[23bb007481] Bijlage behorende bij 23bb7480 - Interim-rapport Financial Audit jaarrekeningproces 2023

Interim- rapport Controlejaar 2023

Financial Audit

Peildatum 1 Oktober 2023

Financial Audit

Interim- rapport controlejaar 2023

ínhoud

Algemeen beeld................................................................................................................. 2 Samenvattend tabel.......................................................................................................... 4 Ontwikkelingen - Oracle GREAT....................................................................................... 5 1. Administratie & Verslaglegging.....................................................................................6 2. Inkopen..........................................................................................................................7 3. Aanbesteden.................................................................................................................. 9 4. Betalingsorganisatie................................................................................................... 11 5. Human Resources (HR).................................................................................................12 6. Verstrekte Subsidies en Bijdragen...............................................................................13 7. Belastingen en Heffingen............................................................................................. 15 8. Sociale uitkeringen...................................................................................................... 17 9.

Wmo/ Jeugd................................................................................................................. 19 10. Vastgoed.....................................................................................................................21 11. Grondexploitaties & Erfpacht......................................................................................24 12. Verkoop & Facturatie..................................................................................................26 13. Ontvangen Subsidies & Bijdragen..............................................................................28 14. Treasury..................................................................................................................... 29 15. IT General Controls (ITGC)........................................................................................ 30 15. IT General Controls (ITGC)........................................................................................ 32

1 oktober 2023 1

Financial Audit

Interim- rapport controlejaar 2023

Algemeen beeld In het interim-rapport van Financial Audit (FA) met peildatum 1 oktober, worden de eerste bevindingen en bijzonderheden naar aanleiding van de controle 2023 gerapporteerd. De basis voor onze controleaanpak (systeemgericht/ gegevensgericht) is de startnotitie 2023 zoals deze in de COR van 27 juni jl. is behandeld.

Opzet en bestaan Voor de financieel kritieke processen en systemen zijn de risicoanalyses geactualiseerd, de (key)controls zijn bepaald en is de opzet beoordeeld. Daaropvolgend zijn de lijncontroles uitgevoerd om het bestaan van de (key)controls vast te stellen en is de werking bij enkele processen deels beoordeeld. De uitkomsten van deze beoordeling is in de tabel op pagina 5 van dit rapport opgenomen. Waar tekortkomingen zijn gesignaleerd is dit d.m.v. de kleur oranje weergegeven. Deze tekortkomingen leiden nog niet tot een wijziging in de controle aanpak zoals deze is opgenomen in de startnotitie 2023. Ten opzichte van vorig jaar zien we verbeteringen in de interne beheersing. We zien zowel verbeteringen vanuit de lijn zelf, maar ook dat invulling wordt gegeven aan de opvolging van onze eerdere aanbevelingen. Bij verschillende processen wordt aangegeven dat verbeteringen gerealiseerd worden met de invoering van GREAT. De huidige stand van het project maakt dat invoering per 1 januari 2024 niet meer haalbaar is. Verbeteringen in de interne beheersing zullen daardoor later gerealiseerd worden. Dit heeft zowel effect bij de verschillende processen als in de controleaanpak voor FA. In dit interim- rapport wordt nader ingegaan op GREAT.

Belangrijkste bevindingen vanuit de controle S Administratie en Verslaglegging (A&V); wijziging in verantwoordingssystematiek leidt tot een rechtmatigheidsfout van C 13,4 mln; S Inkopen: bij de beoordeling van de opzet en het bestaan blijkt de kwaliteit van de prestatieverklaringen evenals 2022 niet toereikend; S Aanbesteden: de overbruggingsovereenkomst voor 20 percelen inkoop wijkteam medewerker 2023 leidt tot een onrechtmatigheid van C 33,7 mln. Positief is dat de onrechtmatigheid zelf is geconstateerd en gemeld bij FA; S Bij Human Resources (HR), Belastingen S

S en Heffingen en Sociale uitkeringen blijkt dat de werking (vastlegging) van Change Management niet op orde is; S Wmo/Jeugd: als gevolg van de implementatie van de nieuwe applicaties is de informatieverstrekking vanuit het cluster niet toereikend om de controle over het eerste halfjaar uit te voeren. Ook de IT-audit loopt vertraging op. Het té laat opstarten van de controle heeft effect op de afronding van de controle en daarmee ook voor de jaarrekening; S Verkoop en Facturatie: subproces Vervoer & Materieel onderdeel verhuur, hebben wij de volledigheid van de opbrengsten over het eerste halfjaar niet kunnen vaststellen; S Ontvangen Subsidies en bijdragen: als gevolg van het niet centraal registeren van subsidieaanvragen kan de volledigheid van de opbrengsten niet worden vastgesteld.

Invoering Rechtmatigheidsverantwoording Vanaf het controlejaar 2023 is de rechtmatigheidsverantwoording ingevoerd. Het college legt in de jaarrekening verantwoording af over rechtmatigheidsfouten en de externe accountant beoordeeld of voldoet aan de gestelde eisen (volledigheid en juiste toelichting). Deze beoordeling wordt meegenomen in het uiteindelijke accountantsoordeel.

1 oktober 2023 2

Financial Audit

Interim- rapport controlejaar 2023

De invoering van de rechtmatigheidsverantwoording heeft voor de werkzaamheden van FA een beperkt effect. In de controle maakt FA al onderscheidt tussen rechtmatigheid en getrouwheid. Alleen in de rapportages, zowel in deze interim, onze eindrapportage en de VGR, zullen waar dit van toepassing is nadrukkelijke onderscheid maken in rechtmatigheid en getrouwheid. FA zal de controle op de rechtmatigheid ook in de komende jaren blijven uitvoeren. Wel zal er binnen het concern meer aandacht moeten komen voor het zelf bepalen van rechtmatigheidsafwijkingen en de rapportage hierover. Het uiteindelijke doel is om hiervoor minder op de werkzaamheden van FA te steunen maar meer vanuit het primaire proces zelf te registeren en verantwoorden. Per peildatum is definitieve wetVregelgeving voor de rechtmatigheidsverantwoording nog onderhanden. Naar verwachting zal dit in het laatste kwartaal van dit jaar volledig duidelijk worden en het effect op onze werkzaamheden en rapportage definitief bepaald worden.

Vooruitblik Vooruitkijkend naar het tweede deel van de controle van de jaarrekening 2023 zien we een aantal risico's & aandachtspunten die effect kunnen hebben op de tijdige afronding. De belangrijkste zijn: ^ Het (te) laat beschikbaar zijn van kwalitatief juiste controle informatie vanuit SORGA zodat de controle uitgevoerd kan worden. Tot medio november 2023 is er een informatiestop vanuit MO ingesteld. Dat houdt in dat informatie laat beschikbaar is en er een reëel risico is dat de kwaliteit ook niet in één keer toereikend is. FA heeft hierover gesprekken met MO, maar daarmee blijft het risico bestaan. ^ Beschikbaarheid van collega's met de juiste kennis, zowel bij FA als bij de clusters. Bij verschillende processen zijn sleutelpersonen niet of beperkt beschikbaar door inzet op andere trajecten. Daarnaast constateren we dat er op verschillende plaatsen vacatures zijn. Voor FA geldt in ieder geval dat deze vacatures lastiger in te vullen zijn door schaarste op de arbeidsmarkt en zijn de mogelijkheden van externe inhuur beperkt doordat ZZP inhuur niet toegestaan is. ^ In 2023 lijkt wederom sprake te zullen zijn van toename van het aantal te controleren SiSa-regelingen (2022: 66 regelingen).

Het is echter de verwachting dat er in het 2e halfjaar 2023 nog meerdere nieuwe specifieke uitkeringen zullen worden verstrekt, indicatief nu ingeschat op 5 tot 10 nieuwe regelingen, waardoor wederom sprake lijkt te zijn van toename van het aantal te controleren SiSa-regelingen (2022: 66 regelingen). Aandacht in de organisatie voor zowel de tijdigheid als volledigheid van de aan te leveren SiSa-dossiers blijft echter noodzakelijk om tijdig de controle af te kunnen ronden. ^ De voor de invoering van de rechtmatigheidsverantwoording benodigde wijzigingen in de landelijke regelgeving hebben nog steeds niet allemaal hebben plaatsgevonden. Hierdoor ontstaat een risico voor het tijdig kunnen opstellen en controleren van de rechtmatigheidsverantwoording in jaarrekening 2023. Dit risico is vergroot door de recente publicatie van de kadernota rechtmatigheid 2023 door commissie BBV, waarbij ten aanzien van met name begrotingsonrechtmatigheid sprake lijkt te zijn van een verzwaring van het normenkader.

Onafhankelijkheid

Bij het uitvoeren van onze (controle) werkzaamheden over 2023 zijn ons geen bedreigingen bekend ten aanzien van de onafhankelijkheid van de afdeling FA als geheel of van individuele personeelsleden, die van invloed zouden (kunnen) zijn op de in deze rapportage opgenomen bevindingen.

1 oktober 2023 3

Interim- rapport controlejaar 2023

Financial Audit

Samenvattend tabel Beheersmaatregelen

Proces Opzet

Bestaan

Bevindingen Werking

Getrouwheid

Rechtmatigheid

1. Administratie & Verslaglegging (A&V) 2. Inkopen 3. Aanbesteden

N.V.T

4. Betalingsorganisatie 5. Human Resources (HR) 6. Verstrekte subsidies en bijdragen 7. Belastingen en heffingen 8. Sociale uitkeringen 9. Wmo/ Jeugd 10. Vastgoed 11. Grondexploitaties & Erfpacht) 12. Verkoop en facturatie 13. Ontvangen subsidies en bijdragen 14. Treasury 15. ITGC

De gehanteerde rapportagetolerantie bedraagt 5% van de goedkeuringstolerantie en bedraagt C 2.351 mln. Berekend op basis van de eerste herziening 2023. Beheersmaatregelen

Bevindingen

Er zijn geen tekortkomingen in de interne beheersmaatregelen geconstateerd.

Er zijn geen financiële bevindingen > 5% van de goedkeuringstolerantie C 2.351 mln.

Er zijn tekortkomingen in de interne beheersmaatregelen geconstateerd, waardoor een effectieve controle niet mogelijk is.

Er zijn financiële bevindingen > 5% van de goedkeuringstolerantie C 2.351 mln. Een nadere toelichting is terug te vinden bij de bevindingen van de processen.

Er zijn geen of onvoldoende interne beheersmaatregelen geconstateerd, waardoor er een groot risico is op de interne beheersing van het proces. Als er geen kleur in de tabel is opgenomen, dan is de controles bij het proces (nog) niet gestart of afgerond. Dit is volgens de controleplanning

Als er geen kleur in de tabel is opgenomen, dan is de controle bij dit proces niet gestart of niet van toepassing.

1 oktober 2023 4

Financial Audit

Interim- rapport controlejaar 2023

Ontwikkelingen - Oracle GREAT FA is in de afgelopen maanden vanuit onze 3e lijns rol betrokken geweest bij de ontwikkeling van het project GREAT, zowel bij de inhoudelijke sporen als de inrichting en inzet van GRC-tooling en de conversie/migratie. De betrokkenheid geeft FA de mogelijkheid adviezen te geven over inrichtingskeuzes die bijdragen tot een verbetering in de interne beheersing en de mogelijkheden voor een andere controleaanpak na live-gang. Ook de betrokkenheid bij de eerste resultaten van de proefconversies zorgen ervoor dat het uiteindelijke conversiedossier voldoet aan de gestelde eisen vanuit de audit zodat een effectieve controle van dit dossier mogelijk wordt. De Gemeente Rotterdam heeft vastgesteld dat het consortium de eerste mijlpaal per 1 september niet heeft behaald. Op deze datum had de technische oplevering van de software-oplossing moeten plaatsvinden als startpunt van de functionele acceptatiefase. Het projectmanagement stuurt nu op technische oplevering per 1 december 2023. Door deze verschuiving zal ook de livegang van Oracle GREAT later gaan plaatsvinden. FA signaleert dat deze verschuiving gevolgen zal hebben voor de jaarrekeningcontrole 2024. Door de latere introductie van Oracle GREAT zullen meegenomen procesverbeteringen pas later worden gerealiseerd.

Daarnaast is op dit moment ook nog niet duidelijk wat de gevolgen zijn voor de te hanteren datamigratie-strategie. FA verwacht daarmee dat, gelet op deze onzekerheden, extra aanvullende gegevensgerichte werkzaamheden in 2024 nodig zullen zijn. De omvang en diepgang van deze extra werkzaamheden worden pas duidelijk nadat het project GREAT keuzes gemaakt heeft over de wijze waarop het systeem live wordt gebracht. FA adviseert om hier op korte termijn helderheid in te krijgen zodat hier proactief vanuit de verschillende disciplines, waaronder FA, op geacteerd kan worden.

1 oktober 2023 5

Interim- rapport controlejaar 2023

Financial Audit

1. Administratie Ä Verslaglegging Bij de beoordeling van de opzet en het bestaan van de beheersmaatregelen zijn geen bijzonderheden geconstateerd. De gegevensgerichte controle van de maandafsluitingen 5 en 6 is afgerond. Aandacht wordt gevraagd voor het nauwkeurig verwerken van Raadsbesluiten. Het niet juist verwerken zorgt voor rechtmatigheidsfouten in de verantwoording. Naar aanleiding van onze bevindingen zijn de boekingen op de juiste wijze hersteld en daarmee niet meer onrechtmatig.

Bevindingen en aanbevelingen Bevinding 1: Reserves Bij de controle van de reserves bij de maandafsluitingen 5 en 6 is geconstateerd dat er afwijkingen waren tussen de Raadsbesluitvorming en de hieruit voortvloeiende realisatie in de financiële administratie. Na afstemming van deze afwijkingen zijn tijdig correcties doorgevoerd, zodat deze afwijkingen ook niet zijn opgenomen in de voortgangsrapportage (VGR). Inmiddels zijn over de formulering van ontwerpbesluiten afspraken gemaakt met de Directie Middelen & Control om deze afwijkingen in de toekomst te voorkomen. Aanbeveling: Er zijn afspraken gemaakt om deze afwijkingen in de toekomst te voorkomen. Bij ons valt de beoordeling op de realisatie van de Raadsbesluitvorming in de financiële administratie binnen het reguliere werkprogramma.

Bevinding 2: Overlopende activa en passiva Overheidsmiddelen Uit de controle door FA blijkt dat de overlopende activa overheidsmiddelen per eind juni 2023 voor C13,4 mln te laag is verantwoord. BCO heeft besloten om de regelingen, die onderdeel zijn van de overlopende overheidsmiddelen, via een fondsproject te laten lopen en niet rechtstreeks in het grootboek te verantwoorden. Als gevolg hiervan is bij een drietal regelingen C13,4 mln (overlopende activa overheidsmiddelen) teruggeboekt naar de exploitatie maar zijn er nog geen fondsprojecten aangemaakt. De fout wordt mede veroorzaakt door de veronderstelde afwijking bij de definitie van een fondsproject bij het proces ontvangen subsidies en bijdragen in relatie tot de verloopstaat medeoverheden. Aanbeveling: Wij adviseren om bij een administratieve wijziging voorafgaand aan de verwerking een afstemming plaats te laten vinden tussen de betrokken medewerkers. Dit met het doel de verloopstaat medeoverheden in dezelfde boekingsperiode aan te laten sluiten met de verwerking van fondsprojecten binnen het proces van Ontvangen subsidies en bijdragen.

Managementreactie door proceseigenaar Bevinding 1: de bevindingen worden herkend en BCO-FJINK sluit aan bij de gemaakte afspraken. Bevinding 2: de bevindingen worden herkend en BCO-FJINK sluit aan bij het advies. Inmiddels zijn voor deze drie regelingen de fondsprojecten aangemaakt. FR en de clusters zijn zich inmiddels bewust dat de kaders en richtlijnen gehandhaafd worden en dat voor elke IBS-regeling een fondsproject aangemaakt moet worden. Daarnaast heeft een overleg plaatsgevonden tussen E-IBS, BCO Accounting en FA om de onduidelijkheden over de inrichtingsvereisten van een fondsprojecten te bespreken om afwijkingen hierover in de toekomst te voorkomen.

1 oktober 2023 6

Financial Audit

Interim- rapport controlejaar 2023

2. Inkopen Bij de beoordeling van de opzet en het bestaan van de beheersmaatregelen zijn nog enkele leemtes geconstateerd. De gegevensgerichte controle verloopt volgens planning en leidt niet tot fouten boven de rapportagetolerantie. Net als in 2022 blijft de controle op de prestatieverklaringen bij facturen het voornaamste aandachtspunt.

Bevindingen en aanbevelingen Bevinding 1: Beoordeling opzet en bestaan van de beheersmaatregelen De opzet van de AO/IB bij het proces inkopen is ten opzichte van 2022 ongewijzigd. Bij de beoordeling van de opzet en het bestaan van de beheersmaatregelen is de interne controle van de juistheid van de in rekening gebrachte prijs en de controle op de onderbouwing van de prestatieverklaring niet altijd zichtbaar. Aanbeveling: Wij adviseren in 2024 het proces binnen het nieuwe financiële systeem te beoordelen en na te gaan welke leemtes er zijn en op welke wijze deze ondervangen kunnen worden.

Bevinding 2: Steekproefdossiers De samenwerking tussen BCO-FJINK en FA verloopt goed. De uitvraag en de aanlevering van de inkoopdossiers vindt tijdig plaats. Periodiek vindt overleg plaats over knelpunten. Een aandachtspunt is dat wij evenals vorig jaar nog relatief veel vragen moeten stellen, met name t.a.v. de onderbouwing van de prestatieverklaring en in mindere mate over de onderbouwing van de prijs. Aanbeveling: Wij adviseren om dossiers voor overdracht aan FA gericht te beoordelen of de prijs en de prestatieverklaring voldoende onderbouwd zijn met relevante documenten uit het dossier. Vanuit FA zullen wij ook concrete voorbeelden in de periodieke overleggen meegeven met als doel de kwaliteit te verbeteren en vragen te verminderen.

Managementreactie door proceseigenaar Bevinding 1: er wordt verwezen naar de juistheid van de in rekening gebrachte prijs. De prijs wordt gecontroleerd op basis van een prijsblokkade. De blokkade treedt op wanneer de prijs op de inkooporder afwijkt van de gefactureerde prijs. De bevinding is dus niet juist. Dit zijn reeds bestaande controles in het systeem Oracle. Afdeling Accounting en afdeling Inkoop hebben extra beheersmaatregelen genomen op de onderbouwing van de prestatieverklaring. In het balansdossier P2P zijn extra werkstappen toegevoegd, waarbij er zes keer per jaar een follow up plaatsvindt op de prestatieverklaringen. De extra beheersmaatregelen zijn niet enkel voor de beoordeling van de verplichtingen per balansdatum. Het overzicht met prestatieverklaringen van vorige maand wordt opnieuw gecontroleerd of alle prestatieverklaringen inmiddels zijn toegevoegd of de ontvangst is verwijderd. Ook op posten waarvan de factuur is ontvangen, de prestatielevering en de kostenboeking hebben plaatsgevonden. Om deze reden wordt de bevinding niet herkend.

Bevinding 2: het aandachtspunt wordt herkend. Er heeft inmiddels een overleg plaatsgevonden tussen FA en Accounting Centraal waarin de aandachtspunten met elkaar zijn besproken. Daarnaast heeft FA specifieke tips gegeven waarin zaken verbeterd kunnen worden. Deze tips 1 oktober 2023 7

Financial Audit

Interim- rapport controlejaar 2023

zullen vertaald worden naar een instructie en een aanpassing in het handboek prestatieverklaringen (in samenwerking met Inkoop). Deze tips zullen vervolgens actief gedeeld worden met de clusters.

1 oktober 2023 8

Financial Audit

Interim- rapport controlejaar 2023

3. Aanbesteden De controle voor de opzet en het bestaan is uitgevoerd. Uit de beoordeling van de (handmatige) controls volgen geen bevindingen. Ten aanzien van de werking zijn tot nu toe onrechtmatigheden geconstateerd die deels het gevolg zijn van doorloop uit voorgaande jaren. Daarnaast zijn door clusters zelf drie specifieke onrechtmatige dossiers gemeld.

Bevindingen en aanbevelingen Bevinding 1: Doorloopfouten onrechtmatige dossiers De controle op de deelmassa van de onrechtmatige dossiers 2022 is tot en met het eerste kwartaal afgerond en leidt bij 21 van de 30 te beoordelen dossiers tot een (doorlopende) onrechtmatigheid van C 0,5 mln. over de bestedingen van januari tot en met maart 2023. Hiervan staat nog C 24K in hoor en wederhoor uit (bij V&M). Aanbeveling: Wij adviseren de organisatie (contracteigenaren) doorloopfouten/ uitgaven op onrechtmatige contracten te beperken, door eerder in te spelen op verwachte uitgaven/ behoeften van clusters en hierdoor tijdig nieuwe aanbestedingen uit te voeren.

Bevinding 2: Onrechtmatige contracten systeemgerichte controle (contracten v.a. 1-1­ 2020) Contracten met een ingangsdatum vanaf 1-1-2020 worden systeemgericht gecontroleerd. Van de contracten die geregistreerd zijn in UCM (Uniform Contract Managen) zijn per 1 juli 2023, 27 contracten als onrechtmatig gekwalificeerd. Van de 27 contracten zijn er 15 met bestedingen in 2023 t/m Q2. De besteding 2023 op deze contracten bedraagt t/m Q2 C 919K. Welk deel van dit bedrag als rechtmatigheidsfout meegenomen dient te worden in de rechtmatigheidsverantwoording wordt aan het eind van de controle bepaald. Aanbeveling: Geen

Bevinding 3: Gemelde casussen Buiten de reguliere controle van aanbestedingen door FA, zijn in 2022, 3 casussen bij ons gemeld met aanbestedingen die mogelijk onrechtmatigheden bevatten. Deze casussen hebben wij met de organisatie (verantwoordelijke clusters, BCO-FJINK en JEO-jurist) inhoudelijk besproken. Eén van deze casussen heeft op peildatum geleid tot onrechtmatige uitgaven in 2023. Dit betreft de Overbruggingsovereenkomst voor 20 percelen inkoop wijkteam medewerker 2023 die als onrechtmatig is aangemerkt, waarover de gemeenteraad met de raadsinformatiebrief "Voortgang Inkoop Maatschappelijke ondersteuning en Jeugdhulp" d.d. 18 april 2023 is geïnformeerd. De totale waarde van de overeenkomst is C 64,9 mln. Het bedrag van de onrechtmatigheid voor deze contracten tot en met het 2e kwartaal 2023 is vastgesteld op C 33,7 mln. De overige 2 casussen hebben tot op heden (nog) niet geleid tot financiële bevindingen. Aanbeveling: Informeer bij specifieke casussen B&W en Raad periodiek vanuit de verantwoordelijke directie/het cluster (en niet vanuit proceseigenaar Aanbesteden of FA) over de verwachte duur van deze onrechtmatigheid en de hoogte van de rechtmatigheidsfout.

1 oktober 2023 9

Financial Audit

Interim- rapport controlejaar 2023

Managementreactie door proceseigenaar Bevinding 1: voorafgaand aan de expiratie van een contract worden er berichten verzonden naar de verantwoordelijken bij het cluster en er wordt binnen het Concern gerapporteerd over de onrechtmatige uitgaven in de vorm van de rapportage onrechtmatigheid. De aanbeveling wordt desalniettemin herkend en overgenomen. De uitdaging is om nog verder te verbeteren en het proces verder te optimaliseren. Binnen BCO is er onlangs een pilot gestart voor Categoriemanagement. Afhankelijk van een eventueel verdere uitrol kan dit bijdrage en invulling geven aan deze bevinding. Bevinding 3: deze aanbeveling wordt overgenomen waarbij de insteek wel moet zijn dat er alleen boven een bepaald bedrag een route wordt ingeregeld naar de Raad. De Wethouder wordt via de concernmonitor maandelijks door control geïnformeerd en daarnaast zal MO hierover informeren. De CPE bespreekt dit met control.

1 oktober 2023 10

Interim- rapport controlejaar 2023

Financial Audit

4. Betalingsorganisatie De controle voor de opzet en het bestaan is uitgevoerd. De uitkomsten geven geen aanleiding tot wijziging van de controleaanpak zoals opgenomen in de startnotitie 2023. Ten aanzien van de werking verloopt de controle door FA op schema. Hieruit volgen tot nu toe geen bevindingen. Vanuit de controle ITGC zijn de application controls van de concernbrede systemen Oracle en APRO niet getest, vanwege geconstateerde tekortkomingen. Het bestaan van de handmatige controls is wel vastgesteld.

Bevindingen en aanbevelingen Bevinding 1: ITGC HB-Tool De aanbevelingen die FA in 2022 heeft gedaan rond het beheer van de HB-tool zijn gedeeltelijk opgevolgd. Het cluster heeft echter ervoor gekozen enkele aanbevelingen met hogere prioriteit vanwege kostenafweging niet op korte termijn op te lossen, maar deze te borgen binnen een beter gefundeerde omgeving (applicatie APRO Banking) binnen het project Oracle GREAT. De verwachting van het cluster is dat deze aanbevelingen met live-gang van Oracle GREAT worden opgevolgd.

Aanbeveling: Geen

Managementreactie door proceseigenaar Bevinding 1: bovenstaande samenvatting en bevinding worden herkend. De betaalorganisatie functioneert naar wens. In GREAT wordt er hard gewerkt aan vervanging van de HB-tool door de applicatie APRO Betaalhub. Deze applicatie zou de eerdere bevindingen moeten wegnemen.

1 oktober 2023 11

Interim- rapport controlejaar 2023

Financial Audit

5. Human Resources (HR) De controle voor de opzet en het bestaan is uitgevoerd. De uitkomsten geven geen aanleiding tot wijziging van de controleaanpak zoals opgenomen in de startnotitie 2023. De gegevensgerichte controle door FA loopt op schema. Er zijn tot nu toe geen bevindingen geconstateerd. De IT-beheeromgeving ADP Workforce is verder doorontwikkeld. Verbeteringen zijn zichtbaar op het gebied van Access Management. In relatie tot Change Management zijn echter bevindingen geconstateerd waar aandacht voor nodig is.

Bevindingen en aanbevelingen Bevinding 1: het ontbreken van testvastlegging Een gestructureerde testvastlegging ontbreekt, waaronder op wijzigingen die vallen onder de standaard categorie databeheer. Aanbeveling: Borg het vastleggen van gestructureerde testdocumentatie, specifiek op wijzigingen die vallen onder de standaard categorie databeheer en die relevant zijn voor de jaarrekeningcontrole.

Bevinding 2: regressietesten Regressietesten worden in opzet niet uitgevoerd bij de release-updates per einde jaar. HR heeft aangegeven de noodzaak hiervan nog te onderzoeken bij ADP. Aanbeveling: Draag zorg voor de uitvoering van een regressietest bij de release update, afhankelijk van het schriftelijke resultaat dat ADP gaat terugkoppelen over de noodzaakanalyse.

Managementreactie door proceseigenaar HRO heeft kennisgenomen van de algemene weergave en zijn blij te lezen dat er verbeteringen zichtbaar zijn en worden erkend. Met betrekking tot de twee bevindingen, delen we graag het volgende.

Bevinding 1: het ontbreken van testvastlegging: Standaard wijzigingen werden gezien als evident. Bij verplichte wijzigingen hebben wij voorgesteld om voortaan het type wijziging te vermelden (databeheer/aanpassing lay-out etc.). Per type wijziging staat het testproces beschreven: FAT/GAT of FAT of GAT. Op deze manier zouden de controleurs op de hoogte moeten zijn wat voor testdocumentatie ze kunnen verwachten per wijziging. Bevinding 2: regressietesten worden uitgevoerd bij de releases, maar momenteel niet bij de release-update eindejaar. Deze heeft normaliter geen effect op onze processen. Momenteel wordt uitgezocht bij ADP of zij uitsluitsel kunnen geven over eventuele aanpassingen in onze processen door een eindejaar release-updates. Zodra we reactie hebben over de eventuele mogelijkheden wordt dit weer met FA opgenomen om te kijken of dit het risico voldoende afdekt.

1 oktober 2023 12

Financial Audit

Interim- rapport controlejaar 2023

6. Verstrekte Subsidies en Bijdragen De controle voor de opzet en het bestaan is uitgevoerd. De gegevensgerichte controle op de verstrekte subsidies en vaststellingen over het eerste halfjaar 2023 zijn bij FA onderhanden. De voorlopige bevindingen leiden mogelijk tot rechtmatigheidsfouten. De omvang is nog niet bekend. Hoor en wederhoor van concept bevindingen loopt nog.

Bevindingen en aanbevelingen Bevinding 1: In opvolging van de bevindingen en aanbevelingen van vorig jaar heeft subsidie-administratie zich voorgenomen om subsidiedossiers via deelwaarneming door te lichten op rechtmatigheid en getrouwheid (o.a. afgrenzingsaspect). Door de daaruit voortvloeiende correcties tijdig uit te voeren kan de omvang van fouten en onzekerheden voor 2023 worden teruggebracht. Aanbeveling: Wij stemmen in het vierde kwartaal de aard, de strekking en de looptijd van de werkzaamheden inhoudelijk met het cluster af. Het is belangrijk dat de werkzaamheden tijdig en toereikend worden uitgevoerd indien FA en PwC bij de jaarrekeningcontrole hier gebruik van wilt maken.

Bevinding 2: Een andere aanbeveling over voorgaand jaar is het versterken van de effectiviteit van de beheersmaatregelen die de rechtmatigheid van subsidies moeten waarborgen. Het cluster heeft hierop een aantal acties ondernomen zoals het organiseren van "Kenniscafés" om kennis breed over de afdelingen te delen. In de nieuwe opzet van de checklist van subsidieadministratie is ook een controlepunt voor risico's i.v.m. staatssteun opgenomen. Bij de ontwikkeling van GREAT wordt ook aandacht besteed aan beheersmaatregelen die het risico op onrechtmatige subsidies (het vaststellen en het verstrekken) afdekken. Voorbeelden hiervan zijn de inrichting van rechten en rollen en het inbouwen van een tekstveld om de motivering van een goed- of afkeuring toe te lichten. Aanbevelingen: ^ Draag zorg voor een consequente toepassing van de checklists over risico's i.v.m. de staatssteun door subsidiebehandelaars. Zorg daarnaast ook voor dat dossiers voldoende onderbouwing bevatten voor het oordeel over staatssteun of verwijs naar de uitgewerkte risicoanalyse staatssteun. ^ Blijf bij de verdere ontwikkeling van GREAT alert op kansen en mogelijkheden om kritieke beheersingsmaatregelen door het systeem te laten afdwingen.

^ Wij zullen tijdens of ná de implementatie van GREAT meekijken in hoeverre de geïmplementeerde beheersmaatregelen de geïdentificeerde risico's afdekken en zullen op basis daarvan het cluster van passend advies voorzien.

Managementreactie door proceseigenaar De bevindingen zijn een herhaling van de bevindingen van vorig jaar. Daarop zijn beheersmaatregelen genomen of worden komende periode uitgevoerd. Deze waren al bij ons bekend en zijn tijdens de managementmeeting d.d. 12 september besproken. Wij kunnen uit bovengenoemde bevindingen niet herleiden welke nieuwe bevindingen nu concreet zijn gedaan in de huidige controleperiode. De bevindingen op dossiers van dit jaar zijn tot nu toe nog voorlopig (hoor-wederhoor nog bezig).

1 oktober 2023 13

Financial Audit

Interim- rapport controlejaar 2023

Bevinding 1: op deze voorlopige bevindingen zien we, net als in voorgaande jaren, dat er op meerdere dossiers een bevinding wordt gedaan op een zeer klein deel van het totale verleende/vastgestelde subsidiebedrag. De fout die dit veroorzaakt staat volgens ons niet in verhouding tot het totaal verleende/vastgestelde bedrag.

Bevinding 2: de nieuwe checklist voor de deelwaarnemingen ligt momenteel ter afronding. De verwachting is dat de subsidieadministratie de checklist in Q4 van dit jaar nog in gebruik neemt. De extra vragen in de inhoudelijke beoordelingen m.b.t. Staatssteun zijn per mei 2023 opgenomen. De georganiseerde kenniscafé 's zijn goed bezocht, de feedback is positief en collega's geven aan hier behoefte aan te hebben. In 2023 vinden er nog kenniscafé's plaats over het beoordelen van een subsidieaanvraag en over de wijziging van de SvR2014. Naast de door FA al genoemde beheersmaatregelen die we in het toekomstige subsidiesysteem (project GREAT) realiseren, wordt ook het 4 ogen-principe van beoordelaar en controleur bij de beleidsafdeling strikter afgedwongen dan nu het geval is. Op een dossier wordt vastgelegd wie de beleidsadviseur is die de subsidie beoordeelt. Het systeem dwingt vervolgens af dat die beleidsadviseur d.m.v. taakafhandeling moet aangeven dat de concept beschikking klaar is voor controle en goedkeuring. En vervolgens dwingt het systeem af dat de kwaliteitscontrole wordt gedaan door een andere beleidsadviseur dan degene die als beoordelaar is vastgelegd op het dossier.

1 oktober 2023 14

Financial Audit

Interim- rapport controlejaar 2023

7. Belastingen en Heffingen Uit de uitgevoerde lijncontroles blijken geen bevindingen. Vanuit de IT-controle wordt aandacht gevraagd voor de werking (vastlegging) van Change Management.

Bevindingen en aanbevelingen Bevinding 1: bedrijfsreinigingrecht Naar aanleiding van de uitgevoerde controle op Bedrijfsreinigingsrecht in 2022 is gebleken dat de dossiervorming die de juistheid van de vrijstellingen onderbouwen niet op orde was. Deze bevinding geldt helaas ook voor het controlejaar 2023. Aanbeveling: Wij adviseren het actualiseren van het proces, breng op basis hiervan de procesbeschrijvingen in kaart en verwerk de achterstallige dossiers. Wij zullen gedurende het controlejaar 2023 de voortgang van de ondernomen acties blijven monitoren.

Bevinding 2: ITGC GOUW/ONS De IT-beheeromgeving GOUW/ONS is verder doorontwikkeld. Verbeteringen zijn zichtbaar op het gebied van Access Management en Change Management. Wij hebben echter enkele bevindingen:

Bevinding: Functioneel Beheer (FB) is op het gebied van Access Management druk bezig met het inrichten van logging en monitoring van het gebruik van generieke applicatie en database accounts met vergaande rechten. Aanbeveling: Er zijn stappen gezet hierin, maar ten tijde van de audit zijn deze stappen nog niet afgerond. Het cluster heeft al goede stappen ondernomen om de risico's te kunnen mitigeren. We zullen de voortgang van deze acties blijven monitoren gedurende de controle van de komende periodes.

Bevinding: ITGC- ONS: voor Change Management is de formele procesbeschrijving nog niet geactualiseerd en gefinaliseerd als gevolg van een wijziging in het change managementproces. FB heeft namelijk een change manager in het proces toegevoegd waarvan de rol en het mandaat van de change manager nog niet in de procesbeschrijving zijn aangevuld. Aanbeveling: Wij adviseren om de beschrijving van het Change Managementproces verder af te ronden met de adviespunten die wij naar aanleiding van de audit hebben meegegeven.

Bevinding: Generiek: wij hebben vastgesteld dat kritische CPU-patches op de database niet tijdig zijn uitgevoerd en dat hierbij geen risico-afweging is vastgelegd. Aanbeveling: Wij adviseren om een risicoanalyse uit te voeren en vast te laten leggen wanneer een kritische CPU-patch niet tijdig kan worden doorgevoerd.

1 oktober 2023 15

Financial Audit

Interim- rapport controlejaar 2023

Managementreactie door proceseigenaar De afgelopen periode hebben wij diverse stappen gezet ter verbetering van het proces. Dit geldt voor zowel de harde als de zachte kant van het proces. Hierbij een korte update.

Bevinding 1: in de samenwerking met stadsbeheer hebben wij onze krachten gebundeld om accuraat de gegevens te verwerken. Hierdoor worden dossiers geactualiseerd met als doel een verbeterde prognose van de financiële inkomsten voor bedrijfsreinigingsrecht. De win-win is een verbeterde aanslagoplegging waarbij de ondernemers geen onnodige administratieve handelingen hoeven te ondernemen. Bevinding 2: ook op IT vlak hebben wij doorgepakt. Door het aanleveren en verwerken van digitale data zowel in applicatie e-suit voor het zaaktype vrijstelling aanvragen als het ontvangen van poststukken in ONS, ODAS. Dit zal de komende tijd verder worden uitgewerkt waarbij een koppeling zal worden gemaakt voor het proces bezwaarafhandeling. Dit zorgt voor complete dossiervorming en makkelijk raadpleegbaar. Voor het wegwerken van achterstallige werkvoorraad wordt door pragmatische aansturing op de werkvloer strakker op gestuurd. Tot slot is het subteam bedrijfsreinigingsrecht momenteel actief in de opmaak van werkbeschrijvingen van de processen. Dit heeft als resultaat dat in 2024 op juistheid en volledigheid geen onduidelijkheden zullen voorkomen in de processen. De voortgang van deze verbeterslag wordt actief gecommuniceerd met FA.

1 oktober 2023 16

Financial Audit

Interim- rapport controlejaar 2023

8. Sociale uitkeringen De controle voor de opzet en het bestaan is uitgevoerd en de controleaanpak 2023 is gegevensgericht.

Bevindingen en aanbevelingen Bevinding 1: risico op het onrechtmatig verstrekken en betalen van een uitkering De onderkende procesrisico's zoals benoemd in de risicoanalyse worden nog niet volledig afgedekt door de geïdentificeerde beheersmaatregelen. Een voorbeeld hiervan is het ontbreken van beheersmaatregelen die de tijdige, juiste en volledige verrekening van inkomsten waarborgen. In het eindrapport FA 2022 en in het jaarrapport over 2022 hebben we reeds hierover gerapporteerd. Alle uitgevoerde controlewerkzaamheden en voortvloeiende bevindingen gedurende het controlejaar worden in het jaarrapport opgenomen en gedeeld met het cluster. Aanbeveling: Wij adviseren een duidelijke en planmatige opzet, vaststelling en implementatie van beheersmaatregelen die de financiële risico's afdekken. Besteed hierbij aandacht aan de effectiviteit van de beheersmaatregelen die het tijdig, juist en volledig verrekenen van inkomsten waarborgen.

Bevinding 2: De gegevensgerichte controle leidt tot bevindingen die betrekking hebben op ontbrekende documentatie ter onderbouwing van de rechtmatigheid en getrouwheid van de toegekende uitkeringen. Bij 1 post is er sprake van een financiële fout van een beperkte omvang en staat nog in hoor en wederhoor uit bij het cluster. Aanbeveling: Wij adviseren aandacht te besteden aan dossieronderbouwing.

Bevinding 3: ITGC Socrates, RMW, Thomas ALO De huidige inrichting van de IT-beheeromgeving voldoet deels, maar verdient op enkele onderdelen aandacht. Wij hebben de volgende bevindingen:

^

a. ITGC - Thomas ALO: wij hebben vastgesteld dat de rechtmatigheidscontrole op gebruikers van Thomas ALO niet structureel is geborgd binnen de beheerorganisatie.

Aanbeveling: Wij stellen voor om minimaal 1x per half jaar een periodieke rechtmatigheidscontrole in te richten. Hierdoor kan opschoning van eventuele onterechte gebruikersautorisaties plaatsvinden en kan toezicht gehouden worden op eventuele functiescheidingsconflicten.

^

b. Thomas ALO: wij hebben vastgesteld dat er geen monitoring plaatsvindt op handelingen door admin-gebruikers en overige accounts met vergaande rechten.

Aanbeveling: Wij stellen voor periodiek monitoring in te richten op handelingen van admin-gebruikers en overige accounts met verregaande rechten aan de hand van logging in Splunk.

^

c. Thomas ALO: wij hebben vastgesteld dat de formele opdracht van de gemandateerde aan Mendix om verbeterde software op te nemen in de productieomgeving ontbreekt.

Aanbeveling: 1 oktober 2023 17

Financial Audit

Interim- rapport controlejaar 2023

Wij stellen voor om ieder besluit (inclusief onderbouwing) van het opnemen van software in de productieomgeving schriftelijk vast te leggen zodat een volledige audittrail van het changemanagementproces aanwezig is.

^

d. Generiek: cluster Werk en Inkomen maakt gebruik van de dienstverlening van drie externe partijen. Op basis van onze ervaringen uit 2022 zien wij dat een Third Party Quality-reviewproces op de naleving van ITGC-normen qua scope verder uitgebreid moet worden.

Aanbeveling: Wij stellen voor het Third Party Quality-reviewproces voor alle 3 partijen in te richten en daarin de ITGC-normen voor de jaarrekeningcontrole te betrekken.

Managementreactie door proceseigenaar Bevindingen 1 en 2: de gevonden financiële fout wordt nog besproken. Beide aanbevelingen betreffen hetzelfde onderwerp. De reactie is daarom van toepassing op beide bevindingen. Naar onze mening zijn er voldoende technische beheersmaatregelen genomen om ervoor te zorgen dat de verrekening van inkomsten tijdig, juist en volledig worden gedaan. Lijstwerk is in Cognos geautomatiseerd en is door alle medewerkers benaderbaar en er is inzage in Suwi, zodat de juiste gegevens beschikbaar zijn. Het menselijk handelen kan nauwkeuriger. Bijvoorbeeld het zorgdragen voor een goede en eenduidige dossiervorming waaruit de rechtmatigheid blijkt heeft intern continu de aandacht. Medewerkers krijgen betere instructies en begeleiding om tot goede dossiervorming te komen.

Bevinding 3a: proces voor rechtmatigheidscontrole bestaat en dient minimaal 2 maal per jaar uitgevoerd te worden. De eerdere capaciteitsproblemen zijn opgelost, waardoor de rechtmatigheidscontrole vanaf Q3 2023 structureel is ingericht. Bevinding 3b: wij zullen het proces inrichten en uitvoeren incl. het maken van de procesbeschrijving voor logging en monitoring op handelingen van gebruikers in Thomas ALO via Splunk. We streven ernaar om de techniek en proces eind Q1 2024 ingericht te hebben.

Bevinding 3c: functioneel beheer gaat zorgen dat schriftelijke vastlegging in Topdesk voor ieder besluit (inclusief onderbouwing) van het opnemen van software in de productieomgeving gaat plaatsvinden.

Bevinding 3d: wij zullen dit jaar met Wigo4it afspraken maken om de gevraagde normen op te nemen in hun auditproces.

1 oktober 2023 18

Financial Audit

Interim- rapport controlejaar 2023

9. Wmo/ Jeugd De gegevensgerichte controle over het eerste halfjaar 2023 is nog onderhanden bij FA. De huidige bevindingen leiden mogelijk tot materiële onzekerheden in de jaarverantwoording 2023 als gevolg van ontbrekende documentatie en ontoereikende vastleggingen van de gemigreerde gegevens van Socrates naar Sorga. Ook de tijdige afronding van de controle staat onder druk. Over deze onzekerheid hebben we in de eerste voortgangsrapportage gerapporteerd en geëscaleerd richting het cluster. We bevelen het cluster aan tijdig maatregelen te nemen om deze onzekerheden te kwantificeren of te verhelpen en de benodigde informatie op korte termijn aan te leveren zodat de jaarrekeningcontrole niet in gevaar komt.

Bevindingen en aanbevelingen Bevinding 1: Momenteel ontbreekt het beeld van de omvang van de (financiële) gevolgen van de ontvlechting en de bijbehorende migratie van Socrates en de Bestelmodule naar Sorga. Duidelijk is dat de zorgcijfers momenteel onvolledig zijn opgenomen in Sorga waardoor de informatie ook onvolledig opgenomen is in Oracle. Daarnaast is er vanwege de informatiestop weinig sturingsinformatie beschikbaar voor de eerste lijn. Wij ontvangen via een workaround (een gedeelte van) de informatie die nodig is voor het uitvoeren van de controle. Onduidelijk is in hoeverre deze informatie volledig is en of dat de data die voor de controle gebruikt wordt betrouwbaar is. Daarmee staat de tijdigheid van de afronding van de controle van de jaarstukken onder druk. Doordat er nog onvoldoende zicht is op de volledigheid en de kwaliteit van de aangeleverde data is het risico op materiele onzekerheden en/of fouten uit de controle van de jaarstukken aanwezig, die direct effect kunnen hebben op de controleverklaring. Aanbevelingen: ^ Door de hoge risico's in de interne beheersing mede door de informatiestop zijn er aandachtspunten die de betrouwbaarheid en de volledigheid van de verantwoorde lasten kunnen beïnvloeden. Aanbevolen wordt hier expliciet en tijdig aandacht aan te besteden zodat het jaarrekeningtraject niet in gevaar komt.

^ Blijf de voortgang van overgang en migratie van producten uit Socrates naar Sorga monitoren en onderneem indien nodig tijdig actie om geconstateerde tekortkomingen te mitigeren. ^ Onderneem stappen die de betrouwbaarheid van de migratie/ dataovergang tussen Socrates en Sorga met name het volledigheidsaspect (of alle data wel overgegaan is naar Sorga) waarborgen per jaareinde. ^ Onderneem stappen die de juiste registratie van lasten en betalingen in Oracle gedurende het hele jaar waarborgen maar in ieder geval per jaareinde. ^ Zorg voor een goede inrichting van applicaties zodat relevante risico's worden gemitigeerd. ^ Zorg uiterlijk medio november voor een plan waarbij de controle informatie tijdig en van voldoende kwaliteit beschikbaar is om het risico voor de jaarrekeningcontrole beheersbaar te houden. Op 15 augustus jl. is een managementmeeting gehouden met de lijn, waarbij ook de proceseigenaar aanwezig was. Tijdens dit overleg zijn de acties die de lijn moet ondernemen benoemd en in gang gezet. Er zijn nog geen rapportages voorhanden waaruit de opvolging van de acties blijkt.

1 oktober 2023 19

Interim- rapport controlejaar 2023

Financial Audit

Bevinding 2 ITGC: Sorga/Gidso/Bestelmodule Sinds 2022/ begin 2023 zijn de nieuwe applicaties Sorga, bestelmodule en GIDSO in productie genomen. In afstemming met cluster MO heeft FA dit controlejaar in haar auditplanning een eerste audit op opzet van de IT-beheerprocessen rond deze applicaties opgenomen. Tot op heden heeft FA de IT- audit niet kunnen opstarten, omdat het cluster heeft aangegeven hiervoor op dit moment geen capaciteit beschikbaar te hebben. MO zet haar capaciteit in voor het oplossen van een informatiestop. Deze informatiestop is ingezet voor het op structurele wijze mogelijk maken van het ontsluiten van bedrijfsvoering informatie en het verbeteren van de datakwaliteit. Wij hebben op basis van de voortgangsgesprekken en de aangeleverde informatie de volgende bevindingen:

Bevinding: Het proces van datamigratie en controles hierop is onvoldoende uitgewerkt en gedocumenteerd door het programmateam. Daardoor is het onzeker in hoeverre de data juist en volledig is geconverteerd naar de nieuwe systemen. Aanbeveling: Wij stellen voor om achteraf query-analyses uit voeren op de geconverteerde data. Doel van deze analyse is het verkrijgen van zekerheid over de volledigheid van de verplichtingenadministratie.

Bevinding: Wij hebben tijdens voortgangsgesprekken vastgesteld dat het onduidelijk is waar het eigenaarschap van de data en de daarbij behorende datakwaliteit is belegd. Aanbeveling: Wij stellen voor een data-eigenaar te benoemen voor de data die behoort tot de processen van Wmo/Jeugd, die zorg draagt voor het verbeteren en behouden van de datakwaliteit.

Managementreactie door proceseigenaar Geen reactie ontvangen

1 oktober 2023 20

Financial Audit

Interim- rapport controlejaar 2023

10. Vastgoed De aangeleverde processen voor 2023, zijn t.o.v. vorig jaar niet tot nauwelijks gewijzigd. Hierdoor blijft de algemene bevinding vanuit de controle 2022 op opzet staan. Organisatorisch zijn er verdere stappen gezet en er zijn meer controles geborgd binnen de 2e lijn bij het Kwaliteitsteam van Vastgoed. In 2023 wordt dit doorgezet waarbij aandacht gevraagd wordt voor personele wisselingen binnen het Kwaliteitsteam. De controle verloopt grotendeels volgens planning en heeft geresulteerd in enkele bevindingen.

Bevindingen en aanbevelingen Bevinding 1: Verhuren van vastgoed De risicobeheersing voor nieuwe, gewijzigde en beëindigde verhuurcontracten is voor de opzet en het bestaan beoordeeld. De belangrijkste bevindingen zijn: a. de maximale ter beschikking staande verhuurbare capaciteit (volledigheid) gedurende het gehele jaar is niet vast te stellen; b. dat niet wordt geregistreerd in welk boekjaar de beheersmaatregelen zijn uitgevoerd; c. dat niet alle beschreven beheersmaatregelen zijn aangetroffen, waardoor het bestaan niet kon worden aangetoond. Op basis van de gegevensgerichte werkzaamheden op verhuringen hebben wij samen met het Kwaliteitsteam het volgende geconstateerd: d. dat de eindafrekeningen servicekosten niet tijdig werden uitgevoerd. Het cluster is er nu mee bezig en na afronding zal het Kwaliteitsteam deze steekproefsgewijs controleren. e. het verkeerd toepassen van de juiste indexatie. Door het Kwaliteitsteam wordt nog een analyse uitgevoerd om de impact te kwantificeren. Aanbevelingen: Wij adviseren: f. actualisatie van procesbeschrijvingen en zorgvuldige uitvoering en vastlegging van beheersmaatregelen; g. te onderzoeken of de implementatie van GREAT mogelijkheden biedt voor de registratie van beheersmaatregelen; h. inrichting van het proces op dusdanige wijze, zodat de eindafrekening van servicekosten tijdig en juist wordt uitgevoerd; i.

om het proces op dusdanige wijze in te richten, zodat de juiste indexering wordt toegepast.

Bevinding 2: Verkopen van vastgoed De risicobeheersing voor het verkopen van Vastgoed is voor opzet en bestaan beoordeeld. De belangrijkste bevinding is dat bij meerdere stappen binnen het proces de functiescheiding voor de geselecteerde post niet vastgesteld kon worden. Ook is gebleken dat er niet wordt geregistreerd in welk boekjaar de beheersmaatregelen zijn uitgevoerd. Aanbevelingen: ^ Wij adviseren met de implementatie van GREAT, de effectiviteit van digitale autorisatie te (her)overwegen, door het "systeem" functioneel technisch verder in te richten. Dit kan door het afdwingen van functiescheiding met het opwerpen van een blokkade. » Wij adviseren om te onderzoeken of de implementatie van GREAT mogelijkheden biedt voor de registratie van de beheersmaatregelen.

1 oktober 2023 21

Financial Audit

Interim- rapport controlejaar 2023

Bevinding 3: Property management Uit de uitgevoerde controle blijkt dat het bestaan van twee beheersmaatregelen niet kon worden vastgesteld, omdat een zichtbare vastlegging ontbreekt. Het gaat om de: a. de controle van de ingekomen onderhoudsoffertes, externe propertymanager aan het inkoopbeleid; b. de controle op de in rekening gebrachte beheer fee. Aanbeveling: Wij adviseren om zorg te dragen voor een zichtbare vastlegging van deze beheersmaatregelen.

Managementreactie door proceseigenaar Bevinding 1: a. De volledigheid van onze objectregistratie OPM (en daarmee de verhuurbare capaciteit) borgen wij door jaarlijks een aansluiting te maken tussen OPM en GOUW (het systeem van gemeentebelastingen). In voorgaande jaren heeft FA inzake de volledigheid van OPM geconcludeerd "Vanuit deze analyse vormt het objectenbestand geen risico's voor de materialiteit en volledigheid van de opbrengsten in de daar op volgende processen." Daarbij is het goed om op te merken dat objecten die in het Kadaster op naam van Gemeente Rotterdam staan niet per definitie ook bij Vastgoed in beheer zijn, denk bijvoorbeeld aan gemalen. b en c. Dat niet alle beschreven beheersmaatregelen door FA zijn aangetroffen (het 'bestaan') werd voornamelijk veroorzaakt doordat die beheersmaatregelen niet van toepassing waren voor de betreffende dossiers/huurcontracten. Gezien de aard van de processen (Verhuur en Verkoop) vinden de beheersmaatregelen van een dossier/casus niet altijd noodzakelijkerwijs plaats binnen één boekjaar. d en h. Het tijdig afrekenen van (verrekenbare) servicekosten is projectmatig aangepakt. Het project is inmiddels afgerond. De servicekosten uit voorgaande jaren zijn verrekend. Om tijdige afrekening te faciliteren en borgen is er een procesbeschrijving opgesteld inclusief instructies en sjablonen. e.

Het onjuist indexeren betrof een huurovereenkomst inzake een kleine grondverhuring in de S&R portefeuille. Die zou volgens het gemeentelijk accrespercentage geïndexeerd moeten worden, maar werd volgens het IMOC percentage geïndexeerd. Wij hebben vastgesteld dat dit bij 29 soortgelijke huurcontracten het geval was. De totale te weinig in rekening gebrachte huur bedraagt C 26,99. De huurcontracten zullen aangepast worden, per 01-01-2024 worden deze volgens de CPI geïndexeerd. f en g. Wij onderschrijven het belang van actuele procesbeschrijvingen en de zorgvuldige uitvoering ervan inclusief passende beheersmaatregelen. Het actualiseren en optimaliseren van de processen wordt momenteel actief opgepakt. Daarbij maken wij gebruik van de Lean Six Sigma methodiek. De eisen en wensen die wij hebben voor het (financiële) systeem zijn bekend bij project GREAT. j.

De komende periode zullen wij extra aandacht besteden aan de juistheid en tijdigheid van de huurindexaties. Indien nodig passen we de huidige werkwijze/procesbeschrijving aan.

1 oktober 2023 22

Financial Audit

Interim- rapport controlejaar 2023

Bevinding 2: de eisen en wensen die wij hebben voor (aanpassingen aan) het financiële systeem zijn bekend bij project GREAT. Voor het verkoopproces is dat beperkt. Ten eerste omdat er al voldoende beheersmaatregelen zijn om de risico's te mitigeren (zie ook uitkomsten van de FA controles in voorgaande jaren). Ten tweede neemt het aantal verkopen de komende jaren af en zal na 2025 naar verwachting zelfs 'klaar' zijn (behoudens de NPRZ-portefeuille). FA heeft onderzocht of de betreffende beheersmaatregelen in boekjaar 2023 aangetroffen zijn. Verkoopdossiers kennen vaak een lange doorlooptijd. Het gevolg is dat de beheersmaatregelen/stappen van een specifiek dossier niet allemaal in het tijdsbestek van 1 kalenderjaar plaatsvinden. De onderzochte dossiers zijn reeds eerder dan 2023 gestart, waardoor sommige beheersmaatregelen al in 2022 uitgevoerd zijn. FA heeft met name gekeken naar de functiescheiding in OPM. Het verkoopproces voltrekt zich echter vrijwel volledig buiten OPM om. De voornaamste verkoopdocumentatie bestaat uit documentatie welke wordt opgesteld door externe partijen. Denk aan technische onderzoeken, taxatierapporten en notariële stukken voor de juridische overdracht. Daarnaast bevat elk verkoopdossier een besluitvormingspost en een begeleidingsformulier.

Dat zijn gedigitaliseerde fysieke documenten waaruit blijkt dat de assetmanager en vervolgens teamleider, JZ, FR en afdelingshoofd akkoord zijn met de voorgenomen verkoop. Vervolgens wordt de koopovereenkomst aangeboden aan de directie. De directie ondertekent de koopovereenkomst niet wanneer uit het begeleidingsformulier niet blijkt dat assetmanager, teamleider, JZ, FR en afdelingshoofd akkoord zijn met de verkoop. De verkoopdossiers worden opgeslagen op het netwerk (K-schijf) in een beveiligde map. Het verkoopproces is dus grondig voorzien van vastgelegde functiescheiding.

Bevinding 3: voor wat betreft de eerste bevinding nemen wij de aanbeveling niet over. Circa 115 objecten uit de niet-kernportefeuille zijn in beheer bij een externe beheerder. Bij elke onderhoudsklus legt de beheerder eerst de offerte(s) van de onderhoudspart(ijen) ter goedkeuring voor aan de projectmanager technisch beheer van Vastgoed. Bij opdrachten (voor diensten) hoger dan C 30.000 worden er minimaal 3 offertes opgevraagd. De goedkeuring wordt vastgelegd op een 'goedkeuringsaanvraagformulier' waarop de bevoegde medewerker van Vastgoed tekent voor akkoord. De offertes worden altijd als bijlage toegevoegd. Naar onze mening is dat voldoende controle en functiescheiding op de offertes en de opdrachten. Daarnaast wordt er jaarlijks door het kwaliteitsteam van Vastgoed een steekproefcontrole uitgevoerd op een aantal inkoopdossiers van de beheerder. Die controle heeft dit boekjaar nog niet plaatsgevonden, maar staat wel in de planning. Voor wat betreft de tweede bevinding nemen wij de aanbeveling over. De beheerfee wordt door de beheerder maandelijks aan ons in rekening gebracht. Bij de factuur zit altijd een gedetailleerde bijlage waarin de beheerfee op object/huurcontractniveau zichtbaar is. De factuur en specificatie worden door de assetmanager bij Vastgoed goedgekeurd voordat deze betaald worden.

Daarnaast vindt er minimaal jaarlijks nog een aanvullende steekproefcontrole plaats op de juistheid van de beheerfee. Voor het huidige boekjaar moet deze nog uitgevoerd worden.

1 oktober 2023 23

Interim- rapport controlejaar 2023

Financial Audit

11. Grondexploitaties S Erfpacht De controle voor de opzet en het bestaan is uitgevoerd. Uit de uitkomsten blijkt dat de controleaanpak 2023 niet wijzigt ten opzichte van voorgaand jaar. De combinatie systeemgericht en gegevensgericht bij Grondexploitaties en gegevensgericht bij Erfpacht.

Bevindingen en aanbevelingen Bevinding 1: Verwervingen S Uitgiften - registratie beheersmaatregelen Uit de controle van vorig jaar blijkt dat er niet geregistreerd wordt in welk boekjaar de beheersmaatregelen zijn uitgevoerd. Hierdoor kan FA de werking van de interne beheersing niet beoordelen. Als gevolg hiervan wordt de marktconformiteit van de tot stand gekomen prijzen gegevensgericht beoordeeld. Aanbeveling: Wij adviseren om te onderzoeken of de implementatie van GREAT mogelijkheden biedt voor de registratie van de beheersmaatregelen.

Bevinding 2: Controle van scopewijzigingen Bouwgronden In Exploitatie (BIE) Uit de door ons uitgevoerde lijncontrole 2023 blijkt bij de geselecteerde scopewijziging, die gecontroleerd was door KBV en goedgekeurd door de gemeenteraad het volgende: a. fouten in het grondwaardemodel, raming uitgifte worden niet ondervangen met de door KBV uitgevoerde controle; b. geen zichtbare vastlegging is opgenomen van de beoordeling onzekerheidsreserve; c. geen zichtbare vastlegging is opgenomen van de afwikkeling van vragen; d. een onjuist gehanteerd uitgangspunt voor de cijferanalyse. Aanbeveling: Wij adviseren om het proces zodanig in te richten dat de in opzet beschreven KBV-controle op een herziening van de grondexploitatie toereikend is uitgevoerd en bestaat.

Bevinding 3: ITGC EPC2000 Erfpacht en Contractbeheer heeft in een follow-up gesprek gemeld dat zij enkele aanbevelingen uit de audit van FA, 2022 heeft opgevolgd. Er is een dashboard binnen de productie-omgeving beschikbaar, waarmee inlogsessies op de database zichtbaar worden. Een procedure is hiervoor nog niet ingericht. Ook heeft de afdeling gemeld dat voortaan business goedkeuringen voor het doorvoeren van softwarewijzigingen worden vastgelegd. Overige aanbevelingen (vastleggingen testwerkzaamheden) zijn niet verder uitgewerkt, omdat afdeling Erfpacht en Contractbeheer nu prioriteit verleent aan het vervaardigen van een Programma van Eisen voor een vervangend systeem. Daarin zullen de aanvullende aanbevelingen worden meegenomen.

Managementreactie door proceseigenaar Bevinding 1: afdeling Gebiedsexploitatie begrijpt dat FA nadere zekerheid wil verkrijgen over uitgevoerde beheersmaatregelen in eerdere boekjaren. Vorig jaar is aangegeven dat KBV dit samen met FA wil onderzoeken, aangezien FA kan aangeven welke mate van zekerheid dient te worden bereikt. Op dit moment zijn daar nog geen concrete stappen in gezet, omdat nadere registratie in welk boekjaar de beheersmaatregelen zijn uitgevoerd tot op heden nog niet mogelijk blijkt. Het is nog onbekend in hoeverre de implementatie van GREAT hier verandering in brengt. KBV blijft hierover in gesprek met FA.

1 oktober 2023 24

Financial Audit

Interim- rapport controlejaar 2023

Bevinding 2: de bevinding is tweeledig. Enerzijds rust de bevinding zich op het grondwaardemodel en anderzijds op de uitwerking van de uitgevoerde controle. Ten aanzien van het grondwaardemodel is geconstateerd dat alle interne stappen juist zijn doorlopen. Het model is collegiaal, door een vakspecialist, getoetst. De fout in het grond­ waardemodel zag toe op de rekenkundige juistheid, hetgeen op dat moment geen onderdeel uitmaakte van de controle van KBV. Om dit in de toekomst te voorkomen is als mitigerende maatregel in het werkprogramma een werkstap toegevoegd. Deze werkstap betreft de toetsing van de rekenkundige juistheid van het grondwaardemodel. Voor zowel het grondwaardemodel als de uitgevoerde controle is intern nagegaan of de gestelde bevindingen zich vaker voor hebben gedaan. Dit bleek niet het geval, waardoor geconcludeerd kan worden dat het een incident betreft. Om een dergelijke omissie in de toekomst te voorkomen, vindt vanaf 1 oktober 2023 een collegiale toets plaats op de uitvoering van het werkprogramma van KBV door de teamleider KBV. Hiermee wordt bereikt dat dat de in opzet beschreven KBV-controle op een herziening van een grondexploitatie toereikend is uitgevoerd en bestaat. Bevinding 3: de vervanging van EPC2000 is in gang gezet en EPC2000 zal naar verwachting eind 2025 niet meer operationeel zijn.

Aan EPC2000 wordt nu alleen het noodzakelijk onderhoud uitgevoerd. Van nieuwe releases is geen sprake meer en functionele wijzigingen zullen ook slechts minimaal voorkomen. Derhalve wordt nu niet ingezet op de doorontwikkeling van de reeds aanwezige testprotocollen en -procedure. Wel zal na het uitvoeren van testwerkzaamheden het akkoord (per mail) van de applicatie eigenaar op de vrijgave naar productie worden toegevoegd aan de call, zodat deze goedkeuring zichtbaar is.

1 oktober 2023 25

Interim- rapport controlejaar 2023

Financial Audit

12. Verkoop Å Facturatie De controle voor de opzet en het bestaan van de subprocessen Accounting, Bouwleges, Vervoer en Materieel (V&M) en Parkeren zijn beoordeeld. Bij V&M en Parkeren hebben wij het bestaan van een aantal interne beheersmaatregelen niet kunnen vaststellen. Ook hebben wij de volledigheid van de verantwoorde opbrengsten bij V&M, verhuur niet kunnen vaststellen.