[23bb001235] Bijlage behorende bij 23bb001234 over Opvolging Aanbevelingen accountant en COR

Aanbeveling is afgerond

OPVOLGING AANBEVELINGEN COR EN ACCOUNTANT - 1 FEBRUARI 2023 Onderwerp

Nr. Aanbeveling

Informatiewaarde Jaarrekening

1

Doorontwikkeling organisatie

1

Doorontwikkeling organisatie

2

Doorontwikkeling organisatie

3

Doorontwikkeling organisatie

4

Doorontwikkeling organisatie

5

Doorontwikkeling organisatie

6

Frauderisicobeheersing Wij adviseren u expliciet te rapporteren over uw frauderisicobeheersingsproces in het jaarverslag (paragraaf Bedrijfsvoering), aangezien de werkzaamheden die wij doen op frauderisico’s dit jaar ook expliciet worden genoemd in onze controleverklaring. Beter en moderner jaarrekeningproces A&V / Balansdossiers: Vereenvoudiging proces aanleveren onttrekkingen reserves en activeren van projecten

Bron

Status per 1 februari 2023

Planning

Cluster

Boardletter PwC 2022

Er wordt vanaf de jaarstukken van 2022 apart over Frauderisicobeheersing gerapporteerd in de Q1 2023 paragraaf Bedrijfsvoering.

BCO / HRO (BCO / FJINK)

COR 2020

De rapportage voor de bestemmingsreserves is op dit moment in een ver gevorderd stadium. Er Q1 2023 is nog een technische aanpassing noodzakelijk voor livegang, waarna de rapportage geïmplementeerd kan worden in het eerste kwartaal van 2023.

BCO / FJINK

Het nieuwe afwegingskader nevenactiviteiten is in 2022 vastgesteld. Het biedt medewerkers en leidinggevenden een juridisch kader en praktische handvatten in de beoordeling van nevenwerkzaamheden. Op dit moment wordt gewerkt om het nieuwe kader breed bekend te maken en het formulier 100% te laten digitaliseren in MijnHR.

Q2 2023

BCO / HRO

De beheersing van frauderisico’s maakt onderdeel uit van de sturingsgesprekken en daarmee van P&C cyclus. Over frauderisicomanagement wordt tevens gerapporteerd in de paragraaf bedrijfsvoering.

Q1 2023

BCO / HRO

Boardletter Risicoanalyse PwC 2022 Wij adviseren de resultaten van de verschillende risicoanalyses en controles samen te voegen in een integrale cyber-en privacyrisicoanalyse en deze te integreren binnen het organisatiebrede risicomanagementproces. Blijf daarbij de betrokkenheid en het eigenaarschap van de clusters stimuleren.

De privacy en security risico analyses maken onderdeel uit van het bedrijfsbrede Q4 2023 risicomanagement proces. Waar van toepassing worden privacy en security risico analyses, integraal uitgevoerd. Dit vergroot de eigenaarschap vanuit de eerste lijn. Verder zijn we bezig met de implementatie van een concernbrede GRC (Governance Risk Compliance) tooling om dit proces digitaal te ondersteunen. De doorvertaling van risico’s binnen de Clusters naar de organisatie vindt op dit moment plaats vanuit de decentraal ingezette security en privacy adviseurs. Dit wordt aangevuld met concernbrede bewustwordings-campagnes om de privacy en security bewustzijn zo hoog mogelijk te houden.

BCO / IIFO

Privacyrisico's Wij adviseren daarnaast meer proactief aandacht te geven aan privacyrisico's en te waarborgen dat u meewerkend bent met de geldende wet-en regelgeving, waaronder de AVG.

Boardletter PwC 2022

In 2022 werd de implementatiefase van de AVG afgerond. De focus lag op efficiënte(re) Afgerond werkprocessen, door de evaluatie van werkafspraken en protocollen en de verbetering daarvan. Het gaat daarbij om alle AVG-instrumenten, zoals het DPIA (Data protection impact assessment)proces, de datalekmeldingen, het verbeteren van het inzageproces voor burgers, privacy by design, het verwerkingsregister en de verwerkersovereenkomsten. Hiermee wordt pro-actief aandacht gegeven aan privacyrisico's. Daarnaast is de inrichting van de privacyfunctie in de organisatie (governance) onderzocht en wordt deze aangepast. Het bewustzijn onder de medewerkers is door onder meer een e-learning ‘informatiebeveiliging en privacy’ (83% heeft deze afgerond) en een digitale escaperoom verhoogd. De onderwerpen zijn in lijn met de verbeterpunten die de Functionaris Gegevensbescherming (FG) benoemt in zijn jaarverslag om als organisatie in control te komen. Het uitgebreidere plan van aanpak is te vinden in de raadsbrief ‘gemeente Rotterdam voldoet aan privacywetgeving’ (21bb8175).

BCO / C&S

Interne beheersing Wij adviseren u bij de evaluatie rondom de kadernota ‘sturen en verantwoorden’ het onderscheid tussen de 'lines of defence' scherper te definiëren, zodat de verschillende rollen elkaar versterken.

Boardletter PwC 2022

De evaluatie van de kadernota is december jl. van acquit gegaan. Hij zal niet eerder dan eind 1e Q1 2023 kwartaal 2023 zijn afgerond. Het is niet ondenkbaar dat juist dit onderwerp meer tijd zal vergen.

M&C

Boardletter Update fraudecasus Stadsbeheer/ Check op procedure PwC 2020/ rondom nevenfuncties COR 2020 Wij concluderen op basis van de ontvangen stukken dat de gemeente adequate opvolging heeft gegeven aan de fraudecasus. Op basis van de rapportages vragen wij uw aandacht voor uw proces rondom het beheersen en monitoren van nevenfuncties binnen de organisatie. Herzie de procedure van nevenfuncties naar aanleiding van de “KvK-Check” door de accountant. Boardletter Frauderisicobeheersing PwC 2022 Wij adviseren de beheersing van frauderisico’s standaard onderdeel van de P&C-cyclus te laten zijn en daarbij periodiek eventuele incidenten te bespreken.

Overzicht aanbevelingen COR en accountant

Onderwerp

Nr. Aanbeveling

Doorontwikkeling organisatie

7

Doorontwikkeling organisatie

Doorontwikkeling organisatie

IT

Status per 1 februari 2023

Planning

Cluster

Boardletter Vernieuwingen in de interne beheersing Wij menen dat datagedreven interne beheersing en audits de PwC 2022 toekomst zijn. Wij adviseren om hier meer prioriteit aan te geven.

De gemeente geeft veel prioriteit aan de data gedreven interne beheersing en audits. De projecten data gedreven werken en GREAT zijn hier voorbeelden van. Ook in de audit wordt er gebruik gemaakt van data gedreven controle. Bijvoorbeeld in de audit van het HR proces worden query's gebruikt voor het monitoren van mutaties.

Afgerond

M&C

8

Informatie en communicatie Boardletter Om tot een hoger volwassenheidsniveau te komen is het van PwC 2022 belang dat uw administratie voorspelbaarder wordt. Continue up-to-date informatie is van belang, meer dan alleen analyse achteraf.

Binnen het project GREAT wordt gestart met dit ontwikkelpunt. Q1 2024 De gemaakte fouten worden via GRC tooling geconstateerd en daarop wordt gehandeld. Waarneming achteraf wordt ontwikkeld naar waarneming tijdens het proces. Verder is het via OTBI (BI-module Oracle) mogelijk om actuele informatie via standaard rapporten uit het systeem te krijgen. Uiteraard blijft de afdeling Financial Reporting zijn rapportage- en advieswerk na maandafsluiting doen. Eind 2022 zijn de rapportages van FR voor het management gedigitaliseerd in de MijnFIN app en is financiele informatie permanent beschikbaar. Het management heeft daarnaast toegang tot actuele (financiale) management informatie via het ConcernDashboard dat eind 2022 een upgrade heeft gehad (olv Control). Great gaat naar verwachting live vanaf boekjaar 2024.

BCO / FJINK

9

ESG en duurzaamheid • Breng focus en concreetheid aan in de klimaat-en duurzaamheidsdoelstellingen waarop u wilt sturen, meten en controleren in deze coalitie-periode. • Maak investeringen gekoppeld aan klimaat-en duurzaamheidsdoelstellingen apart zichtbaar om deze ook in de realisatie van de beleidsdoelstellingen mee te nemen. • Maak inzichtelijk wat de klimaatrisico’s op de lange termijn voor financiële impact hebben op de gemeente Rotterdam (risicoregister).

Boardletter PwC 2022

Aanbeveling 1:. We werken aan een Klimaat Actieplan Rotterdam. Daarin komen inspanningen, Q2 2023 targets en CO2 monitoring samen. Deze ligt begin april bij de raad.

SO

Continuïteit en dagelijks beheer IT-omgeving Het uitwerken van een integraal calamiteitenplan.

PwC 2015

1

Bron

Aanbeveling 2: Via het Duurzaamheidsbudget is zichtbaar wat de bijdrage is aan Co2. Hier wordt ook op gemonitord. De overige investeringen zijn vaak cofinancieringen met andere partijen en daarop monitoren we eens per jaar via de DCMR de voortgang en de prognose. De prognose wordt momenteel herijkt en is medio april gereed. (dus begin mei in de raad)

Q2 2023

Aanbeveling 3: Hierover is ook motie aangenomen: Document RotterdamRaad - [22bb007426] Motie 38: Erken het risico van klimaatschade (aangenomen). Q2 2023 Dit wordt nu verder uitgewerkt in samenwerking met de clustercontrollers. Doel is om uiteindelijk het restrisico op te nemen in de begroting. Doel is om dat gereed te hebben voor de voorjaarsbegroting. Integraal beleidskader: Q1-2023 • Het integraal beleidskader heeft twee feedbackrondes succesvol doorlopen. De reacties uit de VNG werkgroep BCM (Business Continuïteit Management) zijn verwerkt. • Een derde en finale feedbackronde met alle clusters is afgerond. • Met de directiesecretaris van BCO en de directiesecretaris van de CD vindt afstemming plaats om het beleid op de CD te krijgen. • De verspreiding en implementatie van beleidskader in de clusters loopt. Concern Business Continuity Plan (BCP): • Het framework is opgeleverd, er is globale consensus over de inhoud (hoofdstukken) van het Q4-2023 BCP format. • De oplevering van de verschillende hoofdstukken is afhankelijk van de input vanuit de clusters. In Q1 2023 wordt een masterclass georganiseerd met een extern consultancybureau om de clusters handvaten te geven bij de ontwikkeling en invulling van hun BCP. De doelgroep hiervoor zijn de decentrale BCM coördinatoren.

• Afstemming over de inhoud met verschillende interne en externe stakeholders, waaronder VNG, extern consultancybureau, andere gemeenten, etc. loopt.

Overzicht aanbevelingen COR en accountant

BCO / Veilig

Onderwerp

Nr. Aanbeveling

IT

2

Voortgangsrapportage ITGC Blijf per cluster specifieke applicatie rapporteren in de voortgangsrapportages aan de COR en borg vanaf controlejaar 2022 een optimale mix van systeem – en gegevensgerichte controles voor alle cluster specifieke applicaties, alsook voor de concern brede systemen.

Bron COR 2020

Status per 1 februari 2023

Planning

Cluster

Dit punt kan als afgesloten beschouwd worden. Zowel voor de opzet en bestaan van Socrates als applicatie als de opzet en bestaan voor het access management van Socrates is de ITGC 2021 positief afgerond. De beheersing van accounts met vergaande rechten is geborgd.

Afgerond

W&I DV BCO / HRO

De laatste stap voor het realiseren van systeemgerichte controle van Gouw en ONS, de uitrol van de feature 'Unified Auditing' in Oracle heeft een kwartaal vertraging opgelopen doordat de laatste Oracle patch niet volledig werkte. Zodra de nieuwe feature is geïnstalleerd worden de auditing mogelijkheden voor Gouw en ONS aanzienlijk vergroot. Met Unified Auditing zijn de handelingen van gebruikers als onze 'Named users' maar ook van andere users (zoals de DAPR user) te loggen.

Q1 2023

In 2022 zijn in Workforce/ADP de volgende verbeteringen doorgevoerd: Q1 2023 • Een beslisboom en conflictenmatrix is opgesteld en als pilot in gebruik genomen. Hierdoor is er meer inzicht verschaft in de risico’s en benodigde acties bij Acces management. • In het kader van changemanagement is er een legenda opgesteld voor de actielijst van de release om inzicht te verschaffen in risico's bij Change management. • Vaste monitoring op regressietesten en eventuele extra controles rond acces management zijn belegd bij een team (KCO). Deze verbeteringen dienen hun beslag te krijgen bij de controle die vanaf eind februari start.

IT

IT

3

4

Toenemende uitbesteding aan derden vraagt om actief PwC 2020/ PwC 2021 leveranciersmanagement Bij uitbesteding aan derden blijft Gemeente Rotterdam eindverantwoordelijk voor de veiligheid en betrouwbaarheid van IT-systemen en data. Specifiek voor IT-uitbesteding aan leveranciers als ADP, MCX, Wigo4IT en KPN/NorthC, adviseren wij actief aandacht te besteden aan hoe leveranciers aantonen dat ze ‘in control’ zijn. Gemeente Rotterdam heeft een belangrijk deel van de ITbeheertaken voor haar bedrijfsvoeringsystemen en ITinfrastructuur uitbesteed aan externe leveranciers. De 2e lijn binnen IIFO is al bezig met het periodiek verzamelen en analyseren van assurancerapportages (voor MCX en NorthC). Wij adviseren de ervaringen toe te passen bij het breder borgen van leveranciersmanagement binnen de gehele organisatie. Boardletter Implementatie GREAT PwC 2022 Wij adviseren u om specifiek aandacht te schenken aan de verandering voor de gebruikers en voor de nieuwe regierol bij de overgang naar de cloud.

De benoemde activiteiten voor het borgen van het leveranciersmanagement verlopen conform planning:

Q2 2023

BCO / IIFO

Afgerond

BCO / FJINK

In 2022 zijn er voldoende beheersmaatregelen genomen om de kwaliteit van het P2P dossier te Q1 2023 verbeteren, zoals het aanvullen van voorbeelden in het handboek prestatieverklaringen, update van de e-learning ontvangsten boeken, gezamenlijk met de clusters het P2P dossier samen te stellen en het houden van evaluatiegesprekken met de afdelingshoofden. De samenwerking met de clusters en accounting centraal wordt als fijn beschouwd. Het vergt een investering op de lange termijn en een groeitraject bij de clusters om de kwaliteit te verbeteren.

BCO / FJINK

• Het proces van opvragen en beoordelen van TPM-verklaringen van leveranciers van concernsystemen (MCX/KPN) is inmiddels geborgd in de lijn. Dit proces wordt ook meegenomen in de jaarrekeningcontrole. • Dit jaar hebben we ook met FA afgesproken om eventuele verbeterpunten periodiek te evalueren en waar noodzakelijk aanpassingen door te voeren. • Voor komende controleperiode worden in samenspraak met de clusters ook de systemen ADP en Wigo4IT hierin meegenomen.

Vanaf het begin van het project is er specifieke aandacht voor de verandering met een eigen veranderteam. In 2022 is gewerkt aan analyses en clusterspecifieke plannen. In 2023 komt de nadruk op eindgebruikers en leidinggevenden. Hierbij sluiten we zo goed mogelijk aan op de behoefte van het individu, dit blijft tot het nieuwe systeem breed gebruikt wordt. Net als met het huidige Oracle EBS beheert de gemeente een deel van Oracle Cloud, hierdoor zijn aanpassingen tbv interne controle snel door te voeren. Door het werken in de cloud krijgt Oracle hier wel een grotere rol in dan voorheen. Net als nu is stevig contractmanagement op Oracle daarom erg belangrijk. Daarbij helpt het dat Oracle een grote en gerenommeerde partij is waar vele grote (internationale) bedrijven diensten van af nemen, hun kwaliteitsstandaarden zijn hoog.

Overige onderwerpen 1 en processen

Inkoop en aanbesteden: Purchase to pay (P2P) balanspositie PwC 2020 nog niet in de grip Wij vragen uw aandacht voor de totstandkoming van deze balanspositie, gezien de jaarlijks terugkerende materiële fouten.

Overzicht aanbevelingen COR en accountant

Onderwerp

Nr. Aanbeveling

Overige onderwerpen 2 en processen

Grondexploitaties: Invloed marktontwikkelingen op portefeuille Ontwikkel voor de middellange termijn een strategie om de Rotterdamse portefeuille minder gevoelig te maken voor marktontwikkelingen en informeer hierover de Raad.

Bron COR 2020

Status per 1 februari 2023

Planning

De fluctuaties in (on)zekerheid rondom de grondexploitatieportefeuille komen mede voort uit de Q2 2023 verslaggevingsregels (het BBV) die voorschrijven dat marktontwikkelingen op realistische wijze in de ramingen verwerkt moeten worden. Ook de wijze waarop winsten moeten worden genomen of teruggeboekt ten gunste / laste van de algemene middelen is daarin vastgelegd. De volatiliteit die hiermee gepaard gaat, heeft effect op meerdere onderdelen van de concernbegroting en levert dus ook financiële onzekerheid en risico’s op.

Cluster SO

Wij verrichten onderzoek naar de mogelijkheid om de financiële stromen binnen de grondexploitatieportefeuille én die tussen de portefeuille en de concern begroting minder afhankelijk te maken van marktomstandigheden. Daarbij betrekken wij ook het openstaande deel van de motie ‘Rekenen om te bouwen’ (19bb023204) en de motie ‘Overheveling naar Verevening’ (22bb6886). De motie ‘Rekenen om te bouwen’ vraagt o.a. de grondexploitatie portefeuille te bezien of en op welke wijze winstgevende en verlieslatende projecten met elkaar verevend kunnen worden om meer projecten doorgang te laten vinden. In de motie ‘Overheveling naar Verevening’ wordt gevraagd een voorstel te doen over de inrichting van het ‘Fonds Betaalbaar Wonen’, waarin positieve resultaten van de grondexploitatie worden bestemd en in te gaan op de bestedingsdoelen van dit fonds. De procedure voor de beantwoording van deze moties is onderhanden, waarbij gezien de hiermee samenhangende financiële aspecten een nadere uitwerking moet plaats vinden.

Overige onderwerpen 3 en processen

Systeemgerichte controle-aanpak Sociale uitkeringen COR 2018 Maak voor de BUIG systeemgerichte controle (Socrates) met ingang van controlejaar 2020 mogelijk en informeer de COR gedurende 2019 over de voortgang die geboekt wordt.

Overige onderwerpen 4 en processen

WABO-leges Analyseer de begroting en de realisatie van de afgelopen 5 jaar en kom op basis van die ervaringscijfers eventueel met aanpassingen in de begroting en neem daarbij de veranderende wetgeving mee.

COR 2020

Om de optimale controle aanpak te bereiken zijn er de afgelopen jaren een tiental deelprojecten Gereed: W&I - Vooronderzoek gedefinieerd en in uitvoering gebracht. Voorbeelden daarvan zijn de BRP-Socrates (jan-2023) (Basisregistratie Personen) maandrapportage om verschillen op te sporen tussen het uitkeringenbestand en de BRP en de verbetering van rapportages bij individualisering. Nieuwe inzichten hebben ertoe geleid dat de optimale controle aanpak (systeemgericht en deels Planning: gegevensgericht) kan worden gerealiseerd door middel van het professionaliseren en verbreden - Kostenbaten analyse: Q1 van Kwaliteit in Control (KiC). Hier ligt nu de focus op voor aankomende jaren. 2023 De overige deelprojecten hebben als doel om onze processen te beheersen en te verbeteren. Onderzocht moet worden hoe we hier invulling aan kunnen geven, wat er precies verbreed gaat - Implementatie KiC: Q4 2023 worden en wat hiervoor nodig is. Onderdeel van dit onderzoek betreft ook een kosten/baten - Start nieuwe analyse om te bepalen of met deze nieuwe route de optimale controle aanpak bereikt kan werkwijze: 2024 worden.

Q1 2023 In 2021 is aan een extern bureau (Van den Bosch & Partners) de opdracht verstrekt om het stelsel van aan de WABO gerelateerde baten en lasten en de tariefstelling van de leges te evalueren. Zowel het analyseren van de begroting en realisatie van de afgelopen 5 jaar, als het anticiperen op veranderende wetgeving, was onderdeel van de opdracht. De opdracht bestond uit 3 deelopdrachten die inmiddels zijn afgerond. Dit heeft tot de volgende aanpassingen van de begroting geleid: - Deelonderzoek 1 heeft duidelijkheid verschaft over wel en niet toerekenbare kosten. Dit heeft geleid tot diverse aanpassingen in de toegerekende kosten aan de leges welke ten grondslag liggen aan de begroting 2023. - Deelonderzoek 2 nam het proces van de tariefstelling en totstandkoming van de verordening onder de loep. Dit heeft geleid tot enkele aanscherpingen in het proces waardoor de begroting vanaf 2023 op actuelere en meer complete gegevens over de verwachte legesaanvragen wordt gebaseerd. - Deelonderzoek 3 betrof het evalueren van het stelsel van begroten en verantwoorden van aan de Wabo gerelateerde baten en lasten. Duidelijk is geworden dat een mismatch tussen baten en lasten de belangrijkste oorzaak is van (grote) afwijkingen tussen begroting en realisatie. Om dit te ondervangen zijn meerdere instrumenten onderzocht.

De uitkomst is dat een egalisatiereserve het meest voor de hand ligt om deze mismatch mee op te vangen. Hiertoe wordt een raadsvoorstel uitgewerkt dat zal worden aangeboden bij behandeling van de Voorjaarsnota.

Overzicht aanbevelingen COR en accountant

SO

Onderwerp

Nr. Aanbeveling

Bron

Status per 1 februari 2023

Planning

Cluster

Afgerond

SO

Overige onderwerpen 5 en processen

COR 2021 Grondexploitaties Beleg in het najaar (voor de begrotingsbehandeling) een raadsbrede themasessie over Rotterdamse grondexploitaties; zodat de nieuwe raad op vlieghoogte kan komen in dit belangrijke en ingewikkelde onderwerp.

Deze raadsbrede sessie over grondexploitaties is op dinsdag 18 oktober gehouden.

Overige onderwerpen 6 en processen

Verstrekte subsidies 1. Borg eenduidige vastlegging in de controledossiers; 2. Volg de vereisten in de verleningsbeschikking; 3. Rapporteer aan de raad als hier om moverende redenen van afgeweken wordt.

Aanbeveling 1: a. er zijn taken in het subsidiesysteem toegevoegd ter bevordering van eenduidige vastlegging (over subsidievorm en tussentijdse rapportage). b. de werkinstructie voor beleidsadviseurs is aangepast in Q4 2022, die voor financiële medewerkers wordt in Q1 2023 iom FR aangepast. Kenniscafé over budget juist toekennen en subsidieverantwoording wordt in Q1 2023 gepland.

COR 2021

MO Afgerond Q1 2023

Aanbeveling 2: a. in elk verleend (of gewijzigd) subsidiebesluit staat de meldingsplicht: als aanvrager Afgerond constateert dat er voor 10% of meer van de prestaties wordt afgeweken, dan moet dit direct bij de gemeente gemeld worden. Dit kan aanleiding geven tot het wijzigen van de verlening. b. vanaf oktober 2022 zijn de beleidsadviseurs via de eindejaarsberichten wekelijks gewezen op de belang van de juiste vastlegging. In de kwaliteitsgroep van december 2022 is dit besproken. Afgerond

Eindtoets MVP

1

Dossiervorming is nagenoeg op orde. Verbetering versnelt het Eindtoets proces van oplevering t.b.v. controles. MVP 2017

De dossiers zijn 1 november opengesteld aan de leidinggevenden van de SW medewerkers. Hiermee is dit onderwerp afgerond.

Overzicht aanbevelingen COR en accountant

Afgerond

BCO / HRO