[23bb007481] Bijlage behorende bij 23bb7480 - Interim-rapport Financial Audit jaarrekeningproces 2023

Bevindingen en aanbevelingen Bevinding 1: Parkeren en Vervoer en Materieel (V&M) Bij de uitgevoerde lijncontroles konden wij het bestaan van een aantal beheersmaatregelen niet vaststellen. Daarnaast blijken er leemtes in het proces.

Bevinding 2: Vervoer en Materieel subproces verhuur Vanwege leemtes (in de dossiervorming) bij het onderdeel verhuur is de ontvangen controle informatie over het eerste halfjaar ontoereikend om de volledigheid van de verantwoorde opbrengsten vast te stellen. De leemtes zijn veroorzaakt door onder andere de implementatie van het nieuw sub administratief pakket halverwege 2023. Daarnaast heeft over het eerste halfjaar (nog) geen aansluiting plaatsgevonden tussen de cijfers uit de subadministratie en Oracle. Aanbevelingen: a. Wij adviseren de registratie van relevante documenten goed te borgen waaronder de door beide partijen getekende huurovereenkomsten en innameformulier(en). b. Wij adviseren om tijdig de data uit Car/Rentwise door te zetten naar Oracle en hierbij ook een controle in te bouwen en te borgen op de volledigheid en juistheid van de overgezette data.

Bevinding 3: Vervoer en Materieel Op basis van de gegevensgerichte controle op nieuwe leasecontracten in de periode januari tot en met juni 2023 is geconstateerd dat de nacalculatie nog niet heeft plaatsgevonden. De nacalculatie is de basis voor de facturering. Hierdoor zijn de opbrengsten (nog) niet volledig in de administratie verantwoord ten tijde van de door ons uitgevoerde controle. Aanbeveling: Voorset vaststellen van de volledigheid van de opbrengst(en) is het van belang dat de nacalculatie en de facturatie tijdig gebeurt. Afdeling V&M geeft aan dat deze achterstand binnen 3 maanden ingehaald zal worden. We adviseren u daarnaast zorg te dragen dat de opbrengsten per jaareinde volledig zijn verantwoord in de administratie.

Bevinding 4: ITGC ISA/ HAS Afdeling Parkeervoorzieningen heeft aangetoond dat zij opvolging heeft gegeven aan de aanbevelingen die FA in 2022 heeft gedaan. Deze opvolging is nog niet afgerond en heeft op onderdelen nog nadere verdieping nodig.

Bevinding 5: ITGC Combipac Afdeling Vervoer en Materieel heeft in een follow-up gesprek gemeld dat ze recent een start hebben gemaakt met het opvolgen van de aanbevelingen die FA in 2022 heeft gedaan. De opvolging is nog gaande.

1 oktober 2023 26

Financial Audit

Interim- rapport controlejaar 2023

Managementreactie door proceseigenaar Vervoer ä Materieel Bevinding 2: wekelijks versturen wij vanuit financiën 2 Memo's, 2 Inkoop documenten en 2 verkoop documenten door naar Oracle. Daarnaast versturen wij via Eqili periodiek rapportages door. Mede door de komst van GREAT heeft men besloten om een AS IS oplossing aan te bieden met de livegang van Carwise. Hierbij zal na livegang worden nagegaan wat voor koppeling er zou kunnen worden gemaakt voor Carwise naar Oracle toe. Bevinding 2a: dit proces is heringericht op de afdeling verhuur waarbij de volgende afspraken zijn gemaakt: - Per 7 september 2023 worden alle huurovereenkomsten geprint en tweezijdig ondertekend. - Huurovereenkomsten worden (tijdelijk) fysiek gearchiveerd. - Huurovereenkomst is tevens het innamerapport. - Bij einde overeenkomst worden innamegegevens toegevoegd aan de huurovereenkomst. - Na inname wordt het contract digitaal gearchiveerd waardoor deze altijd raadpleegbaar is vanuit RentWise. Bevinding 2b: FR (de financieel analist) heeft op 12 oktober de uitdraai van V&M ontvangen. Dit betreft een nieuwe opzet en financiële aansluiting. Op basis van deze lijst wordt er een aansluiting gemaakt, maar de eerste resultaten over de aansluiting zijn nog niet ontvangen.

Bevinding 3: proces nacalculatie is laat opgestart. Hierdoor waren contracten nog niet facturabel en dus geen leasetermijnen gefactureerd. De interne afspraak is gemaakt op 12 september en met de betrokkenen is afgesproken de achterstand weg te werken. Dit zou 3 maanden in beslag nemen. Het doel is om voor half december alle ingezette contracten te hebben nagecalculeerd mits alle investeringsfacturen ontvangen zijn. Bevinding 5: geaccordeerd tijdens MT-september. Update beheerplan gedeeld met afdeling audit.

1 oktober 2023 27

Financial Audit

Interim- rapport controlejaar 2023

13. Ontvangen Subsidies Ä Bijdragen De borging van de volledigheid van de opbrengsten van subsidieaanvragen blijft een significant aandachtspunt vanwege het niet centraal registreren van subsidieaanvragen. Voor het onderdeel IBS is de procesbeschrijving aangepast, maar een aantal belangrijke aspecten zijn voor een systeemgerichte controle nog onvoldoende uitgewerkt. Inzichtelijkheid in toegangsbeveiliging en zichtbaarheid van de controles ontbreekt.

Bevindingen en aanbevelingen Bevinding 1: IBS - Borging volledigheid opbrengsten subsidieaanvragen Evenals voorgaande controlejaren wordt de volledigheid van de opbrengsten niet toereikend geborgd door het centraal registreren van subsidieaanvragen. Het management is wel bezig met een analyse van het risico en het beoordelen van mogelijke maatregelen. Aanbevelingen: a. Wij adviseren om de centrale registratie van subsidieaanvragen onder de aandacht te blijven brengen. b. Een formele registratie ontbreekt; wij adviseren dat beheersmaatregelen om risico(s) te mitigeren aantoonbaar worden uitgevoerd.

Bevinding 2: IBS - Vastlegging van werkzaamheden/ activiteiten/ beheersmaatregelen Verbeter en verminder het risico op terugbetaling door het vastleggen van de uitgevoerde werkzaamheden, activiteiten en de beheersmaatregelen in lijn met de subsidievoorwaarden. Aanbeveling: Wij adviseren zichtbare vastlegging van de uitgevoerde werkzaamheden, activiteiten en beheersmaatregelen, waar dat nog niet het geval is.

Managementreactie door proceseigenaar Bevinding 1: binnen het project GREAT blijkt dat het nieuwe Oracle Cloud geen mogelijkheden biedt voor het laten registreren van aanvragen. We zullen een analyse doen van het risico en mogelijke aanvullende maatregelen daartegen afwegen.

Bevinding 2: met de invoering van Oracle Cloud kunnen we vervolgstappen zetten in een zichtbare en efficiënte vastlegging van beheersmaatregelen (zoals de toets op criteria IBS en vastlegging van aanvullende informatie).

1 oktober 2023 28

Financial Audit

Interim- rapport controlejaar 2023

14. Treasury De controle 2023 verloopt volgens planning en heeft nog niet geleid tot bevindingen.

Bevindingen en aanbevelingen Bevinding: er zijn geen bevindingen vanuit de uitgevoerde controle.

Managementreactie door proceseigenaar Geen

1 oktober 2023 29

Interim- rapport controlejaar 2023

Financial Audit

15. IT General Controls (ITGC) De ITGC's voor de concernbrede systemen en infrastructuur zijn in opzet en bestaan op het niveau van de applicatie in voldoende mate aangetoond. Op database niveau constateren wij dat logging en monitoring ontbreekt op het gebruik van generieke accounts met vergaande rechten. Wij zien dit als belangrijk verbeterpunt voor de kwaliteit van de algemene beheersing.

Concernbrede systemen (CBS) en infrastructuur: Financial Audit heeft voor het vaststellen van de opzet en het bestaan onderzoeken uitgevoerd op het beheer van de concernbrede systemen en infrastructuur:

Applicatie

Proces

Beschrijving/ toelichting

Oordeel

Active Directory

Generiek

Audit opzet, bestaan

Voldoet deels

Oracle EBS

Generiek

Audit opzet, bestaan

Voldoet deels

APRO

Generiek

Audit opzet, bestaan

Voldoet deels

Bevinding 1: CBS maakt op databaseniveau gebruik van een beperkt aantal generieke database-accounts voor de applicaties Oracle EBS en APRO. Voor deze accounts hebben we vastgesteld dat het gebruik niet wordt gemonitord. Wij hebben vernomen dat deze accounts geregeld worden gebruikt door interne en externe beheerders. Aanbeveling: Wij stellen voor een logging en monitoringsfunctie in te richten voor interne (en voor zover van toepassing externe) beheerders, zodat het gebruik van deze accounts achteraf traceerbaar is en periodiek monitoring kan plaatsvinden dat generieke accounts zijn ingezet voor de toegewezen taken. Voor externe beheerders adviseren wij dit beter te borgen binnen het Third Partycontractmanagement.

Bevinding 2: Wij hebben vastgesteld dat kritische CPU-patches op de Oracle-database niet tijdig zijn uitgevoerd en dat hiervoor geen risico-afweging is vastgelegd Aanbeveling: Wij stellen voor om een risicoanalyse uit te voeren en vast te laten leggen op het moment dat een kritische CPU-patch niet tijdig kan worden doorgevoerd.

Bevinding 3: Een procedure rond het gebruik van generieke serviceaccounts en het built-in administrator account binnen de Active Directory ontbreekt. Logging is (deels) ingericht, maar hier zit nog geen actieve monitoring op. Wij hebben vernomen dat deze verbetering meegenomen gaat worden binnen het centrale Identity Access Management-project.

Aanbeveling:

1 oktober 2023 30

Financial Audit

Interim- rapport controlejaar 2023

Wij stellen voor een procedure op te stellen waarin het gebruik van de built-in Administrator account en de service-accounts binnen de Active Directory is uitgewerkt en vervolgens actieve monitoring op het gebruik van deze accounts in te richten.

Managementreactie door proceseigenaar Bevinding 1: we erkennen dat er een bevinding is betreffende verregaande rechten, waarbij wordt vastgesteld dat deze al enige tijd aanwezig zijn. Gezien de omvang van onze organisatie, zijn deze verregaande rechten toebedeeld aan twee beheerders, en is tot op heden dit risico ook door FA als acceptabel beschouwd. Tevens met de komst van Oracle Cloud (GREAT) wordt dit risico gemitigeerd. Het deel wat is uitbesteed bij de leverancier MCX, nemen we mee om daarover concrete afspraken ten aanzien van de monitoringmaatregelen vast te leggen. Bevinding 2: er is altijd een risicoafweging tussen het implementeren van CPU-patch en het continueren van goed functionerende maatwerk. Vandaar wordt er te allen tijde een risicoanalyse uitgevoerd om de openstaande CPU- patches wel of niet mee te nemen met de eerst opvolgende release. We zullen erop toezien dat de risicoafweging op adequate wijze wordt vastgelegd. Bevinding 3: we zullen de (technische) mogelijkheden onderzoeken in hoeverre we de aanbeveling kunnen opvolgen.

1 oktober 2023 31

Interim- rapport controlejaar 2023

Financial Audit

15. IT General Controls (ITGC) Clusterspecifieke systemen Financial Audit heeft diverse typen onderzoeken uitgevoerd op het beheer van de clusterspecifieke systemen die worden ingezet voor de financiële kritieke processen. Een nadere toelichting is bij het betreffende proces opgenomen.

Applicatie

Proces

Beschrijving/ toelichting

Oordeel

AOL

Betalingsorganisatie

Audit opzet, bestaan en werking

Voldoet

HB Tool

Betalingsorganisatie

Opvolgingsgesprek op basis van audit 2022.

Geen audit

Workforce ADP/ Mijn HR

HR

Audit opzet en bestaan.

Voldoet deels

GOUW/ ONS

Belastingen en Heffingen

Audit opzet en bestaan.

Voldoet deels

Socrates

Sociale Uitkeringen

Audit opzet en bestaan.

Voldoet deels

RMW

Sociale Uitkeringen

Audit opzet en bestaan.

Voldoet deels

Thomas ALO

Sociale Uitkeringen

Audit opzet en bestaan.

Voldoet deels

Sorga/ Gidso/ Bestelmodule

WMO/Jeugd

Audit op opzet beheersmaatregelen heeft niet plaatsgevonden.

EPC2000

Grondexploitaties en Erfpacht

Opvolgingsgesprek op basis van audit 2022.

Geen audit

ISA/HAS

Verkoop en Facturatie

Opvolgingsgesprek op basis van audit 2022.

Geen audit

Combipac

Verkoop en Facturatie

Opvolgingsgesprek op basis van audit 2022.

Geen audit

1 oktober 2023 32