Agendabundel

Het risico bestaat dat medewerkers betrokken raken bij identiteitsfraude door valse inschrijvingen te faciliteren. In Q1 2024 hebben we tijdens de audit ‘Eerste inschrijving’ een dashboard ontwikkeld om de naleving van het standaard proces, ongewenste afwijkingen en opvallende patronen inzichtelijk te maken. Met behulp van de dashboards kunnen knelpunten in 'workload management' en frauduleuze handelingen op tijd worden gesignaleerd.

Het risico bestaat dat medewerkers betrokken raken bij identiteitsfraude door het uitgeven van valse reisdocumenten. Concernaudit maakt sinds 2018 een dashboard ‘Reisdocumenten’ om de naleving van het standaard proces en ongewenste afwijkingen en opvallende patronen inzichtelijk te maken en verbetert het dashboard jaarlijks. Het afgelopen jaar is het dashboard uitgebreid met aanvullende controlemaatregelen, zoals de wijze waarop de identiteit van de aanvrager wordt gecontroleerd. Denk hierbij aan het vaststellen van de identiteit door middel van het oude reisdocument of identificerende vragen. Hierdoor kunnen knelpunten in 'workload management' en frauduleuze handelingen op tijd gesignaleerd worden.

20

Samenwerkingsinitiatieven: PwC Uitgelicht: Vergroten van bewustzijn en verantwoord omgaan met nieuwe technologieën Verantwoord omgaan met nieuwe technologieën is een onderwerp dat binnen Concernaudit veel aandacht krijgt. Hiervoor werken we onder andere samen met PwC. PwC heeft met Concernaudit en een aantal andere partners een innovatieprogramma (RISE) opgezet waarin oplossingen worden gezocht voor complexe maatschappelijk vraagstukken, zoals Ethical AI. Op 26 april 2023 heeft een workshop bij de gemeente Utrecht plaatsgevonden om RISE te testen in een simulatie. Hierbij stond de inzet van Ethical AI bij grote evenementen centraal. Specialisten vanuit PwC en topambtenaren van Openbare Orde en Veiligheid, Vergunningen Toezicht en Handhaving, Team Uthiek, Concernaudit en Concerncontrol hebben hieraan deelgenomen. De workshop bood een veilige leeromgeving om te oefenen met het nemen van moeilijke beslissingen over Ethical AI. Door te reflecteren op de keuzes en samenwerking tijdens een simulatie, hebben we kansen en dilemma's ervaren die inherent zijn aan het gebruik van Ethical AI en hoe je hier effectief mee om kunt gaan. De kennis en ervaringen uit de workshop nemen we nemen mee om dit complexe onderwerp binnen de gemeente Utrecht verder vorm te geven.

21

Status onderhanden audit opdrachten uit jaarplan 2023-24 Onderstaande twee audits uit het jaarplan 2023-24 zijn per eind maart 2024 nog onderhanden. In het tweede kwartaal van 2024 ronden we deze audits af.

Per 31 maart 2024

Vooronderzoek

Opdrachtbeschrijving afgestemd

Veldwerk afgerond

Bevindingen afgestemd

Conceptrapport aangeboden

In afwachting van managementreactie

Voortgang implementatie standaard projectbeheersing

Serviceplein ICT

22

Management van de interne auditfunctie Onafhankelijkheid

Belangenverstrengeling

De Manager Concernaudit heeft vastgesteld dat de benodigde onafhankelijkheid van Concernaudit is gewaarborgd:

Potentiële belangenverstrengeling wordt periodiek getoetst door de Manager Concernaudit. Tussen 1 april 2023 en 31 maart 2024 heeft belangenverstrengeling zich niet voorgedaan.

• De Manager Concernaudit rapporteert aan een dusdanig hoog niveau in de organisatie, waardoor Concernaudit in staat is om haar verantwoordelijkheden te kunnen vervullen. • De Manager Concernaudit heeft een directe communicatielijn met de Gemeentesecretaris, de Wethouder en de Adviescommissie Control & Financiën.

Belangenverstrengeling vindt plaats op het moment dat een auditor, die een vertrouwenspositie bekleedt in haar functie, een ander professioneel of persoonlijk belang heeft. Tegengestelde belangen kunnen het onpartijdig uitoefenen van de auditfunctie bemoeilijken. Door belangenverstrengeling kan een ongepast beeld ontstaan welke het vertrouwen in de interne auditor en haar audit activiteiten kan schaden.

Middelen en budget • Concernaudit had voldoende middelen (capaciteit en budget) om het interne audit plan 2023-24 uit te voeren.

• Concernaudit heeft het interne audit plan 2023-24 binnen het vastgestelde budget afgerond.

Permanente educatie Auditors met certificaten en beroepslidmaatschappen die bijbehorende onderhoudseisen in het kader van ‘Permanente Educatie’ stellen, hebben de benodigde trainingen en/of cursussen gevolgd om hieraan te voldoen.

Kwaliteitsbewaking en verbeterprogramma In december 2022 hebben we een interne kwaliteitstoets op de Concernaudit functie doorgevoerd om te evalueren of we voldoen aan de standaarden en de gedragscode van onze beroepsorganisatie, het Instituut van Internal Auditors (IIA). Hierbij zijn een aantal verbeterpunten inzake de efficiëntie en effectiviteit van de Concernaudit functie geïdentificeerd. We hebben de nodige verbeteracties geprioriteerd en eigenaarschap bij verschillende teamleden belegd. Ook werken we voor dit onderwerp nauw samen met de interne audit afdelingen van gemeenten Amsterdam en Den Haag voor benchmarking en kennisdeling.

23

Bijlage: reeds gerapporteerd in halfjaarverslag Samenvatting van de afgeronde auditopdrachten

24

Audits (1/3) Bewaken budgetrealisatie en kwaliteit dienstverlening van samenwerkingspartijen

Digitale Transitie Klantgericht samenwerken in Ketens (KIK)

Organisatieonderdeel: Maatschappelijke Ontwikkeling – MO

Organisatieonderdeel: CIO-office

Het opzetten van een robuust financieel forecasting proces staat hoog op de agenda bij MO. Begin 2023 zijn dan ook de eerste stappen hiervoor gezet. De grootste tekortkoming is dat op dit moment rollen en verantwoordelijkheden tussen de accounthouders en businesscontroller niet duidelijk belegd zijn. Dit resulteert in proces inefficiënties en frustraties. Ook is toegang tot privacygevoelige personeelsinformatie te breed ingericht. Dit ligt niet in lijn met het AVG ‘need to know’ principe.

NB: deze audit betreft overloop uit het jaarplan 2022-23. Wij hebben een audit uitgevoerd naar het programma Klantgericht Samenwerken in Ketens (KIK). KIK betreft een doorontwikkeling van het programma ‘Zaakgericht werken’ met het doel om OO-overstijgende samenwerking in ketens te stroomlijnen en te optimaliseren.

Op dit moment worden kwartaalgesprekken ingezet als interne controle op prestatieleveringen. Echter, hierbij ontbreekt diepgang, structuur en adequate vastlegging in de accountdossiers. Het huidige proces is te afhankelijk van de invulling van de individuele accounthouder en niet gestandaardiseerd. Verder wordt het bewaken van prestatieleveringen bemoeilijkt door het niet opnemen van SMART prestatie indicatoren in de contracten met partners. Interne controles op betalingen van subsidies in scope van de audit zijn daarentegen wel adequaat.

Gezien de complexiteit en financiële impact van KIK, is gebrek aan een adequate sturing de belangrijkste tekortkoming. Het 20Beraad bleek hiervoor niet het geschikte orgaan. Het programmaplan is verouderd en bovendien niet door de directieraad vastgesteld. Ook heeft er geen periodieke voortgangsbewaking in de directieraad plaatsgevonden. In de regiegroep ontbreken duidelijk vastgelegde spelregels voor constructieve samenwerking en besluitvorming. Ook zijn niet alle voor het programma relevante besluiten in de regiegroep genomen, wat het bestaan van de regiegroep ondermijnt.

De Tussenvoorziening, een grote partner van de gemeente Utrecht, voert opdrachten voor verschillende organisatieonderdelen uit. Echter, een totaaloverzicht en een integrale accounthouder ontbreken. Omdat MO de grootste opdrachtgever is, zou de regierol hier het best belegd kunnen worden.

De kwaliteit van het programmadossier is ondermaats. Verder is managementaandacht nodig voor het inzichtelijk maken van afhankelijkheden met andere gemeentebrede IT programma’s en afstemming met de organisatieonderdelen over het op te leveren product.

Het management van MO onderschrijft de bevindingen en volgt deze op door middel van het DUS-traject ‘Accountmanagement MO’ dat in Q3 2023 start.

Het auditrapport is uitgebreid besproken in de directieraad en er zijn, al tijdens de audit, mitigerende maatregelen genomen door de Directeur Bedrijfsvoering. 25

Audits (2/3) IT Compliance en efficiënt gebruik Identity Access Management module

Status opvolgingen bevindingen General IT controls – SAP Financieel en Inkoop

Organisatieonderdeel: Domstad IT

Organisatieonderdeel: Financiën, Inkoop en Domstad IT

Identity Access Management (IAM) omvat het managen van veilige toegang tot gemeentelijke data en systemen. Om dit te automatiseren, heeft de gemeente Utrecht Omada (tool) aangeschaft. Aspecten van het bijbehorende implementatieproject verliepen echter niet naar wens en daarom is het project tijdelijk on hold gezet. In 2022 is een herstart gemaakt. Wij hebben in deze audit gefocust op lessons learned uit het implementatieproject en de herstart IAM.

In de afgelopen jaren hebben verschillende General IT Controls (GITC’s) audits voor het SAP-systeem plaatsgevonden. Deze zijn uitgevoerd door zowel Concernaudit als door de externe accountant Deloitte. We hebben een follow-up audit uitgevoerd om de status van de opvolging van de bevindingen in kaart te brengen.

Belangrijke thema’s voor verbetering bleken governance en voortgangsbewaking. Zo is het beleid onvolledig en bevat het tegenstrijdigheden inzake het aansluiten van applicaties op Omada. Ook is er geen robuust proces voor periodieke voortgangsbewaking opgezet. Dit is een ‘enabler’ voor effectieve monitoring en het behalen van doelstellingen. We hebben een aantal verbetermogelijkheden rondom het thema contractmanagement geïdentificeerd. Zo zijn samenwerkingen tussen DomstadIT en organisatieonderdelen niet geformaliseerd, waardoor een kans op discrepanties in verwachtingen kan ontstaan. Ook zijn afspraken met derden niet SMART geformuleerd in overeenkomsten, waardoor er onvoldoende grip is op (verwachte) contractuitgaven en prestaties.

Voor de opvolging heeft management de primaire focus gelegd op bevindingen met risicoclassificaties hoog en midden. Per juli 2023 is ongeveer driekwart van de bevindingen volledig of grotendeels opgevolgd. Het gros van de niet opgevolgde bevindingen hebben risicoclassificatie laag. Opvolging hiervan wordt niet door Concernaudit gemonitord. Ondanks dat het opvolgen van de bevindingen een meerjarig proces was, heeft het inmiddels voldoende managementaandacht en worden zichtbaar resultaten geboekt.

Het management onderschrijft de bevindingen en geeft aan deze op korte termijn te kunnen opvolgen.

26

Audits (3/3) Logische Toegangsbeveiliging SAP HR Organisatieonderdeel: Mens en Organisatie

NB: deze audit betreft overloop uit het jaarplan 2022-23. Wij hebben een audit uitgevoerd naar de logische toegangsbeveiliging voor MijnHR. Over het algemeen zien we een robuust proces voor logische toegangsbeveiliging. Echter, er zijn verbetermogelijkheden voor het verder aanscherpen van diverse interne controles. De belangrijkste bevinding betreft dat bestaande lijnmanager controles (bijv. verlofaanvragen, verzuim en decelaraties) worden afgezwakt. Er zijn geen vastgelegde spelregels voor het aanwijzen van vervangers in het systeem. Hierdoor is het mogelijk om deze aan te wijzen zonder tijds- of functierestricties. Daarnaast is er geen totaaloverzicht van de gedelegeerde taken en vinden er geen periodieke plausibiliteitscontroles plaats. Dit verhoogt het risico op het misbruiken van data en fraude.

Een tweede aandachtspunt betreft de regiefunctie van M&O. Diverse IT processen zijn uitbesteed. Zoals contractueel afgesproken, brengt de leverancier derdenverklaringen uit. Dit is tevens een algemeen aanvaarde good practice. Echter, deze verklaringen zijn niet allemaal ingezien door M&O. Tevens rapporteert de leverancier niet over alle onderwerpen welke contractueel zijn overeengekomen. Onvoldoende inzicht in uitbestede processen verhoogt het risico op ongeautoriseerde toegang tot MijnHR. Het management van M&O herkent de bevindingen en heeft concrete acties uitgezet die nog in 2023 opvolging krijgen.

27

Jaarplan Adviescommissie Controle en Financiën 2024 (september 2024) Datum en tijdstip 2024

Onderwerpen

Uitgangspunten

  

 

 Onderwerpen veeglijst

In beginsel 8 x 1,5 overleg, waar nodig in aanwezigheid van ambtelijke organisatie, rekenkamer en accountant. De cursief gedrukte onderwerpen zijn aanvullende onderwerpen (naast de reguliere cyclus). Onderwerpen voor de adviescommissie (kunnen) zijn: jaarstukken, voorjaarsnota, programmabegroting, financiële verordeningen en beleidsnota’s, art. 213a-onderzoeken, alle overige onderwerpen waarvan de adviescommissie van oordeel is dat deze een (sterke) financiële component bevatten. Het Jaarplan wordt elke vergadering indien nodig geactualiseerd. Opstarten aanbesteding Q4 2023 (loopt tot en met 31-3-2025, boekjaar 2024) --> plan van aanpak volgt. Let op einddatum contract boekjaar 2024. We vergaderen in 2024 van 09.00-10.30 (uitloop tot 10.45) in de burgemeesterskamer.

-

Rijker verantwoorden

-

Verbonden partijen --> input adviescommissie

-

Inkopen/subsidies

-

Investeringen: o

Bij de Voorjaarsnota 2024 de uniformiteit, toelichtingen en leesbaarheid van de jaarlijkse investeringen en de meerjarenplannen voor de raad te verbeteren, denk hierbij aan een begrijpelijk overzicht van investeringen, de uniformiteit van de meerjarenplannen en aan de aansluiting van de investeringen in de meerjarenplannen op de informatie in de P&C cyclus;2.

o

Bij de Voorjaarsnota 2025 (of zoveel eerder als lukt) de (centrale) sturing op de investeringsvolumes en kapitaallasten te verbeteren en hierbij ook aandacht te besteden aan het planningsoptimisme en realistisch begroten.

Onderwerpen



Evaluatie P&C cyclus (najaar 2025)

raadswissel

Do. 11 januari

Vergadering adviescommissie (90 minuten) 

Opening, verslag en ingekomen stukken (tijd: 10 minuten)



Vooruitblik volgende vergadering (tijd: 5 minuten)



Aanbevelingen P&C cyclus (incl. evaluatie PB) (tijd: 30-45 minuten)



Verlenging accountant boekjaar 2024 en aanbesteding 2025 (tijd: 10-15 minuten)

Do. 15 februari



Vooruitblik volgende vergadering (tijd: 5 minuten)



Afsluiting (5 minuten)

Vergadering adviescommissie (90 minuten)

Datum en tijdstip 2024

Do. 21 maart

Vr. 5 april 10.00-16.00

Onderwerpen 

Opening, verslag en ingekomen stukken (tijd: 10 minuten)



(leesbaarheid) MPR/investeringen (tijd: 45 minuten)



vervolg aanbevelingen P&C cyclus (tijd: 15 minuten)



1e begrotingswijziging (tijd: 10 minuten)



Financiële verordening (Tijd: 10-15 minuten)



Vooruitblik volgende vergadering (tijd: 5 minuten)



Afsluiting (5 minuten)

Vergadering adviescommissie (90 minuten) 

Opening, verslag en ingekomen stukken (tijd: 10 minuten)



Update raadstoets (tijd: 15 minuten)



Update S&V 30 minuten (brief met voorbeelden)



Doorpraten MPR/investeringen (15 minuten)



Voortgang accountantscontrole (15 minuten)



Vooruitblik volgende vergadering (tijd: 5 minuten)



Voortgang aanbesteding (tijd: 15 minuten)



Afsluiting (5 minuten)

Lentesessie 10.15-12.00 Sessie met VNG/BZK over inkomsten vanuit Rijk (Marianne van den Berg). 12.00-12.30 Napraten met elkaar 12.30-13.30 Lunch 13.30 – 14.30: Inzicht in reserves en wat is het onderscheid met voorzieningen voor onderhoud, vervanging specifieke investeringen en middelen derden. Hoe kan de raad meer grip krijgen op de reserves en deze wellicht inzetten bij dekkingsvoorstellen? 14.45 – 15.45 Actualiteiten:

Do. 18 april



verslaglegging duurzaamheid, stand van zaken (25 minuten)



rechtmatigheidsverantwoording (10 minuten)



BDO-ranking kengetallen (25 minuten)

Vergadering adviescommissie (90 minuten) 

Opening, verslag en ingekomen stukken (tijd: 10 minuten)



Jaarverslag Rekenkamer



Jaarplan concernaudit (10 minuten)



Invulling TB JS/VJN op 28 mei (15 minuten)



Verbeterplan financiën en aanpassing technische spelregels (cie 15 februari)

Do 30 mei



Evaluatie RRP



Voortgang accountantscontrole (15 minuten)



Vooruitblik volgende vergadering (tijd: 5 minuten)



Afsluiting (5 minuten)

Vergadering adviescommissie (90 minuten) 

Opening, verslag en ingekomen stukken (tijd: 10 minuten)



Jaarstukken (beschikbaar 16 mei)  (concept) Accountantsrapport van bevindingen, incl. accountantsverklaring over de Jaarstukken  Concept Reactie van het college op het accountantsrapport

Datum en tijdstip 2024

Do. 19 september

Onderwerpen 

Voorjaarsnota (beschikbaar 16 mei)



Berap incl. resultaatsbestemming en MPUV en MPR (let op nieuwe opzet)



(eventueel) Advies aan commissie VBF n.a.v. Voorjaarsnota/Berap/JS



Vooruitblik volgende vergadering (tijd: 5 minuten)



Afsluiting (5 minuten)

Vergadering adviescommissie (90 minuten) 

Opening, verslag en ingekomen stukken (tijd: 10 minuten)



Vooruitblik volgende vergadering (tijd: 5 minuten)



Aanbesteding (tijd: 30-45 minuten)



Vooruitblik volgende vergadering (tijd: 5 minuten)



Jaarverslag Concernaudit (tijd: 5 minuten)



Afsluiting (5 minuten)

Zomersessie adviescie



Nota Verbonden partijen

C&F 11 oktober 10.00-



Aanpassen Financiële verordening (denk aan budgetrecht) --> groepje 2 keer met elkaar vooraf (ligt stil bij stadskantoor). Hierbij de raadsbrief

16.00

Do. 17 oktober

meenemen! 

Update verbeterplan financiën



Nota WAAVA

Vergadering adviescommissie (90 minuten) 

Opening, verslag en ingekomen stukken (tijd: 10 minuten)



Programmabegroting + 2e Berap (tijd: 30 minuten)



2e Technische Begrotingswijziging (onderdeel berap)



Advies aan commissie VBF over Programmabegroting (na wissel, tijd 15 minuten).



Normenkader (denk aan percentage fouten)



Voortgang S&V (opvolging van 21 maart)



PvA Aanpak accountantscontrole (‘jaarplan’) en opdrachtbevestiging jaarrekening (tijd: 15 minuten).

Do. 5 december



Vooruitblik volgende vergadering (tijd: 5 minuten)



Afsluiting (tijd: 5 minuten)

Vergadering adviescommissie (90 minuten) 

Opening, verslag en ingekomen stukken (tijd: 10 minuten)



Concept Boardletter van de accountant en reactie college



Voortgang controle



Normenkader



3e Technische Begrotingswijziging



Stand van zaken rondom de aanbesteding



Vooruitblik volgende vergadering (tijd: 5 minuten)



Afsluiting (tijd: 5 minuten)