[23bb007519] Brief van PWC over jaarrekeningcontrole 2023
Tekst van het document
0I
Boardletter
Inleiding Inhoudsopgave Onze kernboodschappen Interne beheersing Speerpunten Rechtmatigheidsverantwoording
Boardletter
Gemeente Rotterdam Jaarrekeningcontrole 2023
Vooruitkijkend Klimaat en duurzaamheid Bijlage
PricewaterhouseCoopers Accountants N.V. 3 november 2023
1
Boardletter
Inleiding Inhoudsopgave Onze kernboodschappen Interne beheersing Speerpunten Rechtmatigheidsverantwoording Vooruitkijkend Klimaat en duurzaamheid Bijlage
Inleiding Gemeente Rotterdam T.a.v. het college van burgemeester en wethouders en de Commissie Onderzoek van de Rekening (COR) Postbus 70012 3000 KP ROTTERDAM 3 november 2023 Referentie: NLE00023575.1.1 Geachte leden van het college en de COR, Graag presenteren we u hierbij onze boardletter met betrekking tot onze tussentijdse controle van de jaarrekening van uw gemeente voor het boekjaar dat eindigt op 31 december 2023. We hebben onze werkzaamheden uitgevoerd in overeenstemming met de startnotitie 2023 en ons controleplan 2023. Onze tussentijdse bevindingen zijn gebaseerd op onze werkzaamheden tot en met 30 september 2023 en zijn vooral gericht op de opzet en het bestaan van de processen. Onze zienswijzen, bevindingen en aanbevelingen zijn open en constructief besproken met de ambtelijke organisatie. Graag bespreken we de inhoud van deze rapportage tijdens de COR-vergadering op 14 november 2023.
Mocht u vragen hebben, aarzelt u dan niet om contact met ons op te nemen. Wij zijn uiteraard graag bereid om de inhoud van deze rapportage nader toe te lichten. Hoogachtend, PricewaterhouseCoopers Accountants N.V. Dit document is elektronisch ondertekend door:
Dit document is elektronisch ondertekend door:
Martine Koedijk
Annemarie Kros
[]
drs. Martine Koedijk RA RE partner
Annemarie Kros RA EMITA director
PricewaterhouseCoopers Accountants N.V., Fascinatio Boulevard 350, 3065 WB Rotterdam, Postbus 8800, 3009 AV Rotterdam T: 088 792 00 10, F: 088 792 95 33, www.pwc.nl PwC’ is het merk waaronder PricewaterhouseCoopers Accountants N(KvK 51414406), PricewaterhouseCoopers Pensions, Actuarial & Insurance Services B.V. (KvK 54226368), PricewaterhouseCoopers B.V. (KvK 34180289) en andere vennootschappen handelen en diensten verlenen. Op deze diensten zijn algemene voorwaarden van toepassing, waarin onder meer aansprakelijkheidsvoorwaarden zijn opgenomen. Op leveringen aan deze .V. (KvK 34180285), PricewaterhouseCoopers Belastingadviseurs N.V. (KvK 34180284), PricewaterhouseCoopers Advisory N.V. (KvK 34180287), PricewaterhouseCoopers Compliance Services B.V. vennootschappen zijn algemene inkoopvoorwaarden van toepassing. Op www.pwc.nl treft u meer informatie over deze vennootschappen, waaronder deze algemene (inkoop)voorwaarden die ook zijn gedeponeerd bij de Kamer van Koophandel te Amsterdam. ‘
2
Boardletter
Inleiding Inhoudsopgave Onze kernboodschappen Interne beheersing Speerpunten Rechtmatigheidsverantwoording Vooruitkijkend Klimaat en duurzaamheid Bijlage
Inhoudsopgave Inleiding
1
Inhoudsopgave
2
Onze kernboodschappen
3
Interne beheersing
4
Risicobeheersingsproces
5
Sturen en verantwoorden
6
Controleactiviteiten
7
IT-beheersingsmaatregelen
8
Project GREAT
9
Fraude en wet- en regelgeving
10
Speerpunten
11
Rechtmatigheidsverantwoording
12
Vooruitkijkend
13
Klimaat en duurzaamheid
14
Bijlage
15
Vereiste communicatie
16
3
Boardletter
Inleiding Inhoudsopgave
Onze kernboodschappen
Onze kernboodschappen
1.
Bij de jaarlijkse update van de evaluatie van uw (financiële) processen en de interne beheersing zien we dat de implementatie van GREAT als kans wordt gezien voor verbetering in de interne beheersing. Het doorleven en nakomen van afspraken is een belangrijke basis voor de versterking van de interne beheersing. Aandachtgebied in 2023 is de migratie naar SORGA (een applicatie in het sociaal domein), waarbij intern is geconstateerd dat de migratie mogelijk niet geheel juist en/of volledig is verlopen. Het is belangrijk dat wij in het najaar 2023 vast kunnen stellen dat tot voldoende zekerheid kan worden gekomen om eventuele impact op de jaarrekening en de controle tijdig in te kunnen schatten. Ook hebben wij aandacht gehad voor de inrichting van frauderisicobeheersing en de voorbereidingen op de rechtmatigheidsverantwoording.
3.
De planning van project GREAT is vertraagd. Een belangrijke mijlpaal in het projectplan was de oplevering van een acceptatieomgeving op 1 september 2023, maar deze deadline is niet gehaald. Dit heeft geleid tot onduidelijkheid over de financiële gevolgen en de omvang van de vertraging. De mijlpaal is verzet naar 1 december. De vervolgplanning wordt nog opgesteld en is mede afhankelijk van de voortgang van de mijlpaal naar 1 december. Er zullen keuzes moeten worden gemaakt rondom tijd/planning, kwaliteit/scope en geld/contract. Een onafhankelijke externe partij zal een belangrijke rol spelen bij het beoordelen van de huidige status en het resterende werk. Vertrouwen en transparantie zijn cruciale vereisten voor het nemen van geïnformeerde beslissingen over project GREAT. Wij adviseren de raad, in zijn toezichthoudende rol, in gesprek te blijven met het college.
2.
In 2023 is een nieuwe kadernota ‘Sturen en Verantwoorden’ opgesteld, die aansluit op de huidige werkwijze. De verschillende verantwoordelijkheden, rollen en taken en het ‘controlstelsel’, met (de rol van) hierarchische en functioneel verantwoordelijken, budgethouders, poceseigenaren, cluster BCO en DMC zijn in deze kadernota duidelijk beschreven. Daarmee is deze kadernota een goede én belangrijke basis voor de governance en de checks & balances. Er is sprake van een (complexe) matrixorganisatie, met verschillende betrokkenen in het controlstelsel, waardoor het cruciaal is dat alle betrokkenen de kadernota doorgronden en zich deze eigen maken om de checks & balances goed te laten werken. Ook is het belangrijk dat de controllers (project, cluster, business, concern) en de betrokkenen in tweedelijnsrollen bij BCO (centraal, decentraal) elkaar op alle ‘verbindingen’ weten te vinden zodat er geen (signalen over) kansen/risico’s tussen wal en schip vallen. We adviseren daarom om extra aandacht te schenken aan de implementatie van de nieuwe kadernota passend bij de ambities ten aanzien van de doorontwikkeling van de organisatie. Daarbij is de gewenste verdere uitwerking een kans om waar mogelijk de inrichting te vereenvoudigen.
4.
In deze boardletter rapporteren wij over twee speerpunten die met de COR zijn afgesproken: • toetsen of de reserves binnen het sociaal domein voldoen aan de vastgestelde criteria en hierover rapporteren; • reflecteren op de informatievoorziening inzake de ombuigingstaakstelling in de P&C-documenten en de mogelijkheden om de realisatie te monitoren.
5.
Schaarste van mens en middelen is een belangrijk thema bij het realiseren van maatschappelijke opgaven. Hierbij zien wij drie belangrijke thema’s: het investeren in welzijn van ambtenaren, het prioriteren van projecten en het uitwerken van strategisch personeelsbeleid. De gemeente heeft beleid ingericht dat is gericht op preventie van verzuim. Voor het prioriteren van projecten en nieuwe beleidsmatige keuzes en/of activiteiten adviseren wij om deze vanuit een totale projectenportefeuille te bezien om de juiste keuzes te kunnen maken en zichtbaar te monitoren, en te koppelen aan de inzichten van prioriteiten en de bezuinigingstaakstelling in de bedrijfsvoering, gecombineerd met een verwacht verloop in de bezetting.
Interne beheersing Speerpunten Rechtmatigheidsverantwoording Vooruitkijkend Klimaat en duurzaamheid Bijlage
Deze rapportage is opgesteld uitsluitend voor gebruik door de raad en het college van burgemeester en wethouders van de gemeente Rotterdam. Op dit rapport kan niet door derden worden gesteund aangezien derden niet op de hoogte zijn van het doel van de werkzaamheden en de resultaten onjuist kunnen interpreteren. Wij aanvaarden geen aansprakelijkheid, zorgplicht en/of verantwoordelijkheid jegens andere partijen dan de gemeente Rotterdam.
4
Boardletter
Inleiding Inhoudsopgave Onze kernboodschappen Interne beheersing Risicobeheersingsproces Sturen en verantwoorden Controleactiviteiten IT-beheersingsmaatregelen Project GREAT Fraude en wet- en regelgeving Speerpunten Rechtmatigheidsverantwoording Vooruitkijkend Klimaat en duurzaamheid Bijlage
Onze reflectie op uw interne beheersing Alle focus is gericht op de invoering van GREAT Voor elk significant proces hebben wij (onder andere) managementmeetings gehad om wijzigingen en ontwikkelingen in het proces te bespreken met de procesverantwoordelijken, controllers en Financial Audit (‘FA’). Hieruit hebben wij samen met de bestaanscontroles, rapportages FA en het bijwonen van een clustercontrollersoverleg een duidelijk beeld gekregen van de ontwikkelingen in de brede interne beheersing in 2023. Van de relevante interne beheersingsmaatregelen in de significante processen hebben wij het bestaan vastgesteld, met uitzondering van het proces betalingsorganisatie en aanbesteden dat nog onderhanden is. Op basis van onze uitgevoerde werkzaamheden ten aanzien van de opzet en het bestaan van de processen hebben wij geen wijzigingen aangebracht in de aanpak ten opzichte van de startnotitie en het controleplan. De komende periode zullen wij, waar nodig, de werking van de beheersingsmaatregelen vaststellen (zoals opgenomen in het controleplan). Aanvullende aandacht zullen wij geven aan het betalingsproces, gezien de (recente) landelijke nieuwsberichten rondom CEO-fraude en daarmee mogelijk het risico van onrechtmatige betalingen vanuit (cyber)criminialiteit.
Indien op basis van deze werkzaamheden wijzigingen ontstaan in de controleaanpak, zullen wij dit via de voortgangsrapportage rapporteren. Uit de gesprekken blijkt dat veel waarde wordt gehecht aan de kwaliteit van de beheersing in de primaire processen. De implementatie van GREAT wordt hierbij nadrukkelijk als kans gezien, omdat in het nieuwe systeem bij de processen die in de reikwijdte van GREAT vallen, de (geautomatiseerde) interne beheersingsmaatregelen worden ingericht of dat monitoring achteraf via data-analyse mogelijk wordt. De vernieuwde kadernota ‘Sturen en Verantwoorden’ is een goede vastlegging, en specifieke aandacht voor de implementatie ervan biedt de mogelijkheid om de interne beheersingsomgeving te versterken.
5
Boardletter
Inleiding Inhoudsopgave Onze kernboodschappen Interne beheersing Risicobeheersingsproces Sturen en verantwoorden
Uw risicobeheersingsproces De controleomgeving vormt de basis voor een goede opzet van de processen en de effectieve werking hiervan. Voor de gemeente Rotterdam is de kadernota ‘Sturen en Verantwoorden’ het basisdocument waarin de visie op het proces van begroten, monitoren, bijsturen en uitvoeren is uitgewerkt. COSO-component
1. Controleomgeving
2. Risicobeoordeling
Het college formuleert de basis van de risicobeoordeling (controle- en bedrijfsrisico’s) en de controle hierop vindt plaats door FA. De focus van FA ligt op de vijftien kritische processen (gericht op controlerisico’s). Wij adviseren om naast deze processen de belangrijke risico’s voor de gehele organisatie in kaart te brengen.
3. Controleactiviteiten
Proceseigenaren zijn verantwoordelijk voor het opstellen van de controleactiviteiten, inclusief het plan van aanpak van schattingsposten. De volwassenheid hiervan kan toenemen door meer preventieve maatregelen in de interne beheersing te verankeren, door de implementatie van GREAT en datagedreven analyses.
4. Informatie en communicatie
Voldoende maatregelen voor het jaarrekeningproces (denk aan concerndashboard, maandgesprekken, sturingsgesprekken). Om tot een hoger volwassenheidsniveau te komen is het van belang dat uw administratie voorspelbaarder wordt. Continue up-to-date informatie is van belang, meer dan alleen analyse achteraf. Ook vragen wij aandacht voor de koppeling tussen financiële en niet-financiële informatie en periodieke analyse van de realisatiecijfers.
5. Monitoring
De afdeling Concernaudit voert controles uit op doelmatigheid en doeltreffendheid. FA controleert op getrouwheid en rechtmatigheid. De afdeling FA voert evaluaties uit en meldt tekortkomingen in interne beheersing.
Project GREAT Fraude en wet- en regelgeving Speerpunten Rechtmatigheidsverantwoording Vooruitkijkend Klimaat en duurzaamheid Bijlage
Bevindingen en aanbevelingen In de controleomgeving is duidelijk zichtbaar wie waarvoor verantwoordelijk is en welke taken en bevoegdheden hiertoe behoren. Belangrijke elementen zijn het streven naar integriteit en ethische waarden door het college. De toezichtstaken van de raad en de ingerichte structuur, autoriteit en verantwoordelijkheid.
Controleactiviteiten IT-beheersingsmaatregelen
Mate van volwassenheid (*)
In onderstaande tabel evalueren wij uw interne controleomgeving per onderdeel van de interne beheersing en geven wij u onze aanbevelingen. Onze conclusie is dat de elementen van de controleomgeving gezamenlijk een juiste basis vormen voor de andere onderdelen van de interne controle.
(*) De volwassenheidsclassificatie gaat van 1 (waar het onderdeel niet is ontwikkeld) naar 5 (waar het onderdeel op een geavanceerde manier is ontworpen). De volwassenheidsclassificatie is bedoeld om u inzicht te geven in uw risicobeheersingsproces op basis van het COSO-framework.
Dit op basis van het inzicht dat wij van u hebben verkregen. Wij hebben uw risicobeheersingsproces niet gecontroleerd of beoordeeld en als zodanig wordt er geen afzonderlijke garantie gegeven met betrekking tot de volwassenheid van uw risicobeheersing.
6
Boardletter
Inleiding Inhoudsopgave Onze kernboodschappen
Sturen en verantwoorden De kadernota is een uitstekende basis voor een volwassen controleomgeving en beheersing
Interne beheersing Risicobeheersingsproces Sturen en verantwoorden Controleactiviteiten IT-beheersingsmaatregelen Project GREAT Fraude en wet- en regelgeving Speerpunten Rechtmatigheidsverantwoording Vooruitkijkend Klimaat en duurzaamheid Bijlage
De gemeente Rotterdam heeft dit jaar de kadernota Sturen en Verantwoorden geactualiseerd, omdat de beschreven rollen en verantwoordelijkheden niet meer aansloten op de praktijk (waardoor ook onduidelijkheid over de inrichting van de eerste- en tweedelijnstaken en rollen bestond). In de kadernota zijn de verschillende verantwoordelijkheden, rollen en taken en het ‘controlstelsel’ beschreven, waaronder (de rol van) hiërarchische en functioneel verantwoordelijken, budgethouders, proceseigenaren, cluster BCO en DMC. We benadrukken het belang van de kadernota als basis voor de controleomgeving en de werking van het beheersingsstelsel van de gemeente Rotterdam. We hebben het daarom dit jaar zelf als een speerpunt aangemerkt. Hoofdlijnen kadernota ‘Sturen en Verantwoorden’ De nieuwe kadernota beschrijft conceptueel wie er sturen en verantwoorden en hoe er wordt gestuurd en verantwoord. Uitgangspunt is dat er altijd één eindverantwoordelijke is. De hiërarchische en functionele verantwoordelijkheden en de formele rollen zijn uitgewerkt, waaronder die van de proceseigenaar. De proceseigenaar stelt de kaders op waarbinnen het proces moet worden uitgevoerd en ziet toe op de naleving van deze kaders.
Daarnaast is ook het controlstelsel in hoofdlijnen beschreven in vier stappen (bepalen doelen, uitvoeren risico- en kansenanalyse, bepalen sturingsmiddelen en uitvoeren en beheersen) en de rollen en verantwoordelijkheden per organisatieonderdeel. Het management van een cluster is daarbij integraal verantwoordelijk voor de inrichting en uitvoering van de processen. Specifiek wordt ingegaan op de ondersteunende rol van BCO als dienstverlener in de vorm van uitvoerder, adviseur, bewaker, signaleerder en regisseur op het gebied van bedrijfsvoering. Hierbij wordt het belang benoemd van de dialoog met de clusters om vraag en aanbod op elkaar af te stemmen.
Voor de bedrijfsvoering heeft BCO belangrijke tweedelijnsrollen Het cluster BCO ondersteunt de concerndirectie bij haar (kaderstellende) beleidsfunctie op het gebied van de bedrijfsvoering. De financiële kaderstelling ligt bij DMC. De concerndirectie stelt het beleid vast, en de verantwoordelijkheid voor de naleving van het beleid ligt bij de clusters. BCO vertaalt het vastgestelde beleid naar procedures en toetst op de naleving daarvan. DMC is systeemverantwoordelijk voor het stelsel DMC heeft een eigenstandige kritische adviserende rol met betrekking tot het proces van besturen, monitoren en besluiten en heeft de systeemverantwoordelijkheid voor het gehele stelsel van sturen en verantwoorden. Voor de sturing en verantwoording wordt daarbij gebruikgemaakt van managementinformatiesystemen, waaronder het concerndashboard. Daarnaast vormen de periodieke sturings- en verantwoordingsgesprekken op de verschillende niveaus in de organisatie over de voortgang op de gestelde doelen, de risico’s en kansen en de te nemen beheersingsmaatregelen, een belangrijk en krachtig instrument. Analyse ‘checks & balances’ In de kadernota wordt afgezien van het onderscheid in de eerste en tweede lijn van het drielijnenmodel. Wij hebben voor onze analyse wel gebruikgemaakt van de omschrijving van de taken en rollen van het model.
In het drielijnenmodel bestaat de eerste lijn uit de ‘primaire’ (uitvoerende) processen inclusief beheersingsmaatregelen. De eerste lijn is er verantwoordelijk voor om de processen en procedures zodanig in te richten en uit te voeren dat de doelen worden gerealiseerd. De tweede lijn is de kaderstellende en bewakende, monitorende, adviserende en ‘challengende’ rol om tijdig kansen, risico’s en fouten in de eerste lijn te signaleren.
6I
Boardletter
Inleiding Inhoudsopgave Onze kernboodschappen
Sturen en verantwoorden ‘Doorleven’ stelsel van verantwoordelijkheden/rollen en daarmee het samenspel is als soft control essentieel
Interne beheersing Risicobeheersingsproces Sturen en verantwoorden Controleactiviteiten IT-beheersingsmaatregelen Project GREAT Fraude en wet- en regelgeving Speerpunten Rechtmatigheidsverantwoording Vooruitkijkend Klimaat en duurzaamheid Bijlage
Samenspel tweedelijnsrollen moet nog nader worden ingevuld De kadernota is een heldere conceptuele uitwerking en een uitstekende basis voor een volwassen controleomgeving en beheersing. Het samenpel met en de dialoog tussen de verschillende rollen en verantwoordelijkheden is echter (nog) niet (formeel) uitgewerkt en/of met elkaar ‘doorgesproken’. Dit is een belangrijke volgende stap die past in de ambities ten aanzien van de doorontwikkeling van de organisatie (dynamiek lijn-staf/ondersteuning). Omdat de gemeente door haar omvang een complexe matrixorganisatie is en de checks & balances bij verschillende rollen en/of organsiatieonderdelen zijn belegd, is het onderlinge samenspel cruciaal. Daarvoor moeten alle betrokkenen de kadernota doorgronden, zich deze eigen maken én deze samen doorleven om het controlstelsel (maximaal) te laten werken. Het is immers van belang dat de diverse controllers (project, cluster, business, concern) en de betrokkenen in tweedelijnsrollen bij BCO (zowel centraal als in de clusters) elkaar op alle ‘verbindingen’ weten te vinden zodat er geen (signalen over) kansen en risico’s tussen wal en schip vallen. Hiervoor is naast kennis van de kaders en de (eigen) verantwoordelijkheden, open/korte lijnen naar elkaar (zeker waar rollen en verantwoordelijkheden elkaar raken) én een open cultuur van bespreken en aanspreken noodzakelijk.
We adviseren daarom om de aandacht en focus vast te houden en hierin door te pakken voor de implementatie van de nieuwe kadernota, hetgeen aansluit op de brede wens om de samenwerking tussen BCO, clusters en Control samen nader te concretiseren op basis van de nieuwe kadernota en daarbij ook aandacht te schenken aan het omgaan met de interfaces (verbindingen) in de matrixstructuur.
Daarbij biedt de implementatie van de kadernota ook kansen om het volwassenheidsniveau van de diverse betrokken onderdelen in de primaire processen te ontwikkelen naar een gelijk niveau en de inrichting te vereenvoudigen zodat er minder interfaces bestaan en de taken/verantwoordelijkheden eenduidig zijn belegd.
7
Boardletter
Inleiding Inhoudsopgave Onze kernboodschappen
Risicobeheersingsproces Sturen en verantwoorden Controleactiviteiten IT-beheersingsmaatregelen Project GREAT Fraude en wet- en regelgeving
Rechtmatigheidsverantwoording Vooruitkijkend Klimaat en duurzaamheid Bijlage
Bij het uitwerken en inrichten van de optimale interne beheersing zijn zichtbare interne beheersingsmaatregelen een belangrijk uitgangspunt. Zoals opgenomen in de tabel worden de risico’s nog niet in elk proces volledig afgedekt door beheersingsmaatregelen. Door de focus te leggen op de beheersing van de (financiële) risico’s in het primaire proces is de gemeente vervolgens in staat om vanuit monitoring en financial audit een optimale controlemix vast te stellen, gericht op het lerend en zelfcontrolerend vermogen. Het onderscheid in de eerste en tweede lijn wordt niet op het niveau van de organisatieonderdelen gemaakt, maar op basis van toegekende verantwoordelijkheden en rollen. In de tabel hiernaast en de genoemde toelichting worden deze daarom bij elkaar genomen. Hier reflecteren we op de nieuwe kadernota ‘Sturen en Verantwoorden’.
In opzet ontoereikend
Proces is adequaat opgezet en beheersingsmaatregelen bestaan
* In opzet toereikend, maar één of meerdere beheersingsmaatregelen bestaan in de praktijk niet (zichtbaar)
Betreft een totaalbeeld over ITGC’s voor de centraal en bij de clusters beheerde systemen
SOCIAAL
Legenda
FYSIEK
Speerpunten
Op basis van de werkzaamheden die wij de afgelopen maanden hebben uitgevoerd zien wij dat de organisatie werkt aan de versterking van de interne beheersing. Dit door het inrichten van soft controls, de focus op sturen en verantwoorden en de betrokken medewerkers bewust te maken van het nakomen van afspraken in de processen. De implementatie van GREAT loopt als een rode draad door de primaire processen en is een belangrijke kans voor het verankeren van (geautomatiseerde) beheersingsmaatregelen en data-analyes.
Proces BEDRIJFSVOERING
Interne beheersing
Doorleven en nakomen van afspraken als de basis voor versterking interne beheersing
Beheersing
T.o.v. 2022
Primair proces
FA
Administratie en Verslaglegging
Inkopen Aanbesteden
HR
Betalingsorganisatie
Treasury
IT(GC)*
Grondexploitatie
Vastgoed
Ontvangen subsidies en bijdragen
Verkoop en facturatie
Belastingen en heffingen
Wmo/Jeugd
Sociale uitkeringen
Verstrekte subsidies en bijdragen
8
Boardletter
Inleiding Inhoudsopgave Onze kernboodschappen
Algemene IT-beheersingsmaatregelen IT-beheersing concernbrede systemen licht verbeterd, clusterspecifieke systemen blijven aandacht vragen
Interne beheersing Risicobeheersingsproces Sturen en verantwoorden Controleactiviteiten IT-beheersingsmaatregelen
Fraude en wet- en regelgeving Speerpunten Rechtmatigheidsverantwoording Vooruitkijkend Klimaat en duurzaamheid Bijlage
We hebben ook vernomen dat de migratie naar een nieuwe applicatie in het sociaal domein (SORGA) niet goed verlopen is. Uit de besprekingen komt naar voren dat er onduidelijkheden in de data zijn. Wanneer deze onduidelijkheden niet tijdig worden opgelost bestaat het risico van onzekerheden in de juistheid en volledigheid van de data in deze applicatie. Dit zou een mogelijke impact kunnen hebben op de getrouwheid en/of rechtmatigheid van de jaarrekening.
Tekortkoming hoge controle-impact
Algemene IT-beheersingsmaatregelen
Tekortkoming beperkte impact
Wijzigingsbeheer
Autorisatiebeheer en toegangsbeveiliging
Continuïteit
Oracle EBS
APRO
AOL/Access Direct
ADP
Gouw
ONS
n.v.t.
Geen materiële tekortkoming Beoordeling onderhanden
Concernbrede systemen
IT-systemen
Project GREAT
In samenwerking met de afdeling FA hebben wij aandacht besteed aan uw IT-beheersing. De focus lag op het beoordelen van de beheersing rondom de ITsystemen die relevant zijn voor de jaarrekeningcontrole 2023. Dit met als doel vast te stellen in welke mate de gemeente Rotterdam de belangrijkste IT-risico’s beheerst. In de tabel rechts ziet u per IT-systeem of de geconstateerde tekortkomingen impact hebben op de controleaanpak voor het proces dat wordt ondersteund. Doordat de eerder gerapporteerde bevinding op databaseniveau voor Oracle pas opgelost wordt via project GREAT kan er op dit moment helaas niet volledig gesteund worden op diverse IT-afhankelijkheden in Oracle EBS. Dit resulteert in een gegevensgerichte aanpak en is de reden (mede met het oog op project GREAT) dat wij onze reikwijdte beperkt hebben tot de systemen met ITafhankelijkheden voor de jaarrekeningcontrole. Samenvattend zien we dat in 2023 de belangrijkste IT-beheerprocessen (wijzigingsbeheer, autorisatiebeheer en toegangsbeveiliging) voor de concernbrede systemen en clusterspecifieke systemen licht verbeterd zijn op het gebied van interne beheersing in vergelijking met 2022. Wij benadrukken dat de verantwoordelijkheid voor het opvolgen van de bevindingen, ook op eventuele vervangende systemen, primair bij de clusters ligt, waar nodig ondersteund door BCO-IIFO.
Clusterspecifieke systemen
Ondersteunende IT-systemen Active Directory
De organisatie werkt aan een escalatie en de borging van de juistheid en volledigheid van de data. Het is belangrijk dat wij in het najaar 2023 vast kunnen stellen dat tot voldoende zekerheid kan worden gekomen om een eventuele impact op de jaarrekening en jaarrekeningcontrole tijdig in te kunnen schatten.
8I
Boardletter
Inhoudsopgave Onze kernboodschappen Interne beheersing Risicobeheersingsproces Sturen en verantwoorden Controleactiviteiten IT-beheersingsmaatregelen Project GREAT Fraude en wet- en regelgeving Speerpunten Rechtmatigheidsverantwoording
Klimaat en duurzaamheid Bijlage
Cybersecurity-incidenten (bijvoorbeeld ransomwareaanvallen) kunnen een grote impact hebben op de primaire processen en de bedrijfsvoering van de gemeente Rotterdam. Het belang van het inrichten van adequate maatregelen op het gebied van cybersecurity is daarmee noodzakelijk voor het beperken van deze risico’s. Wij hebben gesprekken gevoerd en kennisgenomen van documentatie om inzicht te krijgen in de wijze waarop de gemeente Rotterdam omgaat met cybersecurityrisico’s. We willen benadrukken dat we geen diepgaande beoordeling hebben uitgevoerd om te bepalen of er adequate maatregelen zijn genomen om
te voldoen aan relevante wet- en regelgeving met betrekking tot de bescherming van persoonsgegevens en cybersecurity. Wij hebben vanuit de jaarrekeningcontrole naar specifieke risico’s gekeken die mogelijk financiële of operationele impact met zich meebrengen. Hieronder hebben we de belangrijkste stappen samengevat die het management heeft genomen, gegroepeerd per dimensie van een algemeen geaccepteerd cybersecurityraamwerk (NIST) om de cyberweerbaarheid te bepalen.
Identify • Gemeente Rotterdam is momenteel bezig met het actualiseren van het cyberdreigingsbeeld. Wij adviseren om jaarlijks een risico-assessment uit te voeren om op de hoogte te blijven van de actuele dreigingen en risico’s voor de gemeente en de keten. Blijf daarbij ook de betrokkenheid en het eigenaarschap van de clusters stimuleren. • Gemeente Rotterdam werkt nauw samen met Informatie Beveiligings Dienst (IBD). Ook laat de gemeente Rotterdam momenteel onderzoek doen door een externe partij inzake de NIS2-richtlijn. Deze richtlijn is vastgesteld door de Europese Unie en is bedoeld om de cyberbeveiliging en de weerbaarheid van essentiële diensten (waaronder overheidsdiensten) te verbeteren. • De gemeente beschikt over een meerjarenplan informatiebeveiliging. Deze wordt momenteel geactualiseerd. Protect • Verschillende beschermingsmechanismen zijn geïmplementeerd om de gemeente te verdedigen tegen cyberincidenten, zoals firewalls, antivirussoftware en netwerksegmentatie. • Naast technische maatregelen voert de gemeente ook phishing-e-mailoefeningen uit. Tijdens de on-boarding moeten de nieuwe medewerkers een e-learning volgen. Wij ondersteunen de noodzaak om informatiebeveiliging regelmatig onder de aandacht te blijven brengen van de medewerkers. Detect • De diensten van Secura worden benut voor pentesten en vulnerabilityscanning.
• Gemeente Rotterdam beschikt over een Security Operation Center, beheerd door een externe partij, SMT, die continu cybersecuritydreigingen analyseert. Zorg voor (behoud van) voldoende kennis en capaciteit. Response & Recover • Gemeente Rotterdam beschikt over een incident-reponseprocedure. Deze beschrijft stapsgewijs hoe te handelen bij de identificatie van informatiebeveiligingsincidenten om zo de impact van deze security-incidenten te minimaliseren. Wij adviseren de gemeente om ransomeware-readiness-assessments uit te voeren om zich voor te bereiden op mogelijke ransomewareaanvallen. • Op basis van gesprekken hebben wij vernomen dat er tot heden geen sprake is geweest van cyberincidenten.
Identify Weten wat je hebt, wat belangrijk is en welke risico’s je loopt.
Reageren op incidenten en bijsturen op basis van opgedane inzichten. Herstellen naar een normale bedrijfsvoering
Incidenten voorkomen met techniek, mens en procedures
Monitoren van verdacht gedrag en afwijkingen
Detect
Protect
Vooruitkijkend
Cybersecurity staat hoog op de agenda
Response & Recover
Inleiding
9
Boardletter
Inleiding Inhoudsopgave Onze kernboodschappen
De planning van Project GREAT is vertraagd Het projectteam onderzoekt de impact
Interne beheersing Risicobeheersingsproces Sturen en verantwoorden Controleactiviteiten IT-beheersingsmaatregelen
Wij volgen aandachtig de voortgang rondom Project GREAT. Het omvangrijke ICTproject, waarin het huidige Oracle EBS-landschap wordt vervangen door Oracle Cloud, heeft grote invloed op de processen binnen de gemeente Rotterdam, en daarmee ook op toekomstige jaarrekeningcontroles. Wij bereiden ons voor op de wijzigingen in uw applicatielandschap, processen en beheersingsmaatregelen door gesprekken te voeren met de projectmanager van de gemeente Rotterdam en ons in te lezen met hulp van voortgangsrapportages.
Gemeente Rotterdam moet keuzes maken Mede naar aanleiding van de uitkomsten van de onafhankelijke derde partij zal de gemeente Rotterdam voor een aantal belangrijke keuzes komen te staan die het verloop van GREAT gaan beïnvloeden. Deze keuzes zullen op hoofdlijnen gericht zijn op de thema's tijd/planning, kwaliteit/scope en geld/contract. Dit zullen geen eenvoudige keuzes zijn. Wij hebben op de volgende pagina onze beelden opgenomen ten aanzien van deze thema's.
Project GREAT Fraude en wet- en regelgeving Speerpunten Rechtmatigheidsverantwoording Vooruitkijkend Klimaat en duurzaamheid Bijlage
Mijlpaal 1 september niet gehaald Een belangrijke mijlpaal in de planning van GREAT was de systeemtechnische oplevering van een acceptatieomgeving per 1 september 2023. Het consortium heeft deze deadline niet gehaald en er is binnen het project onvoldoende accuraat over de status gerapporteerd. Het project kan daarom niet van start gaan met de geplande testwerkzaamheden waardoor het project vertraging oploopt. Wat de financiële consequenties zijn en hoeveel vertraging het project zal oplopen wordt momenteel nog onderzocht. Uw relatie met het consortium staat onder druk en heeft onder andere gezorgd voor een hernieuwde invulling van cruciale rollen in het project. Daarnaast is een externe partij gevraagd om een oordeel te geven over het verloop van het project. Wij onderschrijven deze aanpak waarbij een onafhankelijke derde partij inzicht geeft in de status van het project en wat er nodig is om de initiële projectdoelstellingen te behalen. Daarbij bevelen wij aan om deze derde partij betrokken te houden bij het project en periodiek de risico’s en voortgang hierop te laten terugkoppelen.
Tijd/planning
Kwaliteit/scope
Geld/contract
9I
Boardletter
Inleiding Inhoudsopgave Onze kernboodschappen
De planning van Project GREAT is vertraagd De planning van Project GREAT wordt herzien
Interne beheersing Risicobeheersingsproces Sturen en verantwoorden Controleactiviteiten IT-beheersingsmaatregelen Project GREAT Fraude en wet- en regelgeving Speerpunten Rechtmatigheidsverantwoording Vooruitkijkend Klimaat en duurzaamheid Bijlage
Tijd/planning
Geld/contract
Het projectteam is van plan de mijlpaal van september naar 1 december te verplaatsen en de verdere planning op te stellen na het behalen van die mijlpaal. De scope van het project is ongewijzigd en daarmee is een go-live per 1 januari 2024 onhaalbaar. De verdere planning zal dus moeten worden herzien. Overwegingen die een belangrijke rol zullen gaan spelen bij het afstemmen van een nieuwe go-livedatum zullen onder andere zijn: dataconversierisico (een conversie gedurende het jaar is risicovoller dan op jaareinde), beschikbaarheid van personeel (er zal rekening moeten worden gehouden met o.a. de planning en timing van testcapaciteit), effecten op de planning-en-controlcyclus en de kosten die gemoeid zijn met de desbetreffende uitloop (een go-livedatum die verder in de toekomst ligt zal meer kosten met zich meebrengen (zie ook geld/contract)).
De gemeente probeert naast formele stappen ook tot een gezamenlijke oplossing te komen omdat het belang omdat het belang om van het tot een goed einde brengen van dit project hoog is. Dit vergt veel van het projectteam, waarbij vertrouwen in elkaar een belangrijk thema is. Dit vertrouwen is van belang om vervolgens te kunnen bepalen in hoeverre er voldoende basis is om additioneel budget vrij te maken rekening houdend met een nieuwe go-livedatum. De uitkomst van de onafhankelijke externe partij zal hierin een belangrijke rol spelen, waarbij het inzicht in de huidige status en de werkzaamheden die nog moeten worden verricht helder en transparant zullen moeten worden vertaald naar een additioneel budget. In combinatie met een herstel in vertrouwen zou dit een belangrijke voorwaarde zijn voor een gefundeerde keuze rondom project GREAT.
Kwaliteit/scope Belangrijk is om niet ten koste van alles te willen versnellen en/of de scope te verkleinen. Vooralsnog is de scope van het project gehandhaafd en zijn er ook al een groot aantal delen afgerond. De belangrijkste uitdaging zit echter in het maatwerk waarbij het lastig is de voortgang hiervan goed te kunnen beoordelen. Wij zien als belangrijk risico dat er onder druk van een nieuwe go-livedatum mogelijk onvoldoende tijd wordt ingeruimd voor de noodzakelijke (end-to-end) testwerkzaamheden. Ook bestaat het risico dat de scope wordt ingeperkt om sneller (delen) van het systeem te kunnen implementeren. Beide risico’s zouden de kwaliteit van het nieuwe systeem op de nieuwe go-livedatum negatief kunnen beïnvloeden.
Ons advies aan de raad Wij adviseren de raad, in zijn toezichthoudende rol, in gesprek te blijven met het college. Het geheel aan governance zou moeten waarborgen dat de juiste keuzes worden gemaakt rondom de bovengenoemde onderwerpen.
10
Boardletter
Inleiding Inhoudsopgave Onze kernboodschappen
Fraude, omkoping en corruptie en het niet naleven van wet- en regelgeving
Interne beheersing Risicobeheersingsproces Sturen en verantwoorden Controleactiviteiten IT-beheersingsmaatregelen Project GREAT Fraude en wet- en regelgeving Speerpunten
We hebben de door de organisatie uitgevoerde evaluatie van frauderisico’s en risico’s in verband met het niet naleven van wet- en regelgeving beoordeeld. Op basis van uw analyse hebben wij geen nieuwe risicofactoren geïdentificeerd. In onze beoordeling van uw fraudepreventiesysteem kijken we specifiek naar de volgende onderdelen: • de implementatie van de gedragscode; • uw frauderisicoanalyse; • de maatregelen van interne beheersing die getroffen zijn om specifieke frauderisico’s af te dekken; • de wijze waarop het management opvolging geeft aan meldingen van klokkenluiders of andere signalen van fraude; • het opstellen van een herstelplan en het uitvoeren en monitoren van de acties. Vanuit de al gevoerde gesprekken komt naar voren dat alle elementen van uw fraudepreventiesysteem aanwezig zijn.
Rechtmatigheidsverantwoording
In de media en in de raad wordt gesproken over het accepteren van filantropische giften. Wij volgen dit onderwerp en bespreken de uitkomsten, vanuit de mogelijke schijn van belangenverstrengeling.
Vooruitkijkend
Afronding onderzoek naar klokkenluidersmelding
Klimaat en duurzaamheid Bijlage
Zoals opgenomen in het accountantsverslag 2022 hebben wij één melding van mogelijke fraude ontvangen. Het onderzoek is nu afgerond, wij moeten (vanuit onze rol) het rapport nog inhoudelijk beoordelen. Aanbevelingen vanuit het onderzoek hebben betrekking op het verhogen van het bewustzijn rondom de beïnvloeding van medewerkers (vastgoed). Hiervoor loopt het project Streetwise dat zich richt op cultuur en gedrag bij preventie (bijvoorbeeld op welke manier je als ambtenaar beïnvloed kunt worden door leveranciers). De gemeente evalueert ook de toepassing van de wet Bibob. De beheersing van frauderisico’s is momenteel een zelfstandig proces per cluster. De meeste clusters zitten op het niveau ‘oriënterend’ en ‘basis op orde’ in uw volwassenheidsladder frauderisicomanagement. Wij adviseren de beheersing van frauderisico’s een standaardonderdeel van de sturingscyclus te laten zijn en daarbij periodiek eventuele incidenten te bespreken.
11
Boardletter
Inleiding Inhoudsopgave Onze kernboodschappen
Speerpunten Rapportage van de speerpunten in de boardletter
Interne beheersing Speerpunten Rechtmatigheidsverantwoording Vooruitkijkend Klimaat en duurzaamheid Bijlage
In de COR-vergadering van 19 september 2023 zijn de volgende speerpunten overeengekomen: 1. Door middel van (aanvullende) deelwaarnemingen vaststellen dat bij grond- en vastgoedverkopen wordt voldaan aan de gestelde kaders en dat de aanbeveling uit het FA-rapport 2022 is opgevolgd. 2. Toetsen of de reserves binnen het sociaal domein voldoen aan de vastgestelde criteria en hierover rapporteren. 3. Reflecteren op de informatievoorziening inzake de ombuigingstaakstelling in de P&C-documenten en de mogelijkheden om de realisatie te monitoren. In deze boardletter werken wij de speerpunten 2 en 3 verder uit. Voldoen de reserves in het sociaal domein aan de vastgestelde criteria? In artikel 13 Reserves en Voorzieningen van de verordening Financiën Rotterdam staan de criteria en de kaders waarbinnen bestemmingsreserves gevormd kunnen worden. Aandachtspunten zijn de richtlijnen voor gebruik, de ouderdom en of reserves structureel aangehouden worden bij een jaarlijks stabiel gebruik. Dit kan inzicht geven of de reserves voor het oorspronkelijke doel worden aangehouden en of deze noodzakelijk blijven. Om het weerstandsvermogen te verhogen is er conform het raadbesluit in de voorjaarsnota 2023 besloten om reserves die kleiner zijn dan €1 miljoen te laten vrijvallen en toe te voegen aan de algemene reserve.
In het beleidskader weerstandsvermogen is besloten dat alle (rest)risico’s binnen het concern betrokken worden bij het bepalen van het benodigde weerstandsvermogen via de MonteCarlo-methode. Dit benodigde weerstandsvermogen wordt vergeleken met het beschikbare weerstandsvermogen dat bestaat uit de algemene reserve plus de risicoreserves. De raad heeft dit beleid het afgelopen jaar bekrachtigd.
Op uw verzoek hebben we specifiek gekeken naar de bestemmingsreserves gekoppeld aan het sociaal domein (zie tabel volgende pagina). Hierna geven wij onze reflecties weer: Bestemmingsreserve BUIG • Deze is gevormd in 2015 om een eventueel toekomstig tekort te dekken op het WWB-inkomensdeel en de (verlaagde) rijksuitkering. Er is geen einddatum benoemd bij deze reserve. Het is onderdeel van de weerstandscapaciteit. • In de meerjarenbegroting 2024 wordt een bedrag van €25 miljoen voorgesteld om in de reserve aan te houden, zonder specifieke berekening als onderbouwing. • Als risico in het weerstandsvermogen bij begroting 2024 is meegenomen: ‘het nieuwe BUIG-verdeelmodel pakt ongunstig uit voor Rotterdam. Derhalve wordt de kans van het optreden van een BUIG-tekort vanaf 2024 verhoogd van 25% naar 50% aflopend naar 25% in 2027’. • De omvang van de verwachte tekorten is niet direct zichtbaar in de meerjarenbegroting, zodat de benodigde stand van deze reserve in het totaal van de risico-inschatting en het benodigde weerstandsvermogen niet kan worden bezien. In de begroting zijn voor het lopende en volgende begrotingsjaar de te verstrekken uitkeringslasten en ontvangen rijksbaten bijgesteld, daarna is BUIG budgetneutraal verwerkt. • Bij de risico’s die worden meegenomen bij het bepalen van het benodigde weerstandsvermogen (via MonteCarlo methode) is een BUIG-risico meegenomen.
De bestemmingsreserve BUIG is een risicoreserve en daarmee onderdeel van het weerstandsvermogen. Er bestaat geen een-op-eenaansluiting met het BUIG-risico dat is meegnomen bij de MonteCarlo en de risicoreserve BUIG, terwijl die suggestie wel wordt gewekt.
11I
Boardletter
Inleiding Inhoudsopgave Onze kernboodschappen
Speerpunten Rapportage van de speerpunten in de boardletter
Interne beheersing Speerpunten Rechtmatigheidsverantwoording Vooruitkijkend Klimaat en duurzaamheid Bijlage
Reserves Bestemmingsreserve Tweedelijns-Wmo en Jeugdhulp • De bestemmingsreserve is in 2017 gevormd om schommelingen in de zorguitgaven op te vangen bij de Wmo en Jeugdhulp. • In 2022 is de begrote onttrekking niet benodigd door een voordeel op het programma. • In 2023 is een onttrekking van €38 miljoen begroot als verwacht resultaat op het programma en als voorstel in de jaren daarna zullen toevoegingen worden gedaan om naar de €51 miljoen te brengen. • Tweedelijns-Wmo is ook onderdeel van de risico’s als bepaling voor het weerstandsvermogen bij de begroting 2024. • De onderbouwing van de beoogde stand van de voorziening is gebaseerd op een percentage van de totale lasten, aangevuld met ervaringscijfers om tegenslagen op te kunnen vangen. Hier ligt geen concrete berekening aan ten grondslag. • Bij de bepaling van de risico’s (MonteCarlo-analyse) ten behoeve van het benodigde weerstandsvermogen is een risico Wmo en Jeugdhulp opgenomen. De bestemmingsreserve Wmo en Jeugdhulp is een risicoreserve en daarmee onderdeel van het weerstandsvermogen. Hierbij bestaat geen een-op-eenaansluiting met het opgenomen risico Wmo en Jeugdhulp en de risicoreserve, waar dat wel wordt gesuggereerd.
Bestemmingsreserve Doorlopende werkzaamheden Tozo-regeling • De reserve is bestemd voor het dekken van de uitvoeringskosten van doorlopende werkzaamheden Tozo die zijn gestart in 2020 en nog doorlopen naar volgende jaren. • Onttrekkingen vinden plaats op basis van realisatie van werkzaamheden per jaar. Verwacht wordt dat de reserve is afgebouwd per 2026. Bestemmingsreserve Energietoeslag • Conform het voorstel in de begroting 2024 en in lijn met het beleid zal aan de reserve Energietoeslag €32,6 miljoen worden onttrokken om de volledige energietoeslag uit te keren. • In 2023 zijn de beleidsregels om de energietoeslag 2023 uit te keren aangescherpt. Bestemmingsreserve Blokhuismiddelen • De begroting 2024 bevat een voorstel om €9,3 miljoen te onttrekken. • Vervolgens is het voorstel, volgens de begroting 2024, om het saldo stabiel op €2,9 miljoen te houden tot aan 2027. Echter, de einddatum conform het raadsbesluit is 2024. Indien hier geen nieuw besluit over wordt genomen zal deze reserve na 2024 vrijvallen.
11II
Boardletter
Inleiding Inhoudsopgave Onze kernboodschappen
Speerpunten Rapportage van de speerpunten in de boardletter
Interne beheersing Speerpunten Rechtmatigheidsverantwoording Vooruitkijkend Klimaat en duurzaamheid Bijlage
Reserves (x €1.000)
Jaarrekening 2022
Begroting 2023
Voorjaarsnota 2023
Voorgesteld in de begroting 2024
Bestemmingsreserve BUIG (uitkeringen Participatiewet e.d.)
19.441
25.000
25.000
25.000
Bestemmingsreserve Doorlopende werkzaamheden Tozo-regeling
6.653
4.894
3.479
3.479
Bestemmingsreserve tweedelijns-Wmo en Jeugdhulp
58.229
23.494
21.739
21.739
-
-
32.579
0
12.267
12.125
12.267
2.967
Bestemmingsreserve Energietoeslag Bestemmingsreserve Blokhuismiddelen
11III
Boardletter
Inleiding Inhoudsopgave Onze kernboodschappen
Speerpunten Rapportage van speerpunten in de boardletter
Interne beheersing Speerpunten Rechtmatigheidsverantwoording Vooruitkijkend Klimaat en duurzaamheid Bijlage
Taakstelling moet nog concreet worden uitgewerkt In de Voorjaarsnota 2023 zijn nieuwe taakstellingen en bezuinigingen aangekondigd. Tussen 2024 en 2027 zal in totaal €150 miljoen bezuinigd worden op de organisatie (personeel, inhuur en materieel). Op dit moment wordt onderzocht of een efficiencyslag gemaakt kan worden in de manier waarop de bedrijfsvoering nu is geregeld en wordt gezocht naar manieren om medewerkers te helpen richting een andere functie om de organisatie zo in te richten dat medewerkers, met hun talenten en expertise, gemakkelijk door de organisatie kunnen bewegen. Dat zij dus daar werken waar de stad en de organisatie hen op dat moment nodig heeft en waar de (bestuurlijke) prioriteiten liggen. In 2024 staat de eerste bezuiniging van € 20 miljoen gepland conform de begroting. De provincie schrijft in haar toezichtsbrief Tussenbericht Financieel toezicht 2023 van 1 september 2023 over het belang van een robuuste en navolgbare uitwerking, en dat onderschrijven wij. We adviseren om de bezuinigingen concreet uit te werken en de voortgang inzichtelijk te maken in volgende P&C-producten. Waarbij er niet alleen aandacht moet zijn voor de realisatie in euro’s maar ook voor de ‘gewenste’ realisatie en de mogelijke neveneffecten op de korte en langere termijn.
Wij adviseren bijvoorbeeld als een taakstelling (in euro’s) voorzien is door een effeciencymaatregel waarbij daling van de inhuur en de formatie (in fte’s) met gelijkblijvende output (resultaat) mogelijk is, ook de inhuur- en fte-daling te meten en daarbij (in algemene zin) aandacht te hebben voor mogelijk nevenefffecten als hogere werkdruk en meer verzuim.
De taakstelling van €20 miljoen voor 2024 moet worden ingevuld door vacaturemanagement en kostenbewustzijn op personeelsgebied. We vragen uw aandacht om daarbij ook de langere termijn te bezien waarbij executiekracht in tijden van schaarste een belangrijk thema is. In tijden van schaarste op de arbeidsmarkt kan een te hoog kostenbewustzijn of een te veel ad-hocvacaturemanagement een mogelijk ongewenst effect hebben op de instroom en het welzijn van medewerkers die op de lange termijn noodzakelijk zijn voor Rotterdam.
12
Boardletter
Inleiding Inhoudsopgave Onze kernboodschappen Interne beheersing Speerpunten Rechtmatigheidsverantwoording Vooruitkijkend Klimaat en duurzaamheid Bijlage
Rechtmatigheidsverantwoording gaat definitief in per 2023 Het boekjaar 2023 zal het eerste jaar worden waarin het college een rechtmatigheidsverantwoording op moet nemen in de jaarrekening. In deze verantwoording licht het college toe of er in het desbetreffende boekjaar rechtmatig is gehandeld. De raad bepaalt boven welk bedrag (verantwoordingsgrens) het college afwijkingen (fouten en onduidelijkheden) toelicht in de rechtmatigheidsverantwoording. Daarnaast licht het college afwijkingen toe in de paragraaf bedrijfsvoering (alle afwijkingen boven de rapporteringsgrens die de raad vaststelt op 0,05% van de omvangsbasis). De COR-leden zijn op 19 september 2023 geïnformeerd over de beoogde wijzigingen een aanpassingen in de financiële verordening, en de kadernota Accountantscontrole en rechtmatigheidsverantwoording. De volgende bedragen worden voorgesteld: Grens
Benchmark
Op basis van begroting 2023
Verantwoordingsgrens
1%
€42.234.000
Rapporteringsgrens
0,05%
€2.112.000
Wij geven geen verklaring over de rechtmatigheid van de jaarrekening meer af, maar onze werkzaamheden blijven grotendeels gelijk Wij geven vanaf 2023 geen expliciete verklaring meer af over de rechtmatigheid van de jaarrekening. Wel zullen wij voor het onderdeel SiSa nog steeds de rechtmatigheid expliciet in onze controleverklaring opnemen. Onze rol als externe accountant is het toetsen van de getrouwheid van de jaarrekening als geheel, inclusief de toelichting in de rechtmatigheidsverantwoording. Hierbij stellen wij vast dat de jaarrekening geen afwijkingen bevat die groter zijn dan de goedkeuringstolerantie (de materialiteit die wij als accountant hanteren). De verantwoordingsgrens is dus uitsluitend bepalend voor de nauwkeurigheid van de informatie die het college verstrekt over rechtmatigheid. De goedkeuringstolerantie bepaalt met welke diepgang wij de verstrekte informatie controleren en de strekking van ons oordeel.
Door de wijziging naar de rechtmatigheidsverantwoording van het college verschuift met name de verantwoordelijkheid voor het rapporteren over rechtmatigheid (van accountant naar college). In de controlewerkzaamheden die wij uitvoeren op het aspect rechtmatigheid zullen geen grote wijzigingen optreden. In hoofdlijnen zullen wij op basis van de huidige inzichten de volgende werkzaamheden verrichten: 1. het beoordelen status en inhoud kaderstelling (o.a. verantwoordingsgrens en afspraken begrotingsrechtmatigheid, daarnaast normenkader); 2. het controleren vertaling normenkader in toetsingskader en werkprogramma’s; 3. het beoordelen van de opzet en het bestaan van de werkzaamheden van FA; 4. het beoordelen van de opzet en het bestaan van het proces van de totstandkoming van de rechtmatigheidsverantwoording; 5. het uitvoeren van een combinatie van het testen van beheersingsmaatregelen en gegevensgerichte werkzaamheden; 6. het controleren van de totstandkoming van het overzicht van controleverschillen door de gemeente Rotterdam en de vertaling in de rechtmatigheidsverantwoording. Onze risico-inschatting Als gevolg van de rechtmatigheidsverantwoording hebben wij ook specifiek gekeken naar onze risico-inschatting voor de jaarrekeningcontrole. In algemene zin bestaat voor gemeenten het nieuwe risico dat de rechtmatigheidsverantwoording niet getrouw is.
Wij schatten dit risico bij de gemeente Rotterdam op voorhand in op normaal (op schaal normaal, verhoogd of significant) vanwege de kernmerken van het proces gericht op de rechtmatigheid en de rechtmatigheidsverantwoording. De rechtmatigheid van de inkoopkosten (naleving aanbestedingsrichtlijnen) blijft een significant risico. Dit omdat (zonder rekening te houden met de interne beheersing in de organisatie) het risico bestaat dat bepaalde materiële onrechtmatigheden intern niet worden geconstateerd en daarmee ook niet worden opgenomen in de rechtmatigheidsverantwoording.
13
Boardletter
Inleiding Inhoudsopgave Onze kernboodschappen Interne beheersing Speerpunten Rechtmatigheidsverantwoording Vooruitkijkend Klimaat en duurzaamheid Bijlage
Vooruitkijkend Begrip begrotingsrechtmatigheid verder uitgewerkt in de kadernota Rechtmatigheid 2023 Bij het uitbrengen van de definitieve kadernota Rechtmatigheid per oktober 2023 is het uitgangspunt van de begripsvorming dat iedere afwijking van de begroting onrechtmatig is en moet worden betrokken bij de afweging van welke elementen moeten worden toegelicht in de rechtmatigheidsverantwoording. Van afwijkingen is sprake als: 1. het lasten- of investeringsbudget is overschreden; 2. (bekende of bekend behoren te zijnde) afwijkende baten (dus zowel hogere als lagere baten) die niet tijdig tot een aanpassing van de begroting hebben geleid; 3. (bekende of bekend behoren te zijnde) onderschrijdingen van lasten en investeringen die niet tijdig tot een aanpassing van de begroting hebben geleid. In de financiële verordening en de kadernota Accountantscontrole en rechtmatigheidsverantwoording worden voorstellen uitgewerkt om invulling te geven aan de laatste inzichten en om zoveel mogelijk aan te blijven sluiten op de al bestaande kaders van begrotingsrechtmatigheid bij de gemeente Rotterdam. De organisatie heeft vroegtijdig geanticipeerd op deze wijzigingen. Herziening grondexploitaties in 2023 In de analyse van de voortgang van boekjaar 2023, zoals opgesteld bij de begroting 2024, is een mogelijke herziening op de grondwaarderingen bekendgemaakt.
De verwachte bouwkosten en een stijgende marktrente geven hier aanleiding toe. Op dit moment is de eerste inschatting dat het resultaat van de grondexploitatieportefeuille over 2023 zal uitkomen op €25 miljoen negatief. Voor het einde van het boekjaar zullen wij samen met de ambtelijke organisatie inhoudelijk de gehanteerde parameters afstemmen.
De Omgevingswet wordt per 2024 van kracht In 2024 zal (hoogstwaarschijnlijk) de Omgevingswet van kracht worden. Landelijk zien wij dat het op dit moment nog niet altijd duidelijk is wat de concrete financiële gevolgen hiervan zijn. Rotterdam werkt aan de voorbereiding op de invoering. Vanaf 2024 kent Rotterdam een aparte legesverordening Omgevingswet en Wet kwaliteitsborging. De kosten en opbrengsten worden over de gehele verordening beoordeeld, de verwachte kostendekkendheid is 98%. Wij adviseren om na invoering (in de loop van 2024) een eerste (meerjarige) analyse uit te voeren van de financiële gevolgen voor Rotterdam. SiSa-regelingen verdienen ook dit jaar extra aandacht Afgelopen jaren zijn zowel de organisatie als de accountant verrast door de enorme toename van het aantal SiSa-regelingen. Naast de extra werkdruk die de regelingen met zich meebrengen, zijn het ook complexe regelingen. Door de complexiteit is soms specialistische kennis noodzakelijk en/of bestaan er gedurende de uitvoering van de controle nog onduidelijkheden met betrekking tot de toetspunten Dit komt met name doordat het wettelijke kader vanuit het Rijk niet altijd helder is. Op dit moment is de definitieve SiSa-lijst voor de gemeente Rotterdam nog niet bekend.
De verwachting is dat we dit jaar weer met relatief veel regelingen te maken krijgen, enerzijds omdat er regelingen doorlopen van het afgelopen jaar en anderzijds door nieuw aangekondigde regelingen, zoals de crisisopvang van vluchtelingen uit Oekraïne. Bij zowel de gemeente als PwC zijn maatregelen genomen om in control te blijven.
13I
Boardletter
Inleiding Inhoudsopgave Onze kernboodschappen
Executiekracht in tijden van schaarste
Vooruitkijkend
In dit blog vragen wij aandacht voor het in stand houden of versterken van de uitvoeringskracht van gemeenten. Hiertoe zijn drie thema’s in elk geval belangrijk: 1. het verstevigen van de inzetbaarheid van ambtenaren door te investeren in welzijn (wellbeing); 2. keuzes maken in de uit te voeren werkzaamheden/projecten (prioriteren); 3. een strategisch personeelsbeleid hanteren waarmee de juiste mensen met de juiste vaardigheden kunnen worden aangetrokken en kunnen worden behouden.
Klimaat en duurzaamheid
Als wij langs deze thema’s kijken naar uw begroting 2024 dan hebben we de volgende waarnemingen:
Interne beheersing Speerpunten Rechtmatigheidsverantwoording
Bijlage
1. In de paragraaf bedrijfsvoering wordt melding gemaakt van het onderwerp ‘duurzame inzetbaarheid’, dit om te zorgen dat medewerkers inzetbaar zijn en blijven voor de interne en externe arbeidsmarkt. Leidinggevenden krijgen training voor en ondersteuning bij het faciliteren en begeleiden van hun medewerkers. Er is meer en meer aandacht voor het versterken van duurzame inzetbaarheid. In de gehele verzuimketen is een onderzoek gedaan dat is omgezet in vier actiepunten. In 2024 zal o.a. aandacht worden besteed aan preventie, op verzuimregie op verzuim en medewerkersbeleving (inclusief werkdruk). 2. Voor de komende jaren moeten belangrijke keuzes worden gemaakt over de uitvoering van projecten. Dit komt ook nadrukkelijk terug in de begroting 2024. Er is een flinke portefeuille aan verwachte projecten zoals de implementatie van GREAT, beleidsprojecten en gebiedsontwikkeling die o.a. ook gevolgen hebben voor de uitvoeringskracht van uw gemeente (maar ook de financiële positie). Wij adviseren om vanuit het totaal aan projecten te kijken naar de gevolgen voor Rotterdam, zodat op grond hiervan bewuste keuzes gemaakt kunnen worden en prioritering kan worden aangebracht (o.a. door de raad).
Wij gaan hierover verder in gesprek met het kernteam Keuzes voor Rotterdam. Naast de grote projecten kent Rotterdam ook diverse taken die vanuit de programma’s worden bekostigd (niet zijnde investeringsprojecten). Ook hier is het belangrijk om te kijken naar prioritering. Dit ook om te waarborgen dat de begrote taken in 2024 uitgevoerd kunnen worden en om grote onderuitputtingen van budgetten te voorkomen. Een aantal mogelijke vragen: op welke wijze is gekeken naar prioritering van programma-activiteiten voor 2024? Hoe is dit vertaald in de begroting 2024? En verwacht u nog grote knelpunten in de uitvoering van de gemeentelijke taken als gevolg van capaciteitstekorten?
3. Er wordt in de paragraaf bedrijfsvoering aangegeven dat het zwaartepunt van de bezuinigingen op de organisatie in 2024 ligt op kostenbewustzijn en vacaturemanagement. Bij dit laatste zal er worden gekeken of vacatures door vertrekkende medewerkers daadwerkelijk opnieuw opgevuld moeten worden. Hiervoor is inzicht nodig in de (beleids)prioritering voor de komende jaren en/of de wijze waarop efficiency in de bedrijfsvoering gerealiseerd gaat worden en de ontwikkeling van de bezetting de komende jaren (waarbij de uitstroom door vergrijzing een belangrijk element is). Zonder deze inzichten bestaat het risico dat het vacaturemanagement te ad hoc wordt ingevuld. Gezien het belang voor de gehele begroting (o.a. uitvoeringskracht) is het interessant om te weten op welke wijze hier verder in geïnvesteerd gaat worden en wat eventuele neveneffecten ervan zijn voor de uitvoeringskracht.
14
Boardletter
Inleiding Inhoudsopgave Onze kernboodschappen
Klimaat en duurzaamheid Uitwerken van transitiepaden en verankering in de planning-en-controlcyclus zijn belangrijke thema’s
Interne beheersing Speerpunten Rechtmatigheidsverantwoording Vooruitkijkend Klimaat en duurzaamheid Bijlage
De impact van lokale overheden op het realiseren van de klimaatdoelstellingen verdient het om zichtbaar te zijn, zowel qua resultaten als qua kosten en investeringen. Lokale overheden zetten al grote stappen op het gebied van ESG en nu is het tijd voor de volgende stap. Voor lokale overheden is geïntegreerde verantwoording noodzakelijk om alle inspanningen zichtbaar, vergelijkbaar en controleerbaar te maken. Zoals opgenomen in het accountantsverslag 2022 adviseren wij om klimaat- en duurzaamheidsdoelstellingen onderdeel te laten zijn van de planning-en-controlcyclus. Dit in lijn met de vijf stappen die we in ons blog hebben onderkend: •
Stap 1 en 2: bepaal de opgaven en kansrijke maatregelen.
•
Stap 3: bepaal de stuurindicatoren bij de transitiepaden.
•
Stap 4: veranker de sturing in de planning-en-controlcyclus.
•
Stap 5: Verrijk het inzicht met de impact op de brede welvaart.
Belangrijk onderdeel van het gemeentelijke Uitvoeringsplan energietransitie (2020– 2022) is het geven van het goede voorbeeld, bijvoorbeeld met betrekking tot het wagenpark, de vastgoedportefeuille en maatschappelijk verantwoord inkopen. Vanaf 2023 is het daarin opgenomen Energietransitiebudget vervangen door het Duurzaamheidstransitiebudget, waarvan de kaders eind 2022 door de raad zijn vastgesteld. In 2023 is het Klimaat Actieplan Rotterdam (KAR) gepubliceerd. Het plan laat zien wat de gemeente doet om de klimaatdoelen van 2030 en 2050 te behalen en op welke onderdelen er meer acties nodig zijn om de doelen te halen.
In de begroting en de jaarstukken is een apart programma voor de Energietransitie opgenomen waarin per doelstelling (transitiepad) de ambities/beoogde resultaten, de activiteiten en de indicatoren (zowel resultaat (CO2-uitstoot) als enkele input/outputindicatoren) zijn benoemd. In de voortgang worden de diverse stappen en activiteiten benoemd. Niet altijd is duidelijk of dit wel of niet conform het schema van de transitiepaden is en of belangrijke mijlpalen zijn behaald. In de specifieke paragraaf klimaat worden (meer algemeen) de integrale inspanningen beschreven (inclusief bedrijfsvoering, klimaatbestendigheid en circulariteit). Ook is Rotterdam betrokken bij ontwikkelingen om vanuit het brede welvaartsbegrip en de Sustainable Development Goals (‘SDG’s’) beleidsrelevante indicatoren te presenteren en verkent de gemeente op welke manier de SDG’s kunnen worden toegepast, bijvoorbeeld in Doelen voor Doeners. De SDG- en klimaatparagraaf worden gevoed vanuit het bestaande beleid en de daaraan gekoppelde begrotingsdoelstellingen. De gemeente Rotterdam stelt al een SDG-rapportage (Voluntary Local Review) op waarin voor de belangrijkste opgaven waar de gemeente Rotterdam voor staat, inzicht wordt gegeven in de SDG-doelstellingen en de voortgang, dit samen met de documenten uit de planning-en-controlcyclus.