Agendabundel

Bundel - Adviescommissie Controle en Financiën van 5 juni 2025 1.a 1.b 2 3

4 4.a

4.b

4.c

4.d

4.e

5 5.a

5.b

Opening en Mededelingen (2 minuten) Nieuw vergadermodel (toelichting Johan) --> gevolgen voor vergaderschema Vaststellen agenda (2 minuten) Vaststellen verslag vorige bijeenkomst (1 min). Adviescommissie C&F 17-04-2025 Ingekomen stukken (5 min.) Jaarverslag concernaudit 2024 - 2025 Rekenkamerbrief Jaarstukken 2024 Bijlage voortgang uitvoering raadsbesluiten rekenkameronderzoeken Provincie Utrecht, aanvulling op begrotingscirculaire Jaarverslag 2024-25 Concernaudit_definitief 20250527 Rekenkamerbrief Jaarstukken 2024 bijlage uitvoering raadsbesluiten rekenkameronderzoeken Aanbiedingsbrief aanvulling begrotingscirculaire 2026 Aanvulling op begrotingscirculaire 2026 Jaarstukken en resultaatbestemming (30 - 45 min.) Toelichting door accountant.

Raadsvoorstel Jaarstukken 2024 Dossier 4671 voorblad Raadsvoorstel Jaarstukken 2024 Jaarstukken 2024 Analyse reserves Bewonerssamenvatting Jaarstukken 2024 Subsidiemonitor Raadsvoorstel Resultaatbestemming 2024 Dossier 4690 voorblad Raadsvoorstel Resultaatbestemming 2024 Resultaatbestemming 2024 Duurzaamheidsverslag en Voortgangsrapportage Energie van de stad 2024 Dossier 4649 voorblad Raadsbrief Duurzaamheidsverslag 2024 Duurzaamheidsverslag 2024 Voortgangsrapportage Energie van de stad 2024 Bomenbalans park- en straatbomen en areaal bos en bosplantsoen 2024 Voortgangsrapportage Meerjarengroenprogramma (MPG) 2024 Accountantsrapport van bevindingen, incl.

accountantsverklaring over de Jaarstukken Accountantsverslag 2024 gemeente Utrecht - 16-05-2025 Gemeente Utrecht - Controleverklaring jaarrekening 2024 WG Gemeente Utrecht - Aanbiedingsbrief bij controleverklaring jaarrekening 2024 Raadsbrief Accountantsverslag 2024 Raadsbrief Accountantsverslag 2024 Accountantsverslag 2024 gemeente Utrecht - 16-05-2025 Toelichting accountantsverslag gemeente Utrecht 2024 toelichting Voorjaarsnota (15 - 30 min.) Raadsvoorstel Voorjaarsnota en bestuursrapportage 2025 Dossier 4687 voorblad Raadsvoorstel Voorjaarsnota en 1e Bestuursrapportage 2025 Voorjaarsnota en Bestuursrapportage 2025 Bewonerssamenvatting Voorjaarsnota 2025 Eerste Technische wijzigingen 2025 Subsidiestaat 2025 BRONbestand (13 mei 2025) - DROP Subsidiestaat 2026 BRONbestand (13 mei 2025) - DROP Raadsvoorstel Meerjaren Perspectief Ruimte 2025 Dossier 4678 voorblad

5.c

5.d

5.e

5.f

6

7 8

Raadsvoorstel Meerjaren Perspectief Ruimte 2025 Meerjaren Perspectief Ruimte 2025 Bijlage Projectenlijst 5e tranche maatregelen (openbare versie) Bijlage voortgang woningbouwprojecten 100+ MPR 2025 Bijlage Lijst projecten sociale huur en middenhuur projecten 2025 Raadsbrief Voortgangsrapportage Nota Kapitaalgoederen 2025 Dossier 4621 voorblad Raadsbrief Voortgangsrapportage Nota Kapitaalgoederen 2025 Voortgangsrapportage Voortgangsrapportage Nota Kapitaalgoederen 2025 Raadsbrief Programma Water en Riolering Utrecht 2026-2030 Dossier 4664 voorblad Raadsbrief Programma Water en Riolering 2026-2030 Programma Water en Riolering Utrecht 2026-2030 Raadsbrief Meerjaren Investeringsprogramma beheer openbare ruimte (MJIP) 2026-2035 Dossier 4686 voorblad Raadsbrief Meerjaren Investeringsprogramma beheer openbare ruimte (MJIP) 2026-2035 Meerjaren Investeringsprogramma beheer openbare ruimte (MJIP) 2026-2035 Raadsbrief Grondprijzenbrief 2025 Dossier 4601 voorblad Raadsbrief Grondprijzenbrief 2025 Tabel grondprijzen 2025 Vooruitblik volgende vergadering (tijd: 5 minuten) Zie Jaarplan. Opening, verslag en ingekomen stukken (tijd: 10 minuten) --> kennismaken nieuwe directeur F&I. Plan van Aanpak accountantscontrole (‘jaarplan’) en opdrachtbevestiging jaarrekening (tijd: 15 minuten).

Update verbeterplan financiën (tijd: 15 minuten) Update Sturen en Verantwoorden & evaluatie (tijd:30 minuten) Vooruitblik volgende vergadering (tijd: 5 minuten) Afsluiting (5 minuten) Jaarplan adviescommissie CF 2025 (mei) (eventueel) Advies aan commissie VBF n.a.v. Voorjaarsnota/Berap/JS (15 min.) 18062024 Inbreng bij debat Jaarstukken vanuit adviescommissie Afsluiting (5 minuten)

VERSLAG ADVIESCOMMISSIE CONTROLE EN FINANCIËN

17 april 2025, 09.00-10.45 uur Burgemeesterskamer Stadhuis

Adviescommissie: Jantine Zwinkels (vz.), Sjaak van Bemmel, Fred Claasen, Gert Dijkstra, Raphaël Klijn, Ruud Maas, Charlotte Passier, Ralph Peters, Margreet Ramaker, Bert van Steeg, Rick van der Zweth en Daniëlle Rijnders (raadsadviseur Control & Audit)

Overige deelnemers: Jurjen Bakker (strategisch adviseur financiën), Johan Dorst (Griffie), Jasmin Grundauer (manager concernaudit), Annemieke Jutte (adviseur hervormingsbezuinigingen en risicomanagement), Rachid Saghraoui

(concerncontroller en directeur financiën a.i.), Thomas van Thiel (strategisch adviseur financiën), Paul Venhoeven en Gerth Molenaar (Rekenkamer) en Bob Leeuwenkamp (Deloitte)

Niet aanwezig: Derk van Bergen, Cees Bos, Stevie Nolten, Victor Paalman, Ruben Snijder Notulen: Rosenbaum Select, notulisten & verslaggevers

1. a. Opening en mededelingen

De voorzitter heet allen welkom en opent de vergadering. b. Vaststellen agenda

De agenda wordt vastgesteld zoals opgegeven. 2. Vaststellen verslag vorige bijeenkomst (20-03-2025) Geen bijzonderheden; het verslag wordt vastgesteld.

Naar aanleiding van het verslag meldt mevrouw Rijnders dat er onlangs een eindgesprek is

geweest met het accountantskantoor dat niet werd geselecteerd. De selectiecommissie lichtte de reden van afwijzing toe, wat door de andere partij op prijs werd gesteld. Daarmee werd het proces ordentelijk afgehandeld.

Deloitte heeft de Adviescommissie uitgenodigd voor een bezoek aan hun vestiging, waar dan

een interessant programma (met spreker en lunch) voor wordt samengesteld – om het nieuwe contract te vieren. Dit zal i.o.m. de griffie worden gepland. 3. Ingekomen stukken •

Raadsbrief Voortgang verbeterprogramma versterken financiële functie

De raadsbrief is voor de Adviescommissie ter informatie, en ter bespreking voor de commissie VBF. In aansluiting hierop meldt de heer Molenaar dat de Vereniging van Rekenkamers in

samenwerking met de Radboud Universiteit een DoeMee-onderzoek doet naar onderbesteding. Er doen 80 à 90 Rekenkamers aan mee, waaronder de Utrechtse. Wanneer er een rapport verschijnt is nu nog niet bekend, maar als de inhoud relevant is, zal het t.z.t. bij de Adviescommissie op de agenda komen.

1 van 6

commissiegriffier Adviescommissie CF danielle.rijnders@utrecht.nl

4. Jaarplan Concernaudit

Zie het plan, bij vergaderstukken. Mevrouw Grundauer licht toe dat de managementletter van de accountant altijd een bron van inspiratie is voor de afdeling. Al sinds 2018 wordt hierin

aandacht gevraagd voor het organisatieonderdeel Ruimte; dat is dit jaar in het auditplan

opgenomen. Naleving van wet- en regelgeving behoort tot de vaste thema’s. Dit jaar in het bijzonder wordt ondermeer gefocust op inhuur, de Wet DBA, de Wet politiegegevens en de Algemene Verordening Gegevensbescherming. Integriteit is een ander vast onderwerp; de afdeling heeft een integriteitscoördinator die een onderzoeksprotocol heeft gemaakt.

De heer Saghraoui meldt desgevraagd dat de implementatie van het nieuwe financiële systeem

in Utrecht goed is verlopen en dat er – in tegenstelling tot in Amsterdam – bijna geen storingen zijn geweest. Aan het eind van het jaar wordt de implementatie geëvalueerd.

In het organisatieonderdeel Ruimte wordt aandacht besteed aan de erfpachtinkomsten, een

aanbeveling uit de managementletter. Er zal worden onderzocht of alle kosten correct worden

gefactureerd, en of die facturen ook worden betaald. Dit staat los van de erfpachtdiscussie die nu speelt.

Zie blz. 11 van het plan, gemeentebrede uurtarieven. Mevrouw Grundauer licht toe dat dit onderzoek plaatsvindt bij het Projectmanagementbureau, waar organisatieonderdelen

medewerkers voor projecten kunnen inhuren – tegen betaling. Afdelingen maken over en weer ook gebruik van elkaars medewerkers, en belasten dit intern door. Er wordt opgemerkt dat afdelingen ook wel afzien van het aantrekken van expertise als dit ten laste komt van hun project. Precies daarom, stelt mevrouw Grundauer, moeten er heldere, organisatiebrede afspraken over worden gemaakt die geen ruimte bieden voor individuele interpretaties.

Zie blz. 9 van het plan, cloudcontracten. In het plan wordt aangegeven dat de resultaten

zorgwekkend zijn. Ligt het dan niet meer voor de hand om actie te ondernemen in plaats van

een audit te doen? Mevrouw Grundauer geeft aan dat dit onderwerp in juni a.s. begint, en dat

daar dan een beslissing over wordt genomen. De gemeente moet de regie naar zich toetrekken, maar is daar nog onvoldoende voor toegerust. Er worden al wel veranderingen doorgevoerd; de audit heeft als doel het bewaken van voortgang en het steviger voeren van regie. Hiervoor zijn in het jaarverslag enige aanbevelingen gedaan aan de concerndirectie.

Zie blz. 7 van het plan, kleine subsidies (tot € 125.000). Van deze subsidies wordt de

doelmatigheid en doeltreffendheid getoetst. Volgens mevrouw Grundauer worden er vijf tot tien van die subsidies getoetst.

2 van 6

commissiegriffier Adviescommissie CF danielle.rijnders@utrecht.nl

5. Financiële kengetallen (o.a. motie 415)

Zie de bijlage ‘Financiële gezondheid van een gemeente’, bij vergaderstukken, toelichting door de heer Van Thiel. Het beoordelen van de financiële positie vraagt om overleg, rekening houdend met de context, de ambities en de risico’s. Dat een gemeente een complexe

organisatie is, maakt dit niet gemakkelijk. Daar komt bij dat gemeenten sterk afhankelijk zijn van de rijksoverheid en dat er begrotingsregels zijn: de gemeentelijke begroting moet structureel in evenwicht zijn.

Desgevraagd geeft de heer Van Thiel aan dat het voor de meeste gemeenten een uitdaging is

om tot een sluitende begroting te komen, bijvoorbeeld als de rijksoverheid taken delegeert aan lagere overheden, en daar geen middelen voor beschikbaar stelt. In elk geval adviseert de VNG om voor 2026 een sluitende begroting te presenteren. Gemeenten – waaronder de gemeente Utrecht – nemen dat advies ter harte, maar soms zit er niets anders op dan met een niet-

sluitende begroting te komen. Het college neemt hier op 6 mei a.s. een besluit over. De heer Saghraoui vult aan dat er in het eerste jaar een structureel sluitende begroting moet worden

opgesteld. Als dat niet lukt, moet de begroting in het laatste jaar sluiten, dus in dit geval moet

de begroting óf in 2026, óf in 2027 sluiten. Als er veel financiële risico’s zijn, vraagt dat om een zorgvuldige beschouwing van het weerstandsvermogen; er moet geld zijn om tegenvallers op te vangen.

Financiële gezondheid wordt beoordeeld aan de hand van vier indicatoren, namelijk

weerbaarheid, houdbaarheid, wendbaarheid en realiteit (zie blz. 4 van de presentatie). In dit

verband wordt verwezen naar de ‘beïnvloedbare ruimte’ waarmee sinds twee jaar wordt gewerkt. Hierop stelt de heer Van Thiel dat snel bijsturen moeilijk is. Die beïnvloedbaarheid wordt aangegeven met een percentage, maar dat geeft de keuzeruimte aan. Het is niet zo dat

ombuigen van de ene op de andere dag mogelijk is. De raad zou kunnen besluiten om een volgend jaar gebruik te maken van die ruimte.

Welke van de vier indicatoren is voor de ambtelijke organisatie het meest uitdagend?

Weerbaarheid (solvabiliteit) springt eruit, zegt de heer Van Thiel, al is de betekenis voor een gemeente relatief. Realistisch ramen is ook een uitdaging, maar uiteindelijk gaat het om de samenhang, en dat begint met een goed gesprek over de getallen.

De ambtelijke organisatie is van plan om vijf jaar terug en vijf jaar vooruit te kijken. Betekent dit

dat de gemeente anders gaat begroten? Ja, zegt de heer Saghraoui, in het bijzonder met het oog op de solvabiliteit. Er is de afgelopen jaren een te groot planningsoptimisme geweest.

Investeringen zullen dan ook worden beoordeeld op haalbaarheid; er is een investeringsplafond van € 110 miljoen ingesteld, maar dit kan misschien nog worden bijgesteld.

Is het mogelijk om een bandbreedte voor solvabiliteit te geven? De heer Saghraoui geeft aan dat dit voor kengetallen overwogen wordt. Voor de begroting is dit niet wenselijk; het is simpelweg

3 van 6

commissiegriffier Adviescommissie CF danielle.rijnders@utrecht.nl

het meest inzichtelijk als er wordt geraamd wat er gerealiseerd gaat worden. Ten aanzien van exploitatie is dit evengoed nog wel te overwegen, maar voor investeringen niet. In hoeverre

heeft realistisch begroten iets te maken met het investeringsplafond? De heer Saghraoui legt uit

dat het investeringsplafond er is om realistischer te kunnen begroten dan voorheen. Het gebeurt echter wel eens dat de gemeenteraad meer krediet autoriseert dan er daadwerkelijk gerealiseerd wordt, om wat voor reden ook, en dan kan de overtollig geworden ruimte voor iets anders worden bestemd. Het gaat dan over het algemeen over langlopende kredieten.

Vervolgens wordt even van gedachten gewisseld over de belastingcapaciteit en over hoe de

belastingdruk in Utrecht zich verhoudt tot het landelijk gemiddelde. Het tarief houdt verband

met de ontwikkeling van de WOZ-waarde en kosten riool. Signaalwaarden bewegen mee met het landelijk gemiddelde; als alle gemeenten hun belastingen verhogen, zullen de signaalwaarden stijgen. Als de gemeente Utrecht ooit onder toezicht zou komen te staan, wordt als eerste de belastingcapaciteit op 120% gebracht.

Wordt bij de voorjaarsnota het effect op de kengetallen duidelijk? Volgens de heer Saghraoui

moet dit bij de begroting zichtbaar worden gemaakt. Vorig jaar werd er bij de behandeling van de voorjaarsnota ook aandacht aan besteed; dat wordt dit jaar ook gedaan. Bij de begroting

2025 werden de investeringsvolumes afgetopt. Er is nu een nieuwe inschatting gemaakt, aan de

hand waarvan iets te zeggen is over de ontwikkeling van de solvabiliteit en de schuldquote in de komende jaren.

Is het mogelijk om twee varianten van de begroting te maken, ‘scherp aan de wind’ en

risicomijdend, eventueel op hoofdlijnen? De heer Saghroui licht toe dat de ‘lucht’ zich aan de

lastenkant bevindt. Voor de inkomstenkant moet de gemeente de regels van het rijk opvolgen. Bij de voorjaarsnota wordt wel bekeken wat er in de voorgaande drie jaren overbleef uit

beleidsprogramma’s – en of dit kan terugvloeien. De ambtelijke organisatie kan hier op verzoek wel een overzicht van leveren, plus de uitleg waarom die middelen drie jaar overbleven.

De Adviescommissie zou het behulpzaam vinden als de kengetallen voorafgaand aan de

programmabegroting opnieuw op de agenda kunnen komen. Dan graag met bespreking van

bandbreedtes, want daarover is het vandaag niet gegaan. In het vierde kwartaal verschijnt de nota Risicomanagement; die ziet de Adviescommissie t.z.t. ook graag op de agenda. 6. Prioritering lopende onderwerpen

Zie presentatie, bij vergaderstukken; toelichting door de heer Leeuwenkamp. De accountant

heeft een prioriteringsvoorstel gedaan voor de behandeling van financiële onderwerpen. Hoe wil de Adviescommissie hiermee verder? Welke onderwerpen vindt de Adviescommissie het

belangrijkst? De reserves mogen hoger op de lijst komen, wordt gezegd, want daar is de

afgelopen tijd zóveel discussie over geweest. Ook het versterken van realisatiekracht zou hoger mogen worden geplaatst. Vervolgens wordt opgemerkt dat er eigenlijk maar één ding echt

4 van 6

commissiegriffier Adviescommissie CF danielle.rijnders@utrecht.nl

belangrijk is, namelijk wat het meeste bijdraagt aan grip op de gemeentelijke middelen. Dat moet dan bovenaan! Inzicht in de schuifruimte wordt ook nog genoemd, en informatievoorziening.

Hoe krijgt de raad grip op de gemeentelijke middelen? Volgens de heer Leeuwenkamp zijn concernsturing en –monitoring daar randvoorwaarden voor. Die staan al hoog op de prioriteitenlijst.

De raad in control, dat is de doelstelling, vindt de heer Saghraoui. Een van de randvoorwaarden daarvoor is concernsturing. De gemeente is een grote organisatie; er is altijd risico op

versnippering van informatie. AI en innovatie zijn belangrijke onderwerpen waar de gemeente iets mee moet doen, maar eerst moeten alle medewerkers precies weten wat hun taak is – de heer Saghraoui noemt dit de fase van ‘rust, reinheid en regelmaat’. Wat hem betreft wordt er een prioriteit afgevoerd als er naar de mening van de raad iets bij moet.

Na enige gedachtewisseling concludeert de voorzitter dat de Adviescommissie het eens is over

de prioriteiten a, b en c, en dat er wordt getwijfeld over de prioriteiten d en e. Daarnaast wordt er belang gehecht aan prioriteit h, reserves.

7. Invulling technische bijeenkomst jaarstukken en voorjaarsnota – 27 mei a.s.

Welke onderwerpen ziet de Adviescommissie graag behandeld? Mevrouw Rijnders wijst erop dat (nieuwe) raads- en commissieleden altijd een instructie krijgen over hoe zij de voorjaarsnota

kunnen lezen, dit jaar voorafgaand aan de technische bijeenkomst. Als onderwerpen voor de

technische bijeenkomst worden genoemd: een vooruitblik op het ravijnjaar, de kengetallen, het MPR, de onderhoudsbegroting (openbare ruimte en vastgoed), de afvalstoffenheffing en wat daarvan wordt betaald en een toelichting op het al dan niet inrekenen van tekorten.

Over de carrousselvorm zijn niet alle commissieleden enthousiast, want mensen gaan weg als

de avond vordert. Liever een paar parallelle sessies met wat meer diepgang. Mevrouw Rijnders meldt dat de bijeenkomst maximaal twee uur duurt.

Op 19 juni a.s. zullen de jaarstukken worden behandeld in een ochtend-, middag- en

avondprogramma, in aanwezigheid van de wethouders. Volgens de Adviescommissie is het niet nodig om dan ook de accountant uit te nodigen.

8. Vooruitblik volgende vergadering – 5 juni a.s.

De vergadering is de volgende keer op een ander tijdstip, namelijk van 18.00-19.45 uur. De

jaarstukken komen op de agenda, inclusief bevindingen accountant. Ook de voorjaarsnota zal worden besproken als er voldoende tijd is. 9. Voortgang accountantscontrole 5 van 6

commissiegriffier Adviescommissie CF danielle.rijnders@utrecht.nl

De heer Leeuwenkamp meldt dat de controle in de afrondende fase is. Het concept-

accountantsverslag is bij de ambtelijke organisatie ter becommentariëring. Het streven is om op 15 mei a.s. een controleverklaring te verstrekken.

Het meekijken met de herstructurering van de grondexploitaties heeft veel tijd gekost, en het

controleteam heeft veel afsluitende boekingen moeten controleren. Hier worden mogelijk meeruren voor in rekening gebracht, mits deugdelijk onderbouwd natuurlijk. 10. Rondvraag en sluiting

Er wordt geen gebruik gemaakt van de rondvraagmogelijkheid. De vergadering wordt gesloten.

6 van 6

commissiegriffier Adviescommissie CF danielle.rijnders@utrecht.nl

Jaarverslag Concernaudit 2024-25 April 2024 – Maart 2025

Manager Concernaudit 10 april 2025

Inhoudsopgave Managementsamenvatting

Managementsamenvatting Follow-up proces

Follow-up proces Audits

Audits Rechtmatigheidsverantwoording

Rechtmatigheidsverantwoording Adviesopdrachten

Adviesopdrachten Samenwerkingsinitiatieven

Samenwerkingsinitiatieven Status onderhanden opdrachten uit jaarplan 2024-25

Status onderhanden opdrachten uit jaarplan 2024-25 Evaluatie kwaliteit dienstverlening Management van de interne audit functie Bijlage: Reeds gerapporteerd

2

Managementsamenvatting (1/2) Context

Positieve observaties

Met dit jaarverslag informeren we de Concerndirectie en het college over de realisatie van het Concernaudit jaarplan 2024-25.

Follow-up van auditbevindingen

Het jaarplan adresseerde risico’s rondom informatiebeheer en gegevensbescherming, cyberweerbaarheid, robuustheid van kritische processen binnen Financiën, JZ en IT en robuustheid van Operationele Technologie (OT) in het fysieke domein.

In 2023-24 heeft Concernaudit voor het eerst een follow-up proces voor alle afgeronde audits geïntroduceerd. Na gebruikelijke uitdagingen in de beginfase, zoals te optimistische ramingen voor het implementeren van verbeteracties door de organisatieonderdelen, is het proces in 2024-25 sterk verbeterd.

Rechtmatigheidsverantwoording

De door ons geprioriteerde thema's en onderzoeksobjecten hebben alle domeinen van de gemeente Utrecht geraakt.

In het opstellen en onderbouwen van de rechtmatigheidsverantwoording zijn wederom gemeentebrede professionaliseringsslagen gemaakt.

Per eind maart zijn nog twee audits uit het reguliere jaarplan 2024-25 onderhanden. Dit betreft de audit Stadsbedrijven OT/IT en het 213a onderzoek Wijken. Deze ronden we in Q2 2025 af.

Informatiebeheer

Uitstel adviesproject en audit bij Financiën Op verzoek van het management Financiën verplaatsen we het adviesproject "Automatisering btw controles" naar Q4 2025. Wegens capaciteitsproblemen heeft Financiën besloten automatisering van de controlewerkzaamheden in 2024 niet te prioriteren. We betreuren deze keuze, omdat hierdoor kansen voor het versterken en efficiënter uitvoeren van interne controles onbenut blijven.

Gezien de uitdagingen bij Financiën, heeft de Manager Concernaudit in afstemming met de Directeur Concerncontrol besloten de audit "Verbonden partijen" naar 2026 te verplaatsen.

De afgelopen jaren was informatiebeheer en naleving van wetgeving hieromtrent een knelpunt binnen de gemeente. Door het opzetten van het programma "Informatie op orde“ en het opnemen hiervan in de Regeling Risicovolle Projecten - met de daarbij horende rapportageverplichtingen richting college en raad heeft informatiebeheer zichtbaar meer managementprioriteit gekregen en zijn inmiddels aantoonbare verbeteringen gerealiseerd.

Wet politiegegevens Naleving van de Wet politiegegevens was in de afgelopen jaren gemeentebreed een aandachtspunt. Alle betrokken organisatieonderdelen hebben het afgelopen jaar stappen gezet omtrent beleidsverbetering en optimalisatie van systemen om beter aan de eisen van de wet en de toezichthouder, de Autoriteit Persoonsgegevens, te voldoen. 3

Managementsamenvatting (2/2) Positieve observaties - vervolg

Ontwikkelingen binnen Concernaudit

Omgevingswet

In het kader van het verder professionaliseren van de Concernaudit functie, laten we in 2025 een externe kwaliteitstoets door de IIA Nederland uitvoeren. Hierbij wordt de naleving van standaarden van onze beroepsorganisatie en de effectiviteit en efficiëntie van de interne audit functie beoordeeld. De verbeterpunten uit de quick scan van april 2025 pakken we op in aanloop naar de formele toetsing in december 2025.

Op 1 januari 2024 is de Omgevingswet landelijk in werking getreden, waardoor het proces omtrent het verlenen van vergunningen substantieel is veranderd binnen de gemeente. De gemeente Utrecht is ver gevorderd met het werken volgens de nieuwe spelregels en is een aanjager voor landelijke verbeteringen en ontwikkelingen in de uitvoering van de wet.

Aandachtspunten Cloudtransitie

Financiën

De gemeente Utrecht is in 2019 gestart met het programma Cloudtransitie. Hiermee worden steeds meer gemeentelijke applicaties van een on-premise naar een cloud-omgeving verplaatst en het applicatie- en databeheer aan leveranciers uitbesteed. Het contractmanagement omtrent cloudapplicaties is ondermaats, waardoor de toegang tot gemeentelijke data en de veiligheid hiervan niet adequaat gewaarborgd is.

De vertaalslag van verbeterplannen naar concrete, systematische en robuuste processen en een waarderende cultuur die samenwerking bevordert duurt te lang. De afhankelijkheid van derden hierbij blijft zorgelijk. Deze onderwerpen worden geadresseerd in het programma ‘Versterken Financiële Functie’.

Bewustzijn cyberweerbaarheid In het halfjaarverslag hebben we gebrek aan cyberbewustzijn bij medewerkers uitgelicht om gepast op cyberdreigingen te reageren. Alhoewel de deelnamecijfers van de e-learning gegevensbescherming inmiddels aanzienlijk gestegen zijn en het CIO Office na de audit een bewustwordingscampagne heeft gelanceerd, vraagt dit onderwerp om continue managementaandacht.

Governance Het actualiseren en naleven van kaders en richtlijnen blijft een aandachtspunt. In het afgelopen jaar betreft dit met name de standaarden projectbeheersing en contractmanagement en spelregels voor het berekenen van loon- en prijsindexaties.

Inzet van data Data analyse technieken worden niet optimaal benut voor het monitoren van processen, uitvoeren van interne controles en het feitelijk onderbouwen van scenario's in de besluitvorming. Concernaudit fungeert in diverse adviesprojecten als aanjager voor data gedreven werken. Echter, door gebrek aan relevante data competenties en prioritering in de organisatie worden de door ons ontwikkelde tools niet systematisch en consequent ingezet. Dit betreft met name het domein Bedrijfsvoering & Dienstverlening. Hierdoor blijven kansen voor procesverbeteringen en het creëren van een aantrekkelijke werkomgeving onbenut. 4

Follow-up proces Sinds 2023 past Concernaudit een robuust follow-up proces toe voor alle afgeronde audits. Tijdens de follow-up bewaken we de voortgang van de door management voorgestelde verbeteracties. Het management is verantwoordelijk om deze verbeteracties binnen de afgestemde periode te implementeren. Concernaudit fungeert als aanjager, procesbewaker en escaleert significante vertragingen richting de directieraad. Onderstaande grafieken geven de opvolgingsstatus van bevindingen uit de auditjaren 2023-24 en 2024-25 weer. Het follow-up proces bevat bevindingen met risicoclassificatie hoog en midden. Bevindingen met risicoclassificatie laag zijn hier geen onderdeel van.

Follow up status jaarplan 2024-25

Follow up status jaarplan 2023-24 # Audits

14 # Bevindingen

15 Hoog 100

Aantal onderhanden overdue 19 (0 hoog risico)

Aantal onderhanden niet overdue 4

Aantal opgelost 77

# Audits

9*

19%

Aantal onderhanden overdue 10

Aantal opgelost 21

16%

(3 hoog risico)

33%

# Bevindingen

77% 4%

76 Midden 9 Laag

10 Hoog 61

48 Midden 3 Laag

Aantal onderhanden niet overdue 32

52%

Conclusies Uit het jaarplan 2024-25 zijn drie bevindingen met risicoclassificatie hoog overdue: Bij IPM (1) zijn door te optimistische ramingen van opvolgtermijnen aantoonbare kwaliteitscontroles op het datalekregister nog niet ingericht. Hierdoor blijven risico’s omtrent de naleving van wet- en regelgeving zoals de Algemene Verordening Gegevensbescherming (AVG) voorlopig bestaan. Financiën (2) heeft de procesbeschrijving gemeentefonds nog niet geactualiseerd door een aantal (inhuur)personeelswisselingen. Dit zorgt voor ongewenste individuele invulling van het proces, waardoor kwaliteitseisen niet worden gewaarborgd. Daarnaast heeft Financiën nog geen aantoonbaar vervolg gegeven aan aandachtspunten uit de medewerkersonderzoeken 2023 en 2024. Dit verhoogt de kans op ongewenst uitstroom, omdat medewerkers zich niet gehoord en gewaardeerd voelen. Beide onderwerpen worden geadresseerd in het programma ‘Versterken Financiële Functie’. * Per 31-03-25 zijn twee audits uit het jaarplan 2024-25 nog onderhanden. Derhalve zijn de bevindingen van deze audits niet opgenomen in de visualisatie.

5

Audits (1/3)

Doelstelling: De efficiëntie en effectiviteit van de inrichting, werkwijze en behaalde resultaten van het programma ‘Informatie op Orde’ beoordelen.

Doelstelling: Vaststellen of beheersmaatregelen adequaat zijn ingericht om de Wpg na te leven.

Artikel 213a Gemeentewet: Informatie op Orde

Wet politiegegevens 2024

Organisatieonderdeel: Informatie- en Procesmanagement (IPM)

Organisatieonderdeel: CIO Office, Werk & Inkomen (W&I), Maatschappelijke Ontwikkeling (MO), Vergunningen, Toezicht en Handhaving (VTH) en Openbare orde en Veiligheid (OOV)

In het Coalitieakkoord 2022-2026 is de ambitie “verbeteren van opslag en ontsluiting van gegevens” opgenomen om grip op informatiebeheer te krijgen en te voldoen aan relevante wetgeving zoals de Archiefwet en Wet open overheid. De afgelopen jaren was informatiebeheer en naleving van wetgeving hieromtrent een knelpunt binnen de gemeente. Dit is ook bevestigd in externe onderzoeken van toezichthouders, Provincie Utrecht en Het Utrechts Archief, en consultancybureau Doxis. Daarom heeft de Themadirecteur Bedrijfsvoering in 2022 programma ‘Informatie op Orde’ opgezet. Door het opnemen van het programma in de Regeling Risicovolle Projecten en de daarbij horende rapportageverplichtingen richting Concerndirectie, college en raad, krijgt informatiebeheer zichtbare managementprioriteit en zijn aantoonbare verbeteringen gerealiseerd. Verder zijn adviezen uit diverse externe onderzoeken vertaald naar concrete programma activiteiten. Voor het meten van de programmavoortgang zijn SMART indicatoren gedefinieerd en worden data effectief ingezet. Programmateamleden nemen daarnaast deel aan kennisnetwerken binnen de G4 en met toezichthouders om proactief in te spelen op verwachtingen en ontwikkelingen. Een aandachtspunt omtrent governance was dat het mandaat en verantwoordelijkheden van de stuurgroep niet formeel waren vastgelegd, waardoor stuurgroep capaciteit niet optimaal benut werd.

De programmasturing is inmiddels overgedragen naar de lijnorganisatie binnen IPM. De opzet van risicomanagement in het programma staat nog in de kinderschoenen en ligt niet in lijn met gemeentebrede standaard omtrent risicomanagement. Hierdoor worden de implementatie van beheersmaatregelen en tijdige bijsturing belemmerd. Het management van IPM heeft reeds een plan van aanpak opgesteld voor het opvolgen van de verbeterpunten.

De Wet politiegegevens (Wpg) stelt criteria voor de verwerking van politiegegevens. De Autoriteit Persoonsgegevens (AP) houdt hier toezicht op. Een vorm van AP toetsing is een verplichte vierjaarlijkse externe en jaarlijkse interne audit. De interne audit 2024 bestond uit een hercontrole van: 1) de interne auditbevindingen ‘Governance 2022’ en ‘Applicatie- en Autorisatiebeheer 2023’ en 2) de externe audit bevindingen inzake ‘Opslaan en verwijderen van politiegegevens’. De interne auditbevindingen omtrent governance zijn grotendeels opgevolgd door alle organisatieonderdelen, met MO als voorloper. Daarnaast heeft OOV in het kader van een meerjarig vraagstuk door de inzet van externe expertise geconcludeerd dat de Wpg niet van toepassing is op hun gegevensverwerkingen. Wij nemen OOV daarom niet meer mee bij volgende Wpg audits, indien wetgeving niet wijzigt. Nog openstaande verbeterpunten betreffen vooral het opstellen of actualiseren van procesbeschrijvingen, bijvoorbeeld voor datalekmeldingen en inzageverzoeken. Daarnaast heeft de Functionaris Gegevensbescherming nog geen jaarverslag over 2023 gepubliceerd, terwijl de wettelijke verplichting is. Voor bevindingen omtrent zowel applicatiebeheer als het opslaan en verwijderen van politiegegevens tonen alle organisatieonderdelen verbeteringen ten opzichte van de externe audit uit 2022.

Echter, systeemtechnische beperkingen in de huidige applicaties hinderen het naleven van de wet. Zo hebben binnen W&I en VTH niet alle applicaties functionaliteiten om aantoonbaar aan bewaartermijnen te voldoen. Deze bevindingen worden naar verwachting in Q1 2025 opgelost door reeds gestarte systeemvervangingen. Het management van de betrokken organisatieonderdelen is inmiddels begonnen met het implementeren van verbeteracties. 6

Audits (2/3)

Doelstelling: Vaststellen in hoeverre de gemeente Utrecht, één jaar na de inwerkingtreding van de omgevingswet, in control is van de uitvoering van de processen in de operationele keten

Doelstelling: De kwaliteit en naleving van geselecteerde contracten met cloudleveranciers beoordelen.

Cloud Contractmanagement II

Omgevingswet

Organisatieonderdeel: Financiën en Juridische Zaken

Organisatieonderdeel: Vergunningen, Toezicht en Handhaving (VTH)

De gemeente Utrecht is in 2019 gestart met het programma Cloudtransitie. Hiermee worden steeds meer gemeentelijke applicaties van een on-premise naar een cloudomgeving verplaatst en het applicatie- en databeheer aan leveranciers uitbesteed.

Op 1 januari 2024 is de Omgevingswet landelijk in werking getreden. Deze wet heeft tot doel regels rondom de fysieke leefomgeving te vereenvoudigen en te bundelen. In deze audit toetsten wij in hoeverre de gemeente Utrecht in control is van het proces voor vergunningverlening (de operationele keten) bij VTH.

Bij de inkoop van clouddiensten is het belangrijk om afdwingbare contractafspraken met leveranciers te maken, zodat de werking en het beheer van clouddiensten geborgd is. In deze audit hebben wij de kwaliteit en naleving van diverse cloudcontracten binnen Financiën en Juridische Zaken beoordeeld. De gemeente hanteert voor haar contractmanagementproces de internationaal geaccepteerde standaard ‘CATS CM’. Echter, Financiën en Juridische Zaken zijn hier onvoldoende mee bekend en passen deze daarom niet consequent toe. Een gevolg hiervan is dat contracten niet zijn geregistreerd in het gemeentelijke inkoopsysteem. Hierdoor kunnen contractmanagers contractafspraken niet adequaat en efficiënt monitoren. Door gebrekkige contractdossiers binnen Financiën ontbreken rechtsgeldige contracten met leveranciers, terwijl applicaties nog in gebruik zijn. Bovendien adresseren de contracten binnen beide organisatieonderdelen cloudrisico’s onvoldoende. Zo hebben zij weinig afspraken met de leveranciers gemaakt over informatiebeveiliging of monitoren deze niet actief. Hierdoor kan de gemeente de veiligheid van haar data niet garanderen en kunnen cloudleveranciers bij een conflictsituatie in het uiterste geval de gemeente de toegang tot de clouddienst en haar gegevens ontzeggen.

Het management van Financiën en Juridische Zaken heeft inmiddels verbeteracties in gang gezet.

Het team Vergunningen Gebouwde Omgeving (VGO) van VTH heeft adequate initiatieven voor kwaliteitsmanagement opgezet. Zo is de maandelijkse bijeenkomst met vakexperts uit verschillende organisatieonderdelen waardevol voor kennisdeling over de samenwerkingsketen heen. Daarnaast zijn per Q4 2024 adequate kwaliteitscontroles in gang gezet voor het multidisciplinair beoordelen van vergunningendossiers. De Strategisch teamleider vervult een aanjagersrol voor het signaleren van knelpunten bij de uitvoering van de omgevingswet en zet de gemeente Utrecht op de kaart in landelijke bijeenkomsten hierover. Door de omgevingswet zijn processen binnen de gemeente substantieel veranderd. Echter, relevante KPI’s met streefwaarden om de effectiviteit hiervan te meten, ontbreken nog. Dit belemmert gerichte en tijdige identificatie van knelpunten en bijsturing. De applicatie Rx.Mission biedt vooralsnog beperkte rapportagemogelijkheden, waardoor een gedegen sturingsinformatie ontbreekt. Enkele indicatoren zoals werkvoorraden en doorlooptijden worden handmatig berekend. Dit is inefficiënt en foutgevoelig. De omgevingswet vraagt om ketensamenwerking tussen meerdere disciplines. Wij hebben een enquête uitgezet, waaruit blijkt dat het kennisniveau van het proces voor vergunningsverlening verschilt binnen organisatieonderdelen en dat de ketensamenwerking anders ervaren wordt.

Het management van VTH gaat aan de slag met de geformuleerde verbeteracties. 7

Audits (3/3) Loon- en prijsindexatie

Doelstelling: De status en effectiviteit van de verbeterplannen met betrekking tot het proces van de verwerking van loon- en prijsindexatie in de begroting en de voorjaarsnota toetsen.

Doelstelling: De effectiviteit van het proces voor het toetsen van onderwijshuisvestingsprojecten waarbij het bouwbeheer bij het schoolbestuur is belegd (toetsprojecten) beoordelen.

Follow up audit Onderwijshuisvesting

Organisatieonderdeel: Financiën

Organisatieonderdeel: Vastgoedorganisatie Utrecht (VGU)

Financiën voert jaarlijks loon- en prijsindexatie uit om de budgetten van de gemeente voor inflatie te indexeren. Bij de berekening van de loonindexatie in de voorjaarsnota 2023 heeft Financiën de cao verhoging € 8 mln. te hoog ingeschat. Samen met de fout in de berekening van het gemeentefonds heeft dit geleid tot veel negatieve media aandacht.

In 2022 hebben wij een audit naar de samenwerking tussen de gemeente Utrecht en schoolbesturen bij toetsprojecten uitgevoerd. De opvolging van de gerapporteerde verbeterpunten verliep in eerste instantie moeizaam. Daarom hebben wij in overleg met de Directeur VGU besloten om in 2024 een follow up audit hiernaar uit te voeren.

In 2023 zijn de eerste verbeterstappen gezet om het loon- en prijsindexatie proces te laten toetsen door Business Control. Daarnaast is naar aanleiding van benchmarking met de gemeente Den Haag de prijsindexatie berekening in 2024 aangepast.

Medio 2023 heeft VGU een Senior Projectmanager aangesteld om het toetsproces te standaardiseren en efficiënter in te richten. Hiervoor heeft hij een gedegen analyse uitgevoerd van sterktes en zwaktes van het bestaande proces en evaluatiesessies gehouden met toeters binnen VGU en met een aantal schoolbesturen. Verder heeft hij afstemming gezocht omtrent het gehanteerde toetsproces met andere Nederlandse gemeenten.

Het uitvoeren van het loonindexatie proces is momenteel bij Financiën belegd, maar Mens & Organisatie (M&O) beschikt over alle relevante data hiervoor. Wat opvalt, is dat een weloverwogen besluit en een formele onderbouwing voor dit positionering en een duidelijke rolverdeling ontbreken. Het beleidsdocument met spelregels voor het berekenen van de indexaties dateert uit 2017 en is niet aantoonbaar op actualiteit getoetst. Hierdoor ontbreekt de basis voor een robuust proces dat inspeelt op actualiteiten en waarin gedegen beheersmaatregelen zijn geborgd. Aandachtspunten omtrent samenwerking, waardering en leiderschap uit het medewerkersonderzoek 2023 zijn wederom bevestigd tijdens de audit. Het is zorgelijk dat het management van Financiën ten tijde van de audit nog geen plan met concrete acties had opgesteld of andere aantoonbare interventies had gepleegd die voor een duurzame cultuurverandering zorgen.

Dit heeft geresulteerd in een leidraad voor een vernieuwd toetsproces, waarin duidelijkheid wordt verschaft over rollen, taken, verantwoordelijkheden en werkwijzen.

In 2022 zorgde een hoog personeelsverloop binnen VGU voor vertragingen in het uitvoeren van het toetsproces. Het team is in 2024 uitgebreid, waardoor VGU inmiddels voldoende capaciteit heeft om de toetsprojecten tijdig op te pakken. Wij concluderen dat VGU met het actualiseren van de leidraad en door capaciteitsuitbreiding adequaat opvolging heeft gegeven aan de auditbevindingen uit 2022.

Het Management Financiën adresseert de benodigde verbeteracties in het programma ‘Versterken Financiële Functie’.

8

Rechtmatigheidsverantwoording gemeentebreed

Wettelijk verplichte jaarlijkse audit

Door de wet ‘Versterking decentrale rekenkamers’ moet iedere gemeente vanaf begin 2023 zelf de rechtmatigheidsverantwoording opstellen en onderbouwen. Tot 2023 was deze taak belegd bij de externe accountant. In 2024 legt de gemeente voor de tweede keer verantwoording af over de rechtmatigheid van haar handelen. Met de rechtmatigheidsverantwoording geeft het college aan of er in het boekjaar financiële onrechtmatigheden hebben plaatsgevonden. Verbijzonderde Interne Controles (VICs)

Uitgevoerde werkzaamheden en conclusies

De gemeente onderbouwt de rechtmatigheidsverantwoording met behulp van Verbijzonderde Interne Controles uitgevoerd door Business Controllers van de verschillende organisatieonderdelen.

Na iedere fase heeft Concernaudit een kwaliteitsbeoordeling uitgevoerd op de door de organisatieonderdelen aangeleverde werkzaamheden.

Hiermee wordt jaarlijks gecontroleerd hoe effectief interne controlemethodes (procedures, regels en processen) hebben gewerkt om rechtmatigheidsfouten te voorkomen en/of te identificeren. De rechtmatigheidsverantwoording bestaat uit drie fases; Planningsfase (VIC plan)

Interim fase (VIC procesbeschrijving en lijncontrole)

Finale fase (VIC gegevensgerichte werkzaamheden)

Rol Concernaudit Concernaudit werkt hand in hand met de Business Controllers om de rechtmatigheidsverantwoording continu te verbeteren. Dit doen we door: • Het uitvoeren van kwaliteitstoetsen op de VIC werkzaamheden van de organisatieonderdelen;

Op gebied van de rechtmatigheidsverantwoording is in 2024 wederom vooruitgang geboekt. Dit betreft alle organisatieonderdelen en was een gezamenlijke inspanning van de Business Controllers, Concernaudit en het kernteam RMV – bestaande uit leden van Concern Control, Concernaudit en Financiën. Wij zijn van mening dat de uitgevoerde werkzaamheden een geschikte basis vormen voor de controle van de externe accountant. Wel hebben wij een aandachtspunt gesignaleerd binnen Ruimte. Door een inconsequente naleving van interne procedures rondom het boeken van erfpachtinkomsten, is er een verhoogde kans dat rechtmatigheidsfouten niet door de Business Controller zijn geïdentificeerd. We hebben de bevinding en benodigde verbeteracties gedeeld met het management van Ruimte.

• Het verzorgen van spreekuren voor het delen van vakkennis; • Het (door)ontwikkelen van templates om middels standaardisatie de proces-efficiëntie te verbeteren.

9

Rechtmatigheidsverantwoording VIC’s

Wettelijk verplichte jaarlijkse audit

Concernaudit voert zelf Verbijzonderde Interne Controle (VIC) werkzaamheden uit voor twee gemeentebrede processen met grote financiële omvang. De externe accountant maakt hier gebruik van tijdens de jaarrekeningcontrole.

Inkopen en aanbesteden Organisatieonderdeel: Overstijgend

Financiële omvang 2024: EUR 900 miljoen

Subsidieverstrekking

Organisatieonderdeel: Maatschappelijke Ontwikkeling (MO)

Financiële omvang 2024: EUR 315 miljoen

Concernaudit heeft de VIC werkzaamheden op inkopen en aanbesteden over 2024 uitgevoerd.

Concernaudit heeft voor 2024 het VIC plan geactualiseerd en het proces getoetst op conformiteit aan wet- en regelgeving en verordeningen.

Door toegenomen gemeentebrede aandacht voor en naleving van de EU aanbestedingswetgeving zijn de onrechtmatigheden op dit gebied de afgelopen jaren afgenomen van € 11,2 mln. in 2022 tot € 4,8 mln. in 2023.

Wij hebben zoals in eerder jaren geen financiële onrechtmatigheden geconstateerd.

Helaas is met de geconstateerde onrechtmatigheden van € 6,8 mln. in 2024 de dalende trend niet voortgezet. Dit komt met € 6,32 mln. bijna volledig door inhuur. Hiermee is de in de programmabegroting 2024 genoemde doelstelling voor de naleving van aanbestedingsregels van maximaal € 3,0 mln. onrechtmatigheid wederom niet gehaald. Het merendeel van de onrechtmatigheden betreft inhuurcontracten waarin een maximaal aantal te declareren uren voor de gehele opdracht is vermeld, die bij de verlenging niet is verhoogd. De oorzaak is dat organisatieonderdelen op advies van Mens & Organisatie (M&O) consequent standaard inhuurovereenkomsten en verlengingsbrieven, die niet op elkaar aansloten, hebben toegepast. De bevindingen en benodigde verbeteracties zijn afgestemd met het management van: • Mens & Organisatie (proceseigenaar inhuur personeel); • Inkoop (proceseigenaar centraal inkoopbeleid); • Ruimte, Stadsbedrijven en Vergunningen, Toezicht en Handhaving (organisatieonderdelen met onrechtmatigheden)

Net als in eerdere jaren hebben wij een aantal formele onrechtmatigheden geconstateerd. Dit betreft een klein aantal verleningsbeschikkingen die niet vóór het verstrijken van de beslistermijn uit de Algemene Subsidie Verordening (ASV) zijn afgegeven. Dit type onrechtmatigheid heeft geen directe consequenties voor de rechtmatigheidsverantwoording, maar tast het vertrouwen in een betrouwbare overheid aan. Een belangrijk aandachtspunt is dat, zoals in voorgaande jaren, vastleggingseisen uit paragraaf 4.2.5. van het “Uitvoeringskader Subsidieverstrekking” niet consequent wordt nageleefd. Zo zijn subsidieactiviteiten in de beschikkingen te summier beschreven. Hierdoor is het moeilijk om vast te stellen of de subsidie daadwerkelijk wordt besteed aan de gewenste activiteiten. Daarnaast is het “Uitvoeringskader Subsidieverstrekking” voor 2024 niet geactualiseerd. Het management van het subsidiebureau herkent de bevindingen en gaat hiermee aan de slag.

Formats van de inhuurcontracten zijn inmiddels door M&O aangepast om bovengenoemde onrechtmatigheden bij nieuw aanbestede inhuur te voorkomen. 10

Fraude (1/2) Het onderwerp fraude heeft de afgelopen jaren door aanscherping van de beroepsnormen een steeds prominentere plek op de agenda van de externe accountant gekregen. Gemeenten worden verwacht te voldoen aan een fraudepakket bestaande uit drie onderdelen; Het uitvoeren van een periodieke frauderisicoanalyse;

Het jaarlijks verzorgen van workshops om bewustwording rondom fraude in kwetsbare processen te verhogen; Het jaarlijks toetsen van beheersmaatregelen in fraudegevoelige processen.

Frauderisicoanalyse Organisatieonderdeel: Gemeentebreed De periodiciteit voor het actualiseren van de gemeentebrede frauderisicoanalyse is twee jaar. Omdat wij de actualisatie in 2023 hebben uitgevoerd, zal de eerstvolgende in 2025 plaatsvinden. In Q4 2024 hebben wij, gebaseerd op aanbevelingen uit de managementletter 2023 van de externe accountant, het in kaart brengen van frauderisico’s en bijbehorende mitigerende maatregelen toegevoegd aan de werkzaamheden voor de Verbijzonderde Interne Controles (VIC).

Sinds 2023 is het uitvoeren van het fraudepakket bij Concernaudit belegd.

11

Fraude (2/2)

Doelstelling: Vaststellen of de kwaliteit en naleving van de beheersmaatregelen in het proces RNI adequaat zijn.

Doelstelling: Verhogen van bewustwording rondom fraude in kwetsbare processen

Fraudeworkshop Technisch Beheer Vastgoed

Fraudepreventie - Registratie van Niet-Ingezetenen

Organisatieonderdeel: Vastgoedorganisatie Utrecht

Organisatieonderdeel: Publiekszaken

Wij hebben in 2024 een workshop bij het technisch beheerteam van de Vastgoedorganisatie Utrecht (VGU) uitgevoerd om het fraudebewustzijn te verhogen. Technisch beheer is een kwetsbaar proces vanwege de financiële omvang en de afhankelijkheid van externe partijen voor vastgoedbeheer.

Personen die korter dan vier maanden in Nederland verblijven of in het buitenland wonen en een relatie moeten onderhouden met de Nederlandse overheid, kunnen zich in laten schrijven in de Registratie van Niet-Ingezetenen (RNI). Hiermee krijgen zij een Burgerservicenummer en toegang tot de arbeidsmarkt, diensten en voorzieningen. Utrecht is één van de 19 gemeenten die deze registraties uitvoert in opdracht van en onder verantwoordelijkheid van de Rijksdienst voor Identiteitsgegevens (RvIG).

Tijdens een rollenspel zijn we met deelnemers op zoek gegaan naar kwetsbaarheden in het werkproces door in de huid van kwaadwillende externen te kruipen. ​Voorbeelden zijn een beperkt zicht op marktconforme prijzen, het handelen onder tijdsdruk en de afhankelijkheid van een beperkt aantal aannemers

Daarna hebben de deelnemers beheersmaatregelen ontworpen om mogelijkheid op fraude in te perken. Denk hierbij aan aanscherpen van het vier ogen principe en de toepassing van data-analyse om afwijkingen in offertes te signaleren. Met de verkregen inzichten kan VGU kwetsbaarheden in het huidige proces identificeren en gericht aanpakken.

Concernaudit gebruikt deze informatie als input bij het actualiseren van de gemeentebrede frauderisicoanalyse in 2025.

Dit is een kwetsbaar proces met risico op identiteitsfraude en onrechtmatige toegang tot voorzieningen. Medewerkers binnen Publiekszaken (PBZ) beschikken over adequate vakkennis en middelen om het proces uit te voeren en werken hierin constructief samen.

De belangrijkste bevinding is dat de gemeente Utrecht het in 2024 ondertekende convenant met de RvIG niet vooraf juridisch getoetst heeft. De bijlagen van het convenant zijn niet bekend bij Publiekszaken en konden bij navraag ook niet door de RvIG worden verstrekt. Dit kan leiden tot misverstanden over verplichtingen en verwachtingen over de operationele uitvoering, met mogelijke juridische conflicten tot gevolg. Verder zijn in het convenant diverse afspraken gemaakt die door Publiekszaken niet allemaal (aantoonbaar) worden nageleefd. Een ander aandachtspunt is dat PBZ medewerkers incidenteel gebruikmaken van andermans account en dit niet vastleggen, waardoor functiescheiding in het geding komt. Publiekszaken organiseert periodieke bijeenkomsten om het bewustzijn van medewerkers rondom fraude en integriteit te verhogen. Echter, in 2023 en 2024 hebben niet alle medewerkers aan de bijeenkomsten deelgenomen. Het management van Publiekszaken herkent de verbeterpunten en pakt deze op. 12

Adviesopdrachten (1/5) Juridische Zaken

Juridische Zaken

Dashboard Management Rapportage ‘Bezwaar en Beroep’

Dashboard Management Rapportage 'Schade en Verzekeren'

Naar aanleiding van het dossier Binnenstad en het en het daaropvolgende Berenschot rapport, heeft Concernaudit in 2023 op verzoek van JZ een dashboard ontwikkeld om de managementrapportages omtrent het proces ‘Bezwaar en Beroep’ te verbeteren.

Het genereren van informatie voor managementrapportages voor ‘Schade en Verzekeren’ vindt momenteel handmatig plaats en is afhankelijk van één functionaris. Dit is inefficiënt en vormt een ongewenste situatie in het kader van businesscontinuïteit.

Het dashboard is sinds december 2023 operationeel en visualiseert volledig geautomatiseerd relevante stuurinformatie voor de maandrapportages van het proces ‘Bezwaar en Beroep’.

De reeds bestaande samenwerking met JZ zetten wij voort door de maandrapportages van het proces ‘Schade en Verzekeren’ te automatiseren. Met het dasboard kan management gerichter sturen op knelpunten en workload binnen het team. Een bijkomstig voordeel is dat informatie uit het dashboard kan worden gebruikt voor toekomstige onderhandelingen met verzekeraars omtrent keuzes over premies en eigen risico’s.

In de afgelopen periode hebben we dit dashboard verder geoptimaliseerd op basis van waardevolle gebruikersfeedback van juristen. Zo hebben we het gebruikersgemak verbeterd en een prognose voor verwachte bezwaar- en beroepsschriften van bewoner toegevoegd. Deze verbeteringen dragen bij aan een meer gerichte en voorspellende sturing van het proces ‘Bezwaar en Beroep’.

Tijdens de verkenningsfase met JZ hebben wij echter geconstateerd dat een koppeling tussen de benodigde productiesystemen ontbreekt. De ontwikkeling van deze koppeling is inmiddels in gang gezet. Zodra deze gereed is, kunnen wij met het bouwen van de geautomatiseerde rapportages beginnen.

13

Adviesopdrachten (2/5) Concernaudit Automatisering werkzaamheden op VIC Inkopen en Aanbesteden Concernaudit is continu op zoek naar automatiseringsmogelijkheden voor handmatige auditwerkzaamheden. Een bijzonder arbeidsintensieve activiteit is het ieder kwartaal uitvoeren van de VIC 'Inkopen en Aanbesteden’ (zie pagina 11). Sinds 2024 werken we in pilots aan de automatisering van deze werkzaamheden en inmiddels hebben we aantoonbare voortgang geboekt. De grafiek rechts weergeeft de reeds geautomatiseerde stappen en tijdsbesparingen.

Deze aanpak was in het bijzonder waardevol voor het in beeld brengen van een tot nu toe onbekende fout in de rechtmatigheidsverantwoording inkopen en aanbesteden (inhuur). De automatisering stelde ons in staat om de steekproef, na afstemming met de externe accountant, significant uit te breiden, zonder hier veel handmatige auditcapaciteit voor in te zetten. Doordat we de resultaten en conclusies snel konden delen met de inhuurdesk en betrokken organisatieonderdelen, konden zij verbeteracties tijdig in gang zetten.

Visuele weergave van stappen in de automatisering De totale tijdsbesparing per jaar is 945 manuren, verdeeld over de stappen

1. Batchdownload In één handeling alle onderliggende documenten uit het financiële systeem ophalen, zoals contracten en verlengingsbrieven.

282 uur

2. Scraping Automatisch verzamelen van gegevens uit gedownloade documenten, zoals namen van crediteuren, tarieven en looptijden.

3. Data geschikt maken voor gebruik

663 uur

Gegevens voorbereiden voor gebruik in controle, zoals het eenduidig opnemen van datumvelden (31.03.2025 vs. 31-03-2025).

4. Controle uitvoeren Controleren van automatisch verzamelde gegevens aan specifieke toetspunten.

14

Adviesopdrachten (3/5) Evaluatie RRP – ad hoc

Mens & Organisatie

Evaluatie Regeling Risicovolle Projecten

Voorspellende Model Vrijwillige Uitstroom

Sinds 2021 kent de gemeente Utrecht de Regeling Risicovolle Projecten (RRP). Het doel van deze regeling is de raad te versterken in haar kaderstellende en controlerende rol bij risicovolle projecten, die substantiële invloed op de stad hebben, innovaties gebruiken, bestuurlijke complexiteit kennen en/of een significante financiële omvang hebben.

De krapte op de arbeidsmarkt stelt de gemeente Utrecht voor uitdagingen. Openstaande vacatures zijn hierdoor lastiger in te vullen en voor werknemers is het aantrekkelijk om kansen buiten de gemeente te verkennen.

In de regeling is vastgelegd dat deze na drie jaar zal worden geëvalueerd door het college en de raad. Hiervoor is opdracht gegeven aan de Directeur Concerncontrol. De data-analist van Concernaudit was bij de evaluatie betrokken voor onderzoeksgerelateerde aspecten.

In samenwerking met M&O hebben wij daarom een model ontwikkeld om toekomstige vrijwillige uitstroom van medewerkers te voorspellen. Personeelsgegevens, medewerkersonderzoeken en arbeidsmarktdata over de periode 2017-2024 vormen de basis voor de voorspellingen. Door het gebruik van zelflerende algoritmes (machine learning) is het model verder geoptimaliseerd.

Onze data-analist – tevens socioloog – zorgde voor relevante vakexpertise door het hanteren van een mixed methods aanpak, waarbij zowel kwantitatieve als kwalitatieve onderzoeksmethoden zijn ingezet. Om een volledig beeld te krijgen van de ervaringen en opvattingen over de RRP, is een enquête gehouden onder raadsleden en ambtenaren van de gemeente Utrecht. Aansluitend zijn focusgroep-interviews georganiseerd met een selectie van ambtenaren en raadsleden.

De uitkomsten van het model hebben we gevisualiseerd in een dashboard dat M&O in staat stelt om risicogebieden voor vrijwillige uitstroom te identificeren. Denk bijvoorbeeld aan specifieke functies of doelgroepen binnen onze organisatie.

Uit de evaluatie volgden drie verbeterpunten: het terugbrengen van de frequentie van voortgangsrapportages, het toevoegen van de mogelijkheid om de toepassing van de RRP voor een project te pauzeren, en het wijzigen van het evaluatiemoment. De raad heeft op 27 maart 2025 ingestemd met deze verbeterpunten.

Verder gebruikt M&O het dashboard om uitstroomcijfers en daaraan verbonden conclusies te valideren. Hiermee draagt het dashboard bij aan feitelijk onderbouwd capaciteitsmanagement en faciliteert het een gerichtere en efficiënte inzet van managers en HR business partners.

15

Adviesopdrachten (4/5) Financiën Dashboard Memorialen

Dashboard Purchase 2 Pay (P2P) – bestellen t/m factuurafhandeling

De gemeente Utrecht verwerkt jaarlijks een groot aantal memorialen. In 2024 betrof dit 8.663 memorialen ter waarde van ongeveer € 5 miljard.

In het boekjaar 2024 heeft de gemeente Utrecht ongeveer 142.000 crediteurenfacturen geboekt, voor een totaalbedrag van € 1,2 miljard.

Vanwege het handmatige karakter en de mogelijkheid om het resultaat te beïnvloeden voor persoonlijk gewin, hebben memorialen een verhoogd risico op fraude. De externe accountant heeft in diverse managementletters aandacht gevraagd voor de gebrekkige onderbouwing van memoriaalboekingen en tekortkomingen in de interne beheersing.

Op verzoek van Financiën stelt Concernaudit periodiek dashboards beschikbaar waarin de naleving van een aantal beheersmaatregelen in het P2P proces inzichtelijk wordt gemaakt.

In samenwerking met Financiën hebben wij in Q2 2024 een dashboard ontwikkeld om met een datagedreven aanpak het memorialenproces: • • • •

Inzichtelijker te maken; Knelpunten te identificeren; Interne beheersmaatregelen gericht aan te scherpen; Oorzaken van memoriaalboekingen in beeld te brengen en hierdoor het aantal boekingen terug te brengen.

Is Q3 en Q4 2024 hebben wij het dashboard verder ontwikkeld.

De focus ligt hierbij op de autorisaties van betrokken personen, functiescheiding en handmatig ingrijpen in geautomatiseerde processtappen. Uit de analyse blijkt dat beheersmaatregelen over het algemeen adequaat worden nageleefd.

Financiën kan met inzichten uit het dashboard tekortkomingen in het P2P proces tijdig identificeren en bijsturen. Gezien Concernaudit de automatisering van de controles in het P2P proces al geruime tijd ondersteunt, dient Financiën hier vanaf Q2 2026 zelfstandig invulling aan te geven.

Met het dashboard beschikt Financiën nu over relevante stuurinformatie om een robuust proces voor memorialen in te richten en te bewaken. Zo heeft Financiën reeds controles op functiescheiding, het vierogen-principe en autorisaties aangescherpt op basis van het dashboard.

16

Adviesopdrachten (5/5) Publiekszaken Concernaudit ontwikkelt periodiek dashboards voor Publiekszaken (PBZ) voor een geautomatiseerde en volledige controle op kwetsbare processen. In 2025 hebben wij drie dashboards geüpdatet en overgezet naar de gemeentelijke dashboardtool (Tableau). Hiermee dragen we bij aan een vermindering van het aantal dashboardtools binnen de gemeente, waardoor capaciteit van data analisten efficiënter ingezet kan worden. Omdat er onvoldoende tastbare resultaten omtrent het gebruik van de dashboards binnen PBZ geboekt zijn, heeft de Manager Concernaudit besloten de samenwerking voorlopig te beëindigen. Dashboard Raadplegingen BRP

Dashboard Eerste inschrijving

Dashboard Reisdocumenten

De Basisregistratie Personen (BRP) bevat privacygevoelige persoonsgegevens van inwoners van Nederland en van personen die Nederland hebben verlaten. Het eigenaarschap voor de BRP ligt bij PBZ, maar het systeem wordt ook gebruikt door andere organisatieonderdelen en woningcorporaties. In 2024 werd de BRP ruim 1,8 miljoen keer geraadpleegd door medewerkers van de gemeente.

Personen die langer dan vier maanden in Nederland willen verblijven, zijn wettelijk verplicht zich te registreren in de BRP van de gemeente waar zij gaan wonen. Hiermee krijgen zij een Burgerservicenummer en toegang tot belangrijke voorzieningen in Nederland zoals een zorgverzekering of bankrekening.

Jaarlijks verstrekt PBZ ruim 35.000 reisdocumenten.

Het risico bestaat dat medewerkers onbevoegd persoonsgegevens raadplegen voor persoonlijk of financieel gewin of identiteitsfraude. Sinds 2020 maakt Concernaudit een dashboard om raadplegingen in de BRP inzichtelijk te maken. Het dashboard geeft PBZ de mogelijkheid om opvallende patronen te detecteren, zoals opvallende tijdstippen waarop raadplegingen plaatsvinden of frequente raadplegingen van eenzelfde persoon.

Het risico bestaat dat medewerkers betrokken raken bij identiteitsfraude door valse inschrijvingen te faciliteren. Sinds 2024 ontwikkelen we een dashboard om de naleving van het proces, ongewenste afwijkingen en opvallende patronen inzichtelijk te maken. Hiermee kunnen frauduleuze handelingen op tijd worden gesignaleerd en knelpunten in capaciteit bij PBZ gericht worden opgelost.

Het risico bestaat dat medewerkers betrokken raken bij identiteitsfraude door het uitgeven van valse reisdocumenten. Concernaudit maakt sinds 2018 een dashboard ‘Reisdocumenten’ om de naleving van het proces, ongewenste afwijkingen en opvallende patronen inzichtelijk te maken. Hiermee kunnen frauduleuze handelingen op tijd worden gesignaleerd en knelpunten in capaciteit bij PBZ gericht worden opgelost.

17

Samenwerkingsinitiatieven Naast het uitvoeren van het jaarplan zijn leden van Concernaudit ook vertegenwoordigd in een aantal expert panels en werkgroepen. Hierin werken we samen met collega's uit verschillende domeinen aan complexe organisatorische vraagstukken en procesverbeteringen. Hieronder hebben wij enkele nieuwe en bestaande samenwerkingsinitiatieven uitgelicht.

Commissie Bedrijfsvoering en Auditing Decentrale Overheden BADO Sinds juni 2024 vertegenwoordigt de Manager Concernaudit de gemeente Utrecht in de Commissie Bedrijfsvoering en Auditing Decentrale Overheden (BADO). Deze commissie bestaat uit deskundigen die onder meer werkzaam zijn bij gemeenten, provincies, de VNG, de beroepsorganisatie van accountants, accountantskantoren en het Rijk. De commissieleden werken samen om de interpretatie van regels voor bedrijfsvoering, verantwoording en accountantscontroles toe te spitsen op de praktijk van decentrale overheden.

Chief Audit Executives Forum De Manager Concernaudit is sinds 2025 lid van het CAE Forum, een besloten groep van meer dan 50 Chief Audit Executives uit de private en publieke sector in Nederland. Dit is een inspiratiebron voor kennisuitwisseling en doorontwikkeling van de interne auditfunctie.