Bijlage 4 - Jaarplan VIC 2021.pdf

Jaarplan 2021 (Verbijzonderde) Interne Controle

We doen het zelf! De eerste stappen richting een rechtmatigheidsverantwoording door het College. Context:

Dit jaarplan geeft invulling aan het meerjaren (V)IC-plan 2021-2024 specifiek voor het jaar 2021. Nadere (technische) details van de uitvoering van de (V)IC staan beschreven in dit meerjaren plan.

Doel:

Het uiteindelijke doel van de (verbijzonderde) interne controle is het vaststellen van het financieel rechtmatig handelen binnen de gemeente. Hierbij is onderscheid te maken tussen de financiële- en niet-financiële rechtmatigheid. De (V)IC moet leiden tot het kunnen afgeven van een rechtmatigheidsverantwoording door de colleges van beide gemeenten als onderdeel van de jaarrekening 2021. De accountant geeft hierover een positief getrouwheidsoordeel. We zetten een belangrijke stap in risicomanagement: we controleren onze eigen processen en werken volgens het “3-lines of defence” model. Met het verder in kaart brengen van de AO/IC en het verder uitrollen van risicomanagement worden de belangrijkste risico’s en bijbehorende beheersmaatregelen steeds beter in inzichtelijk gemaakt. Tegen deze achtergrond kunnen de controles dan ook steeds vaker primair proces gericht worden uitgevoerd.

Focus:

We controleren onze processen op rechtmatigheid. Basis vormen de normenkaders 2021 Achtkarspelen en Tytsjerksteradiel.

Wat:

We richten ons op de meest risicovolle processen als aangeven door de accountant: 1. Inkoop & Aanbesteden; 2. Factuurafhandeling, prestatielevering, btw 3. Belastingen 4. Omgevingsvergunningen; 5. Grondexploitatie; 6. Huren en pachten; 7. Leges (KCC); 8. Subsidieverstrekkingen; 9. Personeel (kosten en in-en uitdiensttreding); 10. SiSa 11. Participatie; 12. WMO;

BV BV BV RD RD RD RD Meerdere clusters BV BV SD SD

13. Jeugdhulp. SD 14. Leerlingenvervoer; SD 15. ICT omgeving; BV 16. Memoriaalboekingen; BV 17. Investeringen en kredieten (wel of niet activatie) BV 18. Gemeentefonds (juiste parameters en juiste verwerking); BV 19. Treasury. BV De steekproefaantallen per proces worden statistisch bepaald en willekeurig geselecteerd met een steekproefprogramma. Wie:

We werken volgens het 3-lines of defence model: 1e lijn: de afdelingen: Elk proces heeft een coördinator. Hij/zij is aanspreekpunt voor de clustercontroller in de 2e lijn. De coördinator zet vragen uit, verzamelt gegevens en stelt de controlerapportage op. De controlerapportage wordt besproken met de teamleider(s) verantwoordelijk voor het proces en de clustercontroller. De teamleider is verantwoordelijk voor de opvolging van uit het rapport blijkende verbeterpunten. Elk proces heeft een of meerdere controleurs. Zij controleren de steekproef van te controleren dossiers aan de hand van een checklist. Er moet sprake zijn van functiescheiding. Een controleur mag niet zijn eigen behandelende dossiers controleren. Een coördinator en controleur kan dezelfde persoon zijn. 2e lijn: de clustercontrollers: De clustercontrollers reviewen de uitgevoerde controles door de eerste lijn. Uitgangspunt hierbij is 10% van het aantal door de 1e lijn gecontroleerde dossiers + de door de eerste lijn geconstateerde fouten en onzekerheden. De clustercontroller stemt de bevindingen af met de clustermanager en bewaakt voortgang van de geconstateerde verbeterpunten. Binnen de 2e lijn heeft de clustercontroller Bedrijfsvoering een coördinerende functie: De clustercontroller bedrijfsvoering zet de steekproeven uit richting de 1e lijn en voegt de controlerapportages samen voor verzending aan 3e lijn en MT.

3e lijn: concerncontrol: Op basis van de aangeboden rapportages vanuit de 2e lijn beoordeelt concerncontrol de kwaliteit van de uitgevoerde controles en rapportages. De beoordeling is gericht op juiste toepassing/uitvoering van uitgangspunten, steekproeven, interne controles en deelrapportages. Concerncontrol rapporteert halverwege het jaar over voortgang van de 1e en 2e lijnscontroles aan de directie en college en stelt na afloop van het jaar -onafhankelijkeen eindrapportage op ten behoeve van colleges/DB.

Rapportage aan directie en college wordt vervolgens vanuit college t.k.n. naar accountants- en controlecommissie en accountant verzonden. Dossiervorming: Dossiervorming vindt plaats op een nog nader in te richten omgeving (Sharepoint of Lias). De volgende indeling wordt hierbij gehanteerd: Organisatie: TD / 8K / WM Per organisatie: Proces Per proces: - Eventueel aanwezige procesbeschrijving - Uitdraai totale hoeveelheid aanvragen / facturen etc. - Steekproef incl. wijze totstandkoming - Checklist van te controleren aspecten - Controlerapportage 1e lijn en 2e lijn (geïntegreerd) - Achterliggende documentatie van gecontroleerd object in review 2e lijn. Wanneer:

Onderstaand overzicht toont de planning voor 2021.

Periode:

Aanlevering data/steekproef door clustercontroller in 2e lijn aan 1e lijn:

Afronding review en rapportage 2e lijn clustercontrol Mits anders vermeld, geldt voor elke periode afronding en oplevering op eerste werkdag van: Q1 april mei juni Q2 juli augustus september Q3 oktober november december Q4 = januari 13 februari 15 maart totaalrapportage

Ambitie 2022

Afronding controles en rapportage door 1e lijn:

Afronding door 3e lijn Concern-control en rapportage aan MT; college en accountant:

15 sept april

In 2021 leggen we de focus op de basis: rechtmatigheid. Onze ambitie is om volledig ‘ in control’ te zijn: we hebben zicht op alle hoge risico’s in onze essentiële processen en weten hoe deze te beheersen. Onze ambitie is om per essentieel proces een volledig beeld te hebben van de hoge risico’s en de wijze waarop we deze beheersen. Deze ambitie wordt getoond in onderstaande illustratie:

Bron: BADO: Notitie rechtmatigheidsverantwoording

Per essentieel essentieel proces krijgt een “Controlplatform” de opdracht een “Risk / Control framework” in te richten. Een controlplatform is een periodieke bijeenkomst (focus in eerste jaar: 3 – 4 x per jaar) van een groep functionarissen betrokken bij het proces vanuit meerdere disciplines: teamleiders, beleidsmedewerkers, financieel adviseurs etc. Vanuit verschillende disciplines / invalshoeken, bijvoorbeeld:

Bron: VNG en IPO, notitie Invoering Rechtmatigheidsverantwoording

krijgt dit “Controlplatform” de opdracht risico’s, de hoogte hiervan in kaart te brengen en deze jaarlijks te evalueren: Risico = Kans * Impact Dit leidt tot een classificatie van de risico’s per proces naar Hoog / Midden / Laag:

Vervolgens worden de beheersmaatregelen in kaart gebracht van de meest hoge risico’s. Deze beheersmaatregelen worden beschreven en geïmplementeerd. Hiermee verleggen we onze focus van gegevensgericht naar procesgericht: we toetsen - Opzet: is de beheersmaatregel beschreven? - Bestaan: is de beheersmaatregel geïmplementeerd? - Werking: werkt de beheersmaatregel zoals deze bedoeld is? Wanneer vastgesteld kan worden dat de beheersmaatregelen in het proces doen wat ze moeten doen, kunnen we het aantal te controleren dossiers (gegevensgericht) fors laten dalen en hebben we bovenal meer grip op onze processen. Randvoorwaardelijk is hierbij een juiste werking van de IT-controls. Stapsgewijs: