Bijlage 2 Intern controleplan 2025.pdf

Verbijzonderde Interne Controle Jaarplan 2025

Document: Opgesteld door: Groep: Versie: Datum:

Verbijzonderde Interne Controle jaarplan 2025 Tessa Kleinschmidt – Mooijman & Jeroen Mulders Coördinatoren Interne Controle Concerncontrol Concept 3 november 2025

Inhoudsopgave 1

2

3

4

5

6

7

9

Doel en belangrijke ontwikkelingen ......................................................................................... 4 1.1

Doel van het uitvoeren van interne controles ..................................................................... 4

1.2

Belangrijke ontwikkelingen binnen Roosendaal ................................................................. 4

1.3

Opvolging managementletter 2024 ..................................................................................... 4

1.4

Accountantsverslag 2024 .................................................................................................... 5

Rollen, taken en verantwoordelijkheden ................................................................................. 5 2.1

Groepen en teams ................................................................................................................ 6

2.2

Directie .................................................................................................................................. 6

2.3

College van Burgemeester en Wethouders ........................................................................ 6

2.4

Auditcommissie .................................................................................................................... 6

2.5

Gemeenteraad ...................................................................................................................... 7

2.6

Accountant ............................................................................................................................ 7

2.7

Concerncontrol ..................................................................................................................... 7

Invulling Verbijzonderde Interne Controle ............................................................................... 7 3.1

Personele bezetting .............................................................................................................. 7

3.2

Ontwikkeling binnen de (Verbijzonderde) Interne Controle .............................................. 8

3.3

Personeelsontwikkelingsplan ............................................................................................. 9

Kaders van de interne controle ................................................................................................ 9 4.1

Normenkader ........................................................................................................................ 9

4.2

Goedkeuringstolerantie...................................................................................................... 10

Risicoanalyse ......................................................................................................................... 11 5.1

Definitie van een risico ....................................................................................................... 11

5.2

Nadere definiëring van impact ........................................................................................... 12

5.3

Bepalen risicoprofiel .......................................................................................................... 13

Controle aanpak ..................................................................................................................... 13 6.1

Kwantitatief significante processen .................................................................................. 13

6.2

Algemene controleaanpak ................................................................................................. 14

6.3

Aansluiting auditfile ............................................................................................................ 16

6.4

Aanpak per stroom/proces ................................................................................................ 16

6.5

Niet materiële processen ................................................................................................... 16

Rapportages ........................................................................................................................... 17 7.1

Interne beheersing .............................................................................................................. 17

7.2

Rechtmatigheid ................................................................................................................... 17

Bijlagen................................................................................................................................... 18 Bijlage 1 – overzicht van de bevindingen van de managementletter 2024 ................................... 18 Bijlage 2 – Accountantsverslag 2024.............................................................................................. 18 2

Bijlage 3 – Rechtmatigheidscriteria ................................................................................................ 18 Bijlage 4 – Risicoanalyse ................................................................................................................. 18 Bijlage 5 – Adviezen IC ..................................................................................................................... 18 Bijlage 6 – Normenkader Rechtmatigheid ...................................................................................... 18

3

1

Doel en belangrijke ontwikkelingen In dit hoofdstuk wordt nadere duiding gegeven aan het doel van de Interne Controle binnen gemeente Roosendaal en de ontwikkeling naar een Verbijzonderde Interne Controle.

1.1

Doel van het uitvoeren van interne controles In onderstaande opsomming staat de kern opgenomen waarom interne controles binnen processen worden uitgevoerd. • Grip op de bedrijfsprocessen en het stimuleren van checks en balances in de lijn, dit draagt bij tot het continu leren en verbeteren van de processen. Dit wordt gedaan door het in kaart brengen van processen met de proceseigenaren, rapporteren over bevindingen, mee te denken in adviezen, hierover in gesprek gaan met de groepen en periodiek de voortgang hiervan in kaart te brengen. • Interne controles hebben tot doel het vaststellen van de getrouwheid en rechtmatigheid van financiële beheershandelingen. Een integrale controle is niet mogelijk, op basis van materialiteit en risico inschatting worden hier keuzes in gemaakt. • Waar de primaire focus van de interne controles ligt op het verbeteren van de organisatie is er ook een duidelijke link naar de accountantscontrole: we stemmen ons plan vooraf met de accountant af zodat controles niet dubbel plaatsvinden.

1.2

Belangrijke ontwikkelingen binnen Roosendaal In deze paragraaf zijn de voornaamste ontwikkelingen binnen de gemeente Roosendaal opgenomen:  Onafhankelijke positionering team Interne Controle Sinds juli 2023 maakt team Interne Controle onderdeel uit van de groep Concerncontrol. De groep Concerncontrol heeft een objectieve en onafhankelijke positie ten opzichte van andere groepen. Dit is belangrijk om door te kunnen ontwikkelen naar een Verbijzonderde Interne Controle functie.  Three lines model Gemeente Roosendaal heeft de ambitie om ten behoeve van de interne beheersing van haar processen volgens het Three Lines Model (TLM) te gaan werken. Dat betekent onder andere dat interne controlewerkzaamheden meer binnen de – voor de processen – verantwoordelijke groepen gaan plaatsvinden. Team Interne Controle heeft dan een derdelijns functie en borgt een juiste uitvoering van de interne controles binnen de processen en haar uitkomsten.

1.3

Opvolging managementletter 2024 Over boekjaar 2024 heeft BDO Accountants & Adviseurs een managementletter verstrekt aan de Gemeente Roosendaal. In deze managementletter werden de bevindingen wat betreft interne beheersing opgenomen die BDO Accountants & Adviseurs had geïdentificeerd tijdens hun werkzaamheden. Daarnaast heeft het interne controleteam ook eigen bevindingen gedaan. Bijlage 1 geeft een overzicht van de bevindingen van de managementletter 2024 en het interne controleteam. Ook geeft de tabel de status van de bevindingen weer (opgevolgd/onderhanden/niet opgevolgd). De status wordt periodiek gemonitord en gerapporteerd aan DT.

4

1.4

Accountantsverslag 2024 Bij de jaarrekening 2024 heeft BDO accountants & Adviseurs een accountantsverslag opgeleverd aan de gemeente Roosendaal. In bijlage 2 is dit accountantsverslag van de jaarrekening 2024 bijgevoegd. De accountant rapporteert drie aandachtspunten:  Onzekerheid jeugdhulp en Wmo In de regio zijn afspraken gemaakt over het terugdringen van productieverantwoordingen. De gemeente vraagt (via het Zi2t) niet aan alle aanbieders productieverklaringen met accountantsverklaring op. Dit jaar is er een hogere realisatie bij aanbieders die geen verklaring hoeven aan te leveren. Daartegenover staat dat in het proces al extra stappen worden ingebed om op andere wijze de prestatielevering vast te kunnen stellen. Over 2024 kan de accountant hier nog onvoldoende op leunen. Hierdoor is er een (theoretische) onzekerheid of voor de gefactureerde zorg daadwerkelijk zorg is geleverd. De onzekerheden bedragen € 7,9 miljoen voor jeugd en € 1,1 miljoen voor Wmo. Deze bedragen zijn kleiner dan de toegestane 3%, zijnde € 11,2 miljoen. Voor 2025 zetten we lokaal en regionaal extra stappen om die zekerheid wel te garanderen. De organisatie monitort dit tussentijds en stemt hierover tussentijds actief af met de accountant.

 Aandachtspunten onderhoudsvoorzieningen 2024 Net als vorig jaar heeft veel afstemming plaatsgevonden over de noodzakelijke onderbouwingen en de toetsbaarheid (controleerbaarheid) van de schattingen voor de voorzieningen. BDO geeft aan voor 2024 voldoende zekerheid te hebben, maar doet wel de stellige aanbeveling om hier in 2025 verbeteracties op in te zetten. Met name op het navolgbaar maken van begrotingswijzigingen en in meer detail vastleggen hoe we tot nieuwe ramingen komen. De door uw raad vastgestelde beheerplannen dateren uit 2020, deze moeten in 2025 opnieuw door uw raad vastgesteld worden. Als hier niet aan voldaan wordt dan is het risico dat de voorzieningen omgezet wordt in reserves. Dan zijn de onttrekkingen hieraan volgens de provincie incidenteel en kan dat een negatief effect hebben op de begrotingscijfers. Het college pakt deze aanbeveling op.  Aanpassing materialiteit naar 2% vanaf 2025 Voor 2024 kennen we nog de grenzen van 1 % en 3% voor fouten en onzekerheden. Vanaf boekjaar 2025 wordt dat 2%, voor fouten en onzekerheden samen. Ook wordt de grens bepaald op de werkelijke lasten, zonder reservedotaties. Doordat fouten en onzekerheden bij elkaar opgeteld moeten worden is de ruimte hiervoor kleiner dan voorheen om tot een goedkeurende verklaring te komen. Risico is hierbij de omvangrijke onzekerheid in het sociaal domein.

De aangepaste grensbedragen dienen ook verwerkt te worden in de actualisatie van de Financiële verordening, het college legt deze in de tweede helft van 2025 aan de raad voor.  Aanknopingspunten benchmarkrapportage In het accountantsverslag geeft BDO in paragraaf 3.1 vergelijkingscijfers over de bestedingen van onze gemeente en wat volgens de systematiek van het gemeentefonds te verwachten zou zijn. Opvallend is dat wij gemiddeld minder OZB ophalen. We hebben een lagere realisatie op jeugdhulp en Wmo dan logisch zou zijn. Op basisvoorzieningen (voorveld en deel werk & inkomen) besteden we juist meer, net zoals aan fysieke infrastructuur.

2

Rollen, taken en verantwoordelijkheden Binnen gemeente Roosendaal zijn op belangrijke onderdelen beheersmaatregelen aangebracht zoals functiescheidingen, vier-ogenprincipe, standaardformulieren en in general IT controls, dan wel application controls in de ICT(-systemen). Groepen en teams zijn zelf 5

verantwoordelijk voor de beheersmaatregelen en uit te voeren interne beheersingsmaatregelen en controles. Voor de Verbijzonderde Interne Controle is dat het vertrekpunt voor de uit te voeren werkzaamheden. In onderstaande paragrafen staan de actoren ten aanzien van de interne beheersing binnen gemeente Roosendaal weergegeven. 2.1

Groepen en teams Gemeente Roosendaal is een platte organisatie met vooral autonomer werkende groepen, die direct samenwerken met de directie. De basis hiervoor is vertrouwen. Groepen en teams krijgen de verantwoordelijkheid om het werk zelf in te richten. Binnen de processen zijn groepen en teams zelf verantwoordelijk voor de inrichting van beheersmaatregelen en het uitvoeren van de controles. In paragraaf 3.2 wordt ingegaan op de implementatie van het three lines model. Onderdeel hiervan is dat groepen en teams hun rollen en verantwoordelijkheden binnen de verschillende lijnen kennen en uitdragen.

2.2

Directie De directie treedt strategisch richtinggevend, faciliterend en verbindend op met de autonomere groepen en teams. Zij borgt richting het College dat de groepen en de teams de goede dingen op de goede manier doen. Daartoe heeft de directie een Verbijzonderde Interne Controle ter beschikking. Het directieteam is verantwoordelijk voor het resultaat van de ambtelijke organisatie en rapporteert over de uitgevoerde controlewerkzaamheden aan het College van burgemeester en wethouders.

2.3

College van Burgemeester en Wethouders Het College is eindverantwoordelijk voor de bedrijfsvoering en daarmee de interne beheersing. Het college stuurt op basis van te realiseren doelen, binnen de kaders van de gemeenteraad. Dat zijn meer specifiek de begroting en de opdracht van de gemeenteraad in het kader van het rechtmatig handelen van de organisatie. Zij legt verantwoording af aan de gemeenteraad via de rechtmatigheidsverantwoording over de uitvoering van de opdracht en bijbehorend Normenkader Rechtmatigheid. Om te komen tot deze verantwoording stellen zij dit intern controleplan vast. De Verbijzonderde Interne Controle onder verantwoordelijkheid van de concerncontroller adviseert hen, na bespreking in het DT, over de uitvoering van het plan en de inhoud van de verantwoording.

2.4

Auditcommissie De rol van de Auditcommissie, namens de Raad, is vastgelegd in de ‘Verordening op de auditcommissie’ (vastgesteld op 29 juni 2023) en het ‘Controleprotocol Rechtmatigheid 2024, dat ook dient als het voorlopige Controleprotocol Rechtmatigheid 2025’ (voorgelegd aan de auditcommissie op 27 januari 2025). Deze rol heeft betrekking op onder meer:  De ondersteuning van de gemeenteraad bij zijn controlerende taak;  De contacten met de externe accountant;  Het onderzoek naar de jaarrekening op onderwerpen betreffende rechtmatigheid, doeltreffendheid en doelmatigheid;  Het gevraagd en ongevraagd advies uitbrengen over het financieel beleid, de financiële organisatie en het financieel beheer van de gemeente.

6

Logischerwijs is de Audit Commissie dan ook de eerste gesprekspartner van het College over de kaders, de inhoud en toelichting op de rechtmatigheidsverantwoording. 2.5

Gemeenteraad De gemeenteraad wijst op grond van artikel 213 lid 2 Gemeentewet de accountant aan. Ook de jaarlijkse opdrachtverstrekking aan de accountant vindt plaats door de gemeenteraad. In het Besluit Accountantscontrole Decentrale Overheden (BADO) is vastgelegd wat deze controle minimaal inhoudt. De griffier onderhoudt namens de gemeenteraad het contact met de accountant, organiseert het gesprek van de Auditcommissie met (een vertegenwoordiging van) het College over de rechtmatigheids-verantwoording en met de accountant over getrouwheid, inclusief de inhoud van deze gesprekken.

2.6

Accountant De accountant controleert de jaarrekening en verstrekt een controleverklaring bij de jaarrekening waarin hij een oordeel geeft over het getrouwe beeld. Met ingang van 2023 ook over de getrouwheid van de rechtmatigheidsverantwoording die vanaf boekjaar 2023 wordt opgenomen in de jaarrekening. De accountant rapporteert aan het College zijn bevindingen vanuit de interimcontrole in een managementletter en de bevindingen naar aanleiding van de controle van de jaarrekening aan de gemeenteraad via het accountantsverslag.

2.7

Concerncontrol De groep Concerncontrol is verantwoordelijk voor de uitvoering van de verbijzonderde interne controle en adviseert gevraagd en ongevraagd de Directie en het College van Burgemeester en Wethouders over de interne beheersing van de organisatie. De basis vormen onder meer de uitgevoerde interne controlewerkzaamheden en in overleg met Directie en College uit te voeren onderzoeken naar doelmatigheid en doeltreffendheid. Interne controle, risicomanagement, misbruik/oneigenlijk gebruik van middelen van de gemeente dan wel fraude maar ook informatiebeveiliging vallen onder de aandachtsvelden van Concerncontrol.

3

Invulling Verbijzonderde Interne Controle Om te komen tot een adequate uitvoering van de Verbijzonderde Interne Controle functie is in onderstaande paragrafen een uitwerking gemaakt van de personele bezetting en zijn de belangrijkste lijnen in de ontwikkeling van Interne Controle naar een Verbijzonderde Interne Controle uitgediept.

3.1

Personele bezetting Per november 2024 is de bezetting van team IC als volgt: • 2,89 fte kwaliteitsmedewerker Interne Controle • 0,9 fte coördinerend kwaliteitsmedewerker Interne Controle Vanaf augustus 2024 is binnen de groep Concerncontrol een nieuwe adviseur control aangesteld die de rechtmatigheidsverantwoording in de portefeuille heeft. Deze adviseur control heeft strategische taken ten aanzien van de rechtmatigheidsverantwoording waar die van de Verbijzonderde Interne Controle zich toespitsen op tactisch niveau.

7

3.2

Ontwikkeling binnen de (Verbijzonderde) Interne Controle In deze paragraaf zijn de belangrijkste ontwikkelingen binnen de (Verbijzonderde) Interne controle opgenomen:  Strategisch, tactisch en operationeel In 2024 zijn de werkzaamheden ten aanzien van de Verbijzonderde Interne Controle duidelijker verdeeld in de niveaus van strategisch, tactisch en operationeel. Het strategische gedeelte ligt bij de adviseur control, tactisch bij de coördinerend kwaliteitsmedewerker Interne Controle en operationele werkzaamheden worden uitgevoerd door de kwaliteitsmedewerkers Interne Controle. Deze lijn wordt voor 2025 gevolgd.  Steunen op de inrichting van applicaties De bij de financiële processen betrokken applicaties zijn SAP, ADP en ZorgNed. Binnen deze applicaties zijn verschillende beheersmaatregelen aanwezig om fouten te voorkomen (application controls). Op dit moment maakt de Verbijzonderde Interne Controle nog geen gebruik van deze inrichting van de applicaties. Om dit te kunnen gaan doen zal de Verbijzonderde Interne Controle ook een toets moeten uitvoeren op de General IT Controls op het gebied van logische toegangsbeveiliging (wie mag in de applicatie en wat kan je ermee) en change management (geautoriseerd wijzigingsbeheer). Om deze toets doelmatig en doeltreffend uit te voeren wordt de samenwerking gezocht met de CISO en de ISO.

 Bredere inbedding van de diverse processen binnen het team Tot op heden lag de focus van de kwaliteitsmedewerkers Interne Controle altijd op de processen die aan hen waren toebedeeld. In 2025 wordt de werkverdeling 70%/30% gemaakt, waarbij altijd twee medewerkers verantwoordelijk voor één proces. Daarmee wordt geborgd dat niet langer één kwaliteitsmedewerker kennis heeft van een bepaald proces. Hierdoor wordt het team robuuster, zodat in geval van ziekte, een uitdiensttreding of anders werkzaamheden gemakkelijker tussen de collega’s overgedragen kunnen worden.  Afpellen van de massa’s (risicogerichte controles) Om te komen tot een doelmatige en doeltreffende steekproefcontrole is in 2024 gestart met nog kritischer kijken naar de te controleren massa’s. Op basis van risico’s bepalen we - waar mogelijk - welke massa’s we initieel bekijken, waarna we vervolgens op basis van de risico’s verder afpellen. Een voorbeeld van deze werkwijze is het proces inkopen, waar we gericht de verplichtingen waar geen 4-ogenprincipe op is uitgevoerd, uit de totale massa extraheren. Daarnaast is het ook mogelijk dat er homogene massa’s binnen een controlemassa zitten die op een andere eenvoudigere en snellere manier afgedekt kunnen worden.

Hierdoor houden we een kleinere controlepopulatie over voor de steekproef, waardoor de uit te voeren steekproef evenredig slinkt en de tijdsinvestering en capaciteitsvraag op de organisatie daalt. Daarnaast wordt onderzocht of en in hoeverre het mogelijk is om op basis van specifieke exports uit SAP, onderdelen integraal te controleren (op basis van het aansluiten van de data). Een voorbeeld hiervan zijn de autorisaties van de inkooporganisatie die op basis van loggingsgegevens in SAP gecontroleerd kunnen worden. Voor 2025 wordt deze lijn verder doorgezet.  Spendanalyse In de rechtmatigheidsverantwoording zijn over 2024 een aantal afwijkingen gerapporteerd inzake het voorwaardecriterium. Dit had te maken met de aanbestedingsrechtmatigheid, waar bleek dat de gemeente niet overal compliant was met de aanbestedingswet. Met dien verstande en de lessons learned ten aanzien van de spendanalyse wordt de spendanalyse 8

in 2025 al gedurende het jaar uitgevoerd. Daarmee worden eventuele afwijkingen vroegtijdig gesignaleerd en kom het interne controleteam nog meer in haar adviserende rol jegens de organisatie. 3.3

Personeelsontwikkelingsplan Om bij te blijven bij de actuele ontwikkelingen en kennis is door de IC-medewerkers een eigen voorstel opgemaakt voor cursussen, trainingen en opleidingen. Dit voorstel is intern beschikbaar en niet als bijlage bij het IC-plan opgenomen. Daarnaast vindt binnen de groep periodiek kennisdeling plaats, met als doel dat dit het team robuuster wordt, zodat in geval van ziekte, een uitdiensttreding of anders werkzaamheden gemakkelijker tussen de collega’s overgedragen kunnen worden.

4

Kaders van de interne controle Ten behoeve van de inrichting van de interne controle zijn er een aantal belangrijke wettelijke kaders die de basis vormen voor de werkzaamheden. Deze kaders zijn voor onze gemeente gedefinieerd in de Financiële Verordening: dit is het normenkader (§ 4.1) en de verantwoordingsgrens en rapportagegrens (§ 4.2).

4.1

Normenkader Het kader voor de interne en externe controle is het normenkader. Het normenkader rechtmatigheid bevat de relevante externe regelgeving waar we als gemeente aan moeten voldoen. Deze externe regelgeving is zowel op Europees (zoals de aanbestedingsregels) als landelijk niveau in wetten vastgelegd. Daarnaast zullen we moeten voldoen aan de afspraken die we zelf hebben vastgelegd in de verordeningen, de gemeentelijke regelgeving. Schematisch ziet de scope van het normenkader er als volgt uit:

Zoals uit bovenstaand overzicht blijkt, zijn collegebesluiten optioneel. Op 13 maart 2025 is het ‘Controleprotocol Rechtmatigheid 2024, dat ook dient als het voorlopige Controleprotocol Rechtmatigheid 2025’ vastgesteld door de Raad. Als bijlage bij dit controleprotocol is in het normenkader zijn collegebesluiten niet meegenomen. Daarmee voldoen we aan de relevante weten regelgeving. Met ingang van november 2025 worden bovenstaande zaken opgenomen in de Financiële verordening en wordt niet langer een Controleprotocol separaat opgesteld. Het Normenkader wordt begin december 2025 vastgesteld als los document en wordt geactualiseerd wanneer dit nodig geacht wordt. In bijlage 6 is het Normenkader Rechtmatigheid opgenomen.

9

Overigens valt enkel de financiële rechtmatigheid vanuit het normenkader in scope voor de rechtmatigheidsverantwoording en dus ook de interne controlewerkzaamheden. Deze financiele rechtmatigheid toetst de bepalingen over de recht, hoogte en duur vanuit het normenkader. Bij de controleplannen per proces zijn de recht, hoogte en duur bepalingen uit het normenkader vertaald in toetsingspunten per proces, het toetsingskader. 4.2

Goedkeuringstolerantie In het ‘Besluit Accountantscontrole Decentrale Overheden’ (1) ligt de wettelijke basis vast voor de berekening van de goedkeuringstolerantie (ook wel de materialiteit) ten behoeve van de externe accountantscontrole van gemeentes. Een dergelijke basis is er niet voor de interne controle. Het is echter logisch, onder andere vanuit efficiëntie, om deze goedkeuringstolerantie als basis te nemen voor de interne controlewerkzaamheden. Materialiteit De materialiteit wordt gesteld op een goedkeuringstolerantie van 2% van de omvangsbasis. Deze goedkeuringstolerantie geldt voor de gehele jaarrekening, inclusief bijlagen. De term omvangsbasis is vastgelegd in het ‘Besluit Accountantscontrole Decentrale Overheden’ en schrijft feitelijk voor hoe je de basis van je materialiteit moet bepalen, namelijk: de totale lasten exclusief toevoegingen aan reserves van de gecontroleerde jaarrekening exclusief onderlinge overboekingen tussen reserves. Onderstaand is schematisch weergegeven welke regels gelden voor de materialiteit en wat de impact is voor het oordeel van de accountant:

In de programmabegroting 2025 is € 333,4 miljoen aan lasten opgenomen (zie afbeelding).

Programmabegroting (bijlage, pagina 62)

Daarmee ziet de materialiteitsberekening er als volgt uit: Bedrag in euro’s (x 1.000)

1

Totale begrote lasten in programma’s 2025

333.403

Totaal begrote lasten

333.403

Berekende materialiteit voor fouten en onzekerheden (2%)

6.668

https://wetten.overheid.nl/BWBR0015524/2017-12-09 10

De materialiteit wordt gedurende het jaar bijgesteld op basis van de werkelijke lasten en werkelijke stortingen in reserves. Dit bedrag kan dus nog wijzigen.

5

Risicoanalyse Naast de kaders, zijn risico’s een belangrijke pijler in het bepalen van de werkzaamheden van IC. In dit hoofdstuk bespreken we eerst wat nu eigenlijk onder een risico wordt verstaan vanuit IC (§ 5.1), welke toetsingscriteria hieraan ten grondslag liggen (§ 5.2) en hoe we vervolgens een risicoprofiel opstellen per proces (§ 5.3).

5.1

Definitie van een risico In deze paragraaf wordt stil gestaan bij de betekenis van een risico in het kader van interne beheersing en interne controle. Inherente risico Het inherente risico (IHR) is het startpunt voor de risicoanalyse. Onder IHR wordt verstaan: het bruto risico van een proces (gevoeligheid van saldi en soorten transacties van een proces) op onvolkomenheden m.b.t. de getrouwheid en financiële rechtmatigheid die, zowel afzonderlijk als tezamen met onvolkomenheden in andere saldi en transacties, kwantitatief of kwalitatief van materieel belang zijn, onder de veronderstelling dat er daartoe geen interne beheersmaatregelen (AO/IB) zijn getroffen. Kortom, hoe groot is de kans op een materiële fout als er geen interne beheersing zou zijn. De inherente risico’s kunnen zowel intern als extern zijn. Hierbij kun je denken aan processen:  Met verhoogd risico op fraude of ontvreemding van geld;  Waarbinnen niet-routinematige financiële handelingen plaatsvinden;  Waarbij schattingselementen met grote financiële gevolgen een belangrijke rol spelen;  Waarbij wet- en regelgeving in het kader van bijv.

financiële rechtmatigheid wijzigt;  Die complex van aard zijn waardoor de beheersing moeilijk is;  Waarbij recente ingrijpende mutaties zijn geweest in de operationele omgeving, procedures of van betrokken medewerkers (reorganisaties);  Waarbij nieuwe of vernieuwde informatiesystemen of technologieën zijn ingevoerd;  Waarbij nieuwe producten of activiteiten zijn ontstaan;  Die qua omvang te snel fors zijn uitgebreid. Interne beheersingsrisico Hierbij wordt onder het intern beheersingsrisico (IBR) verstaan het resterend netto risico op het niet tijdig voorkomen of ontdekken en herstellen van onvolkomenheden m.b.t. de getrouwheid en financiële rechtmatigheid in de uitvoering en verantwoording (saldi en soorten transacties) van het proces die, zowel afzonderlijk als tezamen met onvolkomenheden in andere saldi en transacties, kwantitatief of kwalitatief van materieel belang kunnen zijn, ondanks dat er daartoe interne beheersmaatregelen (AO/IC) waren getroffen. Dit is dus het netto risico als een organisatie:  wél interne beheersmaatregelen heeft genomen maar die niet goed zijn opgezet; of  wél interne beheersmaatregelen heeft genomen maar die in de praktijk niet bestaan of werken.

11

Denk hierbij aan mogelijke doorbreking van één of meer componenten van het interne beheersingssysteem rondom het proces, zoals controle technische functiescheiding, het (on)bewust niet volgen van procedures vanwege capaciteit, kennisgebrek, fraude en integriteit. Vanuit dit kader wordt een risico ingeschat op basis van de gevoeligheid van een bewering voor een afwijking, afzonderlijk of samen met andere afwijkingen, van materiele impact. Oftewel, hoe groot is de waarschijnlijkheid dat er een (financiële) materiële fout in het proces voordoet? Schematisch ziet er dit als volgt uit:

5.2

Nadere definiëring van impact De impact uit bovenstaand model kan zich voordoen op 2 aspecten: Getrouwheid & Rechtmatigheid De getrouwheid omvat de vraag of de jaarrekening een waarheidsgetrouw beeld geeft: zijn alle transacties zoals ze hebben plaatsgevonden juist en volledig in de jaarrekening verwerkt? Het aspect rechtmatigheid ziet toe op de naleving van wet- en regelgeving. Zo kan het niet-juist aanbesteden van een inkoop leiden tot een rechtmatigheidsfout, maar tegelijkertijd wel getrouw in de jaarrekening zijn verwerkt. In de kadernota rechtmatigheid 2025 van de Commissie BBV zijn 9 rechtmatigheidscriteria opgenomen, zie onderstaand: Afgedekt door getrouwheid 1. Calculatiecriterium (nauwkeurigheid) 2. Valuteringscriterium (tijdigheid) 3. Adresseringscriterium (nauwkeurigheid) 4. Volledigheidscriterium (volledigheid) 5. Aanvaardbaarheidscriterium (nauwkeurigheid) 6. Leveringscriterium (bestaan) Afgedekt door rechtmatigheid (rechtmatigheidsverantwoording) 7. Begrotingscriterium (alle) 8. Voorwaardencriterium (alle) 9. Misbruik & oneigenlijk gebruik criterium (alle) Voor een nadere beschrijving van deze criteria wordt verwezen naar bijlage 3. 12

De bovenste zes criteria zien toe op de getrouwheid en blijven van toepassing bij het voorlopig vaststellen van de jaarrekening door het College. Over deze criteria wordt niet afzonderlijk gerapporteerd in de rechtmatigheidsverantwoording. De onderste drie criteria komen in de rechtmatigheidsverantwoording wél expliciet tot uitdrukking. Ten aanzien van het criterium Misbruik & Oneigenlijk gebruik (M&O) geldt dat het geformaliseerde M&O beleid is vastgesteld door de Raad op 14 oktober 2024. Dit wordt dus vanaf heden niet langer in gedeeltes van ander beleid meegenomen. 5.3

Bepalen risicoprofiel Voor de materiële processen en balansmutaties is dit jaar een gedetailleerde inschatting gemaakt van het risicoprofiel. In hoofdstuk 6 wordt de scoping besproken: welke processen zijn in scope voor IC. Deze scoping is vooral gebaseerd op het begrip materialiteit. Niet materiële processen zijn niet in scope en worden dus niet meegenomen in de risico-inschatting. Om de risicoinschatting te maken zullen de volgende punten worden beoordeeld:     

Complexiteit van het proces/balanspost (waarschijnlijkheid); Complexiteit van de schattingen (waarschijnlijkheid); Aantal en aard transacties (impact); Bevindingen van voorgaand jaar (waarschijnlijkheid/impact); Wijziging in het proces en wet- en regelgeving (waarschijnlijkheid/impact).

Overigens vindt risicoanalyse voortdurend plaats, omdat alle bevindingen aanleiding kunnen zijn om de aanpak bij te stellen. Onze risicoanalyse is opgenomen in bijlage 4. Recentelijk is de frauderisicoanalyse met de opgebouwde kennis binnen het IC-team herijkt. Als sluitstuk is hieromtrent in Q4 2024 een frauderisicoanalyse opgesteld. In deze bijlage wordt ook uiteengezet welke controlewerkzaamheden IC uitvoert om het geïdentificeerde frauderisico op te volgen. De frauderisicoanalyse zal herijkt worden wanneer noodzakelijk geacht wordt.

6

Controle aanpak In dit hoofdstuk is uiteengezet op welke wijze de Verbijzonderde Interne Controle vaststelt welke posten van de jaarrekening onderdeel moeten zijn van de controlewerkzaamheden. Vervolgens wordt uitgewerkt op welke wijze de algemene controleaanpak is ingericht. Tot slot wordt weergegeven op welke wijze de relevante posten (in scope) worden gecontroleerd door de VIC.

6.1

Kwantitatief significante processen Het doel van de (verbijzonderde) interne controle is het via interne controlewerkzaamheden vaststellen dat binnen de gemeente wordt gewaarborgd dat de financiële beheersmaatregelen, die binnen de significante processen plaatsvinden rechtmatig tot stand komen en getrouw wordt weergegeven. 13

Voordat verder wordt ingegaan op de inhoud van deze paragraaf wordt kort omschreven wat wordt verstaan onder kwantitatief significante processen. Kwantitatief significante processen zijn alle processen die op basis van hun financiële omvang, gelijk of groter zijn dan de uitvoeringsmaterialiteit. Doordat de financiële omvang van deze processen minstens gelijk is aan de uitvoeringsmaterialiteit, bestaat het risico op een materiële afwijking door fouten. Om te voorkomen dat het totaal van niet-gecorrigeerde en niet gedetecteerde afwijkingen het materialiteitsniveau voor de financiële overzichten als geheel overschrijdt, zijn alle kwantitatief significante processen onderdeel van de controlewerkzaamheden van de (verbijzonderde) interne controle. De kwantitatief niet significante bedrijfsprocessen worden in een periodiciteit van vier jaar wel in de interne controle betrokken. De kwantitatieve significante processen zijn de processen waarbinnen zich financiële beheersmaatregelen voordoen, die leiden tot financiële mutaties in de jaarrekening én waarvan de absolute financiële jaaromvang van deze mutaties (baten, lasten of balansmutaties in €’s) groter of gelijk is aan de interne controletolerantie (≈ € 5,0 mln.), zoals besproken in paragraaf 4.2.

Alleen die processen zijn dus in de interne controle meegenomen als deze een absolute financiële jaaromvang hebben groter dan het absolute bedrag van 0,75% (=1% x 75%) van de begrote totale gemeentelijke lasten inclusief dotaties aan reserves van het te controleren begrotingsjaar 2025. Voor het bepalen van de absolute financiële jaaromvang van elk proces, is door de kwaliteitsmedewerkers Interne Controle aan de hand van het ‘IV3-overzichten van begrote/gerealiseerde baten en lasten per economische categorie’ de exploitatiebaten/lasten-posten nader geanalyseerd en zoveel mogelijk geclusterd naar de relevante gemeentelijke bedrijfsprocessen. Door deze werkwijze heeft Interne Controle kunnen beoordelen welke processen o.b.v. sec kwantiteiten wel of niet in de (verbijzonderde) interne (kwaliteits-)controle van het controlejaar 2025 betrokken moeten worden. Op basis van de bovenstaande methode zijn vanuit de begroting de materiële processen in kaart gebracht. Deze vormen de basis voor de interne controlewerkzaamheden 2025. We streven ernaar om van de niet materiële, laag risico processen eenmaal per 4 jaar de opzet van de interne beheersing te beoordelen. 6.2

Algemene controleaanpak Binnen de interne controle kennen we de volgende belangrijke controle-instrumenten: 1. Lijncontroles (opzet & bestaan) 2. Systeemgerichte werkzaamheden (bestaan & werking) 3. Gegevensgerichte werkzaamheden (werking) Lijncontroles Voor het verwerven van inzicht in de interne beheersingsmaatregelen wordt de opzet en bestaan van interne beheersmaatregelen van de materiële processen vastgesteld. Ten behoeve van het vaststellen van de opzet van de processen en de vraag of de beschreven opzet in werkelijkheid bestaat worden de volgende werkzaamheden uitgevoerd:  Verzoeken van inlichtingen bij collega’s teneinde kennis te nemen van de processen;  Het waarnemen van de toepassing van specifieke interne beheersingsmaatregelen; 14

 

Het inspecteren van documenten en rapportages; Het traceren van transacties met behulp van het informatiesysteem dat relevant is voor de financiële verslaggeving.

Een lijncontrole maakt als het ware een foto van de zichtbare werking van een interne beheersmaatregel op een bepaald tijdstip, maar zegt niets over de effectieve werking van de interne beheersmaatregel over de gehele controleperiode. Om de zichtbare werking van een interne beheersmaatregel over de gehele controleperiode vast te stellen, wordt als het ware een film gemaakt door middel van systeemgerichte of gegevensgerichte werkzaamheden. Systeemgerichte werkzaamheden Bij de systeemgerichte werkzaamheden wordt gekeken naar de inrichting van een proces. Wanneer er wordt gesteund op de werking van deze interne beheersmaatregelen, dan dient vastgesteld te worden dat de interne beheersmaatregelen over de gehele periode (jan – dec) effectief hebben gefunctioneerd. De getroffen beheersmaatregelen kunnen zowel preventief, detectief en/of repressief van aard zijn:  Preventief ziet toe op het nemen van maatregelen om te voorkomen dat het veronderstelde risico zich voordoet;  Detectie ziet toe op het identificeren van tekortkomingen in de interne beheersomgeving. M.a.w., als het veronderstelde risico zich heeft voorgedaan dient dit tijdig te worden ontdekt door de geïmplementeerde beheersmaatregelen;  Repressieve maatregelen zien toe op het nemen van corrigerende maatregelen om te voorkomen dat een risico dat zich in het verleden heeft voorgedaan zich nog eens zal voordoen.

Als wordt gekozen voor een systeemgerichte benadering dan is het van belang, om voor het bepalen van de omvang van de steekproef, inzicht te verkrijgen in de frequentie van de control. De VIC hanteert hiervoor het volgende schema: Frequentie van de IB-maatregel Veronderstelde populatie # te testen items Jaarlijks 1 1 Ieder kwartaal 4 2 Maandelijks 12 2 t/m 5 Wekelijks 52 5 t/m 15 Dagelijks 250 20 t/m 40 Tabel 6.1 bepalen omvang systeemgerichte controle

Gegevensgerichte werkzaamheden Kan de VIC niet steunen op de werking van interne beheersmaatregelen dan zijn we genoodzaakt gegevensgerichte werkzaamheden uit te voeren. Vanuit efficiëntie, zeker gezien de samenhang met de accountantscontrole, zal voor diverse processen een gegevensgerichte aanpak nodig zijn. Gegevensgerichte controles bevatten detailcontroles en gegevensgerichte cijferanalyses. In tegenstelling tot systeemgerichte controles, waar de nadruk primair ligt op het evalueren van de werking van de interne beheersmaatregel (i.e. of de controle technische functiescheiding 15

tussen het registreren, controleren en beschikken is gewaarborgd) over een specifieke periode, ligt de nadruk bij de gegevensgerichte controle voornamelijk op de vraag of transactiestromen, balansmutaties en toelichtingen getrouw en rechtmatig tot stand zijn gekomen. Het aantal te testen transacties bij gegevensgerichte werkzaamheden verschilt per stroom. In beginsel zal altijd eerst een financiële analyse uitgevoerd worden op de samenstelling van de financiële stromen binnen het proces en op basis daarvan de gegevensgerichte controleaanpak gekozen worden. Hierdoor ontstaat inzicht op de massa. Het voordeel hiervan is enerzijds dat het lerend vermogen van de organisatie bevordert en anderzijds dat er gerichter kan worden gecontroleerd. Wanneer t.b.v. de gegevensgerichte werkzaamheden een steekproef genomen dient te worden, dan wordt de SRA-steekproefmethode toegepast. Dit is een statistische tool die op basis van materialiteit en risico een aselecte steekproefomvang bepaalt. De steekproeven worden, onder toeziend oog van BDO, getrokken. Op deze manier kan BDO voldoende zekerheid verkrijgen over de heruitvoerbaarheid van de steekproef, de populatie en de uiteindelijke steekproefomvang. 6.3

Aansluiting auditfile Bij het maken van de financiële analyses per proces, het inzicht verkrijgen in de verschillende massa’s en het bepalen en trekken van de steekproeven is het noodzakelijk dat aansluiting bestaat tussen de verschillende processen. Hiervoor wordt een auditfile geëxporteerd uit SAP, in de auditfile wordt duidelijk en herleidbaar aangegeven hoe ieder kwantitatief significant proces zich verhoudt tot de andere processen. De auditfile geeft een standaardoverzicht per boekjaar van alle mutaties in de grootboekrekeningen. Hierbij wordt de aansluiting gemaakt met de exploitatie en de balans. Daarnaast wordt in de auditfile inzichtelijk gemaakt hoe de verschillende geldstromen of processen tot stand zijn gekomen. De auditfile is gedurende boekjaar 2024 nader gefinetuned en biedt nu een realistische en betrouwbare basis voor het uitvoeren van de financiële analyses per proces, met ingang van boekjaar 2025.

6.4

Aanpak per stroom/proces Voor de materiële processen en balansmutaties in scope is een controleaanpak bepaald. Hieraan ligt de risicoanalyse uit bijlage 4 ten grondslag (aan te vullen in Q4). De omvang en diepgang van de werkzaamheden wordt door de risico inschatting bepaald. De specifieke aanpak per stroom/proces wordt vastgelegd in separate controleplannen. Deze vloeien voort uit dit overkoepelende Interne Controleplan en maken een zichtbare verbinding met het normenkader ten behoeve van de werkzaamheden voor de rechtmatigheidsverantwoording.

6.5

Niet materiële processen In paragraaf 6.1 is aangegeven dat er ook processen bestaan die kwalitatief niet van materiële omvang zijn. Een voorbeeld hiervan is het proces PNIK dat van geringe omvang is, maar wel een hoog risico kent. De burgemeester is namelijk verantwoordelijk voor de beveiliging en het aanvraag- en uitgifteproces van rijbewijzen en reisdocumenten. De VIC voert dit jaar een review uit op basis van de werkzaamheden van de functionaris die belast is met het toezicht op de uitvoering van procedures en de beveiligingsmaatregelen.

16

7

Rapportages Interne beheersing en rechtmatigheid zijn essentiële componenten van onze organisatie. Hieronder volgt een overzicht van de maatregelen en rapportages die we implementeren om deze aspecten te waarborgen en te verbeteren.

7.1

Interne beheersing Eén van de doelstellingen van de VIC is het verkrijgen van inzicht, het vaststellen van het bestaan en controleren dat de interne beheersmaatregelen effectief hebben gefunctioneerd gedurende een bepaalde periode. Als tekortkomingen in de interne beheersing worden geïdentificeerd, is het van belang dat deze op passende wijze aan de met governance belaste personen en aan het management worden meegedeeld. Daarom stellen we voor elk proces in scope een ‘Interne Controle Rapportage’ op. In deze rapportage worden de geïdentificeerde bevindingen beschreven. In deze rapportage worden proceseigenaren geïnformeerd op welke punten van interne beheersing binnen het proces verbeteringen mogelijk/benodigd zijn. Zodra een concept rapportage gereed is, laten we de proceseigenaar meelezen en gaan vervolgens met hem/haar in gesprek over de rapportage. Op deze manier checken we nogmaals of we zaken juist hebben geïnterpreteerd, zijn we transparant naar de proceseigenaar en laten we zien dat we hun input belangrijk vinden. Na overeenstemming worden de rapportages per mail van akkoord voorzien en ontvangt de Directie een overkoepelende rapportage. Met ingang van boekjaar 2025 worden de rapportages niet meer fysiek ondertekend door de betrokken personen. Ook wordt aandacht geschonken aan de opvolging van de adviezen van voorgaand jaar.

De gegeven adviezen vanuit Interne Controle in 2025 zijn opgenomen in bijlage 5. We streven ernaar om na afloop van de interimcontrole richting DT en College te rapporteren over de adviezen die we hebben gegeven rondom de interne beersing. Hierbij zullen we aangeven welke nieuwe adviezen er zijn gegeven en wat de status is van de eerder gegeven adviezen. Dit zal met ingang van controlejaar 2025 de vorm hebben van een overkoepelend Excel-bestand waarin alle adviezen en voortgang hierop opgenomen zijn. Op deze manier hopen wij op een gestroomlijnde en eenduidige manier de voortgang van adviezen te kunnen monitoren.

7.2

Rechtmatigheid De prioriteit van de rapportages is dat zij de rechtmatigheidsverantwoording van het College ondersteunen. De eindrapportage van de VIC is de input van de rechtmatigheidsverantwoording van het College. Vanuit de VIC wordt dit punt met de werkgroep Rechtmatigheidsverantwoording uitgewerkt, zodat de rapportagestroom efficiënt en effectief kan worden ingericht. Vanuit de VIC streven we ernaar met een halfjaarlijkse rapportage richting DT en College te gaan.

17

9

Bijlagen

Bijlage 1 – overzicht van de bevindingen van de managementletter 2024 Bijlage 1. Overzicht van de bevindingen van de managementletter 2024

Bijlage 2 – Accountantsverslag 2024 4.15.06 RA4362 gemeente Roosendaal - Accountantsverslag 2024.pdf

Bijlage 3 – Rechtmatigheidscriteria Bijlage 4. Rechtmatigheidscriteria.pdf

Bijlage 4 – Risicoanalyse Bijlage 4. Risicoanalyse

Bijlage 5 – Adviezen IC Bijlage 5. Monitoring bevindingen accountant en VIC JR2024 (snapshot 28-10-2025)

Bijlage 6 – Normenkader Rechtmatigheid Normenkader Rechtmatigheid.pdf

18