Agendabundel

Bundel van de Adviescommissie Controle en Financiën van 3 september 2021

Agenda bijlagen Agenda Zomersessie C&F 3 september 2021.docx Voorstel programma zomersessie commissie FC - versie 27 juli compleet.pptx 1 2

Opening en agenda Jaarverslag concernaudit, jaarverslag en jaarplan Jaarverslag 2020 - 2021 Concernaudit v04-06-2021.pdf Jaarplan Concernaudit 2021-2022 (definitief).pdf

3 4 5

Risicomanagement Weerstandsvermogen en risicobeheersing en weerbaarheid en wenbaarheid Jaarplan 2021-2022 Rekenkamer 20210623 Jaarplan 2021-2022 Rekenkamer Utrecht.pdf 20210903 Presentatie Jaarplan 2021-2022 tbv Cie CenF.pptx 20210903 Presentatie Jaarplan 2021-2022 tbv Cie CenF.pdf

6

Update financiële positie door de accountant Financiële positie Utrecht 2020-2021.pptx

7 8

IT Rapportage Digitale audit Deloitte Gemeente Utrecht - inzet van tools.pptx

9 9.1 9.2 10

Vooruitblik Evaluatie adviescie: tips & tops Jaarplan 2022 vaststellen (NTB) Afsluiting

Agenda bijlagen 1 Agenda Zomersessie C&F 3 september 2021.docx

Zomersessie adviescie C&F Vrijdag 3 september van 10.00-16.30 - Start 10.00 Locatie stadhuis 

  

 

Met ambtelijke organisatie 10.05-12.15: o Jaarverslag concernaudit o Risicomanagement o Voorstel kwaliteitsverbeteringen paragraaf weerstandsvermogen en risicobeheersing en weerbaarheid en wenbaarheid Lunch 12.15/12.30-13.00 Rekenkamer 13.00-13.30 o Jaarplan 2021-2022 Deloitte 13.30-15.30 o Update financiële positie door de accountant (jaarlijks) o IT ML (geheim) o Digitale audit Deloitte Vooruitblik 15.30-16.00 o Evaluatie adviescie: tips & tops o Jaarplan 2022 vaststellen (NTB) Afsluiting en borrel rond 16.00

1 Voorstel programma zomersessie commissie FC - versie 27 juli compleet.pptx

Programma 3 september • Inzicht samenhang onderwerpen • Nadere toelichting van ontwikkelingen en plannen (inclusief vragen en discussie) 1. Jaarverslag en jaarplan concernaudit (Antoine van Vlodorp) 2. Brede verankering risicomanagement (Annemieke Jutte) 3. Verbeteren informatievoorziening financiële positie (Edwin Westphal) • Vragen en discussie

Annemieke, even voorstellen..

Inzicht samenhang onderwerpen

Concernaudit

Zicht op financiële positie

RisicoManagement

1a. Jaarverslag 2020/2021 Concernaudit (1) • Belangrijkste aandachtspunten vervolgonderzoek beheersing grote projecten: projectramingen, tegenspraak en projectadministratie. • Logische toegangsbeveiliging (LTB) SAP: voortgang in de verbeterpunten, maar aandacht blijft nodig voor resterende punten. Consequenties voor jaarrekeningcontrole Deloitte. • Risicobeheersing samenwerkingsverbanden: geen centraal inzicht en gebrekkige kaderstelling. • Implementatie van de Omgevingswet: zorgen over organisatorische en personele effecten, nog geen werkende aansluiting/koppeling met de DSO-LV, software en contracten leveranciers voldoen niet volledig aan BIO & AVG en geen eenduidige aanpak voor het wijzigen van het omgevingsplan. • Nulmeting (privacy audit) naleving Wet Politiegegevens (Wpg): Wpg maatregelen nog in ontwikkeling.

1a. Jaarverslag 2020/2021 Concernaudit (2) • Controle EU-aanbestedingen: omvang van de geconstateerde onrechtmatigheden in 2020 fors gedaald. Onrechtmatigheden hebben vooral betrekking op inhuur: het blijven inhuren van personeel nadat de contractduur is verstreken en/of het verlengen van Marktpleincontracten waar dit niet meer is toegestaan. Daarnaast aantal verbeteringen geïdentificeerd t.a.v. het aanbestedingsproces. • Process mining subsidies: de naleving van de termijnen in de verleningsfase en vaststellingsfase van subsidies kan beter. • Process mining inkoopfacturen: bij een klein aantal bestellingen ontbreekt de goedkeuring van de budgethouder. Bij een klein aantal inkoopfacturen ontbreekt de (volledige) goedkeuring van de juiste personen en is de noodzakelijke functiescheiding (minimaal twee personen) niet toegepast.

1b. Jaarplan 2021/2022 Concernaudit (1) • Rechtmatigheidsverantwoording: implementatie 1 jaar uitgesteld (boekjaar 2022). Boekjaar 2021 wordt jaar om kwaliteit interne beheersing te sterken en waar mogelijk intern proef te draaien met testen en verantwoording. • Coronacrisis gerelateerde audits • Uitvoering Tozo en TONK regelingen • Subsidieverstrekking • Werken 3.0 • Digitale audits ingedeeld naar de Visie Digitale Stad • Integrated & operational audits

1b. Jaarplan 2021/2022 Concernaudit (2) • 213A onderzoeken en bewonersaudit In artikel 213a van de Gemeentewet is opgenomen dat het college periodiek onderzoek moet laten doen naar de doelmatigheid en doeltreffendheid van het gevoerde beleid. Concernaudit voert deze zogenoemde 213a-onderzoeken uit ten behoeve van het college en rapporteert hierover aan het college en de gemeenteraad. • Opgave ‘Veerkracht en gelijke kansen’ • Opgave ‘Woningmarkt in balans’ – afstemming met Rekenkamer Utrecht Bewonersaudit is afhankelijk van timing tussentijdse evaluatie WMO/Jeugdzorg

• Projectaudits – toepassing regeling risicovolle projecten en handboek projectbeheersing en versterking projectbeheersing • Innovatie en adviesopdrachten • Ad hoc audits en onderzoeken

2. Strategisch risicomanagement Nadere toelichting doel en plannen • Toelichting risicomanagement en plannen • Doelstelling: dialoog en bewustwording • Wat merkt de raad er van? •

https://www.youtube.com/watch?v=JZk0Nv1TLDo

Wat is risicomanagement? 1. Doelstelling 2. Risico’s inventariseren 3. Belangrijkste risico’s 4. Maatregelen treffen 5. Monitoren 6. Actualiseren

Risicomanagement is expliciet en bewust met elkaar het gesprek voeren over ambities en succesfactoren, en mogelijke belemmeringen. En daar gericht acties op treffen

Wat levert het op? • Een lerende en wendbare organisatie • Realisatie van ambities en samenhang • Versterking van de raad in haar kaderstellende en controlerende rol • Goede facilitering bij sturen op hoofdlijnen

Wanneer zet je het in? Coalitieakkoord en begrotingsprogramma’s P&C-cyclus

Wat nodig? Overkoepelende visie en beleid

Beleidsontwikkeling, (strategische) opgaven, samenwerkingen Projecten

Thema’s zoals financiën, informatiebeveiliging etc

Uniformiteit in aanpak formats training

Samenhang met Utrechts Sturingsmodel

Wat merkt de raad er van? • Vanaf begroting 2023: overzicht belangrijkste risico’s en aanpak per begrotingsprogramma • Vanaf jaarverslag 2021: Verbeterde informatievoorziening in paragraaf weerstandsvermogen • Heldere omschrijving van de belangrijkste financiële risico’s • Inzicht in de maatregelen • Inzicht in beslag op benodigd weerstandscapaciteit • Verbeterd inzicht in strategische onzekerheden, dilemma’s en risico’s bij raadsvoorstellen • Informatie om met elkaar dialoog te voeren over strategische onzekerheden en dilemma’s • Mogelijkheid organiseren workshop “Ambities en risico’s nemen” voor (nieuwe) raadsleden

Brede verankering risicomanagement

1. Bewustwording in de organisatie dat regelmatig de dialoog voeren over risico’s bijdraagt aan het verwezenlijken van ambities en doelstellingen 2. Positieve en open cultuur ten aanzien van strategische onzekerheden en dilemma’s bij bestuur, management en organisatie 3. Zorgdragen voor gemeenschappelijkheid in aanpak risicomanagement

3. Verbeteren informatievoorziening over de financiële positie

Inhoud Voorstel • Voorstel en tijdpad • Probleemschets huidige situatie • Wat gaan we concreet anders doen? • Nieuwe opzet paragraaf weerstandsvermogen & risicobeheersing • Achtergrondinformatie Kengetallen

Voorstel en tijdpad Doel:

• De informatievoorziening over de financiële positie dusdanig verbeteren dat deze essentiële informatie het afwegingsproces ondersteunt en de raad helpt om verantwoorde keuzes te maken voor (middel)lange termijn, door: • Meer inhoudelijke onderbouwing van de financiële risico’s. • Samenvoeging paragraaf weerbaarheid en wendbaarheid met de paragraaf weerstandsvermogen & risicobeheersing. Hierbij wordt de analyse en duiding van de financiële kengetallen verbeterd, worden deze in samenhang bezien en toegelicht. Tijdpad:

• 1e vernieuwde opzet bij Jaarverslag 2021 • Verdere ontwikkeling vanaf Begroting 2023

Probleemschets huidige situatie • Paragraaf weerstandsvermogen • Veel detailinformatie, de nadruk ligt op de algemene toelichting van de mutaties • Geen duiding van het gemeentebrede risicoprofiel • Geen relatie met de gemeentelijke ambities/doelstellingen • Onduidelijkheid binnen de organisatie over de richtlijnen/kaders m.b.t. opnemen risico’s voor weerstandsvermogen • Paragraaf weerbaarheid & wendbaarheid • Informatie is niet toegankelijk, compact of eenvoudig • Financiële positie is moeilijk te doorgronden voor niet deskundigen • Geen duiding van kengetallen, voor de raad (of lezer) moeilijk te interpreteren

Wat gaan we concreet anders doen? • Een andere opzet en aanpak van de paragraaf: • Geen algemene toelichtingen • Geen risicokaarten • Geen mutatie berekening en toelichting • Geen projectrisico’s zonder financiële gevolgen • Wel een inhoudelijke onderbouwing van top 10 financiële risico’s • Opnemen en duiden van de overige kengetallen in samenhang (geen aparte paragraaf weerbaarheid & wendbaarheid) • Aanscherpen van de gemeentebrede spelregels rondom financiele risico’s • Tijdens de P&C-cyclus momenten dialoog voeren met de organisatie t.b.v. het duiden van de financiele risico’s en overige kengetallen; • Wijziging van de financiële verordening n.a.v. de bovenstaande aanpassingen

Paragraaf met nieuwe opzet • 1 Weerstandsvermogen en risicobeheersing • 1.1 Inleiding • 1.2 Ontwikkelingen en actualiteiten • 1.3 Weerstandsvermogen

• Ratio weerstandsvermogen • 1.3.1 Beschikbare weerstandscapaciteit • 1.3.2 Benodigde weerstandscapaciteit – Risicoprofiel • Top10 financiële risico’s • Totaalanalyse financieel risicoprofiel

• 1.4 Financiële Kengetallen • • • • • •

netto schuldquote netto schuldquote gecorr. voor verstr. leningen Solvabiliteitsratio grondexploitatie structurele exploitatieruimte Belastingcapaciteit

• 1.5. Overall analyse kengetallen

Samenvoeging met paragraaf weerbaarheid en wendbaarheid • In één oogopslag mogelijk om de stand en de ontwikkeling van de financiële positie van de gemeente te kunnen zien en beoordelen • Op basis van de analyse kunnen we het goede gesprek voeren met de raad. • De analyse geeft: • De mogelijkheid om creatief na te denken over de gewenste ontwikkelingsrichting van de financiële kengetallen • Inzicht in de (on)mogelijkheden voor kaderstellende keuzes die de raad kan stellen op basis van de kengetallen • meer investeren of minder? • meer of juist minder woningen bouwen? • sparen of reserves besteden? • ruim sociaal beleid of sober?

Toelichting analyse kengetallen Kwantitatieve analyse

Kwalitatieve analyse

De getallen Trend van de financiële positie Historische gegevens Bekende toekomstige ontwikkelingen Extrapolatie naar de toekomst

Duiden ontwikkeling van de financiële positie

Risico’s en kansen van de trend

Samenhang & trends • De financiële positie is altijd een momentopname waardoor een getal alleen niet zoveel zegt. • Het gaat om de verbanden tussen de getallen en de ontwikkeling van getallen over een aantal jaren: • Historische gegevens en trends • Toekomstige te verwachten ontwikkelingen

Presentatie informatie “Het weergeven van de informatie in makkelijk leesbare tabellen, grafieken en illustraties aangevuld met concrete toelichtende teksten vergroot de toegankelijkheid voor de gemeenteraad” Blz 7 van de notitie Meerjarig Financieel inzicht voor de raad

Voorbeeld presentatie en duiding kengetallen

Discussie en vragen • Welke aanvullende vragen hebben jullie? Is het voldoende duidelijk? • Openheid en dialoog over strategische onzekerheden en dilemma’s draagt bij aan verwezenlijken ambities en doelstellingen en bevordert een lerende organisatie. Welke rol kan de raad hierbij spelen? En hoe organiseren we dat? • In hoeverre vindt de raad de huidige en voorgestelde informatievoorziening toereikend en toegankelijk? Wat zijn de wensen van de raad hierover? o Strategische risico’s in begroting en jaarverslag o Risico’s en dilemma’s in raadsvoorstellen, RRP o Financiële positie

2 Jaarverslag concernaudit, jaarverslag en jaarplan 1 Jaarverslag 2020 - 2021 Concernaudit v04-06-2021.pdf

JAARVERSLAG CONCERNAUDIT APRIL 2020 – MAART 2021

04-06-2021 Antoine van Vlodorp

Inhoudsopgave 0. 1. 2. 3.

Samenvatting Uitdagingen concernaudit in 2020/2021 Digitale innovatie concernaudit in 2020/2021 Belangrijkste uitkomsten per audit, onderzoek, verbijzonderde interne controle en process mining

Bijlage realisatie jaarplan in detail (ter informatie) 1. Project Rechtmatigheidsverantwoording 2. Uitvoeren Verbijzonderde Interne Controles 3. Operational procesaudits 4. Digital audits 5. 213a & overige onderzoeken 6. Advisering en innovatie 7. Personele bezetting Concernaudit

Utrecht.nl 2

0. Samenvatting 1.

Project rechtmatigheidsverantwoording is goed verlopen, maar capaciteit bij organisatieonderdelen t.a.v. het verbijzonderde interne controleplan (VIC) en uitvoering van de VIC zijn een knelpunt. 2. Vervolgonderzoek beheersing grote projecten: vijf projecten in detail beoordeeld. Aandachtspunten geconstateerd in lijn met de bredere verbeteringen projectbeheersing. 3. Logische toegangsbeveiliging SAP: voortgang in de verbeterpunten. Aandacht blijft nodig voor resterende punten. 4. Risicobeheersing samenwerkingsverbanden: tussentijds beeld is dat centraal inzicht en kaderstelling voor toezicht verbetering behoeft. 5. Onderzoek Administratieve Organisatie/Interne Controle (AO/IC) van het proces verlenen parkeervergunningen bij VTH. Verbeterpunten geïdentificeerd. 6. Readiness scan naar de implementatie van de Omgevingswet – concept rapport. Tijdige implementatie is haalbaar, mits aandachtspunten tijdig worden geadresseerd. Grote afhankelijkheid van tijdige oplevering door centrale overheid van Digitaal Stelsel Omgevingswet. Start OW recent uitgesteld tot 1 juli 2022. 7. Nulmeting (privacy audit) naleving Wet Politiegegevens (Wpg) - concept rapport. De maatregelen gericht op de bescherming van politiegegevens zijn nog in ontwikkeling, maar er zijn stappen in de goede richting gezet om invulling te geven aan de wettelijke vereisten.

Desondanks moet de gemeente meer doen (qua activiteiten en qua snelheid) om de rechtmatige uitvoering van de Wet Politiegegevens (Wpg) te waarborgen. 8. Verbijzonderde Interne Controle EU-aanbestedingen: nog onrechtmatigheden bij inhuur en verbeteringen gewenst t.a.v. het aanbestedingsproces. 9. Process mining subsidies: de naleving van de termijnen in de verleningsfase en vaststellingsfase van subsidies kan beter. 10. Process mining inkoopfacturen: aanscherping van de beheersmaatregelen gewenst ten aanzien van de goedkeuring van bestellingen en het goedkeuren van facturen.

Utrecht.nl 3

1. Uitdagingen Concernaudit in 2020/2021 a) b) c) d) e) f)

Het jaarplan 2020/2021 was opgesteld voor de coronacrisis. De coronacrisis heeft zijn effect gehad op het uitvoeren van de audits die totaal digitaal op afstand moesten worden uitgevoerd. Jaarplan 2020/2021 was te ambitieus; te veel audits gepland. Benodigde inzet voor project rechtmatigheidsverantwoording was veel groter dan verwacht. Prioritering organisatieonderdelen inclusief uitrol nieuwe systemen had effect op geplande audits. Groot aantal personeelsmutaties en hoger ziekteverzuim mede gerelateerd aan de coronacrisis. Beschikbare auditcapaciteit daardoor lager dan verwacht. Onderbezetting qua IT audit.

Concernaudit moest daarom prioriteren. Een aantal minder kritische audits niet zijn uitgevoerd en zijn audits doorgeschoven naar het jaarplan 2021/2022. De prioritering heeft plaatsgevonden in overleg met de Concerndirectie en wethouder Linda Voortman. Het bijgestelde jaarplan 2020/2021 is compleet uitgevoerd. Concernaudit heeft op dit moment geen vacatures, maar nog wel een hoog ziekteverzuim (geen verband met de coronacrisis).

Utrecht.nl 4

2. Digitale innovaties Concernaudit in 2020/2021 Middels data-analyse software (Caseware IDEA) verzamelt, verwerkt, analyseert en controleert Concernaudit grote hoeveelheden data uit de systemen van de gemeente ter verbetering van de effectiviteit en efficiëntie van haar auditwerkzaamheden. Process Mining is een methode die Concernaudit gebruikt om het verloop van processen in kaart te brengen, te visualiseren, te analyseren en te controleren met behulp van speciale software (ProcessGold). Met behulp van deze software verkrijgen we middels data en logboeken in systemen een betrouwbaar inzicht krijgen in hoe een proces verloopt en kunnen we de oorzaken van ongewenste resultaten (afwijkingen en bottlenecks) achterhalen. Data-analyse en Process Mining passen we structureel toe bij audits en onderzoeken. Door deze toepassingen te verbreden in de organisatie is het mede financieren van de software geborgd. Vanuit organisatieonderdelen is er interesse voor de digitale vernieuwingen van Concernaudit. Robotgestuurde procesautomatisering, afgekort tot RPA, is een techniek die gebruikt wordt voor het automatiseren van processen, met behulp van zogenaamde 'software-robots’. Concernaudit gebruikt na een pilot, nu structureel RPA bij haar controle van de Europese aanbestedingen. Bij Werk & Inkomen loopt een RPA pilot.

Concernaudit zou graag zien dat de gemeente vanuit de opgave Digitale Stad investeert in een gemeentebreed RPA platform, waarop alle organisatieonderdelen kunnen aanhaken.

Utrecht.nl 5

3. Belangrijkste uitkomsten audits en onderzoeken Vervolgonderzoek beheersing grote projecten Toekomstgerichte, thematische analyse van de kaders en de toepassing hiervan ten aanzien van projectramingen, tegenspraak en projectadministratie. Conclusie: Veel zaken gaan goed, niet omdat de gemeente die goed heeft ingericht of gestructureerd, maar omdat medewerkers maximaal hun kennis en ervaring inzetten om de juiste dingen goed te doen. Aandachtspunten: a) Concretiseer de handleiding ten aanzien van de toe te passen ramingssytematiek(en) voor de verschillende typen projecten en de daarbij te hanteren onzekerheidsmarge, mede afhankelijk van de fase waarin het project zit. Geef meer concreet handvatten voor de opbrengsten, kosten en onzekerheidsmarges die hierin moeten worden opgenomen. b) Zet voortvarend in op de implementatie van integraal risicomanagement, waarin projectrisico’s aan de orde komen. c) Organiseer de leercurve op projectbeheersing en daarmee minder afhankelijkheid van individuele en externe deskundigheid. d) Denk na over doorontwikkeling van de nu informele aansturing van de projectomgeving. e) Verbreedt en verdiep het instrumentarium voor tegenspraak. f) Schenk in de opbouw van een effectieve en acceptabele uniforme standaard projectadministratie aandacht aan de grondoorzaken voor het ontbreken van uniforme financiële projectsturing.

De volgende vijf projecten zijn in detail beoordeeld: Implementatie van ZorgNed, Kanaalstraat- Damstraat, Jaarbeursgarage, Noordelijke Randweg Utrecht (NRU) en Berlijnplein. Na afronding van het vervolgonderzoek zijn belangrijke stappen gezet door de gemeente om de projectbeheersing gemeentebreed te versterken: • Handleiding projectbeheersing voor alle projecten. • Aanvullend de Regeling Risicovolle Projecten voor grote, risicovolle projecten.

Utrecht.nl 6

3. Belangrijkste uitkomsten audits en onderzoeken Audit logische toegangsbeveiliging SAP (vervolg 2019) Conclusie: ‘Gezien waar het vandaan komt, beweegt logische toegangsbeveiliging SAP in de goede richting’. Aan veel aanbevelingen is (al dan niet gedeeltelijk) opvolging gegeven. Desondanks is er sprake van een verhoogd risico dat fouten, nalatigheid of opzettelijk misbruik niet of niet tijdig worden voorkomen of ontdekt. Openstaande aanbevelingen hebben met name te maken met het inperken van de toekenning van (kritische) beheerrechten, de monitoring op het gebruik er van en de controle op de juistheid van de toegekende rechten (zowel gebruikers als beheerders). Teneinde dit te verbeteren, gaat het om een mix van een zeer grote hoeveelheid handmatige en geautomatiseerde beheersingsmaatregelen in en rondom een complex ERP systeem SAP. Gemeente Utrecht zet hiervoor in op de implementatie van de SAP GRC Access tooling, een tool die is ontwikkeld om organisaties te helpen bij het automatiseren van het beheer van gebruikers- en beheerderstoegang en het bewaken van functiescheiding op basis van gebruikersrollen. Audit risicobeheersing samenwerkingsverbanden Rapport fase 1 ‘definiëren en inventariseren van samenwerkingsverbanden’.

Belangrijkste bevindingen: • Volledig inzicht in aantal en financiële omvang van samenwerkingsverbanden is een opgave bij afwezigheid van een eenduidig begrippenkader en richtlijnen voor registratie. • Concernaudit heeft in totaal 101 samenwerkingsverbanden geïnventariseerd met een totale financiële omvang van bijna € 70 mln. Waarschijnlijk zijn er meer samenwerkingsverbanden. • Meerdere modellen voor risicobeheersing zijn in opzet aanwezig. De toepassing van systematisch risicobeheersing bij samenwerkingsverbanden is beperkt en wordt niet afgedwongen door een gemeentelijk monitoringsysteem. Audit van fase 2 ‘analyse van risicomodellen en beheersing van 15 verschillende samenwerkingsverbanden’ is opgenomen in jaarplan 2021/2022.

Utrecht.nl 7

3. Belangrijkste uitkomsten audits en onderzoeken Onderzoek Administratieve Organisatie/Interne Controle (AO/IC) van het proces verlenen parkeervergunningen bij VTH Belangrijkste uitkomsten: • De huidige en gewenste opzet en bestaan van de AO/IC van het proces verlenen parkeervergunningen is onderzocht. In totaal zijn er 18 risico’s en 48 beheersmaatregelen in kaart gebracht. In opzet en bestaan worden de risico’s voldoende beheerst. • De belangrijkste aanbevelingen betreffen de beheersmaatregelen inzake de hoge risico’s van: het niet factureren van verleende parkeervergunningen/niet ontvangen van betalingen; het hoog geautomatiseerd proces.

Utrecht.nl 8

3. Belangrijkste uitkomsten audits en onderzoeken Readiness scan naar de implementatie van de Omgevingswet – concept rapport In december 2019 heeft de gemeenteraad het plan van aanpak invoering Omgevingswet vastgesteld waarin de doelen van de Omgevingswet en de Utrechtse ambities voor de OW zijn uitgewerkt: 1. Integrale benadering fysieke leefomgeving; 2. Vergroten bestuurlijke afwegingsruimte; 3. Inzicht in wat wel en niet kan; en 4. Besluitvorming versnellen en verbeteren. De invoering van de OW is ondergebracht in een apart programma.

In de voorbereiding op de OW is de gemeente sterk afhankelijk van de landelijke ontwikkelingen, vooral ten aanzien van Digitaal Stelsel Omgevingswet (DSO). Vanwege vertraging in o.a. de oplevering van het DSO zijn er onvoldoende waarborgen dat alle partners op tijd kunnen voldoen aan de minimale eisen voor een verantwoorde invoering van de OW. Daarom heeft de regering opnieuw besloten de inwerkingtreding van de OW uit te stellen, nu tot 1 juli 2022. In periode maart t/m mei 2021 is een readiness scan naar de implementatie van de Omgevingswet (OW) uitgevoerd met als doel te beoordelen in hoeverre de gemeente per 1 juli 2022 kan werken conform de OW: wat betekent dat we voldoen aan de (juridische) eisen en het huidige niveau van dienstverlening in stand kunnen houden. Wij komen tot de conclusie dat de voortgang van de voorbereidingen in lijn is met de VNG richtlijnen. Voor het merendeel van de mijlpalen ligt de gemeente op koers om per 1-7-2022 te voldoen aan de minimale eisen van de OW. De grootste risico’s op vertraging van de implementatie OW hebben betrekking op: • De OW vereist een andere manier van werken: integraal, ketengericht, faciliterend en digitaal. De organisatorische effecten van de invoering OW zijn nog niet volledig in beeld, maar er zijn wel verkenningen over de personele consequenties en de effecten van de OW op organisatiestructuur en functies.

We hebben zorgen over de tijdige noodzakelijke opleiding en ondersteuning voor betrokken medewerkers in dit veranderingstraject. • De gemeente heeft specifieke OW software verworven. De gemeente moet zo snel mogelijk zorgdragen voor een werkende aansluiting/koppeling met de DSO-LV om zekerheid te verkrijgen dat het uitwisselen en publiceren vanuit de eigen omgevingsplansoftware werkt, zodat urgente planwijzigingen kunnen worden doorgevoerd. De OW software en contracten met de leveranciers voldoet niet volledig aan eisen van de Baseline Informatie beveiliging Overheid (BIO) en Algemene verordening gegevensbescherming (AVG), waardoor we gegevensbeschermingsrisico’s lopen. • Er is nog geen eenduidige aanpak voor het wijzigen van het omgevingsplan, inclusief alle procedurele eisen tijdig wordt doorlopen.

Utrecht.nl 9

3. Belangrijkste uitkomsten audits en onderzoeken Nulmeting (privacy audit) verwerking politiegegevens proces staandehouding - concept rapport. Bij de gemeente zijn buitengewoon opsporingsambtenaren (boa’s) werkzaam bij meerdere organisatieonderdelen. Deze boa’s zijn bijvoorbeeld werkzaam als gemeentelijke handhavers, wijkboa’s, boswachters, parkeercontroleurs, milieu-inspecteurs, leerplichtambtenaren en sociaal rechercheurs. De verwerking van persoonsgegevens door boa’s ter voorkoming, opsporing of vervolging van strafbare feiten (kort ‘politiegegevens’) vallen vanaf 1 januari 2019 onder de Wet Politiegegevens (Wpg) en relevante besluiten (Bpr en BprBoa) en regeling. Naast een opsporingstaak hebben boa’s ook andere taken, zoals het houden van toezicht en handhaving binnen het eigen domein. Op het verwerken van persoonsgegevens in verband met het uitvoeren van deze taken is niet de Wpg, maar de AVG van toepassing. Voor politiegegevens gelden op grond van de Wpg andere bewaartermijnen, andere rechten van betrokkenen én andere regels om de gegevens aan derden te verstrekken dan voor persoonsgegevens die worden verwerkt onder de AVG. Van belang is dat de gemeente een verwerkingssysteem gebruikt waarin een duidelijk onderscheid bij de verwerking van persoonsgegevens is aangebracht tussen de ‘toezicht/handhaving’ of ‘opsporing’ taken van boa’s.

Vergunningen, Toezicht en Handhaving (VTH) is verantwoordelijk voor het toezicht, handhaving en opsporing op het gebied van de Openbare Ruimte (THOR) en Bebouwde Omgeving (THBO) en heeft binnen de gemeente de meeste boa’s in dienst. Het auditobject betrof de verwerking van persoonsgegevens in het kader van de uitvoering van de opsporingstaak staandehouding door boa’s van THOR. Voor deze opsporingstaak is gekozen, omdat staandehouding circa 80% van het werk van THOR beslaat. Wij hebben geconcludeerd dat de maatregelen gericht op de bescherming van politiegegevens nog in ontwikkeling zijn, maar dat stappen in de goede richting zijn gezet om invulling te geven aan de wettelijke vereisten. Desondanks moet de gemeente meer doen (qua activiteiten en qua snelheid) om de rechtmatige uitvoering van de Wpg te waarborgen. De belangrijkste tekortkomingen hebben betrekking op het toekennen van autorisaties, de uitbesteding van gegevensverwerkingen, gegevensbescherming door beveiliging en ontwerp, de gemeentelijke privacy verordening en het verplichte jaarlijkse verslag van de Functionaris Gegevensbescherming.

Utrecht.nl 10

3. Belangrijkste uitkomsten verbijzonderde interne controle Verbijzonderde Interne Controle salarismutaties algemeen en personeel M&O 2020 Geen bijzonderheden geconstateerd. M&O zal zelf de controle op de salarismutaties vanaf 2021 uitvoeren. Verbijzonderde Interne Controle personeelsdeclaraties 2020 Bevindingen hadden betrekking op dubbel gedeclareerde kosten, kosten die op de verkeerde wijze zijn gedeclareerd en declaraties in strijd met de regels. De geconstateerde bevindingen worden ten laste van de vrije ruimte in de werkkostenregeling gebracht conform de berekeningswijze zoals is overeengekomen met de belastingdienst. Het declaratieproces is met de komst van het systeem MijnHR gewijzigd. M&O zal zelf de controle op de declaraties vanaf 2021 uitvoeren. Verbijzonderde Interne Controle naleving EU-aanbestedingsregels 2020 Ten opzichte van de afgelopen jaren is de omvang van de geconstateerde onrechtmatigheden in 2020 fors gedaald. Geconstateerde onrechtmatigheden hebben vooral betrekking op inhuur: • Het blijven inhuren van personeel nadat de contractduur is verstreken en/of • Het verlengen van Marktpleincontracten waar dit niet meer is toegestaan. Daarnaast zijn meerdere verbeterpunten gerapporteerd ten aanzien van het aanbestedingsproces en de vastlegging in SAP. De verbeterpunten zijn overgenomen en voorzien van een concreet actieplan.

Utrecht.nl 11

3. Belangrijkste uitkomsten process mining Process Mining subsidies 2020 Concernaudit heeft een digitale controle middels Process Mining uitgevoerd over de in 2020 verstrekte subsidies met informatie uit het subsidiesysteem (SI-U) en de financiële administratie (SAP). Het betrof 2.909 dossiers met een totale waarde van € 217.456.481. Het doel was om vast te stellen dat de subsidies zijn verstrekt op basis van een adequaat werkproces. Daarna is vastgesteld of een toereikende functiescheiding aanwezig is en zichtbare beoordelingen en controles hebben plaatsgevonden alvorens een subsidie wordt toegekend en vastgesteld. We hebben geconstateerd dat bij de verstrekte subsidies de vastgestelde termijnen in de verleningsfase en vaststellingsfase vaak niet worden nageleefd. We hadden geen bevindingen t.a.v. de betrouwbaarheid van de subsidie-informatie, bevoegdheden en functiescheiding. Process mining inkoopfacturen SAP 2020 Concernaudit heeft een digitale controle middels Process Mining uitgevoerd op de in 2020 geboekte inkoopfacturen met een totale waarde van € 1.073.758.551. In dit proces van bestellen tot en met de betaling van de facturen toetsten wij of specifieke processtappen zijn uitgevoerd door daartoe geautoriseerde personen, adequate functiescheiding is toegepast en er geen misbruik van beheers- en gebruikersrollen is geweest.

Wij hebben geconstateerd dat bij een klein aantal bestellingen de goedkeuring door een budgethouder ontbreekt. Dit blijkt samen te hangen met de vervanging van budgethouders en het niet (tijdig) intrekken van bevoegdheden van voormalige budgethouders. Daarnaast ontbreekt bij een klein aantal facturen de (volledige) goedkeuring van de juiste personen en is de noodzakelijke functiescheiding (minimaal twee personen) niet toegepast. Een klein deel van de facturen (2%) is handmatig geboekt door medewerkers van FIJ. Handmatige boekingen zijn nodig in het geval van boekingsfouten, binnen specifieke betaalstromen en bij specifieke leveranciers.

Utrecht.nl 12

Bijlagen jaarverslag 2020/2021

Utrecht.nl 13

1. Project rechtmatigheidsverantwoording Het project rechtmatigheidsverantwoording (RMV) heeft in de periode april 2020 – maart 2021 goede voortgang gemaakt. De externe projectleider rapporteert periodiek de voortgang aan de stuurgroep RMV. De zorgen van het project RMV hebben vooral betrekking op de businesscontrol capaciteit van organisatieonderdelen ten aanzien van het opmaken van de verbijzonderde interne controleplannen (VIC’s) gericht op rechtmatigheid (vooral bij Vastgoedorganisatie Utrecht (VGU) en Ontwikkelorganisatie Ruimte) en de uitvoering en rapportage van de VIC’s in 2020. Op 27-05-2020 heeft de projectleider RMV een presentatie gegeven aan de adviescommissie Controle & Financiën van de raad inzake het goedgekeurde project plan van aanpak. Op 21-01-2021 heeft de raad de verantwoordingsgrens voor de rechtmatigheidsverantwoording over het begrotingsjaar 2021, 2022 en 2023 vastgesteld. Ook is bepaald door de raad dat in de paragraaf bedrijfsvoering van de jaarstukken een toelichting wordt opgenomen op de rechtmatigheidsverantwoording, met daarin een uiteenzetting van de geconstateerde bevindingen en oorzaken, afwijkingen van wet- en regelgeving en maatregelen ter voorkoming van soortgelijke bevindingen in de toekomst. Op 9 maart 2021 heeft het college het ‘Normenkader rechtmatigheid 2020’ vastgesteld.

Het ‘normenkamer rechtmatigheid 2021’ Noodzakelijke aanpassingen aan de financiële en controleverordeningen i.v.m. RMV zijn geïdentificeerd. Verordeningen worden aangepast nadat de wetswijziging door de 1e en 2e kamer is aangenomen. Het projectteam heeft ook meegewerkt aan de ‘Handreiking Invoering Rechtmatigheidsverantwoording; Adviezen en best practices’ van VNG en IPO in samenwerking met gemeenten Alkmaar, Almere en Amersfoort en de provincies Flevoland en Utrecht (bijgevoegd).

Utrecht.nl 14

2. Verbijzonderde Interne Controles OO

Verbijzonderde Interne Controles

M&O

1. Controle salarismutaties algemeen 2020 - Afgerond De resultaten n.a.v. uitgevoerde controles op basis van steekproeven zijn gerapporteerd aan M&O. Op de individuele controles zijn geen bijzonderheden geconstateerd. Wel is er een onduidelijkheid omtrent het ontbreken van een aansluiting tussen het aantal aangeleverde en het aantal door verwerkte mutaties in het oude personeel systeem (PIMS). 2. Controle salarismutaties eigen personeel M&O 2020 - Afgerond De resultaten n.a.v. uitgevoerde controles op basis van steekproeven zijn gerapporteerd aan M&O. Geen bijzonderheden geconstateerd. 3. Controle personeelsdeclaraties 2020 - Afgerond De bevindingen n.a.v. uitgevoerde controles op basis van steekproeven zijn gerapporteerd aan M&O inclusief aanbevelingen ter verbetering. Bovenstaande controlewerkzaamheden zijn overgedragen aan M&O in Q1 2021.

Alle

4. Controle naleving EU-aanbestedingsregels 2020 - Afgerond De bevindingen n.a.v. uitgevoerde controles op basis van steekproeven zijn gerapporteerd aan FIJ, Concerncontrol en Deloitte inclusief aanbevelingen ter verbetering. Ten opzichte van de afgelopen jaren is de omvang van de geconstateerde onrechtmatigheden in 2020 fors gedaald. Onrechtmatigheden vooral bij inhuur. Meerdere verbeterpunten gerapporteerd t.a.v. het aanbestedingsproces.

Meerdere

5. Process Mining subsidies 2020 - Afgerond De bevindingen n.a.v. uitgevoerde process mining zijn gerapporteerd aan de manager van het Subsidiebureau en Deloitte inclusief aanbevelingen ter verbetering. Bevindingen hadden betrekking op de naleving van de termijnen in de verleningsfase en vaststellingsfase van subsidies. Geen bevindingen t.a.v. de betrouwbaarheid van de controle Utrecht.nl informatie, bevoegdheden en functiescheiding. 15

3. Operational audits OO

Operational audits (indien relevant ook IT en soft controls in scope)

MO

1. Geïntegreerde procesaudit Backoffice Jeugdwet en WMO – Afgerond 2. Procesaudit onderwijs – onderzoek uitgesteld naar jaarplan 2021/2022 i.v.m. prioritering organisatieonderdeel en concernaudit

RUIMTE 3. Vervolgonderzoek beheersing grote projecten – Afgerond. 4. Procesaudit Erfpacht – Gecanceld i.v.m. organisatiewijzigingen bij Ontwikkelorganisatie Ruimte.

VTH

5. Readiness-scan invoering Omgevingswet – Concept rapport.

Utrecht.nl 16

4. Digital audits OO

IT audits

Wigo4it

1. Jaarlijkse IT audit bij Wigo4it – Afgerond.

VTH

2. Privacy audit Verwerking Politiegegevens Staandehouding – concept rapportage.

Alle

3. ENSIA-verantwoordingsproces – gecanceld vanwege gebrek IT audit capaciteit Concernaudit. Audit ENSIA-verantwoording wordt jaarlijks uitgevoerd door Duijnborgh Audit B.V.

BSN

4. Logische toegangsbeveiliging SAP (vervolg 2019) – Afgerond.

5. Toegangsbeveiliging bedrijfsnetwerk – Gecanceld vanwege gebrek IT audit capaciteit en overlap met het onderzoek van de Rekenkamer Utrecht naar informatiebeveiliging.

Utrecht.nl 17

5. 213a & overige onderzoeken OO

213a onderzoek en overige onderzoeken

MO

1. 213a onderzoek ‘Veerkracht en gelijke kansen’- i.v.m. prioritering Concernaudit en in overleg met wethouder Voortman uitgesteld naar Q2 2021.

MO

2. Bewonersaudit ‘Het Utrechtse zorgmodel’ cliëntenparticipatie bij de tussenevaluatie van zorgpartners – Uitvoering gepland in Q1 – Q3 2021. Uitvoering is gekoppeld aan de timing van de tussenevaluatie zorgpartners door Maatschappelijke Ontwikkeling (MO)

OOR

3. Controle Europese subsidies – Afgerond. Geen bijzonderheden

Alle

4. Audit risicobeheersing samenwerkingsverbanden – Afgerond. Fase 1 ‘Definiëren en inventariseren van samenwerkingsverbanden’. Fase 2 in plan 2021/2022.

Alle

5. Onderzoek aanbesteding - In behandeling nemen aanbestedingsstukken in de periode 2011 t/m 2013 – Afgerond (vertrouwelijk).

Utrecht.nl 18

6. Advisering en innovatie OO

Advisering en innovatie

BSN

1. Inbreng traject aanbesteding SAP GRC Access tooling – Afgerond.

BSN

2. Advisering van de werkgroep implementatie MijnHR (SAP Succesfactors)– Afgerond Advisering ten aanzien van risico’s en gewenste beheersmaatregelen MijnHR.

BSN

3. Deelname aan risico-dialoog programma – Afgerond.

BSN

4. Pilot RPA Inkoop met PWC – Afgerond.

PBZ

5. Pilot process mining Publiekszaken – Afgerond.

Meerdere

6. Pilot Text Mining subsidies met Deloitte – Afgerond

W&I

7. Review interne controleplan Tozo – Afgerond.

Alle

8. Process mining SAP – Afgerond.

Utrecht.nl 19

7. Personele bezetting Concernaudit (1) Functie

Personeelsmutaties APRIL 2020 – MAART 2021

Manager Concernaudit

Tijdelijke parttime (24 uur p/w) manager t/m juni 2020. Nieuwe fulltime manager vanaf 1 juli 2020.

Audit Innovator

Werkzaamheden gestopt in juni 2020, daarna uitdienst getreden. Niet vervangen. Taken en verantwoordelijkheden belegd bij de Manager en een Data Analist.

Senior Auditor

1 Senior Auditor is in maart 2020 met pensioen gegaan. Nieuwe Senior Auditor gestart op 1 september 2020.

Senior IT Auditor

Senior IT Auditor is vertrokken in januari 2021. Nieuwe Senior IT auditor is gestart op 1 maart 2021.

Auditor

1 Auditor was langdurig ziek, maar werkt gelukkig weer volledig beter.

Data Analist

1 Data Analist gaat in juli 2021 met pensioen. Nieuwe Data Analist start op 1 juni 2021.

Assistent Auditor

2 Assistent Auditors; uitstroom 1 assistent auditor gepland in 2021.

Projectleider RMV

Oude projectleider is op eigen verzoek vertrokken 30 september 2020. Nieuwe projectleider is gestart op 1 oktober 2020. Inhuur tot juni 2021 (16 uur p/wk). Verlening van het inhuurcontract tot eind 2021 wordt besproken.

Stagiairs

1 Stagiair Hogeschool Inholland: onderzoek naar de Administratieve Organisatie /Interne Controle van het proces verlenen parkeervergunningen VTH. 3 Stagiairs IT audit opleiding Tilburg Universiteit: de privacy audit Verwerking Politiegegevens Staandehouding VTH.

Utrecht.nl 20

7. Personele bezetting Concernaudit (2) Functie

FTE

Formatie 2020

Huidige bezetting

Formatie 2021

Manager Concernaudit

1,00

1,00

1,00

Innovator

1,00

-

-

Senior Auditor

2,78

2,89

2,89

Senior IT Auditor

1,00

1,00

1,00

Auditor

1,75

3,00

3,00

IT Auditor

-

-

-

Data-analist

-

1,67

1,67

Assistent Auditor

3,00 *

2,00 *

1,00 *

Projectleider RMV

Extern

Extern

Extern

Stagiairs

Extern

N.v.t.

Extern

Totaal

10,53

11,56

10,56

* Uitstroom 1 Assistent Auditor gepland

Utrecht.nl 21

1 Jaarplan Concernaudit 2021-2022 (definitief).pdf

JAARPLAN CONCERNAUDIT APRIL 2021 – MAART 2022

24-03-2021 Antoine van Vlodorp

Inhoudsopgave

Inleiding Wat ziet Concernaudit gebeuren in de stad en de organisatie? Auditplan 2021/2022 Bijlagen: 1. Rechtmatigheidsverantwoording 2. Coronacrisis gerelateerde audits 3. Digitale audits 4. Integrated & operational audits 5. 213A onderzoeken en bewonersaudit 6. Projectaudits 7. Innovatie en adviesopdrachten 8. Ad hoc audits en onderzoeken

Utrecht.nl 2

1. Inleiding Concernaudit, de internal auditfunctie, helpt de gemeente Utrecht haar doelstellingen en opgaven te realiseren. We doen dit door op basis van een systematische en gedisciplineerde wijze de doelmatigheid en doeltreffendheid van de processen van governance, risicomanagement en beheersing te evalueren en te helpen verbeteren middels aanbevelingen. Concernaudit biedt daartoe onafhankelijke en objectieve audit- en adviesdiensten en verschaft het inzicht aan proceseigenaren. De opdracht van Concernaudit ligt vast in een Auditcharter, die is vastgesteld door het College van Burgemeester & Wethouders op 8 mei 2018. In de ‘Verordening voor periodiek onderzoek door het college naar de doelmatigheid en doeltreffendheid van het door het college gevoerde bestuur’ (raadsbesluit van 13 november 2003) is bepaald dat het college jaarlijks de doelmatigheid en doeltreffendheid van het door hem gevoerde bestuur laat onderzoeken op grond van artikel 213a van de Gemeentewet. Concernaudit voert namens het college de 213a-onderzoeken uit. Het college toetst jaarlijks de doelmatigheid en doeltreffendheid van minimaal twee opgaven of programma’s. Concernaudit stelt jaarlijks voor de periode april t/m maart een op een risicoanalyse gebaseerd auditjaarplan op.

Om een goede risicoanalyse te kunnen opstellen voert Concernaudit jaarplan-gesprekken met de Directieraad, Integraal Resultaatverantwoordelijke Managers (IRM-ers), Concernmanagers, hoofden van BSN afdelingen en specifieke functionarissen zoals de CISO (Chief Information Security Officer), FG (Functionaris Gegevensbescherming) en ENSIA coördinator. Ook wordt een gesproken met de secretaris van de Rekenkamer Utrecht en de externe accountant Deloitte om te begrijpen wat hun aandachtspunten en inzichten zijn. Tijdens deze jaarplan-gesprekken verkrijgt Concernaudit inzicht in de belangrijkste doelstellingen, opgaven, belangrijke ontwikkelingen en de bijbehorende risico's. Tijdens de jaarplan-gesprekken worden ook auditverzoeken besproken. Tenslotte worden de verplichte audits op basis van wetgeving of overeenkomsten (WiGo4IT) in kaart gebracht. Bij het prioriteren en selecteren van de audits en onderzoeken voor het jaarplan is rekening gehouden met de uitkomsten van eigen audits, onderzoeken van de Rekenkamer Utrecht en de jaarrekeningcontrole van de externe accountant Deloitte in de voorgaande jaren. Daarnaast is gelet op een gelijkmatige spreiding over de beleidsterreinen en organisatieonderdelen binnen de gemeente. Dit jaarplan geeft op basis van de huidige inzichten een overzicht van de geplande werkzaamheden van concernaudit in de periode april 2021 t/m maart 2022.

De geplande werkzaamheden zijn afgestemd op de beschikbare auditcapaciteit.

Utrecht.nl 3

Organisatie in control Een organisatie(onderdeel) is ‘in control’ wanneer sturen, beheersen en toezicht houden zodanig aantoonbaar zijn ingericht dat strategische en operationele doelstellingen op een effectieve en efficiënte wijze worden gerealiseerd. Strategische doelstellingen De strategische doelstellingen van de gemeente Utrecht vragen om een opgavegerichte sturing en verantwoording. Het management is primair verantwoordelijk voor de invulling van deze sturing en verantwoording. In de Strategische Agenda Bedrijfsvoering wordt de bedrijfsvoering als motor voor de organisatie gezien om het opgavegerichte werken te kunnen realiseren. Belangrijke ontwikkeling in dit kader is de beweging om naast het sturen op doelmatigheid meer te sturen op doeltreffendheid. Ook wordt meer gericht op het geheel door niet alleen naar de onderdelen te kijken, maar naar de opgaven. Operationele doelstellingen Operationele doelstellingen zijn gevat in de overkoepelende opgave ‘Hoge basiskwaliteit’. Dit raakt de inrichting van de primaire processen. De organisatie onderdelen zijn verantwoordelijk voor het instellen en laten functioneren van de administratieve organisatie en interne beheersing om deze basiskwaliteit op orde te hebben.

De eenheden businesscontrol, IPM (Informatie en Process Management) en DISO (Decentral Information & Security Officer) hebben tot taak de organisatieonderdelen hierbij te ondersteunen. Concernaudit draagt bij aan het zichtbaar in control krijgen en houden van de processen door het uitvoeren van risicoanalyses en het op basis daarvan uitvoeren van audits en adviseren over procesinrichtingen. Met de versterking van concerncontrol zal ook de rol van concernaudit veranderen. Meer audits richten zich op organisatieonderdelen overstijgende processen en thema’s en op de effectiviteit van de opzet van de 1e en 2e lijn en het samenspel tussen het lijnmanagement, (concern)control, IPM en DISO.

Utrecht.nl 4

Wat ziet Concernaudit gebeuren in de stad en de organisatie? Stad

Gemeentelijke organisatie

1. Verdere verdichting van de stad

1.

Uitdagingen in het opgavegericht werken; (bij)sturen & verantwoorden

2.

De beheersing van de samenwerking met partners om invulling te geven aan de opgaven moet beter.

3.

Toename complexiteit: bestuurlijke belangen, participatie, hoge ambities versus financiën en uitvoering

4.

Inhoudelijke kennis van de beleidsterreinen en juridische ondersteuning wordt belangrijker

5.

Noodzakelijke versterking control, risicomanagement en projectmanagement ingezet

6.

Noodzakelijke versterking van de algemene IT beheersprocessen

7.

Noodzakelijke versterking gegevensbescherming (informatiebeveiliging en privacy) ingezet

8.

Ambtenaar 3.0, digitale vaardigheden voor de medewerkers worden belangrijker

9.

Werken 3.0, hoe kunnen medewerkers gezond, effectief en toekomstbestendig opgavegericht blijven werken

10.

Meer aandacht nodig voor beheersing risico’s van digitale innovaties

2. Groei van de stad 3. Serieuze corona-effecten op bewoners en organisaties

4. Vergroting kansenongelijkheid 5. Nieuwe ontwikkelingen op het gebied van technologie en data 6. Toename participatie van bewoners en organisaties 7. Nieuwe wetgevingen 8. Onvoorspelbaarheid van de economische ontwikkelingen 9. Toename WOB-, klacht- en beroepcultuur

Utrecht.nl

5

Concernaudit planning 2021-2022 OO

Re fe re ntie Omschrijving aud it

Op d rachtg e ve r

Aard we rkzaamhe d e n

Ve rp licht

1. Rechtmatigheidsverantwoording

Aantal ure n 2.100

Alle OOR VGU OOR Alle

Proces rechtmatigheidsverantwoording 2021 Erfpacht Verhuur gemeentelijk vastgoed Grondexploitatie Inkopen en aanbestedingen (spend). Uitbreiding scope met doelmatigheid conform Nota Inkopen.

Concerncontroller Audit IRM OOR Opzetten VIC IRM VGU Opzetten VIC IRM Ruimte Uitvoeren VIC 1e helft 2021 Concernmanager FIJ Verbijzonderde Interne Controle

500 200 200 200 500

Alle

Subsidies

Concernmanager FIJ Verbijzonderde Interne Controle

500

2. Coronacrisis gerelateerde audits W&I Alle M&O / IPM

Corona steunpakketten voor zelfstandig ondernemers (Tozo) en gezinnen (TONK) Coronasteun voor organisaties middels subsidiesverstrekking Impact van de coronamaatregelen op de medewerkers - visie Werken 3.0

1.500 IRM W&I

Audit

600

Themadirecteur

Audit

600

Themadirecteur Bedrijfsvoering

Advies

300

3. Digitale audits W&I VTH

2.060

IPM

WiGo4it Algemene IT beheersmaatregelen Naleving Wet Politiegegevens (Wpg) - proces cameratoezicht en bodycams BOA's Gegevensbescherming Management Systeem (GBMS/ISMS) Cloudtransitie

IPM

Wijzigingsbeheer

Alle

Governance en risicobeheer algoritmes en volledigheid algoritmeregister

Alle

Directie WiGo4IT IRM VTH

Audit Audit

Ja Ja

60 400

Themadirecteur Bedrijfsvoering Concernmanager IPM/CIO Concernmanager IPM/CIO Themadirecteur Bedrijfsvoering

Audit

400

Audit

400

Audit

400

Audit

400

Utrecht.nl 6

Concernaudit planning 2021-2022 OO

Re fe re ntie Omschrijving aud it

Op d rachtg e ve r

Aard we rkzaamhe d e n

Ve rp licht

4. Integrated & operational audits VTH

Implementatie Omgevingswet fase 2

Alle

Samenwerkingsverbanden fase 2 (werking)

Alle

Meervoudig onderhands aanbesteden

MO SB OOR FIJ

2020-06 2020-08

OOR

Onderwijshuisvesting Bedrijfsafvalinzameling Erfpacht Behandeling van verzoeken om schadevergoeding Europese subsidies: 'School Chance' ; 'Reduces' en 'Urbact'

2.850 Stuurgroep Audit Omgevingswet Gemeentesecretaris/ Audit Algemeen Directeur Themadirecteur Audit Bedrijfsvoering IRM MO Audit IRM Stadsbedrijven Audit IRM OOR Audit Concern Manager FIJ Audit

400

IRM OOR

50

400 400 400 400 400 400

Controle

5. 213A onderzoeken en bewonersaudit MO

2020-16

Opgave 'Veerkracht en gelijke kansen'

MO

2020-17

Evaluatie zorgpartners WMO/Jeugdzorg

OOR

Opgave 'Woningmarkt in balans'

Aantal ure n

1.600 Wethouder Maatschappelijke ondersteuning Wethouder Maatschappelijke ondersteuning Wethouder Wonen

213a onderzoek

Ja

600

Bewonersaudit

Ja

400

213a onderzoek

Ja

600

Utrecht.nl 7

Concernaudit planning 2021-2022 OO

Re fe re ntie Omschrijving aud it

Op d rachtg e ve r

Aard we rkzaamhe d e n

6. Projectaudits OOR/SB OOR IPM

Aantal ure n 1.200

Project Herstel Wervengebied Stuurgroep project Project Merwedekanaalzone Stuurgroep project Programma Kik (Klantgericht werken In Ketens) - Stuurgroep implementatie Common Ground principes programma

Audit Audit Audit

7. Innovatie en adviesopdrachten PBZ

Ve rp licht

Digitalisering interne controles m.b.v. process mining: raadplegen van het Basisregistratie Personen (BRP) en verstrekken van reisdocumenten. PBZ Pilot audit op AI: chatbot GEM FIJ Process mining SAP “Proces bestellen tot en met factuurafhandeling” FIJ Monitoring implementatie SAP GRC tool als onderdeel van de opvolging van logische toegangsbeveiliging SAP aanbevelingen m.b.t. kritische autorisaties Diverse Participatie frauderisicosessies 8. Ad hoc audits en onderzoeken: 5% beschikbare audituren

400 400 400 1.300

IRM PBZ

Innovatie

300

IRM PBZ Innovatie Concernmanager FIJ Innovatie

200 400

Concernmanager FIJ Advies

200

Concerncontroller

200 700

Advies

Totaal Beschikbare audituren Saldo

13.310 13.289 21

Utrecht.nl 8

Berekening beschikbare audituren

Functie Manager Innovator Senior Auditor Senior IT Auditor Auditor IT Auditor Data-analist Assistent Auditor Projectleider RMV Stagiairs Totaal

Formatie 2021 FTE

Management

1 2,89 1 3 1,67 1 Extern Extern 10,56

30%

Accountmanagement 10% 10% 10%

Audits 60% 90% 90% 100% 100% 100%

Uren per FTE 1.360 1.360 1.360 1.360 1.360 1.360 1.360 1.360 1.360 1.360

Audituren

Waarvan Digital Audits

816 3.537 1.224 4.080

800 1.224

2.271 1.360

13.289

2.024

Utrecht.nl 9

Bijlage: toelichting op de onderdelen van het auditjaarplan

Utrecht.nl 10

1. Rechtmatigheidsverantwoording Vanaf verslagjaar 2021 moet de gemeente Utrecht zelf een verklaring afgeven over de naleving van de comptabele wet- en regelgeving, ofwel de rechtmatigheid. Deze zogenoemde rechtmatigheidsverantwoording wordt door het college opgenomen in de jaarrekening. Om deze verantwoording af te kunnen leggen, is het van belang dat voor alle materiële geldstromen de naleving van de relevante wet- en regelgeving inzichtelijk is. De totstandkoming van de rechtmatigheidsverantwoording vereist een goede inrichting van en samenwerking tussen de 3 lines: 

het management verantwoordelijk voor de inrichting en uitvoering van de processen (1e lijn);



de eenheden businesscontrol en concerncontrol voor advisering ten aanzien van de inrichting van de processen en uitvoering van de verbijzonderde interne controles (2e lijn); en



concernaudit voor advisering aan de 1e en 2e lijn over procesverbeteringen en het op basis van audits voorzien van directieraad en college van aanvullende zekerheid op het geheel (3e lijn).

In de praktijk betekent dit dat proces- en verbijzonderde interne controles zoveel mogelijk worden belegd bij de eenheden businesscontrol. In 2021/2022 zal Concernaudit: 

adviseren ten aanzien van de verbijzonderde interne controle (VIC) voor de processen erfpacht en verhuur gemeentelijk vastgoed. De VIC’s voor deze processen waren door uitdagingen bij de betreffende organisatieonderdelen niet tijdig afgerond;



Ruimte in het eerste half jaar ondersteunen van de uitvoering van de VIC grondexploitatie. Deloitte heeft ten aanzien van de jaarrekening 2019 een verklaring met beperking verstrekt op het getrouw beeld en de rechtmatigheid in verband met onzekerheden in de kostenramingen van de grondexploitatie Leidsche Rijn. Extra aandacht voor onderbouwing kostenramingen is gewenst;



zelf de verbijzonderde interne controles (VIC) uitvoeren van de organisatieonderdelen overstijgende processen: inkopen & aanbesteden (’spend’) en subsidies;



een audit uitvoeren naar het rechtmatigheidsverantwoordingsproces.

Utrecht.nl 11

2. Coronacrisis gerelateerde audits Corona steunpakketten voor zelfstandig ondernemers en gezinnen Veel Utrechtse bedrijven, ondernemers, zzp’ers en gezinnen ervaren de gevolgen van de maatregelen rondom het coronavirus. De gemeente en andere organisaties doen er alles aan om deze groepen te helpen. De Tijdelijke overbruggingsregeling zelfstandig ondernemers (Tozo) en de Tijdelijke Ondersteuning Noodzakelijke Kosten (TONK) zijn een paar van de maatregelen om ondernemers en gezinnen te ondersteunen tijdens de coronacrisis. De Tozo (1, 2, 3 en 4) regelingen voorzien in een aanvullende uitkering voor levensonderhoud voor zelfstandige ondernemers als het inkomen door de coronacrisis tot onder het sociaal minimum daalt. En in een lening voor bedrijfskapitaal om liquiditeitsproblemen als gevolg van de coronacrisis op te vangen. TONK is een vergoeding voor noodzakelijke woonkosten van gezinnen. In gemeente Utrecht gaat het om huur en hypotheekrente. Gemeenten worden volledig financieel gecompenseerd door het rijk voor de uitkeringskosten en uitvoeringskosten in het kader van de Tozo en TONK. Net als bij andere uitkeringen is het van belang dat alleen mensen die daar recht op hebben Tozo en TONK ontvangen en dat misbruik en oneigenlijk gebruik wordt tegengegaan of gedetecteerd en gecorrigeerd. Concernaudit zal een audit uitvoeren naar de rechtmatigheid van de Tozo en TONK uitkeringen.

Coronasteun voor organisaties middels subsidies De coronamaatregelen van de overheid hebben invloed op bijna alle organisaties actief in de stad Utrecht. De gemeente is vanwege de impact van de coronamaatregelen coulant omgegaan met reeds toegekende subsidies en extra coronasubsidies beschikbaar gesteld om specifieke organisaties te ondersteunen, zoals bijvoorbeeld voor activiteiten en initiatieven voor jongeren en jongvolwassenen op het gebied van sport, cultuur en vrije tijd. Voorwaarde is wel dat er (extra) aandacht is voor de mentale gezondheid. Daarnaast heeft de gemeente een nieuw subsidiesysteem in gebruik genomen: Easyfunders. Concernaudit zal beoordelen of het subsidieproces ondersteund door Easyfunders functioneert en daarbij extra aandacht besteden aan de doelmatigheid van de (Corona)subsidieverstrekking, de rolverdeling tussen subsidiebureau en de organisatieonderdelen; en hoe de IT beheersmaatregelen en geprogrammeerde controles van Easyfunders werken. Impact coronamaatregelen op de medewerkers – visie Werken 3.0 De coronamaatregelen en vooral de maatregelen van verplicht thuiswerken hebben geleid tot de vraag: Hoe kunnen medewerkers gezond, effectief en toekomstbestendig opgavegericht blijven werken? De gemeente heeft de visie Werken 3.0 ontwikkeld inclusief de leidende principes en concrete uitvoeringsmaatregelen.

De visie Werken 3.0 strekt uit over drie sporen: Werkgeverschap, ICT, Huisvesting. Het gaat daarin over werk- en managementstijl, mobiliteit en arbeidsvoorwaarden, gezondheid, werk/privé balans, digitaal en fysiek werken, dienstverlening en ICT, huisvesting (fysiek), duurzaamheid en inclusie. Concernaudit wil bijdragen aan de uitwerking en implementatie van Werken 3.0 door actief te adviseren over de risico’s en haalbaarheid van de uitvoeringsmaatregelen.

Utrecht.nl 12

3. Digitale audits Digitalisering speelt een belangrijke rol om de opgaven in de stad te kunnen realiseren. We zien dat digitalisering in een hoog tempo in alle aspecten van het dagelijks leven een rol speelt. We spreken dan ook wel over een digitale transformatie van onze samenleving. De gemeente wil Utrecht maximaal de kansen die digitalisering biedt benutten om de opgaven in onze stad te realiseren en zo bij te dragen aan een gezonde leefomgeving voor iedereen. Om succesvol te digitaliseren in de Utrechtse opgaven heeft de gemeente een fundament neergezet. Dit fundament houdt in dat er doordachte werkwijzen van strategie tot uitvoering plaatsvinden door samen te werken en kennis te delen om zo effectiever en efficiënter te werken. Met dit fundament realiseert de gemeente de (nieuwe, veelal digitale) oplossingen voor de stad. De termijn die de visie beslaat is meerjarig en loopt tot 2024. Digitalisering roept nieuwe, fundamentele vragen op, bijvoorbeeld ten aanzien van de bescherming van de privacy. Om op een juiste, veilige en eerlijke manier met digitalisering om te gaan, werkt de gemeente vanuit de volgende zes Utrechtse ethische waarden. 1. Privacy en autonomie 2. Menselijke waardigheid en Gezondheid 3. Rechtvaardigheid 4. Een veiliger digitale stad 5. Controle over technologie 6.

Omgaan met machtsverhoudingen Concernaudit wil bijdragen aan de digitalisering van de Utrechtse opgaven middels het uitvoering van audits naar de governance, risicomanagement en interne beheersing van de digitale oplossingen. Bij onze digitale audits zullen we de geïmplementeerde beheersmaatregelen toetsen aan het Utrechtse waardenmodel.

Utrecht.nl

Visie digitale stad als uitgangspunt De visie ‘Digitale stad’ is het fundament op basis waarvan de gemeente Utrecht werkt aan digitalisering. Concernaudit heeft voor de vijf ‘sporen’ van de visie in kaart gebracht welke voornaamste risico’s zij ziet en mee zal nemen in de digitale audit invulling van 2021- 2022

Utrecht.nl

Spoor 1: Onderzoek en innovatie Missie: Samen met partners doorbraak innovaties bereiken. De komende tien jaar krijgt Utrecht er 100.000 inwoners bij. Dit heeft gevolgen voor onder andere mobiliteit, luchtkwaliteit, zorguitgaven, schuldhulpverlening en de woningmarkt. Om deze stedelijke vraagstukken op te lossen of te beheersen hebben we doorbraakinnovaties nodig waarbij moderne ICT, data, algoritmen en kunstmatige intelligentie belangrijke drivers zijn. Doorbraakinnovaties liggen door hun aard niet kant en klaar op de plank en kunnen ook niet op een lineaire manier worden ontwikkeld. Om tot kansrijke ideeën te komen en deze uit te voeren, is een ontwikkelproces nodig met ruimte voor onderzoek en met een experimentele en open houding. Dit vraagt tijd, energie en menskracht. Het onderzoek en innovatie vindt plaats in samenwerking met partners. Risico’s gerelateerd aan het samenwerken met partners: • Financiële risico’s als de gemeente haar inbreng kwijt raakt of aansprakelijk kan worden gesteld voor financiële tekorten. • Beleidsmatige - en afbreukrisico's als de maatschappelijke prestatie niet wordt gerealiseerd. • Politieke risico’s als wanbeleid of integriteitschending bij de partners leiden tot publieke verontwaardiging en negatieve publiciteit voor het gemeentebestuur.

• Dataverwerkingsrisico’s als bij de gemeente onvoldoende overzicht bestaat en monitoring is ingericht op ITbeheersmaatregelen welke (contractueel) enerzijds zijn belegd bij externe partijen en anderzijds onder verantwoordelijkheid van de gemeente Utrecht vallen. In 2020 heeft Concernaudit geconstateerd dat gemeente Utrecht: • geen eenduidig definitie kent voor het begrip samenwerkingsverband. • geen eenduidige afspraken heeft over de registratie van samenwerkingsverbanden (aantal, financiële omvang en eigenaarschap). • De toepassing van systematisch risicomanagement is beperkt en wordt niet afgedwongen door een gemeentelijk monitoringsysteem. Hierdoor is niet duidelijk waarop monitoring en toezicht van samenwerkingsverbanden gebaseerd moet worden. Auditaanpak 2021/2022: • Audit risicobeheersing samenwerkingsverbanden inclusief digitale partners fase 2 (opvolging adviezen 2020 en toetsing werking beheersmaatregelen). • Natuurlijke adviesfunctie inzake bewustwording dataverwerkingsrisico’s bij het aangaan van samenwerkingsverbanden.

Utrecht.nl

Spoor 2: Ander werk, vaardigheden en een leven lang leren Missie: Om optimaal te profiteren van digitalisering stimuleren wij de ontwikkeling van nieuwe, andere kennis en vaardigheden bij Utrechters en medewerkers. Door de digitale transformatie veranderen taken en beroepen snel. Aan de ene kant zijn er veel kansen voor meer en beter werk. Er ontstaat een grotere vraag naar nieuwe beroepen zoals UX-designers (gebruikerservaring), developers, data-scientists en cybersecurity-specialisten. Aan de andere kant veranderen of verdwijnen er banen en taken door digitalisering. Machines of programmering kunnen repetitief of fysiek zwaar werk overnemen. Deze ontwikkelingen leiden tot een mismatch op de arbeidsmarkt. Dit speelt ook binnen de ambtelijke organisatie. Er zijn nieuwe digitale vaardigheden nodig om de dienstverlening op een hoog (digitaal) niveau te houden. Risico’s: GU anticipeert niet (tijdig) op de verwachte mismatch tussen de vereiste (digitale) kennis en vaardigheden van haar medewerkers, waardoor haar opgaven mogelijk niet (volledig) kunnen worden gerealiseerd. Auditaanpak 2021/2022: • Monitoring ontwikkelingen rond de digitale capaciteit, kennis en vaardigheden van de ambtelijke organisatie als onderdeel van de project Ambtenaar 3.0. • Bij individuele digitale audits zal expliciet aandacht worden besteed aan de kwantitatieve en kwalitatieve bemensing.