Accountantsverslag 2020 - Gemeente Sluis.pdf
Tekst van het document
Tips: − Zorg voor tweetrapsauthenticatie zoals Two-Factor Authenticatie (2FA) of Multi-Factor Authenticatie (MFA) bij toegang tot het netwerk. − Borg dat medewerkers antivirus software installeren en up-to-date houden. − Beveilig het dataverkeer tussen thuiswerkers en het bedrijfsnetwerk via VPN. De gemeente heeft aangegeven dat de genoemde tips reeds in uitvoering zijn. Zo heeft de gemeente aangegeven dat er een intern protocol/proces is voor het veilig inloggen vanaf huis.
Phishing Cybercriminelen spelen al jaren handig in op de actualiteiten om mensen te verleiden op een linkje te klikken of een bijlage te openen. Aan het begin van de pandemie speelde men in op de behoefte aan informatie over maatregelen, besmettingsgevaar en producten als mondkapjes en bacteriële zeep. Naarmate er meer mensen werden besmet en stierven, ging men over op slinkse boodschappen zoals een besmetting bij buurtbewoners of collega’s. Nu een vaccin in aantocht is, verwachten we phishing mails en smsjes die inspelen op de behoefte aan een snelle levering met berichten als “wilt u niet wachten op het rijksvaccinatieprogramma?” Het doel blijft ongewijzigd, men probeert malware op uw computer of smartphone te installeren of uw persoonlijke gegevens of geld te ontfutselen. Voor phishing aanvallen wordt overigens niet alleen e-mail ingezet, maar bijvoorbeeld ook sms, WhatsApp en WeChat maar ook via social media. Deze kanalen blijken effectief voor cybercriminelen omdat de ontvangers vaak snel reageren en op linkjes klikken. Door een beroep te doen op uw emotie, kunnen criminelen heel overtuigend zijn waardoor u klikt. Kenmerken van veel phishing mails zijn urgentie (u moet snel reageren) en angst (we gaan uw pas of account blokkeren). Tips: −
Zorg voor bewustwording in uw organisatie en creëer awareness bij uw medewerkers dat ze niet klikken op links en bijlagen uit onbetrouwbare e-mails.
De gemeente heeft aangegeven dat de genoemde tips reeds in uitvoering zijn. Zo heeft de gemeente aangegeven dat doorlopend gewerkt wordt aan awareness, onder meer door de wekelijkse nano learning.
32
5. Overige onderwerpen Ransomware Dit jaar is het aantal bedrijven dat slachtoffer is geworden van ransomware fors gestegen. Cybercriminelen slagen er steeds vaker in om dit type malware bij bedrijven naar binnen te smokkelen via phishing mails of door gebruik te maken van kwetsbaarheden of configuratiefouten in IT systemen, bij medewerkers of bij een van uw leveranciers. Door niet direct toe te slaan, maar eerst de back-up te besmetten komen bedrijven voor het blok te staan en wordt steeds vaker het geëiste losgeld betaald. Door kartelvorming bij cybercriminelen en services als ‘Ransomware as a Service’ wordt het gevaar helaas steeds groter. Tevens zien we dat criminelen vertrouwelijke gegevens verkopen op illegale marktplaatsen.
Tot slot Absolute veiligheid bestaat niet. Goede voorbereiding en besluitvorming op het gebied van cybersecurity vormen echter onderdeel van de verantwoordelijkheid van het management. Wij adviseren u om dit thema met regelmaat en hoog op de bestuursagenda te zetten.
Er is ook een trend waarbij bedrijven niet direct door cybercriminelen worden geraakt, maar via hun leveranciers. Door toenemende digitalisering en integratie van supply chains verwachten wij de komende jaren een verdere stijging te zien. Om die reden is het verstandig om hier met uw leveranciers aandacht aan te besteden. Tips − Houd uw software (Operating System, Antivirus en Firewall) up-to-date. − Voer periodiek een virusscan uit, bij voorkeur via realtime scanners. − Verwijder software die u niet meer gebruikt. − Splits uw netwerk in aparte delen om te voorkomen dat het hele netwerk wordt geraakt. − Maak regelmatig een back-up en bewaar die apart van uw systeem en internet. Zorg er ook voor dat de back-up wordt getest zodat je zeker weet dat die gebruikt kan worden. − Zorg ervoor dat u een cyber response plan heeft.
33
Bijlagen
Bijlage A – SiSa-bijlage Het is volgens de Nota verwachtingen accountantscontrole 2020 voorgeschreven dat wij de geconstateerde fouten en onzekerheden per regeling rapporteren door middel van onderstaande verplichte tabel. Deze tabel dient door uw gemeente samen met een aantal andere verplicht voorgeschreven verantwoordingsstukken voor 15 juli 2021 elektronisch bij het CBS te worden aangeleverd. Nummer
Specifieke uitkering
FIN B1
Regeling specifieke uitkering gemeentelijke hulp gedupeerden toeslagenproblematiek
OCW D8
Onderwijsachterstandenbeleid 2019-2022 (OAB)
SZW G2
Gebundelde uitkering op grond van artikel 69 Participatiewet_gemeentedeel 2020
SZW G3 SZW G4
Besluit bijstandsverlening zelfstandigen 2004 (exclusief levensonderhoud beginnende zelfstandigen)_gemeente 2020 Tijdelijke overbruggingsregeling zelfstandig ondernemers (Tozo) _gemeentedeel 2020
VWS H4
Specifieke uitkering Sport
VWS H8
Specifieke uitkering voor lokale Sportakkoorden (Regeling Sportakkoord)
LNV L5B
Regiodeals (3e tranche) - sisa medeoverheden
Strekking controleverklaring rechtmatigheid:
Goedkeurend
Strekking controleverklaring getrouwheid:
Goedkeurend
Fout, onzekerheid of formele onrechtmatigheid
Financiële omvang in euro’s
Toelichting fout/onzekerheid
Onzekerheid
€ 1.125.712
Zie volgende pagina
35
Bijlage A – SiSa-bijlage (vervolg - Tozo) Het is volgens de Nota verwachtingen accountantscontrole 2020 voorgeschreven dat wij de geconstateerde fouten en onzekerheden per regeling rapporteren door middel van onderstaande verplichte tabel. Deze tabel dient door uw gemeente samen met een aantal andere verplicht voorgeschreven verantwoordingsstukken voor 15 juli 2021 elektronisch bij het CBS te worden aangeleverd. Fout, onzekerheid of formele onrechtmatigheid
Nummer
Specifieke uitkering
G4
Tozo 1_geen identificatie volgens artikel 17, lid 3 Participatiewet en geen identificatie DigiD in combinatie met BRP of Suwinet
G4
Tozo 1_geen identificatie volgens artikel 17, lid 3 Participatiewet, maar wel identificatie DigiD in combinatie met BRP of Suwinet
G4
Tozo 1_fundamentele rechtmatigheidseisen exclusief identificatie volgens artikel 17, lid 3 Participatiewet
Financiële omvang in euro’s
Toelichting fout/onzekerheid
Betreft geconstateerde onzekerheid met betrekking tot belangrijke rechtmatigheidseisen ten aanzien van vergunningen en uitsluitingsgronden. G4
Tozo 1_belangrijke rechtmatigheidseisen (toepassing artikel 21, lid 3 Besluit 17 april)
Strekking controleverklaring rechtmatigheid:
Goedkeurend
Strekking controleverklaring getrouwheid:
Goedkeurend
Onzekerheid
€ 1.125.712
Op basis van de controle is naar voren gekomen dat de gemeente niet zichtbaar kan aantonen dat deze rechtmatigheidseisen gecontroleerd zijn.
36
Bijlage A – SiSa-bijlage (vervolg - Tozo) Het is volgens de Nota verwachtingen accountantscontrole 2020 voorgeschreven dat wij de geconstateerde fouten en onzekerheden per regeling rapporteren door middel van onderstaande verplichte tabel. Deze tabel dient door uw gemeente samen met een aantal andere verplicht voorgeschreven verantwoordingsstukken voor 15 juli 2021 elektronisch bij het CBS te worden aangeleverd. Fout, onzekerheid of formele onrechtmatigheid
Nummer
Specifieke uitkering
G4
Tozo 2_geen identificatie volgens artikel 17, lid 3 Participatiewet en geen identificatie DigiD in combinatie met BRP of Suwinet
G4
Tozo 2_geen identificatie volgens artikel 17, lid 3 Participatiewet, maar wel identificatie DigiD in combinatie met BRP of Suwinet
G4
Tozo 2, exclusief identificatie volgens artikel 17, lid 3 Participatiewet
G4
Tozo 3_geen identificatie volgens artikel 17, lid 3 Participatiewet en geen identificatie DigiD in combinatie met BRP of Suwinet
G4
Tozo 3_geen identificatie volgens artikel 17, lid 3 Participatiewet, maar wel identificatie DigiD in combinatie met BRP of Suwinet
G4
Tozo 3, exclusief identificatie volgens artikel 17, lid 3 Participatiewet
G4
Omvang vorderingen levensonderhoud (jaar T) Tozo 1 (i.v.m. verstrekte voorschotten op Tozoaanvragen levensonderhoud welke zijn ingediend vóór 22 april 2020)
Strekking controleverklaring rechtmatigheid:
Goedkeurend
Strekking controleverklaring getrouwheid:
Goedkeurend
Financiële omvang in euro’s
Toelichting fout/onzekerheid
37
Bijlage B – Ongecorrigeerde controleverschillen De hieronder opgenomen tabel met ongecorrigeerde controleverschillen zal worden verstrekt aan het college en is wordt bijlage bij de bevestigingsbrief bij de jaarrekening gevoegd. Wij hebben de verschillen en onzekerheden met het college besproken. De geconstateerde fouten ten aanzien van getrouwheid en rechtmatigheid en onzekerheden zijn lager dan de door u vastgestelde controletolerantie van 1% respectievelijk 3% van de totale lasten. Positieve bedragen hebben een positief effect op het resultaat, bedragen tussen haakjes hebben een negatief effect op het resultaat. Rechtmatigheidsfouten kunnen niet gesaldeerd worden. Fouten Aard van de controleverschillen (x € 1.000)
Getrouwheid Activa
Passiva
Rechtmatigheid
Eigen vermogen
Baten & lasten
Geen winstneming op grondexploitatie Deltahoek
80
0
80
80 V
31
Investering opgenomen als last in 2020
50
0
50
50 V
50
Totaal ongecorrigeerde controleverschillen
130
0
130
130 V
81
0
0
0
25 V
0
130
0
130
155 V
81
Effect niet gecorrigeerde controleverschillen voorgaand boekjaar Totaal
Onzekerheden Aard van de controleverschillen (x € 1.000)
Getrouwheid Activa
Passiva
Rechtmatigheid
Eigen vermogen
Baten & lasten
Onzekerheid omtrent TOZO 1 (vergunningen en uitsluitingsgronden)
0
0
0
0
1.125
Afrekening WMO met zorgaanbieders
0
0
0
183
183
Verantwoorde vordering CAK
80
0
0
80
80
Totaal
0
0
0
263
1.388
38
Bijlage C – Gecorrigeerde controleverschillen De hieronder opgenomen tabel bevat alle afzonderlijk geïdentificeerde en gecorrigeerde controleverschillen boven de rapporteringstolerantie van € 50.000. Fouten Aard van de controleverschillen (x € 1.000)
Getrouwheid Activa
Passiva
Rechtmatigheid
Eigen vermogen
Baten & lasten
Classificatiefout van €450.000 inzake BBZ vorderingen (van kortlopend naar langlopend)
0
0
0
0
0
Onterechte vordering als gevolg van onjuiste verwerking corona-compensatie
(312)
0
(312)
312 N
312
Kosten jeugdhulp te hoog verantwoord door hantering oude afrekensystematiek
0
(389)
389
389 V
389
Onterechte verplichting als gevolg van onjuiste verwerking corona-compensatie
0
(891)
891
891 V
891
Ten onrechte TOZO bedrijfskapitaal als lasten verantwoord
0
(517)
517
517 V
517
Vooruit ontvangen projectgelden te hoog verantwoord
0
(70)
70
70 V
70
Verstrekte BBZ leningen ten onrechte voorzien
105
0
105
105 V
105
Onjuiste berekening winstname grondexploitatie
(70)
0
(70)
70 N
70
Totaal gecorrigeerde controleverschillen
(277)
(1.867)
1.590
1.590
2.354
V = voordelig ten opzichte van het resultaat in de jaarrekening N = nadelig ten opzichte van het resultaat in de jaarrekening
39
Bijlage D – Controleaanpak Controleaanpak en uitvoering Wij voeren onze controle uit met een mix van systeem- en gegevensgerichte werkzaamheden en een mix van vaste teamleden en ingeschakelde experts. Daarnaast beschikken wij als organisatie over verschillende kwaliteitsborgingsmaatregelen. Dit geheel tezamen leidt tot een kwalitatief goede controle. In ons controleplan en dit verslag is voor elk bijzonder aandachtsgebied in onze controle terug te lezen wat de kernpunten in onze controle zijn geweest die hebben bijgedragen aan de kwaliteit in onze controle. Daarnaast gaan wij in de volgende paragrafen van deze bijlage nog nader in op de samenwerking met de andere accountants en de ingeschakelde experts. Onze controleaanpak is onder andere gericht op het in kaart brengen van de voor de jaarrekening van belang zijnde risico’s. Samenwerking met andere accountants Voor de jaarrekening van de gemeente Sluis maken wij gebruik van diverse verbonden partijen/gemeenschappelijke regelingen en uitvoeringsorganisaties. De samenwerking met SaBeWa Zeeland ten aanzien van de belastingopbrengsten is van significant belang in het kader van de jaarrekeningcontrole. Wij hebben de accountant van SaBeWa Zeeland instructies gestuurd voor de uit te voeren werkzaamheden.
Inschakeling van interne / externe deskundigen Wij hebben in het kader van onze controle geen gebruik gemaakt van de werkzaamheden van interne en/of externe deskundigen.
Verbonden partijen Ten aanzien van de verbonden partijen van gemeente Sluis hebben wij vastgesteld dat: − de (significante transacties met) verbonden partijen toereikend zijn toegelicht in de jaarrekening en paragraaf verbonden partijen; − geen sprake is van indicaties voor ongeautoriseerde significante transacties met verbonden partijen, welke indicaties geven voor fraude; − geen sprake is van indicaties dat de van toepassing zijnde wet- en regelgeving niet is nageleefd. Significante uitdagingen / moeilijkheden tijdens de controle Er zijn geen significante uitdagingen/moeilijkheden geweest tijdens de controle, anders dan de controle van de Tozo-regelingen en de controle van het sociaal domein. Voor een uiteenzetting hieromtrent verwijzen we naar hoofdstuk 2.2 en hoofdstuk 2.5. Significante schattingsposten De belangrijkste schattingsposten binnen de jaarrekening van de gemeente Sluis betreffen: − waardering van uw grondexploitatie; − waardering van uw materiële vaste activa; − nauwkeurigheid en volledigheid van de voorzieningen; − de waardering en nauwkeurigheid van de overlopende posten. Het college van burgemeester en wethouders is verantwoordelijk voor het maken van schattingen bij het opmaken van de jaarrekening. Als accountant van de gemeenteraad beoordelen wij deze door het college gemaakte schattingen.
Op basis van de door ons uitgevoerde controlewerkzaamheden concluderen wij dat de gemaakte schattingen door het college aanvaardbaar zijn. 40
Bijlage E – Onafhankelijkheid Wij zijn onafhankelijk van de gemeente Sluis Baker Tilly heeft diverse organisatorische maatregelen getroffen om zijn onafhankelijkheid en die van zijn medewerkers te waarborgen. Deze maatregelen omvatten onder meer: − voorschriften en procedures omtrent onafhankelijkheid. Deze voorschriften voor professioneel gedrag op het gebied van kwaliteit en onafhankelijkheid zijn opgenomen in de Gedragscode van Baker Tilly. Deze Gedragscode geldt voor iedere medewerker van Baker Tilly en wordt natuurlijk steeds geactualiseerd; − jaarlijkse bevestiging van onafhankelijkheid door partners en medewerkers van Baker Tilly en ondersteunende stafdiensten; − cliënt- en opdrachtacceptatieprocedures, waaronder een beoordeling, of er sprake is van mogelijk conflicterende diensten; − intern en extern kwaliteitsonderzoek; − twee registeraccountants betrokken bij wettelijke controleopdrachten; − reviews door externe toetsers die niet bij de opdracht betrokken zijn, ter waarborging van een deugdelijke grondslag/deskundig oordeel; − roulatie van externe accountants op de opdracht.
Op grond van dit verslag zijn wij van mening dat wij in relatie tot uw organisatie, in overeenstemming met de Verordening inzake de onafhankelijkheid van accountants bij assurance-opdrachten (ViO) en artikel 24a van de Wet toezicht accountantsorganisaties (Wta), onafhankelijk hebben gefunctioneerd en dat de objectiviteit van onze oordeelsvorming in het afgelopen jaar niet is aangetast.
41
Bijlage F – Urenbesteding Opbouw en inzet controleteam Het controleteam heeft tot en met 11 juni 2021 810 uren aan de controle besteed. Wij verwachten uit te komen op ongeveer 900 bestede uren. Het verwachte aantal te besteden uren was 630. In de onderstaande tabel zijn deze uren uitgesplitst naar functieniveaus binnen het team. Overzicht bestede uren
Budget
Werkelijk
Partner
42
50
Manager
110
140
Overige teamleden
478
710
Totaal
630
900
De hogere urenbesteding is het gevolg van additionele werkzaamheden inzake Covid-19 (Tozo, subsidies, uitgekeerde steunpakketten) en additionele werkzaamheden inzake de SiSa-bijlage. Deze werkzaamheden zijn met de gemeenteraad gedeeld door middel van onze brief van 11 maart 2021. Daarnaast hebben wij een gedeelte van de jaarrekeningcontrole opnieuw moeten plannen doordat de gemeente bij start van de controle in maart niet geheel klaar was. Hierdoor kon de gemeente niet tijdig en volledig de juiste documentatie aanleveren. Dit heeft geleid tot inefficiënties en additionele werkzaamheden. Daarnaast hebben additionele werkzaamheden plaatsvonden door het hoge aantal controlebevindingen gedurende de controle. Als laatste wordt een deel van de hogere urenbesteding verklaard door de controle op afstand vanwege Covid-19. Deze teamopbouw en de inzet van het team heeft geleid tot een kwalitatief goede controle.
42
Bijlage G Bevindingen IT-beheersing
30/06/2021
© Baker Tilly
43
Algemeen
Werkzaamheden Op basis van de door ons uitgevoerde werkzaamheden treft u hieronder onze inschatting van de kwaliteit van uw IT –omgeving en –organisatie aan. Hierbij hebben wij de volgende onderverdeling gemaakt in uitkomsten: Op dit moment voldoende
IT General Controls Veel handelingen die binnen organisaties plaatsvinden, worden geregistreerd door middel van automatisering. Daarbij zijn diverse interne beheersingsmaatregelen steeds vaker geautomatiseerd in softwarepakketten. Wij onderzoeken daarom de mate van beheersing van uw IT omgeving en rapporteren daarover in de navolgende pagina’s.
Benodigd verbetering op (korte) termijn Urgente verbetering vereist Let op: voor de onderwerpen in de categorie Overige punten zijn door ons over het algemeen geen testwerkzaamheden uitgevoerd om vast te stellen dat de IT-omgeving is ingericht zoals ons voorgesteld is. Dit beperkt de zekerheid die u kunt ontlenen aan de door ons beschreven aandachtspunten in deze categorie. De mate van risico die u als organisatie loopt verschilt per aandachtsgebied. Een grafische inschatting van de impact op de controle en op uw organisatie vindt u in onderstaande afbeelding.
Impact op de controle
Voor u ligt het management letter onderdeel gebaseerd op onze IT-auditwerkzaamheden welke zijn uitgevoerd in het kader van de jaarrekeningcontrole 2020. In dit onderdeel van de Management Letter staat welke activiteiten we hebben uitgevoerd, wat onze bevindingen zijn voor de controle, maar ook welke interessante ontwikkelingen en kansen wij zien voor uw organisatie voor nu en in de toekomst.
Toegangsbeveiliging
Wijzigingsbeheer
Overige punten
Impact op uw organisatie 30/06/2021
Omschrijving ‘Toegangsbeveiliging’ Bij het toetsen van ‘toegangsbeveiliging’ wordt onderzocht of de inrichting van de IT-omgeving de authenticiteit van de gebruiker van een gebruikersaccount borgt. Vervolgens onderzoeken wij de mogelijkheden voor het ‘steunen’ op autorisaties en de processen rondom het verstrekken, muteren en ontnemen van autorisaties binnen de omgeving. Wanneer de randvoorwaarden hiervoor voldoende aanwezig zijn, kunnen wij in de controle gebruik maken van ingerichte functiescheiding in het systeem.
© Baker Tilly
Omschrijving ‘Wijzigingsbeheer’ Bij het toetsen van ‘wijzigingsbeheer’ wordt vastgesteld dat wijzigingen aan de applicatie op gestructureerde en gecontroleerde wijze worden doorgevoerd. Voor uw organisatie heeft wijzigingsbeheer ten doel om te voorkomen dat applicaties zich niet gedragen zoals u verwacht na een wijziging in de software, resulterend in, wellicht niet opgemerkte, (financiële) gevolgen. Wanneer de randvoorwaarden hiervoor voldoende aanwezig zijn, kunnen wij in de controle gebruik maken van ingerichte applicatiecontroles in het systeem. Omschrijving ‘Overige punten’ Het is voor ons van belang om inzicht te krijgen in de verantwoordelijkheden die binnen de organisatie zijn ingericht – of met andere organisaties overeen zijn gekomen (uitbesteding) – ten aanzien van de beheersing van de IT omgeving. Hierbij kijken wij naar beleidsstukken ten aanzien van IT strategie, beveiliging en functiescheiding. Deze overige punten zijn gebaseerd op de gehouden gesprekken. Wij hebben hiervoor geen testwerkzaamheden uitgevoerd. Onze bevindingen per aandachtsgebied worden op de volgende pagina’s in meer detail aan u toegelicht. 44
Toegangsbeveiliging Wij onderscheiden vijf bouwstenen ten aanzien van toegangsbeveiliging, waarbij bouwstenen gestapeld, naast een sterke IT beheersing, ook de meeste controlezekerheid oplevert. Beperkingen in de onderliggende steen, zorgt voor een verzwakking van de bovenliggende stenen. Een toelichting:
Onze verwachting
Uw Organisatie Wij hebben vernomen dat binnen uw organisatie in beperkte mate sprake is van een geformaliseerd proces voor het toekennen, wijzigen en ontnemen van rechten binnen de applicaties. Daarnaast wordt op dit moment worden periodieke controles uitgevoerd ten aanzien van de juistheid van de uitgegeven autorisaties. De resultaten van deze controles worden echter niet vastgelegd.
Beheersen mutaties: Wanneer de gewenste situatie is ingericht, verwachten wij een beheerst proces ten aanzien van het toekennen, ontnemen en wijzigen van rechten inclusief monitoring en controle.
Wij hebben vernomen dat Gemeente Sluis niet beschikt over een autorisatiematrix (SOLL-positie) ten aanzien van Key2Financien en Suites voor het Sociaal Domein. Deze SOLL-positie is belangrijk voor het inrichten en controleren van autorisaties binnen de genoemde applicaties.
Gewenste situatie: Iedere organisatie zal moeten bepalen wat de “SOLL-positie” is ten aanzien van rechten, met name gericht op kritische functiescheidingen.
Administrator rechten voor Key2Financien en Suites voor het Sociaal Domein zijn (onder andere) belegd bij functionarissen in de lijn. Eén van deze functionarissen beschikt over Administrator rechten binnen de administratie van het Investeringsfonds Cadzand Bad. Middels deze hoge rechten beschikt deze functionaris over de mogelijkheid om zichzelf Administrator rechten binnen de administratie van gemeente Sluis te geven. Het risico bestaat dat bedoelde functiescheidingen kunnen worden doorbroken.
Hoge rechten: Voor het beheersen van autorisaties is het cruciaal dat de rechten tot het aanpassen van rechten zijn beperkt tot medewerkers die geen belang hebben bij aanpassingen.
Wij hebben geconstateerd dat binnen de applicatie Key2Financien geen eisen worden gesteld ten aanzien van de complexiteit en geldigheidsduur van wachtwoorden. Uw organisatie beschikt over de versie van Key2Financien waar wachtwoordinstellingen kunnen worden ingericht. De daadwerkelijke inrichting heeft nog niet plaatsgevonden. Binnen de applicatie Suites voor het Sociaal Domein en op het netwerk hebben wij uitzonderingen geconstateerd in de vorm van gebruikers die het wachtwoord niet regelmatig hoeven te wijzigen.
Wachtwoorden: Sterke, regelmatig wijzigende wachtwoorden voor applicaties en databases zijn de basis voor toegangsbeveiliging, samenhangend met bewustzijn bij medewerkers.
Databases: Basis voor toegangsbeveiliging van een applicatie is dat de applicatie de enige toegangspoort is en dat niet rechtstreeks op de database gemuteerd kan worden.
30/06/2021
Databasetoegang voor Key2Financien en Suites voor het Sociaal Domein is adequaat ingeregeld. Uitsluitend beheerders hebben rechtstreeks toegang tot de database.
© Baker Tilly
45
Wijzigingsbeheer Bij het doorvoeren van wijzigingen in software-omgevingen ontstaan risico’s voor de bedrijfsvoering van uw organisatie. Wij verwachten daarom dat het proces voor wijzigingen een proces doorloopt, waarmee de risico’s die gelopen worden, zijn ingeschat, worden geadresseerd en dat hierop maatregelen genomen worden. Wij hebben onderstaand aangegeven wat wij verwachten per fase en wat wij hebben geconstateerd tijdens onze controle (deels op basis van interview) en of dit overeen komt met de verwachting. Opstellen testplan en -aanpak: Vanuit de geïdentificeerde risico’s kan een testplan worden gemaakt waarin de te testen elementen van de software benoemd zijn evenals de inhoudelijk uit te voeren testwerkzaamheden op deze elementen. Belangrijke elementen hierin zijn go/nogo momenten, het maken van een back up voor implementatie, wat te doen als een implementatie mislukt en de impact op de organisatie (opleiden van medewerkers) Uw situatie: Wij hebben vernomen dat binnen gemeente Sluis wordt gewerkt met een testplan aan de hand waarvan wijzigingen in Key2Financien en Suites voor het Sociaal Domein worden getest. Gebruikersacceptatie: Een wijziging is pas effectief als deze niet alleen is geaccepteerd vanuit een technisch oogpunt, maar ook vanuit de gebruikersorganisatie.
Wij verwachten daarom een formele goedkeuring vanuit de gebruikersorganisatie, zowel voor implementatie als na de implementatie Uw situatie: Wij hebben vernomen dat bij gemeente Sluis de gebruikersorganisatie betrokken is bij de processen met betrekking tot wijzigingen in Key2Financien en Suites voor het Sociaal Domein. De acceptatie van wijzigingen door gebruikers wordt niet zichtbaar uitgevoerd. 30/06/2021
© Baker Tilly
1. Risicoinschatting
2. Opstellen testplan en -aanpak
3. Testen en documenteren
4. Gebruikersacceptatie
Risico-inschatting: Voor iedere software wijziging is het relevant om te beoordelen wat de risico’s zijn die de wijziging met zich mee brengt voor de hoofdprocessen én welke geïdentificeerde technische en organisatorische wijzigingsrisico’s worden geraakt bij het uitvoeren van de change, waaronder maatwerk. Per wijziging worden vastgesteld welke nieuwe of gewijzigde functionaliteit een risico vormt voor een goede werking van uw bedrijfsvoering. Uw situatie: Binnen uw organisatie wordt per wijziging in Key2Financien en Suites voor het Sociaal Domein een inschatting gemaakt van de impact die de betreffende wijziging kan hebben op de bedrijfsvoering. Deze overweging wordt niet zichtbaar vastgelegd. Het risico dat deze bevinding met zich meebrengt wordt gemitigeerd door het feit dat wijzigingen eerst worden uitgerold in de testomgeving. Testen en documenteren: Softwarewijzigingen kunnen gestructureerd worden getest, na het correct uitvoeren van de voorgaande twee stappen. Een vastlegging van testwerkzaamheden is van belang voor de aantoonbaarheid en controleerbaarheid van de uitgevoerde stappen. Uw situatie: Binnen gemeente Sluis worden testwerkzaamheden uitgevoerd bij wijzigingen in Key2Financien en Suites voor het Sociaal Domein. De resultaten van deze testwerkzaamheden worden niet zichtbaar vastgelegd.
46
Overige punten (1) Beleid en plannen Beleid Binnen uw organisatie zijn een uitgewerkt IT beleidsplan en informatiebeveiligingsbeleid aanwezig, waarin de uitgangspunten voor IT beheer en ontwikkelingen zijn beschreven. Op basis van dit beleidsplan is monitoring mogelijk aan de hand van een plan-do-check-act cyclus.
Uitvoering Beheersing van incidenten Om de performance van uw IT systemen en eventueel de performance van uw IT dienstverlener te monitoren, is registratie van de incidenten en problemen van belang. Hierdoor verkrijgt u inzicht in de performance van uw systemen, maar ook van uw IT organisatie en kunt u waar nodig uw beleidsplan corrigeren. Wij hebben vernomen dat incidenten met betrekking tot Key2Financien en Suites voor het Sociaal Domein niet altijd worden geregistreerd. Wij hebben vernomen dat in een aantal gevallen incidenten met betrekking tot de genoemde applicaties inmiddels worden geregistreerd in Topdesk. In de gevallen dat escalatie van incidenten naar leverancier Centric noodzakelijk is, worden incidenten altijd geregistreerd in het portal van Centric.
Verantwoordelijkheden en functiescheiding Wij verwachten dat binnen uw organisatie duidelijke afspraken zijn gemaakt ten aanzien van verantwoordelijkheden over uitvoering en strategie op het gebied van IT. We hebben vernomen dat dit het geval is. Binnen uw organisatie is een afdeling IT actief welke belast is met de uitvoering van het (technisch) beheer van de ITomgeving. Voor het functioneel beheer van Key2Financien en Suites voor het Sociaal Domein zijn functionarissen aangesteld die ook een rol hebben in de operationele processen.
De informatie op deze pagina is gebaseerd op de gehouden gesprekken. Wij hebben hiervoor geen testwerkzaamheden uitgevoerd.
Overige punten (2) Continuïteitsmaatregelen
Beveiliging
Recovery Point objective (RPO): De RPO is het punt in de tijd tot, waar men minimaal de gegevens moet kunnen herstellen. Het is dus de acceptabele hoeveelheid aan dataverlies uitgedrukt in tijd.
Beveiliging De beveiliging van de IT-omgeving delen wij op in verschillende aspecten, welke wij hieronder hebben weergegeven.
Back-ups: Wij hebben vernomen dat meerdere keren per dag back-ups van de IT-omgeving worden gemaakt. Back-ups worden extern opgeslagen. De organisatie heeft hiermee invulling gegeven aan haar recovery point objective.
Fysieke beveiliging: De serverruimte is voorzien van diverse beveiligingsmaatregelen ten aanzien van temperatuur, klimaat en brandrisico’s.
Remote access: Voor het extern inloggen wordt gebruik gemaakt van extra beveiligingsmaatregelen zoals two-factor authenticatie. Hiermee wordt het risico op ongeautoriseerde inlogpogingen gemitigeerd. Recovery Time Objective (RTO): Een RTO is de tijd waarna een proces/middel na een onderbreking moet teruggebracht zijn op een aanvaardbaar niveau, om een onacceptabele impact op de organisatie te vermijden. Recovery: Binnen uw organisatie worden jaarlijks recovery testen ten aanzien van de IT-omgeving uitgevoerd. Hierdoor beschouwen wij het risico op dataverlies en downtime voor uw IT organisatie als laag. Uitwijk: Wij hebben vernomen dat voor de bedrijf kritische systemen een uitwijkmogelijkheid is ingericht. Deze uitwijk wordt jaarlijks getest.
De informatie op deze pagina is gebaseerd op de gehouden gesprekken. Wij hebben hiervoor geen testwerkzaamheden uitgevoerd.
Preventie: Een firewall en virusscanner zijn aanwezig en worden actief beheerd.
Samenvatting ‘General IT’ De conclusies die wij op basis van onze werkzaamheden trekken over de algemene beheersing van IT bij uw organisatie, delen wij op deze pagina met u. Uit de stoplichten valt op te maken in hoeverre we gebruik kunnen maken van de randvoorwaarden die binnen uw organisatie aanwezig zijn voor de controle. Authenticatie Door middel van authenticatie wordt geborgd dat de gebruiker zichzelf kan identificeren binnen een geautomatiseerde omgeving. Kort gezegd: de gebruiker toont aan dat hij/zij inlogt met een eigen persoonsgebonden account en daarmee is wie hij/zij claimt te zijn. Wij scharen onder dit onderwerp met name wachtwoordvereisten en herleidbaarheid van accounts.
Key2Financien
Suites voor het Sociaal Domein
Netwerk
Autorisatie Op het gebied van autorisatie zijn verschillende vormen van diepgang te definiëren. Wat wij onderzoeken als het gaat om de randvoorwaarden rondom autorisatie, zijn de rechten die de mogelijkheid bieden om autorisatiestructuren te wijzigen en of deze rechten belegd zijn bij functionarissen met een onafhankelijke positie ten opzichte van de jaarrekening. Daarnaast is een effectieve procedure voor het wijzigen van en voor een periodieke controle op ingestelde rechten noodzakelijk.
Wijzigingsbeheer Gedurende een (boek)jaar worden wijzigingen doorgevoerd in de IT-omgeving van uw organisatie. Wanneer deze wijzigingen een impact hebben op de functionaliteiten of rapportages die een rol spelen in de jaarrekening (en uw organisatie deze niet signaleert), heeft dit gevolgen voor de controlewerkzaamheden. Wij beoordelen dit onderdeel door te steunen op uw procedure of werkzaamheden uit te voeren op documentatie vanuit de leverancier.
30/06/2021
© Baker Tilly
N.v.t.
49
Bijlage H IT actualiteiten 30/06/2021
© Baker Tilly
50
Privacywetgeving De Algemene Verordening Gegevensbescherming (AVG) is vanaf 25 mei 2018 van toepassing. Omdat de AVG diverse nieuwe en striktere eisen stelt aan organisaties die persoonsgegevens verwerken, is het belangrijk om maatregelen te hebben getroffen om aan deze wet te kunnen voldoen. Het is raadzaam inzicht te hebben en houden over de mate waarin de nieuwe eisen relevant zijn en moeten worden geadresseerd. Op deze pagina zetten we een aantal belangrijke maatregelen op een rij.
30/06/2021
Documentatieplicht Als uw organisatie persoonsgegevens verwerkt, dan hoeft u daar geen melding van te doen bij de Autoriteit Persoonsgegevens. De AVG verandert de (passieve) registratieplicht in een documentatieplicht. U moet zelf de verwerkingen in een verwerkingsregister documenteren, waarmee u actief kunt aantonen dat uw organisatie de privacyregels naleeft. Meer rechten betrokkenen De personen wiens gegevens worden verwerkt en beschermd krijgen meer rechten, namelijk: − Correctie van persoonsgegevens − Inzage in persoonsgegevens − Verwijderen van persoonsgegevens Mensen hebben het recht om u te vragen, persoonsgegevens die u van hen verwerkt, te laten verwijderen. Impact assessment Indien de verwerkingen van persoonsgegevens in een organisatie een hoog privacy-risico opleveren dan moet een Data Protection Impact Assessment (DPIA) uitgevoerd worden. Deze assessments geven meer zicht op de aard en omvang van deze gegevensverwerkingen en geven uitsluitsel of dat u aan uw verplichtingen voldoet.
© Baker Tilly
Privacy aandachtspunt bij productontwikkeling De Algemene Verordening Gegevensbescherming vereist dat al tijdens de ontwikkeling van producten en diensten (zoals informatiesystemen) aandacht wordt besteed aan privacy verhogende (beveiligings-)maatregelen. Eigen Functionaris Gegevensbescherming Organisaties kunnen verplicht zijn om een Functionaris Gegevensbescherming aan te stellen. Deze functionaris houdt binnen de organisatie toezicht op de toepassing en naleving van de AVG. AVG: boetebeleidsregels aangescherpt in 2019 In Europa zijn de eerste boetes inmiddels uitgedeeld, het boetebeleid in Nederland is in maart 2019 nog aangepast. Baker Tilly kan u helpen bij het in kaart brengen welke impact de verplichtingen van de AVG voor u hebben. Daarnaast kan met de quickscan AVG van Baker Tilly inzichtelijk worden gemaakt waar u staat en welke aspecten nog aandacht vragen. De quickscan AVG is gebaseerd op het Privacy Control Framework (PCF) uitgegeven door NOREA, de beroepsorganisatie van IT auditors.
51
Baseline Informatiebeveiliging Overheid (BIO) Per 1 januari 2020 is de Baseline Informatiebeveiliging Overheid (BIO) van kracht. De BIO betreft een aanscherping van de “oude” normen van de BIR, BIWA en IBI die het rijk, waterschappen en provincies hanteren. Daarnaast brengt de BIO een vermindering van de administratieve last met zich mee. De IBD heeft een stappenplan gepubliceerd aan de hand waarvan een goede BIOimplementatie kan worden opgestart. Op deze pagina geven wij daar een nadere toelichting op.
Meer aandacht voor risicomanagement In tegenstelling tot de “oude” normen is er bij de BIO meer aandacht voor risicomanagement en verschuiving van verantwoordelijkheden naar proceseigenaren. Als organisatie dient u aantoonbaar grip te houden op de processen ten aanzien van informatiebeveiliging.
Stap 4: Beleg de uitvoering van de BIO-maatregelen in de lijn Vanuit de BIO-systematiek is de uitvoering van en verantwoording over beheersingsmaatregelen de verantwoordelijkheid van de lijn. Betrek deze functionarissen tijdig bij het proces.
Werk volgens een gefaseerde aanpak Wij raden u aan om de implementatie van BIO binnen uw organisatie gefaseerd aan te pakken. Hiermee onderneemt u op een gestructureerde wijze actie en zet u de beschikbare middelen efficiënt in om tijdig aan de BIO te kunnen voldoen.
Stap 5: Monitor en verbeter Informatiebeveiliging is een continu proces. Periodieke monitoring op uitvoeringskwaliteit van beheersmaatregelen is daarom essentieel.
Stap 1: Zet BIO op de bestuurlijke agenda Vraag op bestuurlijk niveau aandacht om het onderwerp informatiebeveiliging op de kaart te zetten. Stap 2: Verkrijg inzicht in de huidige stand van zaken middels een nulmeting Middels het uitvoeren van een BIO-nulmeting op de belangrijkste processen van uw organisatie krijgt u inzicht in de huidige stand van zaken ten aanzien van de BIO. Daarnaast identificeert u middels een nulmeting de aspecten die nog aandacht nodig hebben en kan gericht een plan van aanpak voor het oplossen van deze ‘gaps’ worden opgesteld. Stap 3: Voer actief risicomanagement Voer risicoanalyses uit die als input dienen voor het BIOverbeterplan. Het BIO-verbeterplan kunt u gebruiken als instrument om informatiebeveiliging binnen uw organisatie te verbeteren, de voortgang van verbeteracties te bewaken en hierover te rapporteren.
Baker Tilly helpt De IT-auditors en adviseurs van Baker Tilly hebben ruime ervaring met informatiebeveiliging bij overheidsinstanties. Zij zijn bekend met het nieuwe normenkader en kunnen u begeleiden bij de implementatie van BIO. Van aandacht vragen voor informatieveiligheid tot en met het verschaffen van inzicht in de huidige stand van zaken ten aanzien van de BIO. Daarnaast adviseren wij over de te zetten stappen en bieden praktische ondersteuning tijdens de implementatie. Doordat onze IT-auditors en adviseurs ervaring inbrengen uit andere sectoren, waar het gedachtegoed van de Baseline Informatiebeveiliging Overheid al geruime tijd wordt gehanteerd, kunnen zij u ondersteunen vanuit de theorie en de praktijk. Wij kunnen u middels een quick scan een snel eerste inzicht geven waarmee u vervolgens de BIO-implementatie goed kunt opstarten. Bij deze quick-scan besteden wij een beperkte, vaste hoeveelheid tijd om (met u) binnen uw organisatie het net op te halen en een eerste beeld te schetsen. Daarbij tonen we gelijk ook de kracht van het gebruik van ISMS-software om uw risicomanagement proces te ondersteunen, conform aanbeveling van IBD.
.
30/06/2021
© Baker Tilly
52
Kwaliteit van dienstverlening op orde
Sociaal domein
Inmiddels hebben de meeste gemeenten de kwaliteit van hun dienstverlening op orde, maar vaak schuilen er nog wel problemen in de bedrijfsvoering en de beheersing van de financiële stromen. De risico’s die hieraan zijn verbonden kunnen fors zijn. Wij kennen de bedrijfsvoering binnen het sociale domein als geen ander en helpen u graag om in control te komen en te blijven.
Gemeenten hebben extra taken en verantwoordelijkheden gekregen, die eerder bij het rijk waren belegd; op het gebied van zorg, werk, jeugdhulp, participatie en zelfredzaamheid. Deze decentralisaties binnen het sociaal domein vragen van de gemeente een andere manier van werken en een andere benadering van sociale dienstverlening en het ondersteunen van inwoners. Werkprocessen moeten worden heringericht, maar moeten soms ook weer worden aangepast op basis van ervaringen. Bovendien ontstaan nog steeds nieuwe samenwerkingsverbanden tussen gemeenten en hun ketenpartners..
30/06/2021
© Baker Tilly
53
RPA Robotic Process Automation is een innovatieve ontwikkeling die organisaties in staat stelt hun processen verder te digitaliseren, zonder dat daarvoor aanpassingen in ICT systemen nodig zijn. De software robot neemt het werk over van uw medewerkers.
30/06/2021
Met RPA uw processen verder digitaliseren In tegenstelling tot uw medewerkers, kan een software robot 24 uur per dag werken, wordt deze niet moe, en maakt deze veel minder fouten als gevolg. RPA is dan ook met name geschikt voor eenvoudige, repetitieve, niet-intelligente taken. Bijvoorbeeld, administratieve taken waarbij geen besluitvorming plaatsvindt, maar het werk ‘gewoon’ moet gebeuren. Het invoeren van gegevens, het aanpassen en bijwerken van gegevens, in veel organisaties vindt dit nog veelvuldig plaats. Dit leidt echter tot hoge personeelskosten, lange doorlooptijden en/of tot ontevreden medewerkers die zijn aangenomen voor interessante taken maar een deel van hun tijd aan administratieve zaken moeten besteden. Om deze processen te kunnen automatiseren, beschikt de software robot zelf over diverse intelligente functies, zoals het inlezen van informatie, het invoeren en kopiëren van data, het importeren of exporteren van bestanden, en zelfs het versturen van e-mails behoort tot de mogelijkheden. Op deze wijze maakt de software robot uw medewerkers vrij voor andere werkzaamheden, of biedt het mogelijkheden tot kostenbesparing.
© Baker Tilly
Voordelen van RPA RPA is technologisch onafhankelijk, heeft een relatief korte implementatie periode (2-3 maanden) en biedt doorgaans een snelle return on investment (ROI). Bijkomend, RPA klaart dus repetitieve klussen in minuten, binnen en buiten kantoortijd. Kortom, RPA biedt uw organisatie de mogelijkheid om uw medewerkers te laten doen waar ze écht goed in zijn, waardoor ze waarde kunnen toevoegen aan uw organisatie RPA is een krachtige automatiseringsoplossing dat een breed scala aan kansen biedt om de kwaliteit, controle en flexibiliteit van uw bedrijfsprocessen te verbeteren. Echter, een duidelijke visie en strategie omtrent RPA, het betrekken van eindgebruikers, en het management van verandering binnen uw organisatie zijn cruciale vereisten om RPA succesvol te kunnen implementeren. Baker Tilly is van mening dat RPA veel organisaties kan helpen om hoogwaardige en digitale dienstverlening te bieden met schaarse resources. Door RPA succesvol binnen uw organisatie te implementeren biedt Baker Tilly u snelheid in uw automatisering, flexibiliteit in de wijze van inzet van uw medewerkers, en maximale efficiency om budgettair niet uit de pas te lopen.
54
Contactgegevens drs. M.A. (Rudi) de Munck RA Partner r.demunck@bakertilly.nl D. (Dennis) Eijke MSc RA Senior Manager d.eijke@bakertilly.nl R. (Robert-Jan) Buijze MSc Junior Manager r.buijze@bakertilly.nl
Kantoorgegevens: Baker Tilly (Netherlands) N.V. Stationspark 8b Postbus 85 4462 DZ GOES 0113 – 242 000
55