[22bb007367] Bijlage behorende bij 22bb7366 - Eerste boardletter 2022 d.d. 02 november 2022
Tekst van het document
0I
Boardletter
Inleiding Inhoudsopgave Onze kernboodschappen Interne beheersing Relevante onderwerpen Bijlagen
Boardletter
Gemeente Rotterdam Controle 2022 PricewaterhouseCoopers Accountants N.V. 2 november 2022
1
Boardletter
Inleiding
Inleiding
Inhoudsopgave Onze kernboodschappen
Gemeente Rotterdam T.a.v. het college van burgemeester en wethouders en de Commissie Onderzoek van de Rekening (COR) Postbus 70012 3000 KP ROTTERDAM
Interne beheersing Relevante onderwerpen Bijlagen
2 november 2022 Referentie: AZA264FPKN75-297079747-116 Geachte leden van het college en de COR, Graag presenteren we u hierbij onze boardletter met betrekking tot onze tussentijdse controle van de jaarrekening van uw gemeente voor het boekjaar dat eindigt op 31 december 2022. We hebben onze werkzaamheden uitgevoerd in overeenstemming met de (herziene) startnotitie 2022 en ons controleplan 2022. Onze tussentijdse bevindingen zijn gebaseerd op onze werkzaamheden tot en met 30 september 2022 en vooral gericht op de opzet en het bestaan van de processen. Onze zienswijzen, bevindingen en aanbevelingen zijn open en constructief besproken met de ambtelijke organisatie. Graag bespreken we de inhoud van dit verslag tijdens de COR-vergadering op 15 november 2022.
Mocht u vragen hebben, aarzelt u dan niet om contact met ons op te nemen. Wij zijn uiteraard graag bereid om de inhoud van deze rapportage nader toe te lichten. Hoogachtend, PricewaterhouseCoopers Accountants N.V. Dit document is elektronisch ondertekend door:
Martine Koedijk
Dit document is elektronisch ondertekend door:
Anton Eelco Gerritsma []
[]
M.J.A. Koedijk RA RE partner
drs. A.E. Gerritsma RA senior director
PricewaterhouseCoopers Accountants N.V., Fascinatio Boulevard 350, 3065 WB Rotterdam, Postbus 8800, 3009 AV Rotterdam T: +31 (0) 88 792 00 10, F: +31 (0) 88 792 95 33, www.pwc.nl PwC’ is het merk waaronder PricewaterhouseCoopers Accountants N.V. (KvK 34180285), PricewaterhouseCoopers Belastingadviseurs N.V. (KvK 34180284), PricewaterhouseCoopers Advisory N.V. (KvK 34180287), PricewaterhouseCoopers Compliance Services B.V. (KvK 51414406), PricewaterhouseCoopers Pensions, Actuarial & Insurance Services B.V. (KvK 54226368), PricewaterhouseCoopers B.V. (KvK 34180289) en andere vennootschappen handelen en diensten verlenen. Op deze diensten zijn algemene voorwaarden van toepassing, waarin onder meer aansprakelijkheidsvoorwaarden zijn opgenomen. Op leveringen aan deze vennootschappen zijn algemene inkoopvoorwaarden van toepassing. Op www.pwc.nl treft u meer informatie over deze vennootschappen, waaronder deze algemene (inkoop)voorwaarden die ook zijn gedeponeerd bij de Kamer van Koophandel te Amsterdam. ‘
2
Boardletter
Inleiding Inhoudsopgave Onze kernboodschappen Interne beheersing Relevante onderwerpen Bijlagen
Inhoudsopgave Inleiding
1
Inhoudsopgave
2
Onze kernboodschappen
3
Interne beheersing
4
Risicobeheersingsproces
5
Fraude en wet- en regelgeving
6
IT-risico's en interne beheersing
7
Cybersecurity en privacy
8
IT-beheersingsmaatregelen
9
Status per proces
10
Relevante onderwerpen
11
ESG en lokale overheden
12
Samenwerking
13
Bijlagen
14
Bevindingen per proces
15
Vereiste communicatie
16
3
Boardletter
Inleiding Inhoudsopgave Onze kernboodschappen Interne beheersing Relevante onderwerpen Bijlagen
Onze kernboodschappen 1. De uitkomst van onze evaluatie van uw interne beheersing is dat nog niet bij elk proces verbeteringen zichtbaar zijn. Het college heeft een inventarisatie uitgevoerd per proces van de stappen die nodig zijn in de interne beheersing om de optimale controleaanpak te kunnen realiseren. Wij adviseren de verbeterstappen vooral te koppelen aan de voordelen die dit voor de organisatie oplevert, bijvoorbeeld dat incidenten kunnen worden voorkomen. 2. De implementatie van GREAT is in de ontwerpfase. Ons valt op dat veel verbeteringen in de interne beheersing worden ‘opgehangen’ aan GREAT. Wij zien een risico dat GREAT daardoor een moeilijker beheerbaars project wordt. De beheersingsmaatregelen in het project (quality assurance) en de readiness assessment van concernauditing zijn belangrijk. Wij adviseren u daarbij om specifiek aandacht te schenken aan de verandering voor de gebruikers en voor de nieuwe regierol bij de overgang naar de cloud. 3. Door de huidige economische omstandigheden en stijgende prijzen kunnen belangrijke budgetoverschrijdingen of vertragingen ontstaan in projecten. Wij begrijpen dat de mogelijke effecten volop de aandacht hebben bij de organisatie.
Wij hebben met de organisatie afgesproken de effecten op de parameters voor de grondexploitaties tijdig (voor het actualiseren van schattingen in de jaarrekening) met elkaar te delen en te bespreken.
Dit rapport is opgesteld uitsluitend voor gebruik door de raad en het college van burgemeester en wethouders van de gemeente Rotterdam. Op dit rapport kan niet door derden worden gesteund aangezien derden niet op de hoogte zijn van het doel van de werkzaamheden en de resultaten onjuist kunnen interpreteren. Wij aanvaarden geen aansprakelijkheid, zorgplicht en/of verantwoordelijkheid jegens andere partijen dan gemeente Rotterdam.
4. Wij verwachten dat ook dit jaar het aantal SiSa-regelingen (specifieke uitkeringen) relatief hoog zal zijn en dat op een laat tijdstip helderheid over het aantal en de verantwoordingseisen ontstaat. Bij zowel de gemeente als PwC zijn maatregelen genomen om in control te blijven.
5. De SDG en klimaatparagraaf van gemeente Rotterdam zijn gevoed vanuit het bestaande beleid en de daaraan gekoppelde begrotingsdoelstellingen. Wij gaan graag het gesprek met u aan over hoe u de beweging andersom van SDG/klimaatrisico’s naar beleid en begrotingsdoelstellingen - kunt realiseren. 6. De afgelopen periode is een programma frauderisicobeheersing uitgevoerd. Het punt is bereikt dat dit nu onderdeel van de reguliere interne beheersing wordt. De uitdaging voor de concerndirectie en de clusters is om bewustwording en gewenst gedrag op elk niveau in de organisatie te realiseren. Wij adviseren de beheersing van frauderisico’s standaard onderdeel van de P&C-cyclus te laten zijn en daarbij periodiek eventuele incidenten te bespreken. Daarnaast adviseren wij hierover expliciet te rapporteren in de paragraaf bedrijfsvoering. In de controleverklaring zullen wij daarnaar verwijzen. 7. Wij hebben een goede samenwerking ervaren. Speerpunt voor de controle 2022 is om samen met FA op zoek te gaan naar vernieuwingen om de kwaliteit van uw interne beheersing en de controleaanpak met nieuwe technieken te verbeteren. Wij menen dat datagedreven interne beheersing en audits de toekomst zijn. Het blijkt echter steeds lastig om op korte termijn hierin voortgang te boeken. Wij adviseren om hier meer prioriteit aan te geven.
4
Boardletter
Inleiding Inhoudsopgave Onze kernboodschappen
Onze visie op uw interne beheersing Verbetering interne beheersing blijft onderhanden
Interne beheersing Risicobeheersingsproces Fraude en wet- en regelgeving IT-risico's en interne beheersing Cybersecurity en privacy IT-beheersingsmaatregelen Status per proces Relevante onderwerpen Bijlagen
Op basis van onze uitgevoerde werkzaamheden ten aanzien van de opzet en het bestaan van de processen hebben wij geen wijzigingen vastgesteld ten opzichte van de herziene startnotitie. De komende periode zullen wij de werking van de beheersingsmaatregelen vaststellen. Indien er hierdoor wijzigingen ontstaan in de controleaanpak, zullen wij dit via de voortgangsrapportage rapporteren. Vanuit onze analyse per proces zien wij ook dit jaar weer dat niet voor elk proces verbetering zichtbaar is. Door het college is in kaart gebracht wanneer de clusters verwachten de optimale controleaanpak te kunnen bereiken. Wij adviseren de verbeterstappen vooral te koppelen aan de voordelen die dit voor de organisatie oplevert, bijvoorbeeld dat incidenten kunnen worden voorkomen. Wij gaan de komende periode graag met u in gesprek over welke stappen er nodig zijn om de kwaliteit in uw interne beheersing te verhogen. Wij merken dat een aantal ontwikkelingen afhankelijk zijn van de implementatie van GREAT. Wij willen u erop wijzen dat het project GREAT omvangrijk is en daardoor complexer wordt. Het risico wordt versterkt dat bij een eerste implementatie niet alle doelstellingen worden gerealiseerd.
5
Boardletter
Inleiding Inhoudsopgave Onze kernboodschappen Interne beheersing Risicobeheersingsproces Fraude en wet- en regelgeving IT-risico's en interne beheersing Cybersecurity en privacy
Onze visie op uw risicobeheersingsproces De controleomgeving vormt de basis voor een goede opzet van de processen en effectieve werking hiervan. Hieronder hebben we uw interne controleomgeving geëvalueerd per onderdeel van de interne beheersing en geven wij u onze aanbevelingen. Onze conclusie is dat de elementen van de controleomgeving gezamenlijk een juiste basis vormen voor de andere onderdelen van de interne controle. Om de langetermijnambitie te realiseren, is het noodzakelijk dat u van de basis op orde naar meer preventieve maatregelen in uw interne beheersing gaat om het jaarrekeningproces en de stuurinformatie te verbeteren. Op hoofdlijnen moet u dan denken aan het vernieuwen van beheersingsmaatregelen door gebruik te maken van nieuwe technieken en meer datagedreven analyses. COSO-component
In de controleomgeving is duidelijk zichtbaar wie waarvoor verantwoordelijk is en welke taken en bevoegdheden hiertoe behoren. Zie ook de link.
2. Risicobeoordeling
Het college formuleert de basis van de risicobeoordeling en de controle vindt hierop plaats door FA; echter de focus van FA is op de vijftien kritische processen. Het is van belang om naast de processen de risico’s voor de gehele organisatie in kaart te brengen. Voor mogelijke ontwikkelpunten zie de link.
3. Controleactiviteiten
Proceseigenaren zijn verantwoordelijk voor het opstellen van de controleactiviteiten, inclusief plan van aanpak van schattingsposten. Zie ook de link.
4. Informatie en communicatie
Voldoende maatregelen voor het jaarrekeningproces. Om tot een hoger volwassenheidsniveau te komen is het van belang dat uw administratie voorspelbaarder wordt. Continue up-to-date informatie is van belang, meer dan alleen analyse achteraf.
5. Monitoring
Voor monitoring van activiteiten zie de link.
Relevante onderwerpen Bijlagen
Bevindingen en aanbevelingen
1. Controleomgeving
IT-beheersingsmaatregelen Status per proces
Mate van volwassenheid (*)
(*) De volwassenheidsclassificatie gaat van 1 (waar het onderdeel niet is ontwikkeld) naar 5 (waar het onderdeel op een geavanceerde manier is ontworpen). De volwassenheidsclassificatie is bedoeld om u inzicht te geven in uw risicobeheersingsproces op basis van het COSO-framework. Dit op basis van het inzicht dat wij van u hebben verkregen. Uw risicobeheersingsproces is niet door ons gecontroleerd of beoordeeld en als zodanig wordt er geen afzonderlijke garantie gegeven met betrekking tot de volwassenheid van uw risicobeheersing.
5I
Boardletter
Inleiding Inhoudsopgave Onze kernboodschappen Interne beheersing Risicobeheersingsproces Fraude en wet- en regelgeving
Controleomgeving 1. Controleomgeving
5. Monitoringactiviteiten
•
•
Het college toont een streven naar integriteit en ethische waarden. De raad oefent toezichtstaken uit. De gemeentesecretaris stelt structuur, autoriteit en verantwoordelijkheid vast. Het management toont een streven naar bekwaamheid. Raad en college dwingen verantwoording af.
IT-risico's en interne beheersing
• •
Cybersecurity en privacy
•
IT-beheersingsmaatregelen
•
Status per proces
2. Risicobeoordeling
Relevante onderwerpen Bijlagen
Koppeling tussen financiële en niet-financiële informatie. • Periodieke analyse op realisatiecijfers in plaats van één keer achteraf. • Meer focus op push left-model, zie link. 3. Controleactiviteiten
•
Zie link.
4. Informatie en communicatie
• •
Concerndashboard. Maandgesprekken.
•
Afdeling Concernaudit voert controles uit op doelmatigheid, FA-controle op getrouwheid en rechtmatigheid. Afdeling FA evalueert en meldt tekortkomingen in interne beheersing.
activiteiten, rapportage en naleving
1. Controleomgeving 2. Risicobeoordeling 3. Controleactiviteiten 4. Informatie en communicatie 5. Monitoringactiviteiten
6
Boardletter
Inleiding Inhoudsopgave Onze kernboodschappen
Fraude, omkoping en corruptie en het niet naleven van wet- en regelgeving
Interne beheersing Risicobeheersingsproces Fraude en wet- en regelgeving IT-risico's en interne beheersing Cybersecurity en privacy IT-beheersingsmaatregelen Status per proces Relevante onderwerpen Bijlagen
We hebben de evaluatie door de organisatie van frauderisico's en risico's in verband met het niet naleven van wet- en regelgeving beoordeeld. Met betrekking tot de identificatie van de significante frauderisico's constateerden we geen andere risicofactoren. Vooruitkijkend naar het opnemen van fraude in de controleverklaring zullen wij in meer detail controlewerkzaamheden uitvoeren op het bestaan van de interne beheersing rondom uw fraudepreventiesysteem. Specifiek kijken we naar: • de implementatie van de gedragscode; • uw frauderisicoanalyse; • de maatregelen van interne beheersing die getroffen zijn om specifieke frauderisico’s af te dekken; • de wijze waarop het management opvolging geeft aan meldingen van klokkenluiders of andere signalen van fraude; • het opstellen van een herstelplan en het uitvoeren en monitoren van de acties. Vanuit de reeds gevoerde gesprekken komt naar voren dat alle elementen van uw fraudepreventiesysteem aanwezig zijn. Wij adviseren u expliciet te rapporteren over uw frauderisicobeheersingsproces in het jaarverslag, aangezien de werkzaamheden die wij doen op frauderisico’s dit jaar ook expliciet worden genoemd in onze controleverklaring. De meeste clusters zitten momenteel op het niveau ‘oriënterend’ of ‘basis op orde’ in uw volwassenheidsladder frauderisicomanagement.
Uzelf als doel stellen om op korte termijn bij ieder cluster de volwassenheid met één niveau te verhogen gaat helpen bij het realiseren van de gewenste cultuur. Wij adviseren de beheersing van frauderisico’s standaard onderdeel van de P&C-cyclus te laten zijn en daarbij periodiek eventuele incidenten te bespreken. Het is een uitdaging om iedere laag in uw organisatie te bereiken. Om de leidinggevende in de organisatie hierbij te helpen, zien we graag dat de concerndirectie actief uitdraagt wat het betekent om voor de stad Rotterdam te werken. Elementen uit de (nieuwe) gedragscode benoemen geeft hierbij input.
7
Boardletter
Inleiding Inhoudsopgave Onze kernboodschappen
IT-risico’s en interne beheersing GREAT als fundament voor toenemende volwassenheid in interne beheersing
Interne beheersing Risicobeheersingsproces Fraude en wet- en regelgeving IT-risico's en interne beheersing Cybersecurity en privacy IT-beheersingsmaatregelen Status per proces Relevante onderwerpen Bijlagen
De gemeente Rotterdam maakt zich op voor de implementatie van het programma GREAT. Het project krijgt steeds meer vorm en moet een oplossing gaan bieden voor een groot aantal wensen en tekortkomingen. Vanuit onze rol zien wij binnen GREAT aandacht voor de inrichting van controlemaatregelen door specifieke werkstromen en de betrokkenheid van FA als sparringpartner op dit gebied. Tevens is er binnen het project aandacht voor de Governance Risk & Compliance (GRC) tooling als vervanger voor de huidige tool. Dit biedt de mogelijkheid om de interne beheersing verder te professionaliseren, doordat veel meer beheersingsmaatregelen (zowel financieel als logische toegangsbeveiliging) kunnen worden ingericht en gemonitord. Gezamenlijk met de nieuwe Identity and Access Management-oplossing (IAM) kan daarmee de volwassenheid van de interne beheersing met behulp van IT verder toenemen. Ons valt op dat GREAT in veel gevallen als ‘de oplossing’ voor tekortkomingen in de huidige processen wordt gezien. In onze ogen lijkt het dan ook een omvangrijk programma te worden. De verwachtingen zijn hoog en het zal, door deze omvang, een uitdaging worden om het project beheersbaar te houden. Wij onderschrijven daarbij het belang van de onafhankelijke project quality assurance rol en de readiness assessments die in de huidige projectstructuur door concernauditing wordt ingevuld.
Tegelijkertijd vragen wij uw aandacht voor de people & changecomponent, aangezien dit vanuit onze ervaring een factor is voor een succesvolle oplevering en adoptie van een grootschalig transformatieprogramma. GREAT gaat via een transformatie naar de cloud. Dit brengt grote veranderingen met zich mee voor de gemeente Rotterdam.
Zo wordt de gemeente meer afhankelijk van externe IT-dienstverleners en zal de focus (ook vanuit de interne beheersing) veel meer verschuiven naar Third Party Assurance (TPA), waarbij op basis van assuranceverklaringen (denk aan ISAE 3402) en/of certificeringen (bijvoorbeeld ISO 27001) belangrijke randvoorwaarden worden om de vereiste zekerheid te verkrijgen over beschikbaarheid, integriteit en vertrouwelijkheid van data en systemen. Derhalve vragen we ook blijvende aandacht voor een actief contractmanagement bij de implementatie van GREAT.
Risk, compliance and policy management
Change and configuration management
Privileged access monitoring
IT strategy and governance
Threat intelligence, patch and vulnerability management
Incident and crisis management
Identity and access management
IT risks
Backup and (disaster) recovery
Physical and environmental Third party management
8
Boardletter
Inleiding Inhoudsopgave Onze kernboodschappen
Cybersecurity en privacy Blijvend aandacht vestigen op uw cyberweerbaarheid
Interne beheersing Risicobeheersingsproces Fraude en wet- en regelgeving IT-risico's en interne beheersing Cybersecurity en privacy IT-beheersingsmaatregelen Status per proces Relevante onderwerpen Bijlagen
De gemeente Rotterdam erkent het toenemende cyberdreigingsbeeld en besteedt veel tijd en energie aan het voorkomen en detecteren van cyber- en privacy-incidenten. Wij zien dat de beveiligingsorganisatie actief werkt aan het beter detecteren en reageren op incidenten. Belangrijke ontwikkelingen gedurende 2022 zijn het nieuwe informatiebeveiligingsbeleid, de implementatie van een Identity Access Management-systeem (IAM) om toe te werken naar één digitale identiteit en het verder verstevigen van detectie/monitoring op kwetsbaarheden. Wij onderschrijven de ambitie van de gemeente om te groeien naar een organisatie waarbij informatiebeveiliging going concern wordt en in control is, in plaats van achteraf reageren op controles en incidenten. Het vergroten van de cyberweerbaarheid vraagt om een integrale aanpak en actieve betrokkenheid van clusters en directies. Wij adviseren de resultaten van de verschillende risicoanalyses en controles samen te voegen in een integrale cyber- en privacyrisicoanalyse en deze te integreren binnen het organisatiebrede risicomanagementproces. Blijf daarbij de betrokkenheid en het eigenaarschap van de clusters stimuleren. Blijf waarborgen dat er voldoende capaciteit en geld beschikbaar is en blijft voor informatiebeveiliging en privacy, zonder dat dit afbreuk doet aan de kwaliteit van de dagelijkse beheer- en onderhoudsactiviteiten door BCO-IIFO.
Blijf de voortgang van lopende kritische informatiebeveiligings- en privacyprojecten actief monitoren, waaronder het verbeteren van de netwerksegmentatie, de implementatie van IAM en het verder vergroten van het bewustzijn van medewerkers. We hebben begrepen dat er zich in 2021 een aantal cyberincidenten en datalekken heeft voorgedaan, maar dat dit geen grote incidenten betrof en dat deze geen impact hebben op de financiële verantwoording.
Wij adviseren daarnaast meer proactief aandacht te geven aan privacyrisico's en te waarborgen dat u meewerkend bent met de geldende wet- en regelgeving, waaronder de AVG. De gesignaleerde aandachtspunten in het Concern Auditing-rapport AVG (juli 2020) blijven voor een belangrijk deel van toepassing en vragen om noodzakelijke verbeteringen rondom beleid, processen, verantwoording, samenwerking, inbedding in de organisatie en rechten van betrokkenen. Geef als onderdeel van het lopende privacyverbetertraject verdere invulling aan de governance van de privacyorganisatie binnen de lijnorganisatie en proceseigenaren. Waarborg tevens dat privacy-by-design onderdeel wordt van lopende projecten en (systeem)implementaties.
Backup en recovery
Patch management
Beheer crediteurenstamgegevens
Cybersecurity Intrusion prevention/ detection and monitoring
Figuur: kritische cybersecurityrisico’s
Elektronische bankbetalingen
9
Boardletter
Inleiding Inhoudsopgave Onze kernboodschappen Interne beheersing Risicobeheersingsproces Fraude en wet- en regelgeving IT-risico's en interne beheersing Cybersecurity en privacy IT-beheersingsmaatregelen
Relevante onderwerpen Bijlagen
IT-beheersing concernbrede systemen stabiel, clusterspecifieke systemen blijven aandacht vragen In samenwerking met de afdeling FA hebben wij aandacht besteed aan uw IT-beheersing. De focus lag op het beoordelen van de beheersing rondom de IT-systemen die relevant zijn voor de jaarrekeningcontrole 2022. Dit met als doel vast te stellen in welke mate de gemeente Rotterdam de belangrijkste IT-risico’s beheerst. In de tabel rechts ziet u per IT-systeem of de geconstateerde tekortkomingen impact hebben op de controleaanpak voor het proces dat wordt ondersteund. Samenvattend zien we dat in 2022 de belangrijkste IT-beheerprocessen (wijzigingsbeheer, autorisatiebeheer en toegangsbeveiliging) voor de concernbrede systemen en clusterspecifieke systemen nagenoeg op hetzelfde niveau zijn gebleven als in 2021. Op detailniveau hebben wij echter bij enkele onderdelen, waar wij op kunnen steunen in de controleaanpak, verbetermogelijkheden geconstateerd. Dat hebben wij in de tabel hiernaast zichtbaar gemaakt met een **. Voor de gemeente Rotterdam betekent dit geen achteruitgang, maar eerder een herinnering dat de IT-risico’s (en de verwachte beheersingsmaatregelen) in beweging blijven. Wij benadrukken dat de verantwoordelijkheid voor het opvolgen van de bevindingen, ook op eventuele vervangende systemen, primair bij de clusters ligt, waar nodig ondersteund door BCO-IIFO.
Tekortkoming hoge auditimpact
Algemene IT-beheersingsmaatregelen
Tekortkoming beperkte impact Geen materiële tekortkoming
Wijzigingsbeheer
Autorisatiebeheer en toegangsbeveiliging
Continuïteit
Oracle EBS *
**
APRO *
AOL/Access Direct *
**
Cognos ***
ADP *
Gouw *
**
ONS *
**
EPC2000 ****
ABS & AVS
Parksaver
HAS/ISA
Socrates ****
n.v.t.
Beoordeling onderhanden
Concernbrede systemen
Clusterspecifieke systemen IT-systemen
Status per proces
Algemene IT-beheersingsmaatregelen
Ondersteunende IT-systemen Active Directory *
*
Interne beheersing rondom IT-systeem geeft voldoende aanknopingspunten voor een (deels) systeemgerichte controleaanpak van het proces dat het IT-systeem ondersteunt.
**
Aanbevelingen geconstateerd ter verbetering van het proces (bijvoorbeeld documentatie van beheersingsmaatregelen) die geen impact hebben op de geplande controleaanpak.
*** Cognos is uit efficiencyredenen in 2022 niet beoordeeld. Status op basis van 2021. **** De rapportages over EPC2000 en Socrates zijn recent aangeleverd; beoordeling nog gebaseerd op eerdere bevindingen. Acualisatie vindt plaats in tweede helft 2022.
10
Boardletter
Inleiding Inhoudsopgave Onze kernboodschappen
Risicobeheersingsproces Fraude en wet- en regelgeving IT-risico's en interne beheersing Cybersecurity en privacy IT-beheersingsmaatregelen Status per proces Relevante onderwerpen
Het college heeft een inventarisatie uitgevoerd per proces van de stappen die nodig zijn in de interne beheersing om een optimale controleaanpak te kunnen uitvoeren. Op dit moment wordt het totaalbeeld nog opgehaald. De verwachting is dat dit nog niet voor alle processen voor 2023 het geval zal zijn; voor een aantal processen zal dit een bewuste keuze zijn. Wij signaleren dat de uitvraag is gekoppeld aan de optimale controleaanpak. Dat is echter een afgeleide. Wij adviseren u om de verbeterslag meer te koppelen aan de voordelen voor de organisatie (bijvoorbeeld het voorkomen van incidenten).
Proces
Op de processen zitten een aantal detailbevindingen die wij nader hebben toegelicht, zie link. Klik hier voor een toelichting op het ‘three lines’-model. Het onderscheid in eerste en tweede lijn wordt niet in alle clusters gelijk gemaakt. In de tabel hiernaast en de genoemde toelichting worden deze daarom bij elkaar genomen. Wij adviseren u bij de evaluatie rondom de kadernota ‘sturen en verantwoorden’ het onderscheid scherper te definiëren, zodat de verschillende rollen elkaar versterken.
FYSIEK
Bijlagen
Op basis van de werkzaamheden die wij de afgelopen maanden hebben uitgevoerd zien wij dat de organisatie bezig is om de interne beheersing te verbeteren. Echter nog niet alle processen zijn op het gewenste niveau.
BEDRIJFSVOERING
Interne beheersing
Verbetering in interne beheersing nog niet overal zichtbaar
Legenda In opzet ontoereikend In opzet toereikend, maar één of meerdere beheersingsmaatregelen bestaan in de praktijk niet
Proces is adequaat opgezet en beheersingsmaatregelen bestaan *
Betreft een totaalbeeld over ITGC’s voor de centraal en bij de clusters beheerde systemen
** Zie details
SOCIAAL
Line of defence
T.o.v. 2021
Clusters
FA
Administratie en Verslaglegging
Inkopen Aanbesteden
HR
Betalingsorganisatie
Treasury
IT(GC)*
Grondexploitatie
**
Vastgoed
Ontvangen subsidies en bijdragen
Verkoop en facturatie
Belastingen en heffingen
Wmo/Jeugd
Sociale uitkeringen
Verstrekte subsidies en bijdragen**
10I
Boardletter
Inleiding Inhoudsopgave Onze kernboodschappen Interne beheersing Risicobeheersingsproces Fraude en wet- en regelgeving IT-risico's en interne beheersing
Wat is het ‘three lines’-model? Onze controleaanpak is naast het controleren van de jaarrekening gericht op het verbeteren van uw bedrijfsvoering inclusief digitalisering hiervan. In onze controle hanteren wij daarvoor het ‘three lines’-model. Dit model geeft handvatten om te beoordelen waar in de interne beheersing risico’s worden ondervangen.
IT-beheersingsmaatregelen
In de eerste lijn: in het primaire proces, onder verantwoordelijkheid van de proceseigenaar. In de tweede lijn: in de ondersteunende processen zoals financiën en control, waar checks and balances ingericht zijn om fouten te signaleren. In de derde lijn: in uw verbijzonderde interne controle achteraf.
Eerste/Tweede lijn
Derde lijn
Lijnmanagement
Interne controlefunctie
Clusters
De afdeling Financial Audit
Status per proces
Gemeente
Bijlagen
•
•
Cybersecurity en privacy
Relevante onderwerpen
•
• Primair verantwoordelijk voor getrouwheid en rechtmatigheid van transacties • Verantwoordelijk voor kwalitatieve analyse en toelichting P&C-producten • Optimalisering van de primaire processen
• Voert interne controles uit op de getrouwheid en rechtmatigheid van de financieelkritische processen
PwC
• Primaire controles op de eerste lijn
• Adviseert over verbetering in de eerste en tweede lijn
• Adviseert (met FA) preventieve interne controlemaatregelen in het primaire en ondersteunende proces en de IT
• Adviseert/klankbord om te komen tot een effectieve en efficiënte controleaanpak
• Geeft feedback om leesbaarheid/informatiewaarde P&C-documenten te verhogen
• Maakt waar mogelijk gebruik van de werkzaamheden van FA
• Geeft adviezen om effectiviteit controlewerkzaamheden te vergroten
Wij rapporteren via het ‘push-left’-principe Het ‘push-left’-principe is erop gericht de interne beheersing in de eerste en tweede lijn te optimaliseren. Dit vanuit het uitgangspunt dat fouten voorkomen beter is dan achteraf constateren. Indien er tekortkomingen zijn in de interne beheersing in de eerste en tweede lijn, dan zullen wij deze daarom rapporteren als bevinding, ook als deze in de derde lijn met verbijzonderde interne controle ondervangen wordt.
11
Boardletter
Inleiding Inhoudsopgave Onze kernboodschappen Interne beheersing Relevante onderwerpen ESG en lokale overheden Samenwerking Bijlagen
Relevante onderwerpen over accounting en controle Marktomstandigheden zorgen voor uitdagingen voor de gemeente
Implementatie van de rechtmatigheidsverantwoording ligt op koers
Het is een turbulente tijd en de gemeente Rotterdam staat voor grote uitdagingen. Door schaarste van mensen en materialen is er een trend van stijgende prijzen. Dit kan leiden tot budgetoverschrijdingen of serieuze vertragingen bij projecten. De hoge inflatie, toenemende rente en de stijgende (energie)prijzen vragen een solide toekomstplanning. Ook kan dit zijn weerslag gaan krijgen op het weerstandsvermogen.
Vanaf boekjaar 2023 moet het college de rechtmatigheidsverantwoording in de jaarrekening afgeven. Afgelopen jaar heeft de gemeente Rotterdam reeds proefgedraaid. Wij concluderen dat uw college op koers ligt voor de officiële implementatie.
Deze verslechterende economische ontwikkelingen hebben naast de acute hulpvraag van inwoners en vluchtelingen ook invloed op de waardering grondexploitaties en/of vastgoed. In onze controle besteden wij aandacht aan diverse elementen en betrekken dit in onze controleaanpak. Wij hebben afgesproken met de organisatie de effecten op de parameters voor de grondexploitaties tijdig (voor het actualiseren van schattingen in de jaarrekening) met elkaar te delen en te bespreken.
De Eerste Kamer heeft inmiddels ingestemd met de wetswijziging. Dit betekent dat wij over boekjaar 2023 de getrouwheid van de rechtmatigheidsverantwoording zullen toetsen. Nu zal ook de onderliggende regelgeving zoals het Besluit Begroting en Veranwoording provincies en gemeenten (BBV) en het Besluit accountantscontrole decentrale overheden (Bado) moeten worden aangepast, evenals dat de modelverordeningen 212, 213 en 213a worden geactualiseerd met de rechtmatigheidsverantwoording. Deze verordeningen moeten ook voor de gemeente Rotterdam worden geactualiseerd. SiSa-regelingen verdienen ook dit jaar extra aandacht
Opvang vluchtelingen Voor de opvang van vluchtelingen zijn extra kosten gemaakt in de gemeente. Hierover is de raad reeds geïnformeerd. De verantwoording vindt plaats via een aparte SiSa-regeling. Als accountant kijken wij extra mee in de verantwoording, aangezien de voorgeschreven voorwaarden op dit moment onduidelijk en complex worden geacht. De borging van de rechtmatigheid van de kosten heeft hierbij onze expliciete aandacht.
Afgelopen jaar zijn zowel de organisatie als de accountant verrast door de enorme toename van het aantal SiSa-regelingen. Naast de extra werkdruk die de regelingen met zich meebrengen, zijn het ook complexe regelingen. Door de complexiteit is soms specialistische kennis noodzakelijk en/of bestaan er gedurende de uitvoering van de controle nog onduidelijkheden met betrekking tot de toetspunten (vervolg volgende pagina).
11I
Boardletter
Inleiding Inhoudsopgave Onze kernboodschappen Interne beheersing Relevante onderwerpen ESG en lokale overheden Samenwerking Bijlagen
Relevante onderwerpen over accounting en controle Dit komt met name doordat het wettelijk kader vanuit het Rijk niet altijd helder is. Op dit moment is de definitieve SiSa-lijst voor de gemeente Rotterdam nog niet bekend. De verwachting is dat we dit jaar weer met relatief veel regelingen te maken krijgen, enerzijds omdat er regelingen doorlopen van afgelopen jaar en anderzijds door nieuw aangekondigde regelingen, zoals de crisisopvang van vluchtelingen uit Oekraïne. Bij zowel de gemeente als PwC zijn maatregelen genomen om in control te blijven.
Doorvertaling van het coalitieakkoord – vertaling van begroting en sturing organisatie
De herziene controlestandaard 315R over risico-inschatting van processen en beheersingsmaatregelen
In de tweede boardletter zullen wij nader ingaan op de sturing binnen de organisatie op deze ambities en de daaruit voortvloeiende doelstellingen.
Met ingang van 2022 is de herziene controlestandaard 315 van toepassing. De standaard richt zich op ‘het identificeren van risico’s van een materieel belang door inzicht te verwerven in de entiteit en haar omgeving’. We besteden meer aandacht aan een gemeentebrede, integrale risicoanalyse om beter op risico’s te kunnen inspelen. Kennis blijven nemen van relevante ontwikkelingen en gesprekken met de afzonderlijke clusters (primaire processen) zijn hierbij belangrijk. Verder is nader geduid ‘wat’ maar ook ‘hoe’ en ‘wanneer’ deze begripsvorming en risico-inschatting dienen plaats te vinden. Inmiddels hebben de verkennende en verdiepende gesprekken plaatsgevonden. Deze worden op dit moment concreet vertaald naar de werkplannen. Dit uit zich bijvoorbeeld in de bredere afweging ten aanzien van klimaatgerelateerde risico’s maar ook in de andere meer reguliere processen zoals de IT-beheersing en onderlinge afhankelijkheden binnen de processen. We verwachten hierbij aan te kunnen sluiten bij procesbeschrijvingen en risicoinschattingen van de gemeente Rotterdam. Het effect op de controleaanpak hebben wij nog in overweging.
Afgelopen jaar hebben de verkiezingen plaatsgevonden en is een nieuwe coalitie gevormd. Centraal in het coalitieakkoord ‘Eén Stad’ staan ambities voor een groene, schone en veilige stad, voor de bouw van veel betaalbare woningen, voor de aanpak van de energietransitie, voor het bieden van kansen aan alle Rotterdammers, voor het bestrijden van armoede en schuldenproblemen en voor het tegengaan van racisme en discriminatie.
12
Boardletter
Inleiding Inhoudsopgave Onze kernboodschappen
Relevante onderwerpen over accounting en controle ESG en lokale overheden
Interne beheersing Relevante onderwerpen ESG en lokale overheden Samenwerking Bijlagen
Lokale overheden hebben elke dag te maken met de drie ESG-thema’s. Overstromingen door heftige regenval (environmental), het beschermen van de privacy van burgers (social) en een cyberaanval op de IT-infrastructuur (governance). Lokale overheden doen al ongelooflijk veel op dit gebied, maar het maken en samenbrengen van beleid op de ESG-factoren wordt de komende jaren steeds belangrijker. Lokale overheden hebben daarbij een belangrijke rol in het behalen van de door Nederland internationaal afgesproken doelstellingen. De impact van lokale overheden op het realiseren van de klimaatdoelstellingen verdient het om zichtbaar te zijn, zowel qua resultaten als kosten en investeringen. Lokale overheden zetten al grote stappen op het gebied van ESG en nu is het tijd voor de volgende stap. Voor lokale overheden is geïntegreerde verantwoording noodzakelijk om alle inspanningen zichtbaar, vergelijkbaar en controleerbaar te maken. Volgens de door de Europese Commissie aangenomen richtlijn ‘Corporate Sustainability Reporting Directive’ (CSRD) moeten organisaties meer transparantie bieden op het gebied van duurzaamheid. Op den duur moet dit leiden tot regelgeving die duurzaamheidsrapportage op één lijn brengt met de financiële rapportage.
Voor lokale overheden is er nog geen richtlijn voor klimaatverslaggeving in ontwikkeling, bijvoorbeeld in het Besluit begroting en verantwoording provincies en gemeenten (BBV).
De gemeente Rotterdam is betrokken bij verschillende ontwikkelingen om vanuit het brede welvaartsbegrip en de SDG’s beleidsrelevante indicatoren te presenteren en verkent op welke manier de SDG’s kunnen worden toegepast, bijvoorbeeld in Doelen voor Doeners. De SDG- en klimaatparagraaf worden gevoed vanuit het bestaande beleid en de daaraan gekoppelde begrotingsdoelstellingen. Zo onderzoekt de gemeente Rotterdam hoe er in de nabije toekomst invulling kan worden gegeven aan een Voluntary Local Review (VLR) op de SDG’s. Wij gaan graag het gesprek met u aan over hoe u de beweging andersom, vanuit de SDG’s naar doelstellingen en beleid, kunt realiseren. Wij denken aan de volgende lijnen. Adviezen inzake duurzaamheidsverslaggeving voor lokale overheden •
•
•
Breng focus en concreetheid aan in de klimaat- en duurzaamheidsdoelstellingen waarop u wilt sturen, meten en controleren in deze coalitieperiode. Maak investeringen gekoppeld aan klimaat- en duurzaamheidsdoelstellingen apart zichtbaar om deze ook in de realisatie van de beleidsdoelstellingen mee te nemen. Maak inzichtelijk wat de klimaatrisico’s op de lange termijn voor financiële impact hebben op de gemeente Rotterdam (risicoregister).
Lees ook onze blog ‘Lokaal bestuur, maak impact van ESG-beleid zichtbaar’.
13
Boardletter
Inleiding Inhoudsopgave Onze kernboodschappen Interne beheersing Relevante onderwerpen ESG en lokale overheden Samenwerking Bijlagen
Het huidige controleproces, vernieuwingen en voorbereidingen voor de eindejaarscontrole Om aan uw behoeften te kunnen voldoen en het proces voor de jaareindecontrole verder te kunnen verbeteren, vinden we het belangrijk om het proces periodiek te evalueren en onze bevindingen met u te delen. Onze samenwerking In het eerste deel van het controlejaar hebben we een goede samenwerking ervaren van de gemeente (clusters, FINK, control en Financial Audit). De lijst met op te leveren stukken inclusief deadlines is goed met elkaar afgestemd en de specificaties zijn tijdig ontvangen; zie ook voortgangsrapportages. De basis van de op te leveren stukken waren diverse meetings waarin de werkplannen, inclusief risicoanalyses zijn besproken, gesprekken inzake mogelijkheden tot vernieuwingen, maar ook de wijziging in de controlestandaard 315.
Vernieuwingen in de audit essentieel voor de uitvoering van de jaarrekeningcontrole In het controlejaar 2022 staan ‘vernieuwingen’ centraal. Het gaat om vernieuwingen in de interne beheersing en de controleaanpak, bijvoorbeeld door het gebruik van data-analyse. Wij menen dat datagedreven interne beheersing en audits de toekomst zijn. Dat betekent dat we aan de slag willen gaan en nieuwe dingen proberen, mede op basis van ervaringen die we hebben opgedaan bij andere klanten. Wij adviseren om hier meer prioriteit aan te geven.
14
Boardletter
Inleiding Inhoudsopgave Onze kernboodschappen Interne beheersing Relevante onderwerpen Bijlagen Bevindingen per proces Vereiste communicatie
Appendices Bijlagen
05
15
Boardletter
Inleiding Inhoudsopgave Onze kernboodschappen Interne beheersing Relevante onderwerpen Bijlagen
Toelichting bevindingen per proces Proces
Clusters
FA
2022
2021
Toelichting
Inkopen
•
Wij hebben geconstateerd dat in de opzet van het proces inkopen ten opzichte van voorgaand jaar geen wijzigingen zijn geconstateerd.
Aanbesteden
•
Het aanbestedingsproces is niet significant gewijzigd ten opzichte van vorig jaar met uitzondering dat de populatie die door CAS gaat groter is dan afgelopen jaar. Wat concreet inhoudt dat de verhouding te controleren dossiers gegevensgericht versus systeemgericht komend jaar zal veranderen. Er zijn geen effectief werkende beheersingsmaatregelen actief die waarborgen dat er geen ongeautoriseerde wijzigingen worden aangebracht aan de initiële inkoopcontracten.
Bevindingen per proces Vereiste communicatie
•
15I
Boardletter
Inleiding Inhoudsopgave Onze kernboodschappen Interne beheersing Relevante onderwerpen Bijlagen
Toelichting bevindingen per proces Proces HR
Clusters
FA
2022
2021
Toelichting
•
Bevindingen per proces Vereiste communicatie • Betalingsorganisatie
•
•
Voorgaand jaar zagen we zichtbare verbeteringen in de inrichting van het systeem Workforce ADP maar konden we niet voor alle ITGC’s het bestaan vaststellen. Wij hebben dit jaar het bestaan van de interne beheersing rondom toegangs- en wijzigingsbeheer van het systeem Workforce ADP niet kunnen vaststellen. Dit betekent dat wij niet kunnen steunen op de ITGC’s. Op basis hiervan is conform de startnotitie gekozen voor een gegevensgerichte controleaanpak. Gelijk aan vorig jaar hebben we bij het testen van het bestaan van de beheersingsmaatregelen vastgesteld dat niet alle procesrisico’s afdoende worden afgedekt met de huidige beheersingsmaatregelen. De afdwingbaarheid (in het systeem) is van een aantal beheersingsmaatregelen niet ingeregeld. Als gevolg van de hiervoor genoemde punten zal de controle 2022 deels gegevensgericht plaatsvinden.
15II
Boardletter
Inleiding Inhoudsopgave Onze kernboodschappen Interne beheersing Relevante onderwerpen Bijlagen
Toelichting bevindingen per proces Proces
Clusters
FA
2022
2021
Toelichting
ITGC
•
Bevindingen per proces Vereiste communicatie
•
Ten opzichte van voorgaand jaar zijn er verbeteringen zichtbaar voor de concernbrede applicaties. Het proces is in opzet/bestaan hiervoor toereikend. Aandacht is nog vereist voor de clusterspecifieke systemen. Voor onze beoordeling inzake de algemene IT-beheersingsmaatregelen verwijzen wij u naar de algemene IT-beheersingsmaatregelen.
15III
Boardletter
Inleiding Inhoudsopgave Onze kernboodschappen Interne beheersing Relevante onderwerpen Bijlagen
Toelichting bevindingen per proces Proces
Clusters
FA
2022
2021
Toelichting
Vastgoed
•
Het proces vastgoed is verder ontwikkeld in 2022. Voor dit proces is de implementatie van een aantal beheersingsmaatregelen nog onderhanden. Dit heeft met name betrekking op de beheersingsmaatregelen die zijn ingeregeld in OPM. Echter zijn hier ten opzichte van 2021 ook alweer stappen in gezet en zien wij verbetering. We hebben dit proces in de opzet toereikend beoordeeld, maar één of meerdere beheersingsmaatregelen bestaan in de praktijk (nog) niet. Op basis van deze status controleren we voor het controlejaar 2022 het vastgoedproces gegevensgericht.
Ontvangen subsidies en bijdragen
•
De subsidieaanvragen worden via verschillende manieren aangemeld in het proces. Het kan voorkomen dat een subsidieaanvraag pas geregistreerd wordt op het moment dat de subsidiegelden al zijn ontvangen. Dit wordt gesignaleerd vanuit de analyse op ontvangen betalingen. Deze detective control mitigeert de leemte van een afgedwongen aanmelding vooraf. Gezien er historisch geen bevindingen zijn, is het rest risico acceptabel. Verdere standaardisatie in het aanvraagproces zal worden gefaciliteerd door de implementatie van GREAT. Echter zal de implementatie geen registratie vooraf gaan afdwingen omdat de aanvragen concernbreed lopen.
Bevindingen per proces Vereiste communicatie
•
15IV
Boardletter
Inleiding Inhoudsopgave Onze kernboodschappen Interne beheersing Relevante onderwerpen Bijlagen Bevindingen per proces
Toelichting bevindingen per proces Proces
Clusters
FA
2022
2021
Toelichting
Verkoop en facturatie (parkeren)
Diverse initiatieven zijn gestart en geïmplementeerd, maar op basis van het onderstaande, conform startnotitie, is gekozen voor een gegevensgerichte aanpak: • Niet alle beschreven beheersingsmaatregelen, om primair de juistheid, volledigheid en rechtmatigheid van de parkeeropbrengsten te waarborgen, blijken in de praktijk te bestaan. • Beoordeling rondom het systeem ISA is nog onderhanden, verwachting is dat de algemene IT-beheersingsmaatregelen rondom toegangs- en wijzigingsbeheer niet van voldoende niveau zullen zijn.
Verkoop en facturatie (vervoer en materieel)
•
Vereiste communicatie
•
Afgelopen periode gewerkt aan het verder ontwikkelen van de leemtes in het proces. Van één beheersingsmaatregel hebben we het bestaan niet kunnen vaststellen. Het systeem ABS/AVS wordt uitgefaseerd, daarom zijn er geen ontwikkelingen op dit gebied. Advies om tijdig te beginnen met de inrichting rondom toegangs-, wijzigings- en continuïteitsbeheer.
15V
Boardletter
Inleiding Inhoudsopgave Onze kernboodschappen Interne beheersing Relevante onderwerpen Bijlagen Bevindingen per proces
Toelichting bevindingen per proces Proces
Clusters
FA
2022
2021
Toelichting
Belastingen en heffingen
•
Grondexploitatie
•
Vereiste communicatie
•
•
(Grondexploitatie) Erfpacht
•
•
Binnen de systemen van GOUW en ONS wordt gewerkt aan het verder optimaliseren van de ITGC’s, met name op het gebied van toegangsbeheer. De controleaanpak 2022 is ongewijzigd gebleven ten opzichte van voorgaand jaar. Het proces is in opzet en bestaan niet dusdanig gewijzigd ten opzichte van voorgaand jaar. Aanbeveling uit voorgaande jaren om beoordelingscriteria dan wel een procedure waarmee zichtbaar de toets op naleven staatssteunwetgeving kan worden vastgelegd door de Markt- en Contractspecialist is opgevolgd gedurende 2022 en kan vanaf 2023 worden getest. Wij kunnen echter het bestaan hiervan niet in 2022 beoordelen. Aanbeveling conform voorgaand jaar om in de procesbeschrijving (uitgiften) de geïdentificeerde (significante) risico’s en interne beheersingsmaatregelen in beeld te brengen. De ITGC’s binnen het primaire systeem EPC 2000 zijn niet in opzet en bestaan effectief gebleken, derhalve wordt gekozen voor een gegevensgerichte aanpak. Aanbeveling conform voorgaand jaar om in de procesbeschrijving de geïdentificeerde (significante) risico’s en interne beheersingsmaatregelen in beeld te brengen.
15VI
Boardletter
Inleiding Inhoudsopgave Onze kernboodschappen Interne beheersing Relevante onderwerpen Bijlagen
Toelichting bevindingen per proces Proces Wmo/Jeugd
Clusters
FA
2022
2021
Toelichting
•
Bevindingen per proces •
Vereiste communicatie
•
Sociale uitkeringen
•
Diverse interne beheersingsmaatregelen in het proces, waaronder zichtbaar vastleggen van toetsen en uitgevoerde controles, worden in onvoldoende mate zichtbaar uitgevoerd. Wij hebben niet kunnen vaststellen dat een vierogenprincipe wordt toegepast op de verantwoorde voorzieningen binnen Socrates, gezien dit niet zichtbaar is binnen de applicatie. Op dit moment is het niet mogelijk om juist lijstwerk te verkrijgen uit de applicaties Socrates en Sorga. De organisatie werkt aan een juiste inrichting zodat dit per jaareinde wel mogelijk is. Er zijn geen wijzigingen in het proces sociale uitkeringen ten opzichte van voorgaand jaar. Er kan niet worden gesteund op de application controls en als gevolg hiervan wordt een aantal risico’s niet of onvoldoende door beheersingsmaatregelen afgedekt. Dit leidt ertoe dat de controle gegevensgericht uitgevoerd wordt.
15VII
Boardletter
Inleiding Inhoudsopgave Onze kernboodschappen Interne beheersing Relevante onderwerpen Bijlagen Bevindingen per proces Vereiste communicatie
Toelichting bevindingen per proces Proces Verstrekte subsidies en bijdragen
Clusters
FA
2022
2021
Toelichting
• • •
Ten aanzien van verstrekte bijdragen zijn de aanbevelingen opgevolgd. Werking van de beheersingsmaatregelen dient nog te worden vastgesteld. Ten aanzien van de subsidieverleningen dienen de uitkomsten van de lijncontrole nog te worden geëvalueerd. Afhankelijk van de uitkomsten van de werking van de application controls zal het proces systeemgericht worden gecontroleerd.
16
Boardletter
Inleiding Inhoudsopgave
Vereiste communicatie
Onze kernboodschappen Interne beheersing Relevante onderwerpen Bijlagen
Vereiste communicatie op grond van controlestandaarden
Controleplan
Mededeling over de verantwoordelijkheden van de accountant
Bevestiging van de onafhankelijkheid van PwC
Boardletter
Accountantsverslag
Eventuele significante tekortkomingen in de interne controle
Bevindingen per proces
Eventuele ontdekte of vermoede fraude
Vereiste communicatie
Niet naleven van wet- en regelgeving
Schriftelijke bevestigingen gevraagd van het management
Alle zaken die van invloed zijn op de vorm en inhoud van de controleverklaring
Standpunt van de accountant over belangrijke kwalitatieve aspecten van de verslaggeving door het college
Rapporteren over significante moeilijkheden, aangelegenheden en overige zaken die van belang zijn voor het toezicht op de financiële verslaggevingsproces
Niet-gecorrigeerde afwijkingen
Significante aangelegenheden die naar voren komen tijdens de controle in verband met verbonden partijen van de entiteit
Beschrijving van de reikwijdte en timing van de controle, waaronder significante risico’s