2025-02-06 IC8 - Afschrift Boardletter gemeente Terneuzen 2024 was getekend DEF

Boardletter Gemeente Terneuzen Boekjaar 2024

Aanbiedingsbrief | 1. Management samenvatting | 2. Kwaliteit interne beheersing | 3. IT-omgeving | 4. Jaarrekeningcontrole

Geachte leden van de raad, Aan de raad van de gemeente Terneuzen Stadhuisplein 1 4531 GZ TERNEUZEN ONDERWERP Boardletter 2024

DATUM 6 december 2024

Als onderdeel van de jaarrekeningcontrole van boekjaar 2024 van de gemeente Terneuzen rapporteren wij u onze bevindingen uit de interimcontrole. In onze boardletter beschrijven we de belangrijkste risico’s, ons beeld van de interne beheersing, relevante ontwikkelingen in wet- en regelgeving en indien van toepassing andere veranderingen die voor u relevant kunnen zijn.

Onze bevindingen komen voort uit onze werkzaamheden in het kader van de jaarrekeningcontrole en zijn opgenomen voor zover wij het van belang achten om deze met u te communiceren. De bevindingen en aanbevelingen dienen te worden gelezen als constructieve aanwijzingen voor het college om de interne beheersing van de gemeente Terneuzen continue te blijven (door)ontwikkelen. Deze boardletter is door ons opgesteld voor uw informatie en mag niet zonder onze uitdrukkelijke toestemming geheel of gedeeltelijk aan derden ter beschikking worden gesteld. Wij danken het college en de medewerkers van de gemeente voor de samenwerking en zijn graag bereid tot het verstrekken van nadere toelichting. Met vriendelijke groet,

Baker Tilly (Netherlands) N.V.

Was getekend drs. A.R.M. Peelen RA Partner

Boardletter 2024 gemeente Terneuzen

2

1

Management samenvatting

Aanbiedingsbrief | 1. Management samenvatting | 2. Kwaliteit interne beheersing | 3. IT-omgeving | 4. Jaarrekeningcontrole

Management samenvatting Onderwerp

Toelichting

Timing van de werkzaamheden

Deze boardletter bevat onze bevindingen die zijn gebaseerd op onze werkzaamheden in het kader van de jaarrekeningcontrole voor boekjaar 2024. Onze algehele conclusie is dat de interne beheersing in de basis op orde is. We hebben geen significante tekortkomingen in de administratieve organisatie / interne controle geconstateerd. Wel geven we in deze boardletter een aantal aanbevelingen mee om processen verder te optimaliseren.

Interne beheersing

Aantal bevindingen opgelost

Op de goede weg om de laatste bevindingen op te lossen

Boardletter 2024 gemeente Terneuzen

Verder zien we dat de gemeente Terneuzen haar visie op interne beheersing heeft beschreven aan de hand van een drietal bouwstenen, namelijk: Sturingsfilosofie en verdedigingslinies, Integraal risicomanagement en Lerend vermogen & verbetercultuur. We achten het een positieve ontwikkeling dat de gemeente haar visie op interne beheersing gedetailleerd heeft beschreven, waarmee de administratieve organisatie en interne beheersing de komende jaren verder doorontwikkeld kan worden. We constateren dat de gemeente Terneuzen in het afgelopen jaar wederom een aantal detailbevindingen uit voorgaande jaren heeft opgevolgd. Ook zijn dusdanige mitigerende maatregelen getroffen. Hierdoor is het restrisico van onze bevinding dusdanig laag is dat deze naar onze mening is opgevolgd. Zo constateren we onder andere dat onze bevindingen met een hoge prioriteit (PGB’s en de aanbestedingsanalyse) opgevolgd zijn. We zien daarmee dat de gemeente Terneuzen een blijvende focus heeft op het verbeteren van de administratieve organisatie, interne beheersing en interne controle binnen de gemeente. Een aantal bevindingen zijn per datum van onze interim-controle nog niet opgelost. De belangrijkste bevindingen zien toe op het thema gedrag en cultuur binnen de organisatie. Voorbeelden hiervan zijn het vastleggen van de prestatielevering en het aanmaken van een inkoopverplichting.

We stellen daarbij vast dat binnen de organisatie aandacht is voor deze aspecten maar dat hierin nog verdere groei mogelijk is. Verder zien we dat de gemeente op alle nog resterende bevindingen stappen heeft gezet die uiteindelijk moeten zorgen dat de bevindingen opgelost worden. Zo is in de planning opgenomen dat vanaf 2025 collegiale toetsing zal plaatsvinden binnen de processen subsidies en omgevingsvergunningen. We adviseren de gemeente deze verbeteringen door te voeren zodat deze bevindingen in 2025 opgelost zijn. 4

Aanbiedingsbrief | 1. Management samenvatting | 2. Kwaliteit interne beheersing | 3. IT-omgeving | 4. Jaarrekeningcontrole

Management samenvatting Onderwerp

Toelichting

IT-omgeving

In het kader van onze jaarrekeningcontrole hebben we de interne beheersing rondom de IT-omgeving in kaart gebracht. Wij hebben het netwerk, de financiële applicatie Key2Finance en de Suite voor het sociaal domein onderzocht. De uitkomsten hiervan zijn opgenomen in hoofdstuk 3. Onze belangrijkste bevinding ziet toe op ingeregelde autorisaties in Key2Financiën. Ten aanzien van autorisaties stellen we vast dat hoge rechten niet volledig belegd zijn bij onafhankelijke functionarissen. Hiervoor heeft de organisatie maatregelen getroffen om dit risico te beperken.

NIS2

In Nederland is de Cyberbeveiligingswet (verder: Cbw) in ontwikkeling die vanaf 2025 verplicht zal worden. De wet zal naar verwachting in het voorjaar van 2025 worden ingevoerd. Wij adviseren om, vanuit een actueel inzicht in de ITobjecten en gegevens in de waardeketen, de risico’s, maatregelen en contractuele afspraken in kaart te brengen. We hebben vernomen dat de gemeente een eerste inventarisatieronde van mogelijke risico’s heeft uitgevoerd. Daarop aanvullend dienen vervolgens een aantal basismaatregelen conform de nieuwe wet ingericht te worden.

Beheersing van frauderisico’s

Op basis van onze uitgevoerde interim-controle stellen wij vast dat er binnen de gemeente aandacht is voor frauderisico’s en de preventie daarvan. Zo heeft de gemeente een frauderisicoanalyse opgesteld. We adviseren om de frauderisicoanalyse jaarlijks te actualiseren om vast te stellen in hoeverre de beheersmaatregelen en restrisico’s nog passend zijn.

Voorbereidingen jaarrekeningcontrole 2024

We maken met de gemeente afspraken over de planning van de jaarrekeningcontrole. We identificeren op voorhand een aantal onderwerpen met verhoogde aandacht in onze controle. Dit betreffen met name de controle op de naleving van de rechtmatigheidsverantwoording, de controle op de prestatielevering van inkopen en de controle op de naleving van de Wet Normering Topinkomens.

Onderlinge samenwerking

De samenwerking met de gemeente Terneuzen verloopt op een effectieve wijze. We hebben met de gemeente Terneuzen duidelijke afspraken gemaakt met betrekking tot de controle van de interne beheersing / processen en de jaarrekeningcontrole. De gemaakte afspraken zijn tot op heden nagekomen.

Boardletter 2024 gemeente Terneuzen

5

2

Kwaliteit interne beheersing

Aanbiedingsbrief | 1. Management samenvatting | 2. Kwaliteit interne beheersing | 3. IT-omgeving | 4. Jaarrekeningcontrole

Kwaliteit van de interne beheersing Onderwerp

Omschrijving

Inleiding

Deze boardletter bevat onze bevindingen ten aanzien van de interne beheersing (inclusief de IT-omgeving), die zijn gebaseerd op onze werkzaamheden in het kader van de jaarrekeningcontrole 2024. Deze werkzaamheden zijn dan ook niet gericht op het geven van een oordeel over de interne beheersing van de organisatie als geheel. Een goede interne beheersing maakt dat de risico’s voor de organisatie beter beheersbaar zijn en de jaarrekeningcontrole effectiever en efficiënter kan plaatsvinden. Vanuit onze natuurlijke adviesfunctie willen wij bijdragen aan de verbetering van de bedrijfsvoering, onder andere door het analyseren van de IT-omgeving en de bedrijfsprocessen. De invoering van de rechtmatigheidsverantwoording door het college in het afgelopen jaar stelt hogere eisen aan het interne beheersingssysteem. De aanwezigheid van een adequaat intern (financieel) beheersingssysteem is daarbij een essentiële randvoorwaarde om te kunnen bijsturen en de betrouwbaarheid van financiële informatie en verslaglegging is van groot belang om dit tijdig en goed te kunnen doen.

Algehele conclusie: de interne beheersing is op orde

In lijn met eerdere jaren constateren we bij de gemeente Terneuzen dat de processen in de basis op orde zijn en er geen significante tekortkomingen zijn ten aanzien van de processen. We constateren dat de gemeente Terneuzen, mede op basis van de actuele procesbeschrijvingen, de primaire functiescheiding in beginsel heeft ingeregeld. Daarbij constateren we dat er sprake is van een constructieve grondhouding om verbeteringen in processen door te voeren en aan de slag te gaan met geconstateerde bevindingen. Wel constateren we dat op onderdelen de interne beheersingsmaatregelen in het proces nog onvoldoende verankerd danwel onvoldoende zichtbaar zijn. Een voorbeeld hiervan is de prestatielevering op inkopen. De gemeente Terneuzen heeft primair ingeregeld dat sprake is van functiescheiding. Het is achteraf echter lastig vast te stellen of de interne beheersing specifiek voor het onderdeel prestatielevering heeft gewerkt. Hierdoor kan achteraf niet vastgesteld worden of de afgesproken procedures en interne controles bestaan en/of gewerkt hebben.

Interne controles

Vanuit de organisatie zijn er bewuste keuzes gemaakt om in eerste instantie gegevensgerichte werkzaamheden uit te voeren, waarbij het doel is om in de toekomst meer systeemgerichte werkzaamheden te verrichten. We constateren daarbij dat voor een aantal processen de interne controles door de tweede lijn (bijvoorbeeld kwaliteitsmedewerkers) worden uitgevoerd. De derde lijn (V)IC controleert vervolgens een aantal uitgevoerde interne controles. We achten het een positieve ontwikkeling dat de ‘three lines of defense’ verder ingevuld worden.

Boardletter 2024 gemeente Terneuzen

7

Aanbiedingsbrief | 1. Management samenvatting | 2. Kwaliteit interne beheersing | 3. IT-omgeving | 4. Jaarrekeningcontrole

Kwaliteit van de interne beheersing Onderwerp

Omschrijving

Beschreven visie op interne beheersing

We hebben vastgesteld dat de gemeente Terneuzen haar visie op interne beheersing uitgebreid beschreven heeft om rechtmatig, doelmatig en doeltreffend te handelen. Deze visie bestaat uit een drietal bouwstenen, te weten: 1. Sturingsfilosofie & verdedigingslinies (three-lines of defense) 2. Integraal risicomanagement 3. Lerend vermogen & verbetercultuur We merken daarbij op dat de gemeente in toereikende mate aandacht heeft voor zowel harde controls, alsook soft-controls. Ook zijn er duidelijke randvoorwaarden beschreven, zoals de verantwoordelijkheden van medewerkers, het proces omtrent risico identificatie en risicobeheersing en het (tijdig) verkrijgen van betrouwbare sturingsinformatie. In de komende periode zal de gemeente Terneuzen voor de drie bouwstenen uitwerken hoe deze vormgegeven zullen worden, en welke acties ondernomen gaan worden om hieraan invulling te geven. Zo is de gemeente Terneuzen voornemens hiervoor software aan te schaffen. Dit zal resulteren in een uitvoeringsagenda met concrete acties. Daarnaast heeft de gemeente software aangeschaft om haar controles gestructureerd in vast te leggen. Ook introduceert de gemeente halfjaarlijks IBdialogen, waarin de concerncontroller, afdelingshoofden, teamleiders en portefeuillehouders de interne beheersing van de gemeente bespreken.

We achten het een positieve ontwikkeling dat de gemeente haar visie op interne beheersing gedetailleerd heeft beschreven, waarmee de administratieve organisatie en interne beheersing de komende jaren verder doorontwikkeld kan worden.

Rechtmatigheidsverantwoording

Het college heeft bij de jaarrekening 2023 voor het eerst een rechtmatigheidsverantwoording opgenomen in de jaarstukken. Op basis van onze controle constateren we dat de gemeente een goed proces heeft doorlopen om te komen tot de rechtmatigheidsverantwoording. In aanloop naar de jaarrekeningcontrole heeft de commissie BBV meerdere uitspraken gedaan ten aanzien van de rechtmatigheidsverantwoording en meer specifiek ten aanzien van de component begrotingsrechtmatigheid. In dat licht achten we het verstandig om de financiële verordening van de gemeente nader te bekijken of afspraken tussen raad en college nu duidelijk tot uitdrukking komen in de financiële verordening. Het gaat hierbij met name om het afspreken van eenduidige spelregels omtrent: • het begrip tijdigheid ten aanzien van de begrotingsrechtmatigheid; • welke begrotingsonrechtmatigheden worden wel gerapporteerd en welke niet. Zijn alle afwijkingen op de begroting onrechtmatig of worden lastenonderschrijdingen en batenoverschrijdingen anders gewogen?

Boardletter 2024 gemeente Terneuzen

8

Aanbiedingsbrief | 1. Management samenvatting | 2. Kwaliteit interne beheersing | 3. IT-omgeving | 4. Jaarrekeningcontrole

Kwaliteit van de interne beheersing In het overzicht hiernaast zijn de bevindingen met de ingeschatte prioriteit opgenomen. De kleur van de het symbool geeft de status van de constatering aan. opgelost actie ondernomen, maar nog niet afgerond – wel voortgang ten opzichte van vorig jaar actie ondernomen, maar nog niet afgerond – geen voortgang ten opzichte van vorig jaar geen actie ondernomen nieuwe bevinding

#

Proces

Bevinding

1

Inkopen

2

Prioriteit 2024

Prioriteit 2023

Borging volledigheid verplichtingenadministratie

Laag

Midden

Inkopen

Vastlegging prestatielevering inkopen

Midden

Midden

3

Subsidies

Collegiale toetsing subsidieverstrekking/subsidievaststelling ontbreekt

Midden

Midden

4

Omgevingsvergunningen

Collegiale toetsing omgevingsvergunningen ontbreekt

Midden

Midden

5

Algemene beheersomgeving

Gebruik van digitale handtekeningen

Midden

Midden

-

Aanbestedingen

Geen tussentijdse spend-analyse

-

Hoog

-

PGB

Prestatielevering

-

Hoog

-

Financiële administratie en verslaggeving

Te ruime rechten superusers bij begrotingswijzigingsproces

-

Midden

-

Uitkeringen Participatiewet

Geen (zichtbare) collegiale toetsing Participatiewet

-

Midden

-

Financieel afsluitproces

(Zichtbare) Collegiale toetsing op memoriaalboekingen ontbreekt

-

Midden

Toelichting prioriteit Prioriteit hoog: Prioriteit midden: Prioriteit laag:

Status

Bevinding op korte termijn opvolgen / impact hoog Bevinding op middellange termijn opvolgen / impact gemiddeld Bevinding op lange termijn opvolgen / impact laag

Boardletter 2024 gemeente Terneuzen

9

Aanbiedingsbrief | 1. Management samenvatting | 2. Kwaliteit interne beheersing | 3. IT-omgeving | 4. Jaarrekeningcontrole

Fraude- en corruptierisico’s Beheersing fraude- en corruptierisico’s

Frauderisicoanalyse De primaire verantwoordelijkheid voor het voorkomen en detecteren van fraude (waaronder corruptie) berust bij het college van burgemeester en wethouders. Deze verantwoordelijkheid betreft ook het onderhouden van een zodanige interne beheersing om het opmaken van de jaarrekening mogelijk te maken zonder dat deze afwijkingen van materieel belang bevat als gevolg van fraude of fouten.

Kans

Voor het opstellen van een frauderisicoanalyse is het raadzaam een template te gebruiken toegespitst op de gemeente. Hierin kan voor processen waar materiële opbrengsten-/kostenstromen mee zijn gemoeid, inzichtelijk worden gemaakt: • welke frauderisico’s de gemeente onderkent; • wat de geschatte kans en impact van deze frauderisico’s is; • wat de risicorespons van de gemeente is, idealiter afgestemd op de risicobereidheid van de gemeente zoals vastgelegd in frauderisicobeleid; • welke aandacht er is voor soft controls om fraude te voorkomen; • welke interne beheersmaatregelen reeds getroffen zijn om onderkende frauderisico’s te mitigeren; • welke eventuele restrisico’s/leemtes in de interne beheersing resteren en hoe de gemeente deze ondervangt (bijvoorbeeld via de verbijzonderde interne controle). Impact

De kans- en impactweging van frauderisico’s kan via een risicomatrix weergegeven worden om op basis daarvan prioriteiten te stellen in de wijze waarop met risico’s wordt omgegaan. Een voorbeeld van hoe een risicomatrix eruit kan zien is hiernaast opgenomen. Wij merken op dat het uitvoeren van een frauderisicoanalyse en het treffen van interne beheersmaatregelen, onderdeel vormen van het bredere ‘frauderisicomanagement’. Frauderisicomanagement omvat namelijk ook het opstellen van frauderisicobeleid (waarvan M&O-beleid ook onderdeel is), het opstellen van een frauderesponsplan voor situaties dat een vermoeden van fraude bestaat en het periodiek intern evalueren in hoeverre frauderisicomanagement voldoende is ingericht en toereikend werkt binnen de organisatie.

Op basis van onze uitgevoerde interim-controle stellen wij vast dat er binnen de gemeente aandacht is voor frauderisico’s en de preventie daarvan. In de visie op interne beheersing is risicomanagement één van de drie bouwstenen. Wij hebben vernomen dat de aanpak van deze bouwsteen verder uitgewerkt zal worden waarbij fraude en corruptie hiervan een onderdeel zal zijn. Momenteel heeft heft college hiervoor aandacht via de IB-dialogen. Als laatste constateren we dat de gemeente een frauderisicoanalyse heeft opgesteld hetgeen we positief achten. We adviseren om de frauderisicoanalyse periodiek (jaarlijks) te actualiseren om vast te stellen in hoeverre de geïdentificeerde frauderisico’s, beheersmaatregelen en restrisico’s nog passend zijn. Boardletter 2024 gemeente Terneuzen

10

Aanbiedingsbrief | 1. Management samenvatting | 2. Kwaliteit interne beheersing | 3. IT-omgeving | 4. Jaarrekeningcontrole

Fraude- en corruptierisico’s Beheersing fraude- en corruptierisico’s

Naleving M&O-beleid Wij benadrukken dat er een relatie is tussen fraude en misbruik en oneigenlijk gebruik (M&O). M&O is namelijk een vorm van fraude waarbij de nadruk ligt op handelingen van derden in relatie tot het verkrijgen van overheidsbijdragen dan wel het betalen van heffingen. Aangezien de naleving van het M&O-beleid onderdeel is van de rechtmatigheidsverantwoording, zou de toetsing op het naleven van het M&O beleid onderdeel moeten zijn van de werkzaamheden die gedaan worden ten behoeve van het opstellen van deze verantwoording. Zie hiervoor ook de ‘Kadernota Voorkomen en Bestrijden Misbruik en Oneigenlijk gebruik 2023’. We adviseren daarom formeel M&O-beleid op te stellen. We hebben vernomen dat dit beleid in concept gereed is en definitief wordt gemaakt op basis van de vastgestelde 'visie op interne beheersing. Onze frauderisicoanalyse Afgelopen jaren signaleren wij een toenemende aandacht voor fraude. Ook de rol van de accountant bij het signaleren van frauderisico’s is afgelopen jaren veelvuldig besproken. Naar aanleiding van de rapportage van de AFM ‘Scherper op frauderisico’s’ van 8 juni 2023 heeft onze beroepsorganisatie de aanpak van frauderisico’s in de controle geëvalueerd en is deze zomer de concept Handreiking 1153 ‘Frauderisicoanalyse’ gepubliceerd.

Daarnaast wijzen wij u op de Handreiking 1137 ‘Corruptie, werkzaamheden van de accountant’, waarin aandacht geschonken wordt aan corruptierisico’s. Wij willen u vragen om ook in de eigen frauderisicoanalyse aandacht te hebben voor mogelijke corruptierisico’s binnen de organisatie. De nadere guidance in Handreiking 1153 en 1137 kan er toe leiden dat dit gevolgen heeft voor de frauderisicoanalyse, die wij voor onze controle van uw gemeente uitvoeren. Dit kan dan tevens betekenen dat wij in vergelijking met voorgaande jaren meer of andere frauderisico's identificeren.

Boardletter 2024 gemeente Terneuzen

11

Aanbiedingsbrief | 1. Management samenvatting | 2. Kwaliteit interne beheersing | 3. IT-omgeving | 4. Jaarrekeningcontrole

Fraude- en corruptierisico’s Beheersing fraude- en corruptierisico’s

Op basis van deze aanscherping , de bedrijfsverkenning en de interim-controle onderkennen wij de volgende frauderisico’s bij onze jaarrekeningcontrole: Fraude-/corruptierisico 1

Risico dat het management van de gemeente de procesafspraken doorbreekt, hetgeen een standaard risico is vanuit onze beroepsregels.

De inschatting van het restrisico is bepalend voor de aard en diepgang van de aanvullend uit te voeren gegevensgerichte werkzaamheden. Naar aanleiding van de interim-controle hebben wij geen aanwijzingen voor mogelijke fraude.

Boardletter 2024 gemeente Terneuzen

12

3

IT omgeving

Aanbiedingsbrief | 1. Management samenvatting | 2. Kwaliteit interne beheersing | 3. IT-omgeving | 4. Jaarrekeningcontrole

IT-omgeving Inleiding

Als onderdeel van onze controleaanpak hebben wij werkzaamheden uitgevoerd om inzicht te krijgen in de toepassing van de IT systemen in de bedrijfsprocessen en de daarbij (eventueel) behorende risico’s. Tijdens onze interim-controle hebben wij controlewerkzaamheden uitgevoerd op relevante IT-beheersmaatregelen die de organisatie heeft genomen in de IT-processen; beheersen van de IT-operatie (IT-continuïteitsmaatregelen en uitbestede diensten), beheersen van updates (ontwikkelen en implementeren van nieuwe functionaliteit), beheersen van de identiteit van gebruikers (opzetten passende beveiligingsinstellingen) en beheersen van de bevoegdheden van gebruikers (verlenen en onderhouden van toegang). Afhankelijk van het belang van de IT-applicatie voor de jaarrekeningcontrole en de organisatie hanteren wij een bepaalde scope waarbij wij de uitkomsten van de IT-inrichting toetsen. Zie de onderstaande tabel voor de relevante IT-applicaties en de evaluatie van de IT-processen die door ons zijn gecontroleerd.

Samenvatting bevindingen

Veel handelingen die binnen organisaties plaatsvinden, worden geregistreerd door middel van automatisering. Daarbij zijn diverse interne beheersingsmaatregelen steeds vaker geautomatiseerd in softwarepakketten. Wij onderzoeken daarom de beheersing van de IT-omgeving en rapporteren daarover in deze boardletter. Op basis van de door ons uitgevoerde werkzaamheden in oktober 2024 hebben wij onze inschatting van de kwaliteit van de IT-systeem en/of applicaties opgenomen. Hierbij hebben wij de volgende onderverdeling gemaakt om de kwaliteit weer te geven: Actiepunt: verbetering op (korte) termijn Adviespunt: verdere aanscherping mogelijk Op dit moment voldoende Bij het uitvoeren van onze werkzaamheden hebben wij gekeken naar de algemene onderwerpen rondom de beheersing van de IT omgeving zoals in de tabel hieronder opgenomen. IT-proces Logische toegangsbeveiliging

IT-applicatie

Authenticatie

Autorisatie

Wijzigingsbeheer

Continuïteit

Key2Financien

n.v.t

Suite Voor Sociaal Domein

n.v.t

Netwerk

Boardletter 2024 gemeente Terneuzen

n.v.t

14

Aanbiedingsbrief | 1. Management samenvatting | 2. Kwaliteit interne beheersing | 3. IT-omgeving | 4. Jaarrekeningcontrole

IT-omgeving Cybersecurity

Als onderdeel van de jaarrekeningcontrole hebben wij inzicht gekregen in de cybersecurity-gerelateerde risico’s die zouden kunnen leiden tot een potentiële afwijking van materieel belang in de jaarrekening (met betrekking tot zowel financiële als niet-financiële informatie). Hiervoor hebben wij inzicht gekregen in de mate waarin, en de overweging waarom de organisatie bepaalde informatiebeveiligingsmaatregelen heeft genomen om deze cyberrisico's te beperken. Om het risico van cyberbeveiligingsbedreigingen (d.w.z. continuïteit van de dienstverlening en integriteit van de financiële verslaglegging) te verlagen, heeft de organisatie een mix van beveiligingsmaatregelen geïmplementeerd, waaronder: • Preventieve controles: bewustzijnscampagnes, beveiliging van IT-componenten en netwerksegmentatie. MFA i.c.m. extern inloggen. • Detectieve controles: Firewall, anti-virusscan. • Monitoring: kwetsbaarheidsscans / pentest.

Onze controlewerkzaamheden zijn niet primair gericht op het doen van uitspraken over cyberbeveiliging en we hebben ook geen instructies van het management in die zin ontvangen voor het uitvoeren van meer diepgaande werkzaamheden. Indien de gemeente daar behoefte aan heeft, kan onze IT-Advisory diepgaande cybersecurity werkzaamheden uitvoeren via een IT-verdiepingsopdracht. NIS2

In Nederland is de Cyberbeveiligingswet (verder: Cbw) in ontwikkeling die vanaf 2025 verplicht zal worden en de EU richtlijn NIS2 (verder: Network and Information Systems Directive) implementeert. De wet is uit de consultatieronde en wordt na de zomer definitief gemaakt voor invoering naar verwachting in najaar 2025. Dit heeft betrekking op meerdere sectoren, waaronder de sector waar uw gemeente onder valt. Er worden strengere eisen gesteld aan de beveiliging van netwerk- en informatiesystemen. Organisaties worden onder de Cbw meer dan nu verplicht om te zorgen voor de beveiliging van de hele keten waar zij deel van uitmaken. Op basis van het risico in de leveringsketen zullen zij cybersecurity maatregelen moeten opleggen aan hun leveranciers. Die groep leveranciers zal ook digitaal veiliger moeten gaan werken. Daarnaast komt er een verplichte registratie en meldplicht voor incidenten (naast degene die al bestaat voor privacy). Er worden maatregelen ingevoerd om de naleving van de NIS2 richtlijn te verzekeren, inclusief financiële sancties voor niet-naleving. Wij adviseren om vanuit een actueel inzicht in de IT-objecten en gegevens in de keten waarvan uw gemeente deel uitmaakt de risico’s te benoemen en maatregelen en contractuele afspraken scherp in beeld te hebben. We hebben vernomen dat de gemeente een eerste inventarisatieronde heeft uitgevoerd met mogelijke risico’s.

Daarop aanvullend dienen vervolgens een aantal basis hygiëne maatregelen conform de nieuwe wet ingericht te worden. Wij hebben hiervoor een stappenplan ontwikkeld en kunnen de gemeente hierbij ondersteunen.

Boardletter 2024 gemeente Terneuzen

15

4

Voorbereiding jaarrekeningcontrole

Aanbiedingsbrief | 1. Management samenvatting | 2. Kwaliteit interne beheersing | 3. IT-omgeving | 4. Jaarrekeningcontrole

Voorbereiding jaarrekeningcontrole Algemeen

Om aan uw behoeften te kunnen voldoen en om het proces voor de jaareinde controle verder te kunnen verbeteren, vinden wij het belangrijk om vooraf afspraken te maken, het proces regelmatig te evalueren en onze bevindingen met u te delen. Om achteraf verrassingen te voorkomen willen wij de hieronder opgenomen werkafspraken met de gemeente maken.

Planning

Wij starten met de jaarrekeningcontrole in maart 2025. Om de jaarrekeningcontrole efficiënt te laten verlopen is het belangrijk dat vóór deze datum een conceptjaarrekening inclusief sluitende brugstaat en controledocumentatie aanwezig is. Voor de benodigde controledocumentatie (het balansdossier) zullen wij een aparte PBC lijst aanleveren, inclusief deadlines voor de aanlevering van de documentatie.

Deelwaarnemingen en gegevensgerichte werkzaamheden

Voor aanvang van de jaareinde controle zullen wij de belangrijkste deelwaarnemingen uitzetten. Hiervoor is het noodzakelijk dat de gemeente tijdig de administratie(s) afsluit en de auditfile(s) aan het controleteam verstrekt. Het vooraf uitzetten van onze selecties heeft als bijkomend voordeel dat medewerkers de benodigde controle documentatie op een door hun gekozen moment (voor aanvang van de controle) kunnen verzamelen. Daarnaast maken wij in onderling overleg afspraken welke gegevensgerichte controlewerkzaamheden naar voren gehaald kunnen worden.

Kwaliteit van cruciaal belang

Voor een efficiënte controle en korte doorlooptijd is van cruciaal belang om een interne kwaliteitscheck uit te voeren op de door de medewerkers aangeleverde stukken. Dit voorkomt onnodige vragen en uitzoekwerk gedurende de jaarrekeningcontrole.

Onze verwachtingen

Om een kwalitatief goede en efficiënte controle uit te voeren verwachten wij van de gemeente: • Complexe vraagstukken worden vooraf met ons afgestemd op basis van een eigen standpunt; • Tijdige aanlevering van de (volledige) jaarrekening aansluitend met de administratie en het concept jaarverslag; • Maximaal twee versies van de jaarrekening (concept en definitief); • Tijdige en volledige aanlevering van het balansdossier volgens de PBC lijst; • Medewerkers zijn voldoende beschikbaar om vragen (tijdig) te beantwoorden; • Na het opmaken van de jaarrekening wordt niet meer geboekt in de administratie van het te controleren boekjaar.

Boardletter 2024 gemeente Terneuzen

17

Aanbiedingsbrief | 1. Management samenvatting | 2. Kwaliteit interne beheersing | 3. IT-omgeving | 4. Jaarrekeningcontrole

Jaarrekeningcontrole & data-analyse Gebruik van data-analyse in de jaarrekeningcontrole

Om te komen tot een efficiënte en effectieve controle maken wij gebruik van data-analyse. Onderstaand hebben wij een overzicht opgenomen van de geplande data-analyses. Afhankelijk van de bevindingen naar aanleiding van de dataanalyses, voeren wij waar nodig aanvullende (gegevensgerichte) werkzaamheden uit.

Analyse

Effect op de controle

Journal entry testing op basis van auditfile

Door het inlezen van de auditfile in onze data factory, krijgen wij snel en diepgaand inzicht in de financiële transacties binnen de gemeente.

Bankanalyse uitgaande betalingen

Door het inlezen van de CAMT.053 en SEPA bestanden in onze data factory, krijgen wij snel en diepgaand inzicht in alle uitgaande betalingen die zijn verricht vanuit de betaalomgeving van de BNG.

Analyse workflow inkoopfacturen

Door het verkrijgen van de juiste extractie uit Key2Financiën krijgen wij inzicht in de workflow van inkoopfacturen en kunnen wij beoordelen of de interne beheersingsactiviteit (de autorisatie van inkoopfacturen komt in functiescheiding tot stand) gedurende het jaar heeft gewerkt.

Analyse workflow crediteurenstamgegevens

Door het verkrijgen van de juiste extractie uit Key2Financiën krijgen wij inzicht in de workflow van de crediteurenstamgegevens (specifiek gericht op de IBAN) en kunnen wij beoordelen of de interne beheersingsactiviteit (de mutatie van crediteurenstamgegevens komt in functiescheiding tot stand) gedurende het jaar heeft gewerkt.

Analyse workflow memoriaalboekingen

Door het verkrijgen van de juiste extractie uit Key2Financiën krijgen wij inzicht in de workflow van de memoriaalboekingen (specifiek gericht op de module aanvragen memoriaal) en kunnen wij beoordelen of de interne beheersingsactiviteit (memoriaalboekingen komen in functiescheiding tot stand) gedurende het jaar heeft gewerkt.

Boardletter 2024 gemeente Terneuzen

18

Contact Rutger Peelen Partner Audit r.peelen@bakertilly.nl

Dennis Eijke Director Audit d.eijke@bakertilly.nl Robert-Jan Buijze Manager Audit r.buijze@bakertilly.nl

Kantoorgegevens Baker Tilly (Netherlands) N.V. Stationspark 8b Postbus 85 4460 AG Goes +31 (0) 113 24 20 00

Baker Tilly (Netherlands) N.V. trading as Baker Tilly is a member of the global network of Baker Tilly International Ltd., the members of which are separate and independent legal entities.