Raadsbrief Boardletter 2022 gemeente Stichtse Vecht.pdf

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 www.stichtsevecht.nl info@stichtsevecht.nl

Team

Raad van de gemeente Stichtse Vecht

Financiën en Control Behandeld door Sandra van den Wildenberg Direct nummer 0346254194 E-mail sandra.van.den.wildenberg@stichtsevecht.nl

Datum 15 februari 2022 Onderwerp

Ons kenmerk

Interim Controle accountant 2022 Bijlage(n)

Zaak 232651 Uw kenmerk

1.

Boardletter 2022 Bij beantwoording graag ons kenmerk en datum vermelden.

Geachte raadsleden, De accountant Publieke Sector Accountants (PSA) heeft in december 2022 als voorbereiding op de jaarrekeningcontrole 2022 de jaarlijkse interimcontrole uitgevoerd. De interimcontrole is primair gericht op de interne beheersingsomgeving van de gemeente voor zover deze relevant is voor de getrouwheid en rechtmatigheid van de jaarrekening. De accountant heeft zijn bevindingen en aanbevelingen naar aanleiding van de interimcontrole op hoofdlijnen weergegeven in de Boardletter 2022. In deze brief reageert het college op de belangrijkste bevindingen en adviezen van de accountant uit de Boardletter. Bevindingen en adviezen 2022 De belangrijkste bevindingen en adviezen die de accountant in de Boardletter 2022 benoemt, betreffen: 1. Interne beheersomgeving Organisatieontwikkeling heeft impact op de voortgang van de noodzakelijke verbetering van de interne beheersing  De accountant ziet dat er in 2022 veel tijd is gestoken in belangrijke thema’s. De accountant constateert dat met name veroorzaakt door druk op de personele capaciteit, er in de breedte soms onvoldoende tijd is om de verbetering van de primaire processen en de aanbevelingen vanuit de verbijzonderde interne controle en vanuit de accountantscontrole snel op te pakken.

Dit heeft tot gevolg dat de organisatie niet tijdig kan bijsturen en dat daardoor het proces van jaarafsluiting en het opstellen van de jaarrekening een langdurig en kostbaar ad hoc proces is, waar nog veel achteraf uitgezocht en gecorrigeerd moet worden.  Verder blijft de accountant benadrukken, dat het een belangrijk aandachtspunt is, om het samenspel tussen de eerste, tweede en derde lijn te verbeteren en tijd en energie te blijven steken in de ontwikkeling van medewerkers en een breed gedragen kwaliteitsgerichte cultuur waarbij medewerkers elkaar ook coachen. Zij verwijzen hiervoor ook naar hetgeen zij in de Managementletter 2021 hebben gerapporteerd. Reactie We realiseren ons heel goed dat verandering tijd kost. In 2022 heeft het nieuwe college het fundament op orde opgenomen als ambitie in het coalitieakkoord. Hiervoor zijn twee programma's gestart: 'Een betrokken en professionele ambtelijke organisatie' en 'Een begroting gericht op de toekomst'. Door Hiemstra & de Vries is een second opinion uitgevoerd op de doorontwikkeling

Pagina 1 van 6

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 www.stichtsevecht.nl

(rapport september 2022). De onderzoekers zien goede initiatieven en betrokkenheid en constateren dat er tijd nodig is om effect te zien. Wel constateren de onderzoekers dat er een sterke behoefte is aan visie, prioriteiten, een bestendige gedragslijn en het vooral het niet toevoegen van nieuwe organisatiewijzigingen of -richtingen. In lijn met de adviezen is in 2022 een organisatievisie vastgesteld en zijn prioriteiten gesteld op bestuurlijke ambities (beleidsbegroting 2023) en op strategische organisatie doelen. Het professionaliseren van de organisatie is een weg van kleine stappen. We zien dat een opgaande lijn zich inzet. Zo is een verbeterplan Financiën en control vastgesteld en zijn voorbereidingen getroffen om de managementinformatie in 2023 te verbeteren (periodieke budget- en loonsomrapportages zijn ontwikkeld in 2022). Daarmee zetten we eerste stappen in verbeteringen in de 2e lijn (managementinformatie), waardoor in 2023 afwijkingen eerder worden gesignaleerd en gecorrigeerd en de organisatie eerder kan bijsturen. We verwachten dat dit ook zal bijdragen aan een soepeler jaarrekeningproces voor de jaarrekening 2023. Door minder foutenherstel achteraf zal dan meer tijd overblijven om andere verbeteringen op te pakken in de loop van 2023 of in 2024.

Deze route, die we bewust kiezen, heeft wel tot gevolg dat we op andere adviezen vanuit de accountant en verbijzonderde interne controle op korte termijn nog minder voortgang zien. Door nu te focussen op de belangrijkste thema’s en daarop resultaten te realiseren verwachten we in een latere fase versnelling op andere thema’s. Aandacht voor fraudepreventie en -beheersing en communicatie met bestuur Een andere aanbeveling die de accountant doet ter verbetering van de interne beheeromgeving is het opstellen van een frauderisico-analyse, deze regelmatig te actualiseren en periodiek te bespreken met de auditcommissie. De accountant merkt op dat het eerdere advies hierover in 2020 en 2021 nog geen progressie laat zien. Reactie Eind 2022 is de opdracht verstrekt om te komen tot een integrale frauderisicoanalyse en beheersmaatregelen. In het eerste kwartaal 2023 starten we en de planning is de analyse in het 2e kwartaal 2023 in de directie te bespreken. De uitkomsten zullen daarna worden besproken in het college en ook worden gedeeld met de auditcommissie. Rapportage “Aanbevelingen en aandachtspunten accountant en VIC” De accountant adviseert monitoring en follow-up van alle controlebevindingen (dus uit interne en externe controles) en vindt het van belang de voortgang van de opvolging van belangrijke adviezen regelmatig op de agenda van de auditcommissie te zetten.

Pagina 2 van 6

definitieve versie 15-02-2023/WSvd2

IT-omgeving De accountant adviseert ten aanzien van de IT-omgeving:  om jaarlijks intern op de generieke IT controls uit te voeren en de primaire processen op deze onderdelen verder te versterken met het plan-do-check-act principe.  de relevante IT-controls minimaal jaarlijks, als onderdeel van de interne controle, te laten toetsen. Dat kan mogelijk door uw adviseurs AO/IC of door een externe IT-auditor  op korte termijn door te pakken op het aanpassen van beleid en procedures met betrekking IT in het kader van de Baseline informatiebeveiliging Overheid (BIO) om zo, in opzet, de risico’s te verminderen.  om voldoende aandacht te hebben en houden voor de controleerbaarheid van IT-processen welke zijn uitbesteed. Het is van belang dat de gemeente inzicht heeft of de dienstverlening door de leverancier is geborgd.

Bijlage 4. Raadsbrief Boardletter 2022

Reactie De wijze waarop we de voortgang monitoren zal begin 2023 verder worden ingevuld (o.a. door periodieke gesprekken gemeentesecretaris met directeuren). Ook zullen we hierover afspraken maken met de auditcommissie. Voor de prioritering die we kiezen, verwijzen we naar de reactie bij organisatieontwikkeling hiervoor.

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 www.stichtsevecht.nl

   

een eenduidige procedure voor toegangsbeveiliging te implementeren waarbij de rechten voor de active directory net als de kritische applicaties minimaal per kwartaal worden getoetst en waarbij een controleverslag wordt opgesteld. voor alle kritische applicaties, vanuit beveiligingsoogpunt en het risico op ongeautoriseerde handelingen in het systeem, over te gaan op single sign-on. om wijzigingenbeheer mee te nemen in het toekomstige beleid en procedures. de maatregelen uit het continuïteitsplan minimaal jaarlijks te testen. Een belangrijk aspect hiervan is onder andere het toetsen van de back-up en het terugzetten van de back-up middels een restoretest. Wanneer er issues optreden met de restoretest kan er namelijk dataverlies optreden.

Reactie Wij volgen de adviezen ten aanzien van de IT-omgeving van de accountant op. De IT-audit moet opgenomen worden in de planning om jaarlijks uit te laten voeren. We nemen deze op in onze cyclus van controles, zoals ook de pentest bijvoorbeeld. Op deze manier borgen we deze controls. Met betrekking tot het advies BIO zal een risico analyse / GAP analyse in 2023 opgenomen worden in de jaarlijkse planning. Over de uitbestede dienstverlening zijn we uitvoerig in gesprek met onze leveranciers. We hebben rapportages over 2022 opgevraagd, deze komen in 2023-Q1 beschikbaar voor ons. In 2023 willen we beleid logische toegangsbebeveiliging en een periodieke controle van het autorisatieproces (Instroom, Doorstroom en Uitstroom) en de Active Directory opstellen en vaststellen. Dit proces moet geborgd worden in de organisatie. Bij nieuwe aanbestedingen wordt single sign-on als eis gesteld. Voordat we de maatregelen uit het continuïteitsplan jaarlijks kunnen testen moet het back-up en recovery beleid vastgesteld en geborgd worden in de organisatie. Hier zijn we mee bezig. Vervolgens moet dit net zoals de uitwijktest jaarlijks getest worden.

2. Aanbevelingen processen Naast bevindingen en adviezen op het niveau van de interne beheersomgeving als geheel heeft de accountant ook bevindingen en aanbevelingen gedaan op procesniveau. Wij nemen deze aanbevelingen over. Onderstaand gaan wij op deze aanbevelingen nader in.

Pagina 3 van 6

definitieve versie 15-02-2023/WSvd3

Reactie Zoals eerder aangegeven, vraagt het ondervangen van rechtmatigheidsfouten in de aanbestedingen een meerjarige exercitie. Omdat contracten voor meerdere jaren worden afgesloten, processen moeten worden aangepast en ook het aantal contracten maakt dat dit tijd vergt. Vanuit de

Bijlage 4. Raadsbrief Boardletter 2022

Inkoop en aanbestedingsproces  Europese aanbestedingen In 2020 en 2021 heeft de accountant een afkeurende controleverklaring voor rechtmatigheid afgegeven (onder meer) vanwege het niet naleven van Europese aanbestedingsregels. In 2021 was er sprake van een rechtmatigheidsfout van € 9.086.000 als gevolg van het niet naleven van Europese aanbestedingsregels. Tot en met het tweede kwartaal 2022 is wederom een interne analyse uitgevoerd op de gehele populatie inkopen in relatie tot het risico dat (doorlopende) inkopen onterecht niet Europees zijn aanbesteed. Uit deze (interne) controlewerkzaamheden blijkt dat over het eerste halfjaar een bedrag van ongeveer € 5,2 miljoen niet rechtmatig is. Hiermee wordt de grens voor een afkeurende controleverklaring op rechtmatigheid (driemaal de materialiteit) al overschreden. De verwachting is dat deze grens nog verder overschreden zal worden richting het eind van het jaar, zodat ook voor 2022 een afkeurend oordeel voor rechtmatigheid gegeven zal worden. De accountant geeft hierbij aan dat het is goed om te zien dat de gemeente bewust aan de slag is met de uitdagingen die op dit gebied op uw pad liggen. En dat de eerste stappen gezet zijn en leiden al tot meer grip op de inkoopfunctie, meer inzicht in de omvang van de toekomstige inkoopbehoefte en daardoor tijdigere en meer accurate signalering om aanbestedingstrajecten op te starten.

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 www.stichtsevecht.nl

dóórontwikkeling van de organisatie wordt hier nadrukkelijk op ingezet. De organisatie heeft adviezen overgenomen en is intensief bezig om grote doorlopende financieel onrechtmatige contracten, die uit de spendanalyse blijken, te beëindigen en/ of dat deze met voorrang worden opgepakt bij de prioritering van de inkoopbehoefte. Met de eerste concrete opvolging dat er geen opdrachten meer weggezet worden bij oude contractpartners terwijl er al een nieuwe (EU) aanbesteding is gedaan. Naast de spendanalyse wordt er een inkoopagenda opgesteld om inzicht te krijgen in toekomstige inkoopbehoefte en daardoor tijdigere en meer accurate signalering om aanbestedingstrajecten op te starten.  Prestatielevering en verplichtingenadministratie Vorig jaar is aangegeven dat in de eerste helft van 2022 opvolging gegeven zou worden aan het advies van de accountant om de vastlegging van de prestatielevering te verbeteren en daar richtlijnen voor op te stellen. Echter hierin is een vertraging opgetreden, die samen hangt samen met een totale evaluatie en herstructurering van het inkoopproces en van de financiële processen.

De vastlegging van de prestatielevering maakt, onderdeel uit van de herstructurering en procesbeschrijving van het inkoopproces 'van bestellen tot betalen' en zal ook betrokken worden bij de aanbesteding van het nieuwe financieel systeem, dat per 1 januari 2024 operationeel moet zijn. Het vastleggen van een verplichting maakt eveneens onderdeel hiervan uit.  Crediteurenstamgegevens De bevinding van de accountant in de Boardletter 2021 is opgevolgd en de vastlegging van de correspondentie van de verificatie van een wijziging van het rekeningnummer vindt plaats in een aparte mailbox binnen de financiële administratie. Desalniettemin blijft dit een nadrukkelijk aandachtspunt. De accountant adviseert daarbij om de applicatiebeheerder geen onderdeel te laten zijn van de gebruikersorganisatie. Hieraan kan niet voldaan worden maar de werkzaamheden van de applicatiebeheerder zullen afgestemd worden op de bevoegdheden. En we zullen een steekproef te doen op de logging en het advies opvolgen om een zichtbare interne controle op de aangebrachte wijzigingen plaatsvinden.

Pagina 4 van 6

definitieve versie 15-02-2023/WSvd4

Reactie Wij volgen de adviezen van de accountant op. De doorontwikkeling van de VIC zal aansluiten op de ontwikkelingen in de 1e en 2e lijn. De organisatieontwikkeling vergt tijd en is een route van kleine stapjes (zie reactie hiervoor op organisatieontwikkeling). In 2022 is een stijgende lijn ingezet.

Bijlage 4. Raadsbrief Boardletter 2022

Aanscherping vastlegging controles op identificatie Sociaal Domein De accountant heeft geconstateerd dat ondanks de inspanning, die is verricht naar aanleiding van de bevinding van vorig jaar, er nog steeds geen consistente vastlegging plaatsvindt in het dossier van de uitgevoerde verplichte identificatie bij de intakegesprekken in het sociaal domein. Hiervoor zal opnieuw aandacht worden gevraagd en eventuele aanpassingen in het proces worden gedaan. Rechtmatigheidsverantwoording wordt ingevoerd in 2023 De gemeente moet over boekjaar 2023 geheel zelfstandig de 3 rechtmatigheidscriteria (het begrotingscriterium, het M&O-criterium en het voorwaardencriterium) afdekken zodat de accountant door goede afspraken aan de voorkant kan volstaan met een marginale review achteraf. Het college legt verantwoording af over de naleving van geldende wet- en regelgeving bij de totstandkoming van de baten, lasten en balansmutaties in de jaarrekening. De controleverklaring van de accountant bevat vanaf dat moment alleen een oordeel inzake de getrouwheid van de jaarrekening. Hiervoor dienen we vroeg in het jaar met elkaar in gesprek zijn. De accountant geeft aan dat een actieve betrokkenheid bij de uitvoering van het intern controleplan van de 1e en 2e lijn echt noodzakelijk is. En adviseert intern goede afspraken hierover te maken en te zorgen dat deze nagekomen worden.

Voor het verder vormgeven van de invulling van de rol van verschillende actoren binnen de gemeente adviseert de accountant kennis te nemen van de kadernota rechtmatigheid 2023. Bij het voorwaardecriterium adviseert de accountant vooralsnog voor de minimumvariant (recht, hoogte en duur) te blijven gaan.

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 www.stichtsevecht.nl

3. Rechtmatigheidsverantwoording wordt ingevoerd in 2023 De gemeente moet over boekjaar 2023 geheel zelfstandig de 3 rechtmatigheidscriteria (het begrotingscriterium, het M&O-criterium en het voorwaardencriterium) afdekken zodat de accountant door goede afspraken aan de voorkant kan volstaan met een marginale review achteraf. Het college legt verantwoording af over de naleving van geldende wet- en regelgeving bij de totstandkoming van de baten, lasten en balansmutaties in de jaarrekening. De controleverklaring van de accountant bevat vanaf dat moment alleen een oordeel inzake de getrouwheid van de jaarrekening. Hiervoor dienen we vroeg in het jaar met elkaar in gesprek zijn. De accountant geeft aan dat een actieve betrokkenheid bij de uitvoering van het intern controleplan van de 1e en 2e lijn echt noodzakelijk is. En adviseert intern goede afspraken hierover te maken en te zorgen dat deze nagekomen worden. Voor het verder vormgeven van de invulling van de rol van verschillende actoren binnen de gemeente adviseert de accountant kennis te nemen van de kadernota rechtmatigheid 2023. Bij het voorwaardecriterium adviseert de accountant vooralsnog voor de minimumvariant (recht, hoogte en duur) te blijven gaan. Reactie Wij volgen de adviezen van de accountant op. De doorontwikkeling van de VIC zal aansluiten op de ontwikkelingen in de 1e en 2e lijn.

De organisatieontwikkeling vergt tijd en is een route van kleine stapjes (zie reactie hiervoor op organisatieontwikkeling). In 2022 is een stijgende lijn ingezet.

4. Overige onderwerpen TIM Stichtse Vecht PSA adviseert toe te zien dat de jaarrekening 2022 van TIM SV tijdig wordt afgerond én een doorrekening te maken van de verwachte lasten voor 2023 en verder en de gevolgen voor onze meerjarenbegroting in beeld te brengen. We onderschrijven deze adviezen. Met TIM SV is afgesproken dat we de concept jaarstukken 2022 op 1 april 2023 ontvangen en de definitieve jaarstukken met controleverklaring op 1 mei 2023. De komende periode gaan we met TIM SV (en andere partners in het voorveld) in gesprek over maatregelen die nodig zijn om de sterke kostenstijging beheersbaar te krijgen en het marktrisico van de gemeente op verdere stijging te beheersen. Doelstelling is om het aanvullend budget voor TIM SV in 2023 te beperken tot € 4 miljoen. In het proces van de kadernota 2024 kijken we ook door naar de ontwikkeling in het meerjarenperspectief.

Pagina 5 van 6

definitieve versie 15-02-2023/WSvd5

5. Follow up bevindingen en adviezen Boardletter Bij de interimcontrole in 2021 heeft de accountant adviezen gegeven om de financiële bedrijfsvoering verder te verbeteren. Deze waren op hoofdlijnen opgenomen in de Boardletter 2021. Een deel van de aanbevelingen is reeds meegenomen bij de Jaarstukken 2022 of is binnen de bedrijfsvoering opgepakt. Nog niet alle adviezen zijn afgerond, die vragen meer tijd. Deze adviezen komen terug in de Boardletter 2022 (zoals het inkoop- en aanbestedingsproces of de rechtmatigheidsverantwoording). In de voorliggende reactie op de Boardletter 2022 hebben wij per advies aangegeven hoe wij daaraan invulling gaan geven.

Bijlage 4. Raadsbrief Boardletter 2022

Verantwoordingsinformatie Wet open overheid (Woo) Het advies om tijdig na te gaan op welke wijze de te rapporteren informatie binnen de gemeente beschikbaar is voor de rapportageverplichting die vanaf jaarrekening 2022 geldt, zal worden opgevolgd. Ter voorbereiding van de actieve openbaarmaking van de rest van de categorieën en ter verbetering van het proces van actieve openbaarmaking zelf, wordt op dit moment een implementatieplan opgesteld, dat naar verwachting in februari 2023 wordt vastgesteld door de directie. Binnen het halve jaar daarna zullen de 11 categorieën van informatie actief openbaar worden gemaakt. De Woo-coördinator, die 1 februari 2023 start, bewaakt het proces en de termijnen, spreekt aan en escaleert indien nodig. Zo voldoen wij ruimschoots aan de verplichting om dit binnen 5 jaar (uiterlijk 1 mei 2027) te doen.

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 www.stichtsevecht.nl

Met vriendelijke groet,

Burgemeester

drs. M.J.J. Rommers

drs. A.J.H.T.H. Reinders

Pagina 6 van 6

definitieve versie 15-02-2023/WSvd6

Wnd. gemeentesecretaris

Bijlage 4. Raadsbrief Boardletter 2022

Burgemeester en wethouders van Stichtse Vecht,