaarrekening 2024 en de begroting 2026 van de gemeente Roosendaal lijkt, op basis van het door de provincies opgestelde Gemeenschappelijk Financieel Toezichtkader (GTK), voldoende, met uitzondering van de solvabiliteit. Volgens de normen in het GTK is ook het weerstandsvermogen toereikend.

2.2 Financiële positie

9

Het opstellen van de onderhoudsplannen, en de doorvertaling daarvan naar de onderhoudsvoorziening, is een bewerkelijk proces. De onderhoudsvoorziening is een belangrijke schattingspost in de jaarrekening, waarbij een gedegen totstandkoming van groot belang is. Tussentijdse actualisatie van de beheerplannen is vereist voor 2025. Indien dit niet tijdig gerealiseerd kan worden, dan is omzetting naar een (eventueel tijdelijke) reserve noodzakelijk, in elk geval totdat voldaan wordt aan de actualisatie vereisten vanuit het BBV.

Onderhoud Een ander aspect van de financiële positie waarover wij ook in ons vorige verslag hebben gerapporteerd, is de wijze waarop de toekomstige uitgaven voor onderhoud zijn meegenomen in de cijfers. Voor de gemeente Roosendaal geldt dat hiervoor een voorziening groot onderhoud is gevormd in de jaarrekening. Op dit moment wordt nog gewerkt aan actualisatie van de beheerplannen. De huidige schatting van toekomstige uitgaven kan hierdoor minder betrouwbaar zijn.

Ook wordt gewerkt aan een wetsvoorstel dat bepaalt aan welke criteria iemand moet voldoen om als zelfstandige te worden erkend. Dit voorstel, de Wet verduidelijking beoordeling arbeidsrelaties en rechtsvermoeden (Wet VBAR), beoordeelt zelfstandigheid op basis van tien criteria. Enerzijds vijf criteria rondom hoeveel vrijheid iemand heeft in het werk. En anderzijds vijf criteria over de die iemand als ondernemer draagt. Pas als die criteria in evenwicht zijn, wordt er gekeken naar extern ondernemerschap (zoals klanten werven en investeren in het eigen bedrijf).

Daarnaast is nieuwe wetgeving voor de beoordeling van arbeidsrelaties onderhanden. Kort gezegd zal de nieuwe wetgeving meer nadruk leggen op de vraag of het werk en de werkende organisatorisch zijn ingebed in de organisatie van de werkverschaffer. Daarmee wordt bedoeld of het werk een kernactiviteit van de organisatie vormt en zij aan zij met werknemers wordt verricht. In dat geval zal eerder sprake zijn van een arbeidsovereenkomst.

Sinds de introductie van de Wet DBA in 2016 is sprake van een handhavingsmoratorium. Dit betekent dat de Belastingdienst niet controleert en handhaaft op het bestaan van een dienstbetrekking, tenzij sprake is van kwaadwillendheid. Vanaf 1 januari 2025 is het handhavingsmoratorium vervallen en gaat de Belastingdienst weer volledig handhaven. Er kunnen dus ontstaan.

Kwalificatie van arbeidsrelaties Het aantal zelfstandigen zonder personeel (zzp) is de afgelopen jaren flink gedaald. Een deel van deze groep kwalificeert als schijnzelfstandigen. Dit betekent dat op basis van wet- en regelgeving eigenlijk sprake is van een arbeidsovereenkomst. Het kabinet vindt deze situatie onwenselijk, omdat de beschermende werking van het arbeidsrecht wordt ontlopen en het sociale stelsel onder druk komt te staan. Daarom zet het kabinet de komende jaren in op het aanscherpen van regels en handhaving.

Inventarisatie is uitgevoerd, resterend risico lijkt beperkt

Notitie Rente De belangrijkste wijziging uit de notitie rente betreft een aanpassing in de toerekening van de rentelasten aan de grondexploitaties. Met ingang van boekjaar 2025 wordt voor grondexploitaties geen onderscheid meer gemaakt in het BBV, waardoor de rentetoerekening plaatsvindt op basis van de reguliere omslagrente. Voor Gemeente Roosendaal kan dit effect hebben op de verwachte eindwaarde van de verschillende grondexploitaties. Bij jaareinde zal u moeten aansluiten bij deze methodiek bij de berekening van de eindwaarde van de grondexploitaties.

Organisaties die werken met zelfstandigen die eigenlijk werknemer zijn, lopen financiële . Zo is er vanaf 1 januari 2025 sprake van een naheffingsrisico vanuit de Belastingdienst. Ook kunnen zelfstandigen die eigenlijk werknemer zijn vorderingen instellen op grond van arbeidsrechtelijke verplichtingen en kunnen verplichte pensioenregelingen leiden tot pensioenvorderingen. Om dergelijke te voorkomen is het voor organisaties die zelfstandigen inhuren van belang om de huidige inhuur van zelfstandigen en het inhuurproces onder de loep te nemen. Gemeente Roosendaal heeft in kaart hoeveel ZZP-ers ingehuurd worden alsmede maatregelen geïmplementeerd om de te beperken c.q. af te bouwen. We hebben begrepen dat op dit moment voor maximaal elf ingehuurde medewerkers sprake is van een potentieel risico, waarvan de financiële impact laag wordt ingeschat.

2.3 Wet DBA & relevante wijzigingen in het BBV

10 BOARDLETTER 2025 - Gemeente Roosendaal

Uit de geagendeerde besluitvorming d.d. 27 november blijkt dat de impact van deze notitie is verwerkt in de financiële verordening.

Het ministerie van Binnenlandse zaken heeft een onderzoek gedaan of de huidige pensioenvoorzieningen toereikend zijn voor de overdracht per 1 januari 2028. De gemeenten die hieraan mee hebben gewerkt, hebben een individuele brief ontvangen waarin verschillende bedragen worden genoemd, zoals het benodigd vermogen per 1 januari 2025 en een herberekening van de voorziening 2024. De brief kan tot vragen leiden op welke manier de gemeente hier in de jaarrekening 2025 mee om moet gaan.

De belangrijkste uitspraken en aanbevelingen zijn als volgt: Stellige uitspraak: Voor de berekening van de tarieven voor de lokale heffingen moet de methodiek voor toerekening van overhead worden gebruikt zoals deze is opgenomen in de financiële verordening. Deze methodiek mag niet afwijken van de overige methodieken voor het toerekenen van overhead. Stellige uitspraak: De definitie van overhead is aangescherpt waardoor alle functies die onderdeel uitmaken van een specifieke taak geen onderdeel zijn van de overhead. Aanbevelingen: De commissie adviseert om overhead niet bij de begroting vorm te geven maar door middel van de financiële verordening of door een notitie overhead aan de raad voor te leggen en deze periodiek te herzien. In deze nota neemt de gemeente keuzes op ten aanzien van: kaderstelling, methodiek en onderscheiding primaire processen en overhead.

De gemeente Roosendaal heeft ultimo 2024 voor de verwachte pensioenafdracht per 1 januari 2028 een voorziening en aanvullende reserve gevormd. Voor boekjaar 2025 dienen alle aanspraken opgenomen te worden in de voorziening.

Gemeente Roosendaal beschikt over een berekening van de pensioenoverdracht per 1 januari 2028 en het verwachte verschil met de voorziening op de balans. In 2024 is al een reserve gevormd (doteren aan de voorziening was toen niet toegestaan), waarmee al voor een, naar verwachting fors deel, dekking is gevonden voor deze extra last. Daarnaast is op basis van de meest actuele berekening een dotatie aan de reserve c.q. voorziening verwerkt in de begroting 2025 en 2026. Op basis van de stellige uitspraak van de commissie BBV van 4 december 2025, houdt dit in dat de gemeente Roosendaal haar voorziening dient aan te zuiveren voor de aanspraken die ultimo 2024 in de reserve zijn opgenomen.

Voorziening voor pensioenaanspraken van politieke ambtsdragers Met de invoering van het nieuwe pensioenstelsel is besloten dat ook de APPApensioenaanspraken van politieke ambtsdragers in een pensioenfonds ondergebracht moeten worden per 1 januari 2028.

Notitie overhead De commissie BBV heeft in de notitie overhead 2023 de regelgeving met betrekking tot de toerekening van overhead geactualiseerd, verduidelijkt en samengevoegd in één notitie. De notitie is van toepassing vanaf begroting 2025.

2.3 Wet DBA & relevante wijzigingen in het BBV

11 BOARDLETTER 2025 - Gemeente Roosendaal

Belangrijk is dat NIS2 aanvullende eisen stelt, die niet volledig door het huidige Baseline Informatiebeveiliging Overheid 2 (BIO2) beveiligingsraamwerk worden afgedekt. Dit betekent dat in de komende periode additionele maatregelen moeten worden getroffen om aan NIS2 te voldoen. Bestuurders kunnen aansprakelijk worden gesteld voor inbreuken op de beveiliging. Onafhankelijke toezichthouders gaan toezien op de naleving van de verplichtingen. Het betreft de volgende verplichtingen: Zorgplicht: organisaties dienen een risicobeoordeling uit te voeren en op basis daarvan passende maatregelen te nemen om hun diensten te beveiligen. Er dient specifiek beleid te zijn voor onder andere. cyberhygiëne, bedrijfscontinuïteit, incident management, leveranciersmanagement (inclusief de toeleveringsketen). Opleidingsplicht: bestuursorganen dienen opgeleid te zijn, evenals werknemers, om te identificeren, impact te bepalen en adequate beveiligingsmaatregelen te selecteren.

NIS2 & Cyberbeveiligingswet De NIS2 (Network and Information Security 2) EU-richtlijn is een update van de eerdere NIS-richtlijn en is bedoeld om de cyberveiligheid en de cyberweerbaarheid van essentiële diensten in EU-lidstaten te verhogen. Daarmee wordt digitale weerbaarheid verder verankerd in wet- en regelgeving. Na eerder uitstel is nu de verwachting dat de NIS2-richtlijn in het tweede kwartaal van 2026 naar Nederlandse wetgeving is vertaald en nadien daadwerkelijk van kracht wordt onder de noemer beveiligings . Organisaties vallen direct onder de Cyberbeveiligingswet, als zij actief zijn in aangewezen sectoren en gekenmerkt worden als of entiteit. wil zeggen dat bovengenoemde verplichtingen voor deze organisaties direct gaan gelden zodra de wet in werking treedt. Overheidsorganisaties vallen onder de NIS2-wetgving.

De geconstateerde gaps brengen enkele uitdagingen met zich mee, waaronder: Scholing van bestuurders op het gebied van informatiebeveiliging en risicomanagement, wat naar verwachting regionaal zal worden georganiseerd. Het opstellen van een IT Continuïteitsplan, waarbij het project breder is dan alleen de IT-afdeling. Wij hebben echter wel vernomen dat er een notitie wordt opgesteld om een gemeentebreed bedrijfscontinuïteitsplan op te stellen, waarbij IT-continuïteit een onderdeel is. Binnen de hoofdgroep 'Naleving' zijn al diverse maatregelen geïmplementeerd, maar enkele zijn nog niet volledig afgerond. Hier dienen nog aanvullende stappen te worden gezet.

Op basis van onze werkzaamheden hebben wij vastgesteld dat Gemeente Roosendaal een gap-analyse heeft uitgevoerd om in kaart te brengen waar nog niet wordt voldaan aan de NIS2-richtlijn. Uit deze analyse blijkt dat de gemeente al aanzienlijke voortgang heeft geboekt met de implementatie van de benodigde maatregelen. Het merendeel van de maatregelen is reeds geïmplementeerd, sommige maatregelen zijn gedeeltelijk doorgevoerd en een klein aantal moet nog volledig worden geïmplementeerd.

Meldplicht: cyberincidenten dienen binnen 24 uur bij de toezichthouder te worden gemeld. Tevens dient een cyberincident ook bij een sectorspecifiek Computer Security Incident Response Team (CSIRT) te worden gemeld, wat eventueel hulp en bijstand kan verlenen.

2.4 Network and Information Security 2 (NIS2)

12 BOARDLETTER 2025 - Gemeente Roosendaal

Onze inschatting van de aandachtspunten In het kader van de controle van de jaarrekening 2025 en onze aanpak hebben wij een zogenaamde initiële risico-inschatting gemaakt. Wij zien de volgende aandachtspunten bij de controle van de jaarrekening van gemeente Roosendaal:

De aangelegenheden waarover wij rapporteren, betreffen die tekortkomingen die tijdens de controle zijn geïdentificeerd en waarvan wij van mening zijn dat deze voldoende belangrijk zijn om verslag van te doen.

Op basis van onze bevindingen bij deze werkzaamheden, geven wij, in het kader van onze natuurlijke adviesfunctie, in deze managementletter aanbevelingen over de opzet van de administratieve organisatie en berichten wij u over vastgestelde tekortkomingen in de uitvoering daarvan en in hoeverre corrigerende maatregelen door het management zijn genomen.

Controleaanpak en doel van de interim-controle Het doel van de jaarrekeningcontrole is om een oordeel tot uitdrukking te brengen over de getrouwheid van de jaarrekening van gemeente Roosendaal. De controle heeft onder meer betrekking op het overwegen van de interne beheersing die relevant is voor het opstellen van de jaarrekening, teneinde controlewerkzaamheden op te zetten die in de gegeven omstandigheden passend zijn, maar niet met het doel om een oordeel te geven over de effectiviteit van de interne beheersing. Het gaat hierbij niet alleen om de kwaliteit van de accountantscontrole, maar ook over de wijze waarop gemeente Roosendaal hiervan kan profiteren.

financieel op te vangen Voor zover sprake is van belangrijke zullen wij in onze controleverklaring bij de jaarrekening 2025 rapporteren welke werkzaamheden wij hebben uitgevoerd om de belangrijke te mitigeren. Daarnaast rapporteren wij in onze controleverklaring over de inschatting van het college van gemeente Roosendaal om de vanuit de bedrijfsvoering financieel op te vangen en welke werkzaamheden wij op de inschatting van het college hebben uitgevoerd.

In onze controlestandaarden (NV COS) wordt expliciet het risico van management override (bewuste beïnvloeding door het college, de directie of het management van de jaarcijfers) als een belangrijk te onderkennen theoretisch risico benoemd. Als accountant moeten wij in onze werkzaamheden hier specifiek aandacht aan besteden. Wij zijn van mening dat de mogelijkheden om buiten de getroffen interne beheersmaatregelen invloed uit te oefenen op de in de jaarrekening gepresenteerde uitkomsten, beperkt zijn. Om het resterende risico te beperken, beoordelen wij schattingsprocessen en bijzondere journaalposten in detail. Onjuiste waardering van bouwgronden in exploitatie (materiële post met verschillende schattingselementen, risicoprofiel varteert per exploitatie).

3.1 Controleaanpak en aandacht voor fraude, corruptie en noncompliance

14 BOARDLETTER 2025 - Gemeente Roosendaal

Voor elk proces beoordelen wij de volgende onderdelen: AO/IB: Is sprake van een actuele en toereikende procesbeschrijving met voldoende beheersmaatregelen? IT-maatregelen: Zijn in en rondom het systeem voldoende waarborgen getroffen ten aanzien van de betrouwbaarheid van de gegevensverwerking? VIC: Heeft de VIC de interne beheersmaatregelen getoetst en kunnen wij daar gebruik van maken?

Belangrijkste processen Aan de navolgende processen hebben wij specifiek aandacht geschonken tijdens onze m: Begroten en verantwoording; Memoriaalboekingen; Inkopen en betalingen; Treasury; Personeel; Sociaal domein; Subsidieverstrekkingen; Inkomende (incidentele) subsidies (SiSa); Belastingen en heffingen; Grondexploitatie, grondaankopen en -verkopen; Huuropbrengsten; Verbonden partijen; Verbijzonderde interne controle (zie paragraaf 3.5).

Op de volgende pagina geven wij ons totaalbeeld van de significante processen.

Een totaaloverzicht van de effectiviteit van de processen is opgenomen op de volgende pagina. Vanzelfsprekend geven wij vanuit onze natuurlijke adviesrol aanbevelingen over de wijze waarop verbeteringen in de interne beheersing mogelijk zijn. Deze zijn gedeeld met het college in de managementletter. Daarbij is het van belang dat gemeente Roosendaal zelf de keuze maakt welke mix van interne beheersingsmaatregelen (en dus ook risico's) acceptabel en optimaal worden gevonden. Onze controleaanpak en advisering zullen wij daarop afstemmen.

Indien al deze vragen positief kunnen worden beantwoord, is gemeente Roosendaal optimaal in control en kunnen ook wij gebruikmaken van uw eigen interne beheersing. De vaak tijdrovende en gedetailleerde gegevensgerichte werkzaamheden (die ook nog eens achteraf plaatsvinden), kunnen dan beperkt blijven tot een minimum.

3.2 Onze werkzaamheden bij de processen

16 BOARDLETTER 2025 - Gemeente Roosendaal

Vanaf de volgende pagina zijn de bevindingen opgenomen met betrekking tot de opzet en het bestaan van de door ons in het kader van de jaarrekeningcontrole onderzochte IT General Controls voor zover relevant voor de jaarrekeningcontrole. De impact van de bevindingen met betrekking tot de IT General Controls zal bij de betreffende processen worden behandeld. Uit de interim-controle volgt dat de IT General Controls voor zowel SAP Business ByDesign alsmede ZorgNed zijn niet geheel effectief zijn; wel bieden deze voldoende aanknopingspunten voor een efficiëntie en effectieve gegevensgerichte datagedreven controleaanpak. Wij zijn momenteel met uw organisatie bezig om mogelijkheden te onderzoeken om over te gaan naar deze datagedreven controleaanpak.

Het inzicht in de gebruikte IT-applicaties en ondersteunende IT-infrastructuur vormt een onderdeel van het inzicht in de interne beheersing. Algemene ITbeheersingsmaatregelen (hierna: IT General Controls) rond de IT-processen leveren een belangrijke bijdrage aan het mitigeren van de risico's die voortkomen uit het gebruik van IT.

De scope van relevante IT General Controls wordt jaarlijks beoordeeld en kan hierdoor afwijken van de scope van voorgaande jaren.

Geautomatiseerde gegevensverwerking enkel beoordeeld in het kader van de jaarrekeningcontrole. De accountant dient op basis van artikel 2:393, lid 4 BW, aandacht te besteden aan de bevindingen met betrekking tot de betrouwbaarheid en continuïteit van de geautomatiseerde gegevensverwerking. Wij hebben de automatiseringsorganisatie uitsluitend in het kader van de jaarrekeningcontrole beoordeeld.

Vanuit de IT-audit werkzaamheden volgen een enkele aandachtspunten. Wij hebben in samenwerking met onze IT-auditors een aantal algemene ITbeheersmaatregelen beoordeeld voor SAP Business ByDesign en ZorgNed. Dit om de impact van de van onbeheerste wijzigingen, ongeautoriseerde handelingen en verstoringen te kunnen vaststellen voor die systemen die gekoppeld zijn aan de voor ons relevante processen en posten.

In het kader van de jaarrekeningcontrole is een IT-audit uitgevoerd. De IT-audit is primair gericht op de betrouwbaarheid van de gegevensverwerking ten behoeve van de totstandkoming van de jaarrekening. Dit betekent dat de ITaudit zich niet primair richt op het doen van uitspraken omtrent de betrouwbaarheid en continuïteit van de geautomatiseerde gegevensverwerking als geheel of van onderdelen daarvan.

3.4 Overzicht van onze bevindingen t.a.v. de IT en cybersecurity

19 BOARDLETTER 2025 - Gemeente Roosendaal

1. Security Governance & Management Dit thema ziet toe op inzicht in het IT-landschap en kritieke IT-systemen, de aanwezigheid van een informatiebeveiligingsbeleid, het beleggen van verantwoordelijkheden rondom informatiebeveiliging, informatiebeveiligingsbewustzijn, IT-risicomanagement, classificatie van data en/of IT-systemen, en leveranciersmanagement. Op basis van onze werkzaamheden ten aanzien van dit thema constateren wij dat Gemeente Roosendaal haar IT-landschap en kritieke IT-systemen goed in kaart gebracht en beschikt over een gedegen informatiebeveiligingsbeleid. Verantwoordelijkheden rondom informatiebeveiliging zijn duidelijk belegd en er is aandacht voor bewustwording bij medewerkers. Ook zijn beleid en processen voor dataclassificatie aanwezig, en worden GAP-analyses uitgevoerd op basis van de BIO-normen. Hiermee wordt aan vrijwel alle vereisten binnen dit thema voldaan. Wel verdient het uitvoeren van een IT-risicoanalyse nog aandacht, ondanks het reeds bestaande dataclassificatiebeleid. Daarnaast hebben wij geconstateerd dat een formeel leveranciersbeleid nog ontbreekt. Het ontbreken van een leveranciersbeleid vergroot het risico op onvoldoende grip op informatiebeveiliging, compliance en continuïteit, waardoor de organisatie kwetsbaar is bij incidenten of tekortkomingen bij leveranciers.

Digitale weerbaarheid is in het kader van informatiebeveiliging een belangrijk thema, gegeven ook de toenemende eisen voor digitale veiligheid vanuit Europese wet- en regelgeving, alsmede het zich blijven voordoen van nieuwe incidenten in dit domein. Om de juiste weerbaarheid te bereiken, dient een zorgvuldige afweging te worden gemaakt tussen het implementeren en continu bewaken van beheersingsmaatregelen enerzijds en het accepteren van risico's anderzijds. Overheidsorganisaties zijn in toenemende mate afhankelijk van de continuïteit van IT-systemen en digitale verbindingen met de buitenwereld, waardoor verstoring, uitval of een cybersecurity-incident grote gevolgen kan hebben. Op basis van onze cyber in de audit-aanpak hebben wij, in afstemming met uw CISO, drie op het gebied van cybersecurity besproken:

3. Security operations Security operations heeft betrekking op de activiteiten en getroffen maatregelen die door de organisatie worden uitgevoerd om cybersecuritykwetsbaarheden te monitoren, preventief tegen te gaan, te onderzoeken en, indien nodig, erop reageren. Op basis van onze werkzaamheden hebben wij geconstateerd dat Gemeente Roosendaal al belangrijke stappen heeft gezet op het gebied van Security Operations. Zo zijn diverse IT-beleidsdocumenten opgesteld, wordt jaarlijks een penetratietest uitgevoerd en zijn de security-incidenten ondergebracht bij het Security Operations Center (SOC) van Illionx voor de detectie en monitoring van incidenten. Het opstellen van een proces voor security incident management blijft echter een aandachtspunt; hiervoor is inmiddels een project gestart.

2. Beveiliging van IT-systemen Om kwetsbaarheden tegen te gaan, is het van belang om IT-systemen te beveiligen. Dit houdt in dat uw organisatie de IT-systemen op een consistente manier conformeert aan de BIO configureert zodat cybersecurity-incidenten, ongeautoriseerde handelingen en gijzeling van data kunnen worden tegengegaan. Uit onze werkzaamheden blijkt dat Gemeente Roosendaal al belangrijke stappen heeft gezet in het beveiligen van haar IT-omgeving, onder andere door het opstellen van verschillende IT-beleidsdocumenten en het implementeren van beveiligingsmaatregelen voor de IT-systemen. Het opstellen van een IT-continuïteitsplan blijft een aandachtspunt; wel is er reeds een project gestart om hieraan te werken.

3.4 Overzicht van onze bevindingen t.a.v. de IT en cybersecurity

20 BOARDLETTER 2025 - Gemeente Roosendaal

Het toetsen op de werking van systemen of het eventueel aanvullen met gegevensgerichte werkzaamheden kan ook bij de teams zelf (eerste lijn) of in de tweede lijn worden belegd. Dan kan de VIC meer acteren als derde lijn waarbij het hun taak is om de betrouwbaarheid van informatievoorziening van de eerste en tweede lijn te beoordelen. Er vindt dan een verschuiving plaats van VIC als onderbouwing van de rechtmatigheidsverantwoording naar VIC als bevestiging van de getrouwheid van de rechtmatigheidsverantwoording van de verschillende . Dit is een ontwikkeling waar de gemeente Roosendaal heen aan het bewegen is. Momenteel is de VIC hier nog niet, maar wij zien wel een verbetering ten opzichte van voorgaand jaar.

Er is een belangrijke coördinerende rol voor de Verbijzonderde Interne Controle (VIC) weggelegd ten aanzien van de rechtmatigheidsverantwoording. De VIC van gemeente Roosendaal, is gericht op het verkrijgen van inzicht vanuit de eigen organisatie in de getrouwe en rechtmatige totstandkoming van de baten, lasten en balansmutaties, zoals deze in de jaarrekening (inclusief de rechtmatigheidsverantwoording) tot uitdrukking komen. Gemeente Roosendaal heeft de processen zo ingericht dat met name de VIC-werkzaamheden, vastleggingen en uitkomsten de basis vormen voor de rechtmatigheidsverantwoording. De verantwoordelijkheden voor de rechtmatigheidsverantwoording liggen echter veel breder; alle organisatieonderdelen en het voltallige college zijn hiervoor verantwoordelijk.

Zeker bij de tijdigheid van de aanlevering van de VIC richting ons zien wij een grote verbetering ten opzichte van voorgaand jaar. De VIC heeft de lijncontroles voor de start van de controle aangeleverd en ook grote delen van de detailcontroles die door de VIC zijn uitgevoerd, heeft de VIC bij ons op afgesproken moment aangeleverd. Hierbij zien wij een positieve ontwikkeling t.o.v. voorgaand jaar. In de volgende pagina hebben wij onze inhoudelijke bevindingen omtrent de aanlevering opgenomen.

Wij maken zoveel mogelijk gebruik van de door u uitgevoerde VICwerkzaamheden. Vooraf heeft afstemming hierover plaatsgevonden met de ambtelijke organisatie, zodat de juiste werkzaamheden door u worden gedaan wat een korte doorlooptijd van de controle bevordert. De tijdigheid van de werkzaamheden van de VIC is van belang.

3.5 Verbijzonderde Interne Controle

26 BOARDLETTER 2025 - Gemeente Roosendaal

het VIC-plan 2025, de vertaling van het normenkader naar het toetsingskader, de steekproefmethodiek, de kwaliteit en diepgang van de documentatie, de foutevaluatie en de (tussentijdse) rapportages van de VIC beoordeeld. Hieruit volgen de volgende observaties en aanbevelingen: De aanlevering van de lijncontroles zoals wij deze hebben verkregen waren tijdig aangeleverd en de kwaliteit hiervan was goed van aard. Voorgaand jaar waren de lijncontroles bij de start van onze interim-controle niet beschikbaar. Hiermee heeft de Gemeente Roosendaal een grote stap gemaakt. Wij constateren dat de in opzet beschreven werkzaamheden primair achteraf plaatsvinden, op één of meerdere momenten gedurende het jaar. Voor de rechtmatigheidsverantwoording is het van belang dat de VIC consequent, tijdig (kort-cyclisch) en met voldoende diepgang werkzaamheden uitvoert en dat de uitkomsten hiervan (bestuurlijk) besproken worden. De verhoging van de materialiteit leidt voor veel gemeenten tot een lagere diepgang van uit te voeren VIC-werkzaamheden. Wij benadrukken om risicogericht keuzes te maken in het uitvoeren van VIC-werkzaamheden en niet sec alleen het noodzakelijke voor de accountantscontrole te doen.

Wij hebben enkele observaties en aanbevelingen om de kwaliteit van de VICwerkzaamheden en het lerend en zelfcontrolerend vermogen van de organisatie te vergroten. In het kader van onze interim-controle hebben wij vanuit de VIC de aanlevering gekregen wat voor de opgevraagde stukken. Om door te groeien naar in de rol van de VIC zien wij ook in dat er de komende jaren nog ontwikkeld kan worden naar een meer derde lijn controle.

3.5 Verbijzonderde Interne Controle

27 BOARDLETTER 2025 - Gemeente Roosendaal

Vanuit het perspectief van het verhogen van de kwaliteit, effectiviteit en efficiëntie van de bedrijfsvoering kunnen voor de accountantscontrole nietmateriële processen wel voor de gemeentelijke organisatie relevant en waardevol zijn om door de VIC-medewerkers te laten onderzoeken. De auditcommissie kan vanuit haar toezichthoudende rol verzoeken om expliciet onderzoek te doen naar specifieke aandachtsgebieden die zij bijvoorbeeld risicovol vinden. Wij adviseren om in de risicoanalyse in het VIC-plan expliciete aandacht te besteden aan frauderisicofactoren en voor potentiële . Bij niet-materiële (fraude)risico adviseren we om een jaarlijks roulerend schema voor VIC-werkzaamheden te gebruiken, zodat de gemeente wel zicht en grip blijft houden op de bedrijfsvoeringprocessen. Doordat fouten en onzekerheden vanaf boekjaar 2025 bij elkaar worden opgeteld, wordt het reduceren van onzekerheden in het kader van de prestatielevering van de Wmo en/of Jeugdzorg naar verwachting voor gemeente Klantnaam meer relevant. Bij bevindingen in de interne beheersing in dit proces kan dit ervoor zorgen dat de VIC met meer diepgang (lagere uitvoeringsmaterialiteit) haar interne controlewerkzaamheden moet uitvoeren. Dit hebben wij verder uitgewerkt in paragraaf 2.1.

Uit de uitgevoerde detailwerkzaamheden vanuit de VIC waren voornamelijk klaar voor de steekproef op het inkoopproces, hieruit hebben wij de volgende observatie: Vanuit onze reperformance werkzaamheden bij de inkopen hebben wij vastgesteld dat de conclusies niet kritisch genoeg worden getrokken. De overwegingen dienen een verhoogde diepgang te krijgen. De VIC stelt geen (tussentijdse) rapportages op met betrekking tot haar bevindingen. Wij zouden dit aanmoedigen om te gaan doen, om uzelf beter te positioneren binnen de gemeente.