Agendabundel
Tekst van het document
Omdat het registratiesysteem voor verzoeken niet over de juiste functionaliteiten beschikt en rapportagelijnen nog niet effectief zijn ingericht, heeft het CIO Office geen adequate sturingsinformatie om grip te houden op de afhandeling van Wpg verzoeken. Het management van de betrokken organisatieonderdelen is inmiddels begonnen met het implementeren van verbeteracties. 7
Audits (3/4)
Doelstelling: Beoordelen van de kwaliteit en naleving van geselecteerde contracten met cloudleveranciers
Doelstelling: Beoordelen van de naleving van het DPIA proces en de kwaliteit van uitgevoerde DPIA’s
Cloud Contractmanagement III
Data Protection Impact Assessments
Organisatieonderdeel: Ruimte
Organisatieonderdeel: CIO Office (CIOO), Mens & Organisatie (M&O), Publiekszaken (PBZ) en Werk & Inkomen (W&I).
De gemeente Utrecht is in 2019 gestart met het programma Cloudtransitie. Hiermee worden steeds meer gemeentelijke applicaties van een on-premise naar een cloudomgeving verplaatst en het applicatie- en databeheer aan leveranciers uitbesteed. Bij de inkoop van clouddiensten is het belangrijk om afdwingbare contractafspraken met leveranciers te maken, zodat de werking en het beheer van clouddiensten geborgd is. In deze audit hebben wij de kwaliteit en naleving van diverse cloudcontracten binnen Ruimte beoordeeld. Ruimte neemt concrete acties voor het verbeteren van contractmanagement. Zo is een ervaren externe Kwartiermaker Contractmanagement aangesteld in januari 2025 om onder andere processtandaardisatie te faciliteren. De gemeente hanteert voor haar contractmanagementproces de internationaal erkende standaard ‘CATS CM’. Ruimte past deze echter niet consequent toe, waardoor contractmanagers niet zijn aangewezen of hun rol onvoldoende invullen. Dit resulteert in een gebrek aan eigenaarschap voor contracten en inadequate bewaking van gemaakte afspraken. Verder ontbreken juridische waarborgen in de getoetste contracten. Zo zijn diverse contracten uitsluitend door de leverancier ondertekend of zijn contracten na substantiële wijzigingen in IT infrastructuur niet herzien. Dit belemmert de juridische afdwingbaarheid bij geschillen. Cloudrisico’s zijn onvoldoende geadresseerd.
Denk hierbij aan afspraken over applicatie uitfasering, data-overdracht en het aanleveren van verklaringen voor informatiebeveiliging bij de leveranciers. Hierdoor ontstaan risico’s omtrent dataveiligheid en kunnen leveranciers in het uiterste geval de gemeente de toegang tot de clouddienst ontzeggen.
De Algemene Verordening Gegevensbescherming (AVG) heeft als doel de privacy van EU-burgers te beschermen. De AVG vereist het uitvoeren van een risicoanalyse (DPIA) bij hoog risico verwerkingen van persoonsgegevens. In deze audit hebben wij de kwaliteit en procesnaleving van DPIA’s binnen M&O, PBZ en W&I beoordeeld. Een positieve ontwikkeling is dat M&O, PBZ en W&I procesverbeteringen doorvoeren en kwaliteitscontroles inrichten voor het DPIA proces. Het CIO Office bevordert daarnaast in haar kaderstellende rol standaardisatie in de uitvoering van DPIA’s met diverse formats. De instructies voor het opstellen van DPIAs zijn echter versnipperd over verschillende beleidsstukken en een handleiding. Dit is niet gebruiksvriendelijk en verhoogt het risico op onvolledige of niet tijdig uitgevoerde DPIA’s. Het samenspel tussen de 1e en 2e lijn bij het opstellen en actualiseren van DPIA’s werkt niet en kent rolonzuiverheid. Dit heeft geleid tot gebreken in DPIA’s en een verzwakte interne beheersing bij M&O en W&I. Voorbeelden hiervan zijn het gebruik van verouderde DPIA formats, het niet tijdig herzien van DPIA’s en het niet evalueren van de effectiviteit van genoemde beheersmaatregelen.
Het belangrijkste aandachtspunt is dat PBZ voor een kritiek proces in haar dienstverlening aan burgers niet over een formeel vastgestelde DPIA beschikt, enkel een incomplete conceptversie uit 2024 is aanwezig. Hierdoor ontbreekt een systematische risicoanalyse en –beoordeling van het proces. Dit is zorgelijk, omdat PBZ hierdoor niet aan de AVG voldoet en beheersmaatregelen mogelijk onvoldoende in beeld zijn gebracht.
Het management van de betrokken organisatieonderdelen is gestart met het implementeren van de benodigde verbeteracties.
Het management van Ruimte heeft inmiddels diverse verbeteracties in gang gezet. 8
Audits (4/4) Inburgering
Doelstelling: Beoordelen van de effectiviteit van de ‘Lerende aanpak inburgering’ en de naleving van randvoorwaarden voor gegevensbescherming.
Doelstelling: Beoordelen van de robuustheid van het proces rondom het bepalen van de benodigde weerstandscapaciteit.
Risicomanagement Weerstandsvermogen
Organisatieonderdelen: Werk & Inkomen en Maatschappelijke Ontwikkeling
Organisatieonderdeel: Financiën
De gemeente Utrecht heeft bij de implementatie van de Wet Inburgering 2021 gekozen voor een zogenoemde ‘Lerende aanpak’. Uit de audit blijkt dat deze aanpak effectief is voor het realiseren van de doelstellingen van de wet.
Weerstandsvermogen is een indicator die inzicht geeft in hoeverre de gemeente in staat is financiële gevolgen van risico’s op te vangen. De benodigde weerstandscapaciteit is beschreven in de paragraaf Weerstandsvermogen en Risicobeheersing in de begroting (€78,0 miljoen in 2025).
Wettelijke taken zijn systematisch vertaald naar beleid en werkinstructies, waarmee een solide basis is gelegd voor een gestructureerde uitvoering van het inburgeringsproces binnen Werk & Inkomen en Maatschappelijke Ontwikkeling.
Werk & Inkomen en Maatschappelijke Ontwikkeling leveren maatwerk door tegemoet te komen aan de persoonlijke situatie van de inburgeraar. Een voorbeeld hiervan is het leerwerkprogramma ‘Statushouders voor de klas’, dat statushouders met een lesbevoegdheid in hun thuisland helpt om in Nederland les te geven.
De afdelingen Concerncontrol en Financiën hebben de afgelopen jaren geïnvesteerd in het vergroten van de bewustwording van risicomanagement binnen de organisatie. Hierdoor ervaren Business Controllers de duidelijke meerwaarde van het proces en tonen eigenaarschap voor de risico’s binnen hun organisatieonderdeel. Daarnaast is de inhoudelijke kwaliteit van de paragraaf Weerstandsvermogen en Risicobeheersing merkbaar verbeterd. Zo is de beschrijving van de top 10 risico’s aangescherpt en zijn verwachte financiële gevolgen van de risico’s beter onderbouwd.
Sturingsinformatie voor het bewaken van het inburgeringsproces is beschikbaar. Zo worden
de maatschappelijke effecten van het inburgeringsbeleid inzichtelijk gemaakt door het gebruik van een internationaal erkend framework. Daarnaast zijn Werk & Inkomen en Maatschappelijke Ontwikkeling gestart met het monitoren van procesindicatoren om de voortgang van individuele inburgeraars te volgen. Het inburgeringproces kent een inherent hoog privacy risico vanwege de uitwisseling van persoonsgegevens met externe partijen. De Data Protection Impact Assessment is echter zeer oppervlakkig vastgelegd en het document is niet aantoonbaar formeel vastgesteld. Hierdoor zijn privacy risico’s mogelijk onvoldoende in beeld. Andere aandachtspunten zijn de subsidieverstrekking aan een partnerorganisatie zonder juridische grondslag (formeel onrechtmatig) en ontbrekende functionaliteiten in het klantinformatiesysteem, wat leidt tot verhoogde werkdruk en meer kans op fouten.
Tegelijkertijd heeft de opvolging van een in 2023 door een trainee uitgevoerd onderzoek naar financieel risicomanagement onvoldoende managementaandacht gekregen. Aanbevelingen uit het rapport zijn slechts minimaal geïmplementeerd. Doordat de huidige procesbeschrijving onvoldoende concreet is uitgewerkt, bestaan er ongewenste verschillen in de aanpak en diepgang van risicoanalyses tussen de verschillende organisatieonderdelen binnen de gemeente. In het huidige proces maakt de gemeente onderscheid tussen risico’s met incidentele en structurele gevolgen. Dit is echter geen wettelijke vereiste. Deze aanpak is complex en bovendien door afhankelijkheid van handmatige interventies foutgevoelig. Het management van Financiën heeft inmiddels verbeteracties in gang gezet.
Het management van de betrokken organisatieonderdelen is gestart met de implementatie van verbeteracties. 9
Rechtmatigheidsverantwoording gemeentebreed
Wettelijk verplichte jaarlijkse audit
Door de wet ‘Versterking decentrale rekenkamers’ moet iedere gemeente vanaf begin 2023 zelf de rechtmatigheidsverantwoording opstellen en onderbouwen. Tot 2023 was deze taak belegd bij de externe accountant. In 2025 legt de gemeente voor de derde keer verantwoording af over de rechtmatigheid van haar handelen. Met de rechtmatigheidsverantwoording geeft het college aan of er in het boekjaar financiële onrechtmatigheden hebben plaatsgevonden. Verbijzonderde Interne Controles (VICs)
Uitgevoerde werkzaamheden en conclusies
De gemeente onderbouwt de rechtmatigheidsverantwoording met behulp van Verbijzonderde Interne Controles uitgevoerd door Business Controllers van de verschillende organisatieonderdelen.
Na iedere fase heeft Concernaudit een kwaliteitsbeoordeling uitgevoerd op de door de organisatieonderdelen aangeleverde werkzaamheden.
Hiermee wordt jaarlijks gecontroleerd hoe effectief interne controlemethodes (procedures, regels en processen) hebben gewerkt om rechtmatigheidsfouten te voorkomen en/of te identificeren. De rechtmatigheidsverantwoording bestaat uit drie fases; Planningsfase (VIC plan)
Interim fase (VIC procesbeschrijving en lijncontrole)
Finale fase (VIC gegevensgerichte werkzaamheden)
Op gebied van de rechtmatigheidsverantwoording is in 2025 wederom vooruitgang geboekt. Dit betreft alle organisatieonderdelen en was een gezamenlijke inspanning van de Business Controllers, Concernaudit en het kernteam RMV – bestaande uit leden van Concern Control, Concernaudit en Financiën. Wij zijn van mening dat de uitgevoerde werkzaamheden een geschikte basis vormen voor de controle van de externe accountant.
Rol Concernaudit Concernaudit werkt hand in hand met de Business Controllers om de rechtmatigheidsverantwoording continu te verbeteren. Dit doen we door: • Het uitvoeren van kwaliteitstoetsen op de VIC werkzaamheden van de organisatieonderdelen; • Het verzorgen van spreekuren voor het delen van vakkennis; • Het (door)ontwikkelen van templates om middels standaardisatie de proces-efficiëntie te verbeteren.
10
Wettelijk verplichte jaarlijkse audit
Rechtmatigheidsverantwoording VIC’s
Concernaudit voert zelf Verbijzonderde Interne Controle (VIC) werkzaamheden uit voor twee gemeentebrede processen met grote financiële omvang. De externe accountant maakt hier gebruik van tijdens de jaarrekeningcontrole.
Inkopen en aanbesteden Organisatieonderdeel: Overstijgend
Financiële omvang t/m Q2 2025: EUR 618 miljoen
Concernaudit heeft de VIC werkzaamheden op inkopen en aanbesteden tot en met Q2 2025 uitgevoerd. Door toegenomen gemeentebrede aandacht voor en naleving van de EU aanbestedingswetgeving zijn de geconstateerde onrechtmatigheden de afgelopen jaren geleidelijk afgenomen voor ‘Werken en Diensten’ en ‘Leveringen’ (t/m Q2 2025: € 0,35 mln.). De bij inhuurcontracten geconstateerde onrechtmatigheden blijven echter een aandachtspunt (t/m Q2 2025: € 3,92 mln.). De totale onrechtmatigheid t/m Q2 2025 bedraagt daarmee € 4,27 mln.
De in de programmabegroting 2025 genoemde doelstelling voor de naleving van aanbestedingsregels van maximaal 1% van de totale uitgaven voor inkoop (t/m Q2 2025 € 6,2 mln.) is vooralsnog behaald. Let op: deze conclusie is beperkt tot bestedingen in 2025 die binnen onze controleaanpak vielen. In het kader van de rechtmatigheidsverantwoording zijn organisatieonderdelen verplicht om bij hen bekende onrechtmatigheden te melden.
Het merendeel van de onrechtmatigheden betreft inhuurcontracten waarin een maximaal aantal te declareren uren voor de gehele opdracht is vermeld, die bij de verlenging niet is verhoogd. De oorzaak is dat organisatieonderdelen op advies van Mens & Organisatie (M&O) consequent standaard inhuurovereenkomsten en verlengingsbrieven, die niet op elkaar aansloten, hebben toegepast. Formats van de inhuurcontracten zijn inmiddels door M&O aangepast om bovengenoemde onrechtmatigheden bij nieuw aanbestede inhuur te voorkomen.
De bevindingen en benodigde verbeteracties zijn afgestemd met het management van: • Mens & Organisatie (proceseigenaar inhuur personeel); • Inkoop (proceseigenaar centraal inkoopbeleid); • De organisatieonderdelen met onrechtmatigheden.
Subsidieverstrekking
Organisatieonderdeel: Maatschappelijke Ontwikkeling (MO)
Financiële omvang t/m Q2 2025: EUR 173 miljoen
Concernaudit heeft de VIC werkzaamheden op subsidies tot en met Q2 2025 uitgevoerd en hierbij het subsidieverstrekkingproces getoetst op conformiteit aan wet- en regelgeving en verordeningen. Wij hebben zoals in eerder jaren geen financiële onrechtmatigheden geconstateerd. Net als in eerdere jaren hebben wij formele onrechtmatigheden geconstateerd. Dit betreft t/m Q2 2025 slechts twee verleningsbeschikkingen die niet vóór het verstrijken van de beslistermijn uit de Algemene Subsidie Verordening (ASV) zijn afgegeven. Dit type onrechtmatigheid heeft geen directe consequenties voor de rechtmatigheidsverantwoording, maar tast mogelijk het vertrouwen in een betrouwbare overheid aan.
Een positieve ontwikkeling is dat het Subsidiebureau het instrument van verdagen ten opzichte van eerdere jaren steeds vaker tijdig inzet. Hiermee is opvolging gegeven aan de aanbeveling uit onze eerdere rapportages. Door het tijdig verdagen van een subsidieverlening krijgt de gemeente extra tijd voor haar subsidiebeoordelingen bij hoge werkdruk. Het management van het Subsidiebureau herkent de bevindingen en gaat hiermee aan de slag.
11
Fraudepakket Frauderisicoanalyse Het onderwerp fraude heeft de afgelopen jaren door aanscherping van de beroepsnormen een steeds prominentere plek op de agenda van de externe accountant gekregen. Gemeenten worden verwacht te voldoen aan een fraudepakket bestaande uit drie onderdelen;
Organisatieonderdeel: Gemeentebreed De frauderisicoanalyse vindt in Q4 2025 plaats en wij rapporteren de resultaten hiervan in het Concernaudit jaarverslag.
Het uitvoeren van een periodieke frauderisicoanalyse;
Fraudeworkshop Organisatieonderdeel: VTH
Het jaarlijks verzorgen van workshops om bewustwording rondom fraude in kwetsbare processen te verhogen;
Het jaarlijks toetsen van beheersmaatregelen in fraudegevoelige processen.
De fraudeworkshop vindt in Q4 2025 plaats en wij rapporteren de resultaten hiervan in het Concernaudit jaarverslag.
Fraudepreventie – toetsen van beheersmaatregelen Organisatieonderdeel: VGU – proces kostprijsdekkende huur
Sinds 2023 is het uitvoeren van het fraudepakket bij Concernaudit belegd.
Het toetsen van beheersmaatregelen in een fraudegevoelig proces vindt in Q4 2025 plaats en wij rapporteren de resultaten hiervan in het Concernaudit jaarverslag.
12
Adviesopdrachten (1/4) Mens & Organisatie Medewerkers van de gemeente kunnen declaraties indienen voor werkgerelateerde kosten. In 2024 heeft MO 50.000 declaraties verwerkt met een totaalbedrag van 1,15 miljoen euro. M&O (HR Services) de afgelopen jaren, in afstemming met de Belastingdienst, de controles op declaraties aantoonbaar verscherpt en in december 2024 het beleid herzien. Op hun verzoek hebben wij knelpunten in het declaratieproces inzichtelijk gemaakt en geadviseerd over het actualiseren van het beleid en het versterken en automatiseren van controlewerkzaamheden. Het huidige declaratiebeleid dekt niet alle onkostensoorten, is verspreid over meerdere plekken op het intranet en in handleidingen. Dit is niet gebruikersvriendelijk, waardoor ongewenste verschillen in interpretatie bij leidinggevenden en medewerkers ontstaan. Verder zijn de maximale bedragen voor een aantal onkostensoorten sinds 2010 niet meer geïndexeerd. M&O monitort trends en patronen in het declaratieproces niet systematisch. Hierdoor bestaat het risico dat er onvoldoende zicht is op knelpunten en ontwikkelingen in de uitvoering van het declaratieproces. Verder zijn de huidige controlewerkzaamheden niet risicogebaseerd ingericht. Ervaringen uit het verleden, zoals onjuiste of ongewenste declaraties, worden in de controleaanpak niet meegewogen. Dit beperkt de effectiviteit van de huidige controles.
De goedkeuring van declaraties door leidinggevenden in het systeem is een sterke controle binnen het declaratieproces. Echter, leidinggevenden kunnen de goedkeuring delegeren, maar hiervoor ontbreken duidelijke spelregels in het beleid. Door gebrek aan adequate systeemfunctionaliteiten delegeert 56% van de leidinggevenden deze taak. 40% van de vervangers is zelf echter geen leidinggevende. Dit is ongewenst en ondermijnt de effectiviteit van de lijnmanager-controle. Wij hebben een dashboard ontwikkeld dat trends, verschillen tussen organisatieonderdelen, afdelingen en onkostensoorten en uitschieters inzichtelijk maakt. Het dashboard hebben wij aan HR Services overgedragen.
13
Adviesopdrachten (2/4) Concernaudit Automatisering werkzaamheden op VIC Inkopen en Aanbesteden Concernaudit is continu op zoek naar automatiseringsmogelijkheden voor handmatige auditwerkzaamheden. Een bijzonder arbeidsintensieve activiteit is het ieder kwartaal uitvoeren van de VIC 'Inkopen en Aanbesteden’ (zie pagina 11). Sinds 2024 werken we in pilots aan de automatisering van deze werkzaamheden, waarin we inmiddels aantoonbare efficiëntieslagen hebben gemaakt. Zo hebben wij in de periode 1 maart 2024 – 1 april 2025 in totaal 945 manuren bespaard als gevolg van automatisering. Met een besparing van 875 uur in de periode 1 april 2025 – 30 september 2025, hebben wij de automatiseringsgraad van de controle significant verhoogd.
Visuele weergave van stappen in de automatisering In totaal bespaarden we 875 manuren in de periode 1 april 2025 – 1 oktober 2025, verdeeld over de processtappen:
1. Batchdownload In één handeling alle onderliggende documenten uit het financiële systeem ophalen, zoals contracten en verlengingsbrieven.
2. Scraping Automatisch verzamelen van gegevens uit gedownloade documenten, zoals namen van crediteuren, tarieven en looptijden.
3. Data geschikt maken voor gebruik Voor 2025-26 hebben wij de volgende speerpunten gekozen: • Het uitbreiden van de scripts en het toepassen hiervan op aanvullende documenten • Het (door)ontwikkelen en integreren van templates voor het uitvoeren van geautomatiseerde berekeningen • Het deels geautomatiseerd opstellen van benodigde controledossier voor de externe accountant • Het bewegen naar een controle van de gehele populatie in plaats van steekproeven bij een aantal pilots, zoals inhuurcontracten.
265 uur
612 uur
Gegevens voorbereiden voor gebruik in controle, zoals het eenduidig opnemen van datumvelden (31.03.2025 vs. 31-03-2025).
4. Controle uitvoeren Controleren van automatisch verzamelde gegevens aan specifieke toetspunten
14
Adviesopdrachten (3/4) Financiën Dashboard Memorialen
Dashboard Purchase 2 Pay (P2P) – bestellen t/m factuurafhandeling
De gemeente Utrecht verwerkt jaarlijks een groot aantal memorialen. In 2024 betrof dit 8.663 memorialen ter waarde van ongeveer € 5 miljard.
In het boekjaar 2024 heeft de gemeente Utrecht ongeveer 142.000 crediteurenfacturen geboekt, voor een totaalbedrag van € 1,2 miljard.
Vanwege het handmatige karakter en de mogelijkheid om het resultaat te beïnvloeden voor persoonlijk gewin, hebben memorialen een verhoogd risico op fraude. De externe accountant heeft in diverse managementletters aandacht gevraagd voor de gebrekkige onderbouwing van memoriaalboekingen en tekortkomingen in de interne beheersing.
Op verzoek van Financiën stelt Concernaudit periodiek dashboards beschikbaar waarin de naleving van een aantal beheersmaatregelen in het P2P proces inzichtelijk wordt gemaakt.
In samenwerking met Financiën hebben wij in 2024 een dashboard ontwikkeld om met een datagedreven aanpak het memorialenproces: • • • •
Inzichtelijker te maken; Knelpunten te identificeren; Interne beheersmaatregelen gericht aan te scherpen; Oorzaken van memoriaalboekingen in beeld te brengen en hierdoor het aantal boekingen terug te brengen.
De focus ligt hierbij op de autorisaties van betrokken personen, functiescheiding en handmatig ingrijpen in geautomatiseerde processtappen. Uit de analyse over boekjaar 2024 blijkt dat beheersmaatregelen over het algemeen adequaat worden nageleefd.
In Q2 2025 hebben wij dit dashboard omgebouwd zodat het compatibel is met het nieuwe financiële systeem (SAP S4/HANA). In Q4 2025 voegen wij aanvullende controles toe.
Is Q2 2025 hebben we het dashboard omgebouwd zodat het compatibel is met het nieuwe financiële systeem (SAP S4/HANA).
In Q1 2026 vullen wij dit dashboard met data over boekjaar 2025 en rapporteren wij over de resultaten hiervan.
Financiën kan met inzichten uit het dashboard tekortkomingen in het P2P proces tijdig identificeren en bijsturen. Gezien Concernaudit de automatisering van de controles in het P2P proces al geruime tijd ondersteunt, dient Financiën hier vanaf Q2 2026 zelfstandig invulling aan te geven. 15
Adviesopdrachten (4/4) - doorlopend Onderstaande opdrachten betreffen doorlopende adviesopdrachten, waarvoor wij de resultaten rapporteren in het jaarverslag 2025-26. Hieronder is per doorlopende adviesopdracht een toelichting op de status per 30 september 2025 opgenomen.
M&O: Voorspellend model vrijwillige uitstroom De krapte op de arbeidsmarkt stelt de gemeente Utrecht voor uitdagingen. Openstaande vacatures zijn hierdoor lastiger in te vullen en voor werknemers is het aantrekkelijk om kansen buiten de gemeente te verkennen. Daarom hebben wij in 2024 in samenwerking met M&O een model ontwikkeld om toekomstige vrijwillige uitstroom van medewerkers te voorspellen. De uitkomsten van het model hebben we gevisualiseerd in een dashboard.
Nu het dashboard een jaar in gebruik is, evalueren we het voorspellend model en het bijbehorende dashboard met M&O. Daarbij onderzoeken we waar verbeteringen mogelijk zijn en hoe we het voorspellend model toekomstbestendig kunnen inbedden in het capaciteitsmanagement van de gemeente.
JZ: Dashboard Management Rapportage 'Schade en Verzekeren'
JZ: Dashboard Management Rapportage ‘Bezwaar en Beroep’
Het genereren van informatie voor management-rapportages voor ‘Schade en Verzekeren’ vindt momenteel handmatig plaats en is afhankelijk van één functionaris. Dit is inefficiënt en vormt een ongewenste situatie in het kader van businesscontinuïteit. Daarom bestaat de wens voor een geautomatiseerd dashboard. Hiermee kan management van Juridische Zaken gerichter sturen op knelpunten en workload binnen het team.
Naar aanleiding van het dossier Binnenstad en het en het daaropvolgende Berenschot rapport, heeft Concernaudit in 2023 op verzoek van JZ een dashboard ontwikkeld om de managementrapportages omtrent het proces ‘Bezwaar en Beroep’ te verbeteren.
Tijdens de verkenningsfase met JZ in 2024 hebben wij echter geconstateerd dat een koppeling tussen de benodigde productiesystemen ontbreekt. De ontwikkeling van deze koppeling is inmiddels in gang gezet. Verder onderzoekt JZ momenteel het gebruik van een nieuwe module. Wij blijven in 2025 aangesloten bij de ontwikkelingen van JZ en bieden ondersteuning voor data gerelateerde vraagstukken. Zodra de gewenste aanpak definitief is, starten wij met het bouwen van de geautomatiseerde rapportages.
Het dashboard is sinds december 2023 operationeel en visualiseert volledig geautomatiseerd relevante stuurinformatie voor de maandrapportages van het proces ‘Bezwaar en Beroep’. In Q1 2025 hebben wij ondersteuning geboden bij het omzetten van dit dashboard naar de standaard dashboarding tool van de gemeente (van Cognos naar Tableau). In Q4 breiden wij de werkzaamheden uit en voorzien wij het dashboard van verdiepende analyses.
16
Samenwerkingsinitiatieven Naast het uitvoeren van het jaarplan zijn leden van Concernaudit ook vertegenwoordigd in een aantal expert panels en werkgroepen. Hierin werken we samen met collega's uit verschillende domeinen aan complexe organisatorische vraagstukken en procesverbeteringen. Hieronder hebben wij enkele nieuwe en bestaande samenwerkingsinitiatieven uitgelicht.
Externe samenwerkingsinitiatieven
Interne samenwerkingsinitiatieven
Commissie Bedrijfsvoering en Auditing Decentrale Overheden BADO
Werkgroep AI Act
Chief Audit Executives Forum
Kernteam rechtmatigheidsverantwoording
Risicoplatform overheden
Expert panel inhuur
Lid regiegroep Versterken Financiële Functie
Project Hervorming Control Functie (HCF) Op verzoek van de Directeur Concercontrol geeft de Manager Concernaudit leiding aan een projectteam bestaande uit Business Controllers, een senior HR functionaris en adviesbureau Highberg om te adviseren over de inrichting van een robuuste en toekomstbestendige Control functie. Een auditor fungeert hierbij als projectsecretaris.
Lid feedbackgroep Versterken Financiële Functie
Vakgroep data science
Artificial Intelligence (AI) tafel
17
Status onderhanden auditopdrachten uit jaarplan 2025-26 Deze pagina geeft de onderhanden opdrachten uit het jaarplan 2025-26 weer. Wij verwachten deze opdrachten conform planning af te ronden.
Per 30 september 2025
Vooronderzoek
Opdrachtbevestiging afgestemd
Veldwerk afgerond
Bevindingen afgestemd
Conceptrapport aangeboden
In afwachting van managementreactie
213a – Verstrekken van subsidies Readiness assessment NIS2-richtlijn SAP S/4 HANA – realisatie beoogde effecten business case Tussenevaluatie organisatieontwikkeling en verandertraject VG Beëindigingsovereenkomsten Spelregels gemeentebrede uurtarieven Onderzoeksprotocol integriteitsschendigen en misstanden Kostprijsdekkende verhuurprijzen
18
Status onderhanden adviesopdrachten uit jaarplan 2025-26 Deze pagina geeft de onderhanden adviesopdrachten uit het jaarplan 2025-26 weer. Wij verwachten deze opdrachten conform planning af te ronden.
Per 30 september 2025
Vooronderzoek
Opdrachtbevestiging afgestemd
Veldwerk afgerond
Bevindingen afgestemd
Conceptrapport aangeboden
In afwachting van managementreactie
Financiën: Dashboard btw bij doorbelasting van kosten Financiën: Dashboard Memorialen M&O: Voorspellend model groei van de organisatie MO: Dashboard subsidieverstrekkingen Dashboard raadplegingen kentekens Fraudeworkshop Frauderisicoanalyse
19
Status doorlopende opdrachten uit jaarplan 2025-26 Deze pagina geeft de doorlopende opdrachten uit het jaarplan 2025-26 weer. Wij verwachten deze opdrachten conform planning af te ronden en rapporteren de resultaten hiervan in het Jaarverslag Concernaudit 2025-26.
Per 30 september 2025 RMV Inkopen en aanbesteden Q3
De voorbereidende acties zijn voltooid. De hoofdwerkzaamheden vinden plaats in oktober 2025.
RMV Inkopen en aanbesteden Q4
De werkzaamheden vinden plaats in februari 2026.
RMV Subsidies (einde jaar) RMV Gemeentebreed (gegevensgericht) M&O: Voorspellend model vrijwillige uitstroom
De werkzaamheden vinden plaats in Q1 2026. Er zijn wekelijkse vragenuren tussen Concernaudit en de organisatieonderdelen. De hoofdwerkzaamheden vinden plaats in Q1 2026. Er zijn periodieke overleggen met M&O over de doorontwikkeling van het dashboard.
JZ: Dashboard Management Rapportage 'Schade en Verzekeren’
Er zijn periodieke overleggen met JZ over de ontwikkelingen en Concernaudit biedt ondersteuning voor data gerelateerde vraagstukken.
JZ: Dashboard Management Rapportage ‘Bezwaar en Beroep’
Er zijn periodieke overleggen met JZ over de doorontwikkeling van het dashboard.
20
Management van de interne auditfunctie (1/2) Onafhankelijkheid
Belangenverstrengeling
De Manager Concernaudit heeft vastgesteld dat de benodigde onafhankelijkheid van Concernaudit is gewaarborgd:
Potentiële belangenverstrengeling wordt periodiek getoetst door de Manager Concernaudit. In de periode 1 april 2025 t/m 30 september 2025 heeft belangenverstrengeling zich niet voorgedaan.
• De Manager Concernaudit rapporteert aan een dusdanig hoog niveau in de organisatie, waardoor Concernaudit in staat is om haar verantwoordelijkheden onafhankelijk te vervullen. • De Manager Concernaudit heeft een directe communicatielijn met de Gemeentesecretaris, de Wethouder en de Adviescommissie Control & Financiën.
Belangenverstrengeling vindt plaats op het moment dat een auditor, die een vertrouwenspositie bekleedt in haar functie, een ander professioneel of persoonlijk belang heeft. Tegengestelde belangen kunnen het onpartijdig uitoefenen van de auditfunctie bemoeilijken. Door belangenverstrengeling kan een ongepast beeld ontstaan welke het vertrouwen in de interne auditor en haar audit activiteiten kan schaden.
• In de periode 1 april 2025 t/m 30 september 2025 heeft geen inbreuk op de onafhankelijkheid van Concernaudit plaatsgevonden.
Concernaudit Charter
Permanente educatie Auditors met certificaten en beroepslidmaatschappen die bijbehorende onderhoudseisen in het kader van ‘Permanente Educatie’ stellen, volgen de benodigde trainingen en cursussen om hieraan te voldoen.
Middelen en budget
Concernaudit herijkt het Auditcharter in Q4 2025, naar aanleiding van de vernieuwde beroepsstandaarden voor interne auditors (GIAS), de geactualiseerde Concernaudit strategie een aanbevelingen uit de lopende externe kwaliteitstoetsing. Het geactualiseerde Auditcharter wordt door de Concerndirectie en het college vastgesteld in Q4 2025.
• Concernaudit beschikte over voldoende middelen (capaciteit en budget) om het interne audit plan 2025-26 uit te voeren. • Concernaudit zal het interne audit plan 2025-26 binnen het vastgestelde budget afronden.
21
Management van de interne auditfunctie (2/2) Kwaliteitsbewaking en verbeterprogramma Interne auditfuncties wereldwijd maken gebruik van dezelfde standaarden bij het uitvoeren van hun werkzaamheden. Deze standaarden zijn door onze beroepsorganisatie, het Instituut van Internal Auditors (IIA), recentelijk geüpdatet op basis van maatschappelijke ontwikkelingen. De nieuwe standaarden (GIAS) zijn vanaf 1 januari 2025 van toepassing. GIAS 8.4 schrijft voor dat interne audit afdelingen iedere vijf jaar een externe kwaliteitstoetsing laten uitvoeren om de naleving van de standaarden en de effectiviteit en efficiëntie van de interne audit functie te beoordelen. De Manager Concernaudit heeft opdracht aan IIA Nederland gegeven om de externe kwaliteitstoetsing voor het eerst in 2025 uit te voeren. De verbeterpunten uit het pre-assessment rapport van juni 2025 hebben we inmiddels opgepakt en we verwachten de formele toetsing en certificering in december 2025 af te ronden. De verbeterpunten hebben met name betrekking op GIAS domeinen 3 "Besturen van de internal auditfunctie",4 "Managen van de internal auditfunctie en 5 "Uitvoeren van interne auditdiensten". Na afronding van de formele toetsing, zal Concernaudit jaarlijks een selfassessment uitvoeren en de resultaten middels (half)jaarverslag aan de Concerndirectie en het college rapporteren.
Wij werken voor het onderwerp kwaliteitsbewaking nauw samen met de reeds gecertificeerde interne audit afdelingen van de gemeenten Amsterdam en Den Haag.
Key Performance Indicators (KPI’s) Jaarplanrealisatie Maximaal 3 audits of advies opdrachten die per 31 maart 2025 onderhanden zijn en in Q2 2025 worden afgerond.
Gerealiseerd
Budget Het jaarplan 2025-26 binnen het budget uitvoeren.
Onderhanden op schema
Kwaliteit dienstverlening Score 4 of hoger (afgerond) in 80% van alle audits. Auditees ontvangen een enquête waarin zij onze dienstverlening beoordelen van 1 t/m 5 op stellingen met betrekking tot Team, Uitvoering, Rapport en Meerwaarde audit. Professionele ontwikkeling De speerpunten voor 2025-26 zijn de ontwikkeling van leiderschapscompetenties, soft control audit technieken en benodigde vakexpertise voor de jaarlijkse verplichte Wet politiegegevens audit. Procesverbeteringen: doorlooptijd 80% van de concept auditrapporten en concept advies-memo’s uiterlijk 13 werkdagen dagen na de closing meeting versturen.
Follow-up Het follow-up proces voor alle audits binnen 3 tot 6 maanden na het uitbrengen van het definitieve audit rapport afronden.
Gerealiseerd: 80%
Gerealiseerd
Loopt achter: 57% Jaarverslag 2024-25: 50%
Nog niet van toepassing op het jaarplan 2025-26
22
Burgemeester en wethouders Postadres Postbus 16200, 3500 CE Utrecht Telefoon 14 030 www.utrecht.nl
Aan de gemeenteraad
Behandeld door
M. de Nooijer
Datum
25 november 2025
miranda.de.nooijer@utrecht.nl
Kenmerk
33493362
Type brief
Aanbiedingsbrief, reactiebrief
Onderwerp
Jaarstukken 2025: Boardletter 2025
Bijlage(n)
1
Beleidsveld
Financiën
Geachte leden van de raad, Met deze brief reageren we op de Boardletter 20251 van de accountant. In de Boardletter rapporteert de accountant over haar bevindingen en aanbevelingen op basis van de door hen uitgevoerde interim-controlewerkzaamheden. Bij deze controle kijkt de accountant naar onze werkprocessen en beheersingsmaatregelen. De Boardletter 2025 is als bijlage bij deze brief opgenomen. In deze brief gaan we op de belangrijkste bevindingen in. Overall beeld interne beheersing, organisatieontwikkeling en concernsturing We zijn verheugd dat de accountant dit jaar wederom constateert dat de interne beheersing voldoet aan de eisen die gesteld zijn vanuit de accountantscontrole. Tegelijkertijd zijn er ook nog verbeterpunten. Zo stelt de accountant in lijn met het Accountantsverslag 2024 dat de organisatie vol is van ambitie, maar ook dat de realisatie hiervan, op onderdelen, niet altijd het tempo heeft waarop gehoopt wordt of initieel rekening mee gehouden werd. Het vergroten van de realisatiekracht met betrekking tot begrote investeringen blijft een belangrijk aandachtspunt, ook met uitdagingen op het gebied van netcongestie, juridische procedures en macro-economische ontwikkelingen, het investeringsplafond en, in het verlengde hiervan, het op lange termijn in balans houden van de begroting.
Hierbij is het belangrijk dat de realisatiekracht reëel is en dat indien nodig ambities worden bijgesteld. De accountant heeft de implementatie van SAP S/4HANA (een financieel systeem) op ons verzoek nauwlettend gevolgd. Op dit moment is de implementatie van dit systeem afgerond en werkt het naar behoren. De accountant constateert terecht dat verdere optimalisering van de operationele functionaliteiten, zoals het beschikbaar stellen van de benodigde rapportages en het tijdig boeken van memorialen noodzakelijk is voor de tijdigheid en betrouwbaarheid van sturings-en verantwoordingsinformatie en voor de accountantscontrole. Dit heeft voor ons hoge prioriteit.
1 In 2024 heeft de (Europese) aanbesteding voor de externe accountant plaatsgevonden. Bij de aanbesteding is in het
bijbehorende Programma van Eisen opgenomen dat u - via de adviescommissie Controle en Financiën - een Boardletter ontvangt naar aanleiding van de interim-controle. Voorheen was dit de managementletter.
Burgemeester en wethouders Datum Ons kenmerk
25 november 2025 33493362
Daarnaast hebben we in nauw contact met de accountant blijvend aandacht voor de waardering van de grondexploitaties en de interne beheersing met betrekking tot de memorialen gericht op de onderbouwingen van de memoriaalboekingen. Van openstaande accountantsadviezen uit voorgaande jaren zijn er dit moment drie geheel en veertien gedeeltelijk opgelost. De gedeeltelijk opgeloste adviezen zijn onderhanden en kennen een langere doorlooptijd. Specifieke aandachtspunten De bevindingen van de accountant zijn voor ons herkenbaar. Wij ervaren het als positief dat de accountant constateert dat de interne beheersing in de basis overall gezien op orde is in relatie tot de financiële verantwoording in de jaarrekening. We gaan in op de aandachtspunten van de accountant. Op dit moment is de organisatie volop aan het verbeteren en (door)ontwikkelen op verschillende onderwerpen. We kunnen ons voorstellen dat het de raad nu ontbreekt aan een totaaloverzicht van de verschillende mijlpalen. In het voorjaar van 2026 zullen we u informeren via een raadsbrief, waarbij we aangeven welke mijlpalen we willen behalen, de duur die hieraan gekoppeld is en het totale tijdspad dat we nu inschatten. Concernsturing Op belangrijke dossiers wordt volgens de accountant niet centraal gestuurd en gemonitord. Diverse activiteiten van onder andere de financiële en controlfunctie zijn decentraal georganiseerd.
In de Voorjaarsnota 2025 hebben we aangegeven dat we bedrijfsvoeringsfuncties willen centraliseren om zo beter te kunnen sturen op prioriteiten en gebruik te kunnen maken van schaalvoordelen. Hiermee verhogen we de kwaliteit van de dienstverlening. Sturing en informatievoorziening vanuit decentraal naar centraal en vice versa is op een aantal onderdelen ontoereikend om te kunnen monitoren en tijdig beslissingen te nemen. Op een aantal punten is een start gemaakt om de centrale sturing te verstevigen en blijft de organisatie in ontwikkeling. Zo wordt bijvoorbeeld gekeken naar het centraliseren van enkele organisatieonderdelen vanuit de bedrijfsvoering (bijv. Control). Ook is u onlangs de beleidsnota Risicomanagement aangeboden, en binnenkort volgt de beleidsnota Verbonden partijen met daarin een heldere (centrale) sturingslijn die komend jaar wordt geïmplementeerd. Dit vraagt op onderdelen ook investeringen in de capaciteit op concernniveau. De organisatie herijkt de controlfunctie. In samenhang daarmee wordt bezien in hoeverre de inrichting van control bijstelling behoeft (controlframe work). In het programma Versterking Financiële Functie is de positionering van de centrale afdeling Financiën voor versterking van interne beheersing één van de hoofdthema’s. Versterken Financiële Functie Het verbeterprogramma “Versterken Financiële Functie” is in 2024 van start gegaan.
In 2025 is verder gewerkt aan de versterking van de financiële functie. De raad wordt regelmatig geïnformeerd over de voortgang, onder meer in de adviescommissie Controle en Financiën en via de raadsbrieven Voortgang Verbeterprogramma Versterken Financiële Functie van 18 maart 2025 en 25 november 2025. De accountant zegt de eerste resultaten terug te zien in zijn controle, zoals rondom het creëren van een stabielere basis door het werven van vaste medewerkers op sleutelfuncties binnen de financiële afdeling. Beheersing investeringsagenda De accountant benadrukt het belang van het programma Grip op investeringen. Met Grip op investeringen willen we zorgen voor een toekomstbestendige stad – met ambities die realistisch zijn én financieel houdbaar blijven.
2/3
Burgemeester en wethouders Datum Ons kenmerk
25 november 2025 33493362
In de paragraaf investeringen van de begroting en jaarstukken lichten we de ontwikkelingen om de grip op investeringen te vergroten toe. We onderschrijven de aanbeveling om de informatievoorziening over uitputting van investeringskredieten tijdens de uitvoering van investeringen te verbeteren. Een eerste stap in verdere verbetering van die informatievoorziening is dat we hieraan vanaf begrotingsjaar 2026 extra aandacht besteden in de interne managementcyclus die doorwerkt in de begrotingsproducten. Richting het voorjaar van 2026 werken we een voorstel uit voor een investeringsplafond en een bestendige bekostigingssystematiek voor investeringen in nieuwe woningen, buurten en voorzieningen. EU-aanbestedingen De accountant wijst op het belang van het hebben van een betrouwbaar inkoopproces dat goed ondersteund wordt door een inkoopsysteem. Er wordt gewerkt aan een doorontwikkeling van de organisatie en ondersteuning van inkoopprocessen, gericht op concentratie, meer uniformiteit, kennisdeling en beter inzicht in de voortgang van aanbestedingen en contractmanagement. We onderstrepen het belang van versterking van de onderlinge afstemming tussen organisatieonderdelen, meer zicht op risico’s en voortgang om vervolgens op concernniveau gerichter te kunnen sturen op de rechtmatigheid en doelmatigheid van inkopen.
Controle SiSa-regelingen Het aantal SiSa-regelingen waar de gemeente over moet verantwoorden neemt ook dit jaar onverminderd toe. Dit is een blijvend aandachtspunt voor de jaarrekeningcontrole zowel voor de ambtelijke organisatie als de accountant. In samenwerking met de accountant zijn stappen ondernomen om het proces rondom de SiSa verantwoording te verbeteren. Conclusie Het is fijn te constateren dat de accountant in haar Boardletter aangeeft dat de gemeente Utrecht haar interne beheersing ‘overall gezien’ op orde heeft en belang hecht aan concernsturing en het verder verbeteren van de interne beheersing en haar processen. We blijven de komende periode hard werken om de verdere verbeteringen te realiseren.
Hoogachtend, Burgemeester en wethouders van Utrecht,
de secretaris,
de burgemeester,
3/3
Boardletter 2025 Gemeente Utrecht, 14 november 2025
Deloitte Accountants B.V. Wilhelminakade 1 3072 AP Rotterdam Postbus 2031 3000 CA Rotterdam Nederland Tel: 088 288 2888 Fax: 088 288 9830 www.deloitte.nl
Aan de gemeenteraad van de gemeente Utrecht Postbus 16200 3500 CE UTRECHT
Geachte leden van de gemeenteraad,
Onderwerp Boardletter 2025
Wij benadrukken dat de interim-controle primair is bedoeld om de interne-beheersingsmaatregelen in uw organisatie te beoordelen en te toetsen, als basis om te komen tot een oordeel over de betrouwbaarheid van de in de jaarrekening 2025 opgenomen informatie. Het voorgaande impliceert dat onze werkzaamheden niet de hele interne-beheersingsomgeving van de gemeente Utrecht omvatten. Tevens heeft de interim-controle als doel om de aandachtspunten voor de jaarrekening 2025 te signaleren en onder uw aandacht te brengen.
Datum 14 november 2025 Ons kenmerk Definitief
Hierbij brengen wij verslag uit van de bevindingen naar aanleiding van de recentelijk afgesloten interim-controle. De aanpak en de aandachtspunten van deze tussentijdse controle, die wij hebben uitgevoerd in opmaat naar de controle van de jaarrekening 2025 van de gemeente Utrecht, zijn vastgelegd in het auditplan 2025.
Wij merken op dat deze Boardletter is opgesteld ten behoeve van de leden van de Adviescommissie Financiën en Control van de gemeente Utrecht en niet zonder onze toestemming aan derden mag worden verstrekt. Wij hebben deze rapportage ambtelijk en bestuurlijk (met o.a. uw gemeentesecretaris en portefeuillehouder financiën) besproken. Wij vertrouwen erop u hiermee van dienst te zijn en danken u en uw medewerkers voor de samenwerking tijdens de interim-controle en bij de totstandkoming van deze Boardletter. Hoogachtend, Deloitte Accountants B.V.
drs. R.M.J. van Vugt RA
B. Leeuwenkamp MSc RA
Op alle opdrachten verricht door Deloitte, behoudens M&A Diensten, zijn de Algemene Voorwaarden Dienstverlening Deloitte Nederland, januari 2020 gedeponeerd bij de Kamer van Koophandel onder nummer 24362837 van toepassing. Deloitte Accountants B.V. is ingeschreven in het handelsregister van de Kamer van Koophandel te Rotterdam onder nummer 24362853. Deloitte Accountants B.V. is a Netherlands affiliate of Deloitte NSE LLP, a member firm of Deloitte Touche Tohmatsu Limited.
Inhoudsopgave Managementsamenvatting | Bestuurlijk relevante bevindingen en aanbevelingen interim-controle
5
Speerpunten Adviescommissie Controle en Financiën
15
Aandachtspunten jaarrekeningcontrole 2025
17
Bijlage | Reikwijdte van onze werkzaamheden
20
© 2025. For information, contact Deloitte The Netherlands.
3
Uw controleteam
Wij beantwoorden graag uw vragen over deze Boardletter:
Rein-Aart van Vugt Partner Deloitte Accountants B.V. Tel: +316 1100 2353 rvanvugt@deloitte.nl
Bob Leeuwenkamp Director Deloitte Accountants B.V. Tel: +316 1201 1643 bleeuwenkamp@deloitte.nl
Danny Graus Director IT Audit Deloitte Accountants B.V. Tel: +316 5311 9327 dgraus@deloitte.nl
Maurice Heuer Senior Manager Deloitte Accountants B.V. Tel: +316 8333 0192 maheuer@deloitte.nl
Monique van Doornum- van Duist Senior Manager Deloitte Accountants B.V. Tel: +316 12342787 mvanduist@deloitte.nl
Rohini Garib Manager Deloitte Accountants B.V. Tel: +316 29653107 rgarib@deloitte.nl
Niels van den Akker Manager Deloitte Accountants B.V. Tel: +316 31024071 nivandenakker@deloitte.nl
Bart de Nijs Manager Deloitte Accountants B.V. Tel: +316 12104989 bdenijs@deloitte.nl
© 2025. For information, contact Deloitte The Netherlands.
4
Managementsamenvatting Bestuurlijk relevante bevindingen en aanbevelingen interim-controle
© 2025. For information, contact Deloitte The Netherlands.
5
Bestuurlijk relevante bevindingen en aanbevelingen interim-controle Onderwerp
Boodschap
Overall beeld interne beheersing en organisatieontwikkeling
Algemeen – opzet van deze Boardletter Voor de komende jaren hebben wij een drietal “hoofddoelstellingen” geformuleerd voor de accountantsdiensten en adviesfunctie. Deze hebben wij onderstaand schematisch weergegeven. Gezien de doelstellingen overkoepelend en meerjarig van aard zijn (waarbij eveneens sprake kan zijn van een groeitraject), hebben wij de doelstellingen opgedeeld in subdoelstellingen. Voor boekjaar 2025 hebben wij in ons auditplan een vijftal subdoelstellingen geformuleerd. Van de benoemde subdoelstellingen staan de volgende centraal in deze Boardletter: • Grip op investeringen / Besluitvorming, planning, begroting en informatievoorziening investeringen inclusief MPR (gebiedsontwikkeling); • Realistisch plannen, ramen en begroten (implementatie uitvoeringstoets door gemeente Utrecht); • Concernsturing en concernmonitoring (three lines model, versterken financiële functie, integraliteit).
Realiseren van betere concernsturing en monitoring en hierbij versterken van de financiële functie
Realiseren van een snellere, meer organisatiegerichte, continuous accountantscontrole
Verder versterken kennis en kaderstellende rol van de raad en de Adviescommissie Controle en Financiën
© 2025. For information, contact Deloitte The Netherlands.
Managementsamenvatting
Speerpunten Adviescommissie
Aandachtspunten jaarrekeningcontrole 2025
Bijlage
6
Bestuurlijk relevante bevindingen en aanbevelingen interim-controle Onderwerp
Boodschap
Overall beeld interne beheersing en organisatieontwikkeling
Op basis van de uitgevoerde interim-controle constateren wij dat de interne beheersing voldoet aan de vanuit de accountantscontrole hieraan minimaal te stellen eisen. Wij zien dat de organisatie vol is van ambitie maar dat de realisatie hiervan, op onderdelen, niet altijd het tempo heeft waarop gehoopt wordt of initieel rekening mee gehouden werd. Daarbij zien wij dat het financieel in balans houden van de begroting uitdagend kan zijn. Het prioriteren van de ambities is zodoende blijvend van belang. De grootste (financiële) uitdagingen liggen in het realiseren van majeure projecten zoals Leidsche Rijn, Merwede, het Wervengebied en het op lange termijn in balans houden van de begroting. Bij de projecten zijn er ook belangrijke uitdagingen op het gebied van netcongestie, juridische procedures en macro-economische ontwikkelingen alsmede het daaraan gekoppelde investeringsplafond. Daarnaast is ook het daadwerkelijk in uitvoering brengen van de geplande en begrote investeringen een belangrijk aandachtspunt. Het vergroten van de realisatiekracht is een belangrijk aandachtspunt voor de gemeentelijke organisatie. Uw organisatie verkent actief de mogelijkheden van (Gen)AI en automatisering binnen de verschillende processen om de efficiency en effectiviteit van processen te vergroten.
De implementatie van SAP S/4 HANA is hierin een mooie eerste stap geweest waar in volgende jaren op kan worden voortgeborduurd.
Wij concluderen ten aanzien van uw interne beheersing dat de basis ‘overall-gezien’ op orde is om tot de financiële verantwoording in de jaarrekening 2025 te komen. In het afgelopen boekjaar zijn hierin wel belangrijke proceswijzigingen doorgevoerd als gevolg van de implementatie van SAP S/4 HANA . Deze implementatie heeft ook speciale aandacht gekregen in onze interim-controle. Waarbij wij onder andere gekeken hebben naar de nieuwe inrichting van processen en interne beheersingsmaatregelen. Tevens hebben onze IT auditors een zogenoemde pre-implementation review uitgevoerd, waarbij op voorhand is meegekeken bij de migratie naar SAP S/4 HANA. Hierbij is een nauwe samenwerking geweest tussen Deloitte, de Gemeente en haar implementatiepartner McCoy. Tijdens het traject zijn meerdere aanbevelingen gedaan welke iteratief zijn teruggekoppeld aan McCoy. Daarnaast hebben wij speciale aandacht besteed aan de datamigratie zelf (of de gegevens op een juiste manier overgezet zijn van het ene systeem naar het andere). De uitkomsten van onze testwerkzaamheden ten aanzien van deze datamigratie hebben wij in de paragraaf Interne beheersing | Betrouwbaarheid en continuïteit geautomatiseerde gegevensverwerking opgenomen.
Overall beeld interne beheersing en organisatieontwikkeling | Concernsturing
In eerdere jaren hebben wij onze visie gedeeld over de wijze waarop de gemeente Utrecht organisatorisch ingericht is en welke effecten dit heeft op de (financiële) interne beheersing. Wij benadrukken het centralisatievraagstuk als meest urgente thema. Wij identificeren diverse onderwerpen die vragen om centrale sturing en monitoring, zoals: • de control(functie); • grip op investeringen; • de inkoopfunctie; • het versterken van de financiële functie en hygiëne van de financiële administratie (beperken van P14/15 boekingen); • het zicht houden op risico’s en claims; • de functie van reserves. Wij achten het van belang om een duidelijke keuze te maken ten aanzien van het centralisatievraagstuk en hierbij een planning met concrete tijdsmomenten af te spreken. De eerste maatregelen volgen uit het door u vastgestelde programma “versterken financiële functie”. Daarbij wordt ingezet op (1) verbeteringen intern binnen de afdeling financiën en het onderlinge samenspel tussen de clusters en (2) het gemeentebrede samenspel met de organisatieonderdelen en concerncontrol. Binnen het programma is ook aandacht voor de voorwaarden voor grip: • • • • •
(centrale) kaderstelling; organisatie en werkprocessen; besturing en beheersing; informatievoorziening en systemen; en mensen en cultuur.
Wij hebben bij onze controle kennisgenomen van de eerste resultaten van het programma, waaronder met vaste dienstverbanden invullen van een aantal key functies binnen de financiële afdeling. De doelstelling is dat dit uw gemeente een stabielere basis geeft om de financiële functie (duurzaam) te versterken.
© 2025. For information, contact Deloitte The Netherlands.
Managementsamenvatting
Speerpunten Adviescommissie
Aandachtspunten jaarrekeningcontrole 2025
Bijlage
7
Bestuurlijk relevante bevindingen en aanbevelingen interim-controle Onderwerp
Boodschap
Overall beeld interne beheersing en organisatieontwikkeling | Concernsturing (vervolg)
Wij blijven kritisch op de wijze waarop de financiële- en controlfunctie op dit moment is georganiseerd binnen Utrecht. Op belangrijke dossiers wordt niet centraal gestuurd en gemonitord. Daarnaast zijn diverse activiteiten van uw financiële- en controlfunctie decentraal georganiseerd. Hierdoor is zowel F&I als concerncontrol niet op alle onderwerpen (centraal) betrokken. Een voorbeeld hiervan betreft de sturing en beheersing van verbonden partijen, risicomanagement, juridische geschillen en investeringen. Hierdoor is het eveneens onvoldoende mogelijk voor de organisatieonderdelen om, op basis van hun integrale verantwoordelijkheid, de (eind)verantwoordelijkheid te (kunnen) nemen voor hun (aan)deel in het samen- en controleproces van de jaarrekening. Ook hier is de sturing en informatievoorziening van decentraal naar centraal op onderdelen ontoereikend om centraal te kunnen monitoren en tijdig beslissingen te nemen. Om hier verdere invulling aan te geven adviseren wij, in lijn met het programma “versterken financiële functie” om de positie c.q. rol van (financial) control binnen de gemeente Utrecht te heroverwegen en centraler te positioneren. Hierdoor ontstaat een meer zuivere rol en kan verdere beheersing van concernfinanciën worden versterkt.
Tevens zien wij de ontwikkeling en implementatie van een centraal financial controlframework (welke vervolgens ook gebruikt kan worden om vanuit decentraal naar centraal verantwoording af te leggen) als een logische c.q. noodzakelijke vervolgstap in de professionalisering van de financiële- en controlfunctie. Onderdeel van dit framework zou onder andere de eerder door ons geadviseerde analyse van balansrekeningen, alsmede het gaan werken met periodeafsluitingen moeten zijn. Hiermee kan de organisatie de financiële discipline en centrale sturing verder versterken. Tevens zou, indien dit proces adequaat wordt ingericht, dit moeten leiden tot een aanzienlijk lager aantal einde periode (‘periode 14 en 15’) boekingen in het jaarrekeningtraject (gezien balansposten tussentijds vaker worden beoordeeld in plaats van enkel aan het einde van het boekjaar). Wij merken op dat in opdracht van de Directeur Concerncontrol een projectteam, ondersteund door een extern adviesbureau, aan een hervorming van de Control functie werkt. Het projectteam adviseert omtrent de inrichting van een robuuste en toekomstbestendige Control functie en bijbehorende taken, rollen en verantwoordelijkheden. Wij zien dit als een positieve ontwikkeling.
Overall beeld interne beheersing en organisatieontwikkeling
De jaarrekeningcontrole 2024 hebben wij met uw organisatie geëvalueerd, waarbij er best practices en concrete acties zijn benoemd voor een gestroomlijnd verantwoordings- en controleproces. Wat betreft de jaarrekeningcontrole hebben wij samen met uw ambtelijke organisatie specifiek aandacht voor de volgende onderwerpen: •
Het aantal regelingen dat uw gemeente moet verantwoorden in de SiSa-bijlage en het aantal overige inkomende subsidiebaten is de afgelopen jaren toegenomen. Het is belangrijk de interne controle op de getrouwe verantwoording in de SiSa-bijlage en op overige inkomende subsidies en de rechtmatigheid van de bestedingen (dit valt binnen de rechtmatigheidsverantwoording van het college van B&W) tijdig uit te voeren en adequaat te documenteren. Wij hebben net als vorig jaar dan ook reeds in vroegtijdig stadium afstemming met uw organisatie over de documentatie en interne controle, waaronder de te hanteren formats. Wij zijn verheugd te zien dat uw organisatie stappen onderneemt om het proces rondom de werkzaamheden op de SiSa-bijlage in 2025 te verbeteren. Een vroeg vragenuur vóór het einde van het kalenderjaar lijkt ons een goede gelegenheid om vraagstukken voorafgaand aan de controle gezamenlijk te bespreken. Hoewel wij begrijpen dat de verantwoording van deze SiSa-regelingen een soms complexe en arbeidsintensieve exercitie kan zijn, vragen wij aandacht voor de tijdigheid en volledigheid van de dossiervorming en interne controle omtrent de verschillende te verantwoorden SiSa-regelingen.
•
Het beschikbaar hebben van een toereikende onderbouwing van de waardering van het onderhanden werk (voorraad) inzake de grondexploitaties, inclusief position papers. Specifiek aandachtspunten hierbij zijn: een actuele onderbouwing van de voor 2025 e.v. verwachte inflatie, een kosten- en opbrengstenindexatie, de (potentiële) effecten van de stikstofproblematiek en netcongestie op de grondexploitaties van de gemeente Utrecht (programma en planning) alsmede nieuw geopende en geherstructureerde grondexploitatieprojecten. Afgelopen jaren zijn de verantwoording en de controle (ondanks complexe verslaggevingsvraagstukken) soepel verlopen. Wij zullen, in lijn met vorig jaar, met het organisatieonderdeel Ruimte afspraken maken over de voor de controle benodigde stukken en onderbouwingen.
•
Het beperken van de ‘periode 14 en 15’ boekingen, oftewel correctieboekingen op de eerste conceptjaarrekening. Voorgaand jaar hebben wij de suggestie gedaan om periodiek een analyse van balansrekeningen te implementeren, op zowel concern- als decentraal niveau. Hierbij wordt door een functionaris van de gemeente (bij voorkeur een medewerker buiten het decentrale organisatieonderdeel) periodiek een controle uitgevoerd op de balansrekeningen (al dan niet onderverdeeld naar organisatieonderdeel), waarbij de juistheid en de onderbouwing van de individuele balansposten worden beoordeeld. Hiermee heeft de gemeente de mogelijkheid de ‘periode 14 en 15’ boekingen te reduceren.
© 2025. For information, contact Deloitte The Netherlands.
Managementsamenvatting
Speerpunten Adviescommissie
Aandachtspunten jaarrekeningcontrole 2025
Bijlage
8
Bestuurlijk relevante bevindingen en aanbevelingen interim-controle Onderwerp
Boodschap
Interne beheersing | Memoriaalboekingen
Memoriaalboekingen zijn handmatig ingevoerde journaalboekingen die niet voortkomen uit de reguliere kas-, bank- of inkoopprocessen en gebruikt (kunnen worden) om correcties of toevoegingen te doen aan de financiële administratie. Uw organisatie heeft, mede als gevolg van de migratie naar SAP S/4 HANA , het proces rondom de controle van memoriaalboekingen in 2025 herzien. De randvoorwaardelijke controletechnische functiescheiding heeft u systeemtechnisch afgedwongen. Dit zien wij als een positieve ontwikkeling. Het doel van deze procesherziening, en onze aanbevelingen in het verleden hieromtrent, is om de betrouwbaarheid van de memoriaalboekingen en de consistentie van de controles en onderbouwingen te borgen. Uw organisatie hanteerde tot en met 2024 vaste formats waarin een aantal kernwerkstappen opgenomen waren, zoals een toets op: juiste grootboekrekening, de aanwezigheid van onderbouwende documentatie, het correct boeken van btw en, indien van toepassing, de door de budgethouder of business controller uitgevoerde BBV- check. Deze formats en (zichtbare) toetsingen worden met de procesmatige en systeemtechnische wijzigingen in 2025 niet meer gehanteerd. De BBV check wordt op voorhand door de financiële medewerker enkel uitgevoerd bij memorialen > EUR 1.000.000. De BBV check wordt echter niet (consistent) reproduceerbaar vastgelegd.
Tevens wordt de controle niet gewaarborgd in de workflow. Zodoende merken wij op dat er binnen het huidige proces nog geen sprake is van een gestructureerde wijze van het documenteren van de door de controlerend functionaris verrichte controlehandelingen, noch van de hierbij gemaakte overwegingen om een memoriaal te accorderen. Wij adviseren dan ook het proces hierop te herzien c.q. te versterken.
Interne beheersing | Rechtmatigheidsverantwoording en Europese aanbestedingen
Uw organisatie heeft geen centraal inkoopsysteem of contractbeheersysteem. De registratie van contracten vindt nog steeds decentraal plaats in SAP S/4 HANA door de verschillende organisatie onderdelen. Daarnaast ontbreekt het aan een eenduidige en consistente controle op de juistheid van de ingevoerde contractgegevens op decentraal niveau. Binnen uw (centrale) inkooporganisatie is er een initiatief gestart om de aansturing van de inkooporganisatie verder te centraliseren door het centraliseren van de inkoopmanagementcapaciteit. Dit heeft als doel meer overzicht en regie te krijgen op de decentrale inkoopactiviteiten, versnippering terug te dringen en de kwaliteit van het inkoopproces te verbeteren. Daarnaast is voorgaand jaar besloten het gebruik van uw applicatie voor het stroomlijnen van de documentenstroom rondom EU-aanbestedingen te beëindigen vanwege frequente storingen en tijdelijke onbeschikbaarheid van documenten. Na gesprekken met de leverancier van de applicatie is vanuit uw gemeente het voornemen uitgesproken om vanaf 2026 volledig (terug) over te stappen naar TenderNed, dat inmiddels ook is doorontwikkeld voor decentrale toepassingen, waarmee het aanbestedingsproces beter gestroomlijnd kan worden en alle aanbestedingsprocedures in één systeem kunnen plaatsvinden.
Uw organisatie behoudt het documentbeheer via MS Teams, waarmee de continuïteit en toegankelijkheid van informatie gewaarborgd blijft. Ook houdt de organisatie een inkoopkalender bij in de Teamsomgeving. Wij hebben vernomen dat het gebruik van deze inkoopkalender is verbeterd door beter begrip c.q. meer bekendheid binnen de organisatie. De kalender wordt echter nog steeds handmatig door verschillende decentrale medewerkers ingevuld, wat leidt tot variabiliteit in datakwaliteit en het risico op een onvolledige registratie. Daartegenover zet uw organisatie verschillende opleidingsprogramma’s en e-learningtools om de kennis en vaardigheden op het gebied van decentrale inkoop te vergroten. Vanuit uw organisatie wordt aangegeven dat deze initiatieven bijdragen aan verbeteringen in het inkoopproces, zoals bij het gebruik van de inkoopkalender. Concluderend constateren wij dat, ondanks de voortgang in de stroomlijning en centralisatie van het inkoopproces, het decentrale karakter en het ontbreken van integratie met systemen zoals SAP S/4 HANA belangrijke aandachtspunten blijven. Wij adviseren dat het vervolgtraject zich richt op het realiseren van integrale procesondersteuning, centrale kaderstelling en -monitoring. Hierbij merken wij op dat de organisatie hier reeds stappen in heeft ondernomen.