[24bb003091] Collegebrief over eindrapport Financial Audit controlejaar 2023

Naar aanleiding van bevinding 6 over de legitimatiebewijzen PGB/ CAV: binnen het cluster loopt momenteel een opdracht naar de toekomstbestendigheid van het frontofficepakket GIDSO. Als binnen de applicatie de mogelijkheid bestaat of kan worden aangepast dat velden kunnen worden afgedwongen dan kan je bijvoorbeeld niet verder in de procesflow zonder dat de IDgegevens zijn ingevuld. Echter dit is op langer termijn te realiseren, voor de korte termijn is het de

April 2024

Definitief 22

Financial Audit

Eindrapport controlejaar 2023

verantwoordelijkheid van de adviseur om alle gegevens correct en zichtbaar in het dossier op te nemen. Vanuit de kwaliteitsmedewerkers kan er bij controles extra gelet worden op de vastlegging van de ID-gegevens. Naar aanleiding van bevinding 7 over de gereden ritten moet een onderzoek komen hoe we kunnen registeren welke ritten er zonder geldige indicatie zijn gereden.

April 2024

Definitief 23

Financial Audit

Eindrapport controlejaar 2023

10. Vastgoed Vastgoed heeft haar eigen risicobeheersing op het gebied van de opbrengstenstromen verhuur, verkoop en property management verder gecontinueerd. De vastlegging van zelf uitgevoerde controles zijn verbeterd ten opzichte van 2022, al zien we nog wel verbetermogelijkheden in de verduidelijking van de audittrail. Daarnaast signaleren we ook optimaliseringskansen rond het proces van inschatten van transitorische rechten en de beheersing van de processen die belegd zijn bij extern property management.

Fout Onzekerheid

Bevindingen Getrouwheid

Bevindingen Rechtmatigheid

(bedragen x € 1.000)

(bedragen x € 1.000)

Getrouwheid

Getrouwheid

voor correctie

na correctie

510 -

510 Fout - Onduidelijkheid

-

Bevindingen en aanbevelingen Bevinding 1: Vanuit de controle op het subproces “Verhuringen” zijn enkele fouten geconstateerd. Deze fouten hebben hoofdzakelijk betrekking op het inschatten van rechten voor nog te factureren bedragen als gevolg van geldende contractafspraken. Binnen de geconstateerde fouten is er onder andere sprake van het niet opnemen van een recht voor het factureren van een nog door te voeren huurindexering en het door factureren van gebruikersrechten. Aanbevelingen: Om dergelijke fouten te voorkomen adviseren wij vooraf in overleg met de assetmanagers een overzicht te maken voor welke contracten op jaareinde sprake kan zijn van transitorische rechten en verplichtingen (groter dan 50k) en te monitoren dat deze administratief correct worden afgehandeld binnen het lopende boekjaar. Bevinding 2: Het cluster heeft verschillende bedrijfsprocessen uitbesteed aan een externe propertymanager. Uit hoofde van risicobeheersing heeft het cluster met de externe propertymanager aanvullende afspraken gemaakt rond de inrichting van controleprocessen, waarbij afdeling Vastgoed ook zelf controles verricht. Wij onderschrijven het nut van deze afspraken en controles binnen de huidige werkwijze. Wel zien we optimaliseringskansen tussen de mix van uitgevoerde controlemaatregelen door de externe propertymanager en de uitgevoerde maatregelen door het cluster zelf.

Voorwaarde voor optimalisatie is wel dat de externe propertymanager aantoont dat de controlemaatregelen gedurende het jaar zijn toegepast. Aanbevelingen: Wij adviseren om de mix van controlemaatregelen voor de uitbestede bedrijfsprocessen samen met de externe propertymanager te evalueren. Maak over de aantoonbaarheid van de uitgevoerde maatregelen goede afspraken en zorg voor vastlegging van de gemaakte afspraken. Bevinding 3: Vastgoed heeft haar rol als ‘first line of defence’ voor het tijdig detecteren van risico’s in 2023 verder doorgezet. Zij heeft eigen controles uitgevoerd voor de processen verhuur, verkopen en propertymanagement. Wij hebben vastgesteld dat één van de aanbevelingen van FA uit 2022 is opgevolgd, door bij de controles eigen memorandums op te stellen. Hierdoor heeft FA zich als April 2024

Definitief 24

Financial Audit

Eindrapport controlejaar 2023

onafhankelijke auditafdeling meer kunnen richten op het uitvoeren van reperformance onderzoeken aan de hand van deze memorandums. Ten aanzien van de vastlegging zien wij nog verbeteringen.

Aanbevelingen: Wij hebben de volgende aanbevelingen ter verbetering van de vastlegging van de uitgevoerde controles: • Leg bevindingen en eindconclusies duidelijk vast binnen de memoranda en checklisten. • Breid de checkpunten bij de controle op de verkoopdossiers verder uit met de in de kadernota Vastgoed gestelde voorwaarden voor een taxateur. Hiermee wordt geborgd dat deze controles consistent en uniform worden vastgelegd. • Stel per controle leeswijzers op ten behoeve van verduidelijking van de audittrail. Managementreactie door proceseigenaar Naar aanleiding van bevinding 1: de aanbeveling wordt reeds jaarlijks uitgevoerd binnen Vastgoed. De geconstateerde ‘fouten’ (in totaal 510k) betreffen drie posten inzake een complex. • Twee posten betreffen de doorbelasting van het gebruikersdeel 2023 van de onroerendezaakbelasting (OZB) voor beide delen van het complex. Er zijn nog geen aanslagen voor 2022 en 2023 ontvangen. Voor het nieuwste deel van het complex is de grondslag (o.a. bedrijfswaarde) nog niet bekend en daarmee het bedrag van de aanslag ook niet. Aangezien het een doorbelasting betreft (baten) zou ook voor de aanslag zelf (lasten) een transpost opgenomen moeten worden. Dat is niet gebeurd, het effect is dus saldoneutraal. • Eén post betreft de indexatie per 01-07-2023 over de huur van het complex.

In verband met corona betaalde de huurder hiervoor tijdelijk een lagere huur. In december 2023 heeft de huurder aangegeven weer de normale contract huur te willen gaan betalen per 01-07-2023 conform prijspeil 2020 (dus niet geïndexeerd). Momenteel worden hier nog gesprekken over gevoerd met de huurder. De inschatting op dat moment was dat de kans zeer klein was dat de geïndexeerde/verhoogde huur bij de huurder in rekening gebracht zou worden. In elk geval diende daar nog besluitvorming door de directie van SO over plaats te vinden. Om die reden is er geen transitorische post opgenomen. Naar aanleiding van bevinding 2: wij nemen deze aanbevelingen over. Met de externe beheerder zullen scherpere afspraken worden gemaakt over de verdeling van de controlemaatregelen en de aantoonbare vastlegging van de uitvoering ervan. Naar aanleiding van bevinding 3: wij nemen de aanbevelingen over. De constructieve samenwerking tussen Vastgoed en Financial Audit zal in 2024 worden voortgezet en waar mogelijk nog verder geprofessionaliseerd.

April 2024

Definitief 25

Financial Audit

Eindrapport controlejaar 2023

11. Grondexploitaties & Erfpacht De gemeenteraad heeft in december 2023 de nieuwe grondprijzenbrief vastgesteld. Als gevolg van de vaststelling zijn aanvullende herberekeningen en controles uitgevoerd voor de bepaling van de grondexploitatieportefeuille. Voor vier grondexploitaties is gekozen de effecten van de nieuwe grondprijzenbrief niet volledig door te voeren, omdat dit tot een onrealistische waardering leidt.

Fout Onzekerheid

Bevindingen Getrouwheid

Bevindingen Rechtmatigheid

(bedragen x € 1.000)

(bedragen x € 1.000)

Getrouwheid

Getrouwheid

voor correctie

na correctie

31.683 -

0 Fout

-

- Onduidelijkheid

-

Bevindingen en aanbevelingen Bevinding 1: De gemeenteraad heeft op 21 december 2023 de grondprijzenbrief vastgesteld. Deze brief behandelt de belangrijkste principes en richtlijnen die worden toegepast bij het bepalen en vaststellen van de grondwaarde die de gemeente vraagt bij de verkoop in eigendom of uitgifte in erfpacht van grond. De effecten van de grondprijzenbrief waren bij de actualisatie van de grondexploitaties nog niet bekend. Als gevolg hiervan bevatte de jaarrekening voor correctie een getrouwheidsfout van € 31.683k. Het cluster heeft het effect van de nieuwe grondprijzen in februari herberekend en na correctie verwerkt in de waardering. Hierdoor heeft de controle op de waardering langer geduurd dan vooraf gepland. Voor de grondexploitaties Merwehaven, Katendrecht, Rijnhaven en Sportcampus geldt dat de minimale grondprijs volgens de grondprijzenbrief niet is verwerkt, aangezien de voor deze grondexploitaties vastgestelde programma's met onderliggende uitgangspunten dan niet meer kunnen worden gerealiseerd. Wel zijn voor deze grondexploitaties de (vaste) sociale grondprijs en de (vaste) grondprijs voor maatschappelijke voorzieningen toegepast. Deze handeling achten wij in het kader van getrouwheid plausibel, maar is wel afwijkend van het interne rechtmatigheidskader.

Door het cluster is bepaald de raad hierover binnen de paragraaf grondbeleid van het jaarverslag te informeren. Aanbeveling Wij adviseren om in 2024 een herziening uit te voeren op de programmering van de vier genoemde grondexploitaties, zodat de principes en richtlijnen van de nieuwe grondprijzenbrief ook voor deze plannen worden toegepast. Bevinding 2: Feyenoord City De grondexploitatie Feyenoord City is in 2023 gewaardeerd tegen directe opbrengstwaarde waarbij ook rekening is gehouden met de kosten die noodzakelijk en onvermijdelijk zijn. Dit is afwijkend ten opzichte van grondbeleid, waarbij de contante waarde als uitganspunt is genomen. Doordat er geen nieuw stadion kan worden gerealiseerd is het huidige bestuurlijk vastgestelde programma niet realiseerbaar. Aanpassing van het programma vraagt om bestuurlijke besluitvorming conform de voorschriften die binnen Besluit Begroting en Verantwoording (BBV) zijn gesteld. De waardering tegen de contante waarde geeft daardoor geen reëel beeld van de waarde van de grondexploitatie. Omdat de directe opbrengstwaarde (inclusief onontkoombare kosten) negatief is, is voor de grondexploitatie Feyenoord City een (verlies)voorziening getroffen van € 16.122k. Het cluster is voornemens in 2024 een herziening op de programmering uit te voeren, waarna nieuwe besluitvorming kan plaatsvinden. April 2024

Definitief 26

Financial Audit

Eindrapport controlejaar 2023

Aanbeveling: Wij adviseren de voorgenomen herziening op de programmering van de grondexploitatie van Feyenoord City in 2024 uit te voeren. Bevinding 3: Erfpacht conversie Woonstad In 2023 is het resterende deel van de conversie Woonstad uitgevoerd. Hiermee is de omzetting van tijdelijke erfpachtcontracten naar eeuwigdurend recht of eigendom voor Woonstad afgerond. Dit heeft geleid tot een conversiebaat van € 58.887k, die overeenkomstig het raadsbesluit uit 2022 is toegevoegd aan de bestemmingsreserve Rotterdamse Investeringsmotor (RIM). Wij hebben vastgesteld dat deze baat juist is verantwoord en we hebben hierbij geen materiële bevindingen geconstateerd. Aanbeveling: Geen

Managementreactie door proceseigenaar Algemeen: We zijn als directie GOK (Gebiedsontwikkeling en Kwaliteit) blij dat de effecten van de grondprijzenbrief tijdig (op basis van nieuwe afspraken) in de cijfers van de individuele grondexploitaties zijn verwerkt en dat de afdeling Financial Audit evenals als voorgaand jaar kon steunen op de interne beheersmaatregelen binnen de afdeling Gebiedsexploitatie. Hiermee was de afdeling Financial Audit in staat om een systeemgerichte controle uit te voeren op het reguliere gedeelte van de controle als het gedeelte van de controle naar aanleiding van de grondprijzenbrief. Aangezien de nieuwe grondprijzenbrief in december 2023 is vastgesteld en hiervoor per individuele grondexploitatie het effect voor de waardering moest worden bepaald heeft dit tot extra werkzaamheden voor het cluster geleid en tot een aangepaste planning binnen het jaarrekeningproces. Over de aanpassing van dit proces, waarbij onder meer de planning en de wijze van aanpak zijn meegenomen heeft afstemming en/of consultatie plaats gevonden met (concern)control, Financial Audit en de externe accountant. Het was niet mogelijk om dit effect binnen het reguliere afsluitproces te bepalen, waardoor de correctie na het reguliere afsluitmoment moest plaats vinden. De afdeling Financial Audit heeft de door het cluster voorgestelde correctie overgenomen.

Naar aanleiding van bevinding 1: er staat in deze bevinding dat het cluster heeft bepaald dat de raad over het niet verwerken van de minimale grondprijzen volgens de grondprijzenbrief via de paragraaf grondbeleid wordt geïnformeerd. Hiervoor geldt dat het college leidend is geweest. Voor het advies om de programmering voor de 4 grondexploitaties te herzien geldt dat deze programmering is afgeleid van de collegedoelstellingen. Dit advies kan daarom niet zonder meer worden overgenomen als dit de collegedoelstellingen raakt. Naar aanleiding van bevinding 2 over Feyenoord City: de herziene grondexploitatie is reeds aangeboden aan de raad. Naar aanleiding van bevinding 3, de Erfpacht conversie Woonstad: we zijn blij om te constateren dat er geen materiële bevindingen zijn ten aanzien van de conversie erfpachtbaten.

April 2024

Definitief 27

Financial Audit

Eindrapport controlejaar 2023

12. Verkoop & Facturatie De controle van de subprocessen Bouwleges, Parkeren, Vervoer en Materieel en Accounting is tijdig afgerond en leidt niet tot materiële bevindingen.

Bevindingen Getrouwheid

Bevindingen Rechtmatigheid

(bedragen x € 1.000)

(bedragen x € 1.000)

Getrouwheid

Getrouwheid

voor correctie

na correctie

Fout

-

- Fout

-

Onzekerheid

-

- Onduidelijkheid

-

Bevindingen en aanbevelingen Bevinding: Geen

April 2024

Definitief 28

Financial Audit

Eindrapport controlejaar 2023

13. Ontvangen Subsidies & Bijdragen De controle op de SiSa-bijlage (Single information, Single audit) heeft veel meer tijd gekost dan vooraf was ingecalculeerd. Wij verwachten dat het aantal regelingen dat via SiSa verantwoord wordt in de komende jaren verder zal toenemen. Daarom adviseren wij het SiSa-verantwoordingsproces als gehele keten te evalueren met als doelstelling deze efficiënter in te richten.

Bevindingen Getrouwheid

Bevindingen Rechtmatigheid

(bedragen x € 1.000)

(bedragen x € 1.000)

Getrouwheid

Getrouwheid

voor correctie

na correctie

Fout (SiSa)

9.891

Fout (Gemeentefonds)

4.069

0 Fout (Gemeentefonds)

-

-

- Onduidelijkheid

-

Onzekerheid

3.362 Fout (SiSa)

-

Bevindingen en aanbevelingen Algemeen De controle van het proces Ontvangen Subsidies en Bijdragen bestaat uit twee onderdelen. Het 1e onderdeel betreft de SiSa-controle en hiervoor moet gemeente Rotterdam aan de hand van een bijlage, die onderdeel is van de jaarstukken verantwoording afleggen aan de Rijksoverheid. Deze systematiek heet Single information, Single audit (SiSa). Het 2e onderdeel betreft de controle op de jaarrekeningposten voor ontvangen subsidies en bijdragen die geen onderdeel uitmaken van de SiSa- verantwoording zoals gemeentefonds en Europese subsidieregelingen. Bevinding 1: Tijdsdruk SiSa-verantwoordingsproces De controle op de SiSa-bijlage heeft veel meer tijd gekost dan vooraf was ingecalculeerd. Wij zien dat Rotterdam zich steeds meer via de SiSa-systematiek dient te verantwoorden. Dit jaar is het aantal regelingen toegenomen naar 77, waarvan 23 nieuwe regelingen. Wij verwachten dat deze tendens de komende jaren verder zal toenemen en daarmee een nog grotere druk op het verantwoordingsproces gaat ontstaan voor zowel de clusters, FJINK en FA en uiteindelijk PwC. Gelet op de tijdslijnen van het jaarrekeningproces is dit binnen de huidige inrichting niet meer op te vangen.

Aanbeveling Om als Rotterdam de uitdagingen binnen het SiSa-verantwoordingsproces beter aan te kunnen, adviseren wij een ketenevaluatie uit te voeren van het SiSa-verantwoordingsproces met de betrokken stakeholders en breng daarbij inefficiënties en mogelijkheden tot kwaliteitsverbetering in kaart. Bevinding 2: Verbetering benodigd first-time right binnen SiSa-dossiers Evenals vorig jaar hebben de SiSa-coördinatoren FJINK een goede en belangrijke rol vervuld in het aanleveren van de SiSa-dossiers en het afwikkelen van gerelateerde vraagstellingen. Wij zien dat het percentage van “first time right” dossiers voor verbetering vatbaar is. Op hoofdlijn hebben we daarbij de volgende bevindingen: • De systematiek van de B-regeling, waarbij participerende medeoverheden zelf verantwoording afleggen via SiSa voor regelingen die toebehoren aan Rotterdam, wordt

April 2024

Definitief 29

Financial Audit

• • •

Eindrapport controlejaar 2023

niet in alle gevallen goed toegepast en gemonitord. Dat heeft in de controle extra uitzoektijd gekost. Het zichtbaar vastleggen van aansluitingen met de financiële administratie is niet in alle gevallen goed geborgd, waardoor wij de herkomst van het lijstwerk en de betrouwbaarheid van het lijstwerk niet kunnen vaststellen; De opvolgingspunten uit de interimcontrole zijn door het cluster in beperkte mate in het eindejaarsdossier verwerkt en getoetst door FJINK. Het stelsel van baten en lasten wordt niet in alle dossiers op juiste wijze toegepast.

Aanbevelingen: • Verhoog de kennis over de toepassing van de B-regeling binnen het cluster. • Verbeter de kwaliteit van de aangeleverde SiSa dossiers op gebied van het zichtbaar vastleggen van aansluitingen en de herkomst van het lijstwerk. • Verbeter de kwaliteit van het SiSa-eindejaarsdossier door het cluster expliciet vast te laten leggen hoe zij opvolgingspunten uit de interimcontrole in haar dossier heeft verwerkt. • Organiseer een interne toetsing binnen FJINK, waarbij de dossiers getoetst worden op de juiste toepassing van het stelsel van baten en lasten.

Managementreactie door proceseigenaar Naar aanleiding van bevinding 1 over de tijdsdruk SiSa-verantwoordingsproces en bevinding 2 over de benodigde verbetering van de first-time right SiSa-dossiers: er is kennisgenomen van de bevindingen en de betreffende bevindingen worden herkend. Nadat de controles gereed zijn, wordt geëvalueerd hoe de complete (SiSa) keten hier het beste op moeten anticiperen. De inhoudelijke kennis over de regelingen zit met name bij de lijnorganisatie, waarbij FR (centraal) met name de coördinerende en monitorende rol heeft in het kader van het SiSa proces. Tijdens de evaluatie van het SiSa proces 2023 worden deze onderwerpen meegenomen om een beste afstemming te hebben omtrent de inhoudelijke kennis en coördinatie van het proces. Dit zal bijdragen aan de reductie van de betreffende bevindingen.

April 2024

Definitief 30

Financial Audit

Eindrapport controlejaar 2023

14. Treasury De uitgevoerde controle is volgens planning verlopen en heeft niet tot relevante bevindingen geleid.

Bevindingen Getrouwheid

Bevindingen Rechtmatigheid

(bedragen x € 1.000)

(bedragen x € 1.000)

Getrouwheid

Getrouwheid

voor correctie

na correctie

Fout

-

- Fout

-

Onzekerheid

-

- Onduidelijkheid

-

Bevindingen en aanbevelingen Bevinding: Geen

April 2024

Definitief 31

Financial Audit

Eindrapport controlejaar 2023

15. IT General Controls (ITGC) Door de invoering van de NIS2-richtlijn (Network and Information Security directive) ontstaat voor decentrale overheden een zorgplicht op gebied van informatiebeveiliging. Het zichtbaar voldoen aan Baseline Informatiebeveiliging Overheid (BIO) is hierbij een belangrijke randvoorwaarde. Daarnaast vragen wij specifiek aandacht voor het zorgvuldig uitvoeren, testen en vastleggen van datamigraties. In 2023 zijn de arrangementen uit Socrates-Zorg naar Sorga en de bestelmodule gemigreerd. Het cluster heeft achteraf vastgesteld dat deze migratie niet volledig is uitgevoerd, waardoor een herstellende restmigratie noodzakelijk is geweest. Aanvullende werkzaamheden en tijd is geïnvesteerd om te komen tot een oordeel als gevolg van onvolledige vastlegging van het proces.

Concernbrede systemen Bevinding 1: Identity Access Management en centrale logvoorziening Door de invoering van de NIS2-richtlijn ontstaat voor decentrale overheden een zorgplicht op gebied van informatiebeveiliging. Het zichtbaar kunnen voldoen aan Baseline Informatiebeveiliging Overheid (BIO) is hierbij een belangrijke randvoorwaarde. Voor het efficiënt aantonen van de effectieve werking van toegangsbeveiliging, adviseren wij daarom in te zetten op een centraal Role Based Access Model en de inrichting van een centrale logvoorziening. IIFO heeft ingespeeld op deze ontwikkelingen door hiervoor voorzieningen op te zetten, door middel van een Identity Access Managementplatform (IAM) en een centrale logvoorziening. Wij hebben vastgesteld dat de clusters deze voorzieningen grotendeels nog niet hebben geïmplementeerd. Aanbeveling: Wij adviseren de clusters het implementeren van het IAM-platform en de centrale logvoorziening als topprioriteit aan te merken en uit te voeren, zodat efficiënt en effectief opzet, bestaan en werking rond toegangsbeveiliging aangetoond kan worden. Bevinding 2: Backup- en recovery Wij hebben een deelwaarneming uitgevoerd op het toepassen van back-ups en het minimaal jaarlijks uitvoeren van restore en uitwijktesten volgens het Rotterdams Informatiebeveiliging Framework (RIF).

We hebben vastgesteld dat ten tijde van de audit voor het object van onderzoek de restore en uitwijktest niet jaarlijks werd uitgevoerd. Inmiddels is dit hersteld en verbeterd door IIFO door dit standaard in hun jaarplanning op te nemen. Aanbevelingen: Wij adviseren om jaarlijks restore- en uitwijktesten voor kritische IT-objecten uit te voeren, zoals het RIF voorschrijft. Daarnaast wordt het documenteren van de uitgevoerde stappen en het evalueren van de resultaten aangeraden. Bevinding 3: Beoordelen van Derdenverklaringen leveranciers De beoordeling van Derdenverklaringen (TPM-verklaringen) die relevant zijn voor de jaarrekeningcontrole, heeft IIFO belegd bij een centrale functionaris. In aansluiting op onze bevinding en aanbeveling vorig jaar, hebben wij vastgesteld dat de beoordeling wordt uitgevoerd op formele aspecten en inhoudelijke bevindingen. Wij constateren dat niet zichtbaar wordt vastgelegd in hoeverre de inhoud van de Derdenverklaringen aansluiten op de eigen beheersingsdoelstellingen van Rotterdam. Wij vragen hier nadere aandacht voor en geven daarom de volgende herhalende aanbeveling: Aanbeveling: Wij adviseren het cluster bij de beoordeling nader te laten concretiseren op welke wijze binnen de eigen werkprocessen invulling wordt gegeven aan de gebruikersoverwegingen uit de April 2024

Definitief 32

Financial Audit

Eindrapport controlejaar 2023

Derdenverklaringen en aan te laten geven in hoeverre de Derdenverklaring voorziet in het behalen van beheersdoelstellingen.

Managementreactie door proceseigenaar Naar aanleiding van bevinding 1, de Identity Access Management en centrale logvoorziening: we erkennen de waarde van de aanbevelingen met betrekking tot Identity and Access Management (IAM) en Logging/Monitoring. Hoewel deze onderwerpen primair vallen onder de verantwoordelijkheid van de clusterdirecties, zullen we vanuit BCO/IIFO de urgentie benadrukken om aan te sluiten op de IAM en ons centrale logvoorziening. In de komende maanden zullen we proactief contact opnemen met de verschillende clusters om ervoor te zorgen dat zij snel actie ondernemen. Naar aanleiding van bevinding 2 de backup- en recovery: de aanbeveling zullen we opvolgen en in 2024 implementeren. Naar aanleiding van bevinding 3, het beoordelen van Derdenverklaringen leveranciers: de aanbeveling rondom TPM-verklaringen zullen we onder de aandacht brengen bij de proceseigenaren en dit voor de volgende controleperiode zo goed mogelijk laten adopteren.

B. Clusterspecifieke bevindingen: Sorga Bevindingen Datamigratie Tijdens het programma Ontvlechting Sorga uit Socrates hebben er op meerdere momenten data migraties plaatsgevonden van verschillende productgroepen. De laatste migratie van 19 april 2023 betrof de grootste migratie van Wmo- arrangementen. Deze categorie is ook relevant voor de jaarrekeningcontrole, omdat zij onder andere input geeft in de verplichtingen die Rotterdam heeft op gebied van zorgarrangementen. Het cluster heeft zelf medio 2023 vastgesteld dat de migratie niet volledig heeft plaatsgevonden. Daarom heeft zij ook een restmigratie uitgevoerd in december 2023. In het vierde kwartaal heeft FA een audit uitgevoerd vanuit het perspectief van de volledigheid van de verplichtingenadministratie. Hierbij hebben we enerzijds het besluitvormings- en vastleggingsproces rond de datamigratie en de restmigratie onderzocht en anderzijds een inhoudelijke analyse uitgevoerd naar de volledige overdracht van lopende WMO-arrangementen. Hierbij hebben we vastgesteld dat alle openstaande voorzieningen (zonder einddatum) volledig zijn ontvlochten uit Socrates Zorg naar de Bestelmodule en Sorga, waarbij de aanwezige verschillen zijn verklaard. Ten aanzien van het proces hebben we de volgende bevindingen: • Een concreet vastgelegd migratieplan was niet aanwezig.

Hierdoor kon FA niet vaststellen welke kwaliteitswaarborgen in het proces waren ingebouwd. • Een concreet testplan ten behoeve van de datakwaliteit van de migratie ontbrak, alsmede documentatie van uitgevoerde testen. Dit heeft mede geleid dat gedurende de audit een restmigratie gepland moest worden met als gevolg dat er controlewerkzaamheden moesten worden herhaald. • Uit de ontvangen documentatie en overleggen bleek onvoldoende hoe besluiten over de migratie tot stand zijn gekomen. Denk hierbij aan besluiten om productgroepen uit te sluiten. • Wij hebben ook geen volledige formele decharge/ akkoorden aangetroffen.

April 2024

Definitief 33

Financial Audit

Eindrapport controlejaar 2023

Omdat FA in de komende jaren meerdere migraties voorziet binnen het veranderende IT-landschap, adviseren wij: • Centraal binnen Rotterdam een expertisefunctie te creëren die clusters kunnen ondersteunen bij het opzetten van een beheerd en gecontroleerd datamigratieproces. • Financial Audit in een vroeg stadium te betrekken bij de opzet van datamigratie-trajecten voor financieel kritische applicaties.

Managementreactie door proceseigenaar Naar aanleiding van de bevindingen datamigratie Sorga: binnen het programma Sorga lag er de opdracht voor een datamigratie van het backofficesysteem. Na een lange periode van planning tot implementatie heeft in april 2023 de datamigratie plaatsgevonden. De migratie van data had betrekking op Socrates (applicatie oud) naar Sorga (applicatie nieuw). In dit traject van planning, voorbereiden en implementeren zijn migratie, testgegevens en besluitvorming niet zichtbaar vastgelegd binnen het programma Sorga. Dit heeft ertoe geleid dat in eerste instantie het cluster MO de gegevens t.b.v. de jaarrekeningcontrole/ IT Audit niet kon aanleveren. Na de inzet van collega’s van verschillende teams heeft het cluster kunnen aantonen dat de migratie correct is verlopen Deze controle t.b.v.de jaarrekeningcontrole is een eyeopener geweest. Hiermee is het belang van gestructureerde vastlegging van gegevens weer extra benadrukt. We zullen het advies van FA ter harte nemen. Vooroplopend op eventuele migraties en conversies is er een team van collega’s bij elkaar gekomen om herhaling van deze keer in de toekomst te kunnen voorkomen.

B. Clusterspecifieke bevindingen Carwise en Parksaver Bevinding: ITGC Carwise en Parksaver De IT-beheeromgevingen voor Carwise en Parksaver worden (verder) doorontwikkeld. Wij vragen aandacht voor het vaststellen van kaders en de bijbehorende doorontwikkelde procedures en het naleven daarvan. Aanbeveling Wij adviseren per applicatie een beheerplan op te stellen met daarin de relevante procedures voor de uitvoering van IT-beheer.

Managementreactie door proceseigenaar We kunnen ons vinden in de bevindingen en zullen er zorg voor dragen dat functioneel beheer de werkzaamheden binnen afzienbare tijd af zal ronden.

April 2024

Definitief 34