Agendabundel

Bundel - Adviescommissie Controle en Financiën van 5 december 2024 Agenda bijlagen Agenda advies-cie CF 5-12-2024 1.a Opening en mededelingen 1.b Vaststellen van de agenda van 5 december 2024 2 Vaststellen van het verslag van de vorige bijeenkomst Ter vaststelling: Conceptverslag Adviescommissie Controle en Financiën van 17 oktober 2024 Adviescommissie C&F 17-10-2024 3 Ingekomen stukken Het Halfjaarverslag van Concernaudit 2024/2025 (mogelijkheid tot het stellen van vragen) Meerwerk jaarrekening 2023 Definitief auditplan Halfjaarverslag 2024-25 Concernaudit_definitief Auditplan gemeente Utrecht 2024 definitief 4 Raadsbrief managementletter accountant en reactie college Dit betreft de jaarlijkse managementletter van de externe accountant die in de adviescommissie wordt besproken. De reactie van het college is eveneens bijgevoegd. Raadsbrief bij Managementletter 2024 Gemeente Utrecht Managementletter 2024 gemeente Utrecht 30605 Presentatie managementletter 2023.1 5 Raadsvoorstel 3e begrotingswijziging 2024 Jaarlijks zijn er drie technische begrotingswijzigingen die in de adviescommissie worden besproken. NB: eventuele inhoudelijke vragen kunnen vooraf worden verstuurd aan de cie-griffier.

Raadsvoorstel Eindejaarswijziging Programmabegroting 2024 Eindejaarswijzigingen programmabegroting 2024 Raad 6 Raadsvoorstel Normenkader rechtmatigheid 2024 Jaarlijks wordt dit normenkader vastgesteld door de Raad. Dossier 4384 voorblad Raadsvoorstel Normenkader rechtmatigheid 2024 Normenkader rechtmatigheid 2024 7 Vooruitblik jaarplan 2025 Voortgang raadstoets --> raadsrapporteurs 2e raadstoets EZ (aanmelding VVD) Het Jaarplan wordt elke vergadering indien nodig geactualiseerd. Wordt ingestemd met deze onderwerpen voor de volgende vergadering Donderdag 16 januari Vergadering adviescommissie (90 minuten) Opening, verslag en ingekomen stukken (tijd: 10 minuten) Vooruitblik volgende vergadering (tijd: 5 minuten) Sturen en Verantwoorden (tijd: 15-30 minuten) RV Gunning Accountant Evaluatie RRP WAAVA (technische sessie) --> of februari Afsluiting (5 minuten) Donderdag 13 februari 2025: Vergadering adviescommissie (90 minuten) Opening, verslag en ingekomen stukken (tijd: 10 minuten) Voortgang grip op investeringen (tijd: 30 minuten) Verbeterplan Financiën (update) Vooruitblik volgende vergadering (tijd: 5 minuten) Afsluiting (5 minuten) Lopende onderwerpen Budgetrecht raad Financiële Verordening (Q2) Achtergrond onderzoek reserves (Q1) --> toezegging Monitoring hervormingsbezuinigingen Groeikader 8 Update aanbesteding externe accountant 9 Rondvraag en sluiting.

AGENDA Adviescommissie Controle en Financiën

5 december 2024 van 09.00-10.30 (burgemeesterskamer) Agendapunt 1 t/m 7 worden behandeld in aanwezigheid van de (medewerkers van) de afdeling Concernmanagement Financiën, Inkoop en Juridische Zaken/Concern Control, de voorzitter/secretaris van de Rekenkamer en de accountant.

Agendapunt 8 t/m 9 worden dit keer behandeld in afwezigheid van de accountant. (2 min)

1. a. Opening en mededelingen. b. Vaststellen agenda.

(3 min)

2. Vaststellen verslag van vorige bijeenkomst. (5-10 min)

3. Ingekomen stukken. •

Het Halfjaarverslag van Concernaudit 2024/2025 (mogelijkheid tot het stellen van vragen)

• •

Meerwerk jaarrekening 2023 Definitief auditplan

(20-30 min)

4. Raadsbrief managementletter accountant en reactie college •

Dit betreft de jaarlijkse managementletter van de externe accountant die in de adviescommissie wordt besproken. De reactie van het college is eveneens bijgevoegd.

(10-15 min)

5. RV 3e begrotingswijziging 2024 •

Jaarlijks zijn er drie technische begrotingswijzigingen die in de adviescommissie worden besproken. NB: eventuele inhoudelijke vragen kunnen vooraf worden verstuurd aan de cie-griffier.

(10-15 min)

6. RV Normenkader 2024 •

Jaarlijks wordt dit normenkader vastgesteld door de raad.

1

Commissiegriffier financiën  danielle.rijnders@utrecht.nl

(10 min)

7. Vooruitblik jaarplan 2025 • •

Voortgang raadstoets --> raadsrapporteurs 2e raadstoets EZ

Het Jaarplan wordt elke vergadering indien nodig geactualiseerd. Wordt ingestemd met deze onderwerpen voor de volgende vergadering(en)?

Do. 16 januari

Do. 13 februari

Lopende onderwerpen

Vergadering adviescommissie (90 minuten) 

Opening, verslag en ingekomen stukken (tijd: 10 minuten)



Vooruitblik volgende vergadering (tijd: 5 minuten)



Sturen en Verantwoorden (tijd: 15-30 minuten)



RV Gunning Accountant



Evaluatie RRP



WAAVA (technische sessie) --> of februari



Afsluiting (5 minuten)

Vergadering adviescommissie (90 minuten) 

Opening, verslag en ingekomen stukken (tijd: 10 minuten)



Voortgang grip op investeringen (tijd: 30 minuten)



Verbeterplan Financiën (update)



Vooruitblik volgende vergadering (tijd: 5 minuten)



Afsluiting (5 minuten)



Budgetrecht raad



Financiële Verordening (Q2)



Achtergrond onderzoek reserves (Q1) --> toezegging



Monitoring hervormingsbezuinigingen



Groeikader

**************************************************************************************** NB: 5 minuten wissel pauze. (5-10 min)

8. Update aanbesteding externe accountant (5 min)

9.

Rondvraag en sluiting.

2

Commissiegriffier financiën  danielle.rijnders@utrecht.nl

VERSLAG ADVIESCOMMISSIE CONTROLE EN FINANCIËN

17 oktober 2024, 09.15-10.45 uur Burgemeesterskamer Stadhuis

Adviescommissie: Ruud Maas (wnd. vz.), Derk van Bergen, Fred Claasen, Gert Dijkstra, Ralph Peters, Margreet Ramaker, Ruben Snijder, Titus Stam, Bert van Steeg, Rick van der Zweth, Jantine Zwinkels en Daniëlle Rijnders (raadsadviseur Control & Audit)

Overige deelnemers: Johan van Dorst (Griffie), Jasmin Grundauer (manager concernaudit), Rachid Saghraoui

(concerncontroller), John Samson (businesscontroller MO), Agnes Scholte (strategisch adviseur bedrijfsvoering), Rob Sijm (directeur a.i. financiën, inkoop en juridische zaken), Dirk Westhoek (Wmo en Welzijn), Gerth Molenaar en Paul Venhoeven (Rekenkamer), Bob Leeuwenkamp en Rein-Aart van Vugt (Deloitte)

Niet aanwezig: Cees Bos, David Bosch, Stevie Nolten en Victor Paalman Notulen: Rosenbaum Select, notulisten & verslaggevers

1. a. Opening en mededelingen

De waarnemend voorzitter heet allen welkom en opent de vergadering. Er zijn geen mededelingen.

b. Vaststellen agenda

De agenda wordt vastgesteld zoals opgegeven. 2. Vaststellen verslag vorige bijeenkomst (19-09-2024) Geen opmerkingen; de notulen worden vastgesteld. 3. Ingekomen stukken en verzonden stukken

Er is geen post binnengekomen of verzonden die door de Adviescommissie behandeld moet worden.

4. Programmabegroting 2025 en tweede bestuursrapportage 2024

a. Achtergrond bij dilemma sociaal domein

De Adviescommissie had gevraagd om een toelichting op de hervormingen in het sociaal domein in de programmabegroting. Zie de presentatie ‘Budgetverschuivingen tussen

doelstellingen’ (bij vergaderstukken), toelichting door de heer Samson. De aanleiding is de opgave voor hervormingen à € 16 miljoen in het sociaal domein, zoals opgenomen in de

Voorjaarsnota 2023. De context is toegelicht in verschillende beleidsstukken, die de raad heeft ontvangen. Het lastige is dat de hervormingen moeten worden doorgevoerd in samenwerking

met een groot aantal uitvoerende partners: geld dat nu aan aanvullende zorg wordt uitgegeven, zal in het vervolg uitgegeven gaan worden aan partnerorganisaties die ondersteuning bieden vanuit de sociale basis, waardoor er meer cliënten kunnen worden geholpen voor hetzelfde geld.

1 van 6

commissiegriffier Adviescommissie CF danielle.rijnders@utrecht.nl

Partnerorganisaties moeten meer gaan inzetten op preventie en groepsgerichte aanpak, en

minder op aanvullende zorg en individuele ondersteuning. De overeenkomsten met hen bieden daar ruimte voor. Zodra er overeenstemming is, kunnen opdrachten direct worden verschoven.

Het knelpunt is echter dat dit het budgetrecht van de raad raakt. Voorbeeld: als het college geld zou willen verschuiven van het programma Passende ondersteuning en opvang naar het

programma Levendige en gezonde stad – waaronder de socialebasisopdrachten vallen – is daar toestemming van de raad voor nodig. Bovendien kan het college pas verplichtingen aangaan met uitvoerende partijen als er budget beschikbaar is. Het kan dus gebeuren dat er

overeenstemming is met de partnerorganisatie, terwijl de raad nog niet heeft besloten over de omvang van het budget in het betreffende programma. Hierdoor zal vertraging ontstaan.

De Adviescommissie geeft hierop aan dat dit irritatie wekt, want de raad heeft hier meerdere

keren voor gewaarschuwd. De raad wil graag sturen, maar kan dat niet als de raadsleden niet weten wat er gaande is. Het lijkt erop dat de raad voor een voldongen feit wordt gesteld. Voor enkele voorbeelden wordt verwezen naar blz. 6 t/m 8 van de presentatie. Er wordt opgemerkt dat er een transitiebudget is; waarom volstaat dat niet tot de volgende

voorjaarsnota? De heer Samson licht toe dat de gemeente de volgende voorjaarsnota wel haalt

met het transitiebudget; er kunnen dan echter alleen maar eenmalige afspraken met aanbieders worden gemaakt, waardoor zij een groot risico gaan lopen: de gemeente kan hen niet

garanderen dat de afspraken tijdig op orde zijn, maar vraagt hen wél om zich meerjarig te

committeren aan een andere opdracht. Desgevraagd geeft de heer Samson aan dat het niet onoverkomelijk is om daarvoor het transitiebudget te gebruiken, maar wel riskant. De

Adviescommissie is benieuwd of er een plan van aanpak is. Hierop legt de heer Samson uit dat

er met de Wmo-beleidsnota en de Nota van uitgangspunten ruimte is gecreëerd voor de nieuwe richting. Dat punt is echter nog niet bereikt. Er is nog veel afstemming met en aansporing van de partnerorganisaties nodig, én samenwerking en partnerschap.

Waarom wordt het benodigde bedrag niet alvast in de begroting opgenomen? Volgens de heer Samson is dat wel een optie, maar stel nu dat het aanbod in de sociale basis niet wordt gerealiseerd – dan moet de gemeente de toegezegde zorg blijven aanbieden. Er wordt

opgemerkt dat het voor de raad tóch inzichtelijker zou zijn als de ambtelijke organisatie het

plan uiteenzet, en aangeeft welk budget daarbij hoort, en achteraf aangeeft waarom het niet is gelukt. De heer Samson denkt dat het zo wel kan, maar het nadeel is dat een en ander dan op

basis van grove inschattingen in de begroting moet worden verwerkt. De kans op overschrijding aan de ene kant en onderschrijding aan de andere kant is dan groot.

De Adviescommissie vraagt zich af waarom het zo moeilijk is om dit concreet aan te geven. Het plan – de bezuiniging – is wel duidelijk, evenals de vraag aan de raad. De heer Samson wijst

2 van 6

commissiegriffier Adviescommissie CF danielle.rijnders@utrecht.nl

erop dat de aanpak nieuw is en dat de effecten nog niet inzichtelijk zijn. Het gaat immers om beïnvloeding van het zorgaanbod én medewerking van cliënten.

Maar waarom is de besparing dan wel in te schatten, en de andere effecten niet? Daar zijn wel

ideeën over, zegt de heer Samson, echter over het totaal van de Wmo-begroting, maar niet over hoe dat concreet uitwerkt. De Adviescommissie vraagt of een tussenvorm denkbaar is,

bijvoorbeeld door het jaar in vieren te delen in plaats van in tweeën, dus tussentijds twee

raadsvoorstellen. Er is bijval voor deze suggestie. De heer Samson geeft aan dat de situatie nog niet heel urgent is, want er lopen nog gesprekken met de partnerorganisaties. De kwestie gaat pas spelen in 2025-2026-2027, en besluitvorming vindt plaats bij de behandeling van de Voorjaarsnota 2025.

b. Kengetallen solvabiliteit

Zie de presentatie, bij vergaderstukken; toelichting door de heer Van Vugt. Een kengetal wordt altijd beoordeeld in samenhang met andere kengetallen; solvabiliteit staat niet op zichzelf. Op blz. 2 van de presentatie zijn de verplichte kengetallen in zwart aangegeven. Deze komen aan de orde in de begroting en de jaarstukken – nu nog verspreid door de stukken, maar een volgende keer bij elkaar, conform het Besluit Begroting & Verantwoording (BBV). De rode

aanduidingen op blz. 2 zijn de facultatieve kengetallen. Het solvabiliteitscijfer geeft aan hoe het bezit is gefinancierd. ‘Bezit’ is voor een gemeente de infrastructuur, gebouwen, vorderingen,

debiteuren en zo meer. Dit kan gefinancierd zijn met eigen geld (de reserves) of met schulden. Als de solvabiliteit van een bedrijf zich negatief ontwikkelt, zal een bank meer zekerheden

willen stellen of meer rente in rekening brengen. Dit is bij gemeenten niet het geval, maar een lager solvabiliteitscijfer laat wél zien dat de gemeente meer schulden heeft, en dus minder

flexibel is. Er zijn voor gemeenten geen solvabiliteitsnormen vastgelegd; gemeenteraden zijn er vrij in om dat individueel te doen, indien gewenst. De VNG heeft wel normen geformuleerd, maar dat zijn streefwaarden.

Sinds 2024 staat de rijksoverheid toe dat gemeenten 10% van de algemene reserve gebruiken

om de begroting sluitend te krijgen, echter uitsluitend als de solvabiliteit hoger is dan 20%. De heer Van Vugt heeft hier een paar rekenvoorbeelden bij, zie presentatie. Hoe de kengetallen

zich naar verwachting zullen ontwikkelen, is weergegeven op blz. 5 en 6 van de presentatie.

c. Grip op investeringen

Toelichting door de heren Saghraoui en Sijm. Een investeringsplafond heeft de gemeente niet

vastgesteld, wel is er een raming gedaan aan de hand van de geprognosticeerde balans, met de nadrukkelijke kanttekening dat daarbij geen keuzes voor projecten zijn gemaakt. Een investeringsvolume van € 110 miljoen wordt realistisch geacht; in de richting van de

Voorjaarsnota wordt onderzocht of er een investeringsplafond moet worden ingesteld. De gemeente streeft naar ‘zwarte cijfers,’ maar dat heeft gevolgen voor de projecten.

3 van 6

commissiegriffier Adviescommissie CF danielle.rijnders@utrecht.nl

Door realistisch te begroten wordt ‘de lucht uit de begroting gehaald’. Dit betekent niet per

definitie dat de ambities zullen afnemen. Om tot een realistisch investeringsplafond te komen,

moet er veel werk worden verzet, er moet onder andere een portfolio worden samengesteld. De raming van investeringen gaat nu nog per onderdeel, terwijl het duidelijker is als de zaken met elkaar in verband worden gebracht. Daarover lopen nu gesprekken met de wethouder en met het college. Dit gaat eigenlijk niet alleen over het investeringsplafond, maar over de hele investeringssystematiek van de gemeente – en hoe men daar grip op kan krijgen.

De heer Saghraoui geeft desgevraagd aan dat het zeker niet de opdracht is om projecten te

versoberen. De kwestie is dat er nu geen koppeling is tussen kapitaallasten en investeringen – dit is best zorgelijk, want dit betekent eigenlijk dat de raad investeringskredieten vaststelt

zonder goed te kunnen inschatten wat dit voor de kapitaallasten betekent. Er wordt dus aan een andere opzet gewerkt, zodat de investeringen beter beheersbaar worden. Een deel daarvan wordt zichtbaar in de Voorjaarsnota 2025, maar voor de volledige systematiek en de lange termijn is meer tijd nodig.

d. Achtergrond onderzoek reserves

Dit onderwerp wordt doorgeschoven naar een volgende vergadering. De voorzitter wijst erop dat er schriftelijke vragen over zijn gesteld.

5. Auditplan en opdrachtbevestiging jaarrekening 2024

a. Auditplan

De Adviescommissie heeft als speerpunten voor het auditplan gekozen voor het budgetrecht

van de raad en financiële positie (inclusief MPR, investeringen, reserves en verbonden partijen) en voor grip op investeringen (inclusief realisatiekracht, terugbrengen planningsoptimisme en voortgang).

b. Opdrachtbevestiging

De raad is opdrachtgever van de accountant. De Adviescommissie is het eens met de opdrachtbevestiging, en adviseert de raad om ermee akkoord te gaan. 6. Vooruitblik jaarplan 2024

De ruimte in de Burgemeesterskamer is aan de krappe kant; er wordt overwogen om de

vergaderingen van de Adviescommissie voortaan in de hal van het Stadhuis te houden. De

opstelling in de hal is dan zoals tijdens raadsinformatiebijeenkomsten. Hierover wordt even van gedachten gewisseld; de Adviescommissie blijft voorlopig liever vergaderen in de Burgemeesterskamer. Indien nodig zal worden uitgeweken naar de hal.

Schorsing

De ambtenaren verlaten de vergadering.

4 van 6

commissiegriffier Adviescommissie CF danielle.rijnders@utrecht.nl

7. Voortgang accountantscontrole

De heer Leeuwenkamp meldt dat de managementletter in concept aan de ambtelijke organisatie

is gestuurd; deze komt in de volgende vergadering (5 december a.s.) bij de Adviescommissie op de agenda. Op verzoek van de Adviescommissie zal er een bericht over de opvolging van

aanbevelingen uit vorige jaren worden toegevoegd, bij voorkeur als ‘stoplichtrapportage’. De heer Van Vugt vult aan dat de Adviescommissie een notitie over het meerwerk van het controleteam kan verwachten, ter bespreking in de volgende vergadering.

De interim-controle is volgens planning verlopen. Er werkt een controleteam met veel expertise, en er zijn vrijwel geen wisselingen geweest. Het team vindt de personele wisselingen in de

organisatie enigszins zorgelijk, vooral met het oog op de voorbereiding van de SiSa-controles. Als de werkzaamheden uit de pas gaan lopen, kan worden geëscaleerd naar een daarvoor ingesteld regieteam; zo is dat met de ambtelijke organisatie afgesproken.

Voor de SiSa-regelingen zouden zowel het controleteam als de organisatie een centrale

kwaliteitscontrole willen uitvoeren, maar gezien de personele wisselingen in de organisatie is dat (nog) niet te realiseren.

8. Advies inzake de programmabegroting 2025

Omdat er niet veel tijd is voor een advies, wordt afgesproken dat mevrouw Rijnders een opzet

maakt, en dit ter becommentariëring rondstuurt. Er wordt voorgesteld om in elk geval iets op te merken over het dilemma, zoals besproken bij agendapunt 4.a. De heer Samson gaf aan dat het wél met de raad zal worden besproken – maar wanneer dan? Daar zou als advies aan

toegevoegd kunnen worden dat er het beste tijdig aparte raadsvoorstellen voor kunnen worden ingediend.

Er zou ook iets kunnen worden opgenomen over de analyse van de reserves. Deze wordt als beperkt ervaren; de raad krijgt onvoldoende in handen om keuzes te kunnen maken. Het raadsvoorstel bevat nog een onduidelijkheid, namelijk over het normenkader

rechtmatigheid. De norm is gesteld op 1,5%, maar eerder is afgesproken dat de grens stapsgewijs zou worden verlegd naar 1%. De heer Van Vugt verduidelijkt dat de

rechtmatigheidsverantwoording in 2021 zou worden ingevoerd. De toenmalige raad besloot om de norm van 1,5% twee jaar toe te passen, en daarna over te stappen op een norm van 1%. De

heer Van Vugt veronderstelt dat 2023 het eerste jaar was, en 2024 het tweede jaar. Dan zou de norm in 2025 naar 1% gaan. Het zou consistent zijn om vast te houden aan het indertijd genomen raadsbesluit, maar financieel-technisch gezien is dat niet nodig.

5 van 6

commissiegriffier Adviescommissie CF danielle.rijnders@utrecht.nl

Ten slotte geeft de heer Van Vugt de Adviescommissie een compliment voor de alertheid bij het dilemma, zoals uiteengezet bij agendapunt 4.a. 9. Rondvraag en sluiting

a. Terugblik op de heidag

Er werd van gedachten gewisseld over de financiële verordening, de nota Verbonden partijen en de nota Waava. Ook het verbeterplan van financiën stond op de agenda. De nota Waava komt in januari a.s. bij de Adviescommissie op de agenda, bij voorkeur in combinatie met een technische sessie.

Bij de nota Verbonden partijen heeft de Adviescommissie behoefte aan meer onderbouwing, en informatie over de manier waarop de nota behandeld gaat worden. De heer Van Vugt adviseert om onderscheid te maken tussen de gemeente als klant en de gemeente als eigenaar. In de

vakcommissies gaat het hoofdzakelijk over de klantrol, terwijl de Adviescommissie het meer

heeft over de vraag of de gemeente voldoende grip heeft als eigenaar. Allen zijn het erover eens dat er meer tijd nodig is, dus een signaal aan het college, dat dit traject te snel gaat, zou gepast zijn. Daarnaast zou een extra bijeenkomst helpen, waarin de verschillende varianten worden besproken.

b. Voortgang raadstoets

Dit punt wordt doorgeschoven naar een volgende vergadering.

c. Rondvraag

Er wordt geen gebruik gemaakt van de rondvraagmogelijkheid. De vergadering wordt gesloten.

6 van 6

commissiegriffier Adviescommissie CF danielle.rijnders@utrecht.nl

1

Halfjaarverslag Concernaudit 2024-2025 April 2024 – September 2024

Manager Concernaudit 30 september 2024

Inhoudsopgave Managementsamenvatting Follow-up proces Audits Rechtmatigheidsverantwoording Adviesopdrachten Samenwerkingsinitiatieven Status onderhanden opdrachten uit jaarplan 2024-25 Management van de interne audit functie

2

Managementsamenvatting (1/2) Positieve observaties: Het follow-up proces waarin wij na afloop van audits de implementatie van verbeteracties toetsen, loopt na een moeizame start in 2023 steeds beter. Deze positieve ontwikkeling is gemeentebreed van toepassing. Tevens is de kwaliteit van de onderbouwing van de rechtmatigheidsverantwoording verder verbeterd en zet de dalende trend van financiële onrechtmatigheden, met name voor "inkopen en aanbestede”, zich voort. Gemeentebrede verbetermogelijkheden: Gebaseerd op de afgeronde audits en advieswerkzaamheden hebben we een aantal gemeentebrede verbetermogelijkheden geïdentificeerd. Governance • De noodzaak voor het naleven van kaders en richtlijnen blijft een aandachtspunt. Met name gebrek aan naleving van de Standaard projectbeheersing vraagt managementaandacht en prioritering.

•

Kaders en procesbeschrijvingen zijn vaak gedateerd en onvolledig en hierdoor ongeschikt om een robuuste uitvoering van processen te waarborgen.

Financiën

•

Adequate interventies naar aanleiding van signalen uit het medewerkersonderzoek en foutevaluaties ontbreken om voor een duurzame cultuurverandering te zorgen.

•

De implementatie van robuuste en systematische verbeteracties duurt te lang en de afhankelijkheid van derden bij deze trajecten is zorgelijk. Hierdoor bestaat nog steeds een verhoogd risico op fouten in de begroting (e.g. gemeentefonds en loon- en prijsindexatie).

•

De systeemeigenaar rol van Financiën bij de implementatie van de Standaard projectbeheersing heeft niet tot aantoonbare toegevoegde waarde geleid.

Inzet van data • Data analyse technieken worden niet optimaal benut in de bedrijfsvoering. Denk hierbij aan het monitoren van processen en aan inzetten van data voor het feitelijk onderbouwen van mogelijke keuzes in de besluitvorming. Monitoring van leveranciers van clouddiensten • Periodieke en aantoonbare toezicht op cloudleveranciers ontbreekt vaak. Hierdoor is de veiligheid van gemeentelijke data die bij deze leveranciers is opgeslagen niet gewaarborgd. Bewustzijn cyberweerbaarheid • Het cyberbewustzijn bij medewerkers is ondermaats om adequaat op cyberdreigingen te reageren, ondanks bestaande bewustwordingstools en activiteiten. Dit blijkt onder andere uit teleurstellende deelnamecijfers van de e-learning gegevensbescherming en een phishing test. Prestatie indicatoren • Vaak ontbreken relevante prestatie indicatoren die aan de realisatie van doelstellingen of robuuste uitvoering van processen bijdragen. Dit belemmert adequate voortgangsbewaking hierop.

De concerndirectie heeft een aantal initiatieven en projecten opgestart die de oorzaken van de verbetermogelijkheden adresseren. De voortgang hiervan wordt in de reguliere P&C cyclus en aanvullende rapportagemomenten bewaakt. Concernaudit bewaakt de voortgang van de uit audits resulterende verbeterplannen in 3 het follow-up proces.

Managementsamenvatting (2/2) Uitvoering jaarplan 2024-25 ligt op schema

Zichtbaarheid en betrokkenheid in de organisatie

Met dit halfjaarverslag informeren we de directieraad en het college over de voortgang van de realisatie van het Concernaudit jaarplan 2024-25. Het plan omvat onderwerpen uit verschillende domeinen en besteedt uitgebreid aandacht aan de speerpunten van het programma "Versterking Bedrijfsvoering". De meest urgente risico's de we in ons jaarplan adresseren zijn:

Naast het uitvoeren van het jaarplan zijn leden van Concernaudit ook vertegenwoordigd in een aantal expert panels en werkgroepen. Hierin werken we samen met collega's uit verschillende domeinen aan complexe organisatorische vraagstukken en procesverbeteringen, zie pagina 15 voor verdere toelichting. In augustus 2024 is de Europese AI Act in werking getreden. De AI Act is van

• • • •

Informatiebeheer en gegevensbescherming Cyberweerbaarheid met focus op de factor mens Robuustheid kritische processen binnen Financiën, JZ en IT Robuustheid Operationele Technologie (OT) in het fysieke domein

toepassing op alle sectoren, waaronder de overheid. Het CIO Office heeft een werkgroep opgericht die de gemeente bij het ontwikkelen van beleid voor de naleving van de AI Act ondersteunt. Onze data analist, die onlangs de opleiding Certified AI Compliance Officer heeft afgerond, neemt hieraan deel.

Gebaseerd op de huidige stand van zaken, zijn we positief dat we het Concernaudit jaarplan 2024-25 kunnen realiseren.

Sinds juni 2024 vertegenwoordigt de Manager Concernaudit de gemeente Utrecht in de Commissie Bedrijfsvoering en Auditing Decentrale Overheden (BADO). In deze commissie werken functionarissen van decentrale overheden, het Rijk en accountants samen om de interpretatie van regels voor bedrijfsvoering, verantwoording en accountantscontroles toe te spitsen op de praktijk van decentrale overheden.

Uitstel adviesproject bij Financiën Op verzoek van het management Financiën verplaatsen we het adviesproject "Automatisering btw controles" naar Q4 2025. Het team Fiscaliteit kampt al langer met capaciteitsproblemen en de manager heeft ervoor gekozen om op dit moment geen prioriteit aan verdere automatisering van de controlewerkzaamheden te geven. We betreuren deze keuze, omdat nodige professionaliserings- en procesefficiëntieslagen binnen Financiën hierdoor behoorlijke vertraging oplopen.

Verdere professionalisering – externe kwaliteitstoets In het kader van het verder professionaliseren van de Concernaudit functie, laten we in 2025 een externe kwaliteitstoets door de IIA Nederland uitvoeren. Hierbij wordt de naleving van standaarden van onze beroepsorganisatie en de effectiviteit en efficiëntie van de interne audit functie beoordeeld. We hebben capaciteit gereserveerd om de nodige verbeteracties voor deze kwaliteitstoetsing (quickscan in Q1 en formele toetsing in Q4) te realiseren.

4

Follow-up proces Sinds 2023 past Concernaudit een robuust follow-up proces toe voor alle afgeronde audits. Tijdens de follow-up bewaken we de voortgang van de door management voorgestelde verbeteracties. Het management is verantwoordelijk om deze verbeteracties binnen de afgestemde periode te implementeren. Concernaudit fungeert als aanjager, procesbewaker en escaleert significante vertragingen richting de directieraad.

Onderstaande grafieken weergeven de opvolgingsstatus van bevindingen uit de auditjaren 2022-23 en 2023-24. Afgeronde audits uit het jaar 2024-25 zijn nog niet onderhevig aan het follow-up proces. Het follow-up proces bevat bevindingen met risicoclassificatie hoog en midden. Bevindingen met risicoclassificatie laag zijn hier geen onderdeel van.

Follow up status jaarplan 2023-24

Follow up status jaarplan 2022-23 # Audits

11 # Bevindingen

Aantal onderhanden overdue 12

# Audits

Aantal onderhanden niet 14% overdue 1% 1

14 # Bevindingen

20 Hoog 86

33%

35%

Aantal opgelost 33

15 Hoog

58 Midden 8 Laag

Aantal onderhanden overdue 35

100 85%

Aantal opgelost 73

76 Midden 32% 9 Laag

Aantal onderhanden niet overdue 32

Conclusies Gezien het follow-up proces pas in 2023 is geïntroduceerd, liggen resultaten voor bovenstaande auditjaren in lijn der verwachting en passen bij het volwassenheidsniveau van de gemeente Utrecht. De overdue bevindingen kunnen niet worden toegewezen aan één specifiek organisatieonderdeel, maar zijn gemeentebreed van toepassing. Zoals eerder gerapporteerd, blijkt dat het niet tijdig opvolgen van bevindingen (overdue) voornamelijk ligt aan het te optimistisch ramen van de opvolgdatum door management. Hier lijkt een onderschatting van benodigde inspanningen plaats te vinden. Verder is andere prioritering in verband met capaciteitsproblemen een vaak genoemde reden voor het niet tijdig opvolgen van bevindingen.

5

Audits (1/4) Cyberweerbaarheid

Doelstelling: de effectiviteit en naleving van initiatieven en maatregelen voor bewustwording over cyberweerbaarheid beoordelen.

Organisatieonderdeel: CIO Office De meeste cyberaanvallen worden veroorzaakt door menselijk handelen. In het kader van bewustwording hierover heeft het CIO Office een gemeentebrede e-learning gegevens-bescherming met verschillende niveaus (brons, zilver, goud, diamant) geïmplementeerd in september 2022. Per juni 2024 is 69% van de medewerkers nog niet gestart met de e-learning. Slechts 22% van de interne medewerkers en 7% van de externen voldoen aan de geformuleerde KPI “80% niveau zilver medio 2024”. De deelnamecijfers binnen de B20 en het college zijn teleurstellend en wijzen op een gebrek aan juiste tone at the top voor gegevensbescherming. Hiermee is het risico van het verstrekken van gevoelige gegevens door medewerkers aan potentiële hackers ongewenst hoog. Verder is het lage deelnamepercentage een gemist kans, omdat respondenten in onze enquête aangeven positief zijn over de e-learning en hierdoor bewuster omgaan met gevoelige gegevens. Een aantoonbare aansluiting tussen de kennisbehoefte van de medewekers en de aangeboden e-learning ontbreekt, omdat resultaten uit een eerdere nulmeting en data uit tussenrapportages niet zijn gebruikt bij de (door)ontwikkeling van de e-learning. Wij hebben een phishing test uitgevoerd bij de organisatieonderdelen met de hoogste (W&I) en laagste (FIJ) deelnamecijfers aan de e-learning.

W&I scoort hierbij duidelijk beter dan FIJ, wat positief correleert met het volgen van de e-learning. Opkomende Europese cyberwetgeving maakt bestuurders verantwoordelijk voor het nemen van maatregelen tegen cyberrisico's en het toezicht hierop. Het CIO-office heeft hiervoor beleid voor gegevensbescherming opgesteld en integreert dit ook in de onboarding van nieuwe medewerkers. Een zorgpunt is dat het beleid niet op alle aspecten consequent wordt nageleefd. De AVG verplicht organisaties tot het bijhouden van een datalekregister. Het CIO-office verzamelt input van organisatieonderdelen voor het interne register, maar voert hier geen kwaliteitscontroles op uit. Een ander aandachtspunt is dat het hiervan afgeleide externe datalekregister sinds juli 2023 niet meer is geactualiseerd. Het management van het CIO Office erkent de bevindingen en heeft verbeteracties opgestart.

6

Audits (2/4)

Doelstelling: de dienstverlening bij het Serviceplein ICT beoordelen met focus op performancemanagement en data analyse voor procesverbetering.

Doelstelling: de effectiviteit en naleving van het patchmanagement beoordelen.

Serviceplein ICT

Patchmanagement II - Vervolgaudit

Organisatieonderdeel: Mens & Organisatie (M&O)

Organisatieonderdeel: Ruimte, Werk & Inkomen en Mens & Organisatie

Het Serviceplein ICT is het centrale aanspreekpunt voor IT vragen en meldingen van medewerkers en behandelt er per jaar zo’n 100.000. Organisatorisch valt de afdeling onder M&O, maar werkt gezien de werkzaamheden nauw samen met Domstad IT.

Organisaties hebben dagelijks te maken met bedreigingen die de veiligheid van hun ICT infrastructuur aantasten. Patchmanagement is een manier om systemen te beveiligen door het installeren van kleine softwarepakketjes (patches).

Binnen de gemeente is het Serviceplein ICT is een rolmodel voor het realiseren van doelstellingen omtrent ‘Diversiteit en inclusie’ omdat zij structureel Mbo stageplaatsen aanbieden en inclusieve wervingsmethoden zoals ‘open hiring’ toepassen. Het Serviceplein ICT is tevens een springplank voor het doorgroeien naar andere functies in de organisatie.

Wij concluderen dat de huidige inrichting en uitvoering van het patchmanagementproces niet in lijn ligt met de Baseline Informatiebeveiliging Overheid – BIO (van toepassing sinds 2019) en opkomende cyberwetgeving (NIS2-richtlijn – verwachte implementatie Q3 2025).

In 2021 heeft een extern adviesbureau een quickscan uitgevoerd met betrekking tot professionaliseringsmogelijkheden voor het Serviceplein ICT. Waar mogelijk pakken servicepleinmedewerkers verbeteracties op, maar door gebrek aan managementprioritering ontbreekt een gestructureerde en systematische aanpak.

Zo ontbreekt gemeentebreed patchmanagementbeleid voor een gestandaardiseerde en systematische aanpak voor het patchmanagementproces. Dit leidt tot ongewenste individuele invulling van het proces binnen de organisatie-onderdelen. Voorbeelden hiervan zijn dat risico analyses ontbreken en patches voor installatie niet bij alle onderdelen worden getest. Dit verhoogt de kans op beveiligingsincidenten.

Een aandachtspunt is het ontbreken van een helder beleidsdocument dat het mandaat, de samenwerking met Domstad IT en KPI’s voor de dienstverlening beschrijft. Hierdoor mist een basis voor standaardisatie van werkprocessen, zoals opgenomen als speerpunt in het Jaarplan Serviceplein ICT 2023.

Ook zijn er geen relevante KPI’s gedefinieerd (gemeentebreed en per organisatieondeel) om een adequate uitvoering van het patchmanagementproces te monitoren. Dit beperkt het tijdig constateren van knelpunten, waardoor bijsturing mogelijk te laat plaatsvindt.

Wij zien verder verbetermogelijkheden betreffende het inzetten van data voor de monitoring van dienstverlening en continue procesverbetering. Om datagedreven besluitvorming binnen het Serviceplein ICT te stimuleren, heeft Concernaudit een dashboard ontwikkeld dat trends en patronen inzichtelijk maakt en oorzaakanalyses faciliteert.

Voor cloudapplicaties voeren de leveranciers doorgaans het patchmanagement-proces uit. Echter, de verantwoordelijke functionarissen (IPM-teams) in de organisatieonderdelen monitoren de daadwerkelijke naleving door cloudleveranciers hiervan niet. Hierdoor kan de veiligheid van cloudapplicaties niet gegarandeerd worden.

Het management van het Serviceplein ICT erkent de bevindingen en pakt deze op.

Het management van de organisatieonderdelen en de CISO gaan aan de slag met verbeteracties. 7

Audits (3/4)

Doelstelling: de status en effectiviteit van de verbeterplannen met voor de berekening van inkomsten uit het gemeentefonds beoordelen.

Doelstelling: de implementatiestatus van de standaard Projectbeheersing beoordelen

Projectbeheersing

Gemeentefonds

Organisatieonderdeel: Ruimte, Stadsbedrijven, Vastgoedorganisatie Utrecht (VGU) en Projectmanagementbureau (PMB)

Organisatieonderdeel: Financiën

In 2020 heeft de Directieraad de standaard Projectbeheersing vastgesteld. Daarbij is aan de organisatieonderdelen Ruimte, Stadsbedrijven en VGU een opdracht gegeven om deze standaard te implementeren. Oorspronkelijk was het systeemeigenaarschap voor de standaard bij de Directeur F&I belegd. Sinds december 2023 is het eigenaarschap overgegaan naar de Manager Projectmanagementbureau. Per april 2024 heeft de rol van systeemeigenaar echter nog niet tot aantoonbare toegevoegde waarde voor de organisatie geleid. Wel zijn door PMB eerste acties en initiatieven in gang gezet, zoals het periodiek organiseren van vakgroepbijeenkomsten vanaf juli 2024. De organisatieonderdelen voelen over het algemeen geen verplichting en noodzaak om de standaard formats voor projectbeheersing te gebruiken. Sterker nog, bij Ruimte zijn op afdelingsniveau eigen formats ontwikkeld. Dit leidt tot inefficiënt gebruik van mensen en middelen en belemmert uniforme uitoefening van projecten. De implementatie van de standaard is verder gevorderd bij Stadsbedrijven en VGU dan bij Ruimte. De oorzaak hiervan is dat bij Ruimte opdrachtgeverschap voor implementatie meer dan een jaar niet was belegd.

Een belangrijke tekortkoming is dat voor organisatieonderdeel overstijgende projecten een (systeem)overzicht ontbreekt. Dit belemmert adequate en tijdige sturing op deze complexe en risicovolle projecten. De organisatieonderdelen werken momenteel gezamenlijk aan de aanbesteding van een nieuw projectadministratiesysteem ter verbetering van het bovenstaande. Het management van de betrokken organisatieonderdelen herkent de bevindingen en geeft aan deze op te volgen.

Het gemeentefonds verdeelt geld van het Rijk onder alle gemeenten. Voor Utrecht is dit met ongeveer € 1 miljard per jaar de belangrijkste bron van inkomsten. Bij de berekening van de verwachte bijdrage van het gemeentefonds in de begroting 2023 heeft Financiën een rekenfout van € 42 miljoen gemaakt die tot veel negatieve media-aandacht geleid heeft. Als reactie hierop zijn in 2023 een aantal verbeteracties in kaart gebracht. Echter, de implementatie hiervan is teleurstellend (peildatum juni 2024) en resulteert nog niet in aantoonbare en robuuste procesverbeteringen. De aandachtspunten uit het medewerkersonderzoek 2023 voor Financiën (teamgevoel, samenwerking, waardering, ondersteuning van leidinggevenden) zijn bevestigd tijdens de auditinterviews. Het is daarom zorgelijk dat er nog steeds geen plan met concrete initiatieven voor duurzame cultuurverbetering opgesteld is. Het feit dat de foutenevaluatie in klein gezelschap – exclusief uitvoerende medewerkers – heeft plaatsgevonden, draagt niet bij aan een beter teamgevoel. Ook is de evaluatie niet formeel vastgelegd, wat het lerend vermogen van de afdeling beperkt. De Manager Financiën heeft een externe consultant ingehuurd om het kennisniveau over het gemeentefonds te verhogen en een procesbeschrijving op te stellen.

De sinds maart 2024 beschikbare concept versie hiervan was tijdens de audit in juni nog steeds niet formeel vastgesteld en geïmplementeerd. Het huidige gemeentefondsproces kan door inzet van zowel data analyse als benchmarking en kennisdeling met andere gemeenten verder geoptimaliseerd worden. Het management van Financiën herkent de bevindingen gaat aan de slag met de aanbevelingen 8

Audits (4/4) Doelstelling: de maximale impact van een potentieel fraudegeval op de jaarrekening berekenen.

Impact van potentieel fraudegeval op jaarrekening – ad hoc Organisatieonderdeel: Gemeentebreed

Na een spoedverzoek van de Directeur Concerncontrol heeft Concernaudit in mei 2024 de impact van een potentieel fraudegeval in het fysieke domein op de jaarrekening van de gemeente Utrecht in beeld gebracht. We hebben onze werkzaamheden, met name data-analyse technieken, nauw met de externe accountant afgestemd en onze conclusies in een memo samengevat. De maximale onzekerheid met betrekking tot het potentiële fraudegeval - en het totaalbedrag voor onzekerheden in de jaarrekening 2023 van de gemeente - bleken ruim onder de door de externe accountant gehanteerde materialiteit van € 20,1 mln. te liggen. Hierdoor heeft het potentiële fraudegeval geen impact gehad op de goedkeurende accountantsverklaring. Het organisatieonderdeel in kwestie heeft tijdens de jaarrekeningcontrole in mei een extern bureau ingehuurd om een vooronderzoek naar het potentiële fraudegeval uit te voeren. Inmiddels is een feitenonderzoek opgestart, dat per eind september 2024 nog gaande was. Concernaudit heeft geen rol in beide onderzoeken.

9

Rechtmatigheidsverantwoording gemeentebreed

Wettelijk verplichte jaarlijkse audit

Door de wet ‘Versterking decentrale rekenkamers’ moet iedere gemeente vanaf begin 2023 zelf de rechtmatigheidsverantwoording opstellen en onderbouwen. Tot 2023 was deze taak belegd bij de externe accountant. In 2024 legt de gemeente voor de tweede keer verantwoording af over de rechtmatigheid van haar handelen. Met de rechtmatigheidsverantwoording geeft het college aan of er in het boekjaar financiële onrechtmatigheden hebben plaatsgevonden. Verbijzonderde Interne Controles (VICs) De gemeente onderbouwt de rechtmatigheidsverantwoording met behulp van Verbijzonderde Interne Controles uitgevoerd door Business Controllers van de verschillende organisatieonderdelen. Hiermee wordt jaarlijks gecontroleerd hoe effectief interne controlemethodes (procedures, regels en processen) hebben gewerkt om rechtmatigheidsfouten te voorkomen en/of te identificeren.

Uitgevoerde werkzaamheden en conclusies Wij hebben de door de organisatie uitgevoerde werkzaamheden voor de plannings- en interimfase beoordeeld. Door procesverbeteringen en gezamenlijke inspanningen van de Business Controllers en Concernaudit, is de kwaliteit van de VIC werkzaamheden sterk verbeterd. Hierdoor hebben wij onze kwaliteitswerkzaamheden in significant minder tijd kunnen uitvoeren. Wij zijn van mening dat de tot nu toe uitgevoerde werkzaamheden een geschikte basis vormen voor de controle van de externe accountant.

De rechtmatigheidsverantwoording bestaat uit drie fases; Planningsfase (VIC plan)

Interim fase (VIC procesbeschrijving en lijncontrole)

Finale fase (VIC gegevensgerichte werkzaamheden)

Rol Concernaudit Concernaudit werkt hand in hand met de Business Controllers om de rechtmatigheidsverantwoording continu te verbeteren. Dit doen we door: • Het uitvoeren van kwaliteitstoetsen op de VIC werkzaamheden van de organisatieonderdelen; • Het verzorgen van spreekuren voor het delen van vakkennis;

Wederom vormen Werk en Inkomen en Vergunningen, Toezicht en Handhaving een voorbeeldfunctie voor andere organisatieonderdelen. Wij hebben een aantal aandachtspunten geconstateerd:

• Aanhoudende capaciteitsproblemen binnen team Belastingen (Financiën) zorgen voor vertraging in de uitvoering van de VIC werkzaamheden. • De invulling van de VIC functie binnen Ruimte is kwetsbaar omdat het volledig berust op externe medewerkers. De kwaliteit van de VIC plannen is daarnaast een verbeterpunt. We hebben de bevindingen en benodigde verbeteracties gedeeld met het management van de relevante organisatieonderdelen.

• Het (door)ontwikkelen van templates om middels standaardisatie de procesefficiëntie te verbeteren.

10

Rechtmatigheidsverantwoording VIC’s

Wettelijk verplichte jaarlijkse audit

Concernaudit voert zelf Verbijzonderde Interne Controle (VIC) werkzaamheden uit op twee gemeentebrede processen met grote financiële impact. De externe accountant maakt hiervan gebruik tijdens de jaarrekeningcontrole.

Inkopen en aanbesteden Organisatieonderdeel: Overstijgend

Financiële omvang jan – juni 2024: EUR 448 miljoen

Subsidieverstrekking

Organisatieonderdeel: Maatschappelijke Ontwikkeling (MO)

Financiële omvang jan – juni 2024: EUR 212 miljoen

Concernaudit heeft de VIC werkzaamheden op inkopen en aanbesteden over de eerste twee kwartalen van 2024 afgerond.

Concernaudit heeft voor 2024 het VIC plan geactualiseerd en het proces getoetst op conformiteit aan wet- en regelgeving en verordeningen.

De geconstateerde onrechtmatigheden tot en met juni 2024 (€ 0,4 mln.) zijn in omvang significant lager dan in voorgaande jaren (geheel 2023 € 4,8 mln.). De oorzaak hiervan is toegenomen gemeentebrede aandacht voor en naleving van de EU aanbestedingswetgeving.

Wij hebben zoals in eerder jaren geen financiële onrechtmatigheden geconstateerd.

Concernaudit draagt hieraan bij door kwartaallijks controles op inkopen en aanbesteden uit te voeren. Zo kunnen organisatieonderdelen tijdig actie ondernemen in geval van onrechtmatigheden. De in de programmabegroting 2024 genoemde doelstelling maximaal € 3,0 mln. onrechtmatige aanbestedingen lijkt voor het eerst in jaren haalbaar. De geconstateerde onrechtmatigheden betreffen de organisatieonderdelen Ruimte, Stadsbedrijven, Vergunningen Toezicht en Handhaving, Maatschappelijke Ontwikkeling en Domstad IT. Deze zijn met name ontstaan door: • •

het onterecht verstrekken van opdrachten na afloop van de contractperiode; het onterecht niet Europees aanbesteden van opdrachten;

en betreffen zowel inkoop en aanbestedingen als inhuur van personeel. De bevindingen en benodigde verbeteracties zijn afgestemd met het management van: • Organisatieonderdelen met onrechtmatigheden; • Inkoop (verantwoordelijk voor centraal inkoopbeleid); • Mens & Organisatie (verantwoordelijk voor inhuur personeel).

Alhoewel wij een daling zien in het aantal formele onrechtmatigheden ten opzichte van 2023, is een klein aantal verleningsbeschikkingen niet vóór het verstrijken van de beslistermijn uit de Algemene Subsidie Verordening (ASV) afgegeven. Hierdoor bestaat het risico dat de subsidieontvanger de subsidie ambtshalve kan laten verlenen of vaststellen. De ontvanger heeft dan recht op het volledige subsidiebedrag, ook indien niet aan de aanvraagvoorwaarden wordt voldaan. Het “Uitvoeringskader Subsidieverstrekking” is voor 2024 nog niet geactualiseerd. Gezien het belang van het beleidsstuk, is de lange doorlooptijd van deze actualisatie een aandachtspunt. De omschrijvingen van subsidieactiviteiten in de beschikkingen zijn nog steeds te summier en liggen niet in lijn met het uitvoeringskader. Hierdoor is het moeilijk om vast te stellen of de subsidie daadwerkelijk wordt besteed aan de gewenste activiteiten. Een ander aandachtspunt is dat de aansluiting tussen het financiële systeem SAP en het subsidiesysteem Easyfunders door het gebrek aan datakwaliteit niet geautomatiseerd is. Dit leidt tot inefficiënties in de jaarrekeningcontrole omdat aansluitingen handmatig gemaakt moeten worden.

Het management van het subsidiebureau herkent de bevindingen en gaat hiermee aan de slag. 11

Adviesopdrachten (1/3) Juridische Zaken

Juridische Zaken

Dashboard Management Rapportage ‘Bezwaar en Beroep’

Dashboard Management Rapportage 'Schade en Verzekeren'

Naar aanleiding van het dossier Binnenstad en het en het daaropvolgende Berenschot rapport, heeft Concernaudit in 2023 op verzoek van JZ een dashboard ontwikkeld om de managementrapportages omtrent het proces ‘Bezwaar en Beroep’ te verbeteren.

Het genereren van informatie voor managementrapportages voor ‘Schade en Verzekeren’ vindt momenteel handmatig plaats en is afhankelijk van één functionaris. Dit is inefficiënt en vormt een ongewenste situatie in het kader van businesscontinuïteit.

Het dashboard is sinds december 2023 operationeel en visualiseert volledig geautomatiseerd relevante stuurinformatie voor de maandrapportages van het proces ‘Bezwaar en Beroep’.

De reeds bestaande samenwerking met JZ zetten wij voort door de maandrapportages van het proces ‘Schade en Verzekeren’ te automatiseren. Met het dasboard kan management gerichter sturen op knelpunten en workload binnen het team. Een bijkomstig voordeel is dat informatie uit het dashboard kan worden gebruikt voor toekomstige onderhandelingen met verzekeraars omtrent keuzes over premies en eigen risico’s.

In de afgelopen periode hebben we dit dashboard verder geoptimaliseerd op basis van waardevolle gebruikersfeedback van juristen. Zo hebben we het gebruikersgemak verbeterd en een prognose voor verwachte bezwaar- en beroepsschriften van bewoner toegevoegd. Deze verbeteringen dragen bij aan een meer gerichte en voorspellende sturing van het proces ‘Bezwaar en Beroep’.

Tijdens de verkenningsfase met JZ hebben wij echter geconstateerd dat een koppeling tussen de benodigde productiesystemen ontbreekt. De ontwikkeling van deze koppeling is inmiddels in gang gezet. Zodra deze gereed is, kunnen wij met het bouwen van de geautomatiseerde rapportages beginnen.

12

Adviesopdrachten (2/3) Concernaudit

Mens & Organisatie

Automatisering werkzaamheden op VIC Inkopen en Aanbesteden

Voorspellende Model Vrijwillige Uitstroom

Concernaudit is continu op zoek naar automatiseringsmogelijkheden voor handmatige auditwerkzaamheden. Een bijzonder arbeidsintensieve activiteit is het kwartaallijks uitvoeren van de VIC 'Inkopen en Aanbesteden’ (zie pagina 11). Daarom werken we in pilots aan de automatisering van deze werkzaamheden.

De krapte op de arbeidsmarkt stelt de gemeente Utrecht voor uitdagingen. Openstaande vacatures zijn hierdoor lastiger in te vullen en voor werknemers is het aantrekkelijk om kansen buiten de gemeente te verkennen.

Eerder hebben we succesvol het handmatig verzamelen van onderbouwende documenten uit het systeem SAP SRM geautomatiseerd. In de afgelopen maanden hebben we ons gericht op het automatisch uitlezen van inkoopdocumenten. Hiervoor hebben we een script ontwikkeld dat de benodigde informatie uit de inkoopdocumenten herkent, verzamelt en in een database opslaat. Dit maakt handmatige, repetitieve taken overbodig. Denk hierbij aan het opzoeken, openen en kopiëren van informatie uit losse documenten. In het komend halfjaar breiden wij het script verder uit om meer documenttypen te kunnen verwerken. Daarnaast ontwikkelen we scripts voor datapreparatie en de inrichting van analyses om onze contolewerkzaamheden verder te versnellen.

In samenwerking met M&O hebben wij daarom een model ontwikkeld om toekomstige vrijwillige uitstroom van medewerkers te voorspellen. Personeelsgegevens, medewerkersonderzoeken en arbeidsmarktdata over de periode 2017-2024 vormen de basis voor de voorspellingen. Door het gebruik van zelflerende algoritmes (machine learning) is het model verder geoptimaliseerd. De uitkomsten van het model hebben we gevisualiseerd in een dashboard dat M&O in staat stelt om risicogebieden voor vrijwillige uitstroom te identificeren. Denk bijvoorbeeld aan specifieke functies of doelgroepen binnen onze organisatie. Het dashboard ondersteunt een feitelijk onderbouwd capaciteitsmanagement en faciliteert een gerichtere en efficiënte inzet van managers en HR business partners.

In totaal beogen we hier 150 manuren per jaar mee te besparen.

13

Adviesopdrachten (3/3) Financiën

Evaluatie RRP – ad hoc

Dashboard Memorialen

Evaluatie Regeling Risicovolle Projecten

De gemeente Utrecht verwerkt jaarlijks een groot aantal memorialen. In 2023 betrof dit meer dan 8.000 memorialen ter waarde van € 3,8 miljard.

Sinds 2021 kent de gemeente Utrecht de Regeling Risicovolle Projecten (RRP). Het doel van deze regeling is de raad te versterken in haar kaderstellende en controlerende rol bij projecten die risicovol zijn. Dit zijn projecten met substantiële invloed op de stad, het gebruik van innovaties, bestuurlijke complexiteit en/of significante financiële omvang.

Vanwege het handmatige karakter en de mogelijkheid om het resultaat te beïnvloeden voor persoonlijk gewin, hebben memorialen een verhoogd risico op fraude. De externe accountant heeft in diverse managementletters aandacht gevraagd voor de gebrekkige onderbouwing van memoriaalboekingen en tekortkomingen in de interne beheersing.

In samenwerking met Financiën hebben wij een dashboard ontwikkeld om met een datagedreven aanpak het memorialenproces: • Inzichtelijker te maken; • Knelpunten te identificeren; • Interne beheersmaatregelen gericht aan te scherpen; • Oorzaken van memoriaalboekingen in beeld te brengen en hierdoor het aantal boekingen terug te brengen. Met het dashboard beschikt het managent van Financiën nu over relevante stuurinformatie om een robuust proces voor memorialen in te richten en te bewaken.

In de regeling is vastgelegd dat deze na drie jaar zal worden geëvalueerd door het college en de raad. Hiervoor is opdracht gegeven aan de Directeur Concerncontrol. De data-analist van Concernaudit is bij de evaluatie betrokken voor onderzoeksgerelateerde aspecten. Onze data-analist – tevens socioloog – brengt relevante vakexpertise door het hanteren van een mixed methods aanpak, waarbij zowel kwantitatieve als kwalitatieve onderzoeksmethoden zijn ingezet. Om een volledig beeld te krijgen van de ervaringen en opvattingen over de RRP, is een enquête gehouden onder raadsleden en ambtenaren van de gemeente Utrecht. Aansluitend zijn focusgroep-interviews georganiseerd met een selectie van ambtenaren en raadsleden. De bevindingen uit de evaluatie vormen de basis voor het concluderende rapport, dat door de Directeur Concerncontrol eind 2024 wordt opgeleverd.

In het tweede halfjaar ontwikkelen wij het dashboard verder.

14

Samenwerkingsinitiatieven Naast het uitvoeren van het jaarplan zijn leden van Concernaudit ook vertegenwoordigd in een aantal expert panels en werkgroepen. Hierin werken we samen met collega's uit verschillende domeinen aan complexe organisatorische vraagstukken en procesverbeteringen. Hieronder hebben wij enkele nieuwe en bestaande samenwerkingsinitiatieven uitgelicht.

Commissie Bedrijfsvoering en Auditing Decentrale Overheden BADO Sinds juni 2024 vertegenwoordigt de Manager Concernaudit de gemeente Utrecht in de Commissie Bedrijfsvoering en Auditing Decentrale Overheden (BADO). Deze commissie bestaat uit deskundigen die onder meer werkzaam zijn bij gemeenten, provincies, de VNG, de beroepsorganisatie van accountants, accountantskantoren en het Rijk. De commissieleden werken samen om de interpretatie van regels voor bedrijfsvoering, verantwoording en accountantscontroles toe te spitsen op de praktijk van decentrale overheden.

Overige samenwerkingsinitiatieven Selectiecommissie aanbesteding externe accountant

Kernteam rechtmatigheidsverantwoording

Expert panel inkoop

Werkgroep AI Act In augustus 2024 is de Europese AI Act in werking getreden. De AI Act is van toepassing op alle sectoren, waaronder de overheid. Organisaties hebben tot augustus 2026 om aan de wettelijke vereisten te voldoen. Het CIO Office heeft een werkgroep opgericht die de gemeente bij de ontwikkeling van beleid voor de naleving van de AI Act ondersteunt. Hierdoor kan adequaat en tijdig invulling worden geven aan verplichtingen uit deze wetgeving, zonder daarbij de kansen die AI biedt uit het oog te verliezen. In september 2024 kwam de werkgroep voor het eerst bijeen. Onze data-analist, die onlangs de opleiding tot Certified AI Compliance Officer succesvol heeft afgerond, neemt actief deel hieraan.

Expert panel medewerker tevredenheidsonderzoek

Expert panel SAP HANA implementatie

Vakgroep data science

Artificial Intelligence (AI) tafel

15

Status onderhanden auditopdrachten uit jaarplan 2024-25 Per 30 september 2024

Vooronderzoek

Opdrachtbeschrijving afgestemd

Veldwerk afgerond

Bevindingen afgestemd

Conceptrapport aangeboden

In afwachting van managementreactie

213a – Regeling Risicovolle Projecten (RRP) - Informatie op Orde 213a Wijken – ongelijk investeren in gelijke kansen

IT Wet Politiegegevens 2024 en hercontrole auditbevindingen 2024 Stadsbedrijven OT/IT Cloudcontracten II – vervolgaudit Omgevingswet Verbonden partijen Follow-up audit - Onderwijshuisvesting Toetsen van beheersmaatregelen in fraudegevoelige processen – PBZ RNI Loon en prijsindexatie

16

Status onderhanden adviesopdrachten uit jaarplan 2024-25

Per 30 september 2024

Vooronderzoek

Opdrachtbeschrijving afgestemd

Veldwerk afgerond

Bevindingen afgestemd

Conceptrapport aangeboden

In afwachting van managementreactie

JZ: Dashboard Schade en Verzekeren

Financiën: Dashboard Purchase 2 Pay Financiën: Dashboard BTW bij doorbelasting van kosten* PBZ: Dashboards** Fraudeworkshop

* Deze opdracht is uitgesteld op verzoek van Financiën. Zie p.3 in de managementsamenvatting voor verdere toelichting.

**De volgende dashboards worden opgesteld: 1) Raadplegingen BRP en advisering Reisdocumenten, 2) Eerste inschrijving BRP en 3) Registratie Niet Ingezetenen.

17

Management van de interne auditfunctie (1/2) Onafhankelijkheid

Belangenverstrengeling

De Manager Concernaudit heeft vastgesteld dat de benodigde onafhankelijkheid van Concernaudit is gewaarborgd:

Potentiële belangenverstrengeling wordt periodiek getoetst door de Manager Concernaudit. Tussen 1 april 2024 en 30 september 2024 heeft belangenverstrengeling zich niet voorgedaan.

• De Manager Concernaudit rapporteert aan een dusdanig hoog niveau in de organisatie, waardoor Concernaudit in staat is om haar verantwoordelijkheden te kunnen vervullen. • De Manager Concernaudit heeft een directe communicatielijn met de Gemeentesecretaris, de Wethouder en de Adviescommissie Control & Financiën.

Belangenverstrengeling vindt plaats op het moment dat een auditor, die een vertrouwenspositie bekleedt in haar functie, een ander professioneel of persoonlijk belang heeft. Tegengestelde belangen kunnen het onpartijdig uitoefenen van de auditfunctie bemoeilijken. Door belangenverstrengeling kan een ongepast beeld ontstaan welke het vertrouwen in de interne auditor en haar audit activiteiten kan schaden.

Permanente educatie

IIA Congres 2024

Auditors met certificaten en beroepslidmaatschappen die bijbehorende onderhoudseisen in het kader van ‘Permanente Educatie’ stellen, volgen de benodigde trainingen en cursussen om hieraan te voldoen.

Met drie collega’s van Concernaudit hebben wij in juni 2024 deelgenomen aan het IIA congres in Leusden. Na aanleiding van de Olympische Spelen in Parijs was "Conformance & Performance" het congresthema. We hebben aan de hand van voorbeelden uit de topsport inspiratie opgedaan wat betreft het voldoen aan verwachtingen en presteren.

Middelen en budget • Concernaudit heeft voldoende middelen (capaciteit en budget) om het interne audit plan 2024-25 uit te voeren. • Concernaudit zal het interne audit plan 2024-25 binnen het vastgestelde budget afronden.

18

Management van de interne auditfunctie (2/2) Kwaliteitsbewaking en verbeterprogramma Interne auditfuncties wereldwijd maken gebruik van dezelfde standaarden bij het uitvoeren van hun werkzaamheden. Deze standaarden zijn door onze beroepsorganisatie, het Instituut van Internal Auditors (IIA), recentelijk geüpdatet op basis van maatschappelijke ontwikkelingen. De nieuwe standaarden (GIAS) zijn vanaf 1 januari 2025 van toepassing.

GIAS 8.4 schrijft voor dat interne audit afdelingen iedere vijf jaar een externe kwaliteitstoetsing laten uitvoeren om de naleving van de standaarden en de effectiviteit en efficiëntie van de interne audit functie te beoordelen. De Manager Concernaudit heeft opdracht aan IIA Nederland gegeven om de externe kwaliteitstoetsing voor het eerst in 2025 uit te voeren. We doen dit in twee fases; een quickscan in Q1 2025 en de formele kwaliteitstoetsing in Q4 2025. We hebben capaciteit gereserveerd om de nodige verbeteracties voor de kwaliteitstoetsing te realiseren en een van onze Senior Auditors als Project Manager aangewezen. Ook werken we op het onderwerp kwaliteitsbewaking nauw samen met de interne audit afdelingen van de gemeenten Amsterdam en Den Haag. Naast de voorbereidingen voor de externe kwaliteitstoetsing hebben we dit jaar het thema 'verbeteren schrijfvaardigheden' als speerpunt gekozen. Elk teamlid heeft een individueel verbeterplan opgesteld en we bespreken casuïstiek periodiek in teamoverleggen.

Key Performance Indicators (KPI’s) Jaarplanrealisatie Maximaal 3 audits of advies opdrachten die per 31 maart 2025 onderhanden zijn en in Q2 2025 worden afgerond.

Onderhanden op schema

Budget Het jaarplan 2024/25 binnen het budget uitvoeren.

Onderhanden op schema

Kwaliteit dienstverlening Score 4 of hoger (afgerond) in 80% van alle audits. Auditees ontvangen een enquête waarin zij onze dienstverlening beoordelen van 1 t/m 5 op stellingen met betrekking tot Team, Uitvoering, Rapport en Meerwaarde audit.

Onderhanden loopt achter: 76%

Professionele ontwikkeling Het behalen van de volgende certificaties: één Certified Artificial Intelligence Compliance Officer (CAICO), één Certified Interal Auditor (CIA) en een CIA kandidaat.

Onderhanden op schema

Procesverbeteringen: doorlooptijd 80% van de concept auditrapporten en concept advies-memo’s uiterlijk 13 werkdagen dagen na de closing meeting versturen.

Onderhanden loopt achter: 29%

Follow-up Het follow-up proces voor alle audits (vanaf het jaarplan 2024/25) binnen 3 tot 6 maanden na het uitbrengen van het definitief audit rapport afronden.

Nog niet van toepassing

19

Digitally signed by Rein-Aart Van Vugt on 19 Nov 2024

Auditplan 2024 Gemeente Utrecht | 18 November 2024

Digitally signed by Rein-Aart Van Vugt on 19 Nov 2024

Aanbiedingsbrief auditplan 2024

Aanbiedingsbrief auditplan 2024

Het auditplan in één oogopslag

Aan de gemeenteraad van de gemeente Utrecht Postbus 16200 3500 CE UTRECHT Datum

18 november 2024 Onderwerp

Auditplan 2024 Ons kenmerk

241129ED0E/RR

Geachte leden van de raad, Wij hebben het genoegen u hierbij ons auditplan aan te bieden voor de controle van de gemeente Utrecht voor het boekjaar eindigend op 31 december 2024. Het doel van dit document is u een samenvatting te geven van de wijze waarop wij de controle van de jaarrekening over 2024 verrichten. Ons auditplan is mede gebaseerd op onze kennis en ervaring vanuit voorgaande jaren. Dit auditplan hebben wij op 17 oktober 2024 met uw adviescommissie Controle en Financiën besproken. Het auditplan is een dynamisch document dat wij zonodig in overleg met u tussentijds bijwerken als actuele ontwikkelingen bij/voor de gemeente Utrecht hiertoe aanleiding geven. Wij houden hierover nauw contact met zowel de gemeenteraad c.q. adviescommissie Controle en Financiën, uw college als de ambtelijke organisatie. Communicatie neemt zoals u van ons gewend bent sowieso een prominente plaats in binnen ons auditplan 2024. Dat stelt ons immers in staat continu op de hoogte te zijn én te blijven van de voor u relevante ontwikkelingen. Zo vullen wij onze certificerende rol én natuurlijke adviesfunctie voor uw gemeente optimaal in. Wij zijn indien gewenst uiteraard graag bereid aan u een nadere toelichting te geven.