4.0 BDO - Boardletter gemeente Steenwijkerland 2019.pdf

10 januari 2020 10 januari 2020 Gemeente Steenwijkerland BOARDLETTER

Inhoudsopgave 1. DASHBOARD 2. ONTWIKKELINGEN & AANDACHTSPUNTEN 3. BEVINDINGEN SIGNIFICANTE PROCESSEN 4. IT-BEHEERSING 5. BEVINDINGEN INTERNE CONTROLE 1.1 Inleiding en Leeswijzer 1.2 Dashboard 1. Dashboard 4 1.1 Inleiding en leeswijzer Eerste boardletter BDO is anders dan u gewend bent Een procesgerichte aanpak met de intentie om uw interne beheer- sing te optimaliseren De betekenis van de score ‘groen’, ‘oranje’ en ‘rood’. Eisen accountants- controle en communicatie daarover Interne beheersing is niet altijd zichtbaar en de betekenis daarvan Inleiding Voor u ligt de eerste boardletter van BDO als de nieuwe accountant van de gemeente Steenwijkerland. Ten opzichte van wat u gewend was, is onze aanpak en wijze van rapporteren uitgebreider en heeft deze een andere insteek. Om die reden is het goed om vooraf onze intenties en het beeld van deze managementletter goed te duiden. Zoals in onze offerte aangegeven kiezen wij in de controle nadrukkelijk voor een proces- of systeemgerichte aanpak. Onze intentie daarbij is mogelijke risico’s in de processen te analyseren en u hierover te adviseren, met als doel uw interne beheersing te optimaliseren. Een logisch gevolg hiervan is dat in de rapportage met meer focus wordt ingegaan op de risico’s in de processen en het gevoerde IT Beheer voor zover relevant voor de financiële verslaggeving.

Daarbij scoren wij de beoordeelde processen al snel niet op ‘groen’, maar op ‘oranje’ (verbeterpunten) of ‘rood’ (voldoet niet of bevat meerdere verbeterpunten). Dit doen wij als beheersmaatregelen niet- of deels niet- optimaal zijn, niet het gehele jaar werken of niet afgedekt zijn in de systemen. Dat bent u wellicht niet gewend, maar onze ervaring met andere klanten is wel dat daarmee veel duidelijker wordt welke risico’s uw gemeente loopt en welke verbeteringen mogelijk zijn. Zoals ook in hoofdstuk 3 van deze managementletter uiteen gezet, hebben wij deze insteek eveneens gekozen omdat er de afgelopen jaren veel discussie is (geweest) over de eisen die worden gesteld aan de accountantscontrole. Indirect hebben de aangescherpte eisen aan de accountantscontrole (en de vastleggingen hieromtrent in ons dossier) ook gevolgen voor de verwachtingen die wij als accountant hebben van onze klanten. Dit leidt in onze controleaanpak en dienstverlening tot de fundamentele keuze of wij systeemgericht (waar mogelijk zoveel mogelijk gebruik makend van de interne beheersing in de processen) of gegevensgericht (achteraf door middel van uitgebreidere steekproeven en deelwaarnemingen) controleren en hier ook over rapporteren.

We vinden dat we daar transparant in moeten zijn.Uit het recente AFM rapport (14 november jl.) blijkt overigens dat wij als BDO in staat zijn geweest de door de toezichthouder gewenste kwaliteitsverbeteringen inmiddels in belangrijke mate te realiseren. Wij constateren dat uw gemeente, overigens net als veel andere overheidsorganisaties, de interne beheersing (nog) niet overalvolledig sluitend heeft ingeregeld. Dit betekent nadrukkelijk niet dat de gemeente Steenwijkerland onverantwoord grote risico’s loopt of dat we vastgesteld hebben dat er ‘van alles mis is’. Het betekent wel dat de interne beheersing of de controlemaatregelen niet altijd zichtbaar en aantoonbaar in de processen en systemen zit. Dit heeft in die situaties tot gevolg dat de interne / externe controle hier niet op kan steunen en daarmee is het risico ook groter dat fouten worden gemaakt die pas later geconstateerd worden. Graag gaan wij met de gemeente in gesprek over uw ambities inzake de verdere optimalisering van de interne beheersing. Komende jaren zullen wij dan onze controleaanpak en rapportage daarop aanpassen. Wij willen graag voorkomen dat de lat in onze controle-aanpak te hoog ligt / niet haalbaar lijkt en wij desondanks elk jaar hierover blijven rapporteren.

Deze afweging ten aanzien van uw ambitie ligt echter primair bij de gemeente Steenwijkerland, zowel in de organisatie, het college als de raad, ieder in haar eigen rol. 5 DASHBOARD AANDACHTSPUNTEN SIGNIFICANTE PROCESSEN INFORMATIEBEVEILIGING INTERNE CONTROLE  We hebben de effectiviteit van uw interne financiële processen beoordeeld, voor zover relevant voor de accountantscontrole.  Onze conclusie is dat de meeste processen in opzet voldoende of goed zijn.  Een verdere ontwikkeling die gemaakt kan worden is dat de borging binnen de procesgang wordt versterkt. Hiermee kunnen de verbijzonderde controles achteraf verminderen, dus een beweging van repressieve naar preventieve controlemaatregelen.  Wijzigingen in financiële verslaggeving (BBV) worden op de voet gevolgd en consequenties daarvan worden tijdig beoordeeld door gemeente Steenwijkerland.  Wij zijn positief over de wijze waarop u omgaat met uw (verbijzonderde) interne controle (VIC). Een sterk punt is dat per proces een gedegen risicoanalyse wordt opgesteld.  De gemeente Steenwijkerland heeft flink geïnvesteerd in de ontwikkeling van de VIC door o.a. actief samen te werken met drie andere gemeenten (‘SZMW’). De insteek hierbij is om hiermee verder te professionaliseren.  De VIC wordt gedegen uitgevoerd en de proces- beschrijvingen en onderliggende documentatie zijn goed gedocumenteerd.

 Per 1 januari 2020 zal de IGSD worden geliquideerd, waarbij een gedeelte van de taken weer door de gemeente zelf worden uitgevoerd. De gemeente heeft inmiddels een liquidatieplan vastgesteld.  Doelstelling is om de liquidatie te verwerken in de jaarstukken van de IGSD, waarmee de verplichting voor de gemeente volledig uit de jaarrekening van de IGSD moet gaan blijken.  Om een nadere invulling te geven aan het opdrachtgeverschap aan de accountant is het te overwegen om een auditcommissie in te stellen (zie paragraaf 2.4) . UW INTERNE BEHEERSING EFFECTIVITEIT VAN PROCESSEN GRAFISCH WEERGEGEVEN ONTWIKKELINGEN EN OVERIGE AANDACHTSPUNTEN VERBIJZONDERDE INTERNE CONTROLE VAN GOED NIVEAU BEVINDINGEN EN AANBEVELINGEN PER PROCES IT BEHEERSING NOG NIET OP GEWENST NIVEAU 1.2 Dashboard 6 DASHBOARD AANDACHTSPUNTEN SIGNIFICANTE PROCESSEN IT-BEHEERSING INTERNE CONTROLE  Uw interne beheersing wordt steeds sterker afhankelijk van de automatiseringsomgeving. Daarom is door ons specifiek aandacht besteed aan inrichting en uitvoering van de zogenaamde General IT Controls. Dit ziet toe op maatregelen ten aanzien van continuïteit, change management en wijzigingenbeheer.  Met name het wijzigingenbeheer (autorisatiebeheer en het wachtwoordbeleid) scoren nog een onvoldoende. Ook vragen de continuïteitsprocedures uw aandacht.

 Deze bevindingen maken dat een meer gedigitaliseerde accountantscontrole nog niet goed mogelijk is.  Planning & control: dit is op orde, echter een goede beheersing omtrent memoriaalboekingen ontbreekt.  Inkopen: naleving van inkoop- en aanbestedingsbeleid wordt in het proces niet afgedwongen.  Personeel: Er is sprake van onvoldoende zichtbare controles in dit proces.  Sociaal domein: er zijn enkele aandachtspunten benoemd  Subsidies: Er is sprake van onvoldoende zichtbare controles in het subsidieproces.  Opbrengsten verhuur: de volledigheid van deze opbrengsten is in de procesgang niet geborgd. 2.1 Diverse aandachtspunten 2.2 Aanbestedingsrechtmatigheid 2. Ontwikkelingen & Aandachtspunten 7 2.1 Diverse aandachtspunten Opheffing IGSD vraagt aandacht van de gemeente Controlerende taak van de gemeenteraad en opdrachtgeverschap aan de accountant Opheffing samenwerkingsverband ISGD De gemeenschappelijke regeling IGSD betreft een samenwerkingsverband tussen de gemeenten Steenwijkerland en Westerveld. Door deze gemeenschappelijke regeling wordt de taak met betrekking tot de Participatiewet uitgevoerd. Door de gemeenteraad is op 22 januari 2019 besloten om dit samenwerkingsverband per 1 januari 2020 te beëindigen. Hiervoor is reeds een liquidatieplan opgesteld. Vanaf 1 januari 2020 voert de gemeente Steenwijkerland zelfstandig de Participatiewet uit.

Ten aanzien van de uitkeringsverstrekking zal de gemeente zelf verantwoordelijk worden voor de administratievoering. Aandachtspunten met betrekking deze opheffing De verwachting is dat de opheffing van de IGSD beperkte financiële gevolgen zal hebben voor de jaarrekening 2019 van de gemeente. Wel brengt het zelfstandig uitvoeren van de participatiewet de nodige organisatorische vraagstukken met zich mee. En vanaf 2020 zal onze accountantscontrole uitgebreid worden op dit punt. Op voorhand zouden wij uw aandacht willen vragen voor de volgende zaken:  De gemeente dient zorg te dragen voor de migratie van de relevante administraties van de IGSD naar de gemeente Steenwijkerland. Wij verzoeken om deze overgang administratief goed te borgen en te documenteren.  De gemeente dient werkprocessen in te richten voor de nieuwe taak en zo nodig moeten systemen, verordeningen en mandaatregelingen worden aangepast.  Bij de verbijzonderde interne controle van uw gemeente zal dit werkproces vanaf 2020 ook worden meegenomen. De controlerende taak van de gemeenteraad Één van de taken van de gemeenteraad is de controlerende taak. Om de gemeenteraad in deze rol bij te staan dient de gemeenteraad een controlerende accountant aan te stellen. Het aanstellen van de accountant is een gezamenlijke verantwoordelijkheid van de raad, waarvan het opdrachtgeverschap in de Gemeentewet is geregeld.

Het is ons inziens daarom van belang dat de gemeenteraad ‘korte lijnen’heeft met de accountant. Wij geven u in overweging om door de gemeenteraad een auditcommissie in te laten stellen, danwel een andere variant waarin de gemeenteraad actief zijn controlerende taak kan vervullen. Het instellen van een auditcommissie draagt bij aan de controlerende taak van de gemeenteraad. Wij verwijzen daarbij ook naar het onderzoeken dat door de VNG is uitgevoerd genaamd ‘versterking opdrachtgeverschap van de raad bij de accountantscontrole’. Afhankelijk van de behoefte van de gemeenteraad kunnen de taken van de auditcommissie bijvoorbeeld bestaan uit:  Voorbereiden, selecteren en adviseren over de benoeming van een accountant;  Directe aanspreekpunt zijn voor de accountant;  Toezicht houden op de kwaliteit van de financiële rapportages;  Adviseren van de raad over allerlei financiële rapportages en financiële verordeningen;  Overleggen met het college over actuele financiële thema's (riskmanagement, weerstandsvermogen, e.d.) DASHBOARD AANDACHTSPUNTEN SIGNIFICANTE PROCESSEN IT-BEHEERSING INTERNE CONTROLE 8 2.1 Diverse aandachtspunten Verhoogde aandacht voor fraude en de rol van de accountant daarin De gemeente Steenwijkerland heeft een gemeentebrede risicoanalyse uitgevoerd waarbij ook aandacht is voor fraude aspecten Impact Programma Aanpak Stikstof problematiek Aandacht voor fraude en

corruptiepreventie en frauderisicoanalyse Overal waar mensen werken, kan een gelegenheid ontstaan tot het plegen van of meewerken aan fraude. Organisaties hebben daarbij de verantwoordelijkheid zichzelf en hun mensen hiervoor zoveel mogelijk te behoeden. Van de accountant wordt op grond van de regels van de Nederlands Beroepsorganisatie van Accountants (NBA) en het maatschappelijke verkeer een professioneel-kritische houding verwacht ten aanzien van afwijkingen van materieel belang als gevolg van fraude in de jaarrekening. Mede gezien recente fraudegevallenin de publieke sector hebben wij daar in toenemende mate aandacht voor. Het beheersen van frauderisico’s is uitsluitend mogelijk indien vooraf ook inzicht wordt verkregen en bewustwording is gecreëerd omtrent díe gebieden die gevoelig zijn voor bewuste manipulatie, oftewel fraude. Het onderkennen van dergelijke risico’s is een startpunt om díe interne beheersingsmaatregelen te kunnen invoeren die het risico op fraude zoveel als mogelijk beperken. Het college is primair verantwoordelijk voor het vermijden en ontdekken van fraude. Dat hier belang aan wordt gehecht bij uw gemeente blijkt onder andere uit een integriteitsregeling en gedragscodes. De gemeente Steenwijkerland beschikt daarnaast over een gemeentebrede risicoanalyse waarin per proces de belangrijkste procesrisico’s zijn onderkend.

Een uitgewerkte frauderisicoanalyse is van belang om inzichtelijk te krijgen waar de organisatie mogelijk deze risico’s loopt en hoe deze beheerst worden. De inschatting van frauderisico’s gebeurd veelal aan de hand van twee invalshoeken; 1. Het risico van onrechtmatige onttrekkingen van geld en/of goederen aan uw organisatie; 2. Het risico dat personen de financiële verslaggeving gebruiken om daar beter van te worden. Wij vinden het goed dat bij de gemeente Steenwijkerland aandacht is voor frauderisico’s. Wat in onze optiek nog beter kan is dat bijvoorbeeld jaarlijks het onderwerp frauderisico’s en preventie in het CMT en college worden geagendeerd en besproken. Ook is het van belang dat de maatregelen die in opzet aanwezig zijn om fraude te voorkomen ook in de praktijk worden gebracht; het is wenselijk dat dit periodiek te toetsen. U heeft dit voor het laatst in 2017 integraal beoordeeld. We hebben het college geadviseerd om in 2020 weer een uitgebreide fraude risico analyse uit te voeren en deze vervolgens jaarlijks te actualiseren bij het opstellen van het interne controleplan. Programma Aanpak Stikstof Op 29 mei 2019 oordeelde de Raad van State dat overheden het Programma Aanpak Stikstof (hierna: PAS) niet meer mogen gebruiken voor toestemming- en vergunningverlening.

Deze uitspraak heeft verschillende gevolgen voor zowel de toestemming- en vergunningverlening als voor activiteiten die met het PAS waren vrijgesteld van vergunningplicht. De rijksoverheid werkt nog aan een nieuwe aanpak voor de stikstofproblematiek. Voor uw gemeente kan het verbod op het PAS gevolgen hebben voor bijvoorbeeld de programmering en planning van de grondexploitatieprojecten maar ook op bijvoorbeeld wegenbouwprojecten. Het is daarom van belang op korte termijn onderzoek tedoen en een analyse en evaluatie op te stellen van de mogelijke inhoudelijke, planning technische en financiële gevolgen van de PAS- problematiek voor de grondexploitaties, wegenbouwprojecten en mogelijke andere activiteiten. DASHBOARD AANDACHTSPUNTEN SIGNIFICANTE PROCESSEN IT-BEHEERSING INTERNE CONTROLE 9 2.2 Aanbestedingsrechtmatigheid Landelijk blijkt dat circa 15% van de controleverklaringen 2018 ten aanzien van rechtmatigheid niet goedkeurend is als gevolg van onrechtmatige aanbestedingen Risicogerichte inkoopanalyse in lijn met de SDO-Notitie Toenemende aandacht voor aanbestedingsrechtmatigheid Uit de eigen gemeentebrede risicoanalyse van het college blijkt dat het niet naleven van de aanbestedingsregels als een relatief hoog risico wordt ingeschat. Dit strookt met het landelijke beeld, omdat uit de accountantscontrole bij gemeenten blijkt dat een punt is wat vaker mis gaat.

Landelijk blijkt dat circa 15% van de controleverklaringen 2018 (2017: 13%) ten aanzien van rechtmatigheid niet goedkeurend is als gevolg van onrechtmatige aanbestedingen. Er is dan ook in toenemende mate aandacht voor de borging van aanbestedingsrechtmatigheid bij gemeenten. Risicogerichte inkoopanalyse t.b.v. de rechtmatigheidscontrole Veelal blijkt dat het door de complexiteit van de aanbestedingswetgeving en de continue stroom aan jurisprudentie niet mogelijk is om de aanbestedingsrechtmatigheid te borgen in de reguliere administratieve organisatie en interne beheersing. In het kader van de jaarrekeningcontrole betekent dit dat er via controle achteraf vastgesteld dient te worden dat er geen onrechtmatige aanbestedingen hebben plaatsgevonden. Om gemeenten en accountants in de sector praktische handvaten te geven op het gebied van aanbestedingsrechtmatigheid heeft de NBA-Sectorcommissie Decentrale Overheden (SDO) de SDO-Notitie Uitvoering van de controle op aanbestedingsrechtmatigheid bij de jaarrekeningcontrole van decentrale overheden (Good practice, 17 januari 2019) uitgebracht.

Naast een beschrijving van de uit te voeren werkzaamheden bij een risicogerichte inkoopanalyse zijn in de notitie eveneens de volgende aandachtsgebieden benoemd:  Subsidies versus overheidsopdrachten  Publiek publieke samenwerking  Raamovereenkomsten  ICT-contracten  Inhuur personeel  Projectontwikkeling grondexploitatie en gebiedsontwikkeling  Onderhandelingspositie zonder aankondiging  Dynamisch aankoopsysteem  Openhouse / bestuurlijke aanbestedingen Wat kan er zoal mis gaan? Uit onze rechtmatigheidscontroles blijken de volgende punten regelmatig mis te gaan waardoor er onterecht niet Europees is aanbesteed:  Het onterecht opknippen van opdrachten (verdelen over meerdere leveranciers / langere periode).  Het ontbreken van een realistische raming (bijv. looptijd langer dan 4 jaar waarbij in de raming geen rekening is gehouden).  Het onjuist aanbesteden van samengestelde / gemengde opdrachten (bv. een combinatie van investering en onderhoudscontracten).  Een opdracht ten onrechte aanmerken als een quasi inbesteding.  Een opdracht ten onrechte aanmerken als een sociale / specifieke dienst (Bijlage 14 bij richtlijn 2014/24).  Een contract met een jaarlijks stilzwijgende verlengingsoptie niet aanmerken als een contract voor onbepaalde tijd.  Het verlengen van een contract zonder verlengingsoptie.

 Het onjuist omgaan met significante wijzigingen van een contract gedurende de looptijd. Bovenstaande aandachtspunten zijn met het college afgestemd en bij onze controle van de aanbestedingsrechtmatigheid zullen we bovenstaande zaken ook meenemen. DASHBOARD AANDACHTSPUNTEN SIGNIFICANTE PROCESSEN IT-BEHEERSING INTERNE CONTROLE 10 3.1 Onze transparante controle 3.2 Effectiviteit processen 3. Bevindingen processen 11 3.1 Onze transparante controle (1/2) Eisen aan accountantscontrole en onze rapportages Interne beheersing niet altijd voldoende / zichtbaar / aantoonbaar. Welke ambities heeft uw gemeente? Wij gaan graag het gesprek aan over uw ambities en de normen die gesteld kunnen worden aan uw interne beheersing Onze aanpak afhankelijk van uw ambitie en interne beheersing De afgelopen jaren is veel discussie (geweest) over de eisen die worden gesteld aan de accountantscontrole, wat direct en indirect ook gevolgen heeft voor de verwachtingen die wij als accountants hebben van onze klanten. Om inzicht te geven in de eisen die gesteld kunnen worden aan de interne beheersing (en externe controle) rapporteren wij hierover uitgebreid in onze managementletter en accountantsverslag. Een goede interne beheersing, maakt dat de risico’s voor de organisatie geringer zijn en de externe controle effectiever en efficiënter kan plaatsvinden.

Wij willen vanuit onze natuurlijke adviesfunctie bijdragen aan de verbetering van uw bedrijfsvoering, onder andere door middel van procesanalyses, factsheets, detailbevindingen/-aanbevelingen (voorzien van risico en impact), schema’s over de kwaliteit van de IT–beheersmaatregelen, ons beeld van de VIC, etc. Wij constateren bij de gemeente Steenwijkerland dat er veel aandacht is voor procesbeheersing en interne controles. De gemeente Steenwijkerland scoort daarbij in onze beleving beter dan de ‘gemiddelde gemeente’. Wat ons wel opvalt is dat interne beheersing in de reguliere procesgang niet altijd zichtbaar aanwezig is. Dit wordt gecompenseerd doordat achteraf met verbijzondere controles achteraf alsnog wordt getoetst dat de procesgang juist is verlopen en dat de verantwoording daarover getrouw en rechtmatig is geweest.In onze visie zou de norm moeten zijn dat alle (significante) processen in opzet, bestaan en werking (inclusief IT) gedurende het gehele jaar goed werken en dat dit wordt getoetst door uw VIC. Die norm kan er toe leiden dat u beter in control raakt en waardoor eventuele risico’s eerder gesignaleerd worden. Wij gaan daarom graag met u in gesprek over deze ambities, zodat wij onze controleaanpak daarop aan kunnen passen.

Deze afwegingten aanzien van uw ambitie ligt echter primair bij de gemeente, zowel in de organisatie, het college als raad, ieder in haar eigen rol. Het college heeft aangegeven dat dit een actueel onderwerp van gesprek binnen het CMT is waarin ook de ambities op het gebied vanIT worden meegenomen. Belangrijke vragen de ambities van de gemeente ten aanzien van de bedrijfsvoering zijn:  Heeft u de ambitie om de interne beheersing (inclusief IT-maatregelen) naar bovengenoemd niveau te ontwikkelen (willen)?  Bent u als organisatie / gemeente in staat dit gewenste niveau te bereiken, rekening houdend met uw omvang en specifieke situatie (kunnen)?  Vindt u het risico acceptabel dat de interne en externe controle vooral gericht is op controles achteraf (risico’s)?  Op welke termijn denkt u dat de interne beheersing wel op niveau kan zijn en is daar een plan voor?  Bent u bereid te investeren in uw bedrijfsvoering (risico versus doelmatigheid)?  Wat is uw visie op deze aspecten in relatie tot de afschaffing van de rechtmatigheidsverklaring?  Wat verwacht u van onze dienstverlening en rapportages in relatie tot bovenstaande keuzes? Wij stellen voor dat de gemeente Steenwijkerland de afwegingen en ambities zo SMART mogelijk vastlegt in bijvoorbeeld een interne controleplan. Wij zullen vervolgens onze aanpak hierop afstemmen.

Wij maken daarbij onderscheid tussen een proces– of systeemgerichte aanpak versus een gegevensgerichte aanpak. In het vervolg gaan wij daar kort op in. 12 DASHBOARD AANDACHTSPUNTEN SIGNIFICANTE PROCESSEN IT-BEHEERSING INTERNE CONTROLE 3.1 Onze transparante controle (2/2) Per proces toetsen:  AO/IB  IT-maatregelen  VIC Uitwerking controlestrategie per proces In onze aanpak is de insteek, daar waar mogelijk te steunen op de interne beheersing in de significante processen van de gemeente. Daarbij maken wij, indien mogelijk, gebruik van uw eigen verbijzonderde interne controle (VIC). Voor elk proces beoordelen wij de volgende onderdelen:  AO/IB: Is sprake van een actueel en toereikend procesbeschrijving met voldoende beheersmaatregelen?  IT-maatregelen: Zijn in en rondom het systeem voldoende waarborgen getroffen t.a.v. de betrouwbaarheid van de gegevensverwerking?  VIC: Heeft de VIC de interne beheersmaatregelen getoetst en kunnen wij daar gebruik van maken? Indien al deze vragen positief kunnen worden beantwoord, is de organisatie optimaal in control en kunnen ook wij gebruik maken van uw eigen interne beheersing. De vaak tijdrovende en gedetailleerde gegevensgerichte werkzaamheden (die ook nog eens achteraf plaatsvinden), kunnen dan beperkt blijven tot een minimum.

Samenvatting effectiviteit van de processen In de overzichten op de volgende pagina’s geven wij weer in hoeverre de processen voldoen aan de genoemde normen (zie ook hoofdstuk 4 t.a.v. IT-omgeving) en welke detailbevindingen wij per proces hebben geconstateerd. Op basis van onze uitgevoerde werkzaamheden komen wij op dit moment tot de conclusie dat de beheersorganisatie van de gemeente (voor zover relevant voor de controle van de jaarrekening) in opzet voldoende scoort, rekening houdend met de uitkomsten van de werkzaamheden van de VIC. Omdat de AO/IB en IT General Controls niet altijd goed zijn opgezet of goed werken, kunnen wij voorwat betreft de insteek van onze controle nog niet altijd op de processen steunen. 13 DASHBOARD AANDACHTSPUNTEN SIGNIFICANTE PROCESSEN IT-BEHEERSING INTERNE CONTROLE 3.2 Effectiviteit processen 14 DASHBOARD AANDACHTSPUNTEN SIGNIFICANTE PROCESSEN IT-BEHEERSING INTERNE CONTROLE PROCES OPZET AO/IB WERKING AO/IB VIC CONCLUSIE T.A.V. DE CONTROLEAANPAK Planning & Control n.v.t. Er is sprake van een adequaat functionerende planning & control cyclus, echter een goede beheersing omtrent memoriaal-boekingen ontbreekt. Inkopen & Aanbestedingen n.v.t. In de procesgang wordt nog onvoldoende afgedwongen dat alle inkopen voldoen aan de vereisten van het inkoop-, en aanbestedingsbeleid. Personeel n.v.t.

Er is sprake van onvoldoende zichtbare controles in het personeelsproces. Participatiewet n.v.t. Dit proces is uitbesteed. Met de uitvoeringsorganisaties zijn goede afspraken gemaakt omtrent verantwoording en controle. Sociaal Domein n.v.t. Voor wat betreft Sociaal Domein is de gemeente gestructureerd bezig met de beheersing van de verschillende stromen. Ten behoeve van de interne beheersing zijn enkele aandachtspunten benoemd Subsidies n.v.t. Er is sprake van onvoldoende zichtbare controles in het subsidieproces. Belastingen n.v.t. Er is sprake van een adequaat ingeregeld proces met betrekking tot de belastingopbrengsten. Ter verbetering van de interne procesgang zijn enkele aandachtspunten benoemd. Grondexploitatie n.v.t. Er is sprake van een adequaat ingeregeld proces met betrekking tot de grondexploitaties. Ter verbetering van de interne procesgang zijn enkele aandachtspunten benoemd. Verhuur n.v.t. Volledigheid opbrengsten uit verhuur niet gewaarborgd. Omgevingsvergunningen n.v.t. Het proces met betrekking tot de omgevingsvergunningen voldoet aan de eraan te stellen eisen. Verbonden partijen n.v.t. n.v.t. Het proces met betrekking tot beheersing van verbonden partijen voldoet aan de eraan te stellen eisen. ICT/automatisering n.v.t. n.v.t. Ten aanzien van ICT zijn belangrijke aandachtspunten gesignaleerd (zie hoofdstuk 4).

Proces is ontoereikend, meerdere bevindingen en aanbevelingen. Proces is toereikend, één of enkele aanbevelingen resteren. Proces is adequaat, enkel aanbevelingen ter verdere optimalisatie. 4.1 IT-beheersing 4.2 Bevindingen IT-beheersing | KEY2FINANCIËN – MOTION PRO – WMO NED 4. IT-beheersing 15 4.1 IT-beheersing Wij beoordelen de betrouwbaarheid en continuïteit IT voor zover relevant voor de controle van de jaarrekening Beoordeelde systemen:  Key2Financiën  Motion Pro  WMO Ned Nog diverse aandachtspunten IT-werkzaamheden en onze controlerende rol Ingevolge artikel 2:393, lid 4 BW, dient de accountant in zijn verslag aandacht te besteden aan de bevindingen die naar voren zijn gekomen uit de beoordeling van de automatiseringsomgeving wat betreft de betrouwbaarheid en continuïteit van de geautomatiseerde gegevensverwerking. Wij benadrukken dat onze jaarrekeningcontrole gericht is op het geven van een oordeel omtrent de jaarrekening zelf en zich niet primair richt op het doen van uitspraken omtrent de betrouwbaarheid en continuïteit van de geautomatiseerde gegevensverwerking als geheel of van onderdelen daarvan. De IT-auditwerkzaamheden zijn geïntegreerd in de controleaanpak van de jaarrekening.

Het inzicht in de betrouwbare werking van ICT-systemen en applicaties en het gebruik daarvan door de organisatie, vormen een onderdeel van de kwaliteit van de interne beheersing en de administratieve organisatie. Algemene IT-beheersmaatregelen rond uw kritieke systemen leveren daarnaast een belangrijke bijdrage aan het mitigeren van de risico’s op onbeheerste wijzigingen, ongeautoriseerde handelingen en het optreden van verstoringen met impact op de gegevensverwerking. De bevindingen zoals gerapporteerd in deze management letter zijn gericht geweest op het beoordelen van de opzet en het vaststellen van het bestaan van algemene IT-beheersmaatregelen. Wij hebben in samenwerking met onze IT-auditors een aantal van deze maatregelen beoordeeld voor Key2Financiën, Motion Pro en WMONed. Dit om de impact van de risico’s van onbeheerste wijzigingen, ongeautoriseerde handelingen en verstoringen te kunnen vaststellen voor die systemen die gekoppeld zijn aan de voor ons relevantie processen en posten. Uit deze beoordeling blijken nog diverse aandachtspunten op het gebied van autorisatiebeheer, toepassen wachtwoordbeleid, wijzigingen beheer en getroffen continuïteitsmaatregelen. Op al deze getoetste aandachtspunten is de conclusie dat de beheersing ontoereikend is. Met het college en met de betrokken medewerkers is besproken wat er moet gebeuren om dit te verbeteren.

Omdat op dit moment de intern getroffen algemene IT-beheersmaatregelen rondom de applicaties in scope niet voldoende aanwezig zijn, zijn in het kader van de controle van de jaarrekening 2019 aanvullende (gegevensgerichte) werkzaamheden noodzakelijk om aan te tonen dat er zich geen risico’s of fouten hebben voorgedaan. DASHBOARD AANDACHTSPUNTEN SIGNIFICANTE PROCESSEN IT-BEHEERSING INTERNE CONTROLE 16 4.2 Actuele IT- ontwikkelingen en onze natuurlijke adviesrol IT en onze natuurlijke adviesrol Eén uniform kader voor informatiebeveiliging Focus op risico- afwegingen en management Uitdagingen IT-werkzaamheden en onze natuurlijke adviesrol Vanuit onze natuurlijke adviesrol willen wij u attenderen op een aantal ontwikkelingen op het gebied van IT. Deze ontwikkelingen zijn niet altijd direct gerelateerd aan onze controle van de jaarrekening, maar wel van belang voor uw bedrijfsvoering. Wij schetsen de ontwikkelingen op hoofdlijnen met als doel u te attenderen op deze ontwikkelingen. Dat betekent ook dat wij geen uitgebreid onderzoek hebben uitgevoerd naar deze onderwerpen of ze specifiek hebben gemaakt voor uw organisatie.

Baseline Informatiebeveiliging Overheid In het afgelopen jaar hebben diverse ontwikkelingen plaatsgevonden waaronder de aangescherpte privacywetgeving, de toenemende behoefte om informatie via internet uit te wisselen alsook de ontwikkelingen op het gebied van Internet of Things, Cloud, Smart Cities en een verhoogde (digitale) interactie met burgers. Deze ontwikkelingen hebben ertoe geleid dat overheidsinstanties strengere eisen moeten stellen aan informatiebeveiliging. Het hebben van een adequate informatiebeveiliging is geen vrijblijvendheid meer, maar een harde noodzaak. Daarom dienen vanaf 1 januari 2020 alle overheidsinstanties de benodigde voorzieningen te hebben getroffen om te voldoen aan de nieuwe vereisten van Baseline Informatiebeveiliging Overheid (BIO). Met de komst van de BIO zullen de bestaande baselines voor gemeenten, provincies, waterschappen en het rijk worden vervangen en zal een actueel en uniform normenkader geïntegreerd worden binnen de gehele overheid. De baseline zorgt voor één gezamenlijk en eenduidig normenkader binnen de gehele overheid gebaseerd op de internationaal erkende en actuele ISO-normatiek (ISO 27001:2017). In het BIO-normenkader zullen risicoafwegingen en risicomanagement de basis vormen voor de manier en diepgang van de invulling van informatiebeveiliging voor overheidsorganisaties en hun onderlinge ketensamenwerking.

Daarnaast vereist de BIO een expliciete betrokkenheid en verantwoordelijkheid van het lijnmanagement voor het implementeren en monitoren van informatiebeveiliging. Een aantal belangrijke stappen om de BIO te implementeren zijn:  Het uitvoeren van een nulmeting (gap-analyse) waarin zowel de implementatie van de huidige baseline als de te ondernemen stappen voor de BIO in kaart worden gebracht;  Het trainen van het lijnmanagement door middel van bijvoorbeeld workshops, om een risico gestuurde aanpak (omtrent informatie- beveiliging) te integreren in de bedrijfsvoering en bewustwording omtrent verantwoordelijkheden van informatiebeveiliging te creëren;  Het uitvoeren van een security scan voor het bepalen van de vereiste maatregelen per proces;  Het implementeren van de beheersingsmaatregelen die op basis van deze security scan zijn bepaald;  Het uitvoeren van een BIO-audit om te bepalen in hoeverre uw organisatie voldoet aan de BIO vereisten. DASHBOARD AANDACHTSPUNTEN SIGNIFICANTE PROCESSEN IT-BEHEERSING 17 INTERNE CONTROLE 5. Verbijzonderde interne controle 18 5 Verbijzonderde interne controle Met ingang van verslagjaar 2021 moet het college een (onderbouwde) mededeling doen omtrent rechtmatig handelen Mededeling door college vraagt om aanscherpingen in de interne beheersing t.a.v.

rechtmatigheid Vernieuwing accountantscontrole - rechtmatigheidsverklaring college In het VNG-rapport ‘Vernieuwing accountantscontrole gemeenten’ (juli 2015) is benadrukt dat het college primair verantwoordelijkis voor de naleving van wet- en regelgeving en dat de gemeenteraad verantwoordelijk is voor het toezicht hierop. In de huidige situatie,waarin de accountant een rechtmatigheidsverklaring verstrekt, lijkt de verantwoordelijkheid bij de accountant te liggen of lijkt het erop dat het college zich moet verantwoorden aan de accountant. Om daar verandering in aan te brengen heeft commissie Depla de aanbevelinggedaan dat het college een rechtmatigheidsverklaring opneemt in de jaarrekening. In de mei-circulaire 2018 van het gemeentefonds (paragraaf 5.10) is aangegeven dat dit naar verwachting met ingang van verslagjaar 2021 zal worden ingevoerd. Belangrijk argument om de bedoelde vernieuwing door te voeren is het democratisch proces. Het college is immers uiteindelijk verantwoordelijk voor de naleving van de wet- en regelgeving en dan is het zinvol de discussie over de rechtmatigheid hiervan telaten plaatsvinden tussen college enerzijds en gemeenteraad anderzijds. Het ministerie wil dit najaar starten met een pilot. Mede afhankelijk van de resultaten van de pilot wordt besloten of en op welke wijze de rechtmatigheidsverantwoording zal worden ingevoerd.

Het ministerie van Binnenlandse Zaken zal de commissie BBV, de VNG, het IPO en de NBA betrekken in de nadere uitwerking van deze verplichting. Om deze verplichting te kunnen invoeren moet de Gemeentewet, het Besluit Accountantscontrole Decentrale Overheden (BADO), de Kadernota rechtmatigheid, etc. nog worden aangepast. Uitgaande van de invoeringsdatum 2021, betekent dit dat er nog ruim één jaar is om dit voor te bereiden. Dat betekent ook dat voor wat betreft de accountantscontrole de rechtmatigheidscontrole nog tenminste tot het boekjaar 2021 in scope zal zijn. De wijziging in de verantwoordelijkheden ten aanzien van rechtmatigheid betekent niet dat er minder rechtmatigheidscontroles moeten worden uitgevoerd, maar dat het college deze zelfstandig/intern moet inrichten, uitvoeren, controleren en rapporteren. In feite wordt de verklaring van het college daarmee een zogenaamde In Control Statement (ICS) ten aanzien van rechtmatigheid. Als accountant zullen wij die werkzaamheden vervolgens toetsen, teneinde te kunnen controleren en verklaren dat de rechtmatigheidsverklaring van het college een getrouw beeld geeft. Wij denken graag met u mee over de opzet van een projectplan gericht op de invoering van deze In Control Statement/ rechtmatigheidsverklaring, mede in relatie tot de Verbijzonderde Interne Controle (VIC) bij de gemeente Steenwijkerland.

DASHBOARD AANDACHTSPUNTEN SIGNIFICANTE PROCESSEN IT-BEHEERSING INTERNE CONTROLE 19