[23bb003008] Bijlage behorende bij 23bb3007 - Financial Audit controlejaar 2022 ( met peildatum 26 april 2023 )

Onzeker

C-

C-

C-

Bevindingen en aanbevelingen Bevinding 1: verantwoorde huuropbrengst

Vanuit de controle op het subproces 'verhuur' is een fout geconstateerd. Voor het geselecteerde huurcontract is een bedrag van C 68K te veel aan opbrengsten verantwoord in 2022. Deze fout valt onder de grens voor opname in de foutenlijst (kleiner dan C 100K), maar willen we wel benoemen. De fout vloeit voort uit het met terugwerkende kracht corrigeren van een onjuiste huurindexatie. Hierna is de correcte huur gefactureerd maar is de creditnota pas na sluiting van boekjaar 2022 opgemaakt en geboekt in 2023. Hierdoor heeft deze verstoring zowel invloed op 2022 als 2023. Aanbeveling: Om een dergelijke fout te voorkomen adviseren wij tegen het einde van het boekjaar extra beheersing te organiseren die er zorg voor draagt dat creditnota's per direct worden opgemaakt of worden meegenomen in de overlopende posten per einde jaar (correcties groter dan C 50K), zodat deze correcties administratief correct worden afgehandeld binnen het lopende boekjaar.

Bevinding 2:

Vastgoed heeft haar rol als 'first line of defence' (in de 2e lijn) voor het tijdig detecteren van risico's gedurende 2022 versterkt. In vergelijking met 2021 heeft Vastgoed zelfstandig meer controles uitgevoerd. Dit resulteert in de situatie dat FA steeds meer in haar rol als 3e lijn komt. De aanbevelingen uit de eindrapportage van 2021 zijn deels opgepakt door Vastgoed en resulteren hierdoor in een verbetering. Verbetering is vastgesteld in 'first time right' beantwoorden van uitgevraagde informatie door FA. Vastgoed is kritischer geworden in het beoordelen van de juistheid en bruikbaarheid van controle informatie uit de 1e lijn. Naast deze verbetering bestaat nog wel de uitdaging om bij iedere uitgevoerde controle een controlememorandum als oplegger met een oordeel en een uitspraak over de monitoring/evaluatie van de aanbevelingen en ondernomen acties op te nemen. Aanbeveling: In de bevinding is opgenomen dat enkele aanbevelingen uit 2021 nog aandacht verdienen. Dit zijn de onderstaande aanbevelingen: ^ Het opstellen van een controlememorandum bij iedere controle, inclusief oordeelvorming.

April 2023

Definitief 24

Financial Audit

^

Eindrapport controlejaar 2022

Het opstellen van heldere leeswijzers bij zelf opgestelde controle informatie, zodat de totstandkoming tot het gebruik van de informatie (inclusief aansluitingen) stap voor stap volgbaar en reproduceerbaar is.

Managementreactie door proceseigenaar Wij nemen de aanbevelingen over. Voor wat betreft bevinding 1: dit is een incidentele fout waarbij de debetfactuur 5 dagen voor sluiting van het boekjaar 2022 aangemaakt is, terwijl de creditfactuur een aantal dagen na sluiting van het boekjaar werd aangemaakt. Een ongelukkig samenloop van omstandigheden in een piekperiode voor de financiële administratie (jaarafsluiting). Wij zullen hier bij de volgende jaarafsluiting (nog) scherper op toezien. Voor wat betreft bevinding 2: elke uitgevoerde controle over boekjaar 2022 is voorzien van een controlememorandum, notitie en/of leeswijzer. Wij (h)erkennen dat die documenten soms nog uitgebreider of scherper zouden kunnen zijn waardoor een aanvullende mondelinge toelichting (zoals wij nu een aantal keer gedaan hebben) niet meer nodig is. Wij nemen dit punt mee in de controles van 2023.

April 2023

Definitief 25

Eindrapport controlejaar 2022

Financial Audit

11. Grondexploitaties Å Erfpacht

Voor controlejaar 2022 is de waarderingscontrole voor het eerst uitgevoerd op basis van een systeemgerichte aanpak. Voor wat betreft de risicobeheersing voor controlejaar 2022 kan worden gesteld dat deze in voldoende mate op orde is. In 2022 zijn de erfpachtcontracten van woningcorporaties geconverteerd, wat heeft geleid tot een conversiebaat van C 501,5 mln. Ondanks de omvang van deze conversie zijn er geen materiele fouten of bevindingen geconstateerd. De controle zelf is door late en gefragmenteerde aanlevering wel langer doorgelopen dan gepland.

Bevindingen (bedragen x C 1.000) Getrouwheid voor correctie

Fout Grondexploitatie

Fout Erfpacht

Onzeker

Getrouwheid na correctie

Rechtmatigheid

C 639

C 327

C-

C 1.098

C-

C-

C-

C-

C-

Bevindingen en aanbevelingen Algemeen

Van het totaalbedrag aan fouten vóór de correctie is C 1,4 mln geconstateerd in de controles voor grondexploitaties en erfpacht die zijn uitgevoerd door FR en het team Kwaliteit, Beheersing en Verantwoording (KBV) van het cluster. Verder is een fout van C 0,7 mln voortgekomen uit een controle die door FA is uitgevoerd. Deze fout is gecommuniceerd met het cluster en in dit rapport toegelicht. Het totaalbedrag aan geconstateerde afwijkingen bedraagt C 2,1 mln en is ondertussen gecorrigeerd.

Grondexploitaties waardering systeemgerichte controle

Door FA is een systeemgerichte controle uitgevoerd voor het beoordelen van de waardering van de Grondexploitatie 2022: door een reperformance uit te voeren op de controlewerkzaamheden van het team KBV. Met een steekproefsgewijze controle is vastgesteld dat het risico op onjuiste waardering wordt ondervangen door de controles die het team KBV uitvoert. Hierdoor zijn afwijkingen tijdig gesignaleerd en gecommuniceerd met het projectteam waarna de nodige correcties zijn doorgevoerd. Met onze controles hebben we geen aanvullende bevindingen geconstateerd. Het aantal gesignaleerde afwijkingen door het team KBV, maar ook de aard van de afwijkingen vragen om de nodige verbeteringen in het actualisatieproces. Naar verluidt komt dit onder andere door capaciteit tekort binnen projectteams en personeelswisselingen. De belangrijkste bevindingen die door het team KBV zijn geconstateerd zijn: ^ Ramingen worden niet tijdig geactualiseerd; ^ Ramingen worden niet of onjuist geïndexeerd; ^ Budgetwijzigingen als gevolg van de actualisatie worden niet tijdig doorgevoerd; ^ Actualisatienotitie (beschrijving ontwikkelingen) wordt niet (tijdig) getekend door betrokken; ^ Planmatige wijzigingen worden doorgevoerd zonder bestuurlijke besluitvorming.

April 2023

Definitief 26

Financial Audit

Eindrapport controlejaar 2022

Deze bevindingen worden ook door FA onderkend. De afwijkingen zijn als onderdeel van de KBVcontrole gecorrigeerd.

Bevinding 1: Grondexploitatie waardering impact inflatie

Het totaal verwachte resultaat van de grondexploitatieportefeuille op NCW is met C90,1 mln verslechterd (afgenomen) ten opzichte van vorig jaar (2022: C 8,1 mln en 2021: C 98,2 mln). De voornaamste oorzaak hiervoor is de inflatie met als gevolg fors gestegen bouwkosten die ook een drukkend effect hebben op de grondprijzen. Dit effect is het meest zichtbaar voor grondexploitatie Rijnhaven, waarbij het verwachte resultaat (NCW) met circa C20 mln is verslechterd ten opzichte van 2021 dat grotendeels wordt veroorzaakt door de inflatie. Het risico voor het komend jaar is dat kosten mogelijk nog meer stijgen en de financiële uitvoerbaarheid van bepaalde projecten onder druk komt te staan. Aanbeveling: Blijf de marktontwikkelingen en daarmee de financiële uitvoerbaarheid van projecten actief monitoren, zodat tijdig kan worden bijgestuurd met beperkende maatregelen voor zover dat mogelijk is.

Bevinding 2: Grondexploitaties marktconformiteit prijzen gronden

Voor de grondverkopen en grondaankopen beoordelen we de marktconformiteit van de prijzen. In het grondprijsbeleid van de gemeente Rotterdam is het uitvoeren van een externe taxatie als een voorwaarde opgenomen om de marktconformiteit te waarborgen. Vastgesteld is dat bij alle gecontroleerde dossiers een externe taxatie is uitgevoerd. Bij de controle is voor enkele dossiers geconstateerd dat van de getaxeerde grondwaarde is afgeweken en waarbij de reden van deze werkwijze niet zichtbaar is toegelicht in het dossier en niet expliciet is benoemd in de besluitvorming. Uit navraag bij het cluster blijkt dat nadere planuitwerkingen voor aanpassingen hebben gezorgd in de eerder gehanteerde uitgangspunten in de externe taxatie. Hoewel dit soort wijzigingen zich kunnen voordoen, is het noodzakelijk om deze aanpassingen te documenteren om het risico van aankopen of verkopen tegen niet-marktconforme prijs tegen te gaan. En daarmee ook het risico op bewust afwijken van de taxatiewaarde, als frauderisico, te beheersen. Aanbeveling: Stel richtlijnen op met voorwaarden voor het documenteren en uitvoeren van een interne toetsing inclusief besluitvorming bij afwijking van een externe taxatie.

Bevinding 3: Erfpacht conversie woningcorporaties

In 2022 zijn tijdelijke erfpachtcontracten van woningcorporaties omgezet naar eeuwigdurend recht of eigendom. De conversiebaat 2022 komt uit op 501,5 mln. Een deel van de conversie is in 2023 uitgevoerd. Voor dat deel valt de conversiebaat ook in 2023. De voorbereiding en uitvoering van de beide conversies is intensief en omvangrijk geweest, waarbij diverse functionarissen, zowel intern van de afdeling Contractbeheer Erfpacht als externen, bij betrokken zijn geweest om het proces in goede banen te leiden. Ondanks de omvang van beide conversies is vastgesteld dat de totale conversiebaat 2022 van C 501,5 mln juist is verantwoord en zijn er geen materiele bevindingen geconstateerd. Het proces van onze controle is moeizaam verlopen en hierdoor is er vertraging ontstaan in de voortgang. Mede doordat er onvoldoende medewerkers met de benodigde kennis beschikbaar zijn geweest is de controle-informatie niet tijdig, ongestructureerd aangeleverd en zijn onze vragen niet tijdig beantwoord. Aanbeveling: Zorg voor de inzet van een stabiel projectteam met de benodigde kennis en borg dit evenals een deugdelijke dossiervorming. April 2023

Definitief 27

Financial Audit

Eindrapport controlejaar 2022

Bevinding 4: Erfpacht en Grondexploitatie correctieboeking opbrengst 2020 Bij de controle op de aansluiting van de opbrengsten EPC2000 met Oracle is geconstateerd dat er in 2022 C 0,4 mln aan opbrengst vanuit Erfpacht handmatig is overgeboekt naar de grondexploitatie. Het gaat hier om een verkoop die binnen Erfpacht in 2020 is gerealiseerd, waarbij een deel van de opbrengst ten gunste van de grondexploitatie had moeten vallen. In 2020 is nagelaten deze boeking te maken en daarmee kan dit in 2022 niet meer gecorrigeerd worden. Hierdoor is ook de waardering en daarmee de tussentijdse resultaatneming van de betreffende grondexploitatie onjuist. Het resultaat is met C 0,3 mln positiever verantwoord. Hoewel het een incidentele fout kan zijn, is het raadzaam om na te gaan hoe het heeft kunnen gebeuren en hoe het in de toekomst voorkomen kan worden. Aanbevelingen: Evalueer de voorwaarden voor handmatige boekingen en zorg ervoor dat minimaal een goedkeuring van de verantwoordelijke budgethouders vereist is.

Bevinding 5: ITGC EPC2000 - opzet en bestaan

Het Change managementproces vereist verbetering van de vastleggingen van testwerkzaamheden en het vrijgeven van de wijziging voor in productie name. Wij hebben vernomen dat, vanwege de geplande vervanging van deze applicatie eind 2024, alleen noodzakelijk onderhoud wordt uitgevoerd en dat daarom niet meer wordt ingezet op doorontwikkeling van de aanwezige testprotocollen en procedures. Aanbeveling: Betrek de ITGC-normen in het toekomstige beheerplan van de nieuwe applicatie zodat de algemene beheersing van de IT-omgeving adequaat ingericht en onderzocht kan worden.

Managementreactie door proceseigenaar Grondexploitaties waardering systeemgerichte controle Wij zijn als directie GOK blij dat FA heeft geconstateerd dat zij kan steunen op de interne beheersmaatregelen binnen de afdeling Gebiedsexploitatie en hiermee voor dit controlejaar voor het eerste maal een systeemgerichte controle kan uitvoeren. Wij vieren deze mijlpaal. Wij zijn ons bewust dat ook intern verbeteringen mogelijk zijn. Wij zien dit als onderdeel van een lerende organisatie. Bevinding 1: Grondexploitatie waardering impact inflatie Wij zetten onze monitoring op de uitvoerbaarheid van projecten ook de komende periode door. Wij sturen bij indien mogelijk. Bevinding 2: Grondexploitaties marktconformiteit prijzen gronden Ten aanzien van de aanbeveling geldt dat de markt- en contractspecialist altijd een afwijking ten van een externe taxatie dient toe te lichten. Wij zullen nagaan hoe hieraan opvolging kan worden gegeven, zodat dit zichtbaar wordt. Bevinding 3: Erfpacht conversie woningcorporaties We zijn blij om te constateren dat, ondanks dit enorm grote project, er geen materiële bevindingen ten aanzien van de conversie erfpachtbaten zijn. De ingeregelde checks en balances hebben derhalve gewerkt. De kunst is om ook tijdens de piektijden in dit project voldoende bezetting te hebben.

Dit verdient aandacht, maar ook alle lof voor de medewerkers die aan dit resultaat hebben bijgedragen. Wij zullen de aanbeveling meenemen naar volgende projecten binnen onze afdeling.

April 2023

Definitief 28

Financial Audit

Eindrapport controlejaar 2022

Bevinding 4: Erfpacht en Grondexploitatie correctieboeking opbrengst 2020 Wij zullen nagaan, in afstemming met Accounting (FJINK) en FR, hoe deze foutieve boeking is ontstaan en zullen hier passende maatregelen op nemen. Bevinding 5: ITGC EPC2000 - opzet en bestaan Wij zullen de ITGC-normen in het toekomstige beheerplan van de nieuwe applicatie meenemen.

April 2023

Definitief 29

Eindrapport controlejaar 2022

Financial Audit

12. Verkoop Å Facturatie

De controle van de subprocessen Bouwleges, Parkeren, Vervoer en Materieel en Accounting zijn overeenkomstig de controleplanning tijdig afgerond en leiden niet tot relevante bevindingen. Vanuit de IT-controle wordt aandacht gevraagd voor de vastlegging van formele procedures voor Access en Change management.

Bevindingen (bedragen x C 1.000) Getrouwheid voor correctie

Getrouwheid na correctie

Rechtmatigheid

Fout

e-

e-

e-

Onzeker

e-

e-

e-

Bevindingen en aanbevelingen Bevinding: ITGC ISA - opzet en bestaan (Handhaving)

Wij zien dat formele procedures voor Access en Change Management ontbreken. Ook geeft de autorisatiematrix geen inzicht in conflicterende profielen en worden rechten van gebruikers niet periodiek beoordeeld. Aanbeveling: Geef uit hoofde van continuïteit invulling aan de inrichting van de controleprocessen en het vastleggen van gestructureerde procesdocumentatie Wij verwijzen hierbij voor concrete aandachtspunten naar de verstrekte detailrapportage.

Bevinding: ITGC Combipac - opzet en bestaan (Vervoer & Materieel) Wij zien dat de beheerprocessen Access en Change Management informeel zijn ingericht. Gestructureerde procesdocumentatie en autorisatiemodellen ontbreken evenals enkele belangrijke controleprocessen. Aanbeveling: Geef uit hoofde van continuïteit invulling aan de inrichting van de controleprocessen en het vastleggen van gestructureerde procesdocumentatie met een bijbehorende autorisatiematrix. Wij verwijzen hierbij voor concrete aandachtspunten naar de verstrekte detailrapportage.

Managementreactie subproces Parkeren door proceseigenaar Wij herkennen ons in de bevindingen. In 2022 is reeds opvolging aan de aanbevelingen gegeven. Vrijwel alle aanpassingen zijn inmiddels geïmplementeerd. Managementreactie subproces Vervoer Å Materieel door proceseigenaar Wij nemen de aanbevelingen over en we zijn de processen aan het herzien. Wij gaan na hoe wij de processen op professionele wijze kunnen doorvoeren en documenteren. Hiervoor wordt een plan opgesteld. Momenteel worden eventuele aanpassingen in Acces- en Changemanagement doorgevoerd zoals eerder is gebeurd met de aanbevelingen van de afdeling Audit. De professionaliseringsslag hopen wij Q3 afgerond te hebben ook gelijk gericht op onze andere primaire applicaties.

April 2023

Definitief 30

Eindrapport controlejaar 2022

Financial Audit

______13. Ontvangen Subsidies å Bijdragen________ Uit de controle blijkt een financiële fout van C 3,6 mln veroorzaakt door een te laag berekend recht gerelateerd aan de bekostigingsregeling opvang ontheemden Oekraïne (SiSa A16) en een verkeerd verwerkte opbrengst van C 1,3 mln met betrekking tot de herontwikkeling van "Pier Waalhaven Rotterdam ". Relevante aandachtspunten zijn: het borgen van de volledigheid van de aanvragen; de toetsbaarheid van de beheersmaatregelen: het zichtbare vastleggen van de controles met het IBS-dashboard (Inkomende Bijdragen en Subsidies); ITGC; inzicht in de toegangsbeveiliging bij de projectenappļen het IBS-dashboard.

Bevindingen (bedragen x C 1.000) Getrouwheid voor correctie

Fout

Onzeker

Getrouwheid na correctie

Rechtmatigheid

C 3.657

C-

C-

C-

C-

C-

Bevindingen en aanbevelingen Algemeen:

In 2022 is een opbrengst van C 1,3 mln m.b.t. de herontwikkeling Pier - Waalhaven Rotterdam geboekt, terwijl de opbrengst in 2021 geboekt had moeten worden. Het betreft een procedurele opmerking aangezien een boeking in 2021 niet meer mogelijk was. Wij gaan ervan uit dat dit een op zichzelf staand incident betreft.

Bevinding 1: de volledigheid van de opbrengsten is nog niet toereikend geborgd

In eerdere jaren is door FA geadviseerd het inzicht op de volledigheid van de aanvragen te vergroten door een door E-IBS verplichte toetsing/advisering. Ook dit jaar zijn er bijdragen n.a.v. aanvragen buiten E-IBS gelopen. Wel zijn er periodieke dashboard gesprekken om zicht te krijgen op aanvragen "buiten" het proces om. Deze zijn echter niet in procesbeschrijving opgenomen. Aanbeveling: Geadviseerd wordt de beheersing rondom bovenstaand risico ook nader te beschrijven.

Bevinding 2: Het uitvoeren van de werkzaamheden/ activiteiten in lijn met de subsidievoorwaarden, waardoor het risico op terugbetaling vermindert, kan worden verbeterd.

We zien dat met het invoeren van de IBS-checklist en monitoring via het IBS-dashboard belangrijke stappen in de beheersing zijn gemaakt. Ook de projectenapp kan door hiërarchische goedkeuringsworkflow het risico mitigeren. Vanuit auditperspectief zijn deze beheersmaatregelen nog niet systeemgericht te controleren. Dit wordt o.a. veroorzaakt door het ontbreken van inzicht in toegangsbeveiliging (heeft invloed op betrouwbaarheid van de gegevens) en zichtbaarheid in de controles.

April 2023

Definitief 31

Financial Audit

Eindrapport controlejaar 2022

Aanbeveling: Wij adviseren om inzicht te verschaffen over de toegangsbeveiliging van de projectenapp en de zichtbaarheid van de controles te vergroten. Daarnaast adviseren wij om na te gaan of dit een plek in de implementatie van GREAT heeft.

Bevinding 3:

Voor het bepalen van de te controleren massa is volgens afspraak een overzicht met SiSa uitvoeringsprojecten/grootboeksleutels aangeleverd. Het ontvangen overzicht met SiSa projectnummers en grootboeksleutels was niet volledig. Hierdoor zijn na filtering toch nog SiSaregelingen in de te controleren selectie terecht gekomen. Aanbeveling: Geadviseerd wordt zorg te dragen voor een volledig en actueel overzicht met SiSa projectnummers/ grootboeksleutels.

Managementreactie subproces IBS door proceseigenaar Bevinding 1: binnen het project GREAT is nagegaan welke mogelijkheden er in het nieuwe Oracle zijn voor het laten registreren van aanvragen. Hier blijken geen mogelijkheden voor te zijn. Vooralsnog is er geen wens om dit op een andere manier in te richten. Verder is het Expertisecentrum IBS geen voorstander van een verplichte toetsing. Het aanvragen van een bijdrage of subsidie is geen standaard proces en de mandaten om een dergelijke aanvraag te doen liggen vaak laag in de organisatie. Wel kan op verzoek van de initiatiefnemer het Expertisecentrum IBS betrokken zijn bij collegiaal toetsen van/ adviseren over een aanvraag. Bevinding 2: de checklist IBS wordt toegevoegd bij het indienen van een memoriaal voor onttrekking. Hierin geeft de fondsmanager akkoord voor de onttrekking en het formulier wordt in Oracle opgeslagen. De wijzigingen vanuit het IBS Dashboard worden veelal verwerkt via de Projectadministratie APP. Hierin wordt, indien noodzakelijk, een goedkeuringsflow doorlopen welke zichtbaar is in de Projectadministratie APP. Bevinding 3: hier zal aandacht aan worden besteed, maar het blijft mogelijk dat het overzicht niet volledig is. Dit komt doordat het een handmatige uitzoekklus is en er projecten zijn waarbij zowel niet-SiSa als SiSa bijdragen op worden geadministreerd.

De SiSa bijdragen die niet via projecten lopen zijn niet zichtbaar voor het Expertisecentrum IBS en kunnen hierdoor ook niet in een overzicht worden opgenomen.

April 2023

Definitief 32

Eindrapport controlejaar 2022

Financial Audit

_______________ 14. Treasury________________

De controle leidt niet tot relevante bevindingen. De samenwerking met de afdeling T reasury verloopt goed en de controleplanning 2022 is gehaald. Dossiers werden tijdig aangeleverd en antwoorden op vragen werden vlot aangeleverd.

Bevindingen (bedragen x C 1.000) Getrouwheid voor correctie

Getrouwheid na correctie

Rechtmatigheid

Fout

e-

e-

e-

Onzeker

e-

e-

e-

Bevindingen en aanbevelingen Geen

Managementreactie door proceseigenaar Geen aanvullingen.

April 2023

Definitief 33

Eindrapport controlejaar 2022

Financial Audit

^^^^^^15.ITGeneralControls(ITGC)^^^^^^ De algemene IT-beheersing van de systemen Oracle EBS, APRO en AOL is op het niveau van de applicatie van voldoende niveau, omdat de beheersprocessen rond access en change management gedurende 2022 effectief zijn gebleken. Wij vragen echter op het niveau van de database (Oracle en APRO) wel dringende aandacht voor het ontbreken van logging en monitoring op het gebruik van generieke accounts met vergaande rechten.

Aanvullend zien wij dat CBS het beoordelen van Derdenverklaringen heeft verbeterd met oog voor de verantwoordelijkheden tussen de 1ste en 2de lijnorganisatie. Hiermee is een kwaliteitsverbetering bewerkstelligd. Gedurende 2022 heeft FA controles uitgevoerd op concernbrede systemen (A) en clusterspecifieke systemen (B). Hieronder volgen de constateringen, bevindingen en aanbevelingen per sectie.

A. Concernbrede systemen Constateringen:

1) Het beheer van generieke accounts op database niveau, gekoppeld aan de applicaties Oracle EBS en APRO, is voor verbetering vatbaar. Wij hebben vastgesteld dat: ^ De wachtwoordvereisten van deze accounts procedureel zijn geborgd, maar niet door database-instellingen worden afgedwongen. Wij hebben vernomen dat CBS hier inmiddels wel invulling aan heeft gegeven. ^ Het gebruik van deze accounts door zowel interne als externe beheerders niet wordt gelogd en gemonitord. Wij hebben vernomen dat deze accounts geregeld worden gebruikt. Hierdoor zien wij onvoldoende proceswaarborgen dat de generieke accounts uitsluitend worden ingezet voor de toegewezen taken. Dit heeft er mede toe geleid dat de controleaanpak van afzonderlijke procescontroles gedurende het jaar op een andere manier is ingericht.

2) De beoordeling van de Derdenverklaringen door CBS is verbeterd, omdat de 1e lijn in de beoordeling wordt betrokken. Zij nemen tijdens deze beoordeling kennis van de gebruikersoverwegingen, maar niet in alle gevallen wordt geanalyseerd in hoeverre er aansluiting is op de eigen werkprocessen. Wij zien hierin een verdere optimaliseringskans. Aanbevelingen: 1. Richt een logging en monitoringsfunctie in op het gebruik van generieke accounts met vergaande rechten. Wij adviseren dit mee te nemen in GREAT, maar ook in te richten voor de huidige Oracle EBS-omgeving. Deze blijft vanaf 2024 actief voor het vastgoedproces. 2. Laat de 1e lijn bij beoordeling van Derdenverklaringen nader concretiseren op welke wijze binnen de eigen werkprocessen invulling wordt gegeven aan de gebruikersoverwegingen uit de Derdenverklaring(en).

Managementreactie door proceseigenaar Goed om te lezen dat de algemene IT-beheersing van de concernsystemen Oracle EBS, APRO en AOL als voldoende wordt beschouwd. De constatering rondom vergevorderde rechten en generieke accounts hebben we al enige tijd op de agenda. Afgelopen jaren is dit als een laag risico gekenmerkt. Dit betreft enkele gebruikers die deze geavanceerde databaserechten nodig hebben voor onderhoudswerkzaamheden aan Oracle EBS en APRO. Binnen GREAT is dit risico gemitigeerd. We zullen FA-IT betrekken in de gekozen proceswijziging en of beheersmaatregel(en) voor de huidige concernsystemen. Tot slot, de aanbevelingen rondom Derdenverklaringen nemen we mee als procesoptimalisatie. April 2023

Definitief 34

Eindrapport controlejaar 2022

Financial Audit

B. Clusterspecifieke systemen FA heeft gedurende 2022 diverse typen onderzoeken uitgevoerd op het beheer van clusterspecifieke systemen die worden ingezet voor de financiële kritieke processen. We hebben hierover in de interim- rapportage gerapporteerd. In onderstaand schema geven we terugkoppeling op de audits die na het uitbrengen van de interim- rapportage zijn afgerond.

Applicatie

Proces

Toelichting

GOUW/ ONS

Belastingen en Heffingen

Vervolgaudit op werking change managementproces door positief beeld bij opzet en bestaan. Voor de bevindingen/ aanbevelingen wordt verwezen naar pagina 19.

Socrates

Sociale Uitkeringen

Audit opzet en bestaan. Uit de audit zijn geen bevindingen en/of aanbevelingen naar voren gekomen.

Combipac

Verkoop en Facturatie

Audit opzet en bestaan. Voor de bevindingen/ aanbevelingen wordt verwezen naar pagina 30.

ISA

Verkoop en Facturatie

Audit opzet en bestaan. Voor de bevindingen/ aanbevelingen wordt verwezen naar pagina 30.

EPC2000

Grondexploitaties en Erfpacht

Audit opzet en bestaan. Voor de bevindingen/ aanbevelingen wordt verwezen naar pagina 28.

April 2023

Definitief 35