[23bb005621] Brief van PWC over Controleplan gemeente Rotterdam 2023
Tekst van het document
Controleplan | Gemeente Rotterdam | 2023 (definitief concept tbv bespreking COR)
Inhoudsopgave Begeleidende brief Onze kernboodschappen Onze controleaanpak
Communicatie
Morgen maak je samen_ Controleplan 2023
Gemeente Rotterdam 19 september 2023
0I
Controleplan | Gemeente Rotterdam | 2023 (definitief concept tbv bespreking COR)
Inhoudsopgave Begeleidende brief Onze kernboodschappen Onze controleaanpak
Communicatie
Inhoudsopgave Inhoudsopgave
1
Begeleidende brief
2
Onze kernboodschappen
3
Onze kernboodschappen
4
Uw feedback
5
Onze controleaanpak
6
Voorbereiden op veranderingen
7
IT-aanpak
8
Fraude en wet- en regelgeving
9
Cyberbeveiliging
10
Communicatie
11
Natuurlijk adviesfunctie
12
Ons team
13
ISA-vereisten
14
Verantwoordelijkheden
15
1
2
Controleplan | Gemeente Rotterdam | 2023 (definitief concept tbv bespreking COR)
Inhoudsopgave Begeleidende brief Onze kernboodschappen
Morgen maak je samen_ Gemeente Rotterdam T.a.v. de Commissie Onderzoek van de Rekening (COR) en het college van burgemeester en wethouders
Onze controleaanpak 19 september 2023
Communicatie
Referentie: DMS referentie Geachte leden van de COR en het college, Met veel plezier presenteren wij u ons controleplan voor 2023. Dit controleplan neemt als vertrekpunt de startnotitie 2023 en focust met name op onze werkzaamheden hieromtrent en onze communicatie daarover met u. In dit controleplan zetten wij uiteen wat de uitgangspunten van de startnotitie betekenen voor onze natuurlijke adviesfunctie en aandachtspunten daarbij en de communicatie met de COR. Graag gaan we daar met u het gesprek over aan en zijn benieuwd naar uw input. In de startnotitie, die in juni 2023 samen met de organisatie is opgesteld en met u gedeeld, zijn diverse onderwerpen besproken die ook onderdeel zijn van onze controleaanpak, denk aan de bepaling van de materialiteit, reikwijdte van de controle, controleaanpak per proces, controleplanning en samenwerking. Voor deze onderwerpen verwijzen wij naar de startnotitie 2023.
organisatie voor een goede ‘onboarding’ met behoud van haar ‘frisse blik’. We kijken uit naar een blijvende prettige samenwerking. Als u vragen heeft over zaken die in dit controleplan worden besproken, of als u andere zaken wilt bespreken voorafgaand aan onze bijeenkomst op 19 september, aarzel dan niet om contact met ons op te nemen.
Met vriendelijke groet, PricewaterhouseCoopers Accountants N.V.
drs. Martine Koedijk RA RE partner
Annemarie Kros RA EMITA director
Vanaf dit controlejaar zal Annemarie Kros als controleleider naast Martine leiding geven aan het controleteam van PwC. We zorgen samen met de PricewaterhouseCoopers Accountants N.V., Fascinatio Boulevard 350, 3065 WB Rotterdam, Postbus 8800, 3009 AV Rotterdam T: 088 792 00 10, F: 088 792 95 33, www.pwc.nl ‘PwC’ is het merk waaronder PricewaterhouseCoopers Accountants N.V. (KvK 34180285), PricewaterhouseCoopers Belastingadviseurs N.V. (KvK 34180284), PricewaterhouseCoopers Advisory N.V. (KvK 34180287), PricewaterhouseCoopers Compliance Services B.V. (KvK 51414406), PricewaterhouseCoopers Pensions, Actuarial & Insurance Services B.V. (KvK 54226368), PricewaterhouseCoopers B.V. (KvK 34180289) en andere vennootschappen handelen en diensten verlenen. Op deze diensten zijn algemene voorwaarden van toepassing, waarin onder meer aansprakelijkheidsvoorwaarden zijn opgenomen. Op leveringen aan deze vennootschappen zijn algemene inkoopvoorwaarden van toepassing. Op www.pwc.nl treft u meer informatie over deze vennootschappen, waaronder deze algemene (inkoop)voorwaarden die ook zijn gedeponeerd bij de Kamer van Koophandel te Amsterdam.
3
Controleplan | Gemeente Rotterdam | 2023 (definitief concept tbv bespreking COR)
Inhoudsopgave Begeleidende brief Onze kernboodschappen Onze kernboodschappen
Uw feedback Onze controleaanpak Communicatie
Onze boodschap In dit hoofdstuk staan we stil bij onze belangrijkste boodschappen en de fundamenten van onze controle.
01
4
Controleplan | Gemeente Rotterdam | 2023 (definitief concept tbv bespreking COR)
Inhoudsopgave Begeleidende brief
Risicobeoordeling
Onze kernboodschappen
We hebben onze risicobeoordeling samen met FA uitgevoerd op basis van ons begrip van uw organisatie. Deze significante en hogere risico’s zijn benoemd in de startnotitie.
Onze kernboodschappen Onze opdracht Onze kernboodschappen
Uw feedback Onze controleaanpak Communicatie
Onze controleopdracht bestaat uit de controle van de jaarrekening 2023 met betrekking tot het aspect getrouwheid (incl. WNT). Daarnaast controleren wij de rechtmatigheid van de specifieke uitkeringen in de SiSa-bijlage. Op basis van onze kennis verkregen tijdens de controle, stellen wij van het jaarverslag vast of de opgenomen informatie verenigbaar is met de jaarrekening.
Speerpunten voor de controle Onze opdracht
Het college zal in de jaarrekening 2023 verantwoording afleggen over de financiële rechtmatigheid van de Onze samentransacties. Wij controleren de getrouwheid van de werking rechtmatigheidsverantwoording.
Net zoals voorgaande jaren verwachten we dat de gemeenteraad via de COR weer speerpunten meegeeft voor de controle. Dit bespreken we graag in september.
Risicobeoordeling
Komend jaar hebben wij daarnaast vanuit onze rol de volgende aandachtspunten geformuleerd:
Jaarrekeningcontrole 2023
Speerpunten voor de controle
Onze samenwerking We zetten de ingezette verbreding van onze gesprekken met de concerncontroller en directie voort. In de managementmeetings zal daarnaast meer focus op 2 e lijnstaken en Belangrijkste verantwoordelijkheden worden gelegd. Uit de evaluatie met onderwerpen FA volgen nieuwe procesafspraken om de voortgang (per post) steviger te monitoren, zodat voldoende ruimte voor de werkzaamheden van PwC in het proces wordt gewaarborgd. De uitkomsten van de evaluatie door Concernaudit zijn nog niet bekend.
Onze controleaanpak
Belangrijke onderwerpen •
•
Impact van de implementatie van GREAT op de timing van het jaarrekeningproces 2023. De organisatie maakt momenteel inzichtelijk wat de impact is per proces. De testfase van GREAT start in september. Voor de rechtmatigheidsverantwoording gaan de organisatie en PwC uit van een implementatie in het huidige boekjaar 2023, aanpassingen betreffende de controletoleranties op getrouwheid en rechtmatigheid gaan hoogstwaarschijnlijk in vanaf 2024.
•
•
•
Sturen op schaarste van mensen en middelen (ombuigingen) is in deze tijd steeds belangrijker. We delen best practices met de organistie en onze inzichten over (benodigde) stuurinformatie.
•
Het verhogen van de informatiewaarde van de verschillende P&C producten, zodat (tussentijds) beter inzicht ontstaat in de realisatie van de doelstellingen (inclusief duurzaamheid).
Onze voorbereiding op de implementatie van GREAT voor de controle 2024. Wij beoordelen vooraf, dus in de testfase van GREAT, de blauwdruk van de conversie, de inrichting van de General IT Controls, inclusief toegangsrechten.
We controleren datagedreven met et gebruik van de functionaliteiten van HALO for Journals en HR4Insight. Daarnaast bespreken we op procesniveau data-analyse initiatieven en integreren we deze in de controle waar efficiënt.
Onze controleaanpak Samen met FA hebben wij de te verwachten controleaanpak in kaart gebracht (zie tabel startnotitie). Na de livegang in 2024 van GREAT onderzoeken we de mogelijkheden meer elementen van systeemgerichte en data-gedreven controle in te zetten.
Controleplan | Gemeente Rotterdam | 2023 (definitief concept tbv bespreking COR)
Inhoudsopgave Begeleidende brief Onze kernboodschappen Onze kernboodschappen
Uw feedback Onze controleaanpak Communicatie
Met focus op Rotterdam -1Houvast bieden in veranderende tijden Als PwC, willen we houvast bieden in veranderende tijden. Met onze kennis en expertise implementeren we een breed scala aan ideeën, lenzen of perspectieven ter ondersteuning van onze klanten en andere belanghebbenden. Kwaliteit is onze basis, en we zijn toegewijd aan onze verantwoordelijkheid om kwaliteit te leveren in onze audits en vertrouwen op te bouwen in de samenleving en de overheden. Naast een kwalitatief goede audit willen we dus vanauit onze natuurlijke adviesfunctie bijdragen aan de kwaliteit van de organisatie en de kaderstellende en controlerende taak van de gemeenteraad. Voor dit controlejaar hebben we, naast de speerpunten van de raad, de volgende aandachtspunten geformuleerd. Schaarste Sturen op schaarste van mensen (bij de eigen organisatie én bij de leveranciers en verbonden partijen), materialen en middelen wordt steeds belangrijker voor het realiseren van de beleidsdoelstellingen binnen het daarvoor beschikbare budget. Het maken van keuzes en realistisch begroten hoort daarbij. In de voorjaarsnota 2023 worden daarnaast aanzienlijke bezuinigingen aangekondigd voor de komende jaren op de personeelslasten. Ook daarvoor is monitoring van de realisatie van belang. We delen best practices met de organisatie vanuit de sector en onze inzichten over (benodigde) stuurinformatie.
Informatiewaarde Het verhogen van de informatiewaarde van de verschillende P&C-producten is een breedgedragen wens van de gemeenteraad, zodat (tussentijds) beter inzicht ontstaat over wat is bereikt op weg naar de realisatie van de doelstellingen. Net zoals voorgaande jaren zullen we reflecteren op de informatiewaarde van de jaarstukken en zullen daar ook specifiek aandacht schenken aan duurzaamheid (ESG). Speerpunten van de gemeenteraad: Deze speerpunten voegen we toe na de bespreking in de COR vergadering van 19 september 2023.
4I
Controleplan | Gemeente Rotterdam | 2023 (definitief concept tbv bespreking COR)
Inhoudsopgave Begeleidende brief
Met focus op Rotterdam -2-
Onze kernboodschappen Onze kernboodschappen
Uw feedback Onze controleaanpak Communicatie
Inzicht in ontwikkeling ‘tweede lijn’ In onze boardletter rapporteren we over de kwaliteit van de interne beheersing aan de hand van het drielijnenmodel. Hierbij maakten we onderscheid tussen de clusters (eerste en tweede lijn) en de derde lijn (Financial Audit). In de tweede lijn, bestaande uit de ondersteunende processen (zoals financiën en control) zijn de checks and balances georganiseerd om fouten te voorkomen. Deze tweede lijn is in Rotterdam belegd bij zowel de individuele clusters, als bij BCO (Bestuurs- en Concernondersteuning) en DMC (Directie Middelen & Control). Dit jaar willen we meer inzicht krijgen in de inrichting van deze 2e lijnstaken en verantwoordelijkheden en delen onze reflectie daarop in onze boardletter. Implementatie GREAT We starten in 2023 met onze voorbereidingen op de implementatie van GREAT voor de controle 2024, zodat eventuele bevindingen in het conversieproces nog tijdig kunnen worden meegenomen. Darnaast heeft de implementatie mogelijk invloed op de doorlooptijd van de controle 2023. In het hoofdstuk IT hebben we de impact van GREAT op het jaarrekeningproces en voorbereidingen op 2024 nader uitgewerkt. Morgen maken we samen We gaan met de organisatie het gesprek aan over onze observaties bij bovenstaande aandachtspunten en bij andere relevante ontwikkelingen die impact hebben op de bedrijfsvoering, verantwoording en de controleaanpak.
De gesprekken over dat laatste onderwerp voeren wij uiteraard in samenwerking met Financial Audit. Vanaf dit controlejaar zorgen we met Annemarie Kros als controleleider wederom voor een een frisse blik, terwijl we met de andere teamleden zorgen voor stabiliteit en behoud van kennis.
4II
5
Controleplan | Gemeente Rotterdam | 2023 (definitief concept tbv bespreking COR)
Inhoudsopgave Begeleidende brief Onze kernboodschappen Onze kernboodschappen
Uw feedback Onze controleaanpak
Uw feedback en hoe wij die opvolgen Onze bijdrage aan uw kwaliteit Verwachtingen naar elkaar uitspreken en evalueren is de basis voor een goede samenwerking en doorontwikkeling. Dit hebben we in de gezamenlijke evaluatie gedaan met Concerncontrol en Financial Audit. We geven prioriteit aan de onderwerpen waar de organisatie aan wil werken. Zo leveren wij kwaliteit en zijn we van waarde voor de organisatie. De belangrijkste aandachtsgebieden voor onze dienstverlening tijdens de controle van dit jaar zijn hier samengevat. De uitkomsten van de evaluatie door Concernauditing (op verzoek van Concerncontrol en FJINK) zijn nog niet bekend.
Communicatie Korte communicatielijnen over de voortgang Uw organisatie heeft aangegeven dat er meer behoefte is aan inzicht in de voortgang van de controle en een proactieve communicatie hieromtrent. Wij zoeken nog vaker gedurende de controle het gesprek om samen de tijdlijn te monitoren en status terug te koppelen. Wijzigingen in de tijdlijn door aanlevering, ziekte of complexiteit en de gevolgen voor de uitvoering maken we concreet voor de organisatie.
Krapte in de eindfase Financial Audit en PwC hebben gezamenlijk afgesproken om werkzaamheden eerder in het jaar uit te voeren om een tijdige afronding van de controle mogelijk te maken. Specifiek wordt onderzocht of aanlevering in de eindfase eerder compleet beschikbaar kan zijn voor PwC. Daarnaast maakt de organisatie inzichtelijke welke invloed de implementatie van GREAT heeft op het jaarrekeningtraject, zodat gezamenlijk een realistische planning kan worden opgesteld.
Vernieuwingen We controleren gericht datagedreven met de inzet van HALO for Journals (memoriaalboekingen) en HR4Insight (Lonen en Salarissen). Daarnaast bespreken we op procesniveau data-analyse initiatieven en integreren we deze in de controle waar efficiënt. De organisatie heeft aangegeven dit graag samen met ons te willen realiseren. Dit biedt de kans om een groter gedeelte van de populaties te beoordelen. Dit verhoogt onze kwaliteit van controle. Verder zijn trends eerder te zien en kunnen we deze delen.
1
2
3
4 Tijdige afstemming rondom de rechtmatigheidsverantwoording Het college dient in de jaarrekening 2023 een rechtmatigheidsverantwoording op te nemen. Wij vinden het belangrijk om zo vroeg mogelijk in de controle het proces van totstandkoming daarvan helder te hebben en de verantwoordelijkheden van het college, de raad en onze verantwoordelijkheden af te stemmen.
6
Controleplan | Gemeente Rotterdam | 2023 (definitief concept tbv bespreking COR)
Inhoudsopgave Begeleidende brief Onze kernboodschappen Onze controleaanpak
Voorbereiden op veranderingen IT-aanpak Fraude en wet- en regelgeving Cyberbeveiliging Communicatie
Onze controleaanpak Deze paragraaf is bedoeld om u een duidelijk overzicht te geven van de wijze waarop wij met de input van de voorgaande paragrafen de controle van de jaarrekening van gemeente uitvoeren.
03
7
Controleplan | Gemeente Rotterdam | 2023 (definitief concept tbv bespreking COR)
Inhoudsopgave Begeleidende brief
Startnotitie 2023: voorbereiden op verandering
Onze kernboodschappen Onze controleaanpak
Voorbereiden op veranderingen IT-aanpak Fraude en wet- en regelgeving
In juni 2023 is de startnotitie voor het controlejaar 2023 gedeeld. In de startnotitie zijn diverse onderwerpen besproken die ook onderdeel zijn van ons controleplan, denk aan de bepaling van de materialiteit, reikwijkdte van de controle, controleaanpak per proces, controleplanning en samenwerking. Daarom verwijzen u voor deze onderwerpen door naar onze gezamenlijke startnotitie 2023.
Cyberbeveiliging
De belangrijkste boodschappen in de startnotitie is dat de organisatie zich voorbereid op de implementatie van de rechtmatigheidsverantwoording in 2023 en de overgang van financieel systeem naar GREAT per 1 januari 2024.
Communicatie
Invoering rechtmatigheidsverantwoording Met de wijziging van de gemeentewet per 1 januari 2023 wordt de rechtmatigheidsverantwoording onderdeel van de jaarrekening. Het college legt daarin verantwoording af over de financiële rechtmatigheid van de transacties in de jaarrekening. Wij geven een getrouwheidsoordeel bij de jaarrekening en daarmee ook bij de verantwoording en toelichting op de financiële rechtmatigheid. De manier van rapporteren is dus anders, maar rechtmatigheid valt nog steeds binnen de reikwijdte van onze controle. Daarnaast geven we in de verklaring een oordeel ten behoeve van het Rijk over de rechtmatigheid van de specifieke uitkeringen (zoals verantwoord in de SiSa-bijlage). Wij nemen de in de startnotitie genoemde gevolgen door met de organisatie om vast te stellen of de organisatie op koers is met de implementatie en aanpassingen in de verantwoording. Dit laatste onderdeel willen we graag tijdens de interimfase in concept beoordelen.
Single information, Single audit (SiSa) Via de SiSa-bijlage bij de jaarrekening legt u verantwoording af over van ministeries en provincies ontvangen specifieke uitkeringen. De goedkeuringsen uitvoeringstolerantie zijn gelijk aan die voor de jaarrekening. De rapporteringstolerantie wijkt af van de jaarrekening: •
Voor regelingen < €125.000: €12.500.
•
Voor regelingen > €125.000 en < €1.000.000: 10% van de omvang basis van de specifieke uitkering.
•
Voor regelingen > €1.000.000: €125.000.
Wet Normering Topinkomens (WNT) Voor de controle op de bijlage Wet Normering Topinkomens gelden de toleranties zoals jaarlijks gepubliceerd in het Controleprotocol WNT op www.topinkomens.nl. De betreffende toleranties variëren van €0 tot enkele duizenden euro’s ten aanzien van onjuistheden in de verantwoording. Dit hangt af van het wel of niet opnemen van functionarissen.
8
Controleplan | Gemeente Rotterdam | 2023 (definitief concept tbv bespreking COR)
Inhoudsopgave Begeleidende brief
IT-aanpak
Onze kernboodschappen
De impact van IT-risico’s en IT General Controls op onze controleaanpak
Onze controleaanpak
De IT General Controls (‘ITGC’) zijn het beleid en de procedures die worden gebruikt om de IT-omgeving en de IT-activiteiten te beheren, en het proces van geautomatiseerde applicatiecontroles en geautomatiseerde accountingprocedures die afhankelijk zijn van computerprocessen te garanderen. We hebben ook ITGC’s geëvalueerd, omdat bepaalde handmatige beheersmaatregelen en rapporten afhankelijk zijn van systeemgenereerde informatie. In onze controle noemen we dit IT-afhankelijkheden.
Voorbereiden op veranderingen IT-aanpak Fraude en wet- en regelgeving Cyberbeveiliging
De ‘scoping’ rondom de IT-audit nader toegelicht Communicatie
Wij hebben applicatiesystemen, datawarehouses, rapportages en lagen van ondersteunende IT-infrastructuur beoordeeld. Die transacties leiden uiteindelijk tot verslaglegging in de jaarrekening. Deze systemen en de IT-infrastructuur (of een deel daarvan) kunnen daardoor van belang zijn voor de controle. De scope van de systemen die relevant zijn voor de jaarrekeningcontrole is: Oracle EBS, APRO, AOL, Gouw, ONS, ADP, Cognos, EPC2000, ABS, AVS, Parksaver, HAS, ISA, Sorga, BetaaltoolSorga, Socrates en de Active Directory. Impact implementatie GREAT op het jaarrekeningproces 2023 De organisatie maakt momenteel inzichtelijk wat de mogelijke impact van de implementatie van GREAT is voor de planning van de eindejaarscontrole per proces. Hierbij wordt gekeken naar medewerkers die in beide processen betrokken zijn, het identificeren van informatie uit 2024 die voor het jaarrekeningproces 2023 wordt opgevraagd. Doel is om knelpunten tijdig in kaart te hebben, te bepreken en te adresseren. Bijvoorbeeld door de volgorde in de tijdlijn bij te stellen of extra capaciteit in te plannen.
Impact implementatie GREAT op de jaarrekeningcontrole 2024 De voorbereidingen voor de implementatie van GREAT zijn in volle gang. In september komt de eerste testomgeving live. Voor de controle van 2024 beoordelen wij vooraf (in de testfase) een aantal relevante ‘producten’ zodat eventuele bevindingen tijdig kunnen worden meegenomen. In 2024 zullen we de benodigde controles uitvoeren op de daadwerkelijke conversie en implementatie en bepalen we de impact op de controleaanpak. Onderdeel van onze werkzaamheden zijn de (blueprint van de) conversie, de inrichting van de ITGC’s (inclusief toegangsrechten), de inrichting van de processen en de koppeling met de GRC-tool. Deze werkzaamheden zijn een eenmalige scopeuitbreiding van onze controleopdracht. Wij zullen hiervoor een aparte budgetaanvraag indienen. Data-analyse in de controle en onze audittools We hebben geïnvesteerd in digitale controletools die zorgen voor een controle zonder verrassingen, transparante communicatie en inzicht in uw processen. We controleren datagedreven met de inzet van HALO for Journals (dataanalysetool waarmee de betrouwbaarheid van informatie kan worden getoetst) en HR4Insight (gericht op de geautomatiseerde controle van de salariskosten). Daarnaast bespreken we op procesniveau data-analyse initiatieven en integreren we deze in de controle waar efficiënt.
Tot slot zetten we AURA (ons wereldwijde ERP-systeem voor audits) en Connect (waarmee we samen informatie snel en veilig kunnen delen) in.
AURA
HALO
Connect
HR Insights
9
Controleplan | Gemeente Rotterdam | 2023 (definitief concept tbv bespreking COR)
Inhoudsopgave Begeleidende brief
Fraude en het niet naleven van wet- en regelgeving
Onze kernboodschappen
Het risico van fraude en het niet naleven van wet- en regelgeving nader uiteengezet
Onze controleaanpak
Voorbereiden op veranderingen IT-aanpak Fraude en wet- en regelgeving Cyberbeveiliging
In onze controleverklaring 2022 hebben wij gerapporteerd over de frauderisico’s die zijn geïdentificeerd voor gemeente Rotterdam en de door ons uitgevoerde werkzaamheden. De geïdentificeerde frauderisico’s uit 2022 vormt de basis voor onze risicoanalyse en werkzaamheden voor dit jaar, waarbij we uiteraard weer kennisnemen van het frauderisicomanagement, relevante meldingen en media-uitingen waarin het mogelijk niet naleven van wet- en regelgeving door de gemeente Rotterdam wordt besproken. Frauderisicomanagement
Communicatie
In deze video wordt uitgelegd wat wij verwachten van een organisatie waarin goede governance belangrijk is voor het voorkomen en opsporen van fraude. Daarnaast geven we in de blog ‘De rol van de raad bij het voorkomen van fraude en corruptie’ een toelichting op het begrip fraude én de rol van gemeenteraadsleden bij het voorkomen van fraude en corruptie. We willen graag de volgende observatie van uw risicobeoordelings- en beheersingsproces met u delen op het gebied van fraude en het niet naleven van wet- en regelgeving: •
Gemeente Rotterdam beschikt over een gedragscode en klokkenluidersregeling en een meldpunt op de site.
•
Gemeente Rotterdam beschikt over een formeel proces voor het vaststellen en beoordelen van het risico van fraude, omkoping en corruptie, voor het beheersen van deze risico's en heeft een proces voor opvolging van meldingen en aanwijzingen voor fraudegevallen. Uw organisatie is zich bewust van risico’s ten aanzien van fraude en heeft dit bij haar processen
geïntegreerd in de (interne) controles. •
Een melding is vorig jaar via de klokkenluidersregeling bij PwC binnengekomen. Tijdens het publiceren van het accountantsverslag liep het onderzoek nog. In de boardletter wordt deze melding opgevolgd.
In onze controleverklaring 2023 zullen wij onze geactualiseerde risicoinschatting, verrichte werkzaamheden en materiële bevindingen ten aanzien van fraude rapporteren.
10
Controleplan | Gemeente Rotterdam | 2023 (definitief concept tbv bespreking COR)
Inhoudsopgave Begeleidende brief
Cyberbeveiliging
Onze kernboodschappen
Hoe gaat de gemeente Rotterdam om met het risico van cybercriminaliteit?
Onze controleaanpak Het effect van cyberbeveiliging op onze controle
Voorbereiden op veranderingen IT-aanpak Fraude en wet- en regelgeving Cyberbeveiliging Communicatie
Als onderdeel van onze controle, beoordelen we uw aanpak op veelvoorkomende blootstellingsgebieden op het gebied van cyberbeveiliging, zoals hieronder weergegeven. We beoordelen het niveau van activiteiten en beheersingsmaatregelen dat we zouden verwachten bij een met de gemeente Rotterdam vergelijkbare organisatie. Op basis hiervan bepalen we of er risicofactoren zijn die leiden tot een cyberbeveiligingsrisico dat een materiële impact zou kunnen hebben op de financiële overzichten en (indien nodig) plannen wij passende controleprocedures om dit risico af te dekken. Daarnaast bieden we u onze inzichten en feedback in een vergelijking met sectorstandaarden om uw cyberbeveiligingsrisico-aanpak verder te kunnen
versterken. Deze aanpak ziet toe op het proces van het identificeren van bedreigingen en risico’s door het implementeren van beheersingsmaatregelen, het detecteren van mogelijke aanvallen en uw vermogen om hierop te reageren en herstelwerkzaamheden uit te voeren. Actueel zijn dit jaar de voorbereidingen op de implementatie van de NIS2richtlijn. De richtlijn is nog niet definitief, het volgen van de ontwikkeling wordt sterk aangeraden. Onze recente publicaties op het onderwerp Cyberbeveiliging zijn beschikbaar voor een verdere verdieping.
Veelvoorkomende blootstellingsgebieden inzake cyberbeveiliging Bankoverschrijvingen en wijziging van de leveranciersgegevens Overboekingen en/of wijzigingen in bankrekeningen (gekraakte communicatie/phishing) door personen die zich voordoen als geautoriseerd leverancierspersoneel, bedrijfsleiders en/of financiële instellingen. Inbraakpreventie/detectie en monitoring Inbraakaanvallen (zoals ransomware), waardoor uw organisatie geen toegang krijgt tot haar kritieke infrastructuur, systemen en/of gegevens. Patchbeheer Exploitaties van bekende (niet-gepatchte) beveiligingskwetsbaarheden resulterend in de manipulatie/vernietiging van gegevens, waardoor de systeembeschikbaarheid wordt aangetast of de hierboven vermelde blootstellingsgebieden worden geactiveerd. Backup en herstel Gebrek aan effectieve back-up- en herstelprocedures die leiden tot cyberbeveiligingsincidenten die systemen onbruikbaar en/of niet herstelbaar maken.
11
Controleplan | Gemeente Rotterdam | 2023 (definitief concept tbv bespreking COR)
Inhoudsopgave Begeleidende brief Onze kernboodschappen Onze controleaanpak
Communicatie Natuurlijk adviesfunctie Ons team ISA-vereisten Verantwoordelijkheden
Communicatie In deze sectie belichten we onze samenwerking, de planning van de werkzaamheden.
06
12
Controleplan | Gemeente Rotterdam | 2023 (definitief concept tbv bespreking COR)
Inhoudsopgave Begeleidende brief Onze kernboodschappen Onze controleaanpak
Communicatie
Heldere communicatie die verbindt Onze invulling van de controle is gericht op een ordelijke financiële verantwoording en een onafhankelijke bron van informatie voor de COR en het college. U kunt er daarnaast op rekenen dat we:
Hieronder is tot slot een opsomming opgenomen van de verschillende contactmomenten waarbij we relevante informatie te delen: •
aanwezigheid bij de COR en periodiek overleg met de griffie;
•
bij wijzigingen in de wet- en regelgeving u tijdig van actuele informatie voorzien, zoals nu bij de rechtmatigheidsverantwoording of bij de aankomende wijzigingen in de verantwoordingsgrens in 2024;
•
periodiek overleg met Concern Directie, gemeentesecretaris en concerncontroller;
•
•
meelezen in de kaderstelling die de organisatie voorbereidt, vanuit vaktechnisch oogpunt, maar ook vanuit het perspectief van de raad. Uiteraard koppelen we dit waar relevent ook terug naar de raad. Op deze manier dragen we vooraf bij aan ‘stuurbare’ kaders;
aanwezigheid Management Meetings om draagvlak te creëren voor aanbevelingen;
•
tijdige afstemming over kritische dossiers, waarin samen gekeken wordt naar een passende verantwoording en informatievoorziening naar de COR;
•
operationele afstemming die wekelijks plaatsvindt tussen Financial Audit en het team in de actieve controleblokken;
•
Martine is klankbord voor de COR, het college en de directie;
•
Annemarie is elke dinsdag ‘in huis’ en beschikbaar voor vragen;
•
periodiek overleg met FA en Concerncontrol over de jaarrekeningcontrole, specifieke dossiers en de onderwerpen zoals hieronder in de tabel weergegeven.
Natuurlijk adviesfunctie Ons team ISA-vereisten • Verantwoordelijkheden •
de COR en raadsleden in positie brengen voor hun kaderstellende en controlerende functie door focus op de informatiewaarde, de (kwaliteit van de) kaderstelling en relevante speerpunten; gedurende het jaar tenminste de volgende rapportages uitbrengen: controleplan, boardletter en accountantsverslag inclusief controleverklaring.
In tabel 2 is hiernaast weergegeven met welke gremia we de diverse onderwerpen c.q. (gezamenlijke) rapportages bespreken gedurende het jaar.
13
Controleplan | Gemeente Rotterdam | 2023 (definitief concept tbv bespreking COR)
Inhoudsopgave Begeleidende brief
Ons team
Onze kernboodschappen
Een deskundig en ervaren team
Onze controleaanpak
Ons team is betrokke en vastbesloten om voor u beschikbaar te zijn. In het figuur vermelden wij de belangrijkste leden van ons controleteam.
Communicatie Natuurlijk adviesfunctie Ons team ISA-vereisten Verantwoordelijkheden
Martine Koedijk is net als afgelopen jaar uw tekenend accountant. Conform eerdere communicatie is Anton Eelco Gerritsma van de opdracht geroteerd. Annemarie Kros neemt zijn rol over. Ervaring blijft geborgd, doordat het managers team en het IT team gelijkblijven en zij hebben meerdere jaren betrokkenheid bij de gemeente Rotterdam. Met andere woorden een ervaren team én een frisse blik. Daarnaast vragen bepaalde onderwerpen mogelijk om aanvullende expertise die verder gaat dan de traditionele controlemiddelen. Wij zullen deze dan intern raadplegen zodat we beschikken over de juiste middelen om onze controledoelstellingen te realiseren. Op basis van hun best practice-kennis zal ons team standpunten geven met betrekking tot de gemeente, de sector en naleving van de regelgeving. Geen bedreigingen inzake onze onafhankelijkheid geïdentificeerd Het Nederlands recht en ons interne beleid verplichten ons onze onafhankelijkheid actief te beschermen. Om onze onafhankelijkheid te garanderen, controleren wij onder meer - vooraf dat elk controleverzoek en verzoek om controleverwante en niet-controlediensten onze onafhankelijkheid niet in gevaar brengt, in overeenstemming met de huidige externe regelgeving en vragen, zoals afgesproken, daarnaast alle verzoeken ter goedkeuring voor aan de COR.
Wij hebben geconcludeerd dat er geen bedreigingen zijn geïdentificeerd ten aanzien van de onafhankelijkheid als accountant van de gemeente Rotterdam.
Martine Koedijk Partner, sectorleider lokale overheden 06 183 045 41 martine.koedijk@ pwc.com
Erwin de Horde Partner IT audit 06 513 817 29 erwin.de.horde@ pwc.com
Annemarie Kros Director 06 108 191 03 annemarie.kros@ pwc.com
Een toegewijd team
Pieter Blanksma Manager 06 139 121 74 pieter.blanksma@ pwc.com
Wouter Oosterlee Manager IT audit 06 139 980 27 wouter.oosterlee@pwc.com
Onze waarden waar u op kunt rekenen:
14
Controleplan | Gemeente Rotterdam | 2023 (definitief concept tbv bespreking COR)
Inhoudsopgave Begeleidende brief Onze kernboodschappen
Door controlestandaarden vereiste communicatie Als PwC vinden wij het van belang om u te laten zien op welke wijze wij de belangrijkste voorwaarden en aandachtspunten van de controle aan u rapporteren. Deze hebben we opgenomen in onderstaande tabel.
Onze controleaanpak
Communicatie Natuurlijk adviesfunctie
Vereiste communicatie op grond van controlestandaarden
Startnotitie
Controleplan
Boardletter
Accountantsverslag
Mededeling over de verantwoordelijkheden van de accountant
Ons team
Bevestiging van de onafhankelijkheid van PwC
ISA-vereisten
De zaken die zijn aangemerkt als kernpunten van de controle
Verantwoordelijkheden
Eventuele significante tekortkomingen in de interne controle
Eventuele ontdekte of vermoede fraude
Niet naleven van wet- en regelgeving
Schriftelijke bevestigingen gevraagd van het management
Alle zaken die van invloed zijn op de vorm en inhoud van de controleverklaring.
Standpunt van de accountant over belangrijke kwalitatieve aspecten van de verslaggeving door het college
Rapporteren over significante moeilijkheden, aangelegenheden en overige zaken die van belang zijn voor het toezicht op het financiële verslaggevingsproces
Niet-gecorrigeerde afwijkingen
Significante aangelegenheden die naar voren komen tijdens de controle in verband met verbonden partijen van de gemeente
Beschrijving van de reikwijdte en timing van de controle, waaronder significante risico’s
Controleplan
15
Controleplan | Gemeente Rotterdam | 2023 (definitief concept tbv bespreking COR)
Inhoudsopgave Begeleidende brief Onze kernboodschappen
Verantwoordelijkheden Overzicht van verantwoordelijkheden met betrekking tot de jaarrekening
Onze controleaanpak
Communicatie Natuurlijk adviesfunctie
Verantwoordelijkheden van het college en de raad
Verantwoordelijkheden van de accountant
Het college is verantwoordelijk voor:
Onze verantwoordelijkheid is het plannen en uitvoeren van een controleopdracht op een manier die ons in staat stelt om voldoende en passende controle-informatie te krijgen die een basis voor onze verklaring biedt.
•
Ons team ISA-vereisten
het opstellen en getrouw weergeven van de jaarrekening in overeenstemming met het Besluit Begroting en Verantwoording provincies en gemeenten (‘BBV’) en het bepaalde bij en krachtens de Wet normering topinkomens (‘WNT’);
•
de rechtmatige totstandkoming van de baten, lasten en balansmutaties in overeenstemming met de begroting en met de in relevante wet- en regelgeving opgenomen bepalingen; en voor
•
interne beheersingsmaatregelen die het college noodzakelijk acht om een jaarrekening te kunnen opstellen die geen afwijkingen van materieel belang bevat door fraude of fouten.
Verantwoordelijkheden
Bij het opmaken van de jaarrekening moet het college afwegen of de financiële positie voldoende is om de gemeente in staat te stellen de risico’s vanuit de reguliere bedrijfsvoering financieel op te vangen. De raad is verantwoordelijk voor het toezicht op het proces van de financiële verslaggeving door de gemeente.
Onze doelstellingen zijn het krijgen van redelijke zekerheid of de jaarrekening als geheel geen onjuistheden van materieel belang bevat of die nu worden veroorzaakt door fraude of door fouten, en het afgeven van een controleverklaring waarin onze verklaring is opgenomen. Redelijke zekerheid betekent een hoge, maar geen absolute mate van zekerheid, waardoor wij mogelijk niet alle materiële onjuistheden ontdekken. Onjuistheden kunnen ontstaan als gevolg van fraude of fouten. Zij worden als materieel beschouwd wanneer redelijkerwijs kan worden verwacht dat ze, elk afzonderlijk of in totaal, gevolgen kunnen hebben voor de economische beslissingen die gebruikers op grond van de jaarrekening nemen. Materialiteit heeft gevolgen voor de aard, timing en omvang van onze controlewerkzaamheden en de evaluatie van het effect van vastgestelde onjuistheden op onze verklaring. Voor een gedetailleerde beschrijving van onze verantwoordelijkheden verwijzen wij u naar de bijlage bij onze controleverklaring.
15I
Controleplan | Gemeente Rotterdam | 2023 (definitief concept tbv bespreking COR)
Inhoudsopgave Begeleidende brief Onze kernboodschappen
Verantwoordelijkheden Overzicht van verantwoordelijkheden met betrekking tot fraude en wet- en regelgeving
Onze controleaanpak
Communicatie
De verantwoordelijkheden van het college
De verantwoordelijkheden van de raad
Natuurlijk adviesfunctie
Deze bestaan uit:
Deze bestaan uit:
• het identificeren en bewaken van de wet- en regelgeving die van toepassing
• het versterken van een cultuur van eerlijkheid en ethisch gedrag door middel
Ons team ISA-vereisten Verantwoordelijkheden
is op de entiteit en zorgen voor volledigheid ervan;
van actief toezicht;
• het uitvoeren van een risicobeoordeling waarbij specifiek aandacht wordt
• het evalueren van de beoordeling door het management van de risico's in
besteed aan het risico van fraude door het bespreken van prikkels en pressiepunten, kansen, en instellingen en rationaliseringen, evenals het risico van niet-naleving van wet- en regelgeving;
• ervoor zorgen dat het college passende maatregelen nemen om fraude en
• het ontwerpen en implementeren van programma’s en beheersingsmaatregelen om fraude (fraudebestrijdingsprogramma’s) en niet-naleving van wet- en regelgeving te voorkomen, te bestrijden en op te sporen;
• ervoor zorgen dat de cultuur en de omgeving van de entiteit eerlijkheid en ethisch gedrag bevorderen;
• ervoor zorgen dat de activiteiten van de entiteit worden uitgevoerd conform de bepalingen van wet- en regelgeving, en dat deze voldoen aan de wet- en regelgeving waarin de bedragen en de toelichtingen in de jaarrekening wordt geregeld;
• het inrichten van een zodanig systeem van interne beheersing dat noodzakelijk is om het opmaken van de jaarrekening en de naleving van de relevante wet- en regelgeving mogelijk te maken zonder afwijkingen van materieel belang als gevolg van fraude of fouten;
• het onderzoeken van vermeende of vermoede misstanden die onder de aandacht van het college zijn gebracht.
verband met fraude en niet-naleving van wet- en regelgeving, implementatie van passende maatregelen en zorgen voor een juiste tone at the top; niet-naleving van wet- en regelgeving te bestrijden en te voorkomen en om werknemers en andere stakeholders beter te beschermen;
• het onderzoeken van vermeende of vermoede misstanden die onder de aandacht van de raad zijn gebracht;
• het stellen van vragen aan het college over beheersingsmaatregelen ter bewaking van doelstellingen, zodat deze in redelijkheid haalbaar zijn.
15II
Controleplan | Gemeente Rotterdam | 2023 (definitief concept tbv bespreking COR)
Inhoudsopgave Begeleidende brief Onze kernboodschappen
Verantwoordelijkheden Overzicht van verantwoordelijkheden met betrekking tot fraude en wet- en regelgeving
Onze controleaanpak
Communicatie
De verantwoordelijkheden van de accountant De accountant is verantwoordelijk voor:
Natuurlijk adviesfunctie
• het inplannen en uitvoeren van de controle om redelijke zekerheid te
Ons team ISA-vereisten Verantwoordelijkheden
bieden dat de jaarrekening geen materiële onjuistheden bevat, ongeacht of deze worden veroorzaakt door fraude of door fouten;
• het evalueren of de programma's en beheersingsmaatregelen van de entiteit waarmee geïdentificeerde risico's van materiële fouten als gevolg van fraude en als gevolg van niet-naleving van wet- en regelgeving worden aangepakt op de juiste wijze zijn opgezet en in werking gesteld;
• het evalueren van het proces van het management voor het beoordelen van de effectiviteit van programma’s en beheersingsmaatregelen in verband met fraude en niet-naleving van wet- en regelgeving;
In de context van onze controle van de jaarrekening zijn onze doelstellingen met betrekking tot fraude en niet-naleving van wet- en regelgeving als volgt: •
het vaststellen en beoordelen van het risico van materiële onjuistheden in de jaarrekening als gevolg van fraude en als gevolg van niet-naleving van wet- en regelgeving;
•
het verkrijgen van voldoende geschikte controle-informatie met betrekking tot de beoordeelde risico's van materiële onjuistheden als gevolg van fraude, door een gepaste controleaanpak te ontwerpen en te implementeren;
•
het verkrijgen van voldoende geschikte controle-informatie met betrekking tot naleving van de bepalingen van die wet- en regelgeving waarvan algemeen wordt erkend dat ze directe gevolgen hebben voor de bepaling van materiële bedragen en toelichtingen in de jaarrekening; en
•
het adequaat reageren op tijdens de controle geconstateerde (vermoede) fraude en niet-naleving van wet- en regelgeving.
• het evalueren van noemenswaardige fraude aan de zijde van het seniormanagement en de gevolgen voor de controleomgeving;
• het adequaat reageren op tijdens de controle geconstateerde (vermoede) fraude en niet-naleving van wet- en regelgeving.