Agendabundel

Bundel - Adviescommissie Controle en Financiën van 19 september 2024 Agenda bijlagen Agenda advies-cie CF 19-9-2024 1.a Opening en mededelingen 1.b Vaststellen agenda 2 Vaststellen verslag van vorige bijeenkomst Adviescommissie CF 30-05-2024 3 Ingekomen en verzonden stukken Jaarverslag Concernaudit: toelichting en gelegenheid tot het stellen van vragen Jaarverslag 2023-24 Concernaudit_definitief 4 Aanbesteding externe accountant Toelichting en gelegenheid tot het stellen van vragen. Doel: vaststellen van de documenten. 5 Vooruitblik jaarplan 2024 Zomersessie adviescie C&F Vrijdag 11 oktober 10.00-16.00 Nota Verbonden partijen Aanpassen Financiële verordening (denk aan budgetrecht) --> groepje 2 keer met elkaar vooraf (ligt stil bij stadskantoor). Hierbij de raadsbrief meenemen! Update verbeterplan financiën Nota WAAVA Do. 17 oktober Vergadering adviescommissie (90 minuten) Opening, verslag en ingekomen stukken (tijd: 10 minuten) Programmabegroting + 2e Berap (tijd: 30 minuten) 2e Technische Begrotingswijziging (onderdeel berap) Advies aan commissie VBF over Programmabegroting (na wissel, tijd 15 minuten). Voortgang S&V (opvolging van 21 maart) Pva Aanpak accountantscontrole (‘jaarplan’) en opdrachtbevestiging jaarrekening (tijd: 15 minuten).

Vooruitblik volgende vergadering (tijd: 5 minuten) Afsluiting (tijd: 5 minuten) NB: 5 minuten wissel pauze, zodat we het laatste deel van de vergadering gebruiken om een advies richting de commissies te formuleren dan wel met elkaar in gesprek te gaan over voorliggende onderwerpen. Voor afsluiting een korte rondvraag richting ambtelijke organisatie door de voorzitter. Jaarplan adviescommissie CF 2024 (sept) 6 Wat verder ter tafel komt Kennismaken met de nieuwe concerncontroller 7 Rondvraag en sluiting

AGENDA Adviescommissie Controle en Financiën

19 september 2024 van 09.15-10.45 uur (burgemeesterskamer) Agendapunt 1 t/m 7 worden behandeld in aanwezigheid van de (medewerkers van) de afdeling Concernmanagement Financiën, Inkoop en Juridische Zaken/Concern Control, de voorzitter/secretaris van de Rekenkamer en de accountant. NB: de accountant is deze keer niet aanwezig NB: dit keer geen wissel na agendapunt 5. (2 min)

1. a. Opening en mededelingen. b. Vaststellen agenda.

(2 min)

2. Vaststellen verslag van vorige bijeenkomst. (5 min)

3. Ingekomen en verzonden stukken.

Jaarverslag Concernaudit: toelichting en gelegenheid tot het stellen van vragen

(45 min)

4. Aanbesteding externe accountant

Toelichting en gelegenheid tot het stellen van vragen. Doel: vaststellen van de documenten.

(10 min)

5. Vooruitblik jaarplan 2024 Zomersessie adviescie



Nota Verbonden partijen

C&F Vrijdag 11 oktober



Aanpassen Financiële verordening (denk aan budgetrecht) --> groepje 2 keer met elkaar vooraf (ligt stil bij stadskantoor). Hierbij de raadsbrief

10.00-16.00

Do. 17 oktober

meenemen! 

Update verbeterplan financiën



Nota WAAVA

Vergadering adviescommissie (90 minuten) 

Opening, verslag en ingekomen stukken (tijd: 10 minuten)



Programmabegroting + 2e Berap (tijd: 30 minuten)



2e Technische Begrotingswijziging (onderdeel berap)

1

Commissiegriffier financiën  danielle.rijnders@utrecht.nl



Advies aan commissie VBF over Programmabegroting (na wissel, tijd 15 minuten).



Voortgang S&V (opvolging van 21 maart, 15 minuten)



PvA Aanpak accountantscontrole (‘jaarplan’) en opdrachtbevestiging jaarrekening (tijd: 15 minuten).



Vooruitblik volgende vergadering (tijd: 5 minuten)



Afsluiting (tijd: 5 minuten)

(15 min)

6. Wvttk -

Kennismaken met de nieuwe concerncontroller

(5 min)

7.

Rondvraag en sluiting.

2

Commissiegriffier financiën  danielle.rijnders@utrecht.nl

VERSLAG ADVIESCOMMISSIE CONTROLE EN FINANCIËN

30 mei 2024, 09.00-10.30 uur Burgemeesterskamer Stadhuis

Adviescommissie: Jantine Zwinkels (vz.), Derk van Bergen, Fred Claasen, Gert Dijkstra, Ruud Maas, Ralph Peters, Margreet Ramaker, Rick van der Zweth en Daniëlle Rijnders (raadsadviseur Control & Audit)

Overige deelnemers: Cora Bakker (adviseur financiën), Jasmin Grundauer (manager concernaudit), Annemarie

Koolenbrander (adviseur Financiën en Control, Barbara Siebelink (P&C-coördinator jaarstukken), Rob Sijm (directeur a.i. financiën, inkoop en juridische zaken), Pieter van der Straaten (programmamanager Ruimtelijke investeringsstrategie), Auke Timmerman (concerncontroller), Johan van Dorst (Griffie), Gerth Molenaar (Rekenkamer), en Niels Fritz en ReinAart van Vugt (Deloitte)

Niet aanwezig: Cees Bos, David Bosch, Stevie Nolten, Ruben Snijder, Bert van Steeg en Victor Paalman Notulen: Rosenbaum Select, notulisten & verslaggevers

1. a. Opening en mededelingen

De voorzitter heet allen welkom en opent de vergadering. b. Vaststellen agenda

De agenda wordt vastgesteld zoals opgegeven. 2. Vaststellen verslag vorige bijeenkomst (18-04-2024)

Zie blz. 1, agendapunt 3b, Jaarplan concernaudit. De laatste zin van de pagina wordt als volgt aangepast: ‘Daarom is bij de follow-up audit – in 2024 uitgevoerd – besloten dat er naast de status van de verbeteractie ook ruimte is voor een beperkte nieuwe scope in deze audit’. Met inachtneming van de wijziging wordt het verslag vastgesteld. 3. Ingekomen stukken en verzonden stukken

Er is geen post binnengekomen of verstuurd die in de vergadering behandeld moet worden. 4. Jaarstukken 2023

Zie de presentatie van de heer Van Vugt, waarin de essentie van de accountantscontrole is samengevat. Nieuw is de vorm van de accountantsverklaring: deze betreft uitsluitend de

getrouwheid van de rapportage. Het college geeft zelf een rechtmatigheidsverklaring, en de accountant stelt vast of deze klopt. Bij de verklaring omtrent getrouwheid wordt een

goedkeuringstolerantie van 1% van de totale lasten in acht genomen, en voor onzekerheden 3% (resp. € 20,5 miljoen en € 61,5 miljoen). Onzekerheden zijn posten die niet volledig

geadministreerd zijn, waarvan het controleteam dus niet kan aangeven of ze juist zijn. Met

ingang van 2025 worden de fouten en onzekerheden samen genomen, en geldt een marge van

1 van 6

commissiegriffier Adviescommissie CF danielle.rijnders@utrecht.nl

2% voor afwijkingen. De raad kan, indien gewenst, een lager percentage kiezen. De heer Van Vugt adviseert om het percentage nog dit jaar, dus vóór 01-01-2025, vast te stellen.

De heer Van Vugt geeft aan dat de tolerantiegrenzen bij de controle 2023 niet werden bereikt, zelfs niet bij benadering. Zie bijlage A1 – fouten € 1,8 miljoen (onjuist geboekte overlopende posten), onzekerheden € 4,3 miljoen (stelposten grondexploitaties).

Het proces in de aanloop naar de rechtmatigheidsverantwoording is in Utrecht vlot verlopen dankzij de uitstekende voorbereiding en de goede interne samenwerking. De heer Van Vugt

wijst erop dat er voor € 51,5 miljoen aan onrechtmatigheden is opgenomen, wat de door de raad vastgestelde grens (€ 30,9 miljoen) overschrijdt. Echter, € 45,9 miljoen betreft

onrechtmatigheden die samenhangen met de begroting, dus budgetoverschrijdingen. Deze zijn deels acceptabel. De post bijstandsuitkeringen laat de grootste overschrijding zien, wat te verklaren is, want dat is een open-einderegeling. Een andere overschrijding, namelijk

€ 10,7 miljoen, is als niet-acceptabel aangemerkt; dat bedrag is uitgegeven zonder akkoord van de raad. Voor budgetoverschrijdingen moet formeel een begrotingswijziging aan de raad worden voorgelegd.

Juridische kosten, samenhangend met bezwaarprocedures, moeten in het budget passen, en er kan op programmaniveau compensatie tegenover staan. Als dit echter toch leidt tot een overschrijding op programmaniveau, zou dat onrechtmatig kunnen zijn. In dit verband benadrukt de heer Van Vugt het belang van het budgetrecht.

Het viel het controleteam op dat leesbaarheid van de jaarstukken 2023 sterk is verbeterd. De

heer Van Vugt heeft de wethouder de suggestie gedaan om in het vervolg ook een hoofdstuk op te nemen met wat er niet of anders werd uitgevoerd. Voor wat de heer Van Vugt nog meer

opviel bij het lezen van de jaarrekening wordt verwezen naar de e-mail van mevrouw Rijnders d.d. 22 mei jl.

Er zijn inmiddels 78 SISA-regelingen, maar het ziet ernaar uit dat het nieuwe kabinet ze

allemaal wil afschaffen (zie het hoofdlijnenakkoord) en de specifieke uitkeringen wil toevoegen aan de algemene uitkeringen. Er wordt echter wel ruim € 600 miljoen op gekort. Voor de

gemeente Utrecht blijft het spanningsveld tussen centraal en decentraal een belangrijk punt van aandacht. Het aanleveren van informatie vanuit de decentrale structuur naar concern blijft

moeizaam gaan. Zie de managementletter voor details, waarin ook de capaciteit ten opzichte van de realisatiekracht aan de orde wordt gesteld, en waarbij de financiële kant een extra uitdaging vormt.

De jaarrekening laat zien dat de totalen redelijk overeenkomen met de begroting, maar dat er

zowel aan de baten- als aan de lastenkant belangrijke verschuivingen zijn. Gedurende het jaar zijn de uitgaven met 10% toegenomen. De begroting is daarvoor wel bijgesteld, maar de

2 van 6

commissiegriffier Adviescommissie CF danielle.rijnders@utrecht.nl

mutaties van primaire begroting naar resultaat zijn niet goed te volgen. Bij de behandeling zou de raad kunnen vragen of er ideeën zijn hoe dit een volgende keer beter en duidelijker kan. De

heer Van Vugt veronderstelt dat de tussentijds bijgestelde ambities deels de oorzaak zijn van de verschillen, maar het feit dat de rijksoverheid tussentijds meer taken delegeert speelt ook mee. Eigenlijk laten alle programma’s een zekere mate van groei zien, stelt de heer Van Vugt, maar

Werk & Inkomen (€ 48 miljoen) en Ondersteuning op maat (€ 72 miljoen) spannen de kroon. De

heer Van Vugt adviseert de raad om het traject van primaire begroting naar definitieve begroting naar realisatie kritisch te volgen. Voor een realistische aansluiting tussen beschikbare capaciteit en beschikbare middelen adviseert de heer Van Vugt om te blijven inzetten op de uitvoeringstoets.

De gemeente teert enigszins in op de reservepositie; in 2023 (primaire begroting) was de inzet uit de reserve € 28 miljoen, maar door alle tussentijdse aanpassingen is dit opgelopen naar € 67 miljoen, met goedkeuring van de raad. Uiteindelijk werd er in 2023 72 miljoen aan de

reserve onttrokken. De voorjaarsnota vermeldt een extra onttrekking van € 150 miljoen in 2024 en 2025. De gemeente heeft in de reserve grondexploitatie een bedrag van € 143 miljoen,

bedoeld voor het voltooien van Leidsche Rijn. De heer Van Vugt adviseert om bij de behandeling

van de voorjaarsnota en in de aanloop naar de begroting 2025 veel aandacht te besteden aan de reserves, en om zo scherp mogelijk te krijgen wat de positie van de raad daarbij is.

Er staat een bedrag van € 237 miljoen op de balans voor ‘nog te besteden, specifieke

uitkeringen’. Dit geld komt van de rijksoverheid; een groot deel is bedoeld voor versnelling

woningbouw. Dit moet vroeg of laat worden uitgegeven, wat de capaciteit van de gemeentelijke organisatie nog eens extra onder druk zet.

Bij de controle is fraude een belangrijk thema; de heer Van Vugt vindt dat de ambtelijke

organisatie daar veel aandacht voor heeft. Meldingen van mogelijke onrechtmatigheid worden

altijd zorgvuldig onderzocht. Vervolgens beoordeelt het controleteam of een onrechtmatigheid de jaarrekening beïnvloedt. Bij een recente melding bleek dat niet het geval te zijn; de

goedkeurende verklaring kon dus volgens plan worden gegeven. Het onderzoek naar de

betreffende melding loopt nog. Als er aanleiding voor is, zal de raad onder geheimhouding worden geïnformeerd.

Over het door de accountant verrichte meerwerk neemt de Adviescommissie in

september/oktober a.s. een besluit na afstemming met F&I door de accountant. 5. Meerjarenperspectief Ruimte (MPR)

Voor de behandeling van dit onderwerp komen mevrouw Koolenbrander en de heer Van der

Straaten in de vergadering. Zie de presentatie van de heer Van der Straaten. Het MPR komt uit de Ruimtelijke Strategie Utrecht (RSU), op basis waarvan de Ontwikkelorganisatie Ruimte

inhoudelijke voorstellen doet voor het bijstellen van het investeringsprogramma. Ook voor de 3 van 6

commissiegriffier Adviescommissie CF danielle.rijnders@utrecht.nl

actualisatie van grondexploitaties is het MPR de basis. Bij de behandeling van de voorjaarsnota stelt de gemeenteraad de budgettaire kaders vast. Soms is het wenselijk om aan het ene doel wat meer te besteden dan aan het andere; dat leidt dan tot een wijziging in het

begrotingsprogramma dat in de voorjaarsnota wordt opgenomen. In de voorjaarsnota wordt vastgelegd hoeveel geld er beschikbaar is voor ruimtelijke investeringen.

Actualisatie van het meerjarenprogramma bereikbaarheid, parkeerzaken, betaalbaar wonen en

zo meer zijn jaarlijks terugkerende onderwerpen in het MPR, maar de raad hoeft er niet elk jaar

een besluit over te nemen. Als er wél een besluit wordt gevraagd, dan loopt dat via het MPR. Dit jaar staat het MPR in het teken van bezuinigingen; er worden een paar voorstellen voor

aanpassing van het investeringsprogramma gedaan. Voor raadsleden is dit buitengewoon interessante informatie.

Mevrouw Koolenbrander memoreert dat er al eerder verbeteringen in de meerjarenprogramma’s werden gepresenteerd; daaruit kan worden geconcludeerd dat er aanzienlijke voortgang is

geboekt met betrekking tot de beleidscyclus MPR: de ruimtelijke investeringen staan op de

kaart, de aanpak is meer integraal en de samenhang met de voorjaarsnota is duidelijker. Aan verbetering van de financiële informatie wordt nog gewerkt.

De Adviescommissie is benieuwd naar de effecten van de bezuinigingen op het MPR; de

overzichten bieden daar geen inzicht in. De heer Van der Straaten bevestigt dit, en verwijst bij

wijze van voorbeeld naar de sportvoorzieningen: de veronderstelling was dat daarvoor budget zou zijn voor de komende jaren. Op een aparte pagina wordt aangegeven wat er voor de beschikbare middelen gerealiseerd kan worden, maar een volledige calculatie voor alle

thematische opgaven in de komende jaren is er nog niet. Het zou dus kunnen dat niet alle

plannen gerealiseerd kunnen worden. Er zijn een paar structurele budgetten waarmee één à

twee jaar vooruit kan worden geprogrammeerd. Als die budgetten na drie of vier jaar worden

verlaagd, is het gevolg dat er minder kan worden geïnvesteerd. Op voorhand is echter niet aan te geven welke projecten er dan moeten sneuvelen.

De heer Van der Straaten adviseert de raadsleden die een ruimtelijke portefeuille hebben om het

hoofdstuk Koers goed te bestuderen en de informatie per gebied en per thema. Voor raadsleden die in grondzaken geïnteresseerd zijn, is hoofdstuk 5 belangrijk. Over de

bezuinigingsvoorstellen mobiliteit en groen is naar de mening van de heer Van der Straaten wel een zinvol debat te voeren. Over de bandbreedte van bezuinigingen heeft de raad in april jl. informatie gekregen; die kan natuurlijk worden benut. 6. Vooruitblik jaarplan 2024

Vandaag is de laatste vergadering van de Adviescommissie vóór het zomerreces. De volgende vergadering is op 19 september a.s., met vaststelling van de aanbestedingsdocumenten als belangrijkste onderwerp.

4 van 6

commissiegriffier Adviescommissie CF danielle.rijnders@utrecht.nl

Voor de jaarlijkse zomersessie is vrijdag 27 september gekozen, maar die datum blijkt niet

goed uit te komen. Mevrouw Rijnders zal een ander datumvoorstel sturen. De heer Dijkstra pleit ervoor om het tijdens de zomersessie ook te hebben over de investeringen – en hoe de raad daar meer grip op kan krijgen.

Schorsing

De ambtenaren verlaten de vergadering. 7. Voortgang accountantscontrole

De controle is afgerond! De heer Van Vugt adviseert om bij de behandeling in het bijzonder de discussie over het budgetrecht bij investeringen op te pakken, want daarin is nog geen voortgang. De raad moet het erover eens worden op welk niveau zij budgetrecht op

investeringen wil hebben en hoeveel ruimte zij het college wil geven. Voorafgaand daaraan is het belangrijk om meer inzicht te verzamelen en om te bepalen waarop zij wil sturen. In dit

verband wijst mevrouw Rijnders erop dat de raad eerder duidelijk heeft aangegeven dat zij niet op programmaniveau wil sturen; zo staat het echter wél in de Financiële verordening. 8. Rondvraag en sluiting

Nota’s die nu worden gepresenteerd gaan over de komende tien jaar, wat best lang is. De heer Snijder vraagt of de Adviescommissie daar een keer aandacht aan kan besteden. Mevrouw Rijnders adviseert om dit aan de orde te stellen in een volgende vergadering van de

Adviescommissie, want dan staat de voortgang Sturen & Verantwoorden op de agenda. Een tweede punt van de heer Snijder is de suggestie om als gemeente meer synchroon met Den Haag te werken. De gemeente behandelt nu de voorjaarsnota, terwijl men daar al bezig is met Prinsjesdag.

De heer Claasen merkt op dat de raad de voorjaarsnota en het jaarverslag in één document

aangeboden kreeg, maar dat er aan het aspect ‘verantwoording afleggen’ nauwelijks aandacht wordt besteed. In aansluiting hierop meldt de heer Claasen dat het niet zeker is dat hij na de zomer de portefeuille Financiën blijft houden, maar dat hij tot nader order toch graag de relevante stukken blijft ontvangen.

Op 11 juni a.s. verschijnt het Rekenkamerrapport Openbaar Groen. De heer Van der Zweth memoreert dat het tijdens een informatiesessie over de voorjaarsnota

ging over de activareserve die in 2024 vrijvalt. Hij vraagt zich af of de accountant betrokken is bij de analyse van de reserves. De heer Van Vugt geeft aan dat dit niet het geval is.

De heer Dijkstra geeft aan dat zijn fractie zich verdiept in de reserves, en dat de ambtelijke organisatie hem heeft uitgelegd dat daar niet veel mee mogelijk is vanwege de

5 van 6

commissiegriffier Adviescommissie CF danielle.rijnders@utrecht.nl

solvabiliteitsgrens. Hierop verduidelijkt de heer Van Vugt dat de VNG hier een norm voor heeft

aangegeven – dus geen voorschrift. De raad bepaalt de solvabiliteitsgrens, en moet er daarbij op letten dat de risico’s gedekt zijn. Dit is een goed punt om in te brengen bij de behandeling van de Financiële verordening.

Er zijn hierna geen vragen meer. De voorzitter sluit de vergadering.

6 van 6

commissiegriffier Adviescommissie CF danielle.rijnders@utrecht.nl

1

Jaarverslag Concernaudit 2023-24 April 2023 – Maart 2024

Manager Concernaudit 22 april 2024

Inhoudsopgave Managementsamenvatting Speerpunten Concernaudit 2023-24 Evaluatie kwaliteit dienstverlening Follow-up proces Afgeronde auditopdrachten Rechtmatigheidsverantwoording Fraude

Innovatie en inzet van data-analyse Status onderhanden audit opdrachten uit jaarplan 2023-24

Management van de interne audit functie Bijlage: Reeds gerapporteerd (Halfjaarverslag)

2

Managementsamenvatting (1/2) Concernaudit jaarplan 2023-24 gerealiseerd

Zichtbaarheid en betrokkenheid in de organisatie

Het jaarplan Concernaudit 2023-24 heeft risico's rondom de robuustheid van de IT infrastructuur, HR, het gebruik van nieuwe technologieën en fraude geadresseerd. De door ons geprioriteerde thema's en onderzoeksobjecten hebben alle domeinen (fysiek, sociaal, bedrijfsvoering, dienstverlening) van de gemeente Utrecht geraakt.

Naast het uitvoeren van het jaarplan zijn leden van Concernaudit ook vertegenwoordigd in een aantal expert panels en werkgroepen. Hierin werken we samen met collega's uit verschillende domeinen aan complexe organisatorische vraagstukken en procesverbeteringen. Voorbeelden zijn: Spiegelsessies (b.v. herinrichting van organisatie onderdelen)

Met onze onderzoeken en adviezen dragen we bij aan het realiseren van de strategische doelstellingen en het verbeteren van governance, risicomanagement en interne controleprocessen. Per eind maart zijn nog twee audits uit het reguliere jaarplan 2023-24 onderhanden. Deze audits ronden we in Q2 2024 af:

• •

Voortgang implementatie standaard projectbeheersing Serviceplein ICT

Stuurgroep rechtmatigheidsverantwoording Selectiecommissie aanbesteding externe accountant Kernteam rechtmatigheidsverantwoording Expert panel inkoop Expert panel medewerker tevredenheidsonderzoek

Expert panel SAP HANA implementatie Vakgroep data science en AI tafel

Het is voor interne audit afdelingen in de publieke en private sector doorgaans gebruikelijk dat één of twee audits tijdens het opstellen van het jaarverslag nog onderhanden zijn.

Follow-up proces In 2023-24 heeft Concernaudit voor het eerst een robuust follow-up proces voor alle afgeronde audits toegepast. Eerste resultaten en aandachtspunten presenteren we op pagina 7.

Verdere professionalisering en speerpunten 2023-24 In het kader van het verder professionaliseren van de Concernaudit functie, hebben we in 2023-24 een aantal initiatieven rondom de thema’s strategie, netwerk, kennisdeling & samenwerking standaardisatie en impact geprioriteerd. Deze zijn op pagina 5 verder uitgewerkt. 3

Managementsamenvatting (2/2) Gemeentebrede verbetermogelijkheden Gebaseerd op de afgeronde audits en advieswerkzaamheden hebben we een aantal gemeentebrede verbetermogelijkheden geïdentificeerd. Deze liggen grotendeels in lijn met de in ons halfjaarverslag 2023-24 genoemde verbetermogelijkheden. Governance in de lijn • Duidelijk beleggen van rollen, verantwoordelijkheden en escalatielijnen; • Aantoonbaar naleven van wetgeving | Aandachtspunt: de Wet politiegegevens; • Opstellen van Data Privacy Impact Assessments voor alle hoog risico processen (gegevensbescherming); • Consequent naleven van kaders en richtlijnen; • Actualiseren van werkinstructies met bijhorende beheersmaatregelen | Aandachtspunt: fraudegevoelige processen. Governance in gemeentebrede projecten • Duidelijk beleggen van rollen, verantwoordelijkheden en escalatielijnen; • Heldere rol van stuurgroepen (kwaliteits- en voortgangsbewaking) en periodieke betrokkenheid van de directieraad bij belangrijke projecten; • Noodzaak om de afhankelijkheid van externen te verminderen.

Systemen en data • Consistent en consequent gebruik van systemen in plaats van handmatige ‘workarounds’ voor primaire en ondersteunende processen; •

Meer data in de besluitvormingsproces toepassen (datagedreven besluitvorming).

Contractmanagement • Duidelijke en afdwingbare afspraken met derden en toezicht op naleving hiervan | Aandachtspunt: leveranciers van clouddiensten.

Dossiervorming • Volledigheid, tijdigheid en kwaliteit van gearchiveerde dossiers | Aandachtspunten: project- programma- en kwaliteitsbewakingsdossiers.

Bovengenoemde aandachtspunten zijn ‘enablers’ voor efficiënte en transparante bedrijfsvoering. Externe factoren, zoals een krappe arbeidsmarkt en druk op de begroting van gemeenten, versterken de noodzaak voor verbetering. De directieraad heeft een aantal initiatieven en projecten in 2022 en 2023 opgestart die de oorzaken van de verbetermogelijkheden adresseren. De voortgang hiervan wordt in de reguliere P&C cyclus en aanvullende rapportagemomenten bewaakt. Concernaudit bewaakt de voortgang van de uit audits resulterende verbeterplannen in het follow-up proces.

4

Speerpunten Concernaudit 2023-24 Strategie • We volgen consequent onze roadmap richting continue verbetering en verdere professionalisering van de Concernaudit functie. Hiervoor gebruiken we het ‘Internal Audit Ambition Model’ van het Instituut van Internal Auditors (IIA) als benchmark. • We evalueren en actualiseren ons strategisch personeelsplan. Dit plan speelt in op veranderingen en behoeftes in de organisatie, ontwikkelingen van de Concernaudit functie en zorgt voor businesscontinuïteit.

Netwerk • We verbreden en versterken de samenwerking en benchmarking met andere interne auditafdelingen door: ✓ Periodieke overleggen tussen de G4 Interne Audit Managers ✓ Vakgroepen voor IT auditors en data analisten.

Kennisdeling en samenwerking • We benutten de kennis en expertise binnen de organisatie optimaal. Dit doen we door vak experts uit verschillende disciplines als gast auditoren bij onze audits te betrekken. • We werken hand in hand met de organisatie in stuurgroepen, agendagroepen, expert panels en werkgroepen aan organisatorische vraagstukken en procesverbeteringen.

Standaardisatie • We gebruiken consequent templates in het auditproces en evalueren deze periodiek om kwaliteitsstandaarden te waarborgen en efficiëntieslagen te maken. • We voeren een robuust 'audit follow-up proces' uit om de voortgang van verbeteracties in de organisatie te bewaken. • We zijn continu op zoek naar automatiseringsmogelijkheden voor handmatige auditwerkzaamheden en experimenteren hiervoor in pilots. Zo maken we capaciteit vrij voor dienstverlening met meer toegevoegde waarde.

Impact • We versterken onze competenties op gebied van fraude, informatiemanagement en systemen door het certificeren van twee collega’s in 2023. • We monitoren en analyseren surveyresultaten om onze dienstverlening continu te verbeteren. • We passen consequent een 'integrated' audit aanpak toe waar mogelijk. Dit betekent dat we een onderwerp multidisciplinair benaderen en verschillende audit technieken toepassen zoals data analyse, interviews, observaties, surveys en documentstudie. • We spelen in op actualiteiten met de scoping van audits en dataprojecten om maximale waarde voor de organisatie te genereren. 5

Evaluatie kwaliteit dienstverlening Sinds september 2022 stuurt Concernaudit na het delen van het definitieve auditrapport, een evaluatiesurvey uit. Met de survey verzamelen we feedback uit de organisatie om de kwaliteit van onze dienstverlening continu te verbeteren. De survey bestaat uit stellingen over vier thema’s, namelijk: Team, Uitvoering, Rapport en Meerwaarde audit. Stellingen worden beoordeeld op een schaal van 1 “Helemaal niet mee eens” t/m 5 “Helemaal mee eens”. Hieronder zijn onze ambities en inzichten tot zover uiteengezet.

Resultaten per thema

Thema’s Team: competenties van en communicatie met het auditteam.

Uitvoering: werkwijze, doelstelling en duur van de audit.

Rapport: leesbaarheid, inhoud en accuraatheid van het opgeleverde auditrapport.

Meerwaarde audit: waarde van de audit bij het verbeteren van interne beheersing.

Resultaat

Surveygegevens

# Audits

Uitvoering

Rapport

4,0

4,0

3,9

3,7

3,8

3,7

3,8

3,7

Ambitie

Top scores

# Auditees aangeschreven

Respons

68

23

Was:*

Team

# Auditees ingevuld

39 Dit overzicht bevat audits vanaf september 2022.

57%

4

Meerwaarde audit

*Scores uit jaarverslag 2022-23

Tops & Tips

Tip scores

Heldere communicatie over voortgang van de audit

Doorlooptijd van de audits

Closing meeting geeft goed beeld van belangrijkste bevindingen

Business acumen Kennis van het audit object

Managementsamenvatting geeft goed beeld van belangrijkste resultaten

Delen van “best practices” en waardevolle aanbevelingen

Audit was gericht op relevante onderwerpen en risico’s

Tijdig aanleveren auditrapport 6

Follow-up proces Sinds 2023-24 past Concernaudit voor het eerst een robuust follow-up proces toe voor alle afgeronde audits. Tijdens de follow-up perioden bewaken we de voortgang van de door management voorgestelde verbeteracties. Het management is verantwoordelijk om deze verbeteracties binnen de afgestemde periode te implementeren. Concernaudit fungeert in dit proces als aanjager, procesbewaker en escaleert significante vertragingen richting de directieraad.

Onderstaande grafieken weergeven de opvolgingsstatus van bevindingen met risicoclassificatie hoog en midden. Om capaciteitsredenen en een juiste prioritering van onze dienstverlening hebben wij een weloverwogen besluit genomen om bevindingen met classificatie laag niet mee te nemen in het follow-up proces.

Follow up status jaarplan 2022-23 # Audits

14 # Bevindingen

Follow up status jaarplan 2023-24

Aantal geadresseerd in een vervolgaudit 2024-25 7 Aantal onderhanden overdue 30% 26

# Audits

12

8%

57 Midden 8 Laag

14%

Aantal opgelost 5

6%

# Bevindingen

21 Hoog 86

Aantal onderhanden overdue 11

15 Hoog Aantal onderhanden niet overdue 2

3% 59%

Aantal opgelost 51

87

63 Midden 80% 9 Laag

Aantal onderhanden niet overdue 62

Conclusies Gezien het follow-up proces pas recentelijk is geïntroduceerd, geldt voor beide auditperioden dat de resultaten in lijn der verwachting liggen en bij het volwassenheidsniveau van de gemeente Utrecht passen. We zien een rode draad in de oorzaak van het niet tijdig opvolgen van bevindingen (‘overdue’), namelijk dat het management over het algemeen te optimistisch inzet op de opvolgdatum. Hier lijkt een onderschatting van benodigde inspanningen om de verbeteracties te implementeren plaats te vinden. In het vervolg zullen onze auditoren de verbeterplannen kritischer op haalbaarheid beoordelen. Verder ontstaan soms vertragingen in de opvolging van bevindingen door afhankelijkheden van a) andere gemeentebrede projecten, zoals De Utrechtse Standaard (DUS) en b) van (software)leveranciers. Het overgrote aantal niet tijdig opgevolgde bevindingen betreft de organisatieonderdelen Maatschappelijk Ontwikkeling en Informatie en Procesmanagement. 7

Audits (1/5)

Wettelijk verplichte jaarlijkse audit

Artikel 213a Gemeentewet: Uthiek

Artikel 213a Gemeentewet: Afval

Organisatieonderdeel: CIO-Office

Organisatieonderdeel: Stadsbedrijven

In het coalitieakkoord 2022-26 stelt het college de ambitie om een commissie aan te stellen die over digitale ethische vraagstukken adviseert. Hiervoor is in 2020 Team Uthiek opgericht binnen het CIO-Office.

In het coalitieakkoord 2022-2026 zijn de visie en ambities van de gemeente rondom afvalinzameling opgenomen. Stadsbedrijven (SB) is binnen de gemeente verantwoordelijk voor de inzameling en verwerking van afval. SB volgt hierbij ontwikkelingen rondom afval op de voet. Zo is SB vertegenwoordigd in diverse landelijke werkgroepen, draagt bij aan wetswijzigingen en werkt continu aan het ontwikkelen van innovatieve methoden voor afvalinzameling en –verwerking, zoals ‘Het Nieuwe Inzamelen’.

Het team bestaat uit een mix van ervaren vakexperts, trainees en een externe klankbordgroep die met veel passie ethische impact assessments rondom het gebruik van nieuwe technologieën uitvoeren. Dit verhoogt merkbaar het bewustzijn over digitale ethiek in de organisatie. Echter, de op co-rollen gebaseerde invulling van Team Uthiek vormt een uitdaging voor de realisatie van digitale ethiek doelstellingen. Verder ontbreken gedocumenteerde selectiecriteria (diversiteit, senioriteit en vakexpertise) voor het aanstellen van externe klankbordgroepleden. Ook missen formele samenwerkingsafspraken, waardoor hun expertise niet optimaal gebruikt wordt.

Een ander aandachtspunt voor Team Uthiek is hun overwegend informele aanpak. Zo bestaat een sterke afhankelijkheid van individuele invulling bij het uitvoeren van assessments door onvolledige werkafspraken en inconsequente naleving hiervan. Door een disbalans tussen ambities en beschikbare capaciteit zijn enkele in beleid genoemde activiteiten zoals het monitoren van gegeven adviezen niet uitgevoerd. Verder is het aantal uitgevoerde assessments door een gebrek aan adequate kwaliteitsbewaking de afgelopen jaren te optimistisch verantwoord in rapportages aan het college en de raad. Het management van het CIO-Office heeft reeds een plan van aanpak opgesteld voor het opvolgen van de verbeterpunten.

In de grondstoffennota 2020 zijn de strategische doelen t/m 2025 opgenomen. Deze sluiten aan bij het coalitieakkoord. De doelstellingen en planning voor na 2025 ontbreken echter, waarmee belangrijke input voor strategische bedrijfsvoeringaspecten en benodigde financiële middelen mist. In een raadsvoorstel uit 2020 zijn business cases aangekondigd voor twee projecten met ingrijpende consequenties voor inwoners en grote financiële gevolgen. Door omstandigheden, zoals Corona, zijn beide projecten vertraagd. De raad is hier echter niet proactief over geïnformeerd en momenteel is er geen interne deadline voor de uitwerking van de business cases. SB beschikt over veel data rond afval. Deze data worden vooral ingezet om het primaire proces te ondersteunen. Kansen om data ook in te zetten om beleid en activiteiten te evalueren, blijven echter onbenut. SB gebruikt twee indicatoren om de afvaldoelstelling te monitoren: de hoeveelheid restafval (per persoon) en de tevredenheid van inwoners met afvalinzameling. SB ligt op koers om de hiervoor gestelde doelen te behalen. De indicatoren wordt echter niet tussentijds gemeten, waardoor grip ontbreekt op de voortgangsbewaking. Het management van SB heeft een plan van aanpak opgesteld voor het opvolgen van de verbeterpunten. 8

Audits (2/5)

Wettelijk verplichte jaarlijkse audit

Wet politiegegevens (Wpg) – Governance & Applicatie- en autorisatiebeheer Organisatieonderdeel: CIO-office, Vergunningen, Toezicht en Handhaving – VTH, Werk & Inkomen – W&I, Maatschappelijke Ontwikkeling – MO, Openbare Orde en Veiligheid – OOV De Wet politiegegevens (Wpg) stelt criteria voor de verwerking van politiegegevens. De Autoriteit Persoonsgegevens (AP) houdt hier toezicht op. Een vorm van AP toetsing is een verplichte vierjaarlijkse externe en jaarlijkse interne audit. Het CIO-office is als Wpg stelselhouder verantwoordelijk voor het opstellen van gemeentebrede kaders hierover en het centrale contactpunt voor de AP. De interne audit bestond in 2023 uit een hercontrole van: 1) de interne auditbevindingen ‘Governance 2022’ en 2) de externe audit bevindingen inzake ‘Applicatie- en Autorisatiebeheer’. Voor governance-gerelateerde verbeteracties zoals sturen en verantwoorden is een eerste stap gezet in een samenwerking tussen het CIO-Office en de organisatieonderdelen. Echter, voor géén van de bevindingen uit de interne audit 2022 heeft volledige implementatie van de met management afgestemde verbeteracties plaatsgevonden. De oorzaak hiervan is een combinatie van gebrek aan bewustzijn over het onderwerp, druk op beschikbare capaciteit, onvoldoende managementaandacht en prioritering. Dit betreft alle organisatieonderdelen in scope.

Voor applicatie- en autorisatiebeheer zijn verbeteracties geïmplementeerd bij MO. Zij hebben namelijk beschikking gekregen over een ‘derdenverklaring’ voor hun Wpg applicatie. Door deze verklaring, opgesteld door een onafhankelijke vakexpert, heeft MO zicht op de kwaliteit van de IT beheersing bij de leverancier en hiermee over de veiligheid van gemeentelijke data. Echter, de overige organisatieonderdelen hebben de in de externe audit geconstateerde bevindingen niet opgevolgd. Een andere bevinding betreft tekortkomingen in configuraties van de grootste Wpg applicatie binnen de gemeente Utrecht. Zwakke wachtwoord-instellingen en een gebrek aan controle op autorisaties verhogen de kans op externe inbreuk op data. Door het niet opvolgen van de verbeteracties loopt de Gemeente Utrecht een aantal risico’s. Zo kan de AP in het uiterste geval verscherpt toezicht instellen. Dit legt, door onder andere verplichte periodieke voortgangsrapportages aan de AP, een additioneel beslag op de capaciteit van de organisatie. Onderdeel hiervan zijn ook gesprekken tussen de AP en de directeuren van organisatieonderdelen, Themadirecteur Bedrijfsvoering, betrokken wethouder en de gemeentesecretaris. Daarnaast vormt dit een reputatierisico, omdat de AP hierover publiceert.

Het management van alle betrokken organisatieonderdelen is inmiddels begonnen met het implementeren van de aanbevelingen uit het auditrapport.

9

Audits (3/5) IT Readiness assessment SAP S/4 HANA

IT Voortgang Cloudtransitie - Contractmanagement

Organisatieonderdeel: Financiën

Organisatieonderdeel: Domstad IT

Het systeem SAP wordt binnen de gemeente Utrecht voor verschillende primaire processen gebruikt zoals de financiële administratie en kent momenteel circa 2.500 gebruikers. De leverancier ontwikkelt en ondersteunt het huidige systeem niet meer vanaf 2027. Daarom stapt de gemeente Utrecht over naar het cloud-based systeem SAP S/4 HANA. De migratie is belegd bij de afdeling Financiën als systeemeigenaar. Zij werken samen met een externe programmamanager en externe implementatiepartner.

De gemeente Utrecht is in 2019 gestart met het programma Cloudtransitie. Met deze transitie worden steeds meer gemeentelijke IT-diensten van een on-premise naar een cloudomgeving verplaatst. Bij de inkoop van clouddiensten is het belangrijk om met leveranciers afdwingbare contractafspraken te maken, zodat de techniek, werking en het beheer van clouddiensten gewaarborgd is. We hebben voor deze audit enkel de kwaliteit en naleving van cloudcontracten van Domstad IT beoordeeld.

Het programma maakt veelvuldig gebruik van algemeen erkende standaard methoden voor systeemimplementaties. Dit biedt houvast voor het behalen van (deel)doelstellingen en zorgt voor een efficiënte werkwijze.

De belangrijkste tekortkoming in de programmaopzet is een gebrek aan periodieke verantwoording aan de stuurgroep en de directieraad. Gezien de complexiteit, financiële omvang en afhankelijkheid van externen, is een sterke betrokkenheid van beide organen een belangrijke succesfactor. Ondanks dat het programma sinds Q1 2023 loopt, ontbreken relevante instrumenten (DPIA en PSA) om privacy- en beveiligingsrisico’s adequaat te adresseren. Dit bemoeilijkt het toepassen van beheersmaatregelen voor een veilige inrichting van het nieuwe financiële systeem. Tevens ontbreekt een totaaloverzicht van de financiële impact van het programma en zijn kosten voor het tijdelijk in stand houden van de huidige systeemomgeving nog steeds onbekend.

Het management Financiën erkent het belang van bovenstaande punten en stelt verbeteracties op.

De gemeente kent voor haar contractmanagementproces een algemeen geaccepteerde standaard. Deze wordt echter niet consequent toegepast op cloudcontracten. Een gevolg hiervan is onvolledige contractdossiers door een gebrek aan belangrijke documenten met cloudleveranciers. Dit bemoeilijkt tevens de monitoring op de naleving van contractafspraken. De gemeente koopt het overgrote deel van haar software in via een raamovereenkomst met een softwarebroker, zodat voor alle software gerelateerde inkopen dezelfde voorwaarden van toepassing zijn. Echter, enkele inkopen zijn in strijd met de aanbestedingswet, omdat deze niet passen in de scope van de raamovereenkomst. Huidige ramingen voor het contract met een belangrijke cloudleverancier voorspellen een overschrijding van de oorspronkelijke doelwaarde in mei 2025. Zonder tegenmaatregelen resulteert dit mogelijk in een financiële onrechtmatigheid van € 7,8 miljoen. De daadwerkelijk benodigde diensten zijn tijdens de aanbesteding onderschat.

Het management van Domstad IT gaat aan de slag met het opvolgen van de bevindingen.

10

Audits (4/5) Talon proces

Projectbeheersing risicovolle projecten – RRP Wervengebied

Organisatieonderdeel: Stadsbedrijven

Organisatieonderdeel: Stadsbedrijven

We hebben een audit uitgevoerd naar het proces ‘Talon’ binnen Stadsbedrijven. Dit is het proces voor het aanvragen en uitvoeren van een kabel- en leidingvergunning.

Het programma Wervengebied is in 2021 gestart en richt zich op het herstel en behoud van het Utrechtse wervengebied in een periode van 30 jaar.

De medio 2022 aangestelde teamleider heeft samen met enthousiaste nieuwe medewerkers professionaliseringsslagen ingezet. Voorbeelden hiervan zijn verbetering van de onderbouwing van de budgettering, het inrichten van standaarden voor dossiervorming en het wegwerken van achterstanden in het herstel van straatwerk. De eerste stappen zijn gezet, maar verdere verbeterslagen zijn nodig om een robuust proces te waarborgen.

Het programma heeft met een vernieuwde aanpak het negatieve sentiment over het voorgaande project ‘Wal- en kluismuren’ weten te keren. Keldereigenaren en omwonenden worden nu actief betrokken bij het herstelprogramma. Ook laat het programmateam periodiek externe onderzoeken uitvoeren om te toetsen wat goed gaat en wat beter kan.

De ‘Verordening ondergrond: kabels, leidingen en boomwortels’ en bijbehorende nadere regel bevatten de spelregels voor het proces 'Talon'. Echter, deze worden door netbeheerders maar ook door de gemeente Utrecht zelf niet consequent nageleefd. Dit kan leiden tot onveilige situaties in de stad. Toezichthouders hebben een belangrijke rol in het proces omdat zij de kwaliteit van werkzaamheden van de netbeheerder en de aannemer waarborgen. Een standaard toezichtkader voor een uniforme uitvoering van hun werkzaamheden ontbreekt echter. Hierdoor ontstaat ongewenste ruimte voor individuele invulling van deze rol. Naast de proces gerelateerde verbeterpunten is ook versterking van de teamcultuur nodig. Veel personele wisselingen in korte tijd hebben geleid tot gebrek aan teamcohesie. Het management van Stadsbedrijven gaat aan de slag met het opvolgen van de aanbevelingen.

Echter, de huidige financiële verantwoording past niet bij de complexiteit en financiële omvang van het programma. Hierdoor bestaat het risico dat budgetoverschrijdingen niet of niet tijdig gesignaleerd worden. Een koppeling tussen de financiële realisatie en de daadwerkelijke programmavoortgang ontbreekt. Naar verwachting zal het programma in 2025 overgaan van de pioniersfase naar een meer volwassen organisatie. De benodigde acties hiervoor zijn grotendeels in beeld, maar nog niet geformaliseerd in een stappenplan. Aandachtspunten zijn een gezondere balans tussen interne en externe medewerkers, het verder standaardiseren en consequent naleven van processen en samenwerking en kennisdeling met de lijnorganisatie. Wij hebben daarnaast een aantal bevindingen rondom contractmanagement zoals het naleven van het Utrechtse inhuurbeleid, het hanteren van de Utrechtse contractvoorwaarden en het helder en afdwingbaar formuleren van contractafspraken met derden. De Programmadirecteur herkent de verbeterpunten en gaat hiermee aan de slag.

11

Audits (5/5) Patchmanagement Organisatieonderdeel: Domstad IT

Organisaties hebben dagelijks te maken met bedreigingen die de veiligheid van hun ICT infrastructuur aantasten. Een manier om deze te beveiligen is patchmanagement. Dit is het proces van het installeren van kleine software-pakketjes (patches) om tekortkomingen in systemen te verhelpen. Domstad IT heeft in Q1 2024 en een ervaren Vulnerability Manager aangenomen voor het dagelijks monitoren en scannen van kwetsbaarheden en (niet uitgevoerde) patches. Hij overlegt hier periodiek over met betrokken functionarissen. Daarnaast heeft Domstad IT een risicoregister ingericht voor het opnemen van risico’s volgend uit het bewust niet doorvoeren van patches. Echter, het huidige door Domstad IT opgestelde patchmanagementbeleid uit 2020 is gedateerd, op aspecten onduidelijk geformuleerd en wordt niet consequent nageleefd. Tevens ontbreken prestatie-indicatoren en duidelijke escalatielijnen in het document. Voor risico’s die ontstaan door bewust niet te patchen, dient een risico acceptatie besluit (RAB) te worden opgesteld. Echter, RAB’s worden vaak niet of niet tijdig opgesteld en betrokken functionarissen ervaren het opstellen hiervan als complex. Dit leidt tot onvoldoende inzicht in welke beveiligingsrisico’s bewust door het management worden geaccepteerd.

Tot slot ontbreekt relevante stuurinformatie over patchmanagement in managementoverleggen van Domstad IT en in de Regiegroep Gegevensbescherming. Dit beperkt effectieve besluitvorming rondom patchmanagement en beveligingsrisico’s van de gemeente Utrecht. Het management Domstad IT erkent de bevindingen en zet verbeteracties op.

12

Rechtmatigheidsverantwoording gemeentebreed

Wettelijk verplichte jaarlijkse audit

Door de wet ‘Versterking decentrale rekenkamers’ moet iedere gemeente vanaf begin 2023 zelf de rechtmatigheidsverantwoording opstellen en onderbouwen. Tot 2023 was deze taak belegd bij de externe accountant. Met de rechtmatigheidsverantwoording geeft het college aan of er in het boekjaar financiële onrechtmatigheden hebben plaatsgevonden. Verbijzonderde Interne Controles (VICs) De gemeente onderbouwt de rechtmatigheidsverantwoording met behulp van Verbijzonderde Interne Controles. Hiermee wordt jaarlijks gecontroleerd hoe effectief interne controlemethodes (procedures, regels en processen) hebben gewerkt om rechtmatigheidsfouten te voorkomen en/of te identificeren.

De rechtmatigheidsverantwoording bestaat uit de volgende drie fases:

Planningsfase (VIC plan)

Interim fase (VIC procesbeschrijving en lijncontrole)

Finale fase (VIC gegevensgerichte werkzaamheden)

Rol Concernaudit Concernaudit heeft in 2023 hand in hand gewerkt met de organisatie om de rechtmatigheidsverantwoording continu te verbeteren. We hebben onder andere spreekuren verzorgd voor het delen van vakkennis en kwaliteitsborging. Bovendien hebben we standaard templates voor elke fase ontwikkeld om middels standaardisatie de procesefficiëntie te verbeteren. Bij de ontwikkeling van de templates hebben we nauw samengewerkt met de externe accountant om een efficiënte jaarrekeningcontrole te faciliteren.

Uitgevoerde werkzaamheden en bevindingen Na iedere fase heeft Concernaudit een kwaliteitsbeoordeling uitgevoerd op de door de organisatieonderdelen aangeleverde werkzaamheden. Op gebied van de rechtmatigheidsverantwoording is in 2023 grote vooruitgang geboekt. Dit was een gezamenlijke inspanning van alle organisatieonderdelen en het kernteam RMV. Werk en Inkomen en Vergunningen, Toezicht en Handhaving vormen hierin een voorbeeldfunctie voor andere organisatieonderdelen. Concernaudit is van mening dat de uitgevoerde VIC werkzaamheden een geschikte basis vormen voor de controle van de externe accountant. Wel hebben wij een aantal gemeentebrede verbeteracties aangetroffen; • Bevindingen en conclusies zijn onvoldoende onderbouwd; • Met Concernaudit gemaakte afspraken over controlewerkzaamheden zijn niet consequent nageleefd; • De invulling van de VIC functie binnen Ruimte was tot Q2 2024 kwetsbaar, omdat deze volledig berustte op externe medewerkers.

We hebben de bevindingen en benodigde verbeteracties gedeeld met het management van de relevante organisatieonderdelen en geagendeerd in de Stuurgroep Rechtmatigheidsverantwoording.

13

Rechtmatigheidsverantwoording VIC’s

Wettelijk verplichte jaarlijkse audit

Concernaudit voert zelf VIC werkzaamheden uit op twee gemeentebrede processen met grote financiële impact. De externe accountant maakt hier gebruik van tijdens de jaarrekeningcontrole.

Inkopen en aanbesteden Organisatieonderdeel: Overstijgend

Financiële omvang 2023: EUR 851 miljoen

Concernaudit heeft de VIC werkzaamheden op inkopen en aanbesteden over 2023 afgerond. In 2023 zijn de geconstateerde onrechtmatigheden voor het niet naleven van Europese Aanbestedingsregels (€ 4,8 mln.) met meer dan 50% afgenomen ten opzichte van 2022 (€ 11,2 mln.). Een oorzaak hiervoor is dat de aandacht voor en naleving van de EU aanbestedingswetgeving gemeentebreed is toegenomen. Ondanks deze significante verbetering is het niet gelukt de doelstelling voor de naleving van aanbestedingsregels in de programmabegroting 2023 (maximale onrechtmatigheid € 3,0 mln.) te behalen. De meeste onrechtmatigheden zijn geconstateerd bij de organisatieonderdelen Ruimte (66%) en Stadsbedrijven (23%). De onrechtmatigheden zijn met name ontstaan door:

• •

het onterecht verstrekken van opdrachten na afloop van de contractperiode het onterecht verstrekken van opdrachten boven de contractwaarde

en betreffen zowel inkoop en aanbestedingen als inhuur van personeel. De bevindingen en benodigde verbeteracties zijn afgestemd met: • Het management van Ruimte en Stadsbedrijven; • Inkoop (verantwoordelijk voor centraal inkoopbeleid); • Mens & Organisatie (verantwoordelijk voor inhuur personeel).

Subsidieverstrekking Organisatieonderdeel: Overstijgend

Financiële omvang 2023: EUR 278 miljoen

Concernaudit heeft het VIC plan geactualiseerd voor het proces subsidieverstrekking en voor 2023 getoetst op conformiteit aan verordeningen, beleidsdocumenten en werkinstructies.

Wij hebben geen financiële onrechtmatigheden geconstateerd. Bij een aantal subsidies zijn de beschikkingen voor de subsidieverleningen en vaststellingen te laat afgegeven door het subsidiebureau van de gemeente. De beslistermijn uit de Algemene Subsidie Verordening (ASV) is daarbij niet gehaald. Het subsidiebureau heeft hier niet proactief over gecommuniceerd aan de subsidieaanvragers. Dit betreffen formele onrechtmatigheden. Het risico bestaat dat de subsidieontvanger de subsidie ambtshalve kan laten verlenen of vaststellen. De ontvanger heeft dan recht op het volledige subsidiebedrag, ook indien niet aan de aanvraagvoorwaarden wordt voldaan.

Daarnaast zijn de omschrijvingen van subsidieactiviteiten in de beschikkingen onvolledig en niet in lijn met het “Uitvoeringskader subsidieverstrekkingen”. Hierdoor is het moeilijk om vast te stellen of de subsidie wordt besteed aan de gewenste activiteiten. Het management van het subsidiebureau herkent de bevindingen en gaat hiermee aan de slag.

14

Fraude (1/2)

Frauderisicoanalyse 2023 Organisatieonderdeel: Gemeentebreed

Het onderwerp fraude heeft de afgelopen jaren door aanscherping van de beroepsnormen een steeds prominentere plek op de agenda van de externe accountant gekregen. Gemeenten worden verwacht te voldoen aan een fraudepakket bestaande uit drie onderdelen; Het uitvoeren van een periodieke frauderisicoanalyse; Het verzorgen van workshops om bewustwording rondom fraude in kwetsbare processen te verhogen; Het toetsen van beheersmaatregelen in fraudegevoelige processen. Sinds 2023 is het uitvoeren van het fraudepakket bij Concernaudit belegd.

Concernaudit heeft in 2023 in samenwerking met de organisatie een gemeentebrede frauderisicoanalyse uitgevoerd met als doel het fraudebeleid in beeld te brengen en de belangrijkste frauderisico’s van de gemeente Utrecht te identificeren. Deze frauderisicoanalyse bouwt voort op de analyse uit 2019.

De belangrijkste frauderisico’s hebben betrekking op het beschikken over vastgoed, handhaving, informatie en kritische bedrijfsapplicaties, inkoop en aanbesteding, en onjuiste gegevensvastlegging. Daarnaast kwamen twee bevindingen omtrent governance naar voren; • In het fraudebeleid “Onderzoeksprotocol integriteitsschendingen en misstanden” ontbreken eisen voor het opstellen van een oorzaakanalyse en het treffen van verbeteracties door management. • We stellen vragen bij de effectiviteit van het huidige centrale frauderegistratiepunt van de gemeente vanwege de, voor de omvang van de gemeente Utrecht, relatief weinig geregistreerde fraudemeldingen. De Coördinator Integriteit is eigenaar van beide bevindingen en verantwoordelijk voor het implementeren van verbeteracties in 2024. Een ander aandachtspunt is dat loggegevens van kritische bedrijfsapplicaties niet systematisch gebruikt worden om eventueel frauduleuze handelingen tijdig te stoppen. Waar van toepassing neemt Concernaudit dit onderwerp mee in de scoping van toekomstige audits.

15

Fraude (2/2) Fraudeworkshop Zorgfraude Organisatieonderdeel: Gemeentebreed Met de invoering van de Wet maatschappelijke ondersteuning (WMO) in 2015 ligt de verantwoordelijkheid voor het ondersteunen van mensen die niet op eigen kracht zelfredzaam zijn bij gemeenten. Dit kan bijvoorbeeld via een persoonsgebonden budget of zorg in natura. Landelijk dringt zich het beeld op dat veel fraude gepleegd wordt met deze zorggelden. Wij hebben daarom twee interne fraudeworkshops rondom het thema ‘zorgfraude’ georganiseerd in 2023. Collega’s vanuit de betrokken organisatieonderdelen uit het sociale en fysieke domein hebben hieraan deelgenomen. Het doel van de workshops was het vergroten van het risicobewustzijn binnen de organisatie en het leren herkennen van fraudesignalen. Onder het motto “think like a fraudster to catch a fraudster” gingen de deelnemers op zoek naar (nieuwe) methoden om fraude te plegen met zorggeld. Vervolgens ontwierpen zij beheersmaatregelen om deze fraude tegen te gaan. Een mooie spin-off is dat de uitkomsten van de workshop meegenomen worden in het ontwerp van een nieuw uitvoeringsplan "Toezicht" bij het organisatieonderdeel Maatschappelijke Ontwikkeling. Met deze workshop geven wij opvolging aan een aanbeveling uit de laatste managementletter van de externe accountant.

Fraudepreventie - Eerste Inschrijving Basisregistratie Personen Organisatieonderdeel: Publiekszaken Personen die langer dan vier maanden in Nederland willen verblijven, zijn wettelijk verplicht zich te registreren in de BRP van de gemeente waar zij gaan wonen. Hiermee krijgen zij een Burgerservicenummer en toegang tot zorgverzekeringen, uitkeringen en bankrekeningen. Dit is een kwetsbaar proces met risico op identiteitsfraude en onrechtmatige toegang tot voorzieningen. Wij hebben een audit uitgevoerd naar de effectiviteit van de interne controlemaatregelen. Medewerkers beschikken over adequate vakkennis en werken constructief samen voor continue procesverbetering. Dit heeft recent de werkdruk en doorlooptijd van eerste inschrijvingen verlaagd. Echter, de werkinstructies zijn gedateerd (2014) en niet geschikt voor een robuuste uitvoering van het proces. De dagelijkse uitvoering van het proces komt dan ook niet overeen met de werkinstructies. De belangrijkste beheersmaatregelen, functiescheiding en het vier-ogen-principe, worden daarnaast niet systeemtechnisch afgedwongen. Hierdoor kan theoretisch één medewerker het gehele proces doorlopen, wat de kans op fraude verhoogt. Ook is het periodiek analyseren van loggegevens niet in standaard werkprocessen ingebed om ongewenste patronen en knelpunten tijdig te identificeren.

Privacywetgeving beschouwt eerste inschrijvingen als hoog risico proces, waarvoor het opstellen van een Data Protection Impact Assessment (DPIA) verplicht is. Dit document was tijdens de audit nog niet aanwezig. Het management van Publiekszaken herkent de verbeterpunten en pakt deze op in Q2 2024.

16

Innovatie en inzet van data-analyse Binnen Concernaudit verkennen we mogelijkheden om data-analyse en nieuwe technologieën toe te passen. Dit doen we om de dienstverlening van Concernaudit continu te verbeteren, maar ook om de organisatie met procesverbeteringen te ondersteunen.

Data-analyse als audit techniek

Automatisering werkzaamheden

Ondersteuning en advies

Participatie en kennisdeling

Wij passen, waar mogelijk, data-analyse toe in onze auditaanpak.

Concernaudit is continu op zoek naar automatiseringsmogelijkheden voor handmatige audit-werkzaamheden. Hierdoor maken we capaciteit vrij voor dienstverlening met een hoge toegevoegde waarde voor de organisatie.

Concernaudit ondersteunt organisatieonderdelen in het verkrijgen van inzicht in en naleving van hun processen.

De stormachtige ontwikkelingen op het gebied van Artifical Intelligence (AI) bieden kansen voor de gemeente, maar stellen de organisatie ook voor uitdagingen op het gebied van ethiek en gegevensbescherming.

Hiermee vinden analyses en controles geautomatiseerd plaats op grote datasets. Afwijkingen in processen worden eerder zichtbaar, waardoor wij onze werkzaamheden gerichter en efficiënter kunnen uitvoeren. Bovendien verhoogt de inzet van dataanalyse de betrouwbaarheid van onze conclusies. Het afgelopen jaar is data-analyse onder meer ingezet bij de rechtmatigheidsverantwoording en bij de audits ‘Eerste Inschrijving in de BRP’ en ‘Talon’.

Een bijzonder arbeidsintensieve activiteit binnen Concernaudit is het kwartaallijks uitvoeren van de VIC 'Inkopen en Aanbesteden’. Het handmatig verzamelen van inkoopdocumenten is een voorbeeld hiervan. Dit proces hebben wij in Q1 2024 in een pilot volledig geautomatiseerd. Hierdoor besparen wij ongeveer 10 manuren op jaarbasis.

Een analysetechniek die we hiervoor toepassen is process mining. De resultaten hiervan worden in dashboards gevisualiseerd. Patronen, trends en knelpunten komen zo eenvoudiger en eerder in beeld. Hierdoor kan management tijdig verbeteracties in gang zetten en bijsturen.

Om het onderwerp meer uit te lichten in de gemeente, vindt een maandelijkse AItafel plaats. Medewerkers kunnen hier hun vragen rondom AI stellen.

Omdat wij de ervaring en expertise van onze data-analisten graag delen, neemt de Senior Data Analist van Concernaudit als specialist hieraan deel.

Op pagina’s 18-21 zijn de concrete samenwerkingsinitiatieven uit 2023/24 uitgewerkt.

17

Samenwerkingsinitiatieven: JZ en M&O Juridische Zaken

Mens & Organisatie

Dashboard Management Rapportages ‘Bezwaar en Beroep’

Voorspellende Model Vrijwillige Uitstroom

Naar aanleiding van het dossier Binnenstad en het daaropvolgende Berenschot rapport uit maart 2023 heeft Concernaudit op verzoek van JZ een dashboard met stuurinformatie ingericht.

De krapte op de arbeidsmarkt stelt de gemeente Utrecht voor uitdagingen. Openstaande vacatures zijn hierdoor lastiger in te vullen en voor werknemers is het aantrekkelijk om kansen buiten de gemeente te verkennen. Om beter op potentiële uitstroom te kunnen anticiperen, wil M&O datagedreven vooruitkijken.

Hiermee wordt de naleving van het proces ‘Bezwaar en Beroep’ inzichtelijk gemaakt en kunnen potentiële knelpunten tijdig worden geïdentificeerd. Het verzamelen van stuurinformatie voor de maandrapportages en het berekenen van prestatie indicatoren was voorheen handmatig, tijdrovend en foutgevoelig. Deze processen zijn nu zo veel mogelijk geautomatiseerd. Het dashboard is sinds december 2023 in gebruik bij JZ.

We ontwikkelen een voorspellend model om potentiële vrijwillige uitstroom van medewerkers inzichtelijk te maken. Dit model draagt bij aan een op feiten gebaseerd capaciteitsmanagement binnen de gemeente en faciliteert een doelgerichte en efficiënte inzet van managers en HR business partners. In het afgelopen jaar is het voorwerk voor dit project uitgevoerd. Omdat we met persoonsgegevens aan de slag gaan, is het van belang dat alle risico’s daarbij inzichtelijk zijn gemaakt en adequate beheersmaatregelen worden getroffen. Daarom hebben we een DPIA opgesteld en een Uthiek Assessment uitgevoerd. In het komend jaar ontwikkelen we het voorspellende model en maken we de uitkomsten daarvan inzichtelijk in een dashboard. Dit doen wij samen met de data afdeling van M&O.

18

Samenwerkingsinitiatieven: Financiën Financiën Dashboard Purchase 2 Pay (P2P)

Dashboard BTW bij doorbelasting van kosten

In het boekjaar 2023 heeft de gemeente Utrecht ongeveer 140 duizend crediteurenfacturen geboekt, voor een totaalbedrag van 1,1 miljard euro.

Sinds 2023 heeft de gemeente Utrecht een Horizontaal Toezichtconvenant met de Belastingdienst. Hiervoor is de gemeente verplicht om periodiek de kwaliteit van haar fiscale processen en bijbehorende beheersmaatregelen te toetsen.

Op verzoek van Financiën stelt Concernaudit sinds 2017 periodiek dashboards beschikbaar waarin de naleving van een aantal beheersmaatregelen in het P2P proces inzichtelijk wordt gemaakt. De focus ligt hierbij op de autorisaties van betrokken personen, functiescheiding en handmatig ingrijpen in geautomatiseerde processtappen. Het afgelopen jaar hebben we het dashboard uitgebreid met aangescherpte controles voor energiefacturen (totale uitgaven in 2023: ruim 26 miljoen euro) en het overschrijden van bestellingslimieten.

Om te voldoen aan de eis van de Belastingdienst zijn we in 2023 – in samenwerking met het fiscale team van FIJ – een pilot in het BTW domein gestart. We hebben een dashboard ontwikkeld voor controles rondom het doorbelasten van kosten aan derden. Hiermee maken we de overstap van steekproefsgewijze controles naar geautomatiseerde controles, waarbij de hele populatie aan relevante BTW transacties wordt meegenomen. BTW vak expertise wordt op deze manier gerichter en efficiënter ingezet.

Financiën kan hierdoor tekortkomingen in het proces tijdig identificeren en bijsturen.

19

Samenwerkingsinitiatieven: Publiekszaken Publiekszaken PBZ: Dashboard Raadplegingen BRP en advisering

PBZ: Dashboards Eerste inschrijving BRP

PBZ: Dashboard Reisdocumenten

De Basisregistratie Personen (BRP) bevat privacygevoelige persoonsgegevens van inwoners van Nederland en van personen die Nederland hebben verlaten. Jaarlijks vinden er binnen de gemeente enkele miljoenen raadplegingen in de BRP plaats. Het eigenaarschap voor toegang tot de BRP ligt bij PBZ, maar het systeem wordt ook geraadpleegd door andere organisatieonderdelen en woningcorporaties.

Personen die langer dan vier maanden in Nederland willen verblijven, zijn wettelijk verplicht zich te registreren in de BRP van de gemeente waar zij gaan wonen. Hiermee krijgen zij een Burgerservicenummer en toegang tot belangrijke voorzieningen in Nederland zoals een zorgverzekering of bankrekening.

Jaarlijks verstrekt PBZ ruim 35.000 reis-documenten.

Het risico bestaat dat medewerkers onbevoegd persoonsgegevens raadplegen voor persoonlijk/financieel gewin of identiteitsfraude. Sinds 2020 maakt Concernaudit een dashboard voor PBZ om raadplegingen in de BRP inzichtelijk te maken. In 2024 heeft Concernaudit het dashboard geactualiseerd en aanvullende controlemaatregelen gericht op opvallende patronen in de zoekopdrachten van gebruikers toegevoegd.