2.0 BDO - Boardletter 2022 gemeente Steenwijkerland.pdf

Gemeente Steenwijkerland Boardletter 2022 11 november 2022 Aan: de gemeenteraad van gemeente Steenwijkerland Postbus 162 8330 AD STEENWIJK Groningen, 11 november 2022 Kenmerk: RHB/IB/JW/MST/1049245/013 Geachte leden van de gemeenteraad van gemeente Steenwijkerland, In het kader van de aan ons verstrekte opdracht tot controle van de jaarrekening 2022 van de gemeente Steenwijkerland brengen wij u met deze boardletter verslag uit over onze bevindingen naar aanleiding van onze interim-controle. Dit betreft een samenvatting van de managementletter. De managementletter is besproken met de directie en de wethouder financiën. Voor een nadere omschrijving van onze opdracht, de reikwijdte en aanpak van onze controle en overige afspraken verwijzen wij naar onze opdrachtbevestiging. In deze rapportage richten wij ons met name op mogelijke verbeterpunten in de bedrijfsvoering en de processen die wij hebben onderzocht in het kader van de controle van de jaarrekening en onze nulmeting. Dit heeft tot doel een bijdrage te leveren aan de interne beheersing en het zelf controlerend vermogen van de gemeente Steenwijkerland. Wij vertrouwen erop u met deze boardletter naar aanleiding van onze interim -controle 2022 van dienst te zijn geweest. Wij willen de organisatie bedanken voor de prettige samenwerking en zijn vanzelfsprekend graag bereid een nadere toelichting te verstrekken.

Hoogachtend, BDO Audit & Assurance B.V. namens deze, drs. R.H. (Rob) Bouman RA Partner en extern accountant gemeente Steenwijkerland Aanbiedingsbrief Ter informatie De digitale versie van dit document is vanaf de inhouds- opgave interactief. Aan de hand van de navigatiebalk onderaan de pagina en/of de menustructuur bovenaan de pagina kan door het document genavigeerd worden. VORIGE PAGINA VOLGENDE PAGINA INHOUDSOPGAVE SAMENVATTING Inhoudsopgave 1. DASHBOARD INTERIM-CONTROLE 2. ONTWIKKELINGEN & AANDACHTSPUNTEN 3. BEVINDINGEN SIGNIFICANTE PROCESSEN

1 Dashboard interim-controle 4 DASHBOARD ONTWIKKELINGEN PROCESSEN UW INTERNE BEHEERSING IT-BEHEER OPNIEUW VERBETERD ONTWIKKELINGEN VERBIJZONDERDE INTERNE CONTROLE OVERZICHT BEHEERSINGSNIVEAU PER PROCES TOELICHTING OPENSTAANDE DETAILBEVINDINGEN  Op basis van onze interim-controle concluderen wij dat de interne beheersing en controleomgeving van goed niveau zijn, ook al kunnen wij nog niet altijd steunen op de interne beheersing in de processen (vooraf).  Wij zien concrete opvolging van eerder geconstateerde bevindingen en een serieuze ambitie om verder te verbeteren.  Voor onder andere het proces inkopen (prestatielevering) is in overleg met de gemeente gekozen voor een gedeeltelijke systeemgerichte controle.  Tijdens onze interim-controle hebben wij zichtbare verbeteringen in de inrichting en uitvoering van de IT General Controls (ITGC’s) geconstateerd.  De general IT controls zijn voor een deel van de gebruikte applicaties (vrijwel) op het gewenste niveau en deels van een goed niveau.  De verbeteringen hebben er toe geleid dat in ieder geval voor Key2Financiën op onderdelen gekozen kan worden voor een systeemgerichte controle op prestatielevering en voor een data-analyse.  Graag gaan wij met de organisatie in gesprek over de wensen met betrekking tot het verder gebruiken van een systeemgerichte controle voor de overige processen.

 Wij zullen in de controleverklaring 2022 rapporteren over onze werkzaamheden rondom fraude en continuïteit. Wij gaan met de gemeente in overleg over mogelijke frauderisico’s en aanwezige beheersmaatregelen.  De rechtmatigheidsverantwoording zal definitief met ingang van boekjaar 2023 worden ingevoerd.  Er komen veel taken op de gemeente af, bijvoorbeeld de opvang Oekraïners en uitbetaling energietoeslag, waar de gemeente ad-hoc op dient te reageren.  Er is sprake van een hoge inflatie welke onder andere impact heeft op het saldo 2022. De toekomstige begrotingen en de waardering van diverse balansposten in de jaarrekening 2022.  Wij zijn positief over de wijze waarop de organisatie de Verbijzonderde Interne Controle (VIC) bij uw gemeente heeft ingeregeld.  De VIC kiest voor een verdere digitalisering van de verbijzonderde interne controle.  Het boekjaar 2022 zal voor het sociaal domein door de VIC als pilot worden gebruikt ter voorbereiding op de aanstaande invoering van de rechtmatigheids- verantwoording per 1 januari 2023. • Diverse aanbevelingen uit 2021 zijn (deels) opgevolgd • In 2022 worden naar verwachting nog enkele verbeteringen doorgevoerd • Wij hebben één nieuwe bevinding gerapporteerd  In het inkoop- en aanbestedingsproces zijn extra waarborgen nodig zodat alle inkopen voldoen aan het inkoop- en aanbestedingsbeleid.

 In het proces uitkeringen zijn enkele aandachtspunten geïdentificeerd waaronder het vier-ogen-principe.  Voor de prestatielevering binnen het sociaal domein wordt sterk gesteund op controles achteraf middels prestatieverklaringen.  Gebruikersbeheerprocessen in de IT-inrichting moet in diverse applicaties nog verder aangescherpt worden.  Het wijzigingsbeheer is niet op alle onderdelen adequaat ingericht of achteraf zichtbaar.  De controles in het subsidieproces omvatten nog niet het volledige proces.  Er zijn niet voldoende controles op de juistheid en de volledigheid van de opbrengsten uit vergunningen. Groen = voldoende Rood = onvoldoende Blanco = (nog) niet getoetst Oranje = verbeterpunten mogelijk, maar deels op orde 2.1 Rapporteren over fraude en continuïteit in de controleverklaring Verplicht rapporteren in de controle- verklaring over fraude en continuïteit Transparantie over fraude en continuïteit vraagt dialoog Verplicht rapporteren in de controleverklaring over fraude en het vermogen om risico’s vanuit de reguliere bedrijfsvoering fi nancieel op te vangen Vanaf boekjaar 2022 worden door de Nederlandse Beroepsorganisatie van Accountants (NBA) enkele aanpassingen in de controlever klaring doorgevoerd. Deze aanpassingen zien toe op het verplicht rapporteren over onze controleaanpak inzake frauderisico’s en contin uïteit.

Deze verplichting geldt voor alle wettelijke controles en dus ook voor gemeenten. Met het verplicht rapporteren over deze ond erwerpen wordt tegemoet gekomen aan een veel gehoorde wens van stakeholders. Door transparanter te zijn over welke werkzaamheden wij a ls uw accountant hebben uitgevoerd om frauderisico’s én om de risico's verband houdende om de reguliere bedrijfsvoering zonder tuss enkomst van de financieel toezichthouder voort te zetten (continuïteit) te mitigeren. Per onderwerp zullen wij voortaan, in alle gev allen, gaan rapporteren over wat de meest belangrijke fraude en continuïteitsrisico’s zijn en hoe op beide thema’s in de controle is inge speeld. Uiteraard hebben de onderwerpen fraude en continuïteit altijd al de aandacht tijdens de accountantscontrole. Maar door deze z aken nu te gaan beschrijven in de controleverklaring, wordt die aandacht ook expliciet gemaakt. Wij zijn ons er van bewust dat dit om ee n zorgvuldig proces vraagt, wat wij samen met de organisatie zullen doorlopen en waarover wij tijdig met de organisatie van gedachten zull en wisselen. Naast een extra inspanning van onze zijde vraagt dit namelijk ook iets van de gemeentelijke organisatie.

Bijvoorbeeld over de aandacht voor de genoemde risico’s en over de door u gewenste mate van transparantie in de programmarekening en de programmaverantwoor ding over zowel het aspect fraude als het vermogen om financiële risico’s op te vangen. Onze controle gaat uit van de fraudepreventie door de gemeente Onze beroepsorganisatie, de NBA, heeft een notitie uitgebracht ‘best practice maatregelen fraude(risico)beheersing voor bestu urders en toezichthouders'. In deze notitie komt nadrukkelijk de rol van bestuurders en toezichthoudende organen, zoals de gemeenteraad , bij het voorkomen en detecteren van fraude aan de orde. Door de nadruk te leggen op het voorkomen van fraude, kunnen de gelegenheden die tot fraude leiden, afnemen. Dit vraagt om actief toezicht op risico’s en beheersmaatregelen ter voorkoming van fraude. Ook de accountant heeft hierin een belangrijke rol. De landelijke pilots waar in de controleverklaring 2020 van de accountant uitgebreider is gerappo rteerd over het thema fraude (o.a. Gemeente Breda) hebben bijgedragen aan deze best practices. De best practices van de NBA zijn erop gericht het fraudebewustzijn en de frauderisicobeheersing te vergroten. In onze boardletter van voorgaand jaar hebben wij reeds aandacht gevraagd voor dit onderwerp.

Het afgelopen jaar hebben wij u en de ambtelijke organisatie geïnformeerd over de wijze waarop ook de rol van de gemeenteraad ten aanzien van frauderisico-beheersing kan worden versterkt. Uit de door het management gehouden interne frauderisicoanalyse zijn verbetermogelijkheden naar voren gekomen die betrekking hebben op onder andere integriteit en nevenwerkzaamheden. De implementatie van deze verbetermogelijkheden zijn inmiddels door het cl uster P&O in gang gezet en in het directieteam besproken. Wij hebben de overige door ons in de boardletter van vorig jaar aangedragen aanbevelingen met de gemeente besproken en vastge steld dat deze momenteel nog onderhanden zijn en op onderdelen moeten worden opgepakt. Wij adviseren de gemeente om deze aanbevelingen verder te implementeren. 5 DASHBOARD ONTWIKKELINGEN PROCESSEN 2.2 Rechtmatigheidsverantwoording Rechtmatigheidsverant woording vanaf 2023 Invoering rechtmatigheidsverantwoording met ingang van 2023 In onze boardletter en accountantsverslag van 2021 hebben wij aangegeven dat de rechtmatigheidsverantwoording ingevoerd wordt voor gemeenten. Dit besluit is nu door de Eerste en Tweede Kamer waardoor de rechtmatigheidsverantwoording wordt ingevoerd met ing ang van 2023. Deze invoering heeft gevolgen voor de (interne) beheersing van de organisatie en ook de rol van de accountant veran dert hierdoor.

Wij hebben deze verandering met u besproken en zien dit gezamenlijk als een kans voor uw organisatie en interne beh eersing, waarbij het gesprek over de rechtmatigheid tussen het college en de raad dient te worden gevoerd. Met ingang van verslagjaar 2023 wordt de gemeente Steenwijkerland dus zelf verantwoordelijk voor de rechtmatigheidsverantwoor ding en moet het college een (onderbouwde) mededeling doen omtrent de naleving van de rechtmatigheid. De wetswijziging is niet alleen een technische verandering maar vereist ook een cultuurverandering die effect heeft op de bedrijfsvoering van de organisatie. Uit de kadernota rechtmatigheid 2023 van de commissie BBV hierover blijkt dat er een standaard model van de verklaring komt. De rechtmatigheidsverantwoording wordt beperkt tot drie rechtmatigheidsaspecten. De gemeenteraad dient de tolerantiegrenzen te bepalen (tot een maximum van 3%). Deze verantwoording en bevindingen moeten worden opgenomen in de paragraaf bedrijfsvoering. De wijziging in de verantwoordelijkheden ten aanzien van rechtmatigheid betekent niet dat er minder rechtmatigheidscontroles moeten worden uitgevoerd, maar dat het college deze in eerste instantie zelfstandig/intern moet inrichten, uitvoeren, controleren en rapporteren. Als accountant zullen wij het rechtmatigheidsoordeel en onderliggende werkzaamheden vervolgens toetsen.

Daarmee controleren wij of de rechtmatigheidsverklaring van het college een getrouw beeld geeft. Wij betrekken dit in ons oordeel bij de jaarrekening. Onze observaties over de voortgang van de voorbereidingen hebben we in een tabel op de volgende pagina schematisch weergegeve n. 6 DASHBOARD ONTWIKKELINGEN PROCESSEN 2.2 Rechtmatigheidsverantwoording TE ZETTEN STAPPEN AFSPRAKEN COLLEGE GEMAAKT? ja onderhanden n.v.t. De verantwoordingsgrens voor 2023 is bepaald  De verantwoordingsgrens voor 2023 is vastgesteld door de raad  Het normenkader 2022/2023 is gereed  De financiële verordening is herzien  De financiële verordening bevat op welke wijze wordt omgegaan met begrotingsonrechtmatigheden  Het college en de raad hebben overeenstemming over de inhoud van de teksten inzake de rechtmatigheidsverantwoording in de paragraaf Bedrijfsvoering  Het interne controleplan van de gemeente bevat: 1. scoping van de processen en balansposten  2. risico-analyses per proces en post  3. controleaanpak  7 DASHBOARD PROCESSEN De afgelopen periode heeft de gemeente Steenwijkerland diverse stappen vooruitlopend op de aankomende rechtmatigheids - verantwoording gezet. Op initiatief van de gemeente vindt hierover periodiek overleg plaats tussen een adviseur van BDO* en d e werkorganisatie.

Tevens dient naar aanleiding van de invoering van de rechtmatigheidsverantwoording de financiële verordening nog te worden aa ngepast. De gemeentelijke organisatie kiest ervoor om af te wachten totdat de voorbeelddocumentatie vanuit de VNG beschikbaar is. Tevens heeft de gemeente Steenwijkerland besloten om 2022 als een overgangsjaar tot invoer van de rechtmatigheidsverantwoordi ng te zien. Dit houdt in dat voor het sociaal domein zal worden gerapporteerd in lijn met de rechtmatigheidsverantwoording. Ook is de VIC verder geprofessionaliseerd en is de controle-aanpak mede in relatie tot de rechtmatigheidsverantwoording gedigitaliseerd. Hierb ij zal de VIC bijvoorbeeld middels data-analyse haar oordeel geven over de inkopen en bijbehorende prestatielevering van de gemeente. *Vanuit BDO is in samenspraak met de gemeente een adviseur ingeschakeld welke geen onderdeel uitmaakt van het team wat verantwoordelijk is voor de controle van de jaarrekening. Hiermee wordt de onafhankelijkheid gewaarborgd. ONTWIKKELINGEN 2.3 Aandachtspunten jaarrekening 2022 8 Impact van recente ontwikkelingen op de begroting en jaarrekening Impact van de inflatie en de oorlog in Oekraïne op de begroting en jaarrekening In de afgelopen periode zijn de (macro)economische omstandigheden sterk gewijzigd ten opzichte van een jaar geleden.

Er is sp rake van een sterk oplopende inflatie en stijgende energieprijzen. Deze ontwikkelingen zijn ook merkbaar bij de gemeente. In de Najaarsnota was initieel sprake van een positief saldo van € 3,9 miljoen euro positief. Onder andere als gevolg van de hiervoor genoemde ontwikkelingen heeft de raad op voorstel van het college besloten om een reserve energie maatschappelijke instellingen à € 3,3 miljoen in te stellen. Tevens is als gevolg van onder andere het Coronavirus, de (crisis)opvang van vluchtelingen en de probl emen op de energiemarkt er sprake van een hoge werkdruk en ziekteverzuim bij de gemeente. Per saldo zal dit naar verwachting leidden tot een financieel tekort van € 950.000 welke nader in de Najaarsnota nader is toegelicht. Rekening houdende met de in de Najaarsnota benoemde ontwikkelingen en mutaties is er naar verwachting sprake van een positief begrotingssaldo van € 590.000 positief. Naast het feit dat bovenstaande ontwikkelingen een directe impact hebben op de bedrijfsvoering en het saldo in 2022 hebben de ze ontwikkelingen tevens impact op (de waardering van) diverse balansposten in de jaarrekening 2022 en de begroting voor komende jaren. Wij vragen de gemeente, wellicht ten overvloede, om bij het opstellen van de jaarrekening 2022 extra rekening te houden met d e financiële doorvertaling van bovenstaande ontwikkelingen in de jaarrekening 2022.

Naar onze verwachting hebben deze onder and ere impact op de volgende (schattings)posten (niet limitatief):  Waardering grondexploitaties.  Onderbouwing voorzieningen.  Waardering debiteuren. DASHBOARD ONTWIKKELINGEN PROCESSEN 3 Onze controle (1/2) Onderkende risico’s:  Management override  EU-aanbestedingen  Waardering grex  ICT Wij beoordelen uw processen Inleiding Zoals afgelopen jaren aangegeven, nemen de eisen die worden gesteld aan de accountantscontrole toe. Wij vinden het daarom van groot belang dat wij inzicht geven in de normen en verwachtingen ten aanzien van onze controle en de vertaling hiervan specifiek vo or de gemeente Steenwijkerland. In deze boardletter hebben wij daarom in lijn met voorgaande jaren in detail uitgelegd op welke wij ze wij de controle hebben ingericht en welke afwegingen wij daarbij maken. Wij doen dat door in deze paragraaf onze risico -inschatting, belangrijkste processen, controleaanpak en afwegingen te beschrijven. Onze inschatting van de risico’s en belangrijkste processen In het kader van de controle van de jaarrekening 2022 en onze aanpak hebben wij een zogenaamde initiële risico -inschatting gemaakt.

Wij zien de volgende potentiële risico’s in de controle van de jaarrekening van de gemeente Steenwijkerland:  In onze controlestandaarden (NV COS) wordt expliciet het risico van management override (bewuste beïnvloeding door bestuur of management van de jaarcijfers) als belangrijk te onderkennen theoretisch risico benoemd. Als accountant moeten wij in onze werkzaamheden hier specifiek aandacht aan besteden. Wij zijn van mening dat binnen de gemeente de mogelijkheden, om buiten de getroffen interne beheersmaatregelen invloed uit te uitoefenen op de in de jaarrekening gepresenteerde uitkomsten, uitermate beperkt zijn. Om het resterende risico te beperken beoordelen wij schattingsprocessen en bijzondere journaalposten in detail.  Het niet naleven van de Europese aanbestedingsregels.  Onjuiste waardering bouwgronden in exploitatie (materiële post met verschillende schattingselementen).  De gevolgen van ongeautoriseerde handelingen in de IT -systemen. In onze aanpak is de insteek daar waar mogelijk te steunen op de interne beheersing in de significante processen van de gemeente Steenwijkerland. Dit noemen wij een zogenaamde systeemgerichte aanpak, waarbij wij kunnen steunen op toereikende maatregelen in uw processen en systemen. Daarbij maken wij, indien mogelijk, gebruik van uw eigen verbijzonderde interne cont role (VIC).

In het kader van onze controle hebben wij de volgende processen beoordeeld:  Het planning & Control-proces  Het inkoopproces (incl. aanbestedingen)  Het personeelsproces  Het proces beheersing gemeentefonds  Het proces treasury  Het proces inkomensoverdrachten  Het proces overige opbrengsten Natuurlijk zijn er meerdere processen te onderkennen, ook met financiële gevolgen. Deze zijn in het kader van de jaarrekening controle en onze risicoanalyse niet-significant en maken daarmee geen onderdeel uit van onze controlewerkzaamheden. DASHBOARD ONTWIKKELINGEN PROCESSEN 9  Het proces gemeentelijke belastingen  Het proces subsidieverstrekkingen  Het sociaal domein  Het proces uitkeringen in geld  Het proces grondexploitatie  Het proces omgevingsvergunningen  Het proces omtrent IT/automatisering  Het proces omtrent verbonden partijen 3 Onze controle (2/2) Eisen aan Interne beheersing Gemeente Steenwijkerland is actief bezig met verbetering Samenwerking met verbijzonderde interne controle verloopt goed Wij beoordelen de betrouwbaarheid en continuïteit IT voor zover relevant voor de controle van de jaarrekening De beheersorganisatie is in opzet goed Effectiviteit van de processen Zoals in voorgaande boardletters uitgebreid beschreven, kunnen wij bij de controleaanpak voor de gemeente Steenwijkerland, ov erigens net als bij veel andere overheidsorganisaties, nog niet in

zijn geheel kunnen steunen op de interne beheersing. Wij constateren echter dat de gemeente Steenwijkerland ook de afgelopen periode weer verdere stappen heeft gezet en actief st uurt op het oplossen van onze aanbevelingen voor uw processen en systemen. Dit vinden wij een goede zaak. Verbijzonderde Interne Controle De samenwerking tussen ons als accountant en de Verbijzonderde Interne Controle (VIC) verloopt goed. Wij zien dat uw VIC, alv orens over te gaan tot het uitvoeren van de testaantallen, zich ook richt op het vastleggen en actualiseren van de procesbeschrijvingen en het uitvoeren en documenteren van de omvattende lijncontroles per proces. Daarnaast stelt de VIC per proces een risicoanalyse op waarin tevens aandacht is voor frauderisico’s en zal de VIC 2022 gebruiken als pilotjaar voor de invoering van de rechtmatigheidsverantwoording (zie ho ofdstuk 2.2). IT-werkzaamheden en onze controlerende rol Ingevolge artikel 2:393, lid 4 BW, dient de accountant in zijn verslag aandacht te besteden aan de bevindingen die naar voren zijn gekomen uit de beoordeling van de automatiseringsomgeving wat betreft de betrouwbaarheid en continuïteit van de geautomatiseerde gegevensverwerking.

Wij benadrukken dat onze jaarrekeningcontrole gericht is op het geven van een oordeel omtrent de jaarrekening zelf en zich ni et primair richt op het doen van uitspraken omtrent de betrouwbaarheid en continuïteit van de geautomatiseerde gegevensverwerking als ge heel of van onderdelen daarvan. De IT-auditwerkzaamheden zijn geïntegreerd in de controleaanpak van de jaarrekening. Het inzicht in de betrouwbare werking van IT -systemen en applicaties en het gebruik daarvan door de organisatie, vormen een onde rdeel van de kwaliteit van de interne beheersing en de administratieve organisatie. Algemene IT -beheersmaatregelen rond uw kritieke system en leveren daarnaast een belangrijke bijdrage aan het mitigeren van de risico’s op onbeheerste wijzigingen, ongeautoriseerde han delingen en het optreden van verstoringen met impact op de gegevensverwerking. In het dashboard hebben wij ons oordeel over IT per proces weergegeven. Conclusie In het overzicht in het dashboard hebben wij weergegeven in hoeverre de processen voldoen aan de genoemde normen en welke belangrijkste verbeteringen per proces noodzakelijk zijn.

Op basis van onze uitgevoerde werkzaamheden komen wij op dit moment tot de conclusie dat de beheersorganisatie van gemeente Steenwijkerland (voor zover relevant voor de controle van de jaarrekening) i n opzet goed scoort, rekening houdend met de uitkomsten van de werkzaamheden van de VIC. Voor huidig boekjaar zijn in onze controleaanpak daarom conform voorgaand jaar systeem - en gegevensgerichte werkzaamheden opgenomen. Wij hebben voor de voorbereiding van deze werkzaamheden goede afspraken gemaakt met de werkorganisatie en kijken uit naar een goede samenwerking tijdens de eindejaarscontrole. 10 DASHBOARD ONTWIKKELINGEN PROCESSEN 11 bdo.nl