2024-02-01 IC7 - Gemeente Terneuzen - Boardletter 2023 versie was getekend

Boardletter Gemeente Terneuzen Boekjaar 2023

Vertrouwelijk Aan de rekeningcommissie van de gemeente Terneuzen Stadhuisplein 1 4531 GZ Terneuzen

ONDERWERP: Boardletter 2023

Datum: 1 december 2023 KENMERK: 2311-19082

Geachte leden van de rekeningcommissie, Als onderdeel van de controle van de jaarrekening 2023 van gemeente Terneuzen hebben wij de administratieve organisatie en de daarin opgenomen maatregelen van interne beheersing beoordeeld, teneinde onze controlewerkzaamheden in overeenstemming met Nederlands recht, waaronder de controlestandaarden, te kunnen bepalen. De opzet, het bestaan en in voorkomende gevallen de werking van de interne beheersingsmaatregelen van de belangrijkste bedrijfsprocessen, inclusief de geautomatiseerde gegevensverwerking, in de gemeente zijn beoordeeld en getoetst, zodat we een terugkoppeling kunnen geven over de betrouwbaarheid van de interne informatievoorziening en de jaarrekening. Onze bevindingen zijn gebaseerd op de normale werkzaamheden in het kader van de jaarrekeningcontrole. Deze brief bevat daardoor niet alle onvolkomenheden in de gemeente Terneuzen, die bij een eventueel uitgebreid en hierop specifiek gericht onderzoek naar voren zouden kunnen komen. Zoals u zult begrijpen, is de boardletter van nature kritisch. Wij rapporteren over de eventuele leemtes of mogelijkheden ter verbetering van de financiële en administratieve processen, de administratieve organisatie daarvan en de daarin opgenomen maatregelen van interne beheersing.

Op uw verzoek geven wij in deze boardletter aan op welke wijze verbeteringen van de administratieve organisatie en de daarin opgenomen maatregelen van interne beheersing kunnen worden gerealiseerd. De aanbevelingen en oplossingsrichtingen zoals beschreven in deze boardletter bieden het college handvatten voor deze uitwerking. Wij hebben de concept boardletter toegelicht en besproken met een afvaardiging van de ambtelijke organisatie, de gemeentesecretaris en de portefeuillehouder financiën. Deze boardletter is door ons opgesteld voor uw informatie en mag niet zonder onze uitdrukkelijke toestemming geheel of gedeeltelijk aan derden ter beschikking worden gesteld. Wij bedanken het college en de ambtelijke organisatie voor de samenwerking en zijn graag bereid tot het verstrekken van nadere toelichting. Hoogachtend, Baker Tilly (Netherlands) N.V. Was getekend drs. A.R.M. Peelen RA Partner 2

Inhoudsopgave CONTACT

drs. A.R.M. Peelen RA Partner r.peelen@bakertilly.nl D. Eijke MSc RA Senior Manager Audit d.eijke@bakertilly.nl

Bestuurlijke samenvatting

Interne beheersing

Actualiteiten

KANTOORGEGEVENS Baker Tilly (Netherlands) N.V. Stationspark 8b 4462 DZ Goes

Postbus 85 4460 AB Goes 0113 – 24 20 00

Bevindingen ITbeheersing 3

1. Bestuurlijke samenvatting

4

1. Bestuurlijke samenvatting Timing van de werkzaamheden: Deze boardletter bevat onze bevindingen die zijn gebaseerd op onze werkzaamheden in het kader van de jaarrekeningcontrole voor het jaar eindigend op 31 december 2023.

Algemene conclusie interne beheersing: De interne beheersing van de gemeente Terneuzen is in de basis op orde. We hebben geen significante tekortkomingen in de administratie organisatie / interne controle geconstateerd. Wel geven we de gemeente in deze boardletter een aantal aanbevelingen mee. We constateren dat de gemeente Terneuzen in het afgelopen jaar wederom een aantal detailbevindingen heeft opgepakt, maar ten tijde van de interimcontrole nog niet heeft kunnen afronden. De belangrijkste bevindingen zien toe op het thema gedrag en cultuur binnen de organisatie. Binnen de gemeente Terneuzen is er sprake van interne beheersingsmaatregelen. We constateren echter dat deze interne beheersingsmaatregelen niet altijd worden nageleefd. Daarnaast constateren we dat de gemeente Terneuzen de tussentijdse aanbestedingsanalyse nog niet heeft afgerond in het kader van de rechtmatigheidsverantwoording. Deze analyse is inmiddels in een afrondende fase. Wij adviseren de gemeente om deze voor 2023 af te ronden zodat er tijdig geschakeld kan worden indien er sprake is van onrechtmatigheden. Tot slot hebben wij één nieuwe bevinding geconstateerd in 2023. Deze ziet toe op het toepassen van een zichtbare collegiale toetsing bij het doorvoeren van memoriaalboekingen in Key2Financiën.

IT omgeving. In het kader van onze jaarrekeningcontrole hebben wij de interne beheersing rondom de IT onderzocht. Wij hebben in dat kader de applicaties Key2Financien, Raet/ Youforce en Suites voor het Sociaal Domein onderzocht. We constateren dat de gemeente de basis rondom authenticatie en wijzigingsbeheer op orde heeft. In de verdere professionalisering van de interne beheersing ten aanzien van de IT-omgeving zijn nog stappen te zetten ten aanzien van het beheer van autorisaties. Daarnaast adviseren wij de gemeente expliciet aandacht te hebben voor de verdere professionalisering van de regievoerding op de IT-diensten die de gemeente heeft uitbesteed aan cloudproviders.

Onze samenwerking: De samenwerking met de gemeente Terneuzen verloopt op een effectieve wijze. We hebben met de gemeente Terneuzen duidelijke afspraken gemaakt met betrekking tot de controle van de interne beheersing / processen en de jaarrekeningcontrole. De gemaakte afspraken zijn tot op heden nagekomen.

5

1. Bestuurlijke samenvatting

Rechtmatigheidsverantwoording: Vanaf 2023 dient het college van burgemeester en wethouders zelfstandig verantwoording af te leggen over de rechtmatigheid. De gemeente ligt in de voorbereiding hierop schema. De gemeente voldoet aan de beleidskaders en het normenkader is vastgesteld door de Raad op 8 juni 2023. Verder adviseren we de gemeente om bij constateringen in het kader van de rechtmatigheid tijdig met ons te schakelen om hier op voorhand afstemming over te hebben.

Vooruitblik richting jaarrekeningcontrole 2023. We hebben met de gemeente goede afspraken over de planning van de jaarrekeningcontrole 2023 gemaakt. Op voorhand identificeren we een aantal onderwerpen met verhoogde aandacht in onze controle. Dit betreffen met name de controle op de naleving van de rechtmatigheidsverantwoording, de controle op prestatielevering inkopen en de controle op de naleving van de Wet Normering Topinkomens. Tot slot vragen wij het college, indien er sprake is van mutaties in de WNT-verantwoording, deze tijdig met ons te delen.

Tot slot hebben we vanuit het oogpunt van onze natuurlijke adviesfunctie in deze boardletter een bijlage opgenomen met actuele ontwikkelingen. Wij vragen het college hiervan kennis te nemen en indien noodzakelijk rekening mee te houden bij het opstellen van de jaarrekening 2023.

6

2. Interne beheersing

7

2. Interne beheersing Inleiding

In dit hoofdstuk behandelen wij onze bevindingen ten aanzien van de interne beheersing. Achtereenvolgens worden de volgende onderwerpen besproken: •

Evaluatie interne beheersing: In dit onderdeel behandelen wij de belangrijkste bevindingen ten aanzien van de IT-omgeving, de primaire processen en de gevolgen van onze bevindingen voor de controleaanpak.

•

Controleomgeving: De controleomgeving vormt de basis voor de interne beheersing. In dit onderdeel rapporteren wij onze waarnemingen ten aanzien van de elementen van de controleomgeving (waaronder de samenwerking met de Verbijzonderde Interne Controle (hierna VIC).

•

Detailbevindingen interne beheersing: In dit onderdeel worden de detailbevindingen ten aanzien van de IT-omgeving en de processen uitgewerkt.

•

Frauderisicoanalyse en beheersing frauderisico’s: In dit onderdeel beschrijven wij de belangrijkste frauderisico’s, de bijbehorende beheersingsmaatregelen en onze inschatting van het restrisico, rekening houdend met de getroffen maatregelen.

•

IT-omgeving: In dit onderdeel geven wij een visuele weergave van de IT-omgeving. Daarnaast geven wij aan welke applicaties in scope zijn, in hoeverre hierop kan worden gesteund en wat de gevolgen zijn als onvoldoende op de applicatie kan worden gesteund.

•

Data-analyse: In dit onderdeel geven wij een overzicht van de geplande data-analyses en het effect hiervan op de controle.

8

2. Interne beheersing 2.1 Algemeen Doel en reikwijdte

Het doel van onze jaarrekeningcontrole is het vormen van een oordeel over de getrouwheid van de jaarrekening (waaronder inbegrepen de rechtmatigheidsverantwoording) als geheel, zoals bedoeld in het Besluit Accountantscontrole Decentrale Overheden (Bado). Vanuit de jaarrekeningcontrole beoordelen wij de kwaliteit van de administratieve organisatie en interne beheersing voor zover relevant voor onze oordeelsvorming en geven wij geen zelfstandig oordeel over de kwaliteit van de administratieve organisatie en interne beheersing. De controle van de jaarrekening omvat het uitvoeren van controlewerkzaamheden, waaronder risicoanalyse, cijferanalyses, beoordeling van de administratieve procedures en het daarmee samenhangende systeem van interne beheersingsmaatregelen en gegevensgerichte controlewerkzaamheden. De samenstelling en omvang van die werkzaamheden zijn noodzakelijk voor het verkrijgen van voldoende controle-informatie ter onderbouwing van ons oordeel.

Risicoanalyse

Onze risicoanalyse richt zich op een betrouwbare totstandkoming van de jaarrekening. Dit betekent dat wij niet alle risico’s die voor de gemeente relevant zijn in onze controle meenemen. De risicoanalyse is een continue proces en stellen wij gedurende de controle indien nodig bij. De belangrijkste bij de gemeente Terneuzen onderkende risico’s / kernpunten in de controle zijn: • De getrouwheid van de opgenomen rechtmatigheidsverantwoording in de jaarrekening. • Het risico dat het management van de gemeente de procesafspraken kan doorbreken, hetgeen een standaard risico is vanuit onze beroepsregels. • De nauwkeurigheid van de verantwoorde voorzieningen. • Het bestaan en de volledigheid van de verantwoorde schulden / overlopende passiva. • De nauwkeurige verantwoording van inkoopfacturen in de staat van baten en lasten waaronder de prestatielevering. • De verantwoording van de uitgaande betalingen binnen de gemeente. • De verantwoording in het kader van de Wet Normering Topinkomens (WNT). • De automatiseringsomgeving binnen de gemeente. In ons verslag van bevindingen rapporteren wij naar aanleiding van de jaarrekeningcontrole over bovenstaande punten.

9

2. Interne beheersing 2.2 Evaluatie interne beheersing Interne beheersing

De gemeente Terneuzen heeft op het gebied van interne beheersing een aantal detailbevindingen opgepakt en verbeteringen ingezet. Per datum van onze interim-controle zijn nog niet alle detailbevindingen uit 2022 opgelost. Om alle financiële uitdagingen voor uw gemeente in de komende tijd in goede banen te leiden worden hoge eisen aan het planning- en control instrumentarium, alsmede het interne beheersingssysteem gesteld. De invoering van de rechtmatigheidsverantwoording door het college stelt hogere eisen aan het interne beheersingssysteem. De aanwezigheid van een adequaat intern (financieel) beheersingssysteem is daarbij een essentiële randvoorwaarde om te kunnen bijsturen en de betrouwbaarheid van financiële informatie en verslaglegging is van groot belang om dit tijdig en goed te kunnen doen.

Basis op orde echter beheersmaatregelen nog onvoldoende zichtbaar

In lijn met andere jaren constateren we bij de gemeente Terneuzen dat de processen in de basis op orde zijn en er geen significante tekortkomingen zijn ten aanzien van de processen. We constateren dat de gemeente Terneuzen, mede op basis van de actuele procesbeschrijvingen, de processen in de basis op orde heeft en dat de primaire functiescheiding is ingeregeld. Daarbij constateren we dat er sprake is van een constructieve grondhouding om verbeteringen in processen door te voeren en aan de slag te gaan met geconstateerde bevindingen. Wel constateren we dat op onderdelen de interne beheersingsmaatregelen in het proces nog onvoldoende verankerd danwel onvoldoende zichtbaar zijn. Een voorbeeld hiervan is de prestatielevering op inkopen. De gemeente Terneuzen heeft primair ingeregeld dat sprake is van functiescheiding, maar het is achteraf lastig vast te stellen of de interne beheersing specifiek voor het onderdeel prestatielevering heeft gewerkt. Hierdoor kan achteraf niet vastgesteld worden of de afgesproken procedures en interne controles bestaan en/of gewerkt hebben.

Als gevolg van de resterende bevindingen in de processen is het op dit moment voor zowel de verbijzonderde interne controlefunctie en voor ons als accountant nog niet mogelijk om systeemgericht te controleren. Wij merken op dat de Verbijzonderde interne controlefunctie nu met name gegevensgerichte werkzaamheden uitvoert. Idealiter toetst de Verbijzonderde interne controle dat de beheersmaatregelen zoals geïmplementeerd ook daadwerkelijk werken. Wisselwerking tussen de Verbijzonderde interne controle en de kwaliteitsmedewerkers

Wel constateren we op basis van de gevoerde procesbesprekingen alsook de interne controles dat de VIC zich meer focust op de geïmplementeerde beheersingsmaatregelen. Vanuit de organisaties zijn er bewuste keuzes gemaakt om in eerste instantie gegevensgerichte werkzaamheden uit te voeren, waarbij het doel is om in de toekomst meer systeemgerichte werkzaamheden te verrichten. Hierbij constateren we dat de VIC juist in gesprek gaat met de organisatie en de interne controles beoordeelt om haar werkzaamheden hier specifiek op uit te voeren. Tot slot constateren we dat de gemeente Terneuzen voor het Sociaal Domein gebruik maakt van de applicatie Kwaliteit In Control (KIC). We constateren dat de gemeente in de tweede lijn haar werkzaamheden uitvoert en vastlegt in KIC, maar dat in KIC niet zichtbaar wordt vastgelegd op basis waarvan de werkzaamheden zijn uitgevoerd. We adviseren de gemeente om, ter verhoging van de kwaliteit, intern te bepalen welke interne beheersingsmaatregelen zichtbaar tot uitdrukking komen zodat de Verbijzonderde interne controle haar werkzaamheden kan uitvoeren.

10

2. Interne beheersing 2.3 (Verbijzonderde) interne controles Organisatie

Als voorbereiding op de interim-controle hebben wij een evaluatie gedaan van het controleproces van voorgaand jaar en zijn er tussen ons en de gemeentelijke organisatie heldere afspraken gemaakt over de verwachtingen voor het controleproces van 2023 (bijvoorbeeld ten aanzien van inkopen, subsidies en Participatiewet). Tijdens de interim-controle hebben wij in een prettige en constructieve wijze samengewerkt met de gemeente. Belangrijke elementen in de samenwerking hierbij zien onder andere toe op: - proactieve afstemming van bijzonderheden en/of belangrijke aandachtsgebieden bijvoorbeeld ten aanzien van aanbestedingen en grondexploitaties - inspanning om te zorgen dat alle gewenste informatie op een adequate wijze en voor aanvang van de controle aanwezig is - bereidheid en beschikbaarheid van medewerkers om onze vragen op een adequate wijze en tijdig te beantwoorden

Interne controleplan (ICP)

Een belangrijk onderdeel van de interne beheersing is de (verbijzonderde) interne controlefunctie. De gemeente heeft in het boekjaar 2022 een controleplan opgesteld. We stellen vast dat het controleplan in 2023 niet is geactualiseerd, maar dat het controleplan uit 2022 actueel is voor 2023. In het interne controleplan wordt er tevens een verwijzing opgenomen naar het normen- en toetsingskader. We constateren dat de gemeente een geformaliseerd normenkader heeft, maar deze nog niet heeft vertaald naar een toetsingskader voor het boekjaar 2023. Ondanks dat dit geen verplichting is vanuit de kadernota rechtmatigheid, adviseren we de gemeente om dit mee te nemen bij het actualiseren van het controleplan en een vertaalslag te maken vanuit het normen- naar het toetsingskader. Daarnaast adviseren we de gemeente ook om vanuit het toetsingskader een vertaalslag te maken naar de uit te voeren controles en dit op te nemen in het controleplan.

Inrichting en kwaliteit VIC

De afdeling VIC maakt ter ondersteuning van de uitvoering van de interne controles gebruik van een externe deskundige. Hierdoor zien we dat de VIC in kwaliteit toeneemt en dat de interne medewerkers ook ondersteuning krijgen. Echter, we adviseren de gemeente om minder afhankelijk te zijn van externe deskundige en intern de deskundigheid te waarborgen. Daarnaast zien wij ook dat de VIC zich verder ontwikkelt. We constateren dat de VIC meer in gesprek gaat met de tweede lijn in de organisatie zodat interne beheersingsmaatregelen zichtbaar worden vastgelegd en de VIC zich meer kan focussen op het toetsen van de geïmplementeerde beheersmaatregelen. Verdere verbetermogelijkheden zien toe op: - het nader concretiseren van de VIC werkzaamheden d.m.v. het opstellen van een jaarplanning per proces - het intern rapporteren van eventueel geconstateerde bevindingen naar het college - het tijdig uitvoeren van een tussentijdse aanbestedingsanalyse

Tijdigheid VIC werkzaamheden en tussentijdse aanbestedingsanalyse

Tot slot constateren we dat, in samenspraak met de VIC, de werkzaamheden op de uit te voeren steekproeven tijdig worden afgerond. Vanuit voorgaand jaar zijn strakke afspraken gemaakt met de VIC die worden nagekomen. Wel constateren we dat de tussentijdse aanbestedingsanalyse voor 2023 nog in uitvoering is. In 2023 is er sprake geweest van personeelsmutaties op de afdeling interne controle. Door de personeelswisseling heeft de gemeente keuzes moeten maken en is de tussentijdse aanbestedingsanalye nog niet afgerond. We adviseren de gemeente deze op korte termijn af te ronden zodat onrechtmatigheden tijdig geconstateerd en gecorrigeerd kunnen worden mede in het kader van de rechtmatigheidsverantwoording.

11

2. Interne beheersing 2.4 Rechtmatigheidsverantwoording Is gemeente Terneuzen klaar voor de rechtmatigheidsverantwoording?

Met ingang van 1 januari 2023 moet gemeente Terneuzen zelf een rechtmatigheidsverantwoording in de jaarrekening opnemen. Voorheen vormde de accountant een oordeel over de rechtmatigheid en bracht hierover verslag uit. Met ingang van boekjaar 2023 wordt het een verplichting voor het college van burgemeester & wethouders om een rechtmatigheidsverantwoording af te geven. De van toepassing zijnde wet- en regelgeving (Besluit begroting en verantwoording en Besluit Accountantscontrole Decentrale overheden) is op dit moment in revisie/in consultatie. De verwachting is dat de formalisatie begin 2024 gaat plaatsvinden. De rechtmatigheidsverantwoording ziet primair toe op de volgende aspecten: •

•

•

Begrotingscriterium •

Begrotingsrechtmatigheid

•

Kredietrechtmatigheid

Voorwaardencriterium •

Aanbestedingsrechtmatigheid

•

Overige aspecten (treasury, subsidies, uitkeringen)

M&O (Misbruik & Oneigenlijk) – gebruik criterium •

Vaststellen dat college M&O-beleid heeft nageleefd

Op deze drie dossiers dient het college in het jaarrekeningdossier rekening te houden dat op deze aspecten er een toereikend onderbouwd oordeel beschikbaar dient te zijn, inclusief het onderliggende interne controledossier. Dit dossier dient door de gemeente dusdanig aan ons als accountant gerapporteerd te worden, dat wij dit als onafhankelijke derde zelfstandig moeten kunnen reviewen en beoordelen. De eisen die aan deze dossiers gesteld worden zijn dus hoger dan voorgaande jaren. Vanuit de interim controle constateren we dat de gemeente Terneuzen klaar is voor de rechtmatigheidsverantwoording. We hebben vastgesteld dat de gemeente Terneuzen voldoet aan de minimale vereisten vanuit de kadernota rechtmatigheid en dat het college hiermee, voor de start van de jaarrekeningcontrole door ons, een rechtmatigheidsverantwoording kan verstrekken.

12

2. Interne beheersing 2.5 Overzicht bevindingen Onze bevindingen in de boardletter zijn gebaseerd op de door ons uitgevoerde interim-controle tot eind oktober 2023. Eventuele ontwikkelingen die hierna hebben plaatsgevonden zijn om die reden niet meegenomen in de boardletter 2023.

In het overzicht hiernaast is een overzicht gegeven van de ontwikkeling in het aantal bevindingen ten opzichte van het voorgaande boekjaar.

Deze werkzaamheden zijn dan ook niet gericht op het geven van een oordeel over de interne beheersing van de organisatie als geheel. Voorgaande jaren hebben wij tijdens onze besprekingen met het college diverse aanbevelingen benoemd ter verdere optimalisering van de bestaande administratieve organisatie en interne beheersing. In deze boardletter geven wij u een schriftelijke update van onze bevindingen. In het overzicht hiernaast zijn de bevindingen met de ingeschatte prioriteit opgenomen. De kleur van de het symbool geeft de status van de constatering aan.  = opgelost  = actie ondernomen, maar nog niet afgerond – wel voortgang ten opzichte van vorig jaar  = actie ondernomen, maar nog niet afgerond – geen voortgang ten opzichte van vorig jaar  = geen actie ondernomen  = nieuwe bevinding

Bevindingen met prioriteit hoog

Overige bevindingen

Aantal aanbevelingen uit voorgaande jaren

2

9

Waarvan opgelost in 2023

0

2

Resterende aanbevelingen uit voorgaande jaren

2

7

Aantal nieuwe aanbevelingen

0

1

Aantal openstaande aanbevelingen

2

8

Waarvan onderhanden maar nog niet afgerond per november 2023

2

8

#

Proces

Bevinding

Status

Prioriteit 2023

Prioriteit 2022

1

Financiële administratie en verslaglegging

Te ruime rechten superusers bij begrotingswijzigingsproces



Midden

Midden

2

Inkopen

Borging volledigheid verplichtingenadministratie



Midden

Midden

3

Inkopen

Vastlegging prestatielevering inkopen



Midden

Midden

4

Aanbestedingen

Geen tussentijdse spend-analyse



Hoog

Hoog

5

Subsidies

Collegiale toetsing subsidieverstrekking/subsidievaststelling ontbreekt



Midden

Midden

6

Uitkeringen participatiewet

Geen (zichtbare) collegiale toetsing Participatiewet



Midden

Midden

7

Uitkeringen participatiewet

Er worden geen (tussentijdse) rechtmatigheidsonderzoeken meer uitgevoerd



-

Laag

8

PGB

Prestatielevering



Hoog

Hoog

9

Omgevingsvergunningen

Collegiale toetsing omgevingsvergunningen ontbreekt



Midden

Midden

10

Algemene beheersomgeving

Gebruik van digitale handtekeningen



Midden

Midden

11

Sociaal Domein

Controlebevindingen Sociaal Domein



-

Midden

12

Financieel afsluitproces

(Zichtbare) Collegiale toetsing op memoriaalboekingen ontbreekt



Midden

13

2. Interne beheersing 2.6 Frauderisicoanalyse en frauderisico’s Frauderisicoanalyse Fraude- en corruptierisico’s De primaire verantwoordelijkheid voor het voorkomen en detecteren van fraude (waaronder corruptie) berust bij het college van burgemeester en wethouders. Deze verantwoordelijkheid betreft ook het onderhouden van een zodanige interne beheersing om het opmaken van de jaarrekening mogelijk te maken zonder dat deze afwijkingen van materieel belang bevat als gevolg van fraude of fouten. Voor het opstellen van een frauderisicoanalyse is het raadzaam een template te gebruiken toegespitst op de gemeente. Hierin kan voor processen waar materiële opbrengsten-/kostenstromen mee zijn gemoeid, inzichtelijk worden gemaakt: • • • • •

welke frauderisico’s de gemeente onderkent; wat de geschatte kans en impact van deze frauderisico’s is; wat de risicorespons van de gemeente is, idealiter afgestemd op de risicobereidheid van de gemeente zoals vastgelegd in frauderisicobeleid; welke interne beheersmaatregelen reeds getroffen zijn om onderkende frauderisico’s te mitigeren; welke eventuele restrisico’s/leemtes in de interne beheersing resteren en hoe de gemeente deze ondervangt (bijvoorbeeld via de verbijzonderde interne controle).

De kans- en impactweging van frauderisico’s kan via een risicomatrix weergegeven worden om op basis daarvan prioriteiten te stellen in de wijze waarop met risico’s wordt omgegaan. Een voorbeeld van hoe een risicomatrix eruit kan zien is hiernaast opgenomen. Voor de duidelijkheid benoemen we graag dat er een relatie is tussen fraude en misbruik en oneigenlijk gebruik (M&O). M&O is namelijk een vorm van fraude waarbij de nadruk ligt op handelingen van derden in relatie tot het verkrijgen van overheidsbijdragen dan wel het betalen van heffingen. Wij raden het college aan om bij het opstellen van een frauderisicoanalyse, ook expliciet aandacht te besteden aan M&O-risico’s vanwege de verwevenheid tussen fraude en M&O, zie ook ‘Kadernota Voorkomen en Bestrijden Misbruik en Oneigenlijk gebruik 2023’. Tot slot merken wij op dat het uitvoeren van een frauderisicoanalyse en het treffen van interne beheersmaatregelen, onderdeel vormen van het bredere ‘frauderisicomanagement’. Frauderisicomanagement omvat namelijk ook het opstellen van frauderisicobeleid (waar M&O-beleid al dan niet onderdeel van kan vormen), het opstellen van een frauderesponsplan voor situaties dat een vermoeden van fraude bestaat en het periodiek intern evalueren in hoeverre frauderisicomanagement voldoende is ingericht en toereikend werkt binnen de organisatie. 14

2. Interne beheersing 2.6 Beheersing frauderisico’s Fraude- en corruptierisico’s

Op basis van onze uitgevoerde interim-controle stellen wij vast dat er binnen de gemeente aandacht is voor frauderisico’s en de preventie daarvan. We hebben vastgesteld dat de gemeente Terneuzen een geformaliseerde frauderisicoanalyse heeft welke tevens is besproken met en vastgesteld door het college op 18 juli 2023. De gemeente Terneuzen heeft een frauderisicoanalyse opgesteld op basis van de fraudedriehoek. De gemeente heeft voor het opstellen van de frauderisicoanalyse gebruik gemaakt van externe deskundige op het gebied van fraude. Dit heeft ervoor gezorgd dat de verrichte analyse inhoudelijk voorzien is van de juiste elementen. Op basis van de uitgewerkte frauderisicoanalsye adviseren we het college om bij het actualiseren van de frauderisicoanalyse eventuele frauderisico’s als gevolg van corruptie uit te werken. Onze fraude-risicoanalyse Op basis van de bedrijfsverkenning en de interim-controle onderkennen wij de volgende fraude-risico’s bij onze jaarrekeningcontrole: - Risico dat het management van de gemeente de procesafspraken doorbreekt, hetgeen een standaard risico is vanuit onze beroepsregels. Dit risico ziet bij de gemeente met name toe op de jaarrekening als geheel en niet op een specifieke post.

Idealiter sluiten de door ons onderkende frauderisico’s in onze controleaanpak aan op de frauderisicoanalyse zoals opgesteld door het college, en de toelichting van het college op de eventuele frauderisico’s in de paragraaf bedrijfsvoering in de jaarrekening. We constateren dat de gemeente het risico dat het management van de gemeente de procesafspraken doorbreekt niet heeft uitgewerkt in de frauderisicoanalyse. We adviseren om bij het actualiseren van de frauderisicoanalyse tevens het frauderisico dat het management van de gemeente de procesafspraken doorbreekt uitwerkt. De passages die wij voornemens zijn op te nemen in de controleverklaring stemmen wij tijdig met het college af en zullen wij bij de bespreking van het accountantsverslag met het college doornemen.

15

2. Interne beheersing 2.7 IT-omgeving Visuele weergave IT-omgeving Dit betreft een visuele weergave van de ITomgeving welke voor de accountantscontrole relevant zijn.

De IT-omgeving van de gemeente Terneuzen, voor zover in scope voor de jaarrekeningcontrole, is als volgt weer te geven:

Suites voor het Sociaal Domein

Journaalposten

Key2Financien

Journaalposten

Betaalbatch

Loonjournaalpost

RAET/Youforce

Betaalbatch

BNG bankapplicatie

Betaalbatch

Legenda: = Cloud applicatie = On premise applicatie = Automatische interface = Handmatige interface 16

2. Interne beheersing 2.8 Overzicht bevindingen IT-omgeving

De mate van risico die de gemeente Terneuzen loopt bij constateringen verschilt per IT aandachts-gebied. Een inschatting van de impact op de controle en op de gemeente Terneuzen vindt u in de afbeelding rechts.

s

Belangrijkste bevindingen IT beheersing Omgeving Impact op de controle

De tabellen op deze pagina geven een overzicht van onze bevindingen ten aanzien van de processen en de IT aandachtsgebieden binnen de gemeente Terneuzen.

Wijzigingsbeheer

Netwerk

Toegangsbeveiliging

Wijzigingsbeheer N.v.t.

Continuïteit

Proces Alle

Key2Financien

Financiën

Suite

Sociaal

Youforce

HR

Continuïteit

De kleur van de het symbool geeft de status van de constatering aan. Benodigd, verbetering op (korte) termijn

Toegangsbeveiliging

Belang voor uw organisatie

Adviespunt, verdere aanscherping mogelijk Op dit moment voldoende

17

2. Interne beheersing 2.9 Data-analyse Gebruik van data-analyse in de controle

Om te komen tot een efficiënte en effectieve controle maken wij gebruik van data-analyse. Onderstaand hebben wij een overzicht opgenomen van de geplande data-analyses. Afhankelijk van de bevindingen naar aanleiding van de data-analyses, voeren wij waar nodig aanvullende (gegevensgerichte) werkzaamheden uit. Analyse

Effect op de controle

Controle memoriaalboekingen

Door het inlezen van de auditfile in onze data factory, krijgen wij snel en diepgaand inzicht in de financiële transacties binnen de organisatie.

Bankanalyse uitgaande betalingen

Door het inlezen van de CAMT.053 en SEPA bestanden in onze data factory, krijgen wij snel en diepgaand inzicht in alle uitgaande betalingen die zijn verricht vanuit BNG-bankpakket. De afspraken tot het ontvangen van de CAMT.053 en SEPA bestanden zijn inmiddels ingepland.

Analyse workflow inkoopfacturen

Door het verkrijgen van de juiste extractie uit Key2Financiën krijgen wij een inzicht in de workflow van inkoopfacturen en kunnen wij beoordelen of de interne beheersingsmaatregel (de autorisatie van inkoopfacturen komt in functiescheiding tot stand) gedurende het jaar heeft gewerkt.

Analyse workflow crediteurenstamgegevens

Door het verkrijgen van de juiste extractie uit Key2Financiën krijgen wij een inzicht in de workflow van de crediteurenstamgegevens (specifiek gericht op de IBAN) en kunnen wij beoordelen of de interne beheersingsmaatregel (de mutatie van crediteurenstamgegevens komt in functiescheiding tot stand) gedurende het jaar heeft gewerkt.

18

3. Actualiteiten

19

3. Actualiteiten 3.1 Aankomende wetswijzigingen in BBV en Bado Afgelopen zomer heeft het Rijk enkele wijzigingen op het Besluit Begroting en Verantwoording provincies en gemeenten (BBV) en het Besluit Accountantscontrole Decentrale Overheden (Bado) voorgesteld. Samenvattend zijn de belangrijkste voorgestelde wijzigingen opgenomen:

Aanpassing Bado

Controleverklaring bij de jaarrekening

Met mogelijke ingang van 2025, veranderen de goedkeuringstoleranties voor de jaarrekeningcontrole. Voorheen werd voor fouten uitgegaan van 1% van de totale lasten inclusief dotaties aan de reserves en voor onzekerheden 3%. Vanaf 2025 worden fouten en onzekerheden samengevoegd en wordt de goedkeuringsgrens gesteld op 2% van de totale lasten (dus zonder toevoeging reserves). Deze wijziging kan een belangrijke impact hebben. Wij adviseren het college te evalueren wat dit voor de situatie bij de gemeente betekent en welke stappen gezet dienen te worden ter waarborging dat de fouten en onzekerheden binnen de goedkeuringstoleranties blijven vanaf 2025.

Vanuit onze beroepsvereniging NBA is aangegeven dat in het BBV duidelijkheid moet worden gegeven over de publicatie van de controleverklaring in de jaarstukken van decentrale overheden.

Ten aanzien van de SiSa-bijlage houdt de accountant de verantwoordelijkheid om ook de rechtmatigheid vast te stellen. De volgende tabel zal gehanteerd worden t.b.v. het oordeel: Materialiteit

Goedkeurende verklaring

Verklaring met beperking

Verklaring van oordeelonthouding /afkeurende verklaring

Fouten in de jaarrekening en onzekerheden in de controle

≤2%

>2% - ≤4%

> 4%

In het BBV is nu niet opgenomen dat deze verklaring onlosmakelijk deel uitmaakt van de jaarrekening en dat noch de definitieve jaarrekening en / of de jaarstukken noch de controleverklaring separaat gepubliceerd mogen worden. Hierdoor komt het voor dat jaarstukken van decentrale overheden worden gepubliceerd zonder de daarbij afgegeven controleverklaring.

Het is in het publiek belang dat de jaarstukken altijd met inbegrip van de controleverklaring toegankelijk worden voor het maatschappelijk verkeer, zoals raadsleden, burgers en andere belanghebbenden. Om dit te borgen heeft onze beroepsvereniging suggesties opgenomen ter aanpassing van artikel 24 lid 3 van het BBV, door daarin ‘overige gegevens’ toe te voegen waarin de controleverklaring wordt opgenomen. Wij adviseren het college om vooruitlopend op deze aanpassing deze werkwijze alvast toe te passen voor de jaarrekening 2023.

20

3. Actualiteiten 3.1 Aankomende wetswijzigingen in BBV en Bado Afgelopen zomer heeft het Rijk enkele wijzigingen op het Besluit Begroting en Verantwoording provincies en gemeenten (BBV) en het Besluit Accountantscontrole Decentrale Overheden (Bado) voorgesteld. Samenvattend zijn de belangrijkste voorgestelde wijzigingen opgenomen:

Uitbreiding inhoud jaarrekening

Notitie Overhead

De voorgeschreven inhoud van de jaarrekening wordt uitgebreid met de rechtmatigheidsverantwoording. De jaarrekening bestaat uit:

De Notitie Overhead van de commissie BBV is in het voorjaar 2023 geactualiseerd en ter consulatie gepubliceerd. Ten opzichte van de notitie overhead 2016 is een belangrijke aanpassing de definitie van het begrip overhead zelf. Deze wordt als volgt gedefinieerd:

• • • • •

het overzicht van baten en lasten in de jaarrekening en de toelichting; de balans en de toelichting; de rechtmatigheidsverantwoording de bijlage met de verantwoordingsinformatie over specifieke uitkeringen; een bijlage met het overzicht van de gerealiseerde baten en lasten per taakveld.

De volgende eisen worden gesteld aan de rechtmatigheidsverantwoording: 1. In de jaarrekening is een rechtmatigheidsverantwoording opgenomen, met inachtneming van de verantwoordingsgrens. 2. De rechtmatigheidsverantwoording bevat een toelichting op de rechtmatige totstandkoming van de baten, lasten en balansmutaties. 3. De gemeenteraad en provinciale staten stellen de verantwoordingsgrens vast. De verantwoordingsgrens valt binnen 0 tot 3% van de totale lasten, exclusief de dotaties aan de reserves. 4. Indien het eindbedrag hoger is dan de verantwoordingsgrens licht het college van burgermeesters en wethouders of gedeputeerde staten deze afwijking toe in de rechtmatigheidsverantwoording. De commissie BBV stelt een modeltekst voor de rechtmatigheidsverantwoording op.

“Het geheel van functies gericht op de sturing en ondersteuning van de medewerkers in het primaire proces. Hiertoe behoren ook de systemen en aanverwante lasten die deze functies ondersteunen.” Daarnaast doet de commissie BBV de volgende stellige uitspraken, welke overigens al bestonden.

•

De methodiek voor het toerekenen van overhead, zoals opgenomen in het overzicht overhead, aan lokale heffingen en rechten mag niet afwijken van de overige methodieken voor het toerekenen van overhead aan gemeentelijke taakvelden.

•

Bij de berekening van de tarieven voor lokale heffingen moet de methodiek voor de toerekening van overhead worden opgenomen in de financiële verordening.

Ook zijn er voorbeelden toegevoegd die antwoord geven op actuele vraagstukken. De notitie treedt na publicatie naar verwachting in werking vanaf begrotingsjaar 2025.

21

3. Actualiteiten 3.1 Aankomende wetswijzigingen in BBV en Bado Afgelopen zomer heeft het Rijk enkele wijzigingen op het Besluit Begroting en Verantwoording provincies en gemeenten (BBV) en het Besluit Accountantscontrole Decentrale Overheden (Bado) voorgesteld. Samenvattend zijn de belangrijkste voorgestelde wijzigingen opgenomen:

Paragraaf Openbaarheid

Paragraaf Bedrijfsvoering

Paragraaf Openbaarheid moet ten minste inzicht verschaffen in:

Daarnaast worden de eisen t.a.v. de paragraaf bedrijfsvoering uitgebreid. Tot en met 2023 is de eis:

a. de informatie die op grond van de artikelen 3.1, 3.3 en hoofdstuk 4 van de Wet open overheid openbaar is gemaakt; b. de informatiehuishouding; c. het aanwijzen en in dienst hebben van een contactpersoon als bedoeld in artikel 4.7 van de Wet open overheid; d. de besteding van subsidie voor de uitvoering van de Wet open overheid;

e. de eventuele andere activiteiten benodigd ter uitvoering van de Wet open overheid; De op grond van artikel 3.3, eerste en tweede lid, van de Wet open overheid openbaar gemaakte informatie bevat per categorie van informatie ten minste:

“De paragraaf betreffende de bedrijfsvoering geeft ten minste inzicht in de stand van zaken en de beleidsvoornemens ten aanzien van de bedrijfsvoering.” Na goedkeuring van de voorgestelde wijziging verlangt de wetgever de volgende toelichting in deze paragraaf:

De paragraaf betreffende de bedrijfsvoering bevat ten minste: a. De stand van zaken van de bedrijfsvoering; b. De beleidsvoornemens ten aanzien van de bedrijfsvoering; c. Informatie over de financiële rechtmatigheid; d. Welke actie wordt ondernomen om afwijkingen van de financiële rechtmatigheid te voorkomen.

a. op grond van welk artikel van de Wet open overheid de informatie openbaar is gemaakt; b. het jaar waarin de openbaarmaking van de informatie naar verwachting verplicht is; c. een omschrijving van de verstrekte informatie; d. het aantal documenten dat openbaar is gemaakt; e. het platform waarop de documenten openbaar zijn gemaakt. Het inzicht in de besteding van de subsidie bedoeld in het eerste lid, onderdeel d, bevat ten minste een omschrijving van de wijze waarop de subsidie is besteed. 22

3. Informatieveiligheid 3.2 Is de gemeente klaar voor de verplichte IT audits die wij in de publieke sector verwachten? Binnen de publieke sector is informatieveiligheid een hot topic. Gemeenten halen regelmatig negatief het nieuws vanwege incidenten met betrekking tot informatieveiligheid, zoals hacks, CEOfraude en datalekken. De komende jaren treden verschillende nieuwe wetten op het gebied van informatieveiligheid in werking waar ook de gemeente mee te maken krijgt. Van gemeentelijke colleges wordt verwacht dat de ambtelijke organisatie wordt gefaciliteerd bij de implementatie van deze richtlijnen en wetten. Doel van deze wetten en richtlijnen is dat de gemeente weerbaarder wordt op het gebied van informatieveiligheid. Daarnaast zal de toezichthoudende rol van de gemeenteraad op het dossier informatieveiligheid ook worden uitgebreid. Verder is het onze verwachting dat de auditlast in relatie tot nu al verplichte IT-audits zal toenemen en dat nieuwe IT-audits hun opwachting zullen maken. Er is vernomen dat de gemeente bezig is met de voorbereidingen van NIS2 en de mogelijke gevolgen voor de organisatie.

Huidige situatie Jaarlijks legt het college middels de ENSIA collegeverklaring onder andere verantwoording af over informatieveiligheid ten aanzien van DigiD en Suwinet. Van gemeenten wordt verwacht dat ieder jaar een interne audit Wpg (Wet Politiegegevens) wordt uitgevoerd. Eén keer in de vier jaar wordt een externe Wpgaudit uitgevoerd.

Vanaf 2023 – Wet Digitale Overheid Met ingang van 2023 treedt het eerste deel (eerste tranche) van de Wet Digitale Overheid (WDO) in werking. De Wet Digitale Overheid is gebaseerd op de Europese eIDAS-richtlijn en regelt dat burgers veilig kunnen inloggen bij de overheid. Vanaf 2023 is het gebruik van HTTPS en HSTS verplicht. HTTPS configuraties dienen daarnaast te voldoen aan de laatste TLS-richtlijnen.

Vanaf 2024 – wijzigingen ENSIA Tot op heden is de diepgang van de jaarlijkse ENSIA-audit beperkt tot ‘opzet’ en ‘bestaan’ (beleid en implementatie van het beleid middels beheersingsmaatregelen). Vanaf 2024 wordt op een aantal onderdelen ook ‘werking’ van beheersingsmaatregelen getoetst in de jaarlijkse ENSIA-audit. Dit vraagt van de organisatie dat beheersingsmaatregelen gedurende het jaar consequent en aantoonbaar worden uitgevoerd.

Vanaf 2026 – Wet Digitale Overheid Vanaf 2026 is ook de tweede tranche van de Wet Digitale Overheid van toepassing. Dit deel van de wet vraagt van organisaties dat de governance rondom de verschillende basisregistraties en het delen van persoonsgegevens op orde is.

Vanaf 2024 – NIS2-richtlijn Naar verwachting is vanaf eind 2024 de Europese NIS2richtlijn (Network and Information Security Directive) van toepassing. De verwachting is dat de Baseline Informatiebeveiliging Overheid wordt uitgebreid met een aantal verplichte elementen. Vanuit de NIS2-richtlijn heeft de organisatie een zorgplicht en meldplicht ten aanzien van informatieveiligheid. Daarnaast zal een toezichthouder toezicht houden op naleving van de NIS2-richtlijn middels (externe) IT-audits. 23

4. Bevindingen IT-beheersing

24

Bevindingen IT-beheersing Detailbevindingen interne beheersing - IT General Controls IT General Controls Veel handelingen die binnen organisaties plaatsvinden, worden geregistreerd door middel van automatisering. Daarbij zijn diverse interne beheersingsmaatregelen steeds vaker geautomatiseerd in softwarepakketten. Wij onderzoeken daarom de beheersing van de ITomgeving en rapporteren daarover in deze boardletter.

Op basis van de door ons uitgevoerde werkzaamheden hebben wij onze inschatting van de kwaliteit van de IT-systeem en/of applicaties opgenomen. Hierbij hebben wij de volgende onderverdeling gemaakt om de kwaliteit weer te geven:

Onderwerp

Toegangsbeveiliging

Wijzigingsbeheer

Benodigd, verbetering op (korte) termijn Adviespunt, verdere aanscherping mogelijk Op dit moment voldoende

Bij het uitvoeren van onze werkzaamheden hebben wij gekeken naar de algemene onderwerpen rondom de beheersing van de IT omgeving zoals in de tabel rechts opgenomen. Op de navolgende pagina’s zullen wij onze bevindingen rapporteren.

Continuïteitsmaatregelen en beveiliging

Adviespunten zonder directe impact

Bij het toetsen van ‘toegangsbeveiliging’ wordt onderzocht of de inrichting van de IT-omgeving de authenticiteit van de gebruiker van een gebruikersaccount borgt. Vervolgens onderzoeken wij de mogelijkheden voor het ‘steunen’ op autorisaties en de processen rondom het verstrekken, muteren en ontnemen van autorisaties binnen de omgeving. Wanneer de randvoorwaarden hiervoor voldoende aanwezig zijn, kunnen wij in de controle gebruikmaken van ingerichte functiescheiding in het systeem. Een adequate inrichting kan preventief risico’s voor de organisatie beperken en tegelijkertijd efficiencyvoordelen opleveren in de controle.

Bij het toetsen van ‘wijzigingsbeheer’ ofwel change management wordt vastgesteld dat wijzigingen aan de applicatie op gestructureerde en gecontroleerde wijze worden doorgevoerd. Voor de organisatie heeft wijzigingsbeheer ten doel om te voorkomen dat applicaties zich niet gedragen zoals de gemeente verwacht na een wijziging in de software, resulterend in, wellicht niet opgemerkte, (financiële) gevolgen. In het kader van de jaarrekeningcontrole beoordelen wij uitsluitend het wijzigingsbeheer van de applicaties. Onder de noemer continuïteit en beveiliging krijgen wij inzicht in de beheersing van risico’s gericht op continuïteit van de bedrijfsvoering. Hierbij kan discontinuïteit worden veroorzaakt door menselijk of technisch falen, maar ook door interne of externe kwaadwillenden. Voor continuïteit zijn met name het punt in de tijd tot waar de gemeente gegevens bij discontinuïteit kunt herstellen en de tijd die het kost om tot een normale bedrijfsvoering te komen bij discontinuïteit van belang. Hiernaast schatten wij de beheersing van cyber risico’s in. Het is voor ons van belang om inzicht te krijgen in de verantwoordelijkheden die binnen de organisatie zijn ingericht – of met andere organisaties overeen zijn gekomen (uitbesteding) – ten aanzien van de beheersing van de IT-omgeving.

Hierbij kijken wij naar beleidsstukken ten aanzien van IT-strategie, beveiliging en functiescheiding. Ook de interne beheersingsmaatregelen die al dan niet zijn ingericht binnen de ITomgevingen zijn onderdeel van onze scope. Indien maatregelen periodiek worden uitgevoerd, kunnen wij hier gebruik van maken in de jaarrekeningcontrole. Deze adviespunten hebben niet een directe impact op onze controlewerkzaamheden, maar zijn wel wenselijk. 25

Bevindingen IT-beheersing s 2022

Authenticatie

Autorisatie

2023

Authenticatie

Autorisatie

Authenticatie

Bevinding

Autorisatie

Op het netwerk zijn wachtwoordinstellingen adequaat ingeregeld. Wachtwoorden zijn van De hoge rechten in de Windows Active Directory zijn beperkt tot onafhankelijke voldoende lengte, complex en verlopen periodiek. Daarnaast kunnen wachtwoorden na 24 keer functionarissen in het kader van jaarrekeningcontrole. Binnen de gemeente is sprake hergebruikt worden. De gemeente maakt het gehele jaar gebruik van 2FA (two-factor van een vaste werkwijze voor het toekennen/wijzigen/ontnemen van toegangsrechten. authenticatie) waarmee het risico voldoende is gemitigeerd dat kwaadwillende derden (op Autorisaties worden echter niet toegekend op basis van een functie-autorisatiematrix op afstand) toegang kunnen verkrijgen tot het netwerk via de bestaande gebruikersaccounts. Voor basis waarvan autorisaties ook kunnen worden getoetst. remote inloggen wordt binnen de gemeente gebruik gemaakt van OpenVPN. De two-factor authenticatie bestaat uit (1) een verificatie via een authenticator-app en (2) een gebruikersnaam en wachtwoord. Aan dit wachtwoord zijn voldoende eisen gesteld, echter zijn verschillende accounts uitgezonderd van het periodiek wijzigen van het wachtwoord. Dit betreft accounts van externen en serviceaccounts. Van deze serviceaccounts verloopt het wachtwoord om technische redenen niet.

Door het ontbreken van een maximale wachtwoordduur van de serviceaccounts waar gebruikers op inloggen bestaat het risico dat gebruikers op een ander serviceaccount kunnen inloggen.

Het risico bestaat dat autorisaties gedateerd zijn en als gevolg hiervan bedoelde functiescheidingen worden doorbroken.

Risico

Aanbeveling

De gemeente kan verdere verbetering doorvoeren door automatisch wachtwoordwijzigingen af De gemeente kan verdere verbeteringen doorvoeren door op basis van een te dwingen voor alle accounts waar gebruikers op inloggen. risicoanalyse een functie-autorisatiematrix op te stellen en de ingerichte autorisaties daaraan periodiek en aantoonbaar te toetsen. Wij hebben vernomen dat dit binnen de huidige IT-infrastructuur een grote inspanning vergt en derhalve op dit moment moeilijk uitvoerbaar is. De bevindingen ten aanzien van autorisatie leiden tot het niet kunnen verkrijgen van controlezekerheid ten aanzien van de inrichting van de autorisaties op het netwerk gedurende het boekjaar. Vanwege het ontbreken van een autorisatiematrix en zichtbare periodieke toetsing aan deze matrix.

Gevolgen voor de jaarrekeningcontrole 26

Bevindingen IT-beheersing s 2022

Authenticatie

Autorisatie

Authenticatie

Bevinding

Risico

Wijzigingsbeheer

2023

Authenticatie

Autorisatie

Wijzigingsbeheer

Autorisatie

Binnen de applicatie Key2Financiën zijn de De hoge rechten (Administrator rechten) in de applicatie wachtwoordinstellingen adequaat ingeregeld. Wachtwoorden Key2Financiën zijn niet beperkt tot onafhankelijke zijn van voldoende lengte, complex en verlopen periodiek. functionarissen, maar zijn ook in handen van medewerkers Daarnaast is het hergebruik van wachtwoorden niet in het financiële proces. Binnen de gemeente is sprake van toegestaan, waardoor eerder verkregen wachtwoorden niet een vaste werkwijze voor het toekennen/wijzigen/ontnemen misbruikt kunnen worden. van toegangsrechten. Autorisaties worden echter niet toegekend op basis van een functie-autorisatiematrix op basis waarvan autorisaties kunnen worden getoetst. n.v.t. Het risico bestaat dat bedoelde functiescheiding binnen de applicatie wordt doorbroken. Gebruikers met hoge rechten beschikken over de mogelijkheid om gebruikers aan te maken en rechten en rollen toe te kennen en beoogde functiescheiding te omzeilen.

Wijzigingsbeheer Wijzigingen binnen de applicatie Key2Financiën worden eerst uitgerold in een test-omgeving en aantoonbaar getest aan de hand van testprotocollen. Hierbij worden zowel de bestaande functionaliteit als de nieuwe functionaliteit uitvoerig getest. De uitrol op de productie-omgeving wordt, op verzoek van de gemeente, volledig uitgevoerd door de leverancier. n.v.t.

n.v.t.

Aanbeveling

Gevolgen voor de jaarrekeningcontrole

Wij raden het college aan om de hoge rechten uitsluitend te n.v.t. beleggen bij onafhankelijke functionarissen of om apartebeheeraccounts te gebruiken voor het uitvoeren van beheertaken en periodiek een onafhankelijke interne controle uit te voeren op de acties die zijn uitgevoerd met deze beheeraccounts. Wij adviseren het college op basis van een risicoanalyse een functie-autorisatiematrix op te stellen en de ingerichte autorisaties daaraan periodiek en aantoonbaar (eventueel risico gebaseerd) te toetsen. Wij hebben vernomen dat dit binnen de huidige IT-infrastructuur een grote inspanning vergt en derhalve op dit moment moeilijk uitvoerbaar is. De bevindingen ten aanzien van autorisatie leiden tot het niet kunnen verkrijgen van controlezekerheid ten aanzien van de inrichting van de autorisaties binnen de applicatie.

27

Bevindingen IT-beheersing s 2022

Authenticatie

Wijzigingsbeheer

2023

Authenticatie

Autorisatie

Wijzigingsbeheer

Authenticatie

Autorisatie

Binnen de applicatie Suites voor het Sociaal Domein zijn de wachtwoord instellingen adequaat ingeregeld. Wachtwoorden zijn van voldoende lengte, complex en verlopen periodiek.

Binnen de gemeente is sprake van een vaste werkwijze voor Wijzigingen binnen de applicatie Suites voor het Sociaal Domein worden eerst uitgerold in een test-omgeving en het toekennen/wijzigen/ontnemen van toegangsrechten. aantoonbaar getest aan de hand van een testprotocol. Als Ondanks dat er een autorisatiematrix aanwezig is, worden de autorisaties niet toegekend aan de hand van deze matrix. onderdeel van de processen met betrekking tot wijzigingsbeheer wordt een risico-inschatting gemaakt welke Daarnaast zijn de applicatiebeheerrechten voor een deel als uitgangspunt wordt genomen bij de uitvoering van belegd bij functionarissen die een rol hebben in de testwerkzaamheden. De keuzes die bij de risico-inschatting operationele processen. worden gemaakt zijn achteraf niet aantoonbaar. Het risico bestaat dat bedoelde functiescheiding binnen de Deze bevinding leidt tot het risico dat wijzigingen worden applicatie wordt doorbroken. Gebruikers met hoge rechten doorgevoerd in de applicatie die impact hebben op de beschikken over de mogelijkheid om gebruikers aan te functionaliteit die binnen de organisatie wordt gebruikt. Dit maken en rechten en rollen toe te kennen en beoogde kan impact hebben op de continuïteit van de functiescheiding te omzeilen. bedrijfsprocessen.

Bevinding

n.v.t.

Risico n.v.t.

Aanbeveling

Autorisatie

Wijzigingsbeheer

Wij raden het college aan om de hoge rechten uitsluitend te Wij raden het college aan om keuzes die gemaakt worden bij de uitvoering van testwerkzaamheden van onderbouwing te beleggen bij onafhankelijke functionarissen of om aparte voorzien en dit vast te leggen. beheeraccounts te gebruiken voor het uitvoeren van beheertaken en periodiek een onafhankelijke interne controle uit te voeren op de acties die zijn uitgevoerd met deze beheeraccounts. Wij adviseren het college om autorisaties toe te kennen op basis van de autorisatiematrix. Verder raden wij aan om de ingerichte autorisaties periodiek en aantoonbaar te toetsen aan de hand van de autorisatiematrix.

De bevindingen ten aanzien van autorisatie leiden tot het niet kunnen verkrijgen van controlezekerheid ten aanzien van de inrichting van de autorisaties binnen de applicatie.

Gevolgen voor de jaarrekeningcontrole

28

Bevindingen IT-beheersing s 2023

Autorisatie

Wijzigingsbeheer

Authenticatie

Autorisatie

Binnen de applicatie RAET/Youforce zijn de wachtwoord instellingen adequaat ingeregeld. Daarnaast loggen gebruikers in middels Multi-Factor-Authenticatie.

Binnen de gemeente is sprake van een vaste werkwijze voor De organisatie maakt gebruik van de SaaS/Cloud applicaties RAET/Youforce. De leverancier is primair verantwoordelijk het toekennen/wijzigen/ontnemen van toegangsrechten. voor het uitvoeren van updates. Binnen de organisatie wordt Ondanks dat er een autorisatiematrix aanwezig is, worden de autorisaties niet toegekend aan de hand van deze matrix. in beperkte mate een beoordeling uitgevoerd van impact van wijzigingen op de processen bij de gemeente. Daarnaast is Daarnaast zijn de applicatiebeheerrechten voor een deel regievorming op de uitbesteding aan de SaaS-leverancier op belegd bij functionarissen die een rol hebben in de dit moment informeel vormgeven. operationele processen.

n.v.t.

Het risico bestaat dat bedoelde functiescheiding binnen de applicatie wordt doorbroken. Gebruikers met hoge rechten beschikken over de mogelijkheid om gebruikers aan te maken en rechten en rollen toe te kennen en beoogde functiescheiding te omzeilen.

n.v.t.

Wij raden het college aan om de hoge rechten uitsluitend te Wij raden het college aan om aantoonbaar testwerkzaamheden uit te voeren ten aanzien van impact beleggen bij onafhankelijke functionarissen of om aparte van wijzigingen in de applicatie op de bedrijfsprocessen. beheeraccounts te gebruiken voor het uitvoeren van beheertaken en periodiek een onafhankelijke interne controle Daarnaast adviseren wij het college om de regievoering op de leverancier te formaliseren en de leverancier actief te uit te voeren op de acties die zijn uitgevoerd met deze beheeraccounts. Wij adviseren het college om autorisaties toetsen op naleving van de gemaakte afspraken. toe te kennen op basis van de autorisatiematrix. Verder raden wij aan om de ingerichte autorisaties periodiek en aantoonbaar te toetsen aan de hand van de autorisatiematrix.

Bevinding

Risico

Aanbeveling

Authenticatie

Wijzigingsbeheer

Deze bevinding leidt tot het risico dat wijzigingen worden doorgevoerd in de applicatie die impact hebben op de functionaliteit die binnen de organisatie wordt gebruikt. Dit kan impact hebben op de continuïteit van de bedrijfsprocessen.

De bevindingen ten aanzien van autorisatie leiden tot het niet kunnen verkrijgen van controlezekerheid ten aanzien van de inrichting van de autorisaties binnen de applicatie.

Gevolgen voor de jaarrekeningcontrole

29

Bevindingen IT-beheersing Detailbevindingen interne beheersing – Adviespunten inzake continuïteitsmaatregelen en beveiliging Let op: de onderwerpen volgen uit interviews en hierop zijn door ons over het algemeen geen testwerkzaamheden uitgevoerd om vast te stellen dat de IT-omgeving is ingericht zoals ons voorgesteld is. Dit beperkt de zekerheid die u kunt ontlenen aan de door ons beschreven aandachtspunten.

Back-ups: Wij hebben vernomen dat binnen de organisatie dagelijks back-ups worden gemaakt naar verschillende, fysiek gescheiden, locaties. Bovendien wordt binnen de organisatie actief gemonitord op een juiste werking van de back-up software. Wij hebben hierop geen bevindingen geconstateerd.

Recovery: Middels Veeam worden in de praktijk regelmatig back-ups teruggezet bij de organisatie. Hiermee wordt de werking van de software gemonitord. Aanvullend hebben wij vernomen dat de software zelf virtuele controles uitvoert, waarmee naar onze mening het proces goed in de grip wordt gehouden. Wij raden aan om ook periodiek gestructureerde recovery testen uit te voeren.

Uitwijk: Wij hebben vernomen dat de gemeente Terneuzen beschikt over een uitwijklocatie voor de IT-infrastructuur (Axel) waar, in geval van calamiteit, op teruggevallen kan worden. Bovendien hebben we vastgesteld dat er voor dit proces werkinstructies beschikbaar zijn. Wij adviseren het college dit proces jaarlijks te testen, de bevindingen hieruit vast te leggen en te gebruiken voor verbetering van het proces. Er zijn plannen om de uitwijklocatie elders onder te brengen, echter is dit nog niet uitgevoerd.

Vervolg beveiliging

Beveiliging De beveiliging van de IT-omgeving delen wij op in verschillende aspecten, welke wij hieronder hebben weergegeven.

Monitoring: Wij hebben vernomen dat de virusscanners en firewalls proactief worden gemonitord. De gemeente heeft een partij gecontracteerd voor de periodieke uitvoering van kwetsbaarheidsscans. In mei 2023 is een penetratietest uitgevoerd. De gemeente heeft besloten om pentesten op de IT-omgeving jaarlijks uit te voeren.

Fysieke beveiliging: De serverruimten zijn adequaat voorzien van beveiligingsmaatregelen en derhalve niet toegankelijk voor onbevoegden. Bovendien is de fysieke toegang tot het gemeentehuis en de serverruimten beperkt middels toegangspassen.

Preventie: Firewalls en virusscanners zijn aanwezig binnen de verschillende netwerklagen en infrastructurele componenten. Daarnaast zijn dit jaar verschillende activiteiten uitgevoerd om het bewustzijn van medewerkers op het gebied van informatiebeveiliging te vergroten. De gemeente heeft in dit kader onder andere gebruik gemaakt van bewustwordingstrainingen en phishing campagnes.

Remote access: Voor het extern inloggen wordt gebruik gemaakt van extra beveiligingsmaatregelen door middel van twofactor authenticatie. Hiermee wordt het risico op ongeautoriseerde toegang tot kwaadwillende derden sterk gemitigeerd. 30

Bevindingen IT-beheersing Detailbevindingen interne beheersing – Overige adviespunten IT zonder directe impact Let op: de onderwerpen volgen uit interviews en hierop zijn door ons over het algemeen geen testwerkzaamheden uitgevoerd om vast te stellen dat de IT-omgeving is ingericht zoals ons voorgesteld is. Dit beperkt de zekerheid die u kunt ontlenen aan de door ons beschreven aandachtspunten.

Beleid Binnen de organisatie is geen uitgewerkt IT beleidsplan aanwezig, waarin de uitgangspunten voor IT beheer en ontwikkelingen zijn beschreven. Echter zijn de uitgangspunten ten aanzien van informatiebeveiliging vastgelegd in het informatiebeveiligingsbeleid voor de periode (2022-2025). Middels de ISMS wordt ten aanzien van informatiebeveiliging jaarlijks de PDCAcyclus uitgevoerd. Verantwoordelijkheden en regiefunctie Wij verwachten dat binnen de organisatie duidelijke afspraken zijn gemaakt ten aanzien van verantwoordelijkheden over uitvoering en strategie op het gebied van IT. Het team I&A draagt zorg voor de verantwoordelijkheden en regiefunctie ten aanzien van IT. Binnen de gemeente is de strategische rol van de CISO ‘buiten de lijn’ geplaatst en onderdeel van de concernstaf.

Verantwoordelijkheden en regiefunctie (vervolg) Hiermee is onafhankelijkheid van deze functionaris geborgd. Daarnaast verwachten wij dat binnen de organisatie op basis van een risicoanalyse organisatiebreed wordt nagedacht over kritische functiescheiding. Dit resulteert in rollen op basis waarvan o.a. autorisaties in applicaties toegekend kunnen worden. Hoewel wij geconstateerd hebben dat het college op bepaalde gebieden binnen processen heeft nagedacht over functiescheiding, is er geen organisatiebrede functie-autorisatiematrix beschikbaar. Wij adviseren het college organisatiebreed op basis van een risicoanalyse te kijken naar kritische functiescheiding en de daaruit resulterende functie-autorisatiematrix te gebruiken als basis voor de toekenning van autorisaties binnen de verschillende applicaties.

Beheersing van incidenten (vervolg) We hebben vernomen dat de organisatie gebruik maakt van het ticketsysteem TopDesk voor de registratie van incidenten. Deze applicatie is bekend bij de gebruikers in de organisatie en wordt structureel gebruikt voor de vastlegging en afhandeling van incidenten.

Uitvoering beheersingsmaatregelen IT Op verschillende vlakken worden (nog) geen toetsbare beheersingsmaatregelen uitgevoerd binnen de organisatie. Denk aan: ▪ Procedure voor wijzigingsbeheer (zie ook punt ‘Wijzigingsbeheer’) ▪ Periodieke controle op inrichting van wachtwoordbeleid.

Beheersing van incidenten Om de performance van de IT systemen en de performance van de IT dienstverlener te monitoren, is registratie van de incidenten en problemen van belang. Hierdoor verkrijgt de gemeente inzicht in de performance van de systemen, maar ook van de IT organisatie en de gemeente waar nodig het beleidsplan corrigeren.

31

Contactgegevens drs. A.R.M. Peelen RA Partner r.peelen@bakertilly.nl

D. Eijke MSc RA Senior Manager d.eijke@bakertilly.nl

Kantoorgegevens: Baker Tilly (Netherlands) N.V. Stationspark 8b 4460 DZ Goes Postbus 85 T: 0113-24 20 00

32