18 - Bijlage 2 - Jaarplan VIC 2024

Jaarplan 2024 (Verbijzonderde) Interne Controle en Risicomanagement

Eerste jaar afgifte rechtmatigheidsverantwoording door het college en focus op integrale verantwoording risicobeheersing Context:

Dit jaarplan geeft invulling aan het meerjaren (V)IC-plan 2021-2024 specifiek voor het jaar 2024. Nadere (technische) details van de uitvoering van de (V)IC staan beschreven in dit meerjarenplan. Vanaf 2023 is het college van Burgemeester en Wethouders verantwoordelijk voor de afgifte van een rechtmatigheidsverantwoording.

Doel:

Het uiteindelijke doel van de (verbijzonderde) interne controle is het vaststellen van het financieel rechtmatig handelen binnen de gemeente. Hierbij is onderscheid te maken tussen de financiële- en niet-financiële rechtmatigheid. De (V)IC moet leiden tot het doorontwikkelen van het risicomanagement binnen de organisatie op het gebied van de kwaliteit van de beheersing. Dit betreft het tijdig (bij)sturen op het gebied van gebleken tekortkomingen en verbeteracties. Daarnaast vormt de (V)IC de basis voor het kunnen afgeven van de rechtmatigheidsverantwoording door het college als onderdeel van de jaarrekening 2023. De gemeenteraden van Achtkarspelen en Tytsjerksteradiel hebben in 2021 besloten: - een goedkeuringsgrens te hanteren van 1% van de totale begrote uitgaven1; en - een rapportagegrens te hanteren van 5% van de bovenvermelde goedkeuringsgrens2. We werken volgens het ‘Three lines of defence’ model. Met het verder in kaart brengen van de AO/IB en het verder uitrollen van risicomanagement worden de belangrijkste risico’s en bijbehorende beheersmaatregelen steeds beter in inzichtelijk gemaakt. Tegen deze achtergrond kunnen de controles dan ook steeds vaker primair procesgericht worden uitgevoerd.

Focus: 1

2

We controleren onze processen op financiële rechtmatigheid.

Dit betekentBasis dat eenvormen ‘positieve’ de rechtmatigheidsverklaring wordtAchtkarspelen, afgegeven wanneer Tytsjerksteradiel de totale geconstateerde normenkaders 2024 enfinanciële de onrechtmatigheid lager is dan 1% van de begrote lasten, zijnde indicatief 1% van € 92 miljoen is € 920.000. Werkmaatschappij. Dit betekent dat geconstateerde financiële onrechtmatigheden worden toegelicht wanneer deze gelijk of hoger zijn de rapportagegrens van 5% van bovengenoemd bedrag, zijnde indicatief € 46.000

Wat:

We richten ons op de meest risicovolle processen: Voor de financiële rechtmatigheid: Werkprocessen: 1 Inkoop en aanbesteding 2 Lokale heffingen 3 Personeelsmutaties 4 Factuurafhandeling / prestatielevering 5 Grondexploitatie 6 Huren & Pachten 7 Leges Omgevingsvergunningen 8 Leges KCC (aansluitcontrole) 9 Subsidieverstrekkingen 10 Participatie 11 WMO 12 Jeugdhulp 13 Leerlingenvervoer Overig: 14 Memorialen 15 Treasury / leningen 16 Balansmutaties 17 Reservemutaties 18 Investeringskredieten 19 Begrotingsrechtmatigheid 20 M&O Beleid 21 SISA-verantwoording

Cluster: Bedrijfsvoering Bedrijfsvoering Bedrijfsvoering Bedrijfsvoering Ruimtelijk Domein Ruimtelijk Domein Ruimtelijk Domein Ruimtelijk Domein Sociaal Domein Sociaal Domein Sociaal Domein Sociaal Domein Sociaal Domein

Frequentie: 2x per jaar 1x per jaar 4x per jaar 4x per jaar / 2x per jaar 4x per jaar 4x per jaar 4x per jaar 1x per jaar 1x per jaar 4x per jaar 4x per jaar 4x per jaar 2x per jaar

Bedrijfsvoering Bedrijfsvoering Bedrijfsvoering Bedrijfsvoering Bedrijfsvoering Bedrijfsvoering Bedrijfsvoering Bedrijfsvoering

2x per jaar 1x per jaar 1x per jaar 2x per jaar 2x per jaar 1x per jaar 1x per jaar 1x per jaar

Onderwerpen die, naast VIC, stapsgewijs worden toegevoegd aan rapportagecyclus Risicomanagement (onderdeel 2e fase ‘In Control Volwassenheidsniveau’) 22 IT General Controls (ITGC’s) Bedrijfsvoering 23 ENSIA (BRO / BAG / WOZ) Bedrijfsvoering 24 AVG / Privacy Bedrijfsvoering 25 Functionaris Gegevensbescherming Bedrijfsvoering 2x per jaar 26 Wet Politiegegevens (WPG) Bedrijfsvoering 27 Interbestuurlijk Toezicht (IBT) Bedrijfsvoering 26 Fiscale risicobeheersing Bedrijfsvoering

Wie:

We werken volgens het Three lines of defence model: 1e lijn: de afdelingen:

Elk proces heeft een of meerdere controleurs. Zij controleren de steekproef van te controleren dossiers aan de hand van een checklist. Er moet sprake zijn van functiescheiding. Een controleur mag niet zijn eigen behandelende dossiers controleren. Hij/zij is aanspreekpunt voor de clustercontroller in de 2e lijn. De controleur zet vragen uit, verzamelt gegevens en stelt de controlerapportage op. De controlerapportage wordt besproken met de teamleider(s) verantwoordelijk voor het proces en de clustercontroller. De teamleider (en clustermanager) is verantwoordelijk voor de opvolging van uit het rapport blijkende verbeterpunten. 2e lijn: de clustercontrollers: De clustercontrollers reviewen de uitgevoerde controles door de eerste lijn. Uitgangspunt hierbij is 10% van het aantal door de 1e lijn gecontroleerde dossiers + de door de eerste lijn geconstateerde fouten en onzekerheden. Hierbij wordt naar boven afgerond: wanneer per kwartaal minder dan 10 dossiers worden gecontroleerd, wordt 1 dossier gereviewd. De clustercontroller stemt de bevindingen af met de clustermanager en bewaakt voortgang van de geconstateerde verbeterpunten. 3e lijn: concerncontrol /-audit: Op basis van de aangeboden rapportages vanuit de 2e lijn beoordeelt concerncontrol / audit de kwaliteit van de uitgevoerde controles en rapportages.

De beoordeling is gericht op juiste toepassing/uitvoering van uitgangspunten, steekproeven, interne controles, deelrapportages en tijdige en volledige opvolging van geconstateerde fouten en onzekerheden. Concerncontrol /-audit rapporteert halverwege het jaar over voortgang van de controles aan directie en colleges en stelt na afloop van het jaar -onafhankelijk- een eindrapportage op ten behoeve van colleges/DB. Dossiervorming:

Dossiervorming vindt plaats binnen Sharepoint.

Wanneer:

Onderstaand overzicht toont de planning voor 2024:

Per organisatie wordt op procesniveau gearchiveerd: - Risicoanalyses - Eventueel aanwezige procesbeschrijving - Uitdraai totale hoeveelheid aanvragen / facturen etc. - Steekproef incl. wijze totstandkoming - Checklist van te controleren aspecten - Controlerapportage 1e lijn en 2e lijn (geïntegreerd) - Achterliggende documentatie van gecontroleerd object in review 2e lijn.

Periode:

Aanlevering Afronding controles en Afronding data/steekpro rapportage door 1e lijn: review en ef door rapportage 2e clustercontroll lijn e er in 2 lijn clustercontrol aan 1e lijn: Mits anders vermeld, geldt voor elke periode afronding en oplevering op eerste werkdag van: Q1 april mei juni Q2 juli augustus september Q3 oktober november december Q4 = januari februari maart totaalrapportage

Ambitie 2024 ev.

Afronding door 3e lijn Concern-control en rapportage aan MT; college en accountant:

15 sept 15 maart

Uitgangspunt voor 2024 is dat we doen wat minimaal nodig is i.h.k.v. de wettelijke verplichte rechtmatigheidsverantwoording en tevens rekening houden met prioriteitstelling en organisatie- en werkdruk met het oog op de ontvlechting en te maken keuzes. Binnen de bovenvermelde randvoorwaarde ontwikkelen we in 2024 de in voorgaande jaren ingezette lijn van het verantwoorden op financiële rechtmatigheid verder door. Hiernaast leggen we de focus op: - Verschuiving van gegevensgerichte controles naar procesgerichte controles: Hiertoe moeten we processen beschrijven, beheersmaatregelen inzichtelijke maken en toetsen op opzet, bestaan en werking van deze beheersmaatregelen. - het centraal bewaken van de beheersing van fiscale risico’s waartoe we een Tax Control Framework ontwikkelen; - stellen we een overkoepelende Fraude Risico Analyse op voorzien van een geactualiseerd beleidsplan Fraudepreventie en; - Gaan we verschillende controlerapportages (waaronder ENSIA, Privacy, ICT), waarvan de uitvoering decentraal is belegd binnen de organisatie, centraal onderbrengen in een integrale risicomanagement rapportage. Onze ambitie is om per essentieel proces een volledig beeld te hebben van de hoge risico’s en de wijze waarop we deze beheersen. Gerekend naar navolgend stappenplan krijgt onze ambitie invulling op stap 1. en voor stap 2.

voor zover sprake is van verplichte onderdelen met het oog op geldende wet- en regelgeving en (branche) gerelateerde richtlijnen (accountancy).

Bron: BADO: Notitie rechtmatigheidsverantwoording