07 - Bijlage 2 - Jaarplan VIC 2022

Jaarplan 2022 (Verbijzonderde) Interne Controle en Risicomanagement

Doorontwikkeling beheersing financiële rechtmatigheid en focus op integrale verantwoording risicobeheersing

Context:

Dit jaarplan geeft invulling aan het meerjaren (V)IC-plan 2021-2024 specifiek voor het jaar 2022. Nadere (technische) details van de uitvoering van de (V)IC staan beschreven in dit meerjaren plan. Wij voeren de controles uit, de accountant geeft over 2022 (nog) een oordeel af over de rechtmatigheid op basis van onze controles.

Doel:

Het uiteindelijke doel van de (verbijzonderde) interne controle is het vaststellen van het financieel rechtmatig handelen binnen de gemeente. Hierbij is onderscheid te maken tussen de financiële- en niet-financiële rechtmatigheid. De (V)IC moet leiden tot het doorontwikkelen van het risicomanagement binnen de organisatie en het kunnen afgeven van een rechtmatigheidsverantwoording door de accountant als onderdeel van de jaarrekening 20221. De gemeenteraden van Achtkarspelen en Tytsjerksteradiel hebben in 2021 hiertoe besloten: - Een goedkeuringsgrens te hanteren van 1% van de totale begrote uitgaven2; - Een rapportagegrens te hanteren van 5% van bovengenoemde goedkeuringsgrens3. We werken volgens het “3-lines of defence” model. Met het verder in kaart brengen van de AO/IC en het verder uitrollen van risicomanagement worden de belangrijkste risico’s en bijbehorende beheersmaatregelen steeds beter in inzichtelijk gemaakt. Tegen deze achtergrond kunnen de controles dan ook steeds vaker primair procesgericht worden uitgevoerd.

1 Landelijk is besloten om de invoering van de rechtmatigheidsverantwoording af te geven door het college, in te laten gaan met ingang van

het verslagjaar 2023. De jaarrekening voor het verslagjaar 2023 wordt in het kalenderjaar 2024 vastgesteld. Dit betekent dat een ‘positieve’ rechtmatigheidsverklaring wordt afgegeven wanneer de totale geconstateerde financiële onrechtmatigheid lager is dan 1% van de begrote lasten, zijnde indicatief 1% van € 92 miljoen is € 920.000. 3 Dit betekent dat geconstateerde financiële onrechtmatigheden worden toegelicht wanneer deze gelijk of hoger zijn de rapportagegrens van 5% van bovengenoemd bedrag, zijnde indicatief € 46.000 2

Focus:

We controleren onze processen op financiële rechtmatigheid. Basis vormen de normenkaders 2022 Achtkarspelen, Tytsjerksteradiel en de Werkmaatschappij.

Wat:

We richten ons op de meest risicovolle processen: Voor de financiële rechtmatigheid4: Proces: Cluster: Frequentie: Inkoop en aanbesteding Bedrijfsvoering 2x per jaar Lokale heffingen Bedrijfsvoering 1x per jaar Personeelsmutaties Bedrijfsvoering 4x per jaar Factuurafhandeling en Bedrijfsvoering 4x per jaar / prestatielevering 2x per jaar 5 Grondexploitatie Ruimtelijk Domein 4x per jaar 6 Huren & Pachten Ruimtelijk Domein 4x per jaar 7 Leges Omgevingsvergunningen Ruimtelijk Domein 4x per jaar 8 Leges KCC (aansluitcontrole) Ruimtelijk Domein 1x per jaar 9 Subsidieverstrekkingen Sociaal Domein 1x per jaar 10 Participatie Sociaal Domein 4x per jaar 11 WMO Sociaal Domein 4x per jaar 12 Jeugdhulp Sociaal Domein 4x per jaar 13 Leerlingenvervoer Sociaal Domein 2x per jaar Overige processen die beoordeeld moeten worden op financiële rechtmatigheid: 14 Memorialen Bedrijfsvoering 2x per jaar 15 Treasury / leningen Bedrijfsvoering 1x per jaar 16 Balansmutaties Bedrijfsvoering 1x per jaar 17 Reservemutaties Bedrijfsvoering 2x per jaar 18 Investeringskredieten Bedrijfsvoering 2x per jaar 19 Begrotingsrechtmatigheid Bedrijfsvoering 1x per jaar 20 M&O Beleid (opzet en bestaan) Bedrijfsvoering 21 SISA-verantwoording Bedrijfsvoering 1x per jaar 1 2 3 4

22 23 24 25 26 27 26

Onderwerpen die, naast VIC, stapsgewijs worden toegevoegd aan rapportagecyclus Risicomanagement (onderdeel 2e fase “In Control Volwassenheidsniveau”) IT General Controls (ITGC’s) Bedrijfsvoering ENSIA (BRO / BAG / WOZ) Bedrijfsvoering AVG / Privacy Bedrijfsvoering Functionaris Gegevensbescherming Bedrijfsvoering 2x per jaar Wet Politiegegevens (WPG) Bedrijfsvoering Interbestuurlijk Toezicht (IBT) Bedrijfsvoering Fiscale risicobeheersing Bedrijfsvoering

4 De cursief gedrukte processen vormen vanaf het jaar dat de colleges een eigen rechmatigheidsverantwoording moeten afgeven, een nieuw VIC-proces.

Wie:

We werken volgens het 3-lines of defence model5: 1e lijn: de afdelingen: Elk proces heeft een of meerdere controleurs. Zij controleren de steekproef van te controleren dossiers aan de hand van een checklist. Er moet sprake zijn van functiescheiding. Een controleur mag niet zijn eigen behandelende dossiers controleren. Hij/zij is aanspreekpunt voor de clustercontroller in de 2e lijn. De controleur zet vragen uit, verzamelt gegevens en stelt de controlerapportage op. De controlerapportage wordt besproken met de teamleider(s) verantwoordelijk voor het proces en de clustercontroller. De teamleider (en clustermanager) is verantwoordelijk voor de opvolging van uit het rapport blijkende verbeterpunten. 2e lijn: de clustercontrollers: De clustercontrollers reviewen de uitgevoerde controles door de eerste lijn. Uitgangspunt hierbij is 10% van het aantal door de 1e lijn gecontroleerde dossiers + de door de eerste lijn geconstateerde fouten en onzekerheden. Hierbij wordt naar boven afgerond: wanneer per kwartaal minder dan 10 dossiers worden gecontroleerd, wordt 1 dossier gereviewd. De clustercontroller stemt de bevindingen af met de clustermanager en bewaakt voortgang van de geconstateerde verbeterpunten. 3e lijn: concerncontrol /-audit: Op basis van de aangeboden rapportages vanuit de 2e lijn beoordeelt concerncontrol / audit de kwaliteit van de uitgevoerde controles en rapportages.

De beoordeling is gericht op juiste toepassing/uitvoering van uitgangspunten, steekproeven, interne controles, deelrapportages en tijdige en volledige opvolging van geconstateerde fouten en onzekerheden. Concerncontrol /-audit rapporteert halverwege het jaar over voortgang van de controles aan directie en colleges en stelt na afloop van het jaar -onafhankelijk- een eindrapportage op ten behoeve van colleges/DB.

Dossiervorming:

Dossiervorming vindt plaats binnen Sharepoint. Per organisatie wordt op procesniveau gearchiveerd: - Risicoanalyses - Eventueel aanwezige procesbeschrijving - Uitdraai totale hoeveelheid aanvragen / facturen etc. - Steekproef incl. wijze totstandkoming - Checklist van te controleren aspecten - Controlerapportage 1e lijn en 2e lijn (geïntegreerd) - Achterliggende documentatie van gecontroleerd object in review 2e lijn.

5 De exacte invulling met name wat betreft de rapportagelijnen, kan wijzigen wanneer de wetswijziging inzake het afgeven

van een rechtmatigheidsverantwoording door het College niet wordt doorgevoerd met ingang van verantwoordingsjaar 2022.

Wanneer:

Onderstaand overzicht toont de planning voor 2022.

Periode:

Aanlevering Afronding controles en Afronding review en e e data/steekproef door rapportage door 1 lijn: rapportage 2 lijn clustercontroller in 2e clustercontrol lijn aan 1e lijn: Mits anders vermeld, geldt voor elke periode afronding en oplevering op eerste werkdag van: Q1 april mei juni Q2 juli augustus september Q3 oktober november december Q4 = januari 13 februari 15 maart totaalrapportage

Ambitie 2022 ev.

In 2022 ontwikkelen we het in 2021 ingezette lijn van het verantwoorden op financiële rechtmatigheid verder door. Hiernaast leggen we de focus op: - Verschuiving van gegevensgerichte controles naar procesgerichte controles: Hiertoe moeten we processen beschrijven, beheersmaatregelen inzichtelijke maken en toetsen op opzet, bestaan en werking van deze beheersmaatregelen. - het centraal bewaken van de beheersing van fiscale risico’s waartoe we een Tax Control Framework ontwikkelen; - stellen we een overkoepelende Fraude Risico Analyse op voorzien van een geactualiseerd beleidsplan Fraudepreventie en; - Gaan we verschillende controlerapportages (waaronder ENSIA, Privacy, ICT), waarvan de uitvoering decentraal is belegd binnen de organisatie, centraal onderbrengen in een integrale risicomanagement rapportage. Onze ambitie is om per essentieel proces een volledig beeld te hebben van de hoge risico’s en de wijze waarop we deze beheersen. Deze ambitie wordt getoond in onderstaande illustratie waarbij we stappen maken naar niveau 2.

Bron: BADO: Notitie rechtmatigheidsverantwoording

Afronding doo control en rap college en acco

15 sept april