[22bb007377] Bijlage behorende bij 22bb7376 over uitwerking optimale controleaanpak

Uitwerking Optimale controleaanpak Werkelijke Controleaanpak (Sub-) Droces

2022

Optimale Controleaanpak

Nog te realiseren beheersmaatregelen/ verbeteracties

1a. A&V (proces)

Systeemgericht

Systeemgericht

Optimale controleaanpak is bereikt

1b. A&V — waardering/ balans

Gegevensgericht

Gegevensgericht

Optimale controleaanpak is bereikt

2. Inkopen

3. Aanbesteden

Gegevensgericht

Gegevensgericht en deels systeemgericht

1. Het "Prestatie Verklaringen vraagstuk" ligt bij de clusters waarbij opgemerkt is dat de 1. Handboek onder de aandacht blijven brengen. Blijven trainen en controle op een goede PV niet via het systeem te borgen is ^ dat blijft opleiden 2. Afstemmen met AC gegevensgericht. 2. Door data analyse door de lijn uit te laten voeren zou naar systeemgericht kunnen 3. Bepalen hoe we die toets willen organiseren inclusief impact op Dat is nu bij de PV < 6 500^ het geval. Voor daarboven blijft het gegevens gericht. organisatie Accounting Centraal deze laten voorselecteren zodat control die data systeem gericht 4. Controle op juistheid PxQ aantoonbaar maken. Laten motiveren Systeemgericht en kan controleren. 5. Implementeren GRC module plus exploreren extra mogelijkheden deels 3. PxQ is wel goed geborgd in Oracle. Staat P en Q in offerte en offerte zit erbij is het te gegevensgericht controleren ^ Toets op correcte prijs zichtbaar maken 4. 1 6 orders blijft altijd een risico ^ controleren op 1 6 euro's en het aantal 1 6 orders minimaliseren. 5. Inzetten van de GRC (Governance, Risk, Compliance) module door Great op structureel blijven sturen op systeemgericht controleren

1. De oude contracten verlopen vanzelf. Daar gaan we geen actie op ondernemen. De interne beheersing van contracten vanaf 1-1-2020 is voldoende voor systeemgerichte controle. 2. Verrijken van Negomatrix naar Oracle verbeteren. 3. Het kunnen muteren van contracten, na goedkeuring in UCM (Uniform Contracten Managen), door FO medewerkers moet dichtgezet worden. Uitzoeken of dat in UCM kan omdat in Oracle niets aangepast wordt Systeemgericht en 4. Berekening van de werkelijke onrechtmatigheid vanuit het JEO zal gegevensgericht deels gecontroleerd moeten worden. Accounting Centraal (AC) kan dat 1 keer per jaar gegevensgericht onderzoeken en dan kan het voor FA systeemgericht opgepakt worden 5. Losse opdrachten uit contracten is gegevensgerichte controle. Er is geen systeem koppeling met de prijs en ook indexeringen vanuit contracten opnemen in de inkooporders kan beter zodat systeemgericht mogeljk wordt 6. Inzetten van de GRC module door Great op structureel blijven sturen op systeemgericht controleren Acties per procesonderdeel:

4. Betalingsorganisatie

Systeemgerichten deels gegevensgericht

Stappen (Smart)

Betalingen uit ONS (orimair systeem): Vanuit proceseigenaar Betalingsorganisatie wordt samen met het Cluster onderzocht wat nodig is om dit procesonderdeel, Betalingen uit ONS (primair systeem), centraal onder te brengen. Overioe belanoriike onderwerpen: 1. Nader overleg over cyberrisico's en opties voor aanvullend gegevensgerichte werkzaamheden. 2. Onderzoeken vanuit het proces Betalingsorganisatie of er oneigenlijke taken zijn belegd bij Accounting. De processen Treasury, Kredietbank en de Debetkaarten vallen buiten de invloedsfeer van Accounting. 3. De focus ligt op de beheersmaatregelen in de processen met de grootste geldstromen, zodat de optimale controleaanpak zo spoedig mogelijk kan worden bereikt. Systeemgericht

Planning

1. Gereed 2022 2. Plan gereed 2022 3. Plan gereed 2022, uitvoering 2023 4. Plan gereed 2022 pilot 2023 uitvoering 2024 5. 2024 gereed

Status/ voortgang

1. Handboek gereed, trainingen worden gehouden inclusief e-learning 2. In behandeling 3. Gesprekken worden gevoerd 4. Gestart 5. Inrichting op huidige werkwijze gestart. Exploratie toekomst mogelijkheden nog starten. Opnemen in functionele stroom.

1. Geen actie benodigd 1. Gereed 2. Speciaal team binnen de afdeling met de juiste expertise opgericht. 2. Geïnstalleerd en operationeel 2022 3. Alleen door admins binnen FO laten muteren.Dichtzetten in Great 3. 2022 beperkt muteren mogelijk geregeld. 2023 4. Afstemmen met Accounting Centraal en laten regelen met FA Inventarisatie en communicatie in gang zetten. 2024 5. koppeling met contractbeheer verbeteren dichtzetten in Great 6. Implementeren GRC module plus exploreren extra mogelijkheden 4. 2023 gereed 5. 2024 gereed 6. 2024

1. Blijven volgen 2. Gereed 3. Conform planning 4. Nog starten 5. Gestart 6. Inrichting op huidige werkwijze gestart. Exploratie toekomst mogelijkheden nog starten. Opnemen in functionele stroom.

Stappen binnen de procesonderdelen: Planning per procesonderdeel: Betalingen uit ONS (primair systeem): Betalingen uit ONS (primair systeem): - ONS vragen om een analyse te maken van de huidige stand van 30-11-2022 zaken en daarna gezamelijk komen tot een gedetailleerd plan van aanpak. Overige belangrijke onderwerpen: Overioe belanoriike onderwerpen: 1. 31-12-2022 1. Bij de inrichting van de GRC (Governance, Risk & Compliance) 2. 01-01-2024 3. 30-11-2022 module binnen Oracle Cloud worden de Cyber risco's meegenomen. Op basis van de opgave van FA is het doel deze risico's mee te nemen in het spoor GRC module in Project Great. 2. Samen met FA nagaan of, in het kader van uniformiteit, binnen het proces Betalingsorganisatie eenzelfde inrichting opgezet kan worden als voor het Proces Verkoop en Facturatie waarbij de taken zijn ondergebracht bij de afdelingen die uiteindelijk verantwoordelijk zijn voor dit proces. Parallel wordt de vraag gesteld aan het afdelingshoofd van Accounting over het hoe om te gaan met taken die buiten de invloedsfeer van Accounting liggen en of het wenselijk is om de processen hierop in te richten. Vanuit team Accouting Centraal wordt hiervoor een gesprek geïnitieerd. 3. FA brengt samen met de teamleider Liquide middelen in kaart brengen wat nu de grootste geldstromen zijn.

Betalingen uit ONS (primair systeem): Loopt

Voor de processen HB (handmatig betalen)-tool betalingen van cluster W&I en cluster MO en de overige betalingen via HB-tool gaan het controleteam Financial Audit, proceseigenaar Liquide middelen, teamleider Liquide middelen en IT-team FA om tafel om te bespreken wat nog gedaan moet worden om een systeemgerichte controle in de toekomst mogelijk te maken.

Uitwerking optimale controleaanpak-totaalovz-def

Overige belangrijke onderwerpen: 1. Nog op te starten 2. Loopt 3. Nog op te starten

Werkelijke Controleaanpak (Sub-) Droces

2022

Optimale Controleaanpak

Nog te realiseren beheersmaatregelen/ verbeteracties 1. Actualisatie van het beheerplan 2. Verfijning en verduidljking procesbeschrjvingen nav IT audit en ljncontroles 3. Inrichting beslisboom en conflictenmatrix om inzicht te verschaffen in risico's bij Acces management 4. Opstellen van een legenda voor de release actielijst om inzicht verschaffen in risico's bij Change management 5. Verbeteren van de monitoring op regressietesten. 6. Verkenning van een verandering van onder andere de bruto-netto controles

5. HR

Gegevensgericht

6a. Verstrekte subsidies

Gegevensgericht en deels systeemgericht

Systeemgericht

Status/ voortgang

7a. Gunning mobiliteitsplatform in oktober 2022. Implementatie van fase 1 op 1januari 2023. 7b. Eind oktober volgt besluit of alle vormen van reiskosten via het mobiliteitsplatform geregistreerd zullen worden en daarmee voor een groot deel uit de salarisadmnistratie zullen verdwijnen. Dan zal ook duidelijk worden of voor dit onderdeel de systeemgerichte controle pas in een later stadium gerealiseerd kan worden

7. Implementatie fase 1 reiskosten OV op 1januari 2023 Project loopt en mogelijk vervolg van alle vormen van reiskosten op 1 april 2023 via de applicatie van het nieuwe Mobiliteitplatform. Systeemgerichte controle op onderdeel reiskosten in 2024

* Actualiseren controlelijsten en werkinstructies voor 1. medewerkers subs.administratie, 2. FR en 3. beleidsadviseurs en kwaliteitscontroleurs

1. Actualiseren; 2. Afstemmen en akkorderen

Oktober 2022

In uitvoering

*

Communiceren geactualiseerde controlelijsten en werkinstructies

1. Kenniscafe voor beleidsadviseurs, kwaliteitscontroleurs en FR medewerkers 2. Nieuwsbrief FR 3. Kwaliteitsgroep ^ beleidsadviseurs en kwaliteitscontroleurs

1 en 2. november 2022 ; 3. okt en dec 2022. Communicatie en bewustwording is bovendien een continu aandachtspunt

Te starten

*

Interne beheersing afgrenzing geboekte subsidielasten verbeteren

1. Kenniscafe voor beleidsadviseurs, kwaliteitscontroleurs en FR medewerkers 2. Nieuwsbrief FR 3. Kwaliteitsgroep ^ beleidsadviseurs en kwaliteitscontroleurs

1 en 2. november 2022 ; 3. okt en dec 2022. Communicatie en bewustwording is bovendien een continu aandachtspunt.

Te starten

Systeemgericht * Taken ingebouwd in subsidiesysteem ter bevordering van getrouw en rechtmatig verstrekken van subsidie.

Nieuwe taken geimplementeerd: 1. controleer of dejuiste Eindjuli 2022 gerealiseerd subsidievorm is geselecteerd en 2. geef aan of een tussentijdse rapportage wordt gevraagd (alleen getoond bij subsidiebedrag boven de 4 100.000, conform SVR).

Gereed

* In beeld brengen van de stroom subsidies die niet via de systeemgerichte aanpak kunnen worden meegenomen.

1. In kaart brengen van de stroom 2. Gegevensgericht blijven controleren

Eind 2022 gerealiseerd

Te starten

* GREAT: binnen het project worden de mogelijkheden onderzocht van het toevoegen van controleljst/checklist (overzicht van te controleren aspecten) in het nieuwe subsidiesysteem.

Heden t/m dec 2023 wordt het nieuwe systeem ontworpen, gebouwd en getest. Inrichten controls (o.a. checklist te monitoren subsidies)

Verwachte livegang op 1-1-2024.

In uitvoering

1. Vooronderzoek verbreding/professionalisering KIC

Q42022

2. Kostenbaten analyse

Q1 2023

3. Implementatie verbreding/professionalisering KIC (na positief besluit o.b.v. kostenbaten analyse)

2023

4. Start nieuwe werkwijze KIC (proefjaar) Z implementeren verbeterpunten

2024

Gegevensgericht

Gegevensgericht

Optimale controleaanpak is bereikt.

7. Belastingen en heffingen

Systeemgericht

Systeemgericht

Optimale controleaanpak is bereikt.

*

Gegevensgericht en deels systeemgericht

Planning

7. Gunning en implementatie nieuw mobiliteitsplatform waardoor de vergoeding van OV reizen vanaf Ijanuari via deze applicatie plaats zal gaan vinden en mogeljk vanaf 1 april alle vormen van reiskostenvergoedingen via deze applicatie ipv direct in het HR en salarissysteem.

6b. Verstrekte bijdragen

8. Sociale uitkeringen

Stappen (Smart)

1. Actualisatie van het beheerplan door team PSK i.s.m. MT B&K, Toets op het beheerplan (1.), de procesbeschrijvingen Realisatie is in uitvoering. Acties worden in Q4 procesteams HR Beheer en FA (2.) en de beslisboom en conflictenmatrix (3.) door FA is afgerond 2. Verfijning van de procesbeschrijvingen met de procesteams HR in de afrondende fase. Vervolgafspraak met FA begin Beheer inclusief toetsing FA en implementatie van wijzigingen in de oktober. procesteams door de senioren van de procesteams. 1. Zie hierboven. 3. Inrichting beslisboom en conflictenmatrix door team PSK i.s.m. 2. Na concensus op de procesbeschrijvingen worden beleidsadviseurs inclusief toetsing FA en toepassing in de praktijk. deze ingebed in de uitvoering door procesteams. 4. Opstellen van een legenda voor de release actielijst door team PSK 3. Aanpassing in werkwijze is reeds injuli als pilot i.s.m. FA zodat duidelijk is op welke punten er daadwerkelijk een risico gestart. 4. Uitgangspunten voor de legenda zijn afgestemd met bestaat. 5. Verbeteren van de monitoring op regressietesten afgestemd binnen FA. Legenda wordt opgesteld door team PSK in oktober MT B&K en team KCO en belegd bij team KCO. met daarna toetsing door FA en implementatie in 6a. Verkenning van een verandering van de bruto-netto controles met oktober. team KCO, team PSK en FA. 5. Monitoring op regressietesten is is belegd. In oktober 6 b.

Verkenning van een verandering van de ISAE controle tussen gaan we deze monitoring in de praktijk toepassen team PSK en FA. 6a. Verkenning is gestart in september. 6b. Verkenning start eind oktober/begin november. Na de verkenningen 6a en 6b vindt nadere afstemming plaats om inzicht te krijgen in effecten op risicobeheersing. Deze worden aan het MT B&K voorgelegd zodat deze een afweging kan maken over een aanpassing van de controles.

Professionaliseren en verbreden van Kwaliteit in Controle (KIC)

Systeemgerichten deels gegevensgericht

Uitwerking optimale controleaanpak-totaalovz-def

Om de optimale controle aanpak te bereiken zijn er de afgelopen jaren een tiental deelprojecten gedefinieerd en in uitvoering gebracht. Voorbeelden daarvan zijn de BRP-Socrates maandrapportage om verschillen op te sporen tussen het uitkeringenbestand en de BRP en de verbetering van rapportages bij individualisering. Nieuwe inzichten hebben ertoe geleid dat de optimale controle aanpak (systeemgericht en deels gegevensgericht) kan worden gerealiseerd door middel van het professionaliseren en verbreden van KIC. Hier ligt nu de focus op voor aankomendejaren. De overige deelprojecten hebben als doel om onze processen te beheersen en te verbeteren. Onderzocht moet worden hoe we hier invulling aan kunnen geven, wat er precies verbreed gaat worden en wat hiervoor nodig is. Onderdeel van dit onderzoek betreft ook een kosten/baten analyse om te bepalen of met deze nieuwe route de optimale controle aanpak bereikt kan worden.

Werkelijke Controleaanpak (Sub-) Droces

9. Wmo

2022

Gegevensgericht

Optimale Controleaanpak

Nog te realiseren beheersmaatregelen/ verbeteracties

Stappen (Smart)

1. Doorontwikkelen Kwaliteit in Controle (KlC)-aanpak

la. Onderzoeken in hoeverre gesteund kan worden op informatie die KIC oplevert lb. Zichtbare opvolging constateringen uit KIC-aanpak

2. Juistheid en vastlegging tarieven

2a. Tijdige vaststelling nieuwe tarieven (vóór start nieuwejaar) 2b. Tijdige vastlegging nieuwe tarieven in systemen (vóór start nieuwejaar) 2c. Onderzoek naar toepasbaarheid regressietesten controle op vastleggingjuiste tarieven 2d. Zichtbare controle op vastlegging nieuwe tarieven 2e. Periodiek uitvoeren regressietesten op tarieven in systemen

Systeemgerichten deels gegevensgericht

3. Uniforme werkwijze voor vastlegging en registratie in GIDSO

Planning

Status/ voortgang

- 2022: implementatie Sorga + onderzoek inzet KiC in controeaanpak

- 2023 uitzoeken / inventariseren wat er nodig is realiseren beheersmaatregelen 1. en 2.

3a. Quickscan GIDSO door IT Auditors over welke verbeteringen binnen GIDSO nodig zijn voor een systeemgerichte controle.

- 2023: start maken met uitwerking uniforme vastlegging GIDSO

3b.Nagaan bij de lijn wat de wensen en mogelijkheden zijn om het vullen van bepaalde velden in GiDSO af te dwingen.

- 2024:implementatie uniforme vastlegging GIDSO

3c. Wijzigingen doorvoeren in GIDSO t.b.v. uniforme vastlegging en registratie.

- 2025: start optimale controleaanpak

Toewerken naar data gedreven / informatie gestuurd werken in het zorgleveringsproces voor Wmo en Jeugd. Dit vraagt / vereist een gestructureerde en uniforme werkwijze, zodat alle opgeslagen data op een gelijke manier is opgebouwd. Dit wordt belemmerd door de vrijblijvende wijze van registratie binnen GIDSO.

3d. Aanpassen werkprocessen en -beschrijvingen op nieuwe werkwijze De overgang van Oracle naar Great is het moment om nadere stappen te formuleren die bepalen of en hoe we een systeemgerichte aanpak vorm gaan geven. De

A. 2023: in samenwerking met het project Great vaststellen welke onderdelen van het vastgoedproces zich lenen voor systeemgerichte controle of niet. B. 2024: vaststellen plan van aanpak nieuw vastgoed beheersysteem. C. 2025: start aanbesteding nieuw vastgoedsysteem. D. 2026: implementatie nieuw vastgoedsysteem

A. 2023: vaststellen wat Great betekent voor systeemgerichte controle B. 2024: opstellen PVA nieuw vastgoed beheersysteem. C. 2025: uitvoeren aanbesteding nieuw vastgoedsysteem. D. 2026: uitrol nieuw vastgoedsysteem. E. afhankelijk van de uitkomsten vanaf 2026 of 2027 systeemgerichte controle mogeljk op de belangrijkste vastgoedprocessen

1. Verkrijgen zekerheid tav werking alle uit voorgaande boekjaren uitgevoerde beheersmaatregelen die hebben geleid tot een transactie in het lopende boekjaar. (zie 1e interimrapportage FA 2022) 2. Zichtbare toets op staatssteunwetgeving.

la. Onderzoek bij audit functie hoe deze zekerheid kan worden verkregen en hoe deze kan worden geïmplementeerd. lb. Implementeren van de resultaten van het onderzoek. 2a. De lijn heeft een besluit genomen over het zichtbaar maken van de toets. 2 b. Implementatie van de aanpak/ verbetermaatregelen

1. Nog nader te bepalen, maarjanuari 2023 moet mogeljk zijn. Hierbij geldt dat dit een beheersmaatregel is die ook achteraf kan worden uitgevoerd. 2. Uiterljk eind 2022

Optimale controleaanpak is bereikt. Mogelijk kan deze ook systeemgericht. Hiervoor heeft KBV haar auditplan bij FA en PwC aangeleverd. Een vervolggesprek wordt ingepland door FA om dit verder te bespreken. Acties vanuit het cluster zijn hierop niet meer nodig.

Onderzoek loopt. Wordt onderzocht door de 3e lijn en accountant. Geen actie meer nodig vanuit de 1e lijn.

1. Invoering nieuw pakket ter vervanging van EPC 2000.

1. Schrijven van een projectplan. 2. Bepalen eisen aan nieuw systeem. 3. Uitvoeren marktbenadering 4. OTAP-fase 5. Overgangsfase (uitfasering epc 2000) 6. Aanpassen uitvoeringsproces

vastgoedadministratie wordt nu gevoerd in Oracle Property Management en zal na de uitrol van Great nog maar enkele jaren beschikbaar zijn. Daarom zal in 2024 moeten worden gestart met het opstellen van een programma van eisen voor een nieuw property management systeem, dat systeemgerichte controle mogeljk maakt. Daarna zal de aanbesteding daarvan plaatsvinden, zodat uiterljk in 2026 de nieuwe applicatie van het property managment systeem een feit zal zijn. Tot die tijd gelden voor de deelprocessen het volgende:

10. Vastgoed

Gegevensgericht

Systeemgericht

11a. Grondexploitaties — overige beweringen

Gegevensgericht en deels systeemgericht

Systeemgericht

11b. Grondexploitaties — waardering

Gegevensgericht

Gegevensgericht

11c. Erfpacht

Gegevensgericht

Systeemgericht

12a. Verkoop en facturatie - Accounting

Gegevensgericht

Gegevensgericht

Zie 'stappen' en 'planning'. De aanbevelingen van PWC (jaarrekening 2021) en Financial Audit (1e interimrapportage) worden opgepakt.

* Proces Verkoop Dit wordt gegevensgericht gecontroleerd en dat blijven we doen, omdat dit efficiënter is. Het aantal dossiers is gering en bovendien wordt de hoeveelheid toekomstige verkooptransacties steeds kleiner (na 2024 marginaal). * Proces Verhuur: Tot nu toe is dit proces gegevensgericht gecontroleerd. Dat is voor de komende paar jaar verdedigbaar en onvermjdelijk gezien het feit dat er nog geen applicatie beschikbaar is die systeemgerichte controle mogeljk maakt. Bij het opstellen van het plan van aanpak voor de vervanging van great zal in het programma van eisen worden opgenomen dat de applicatie systeemgerichte controle moet faciliteren. Daarbij zal gewerkt worden met het 'nee tenzij principe' voor alle onderdelen van het proces Verhuur. Een voorbeeld van onderdeel dat zich prima leent voor systeemgerichte controle is de goedkeuringsflow bij nieuwe huurcontracten. * Property Management (VasteState): De gemeente heeft een deel van het propertymanagement uitbesteed aan VasteState. Een systeemgerichte controle is niet van toepassing. Juistheid over de volledigheid van opbrengsten wordt verkregen door de controleverklaring van de accountant van VasteState en de ISAE3402 type 2 verklaring. Als beheersmaatregel vinden op onderdelen gegevensgerichte controles plaats zoals cijferaansluitingen en objectaansluitingen, verbandscontroles en controle op de beheervergoeding.

Bij het opstellen van het plan van aanpak voor een nieuw systeem zal bepaald moeten worden of uitbestede werkzaamheden door derden van property management zich leent voor een systeemgerichte aanpak of niet.

Optimale controleaanpak is bereikt

Uitwerking optimale controleaanpak-totaalovz-def

Eind 2024 dient de vervanger van het nieuwe systeem beschikbaar. Hierna moet worden bekeken welke stappen te maken zijn in de uitvoering om naar een systeemgerichte controleaanpak te gaan.

Stap 1 loopt.

Werkelijke Controleaanpak (Sub-) Droces

12b. Verkoop en facturatie — Vervoer en Materieel

2022

Gegevensgericht

Optimale Controleaanpak

Nog te realiseren beheersmaatregelen/ verbeteracties

Stappen (Smart)

1. Implementeren Carwise systeem: ter vervanging van het twintigjaar oude ABS/AVS- 1. Projectplan systeem van leverancier Flipse. Deze vervanging zorgt voor verschillende 2. Marktverkenning verbeteringen en beheersmaatregelen. Het nieuwe systeem voldoet aan de eisen die 3. Programma van Eisen BCO-IIFO stelt aan moderne software en het past naadloos in de ICT architectuur van 4. Aanbesteden/gunnen de gemeente Rotterdam. 5. Implementatie A.Analyse 2. Herijken procesbeschrjvingen: de huidige processen zijn uitgebreid beschreven en B.Conversie worden waar dat noodzakelijk is aangepast/herschreven. De processen worden C.Inrichten D.Testen Systeemgericht en ondersteunt door functionaliteit in Carwise. Bijvoorbeeld de workflow module. Deze module helpt processen zo efficiënt mogelijk in te richten en/of aan te passen en de E.Opleiden deels 6. Go live gegevensgericht kwaliteit te waarborgen. Met de module digitaal ondertekenen is het mogeljk om 7. Fase 2 (aansluiting Oracle Great) autorisaties Z bevoegdheden optimaal en geautomatiseerd in te richten.

Planning

Status/ voortgang

2021 — Projectplan/PvE/Aanbesteding/Gunning

Stap 1 t/m 4: Afgerond

2022 — Implementatie

Stap 5: Onderhanden (testfase)

2023 - 1 februari — Live

Stap 6: Gepland

2023 — 2024 — Fase 2 (aansluiting Oracle Great)

Stap 7: Onderhanden (aansluiting Oracle Great)

3. Aansluiting bj Oracle Great: zo efficiënt mogeljk aansluiten op Oracle Great. Om de interface tussen Carwise en Great te realiseren wordt nauw samengewerkt met FJINK, FA en IIFO. Het deelproject financiën en teamleider FJINK is zeer proactief en is gestart met fase 2. Hier worden de eisen/wensen, mogeljkheden/onmogeljkheden geïnventariseerd en verwerkt in een voorlopig programma van eisen (PvE).

12c. Verkoop en facturatie — Parkeren

Gegevensgericht

1. er is een uitleg/procesomschrijving vanuit de accountmanager welke plausibel is en duidelijk aangeeft hoe ze omgaan met deze controle. Contracten 2. door veranderingen bij functioneel beheer is 1 Implementeren van een periodieke controle gericht op de actualiteit van de geen periodieke controle en zal de contractadministratie (analyse en opvolging van bevindingen) beheersmaatregel misschien aangepast moeten Bezoekers worden in de toekomst post 1,4 en 6 zou af kunnen zijn mid 2023 voor post 2 Implementeren van een periodieke controle gericht opjuistheid van autorisaties in 3. indien de BRP registratie op orde is, dan is Stappen betreft post 2, 3,5 volledig hieronder uitgeschreven, Stappen 2,3 en 5 planning zouals hieronder beschreven. applicaties (zijn aan medewerkers de juiste autorisaties toegekend) deze registratie alleen op huishouding, ons Invoering per mid/eind 2023 post 1, 4 en 6 begint bij toetsing.: 3 Vormgeven en implementeren van een controle gericht op het vaststellen of * Uitwerken proces(beschrjvingen) door team kwaliteitsbeheer * Uitwerken proces(beschrjvingen) gereed eind 2023 systeem werkt per adres. de systemen lezen Systeemgericht en terecht meerdere parkeerregelingen zijn toegekend aan 1 adres. elkaar dus niet.

deze zal niet dichtgezet kunnen met ondersteuningn van expertisecentrum processen (IIFO) * Toets procesbeschrijving door FA mid/eind 2023 Boetes deels worden, wel zou er besproken kunnen worden * Toetsprocesbeschrjving door FA * Beleggen activiteiten in de teams ä instructie en gegevensgericht 4 Implementeren van een periodieke controle gericht op het vaststellen dat de * Beleggen activiteiten in de teams ä instructie en begeleiding begeleiding medewerkers door team kwaliteitsbeheer hoe nu verder betreft controle of steekproeven. tarieven blijvend overeenkomen met de verordening. 4 er is door de productmanager een ^mid/eind 2023 medewerkers door team kwaliteitsbeheer 5 Implementeren van een (digitale) controle waarbij wordt vastgesteld dat de data procesomschrjving opgesteld waaruit een * Voorafgaand aan nieuwe controlejaar toetsing op werking door FA * Voorafgaand aan nieuwe controlejaar toetsing op uit de handhavings/scanauto'sjuist en volledig worden overgezet naar HAS. dusdanige controle is dat er geen periodieke werking door FA eind 2023 6 Implementeren van een controle gericht op het vaststellen van de aansluiting controle nodig is naar de wijziging welke tussen seponeringen in HAS en ONS jaarlijks gebeurd 5 in 2023 geen Ihandhaving en HAS meer en zal NB tekortkomingen ten aanzien van general IT controls zijn niet uitgewerkt.

dan een nieuw proces moeten komen 6 Templates waar deze informatie in verwerkt wordt zijn op te vragen

12d. Verkoop en facturatie - Bouwleges

Gegevensgericht

Gegevensgericht

Optimale controleaanpak is bereikt

13a. Ontvangen subsidies en bijdragen — gemeentefonds

Gegevensgericht

Gegevensgericht

Optimale controleaanpak is bereikt De werkwijze inclusief beheersmaatregelen dient zodanig ingericht en vastgelegd te worden in een actuele procesbeschrijving ter mitigering van de risico's.

13b. Ontvangen subsidies en bijdragen — IBS

Verbeteracties: x Implementeren van het IBS dashboard en daaruitvolgende werkzaamheden. Hiermee worden verbeteringen bereikt op het vlak van juistheid. Gegevensgericht

Systeemgericht

x Voorbereiden op invoering GREAT. Dit valt uiteen in twee onderdelen: - Het op onderdelen herschrijving van de procesbeschrijving, waardoor deze aansluit op de functionaliteiten en rollen in het nieuwe Oracle systeem, na invoering van GREAT. - Afhankelijk van de functionele mogelijkheden in Oracle na invoering van GREAT stappen zetten om verbetering te bereiken op het vlak van volledigheid.

14a. Treasury — kort geld

Systeemgericht

Systeemgericht

Optimale controleaanpak is bereikt

14b.Treasury - lang geld

Gegevensgericht

Gegevensgericht

Optimale controleaanpak is bereikt

15a. ITGC Concernbreed

Systeemgericht

Systeemgericht

Optimale controleaanpak is bereikt

15b.ITGC Clusterspecifiek

Gegevensgericht en deels systeemgericht

Systeemgericht

Stappen juistheid. 1. Uitwerken procesbeschrjving door team IBS 2. Advies procesbeschrijving door FA 3. Vaststellen procesbeschrijving door concernproceseigenaar 4. Beleggen beheersmaatregelen en werkzaamheden in het team 5. Actuele procesbeschrijving herschrijven n.a,v. nieuwe Oracle systeem. 6. Als onderdeel van project GREAT verkennen wat de mogelijkheden zijn in Oracle Cloud om de volledigheid te verbeteren. 7. Op basis van bovenstaande inzichten voorstellen doen om volledigheid te verbeteren op een efficiente wijze.

Invoering uiterlijk controlejaar 2024 Uitwerking procesbeschrijving is onderhanden. Procesbeschrijving gereed uiterlijk einde 2022 Inrichten dashboard is onderhanden. Dashboard gereed uiterlijk einde 2022 Beleggen beheersmaatregelen in het team in 2023 (focus verbeteren juistheid) Herschrijven procesbeschrijving (GREAT) in 2023 Aansluiting op project GREAT en voorstellen doen m.b.t. volledigheid. in 2023 met implementatie in 2024.

Zie tabel hieronder met verbeteracties per clusterspecifiek systeem

Uitwerking optimale controleaanpak-totaalovz-def

Aangesloten op project GREAT, fase familiarisatie.

Werkelijke Controleaanpak

Optimale Controleaanpak

Stappen (Smart)

Nog te realiseren beheersmaatregelen/ verbeteracties

Planning

Status/ voortgang

(Sub-) Droces

Benodigde verbeteracties voor het bereiken van de optimale controleaanpak - per clusterspecifiek systeem Applicatie/ Cluster

Access Management*

Change Management*

Nog te realiseren beheersmaatregelen/ verbeteracties

Stappen (Smart)

* Opstellen van een legenda voor de release actielijst om inzicht verschaffen in risico's bij Change management * Verbeteren van de monitoring op regressietesten

Opstellen van een legenda voor de release actielijst door team PSK * Uitgangspunten voor de legenda zijn afgestemd met realisatie is in uitvoering. Acties worden in Q4 i.s.m. FA FA. Legenda wordt opgesteld door team PSK in oktober afgerond met daarna toetsing door FA uiterlijk november.

Planning

Status/ voortgang

ADP Workforce (BCO)

*

Monitoring van logging

* Verbeteren van de monitoring op regressietesten afgestemd binnen MT B&K en belegd bij team KCO

* Monitoring op regressietestenis belegd. In oktober gaan we deze monitoring in de praktijk toepassen

In het vierde kwartaal zal een controleplan worden gemaakt op de monitoring van de logging

Q42022

Er zijn opnieuw verbeteracties uitgevoerd op de laatst benodigde beheersingsmaatregel bij Gouw/ONS: het monitoren van accounts met vergaande rechten. Deze generieke accounts zijn zoveel als mogelijk is omgezet in named user accounts, waardoor deze kunnen worden gemonitord.

ONS (DV)/ Gouw (DV)

De logging is verder geïmplementeerd en een belangrijke stap is afhankelijk van een specifieke Oracle versie. De verwachting is dat deze versie in oktober op de productieomgeving is geïnstalleerd. In het vierde kwartaal zal een controleplan worden gemaakt op de monitoring van de logging.

Q4 nieuwe ITGC rapport beschikbaar.

Niet van toepassing aangezien zowel access management als change management op orde zijn.

nvt

1. access management

bij beide maatregelen is het belang duidelijk en zal na de komende eind 2023 audit (eind oktober) besproken worden hoe dit vastgelegd zal worden

de maatrenelen deelnormenwaaron der het borgen van rechten. Dit proces zal uitgeschreven moeten worden, maar de streekproeven die hierin gedaan worden zullen ook moeten blijven.

1. Geen akkoord voor Livegang door de Productowner

1 is ingeregeld, en verbeterd

1. afgerond en geimplementeerd

I.Akkoord voor Livegang is nu geregeld. Akkoord wordt per mail gevraagd en akkoord wordt gearchiveerd.

Parksaver(SB)

2. Afwezigheid conflicterende autorisatiematrix

2 wekelijkse sessies evaluren

2. begin/mid 2023 afgerond.

2.Autorisatiematrix conflicterende autorisaties is gestart. Wekelijkse sessie van een uur. We verwachten hier over een half jaar mee klaar te zijn

Zie proces V&F Parkeren: Er wordt een nieuw systeem (Carwise) geimplementeerd ter vervanging van ABS/AVC welke een grote stap op het gebied van digitaliseringen en

Overgang naar digitaal accorderen en digitale dossiers

Februari 2023; fase 1 gaat live

ABS-AVS (SB)

aansluiting met Oracle

Januari 2024: koppeling met GREAT

Socrates (W&I)

ISA (SB)

Status is ongewijzigd: Zowel voor de opzet en bestaan van Socrates als applicatie als de opzet en bestaan voor het

2. change management

modernisering moet opleveren. Zie toelichting onder het proces Grex/subproces Erfpacht EPC2000 (SO)

*) gebaseerd op de status in het Eindrapport 2021 FA.

Uitwerking optimale controleaanpak-totaalovz-def