Auditcharter Concernaudit 2021 (definitief).pdf

Auditcharter concernaudit gemeente Utrecht Versie: definitief Gegevens van de regeling Overheidsorganisatie Officiële naam regeling Citeertitel Besloten door Ingangsdatum Onderwerp

Gemeente Utrecht. Auditcharter voor concernaudit van de gemeente Utrecht. Auditcharter concernaudit. College van B en W. 01-09-2021 De missie, onafhankelijkheid en objectiviteit, werkterrein, bevoegdheden en verantwoordelijkheden van concernaudit.

Het college van burgemeester en wethouders van de gemeente Utrecht; Gelet op • de artikelen 160, eerste lid, onderdeel c en 213a lid 1gemeentewet; • verordening voor periodiek onderzoek door het college naar de doelmatigheid en doeltreffendheid van het door het college gevoerde bestuur van de gemeente Utrecht (2003); • controleverordening gemeente Utrecht (2019). Besluit vast te stellen het auditcharter concernaudit van de gemeente Utrecht. 1. Doelstelling auditcharter Dit auditcharter heeft tot doel om: • duidelijkheid te verschaffen over de wijze waarop de onafhankelijkheid en objectiviteit van concernaudit is geborgd en hoe de relaties met de diverse bestuurslagen van de gemeente, de concerncontroller en de externe accountant liggen; • duidelijkheid te verschaffen over de totstandkoming van auditplannen en uit te voeren audits (zowel planmatig als ad hoc); • een algemeen kader te bieden voor het handelen van de interne auditors en hun opdrachtgevers; • een waarborg bieden voor de kwaliteit van de audits en voor een goed verloop van het auditproces. 2. Missie concernaudit De missie van concernaudit is om bij te dragen aan de beheerste realisatie van de strategische doelstellingen van de gemeente Utrecht als uitwerking van de ambitie ‘Gezond stedelijk leven voor iedereen’.

Dit doet concernaudit door het bestuur en ambtelijke organisatie te voorzien van risicogebaseerde en objectieve assurance, advies en inzicht ten aanzien van de doelmatigheid, de doeltreffendheid en de rechtmatigheid van het gevoerde beleid en de effectiviteit van bestuurlijke-, risicomanagement- en beheersprocessen. Om dit te bereiken voert concernaudit audit- en adviesopdrachten uit. Concernaudit hanteert hierbij een moderne en innovatieve aanpak, wat tot uiting komt in integrated audits; bewonersaudits en de inzet van audittechnieken zoals data-analyse en process mining. Concernaudit heeft verder ook aandacht voor gemeente specifieke auditkennis en aandacht voor opkomende risico's. Ten slotte heeft concernaudit een belangrijke adviesrol ten aanzien van de rechtmatigheidsverantwoording, risicomanagement, project- en procesbeheersing en gegevensbescherming. 3. Onafhankelijkheid en objectiviteit Onafhankelijkheid en objectiviteit zijn essentieel voor de effectiviteit van concernaudit. Concernaudit voorkomt, bij de uitvoering van audit- en adviesopdrachten, elke vorm van belangentegenstelling (in schijn en wezen). De onafhankelijkheid en objectiviteit van concernaudit worden gewaarborgd door de positie en aansturing van concernaudit, afspraken over de benoeming, ontslag en (tijdelijke) vervanging manager concernaudit en specifieke maatregelen met betrekking tot de auditors.

Auditcharter concernaudit gemeente Utrecht 2021

1

3.1 Organisatorische onafhankelijkheid Concernaudit is onafhankelijk gepositioneerd binnen concerncontrol, onderdeel van het Bedrijfsvoeringsen Strategienetwerk (BSN). De manager concernaudit rapporteert inhoudelijk aan de concerndirectie en het college en over de bedrijfsvoering aan de concerncontroller. Om de onafhankelijkheid en objectiviteit te waarborgen kan de manager concernaudit bij een conflict/blijvend verschil van inzicht gebruik maken van de volgende escalatielijnen: Escalatielijn 1 Concerncontroller Escalatielijn 2 Gemeentesecretaris/algemeen directeur Escalatielijn 3 De wethouder met audit in zijn/haar portefeuille namens het college Escalatielijn 4 Voorzitter adviescommissie Controle en Financiën van de gemeenteraad Mocht de Concerncontroller of de Gemeentesecretaris direct betrokken te zijn bij een conflict/verschil van inzicht, bijvoorbeeld als opdrachtgever van een audit of onderzoek, dan kan een escalatielijn worden overgeslagen. 3.2 Benoeming, ontslag en (tijdelijke) vervanging manager concernaudit De concerncontroller is hiërarchisch verantwoordelijk voor de aanstelling en ontslag van de manager concernaudit. De concerncontroller en de gemeentesecretaris informeren vooraf de wethouder met verantwoordelijkheid voor audit over een voorgenomen benoeming en ontslag van de manager concernaudit.

Bij tijdelijke afwezigheid van de manager concernaudit (bijvoorbeeld vanwege vakantie of ziekte), zullen de senior auditors zijn/haar taken waarnemen in onderling overleg. Bij langdurige afwezigheid van de manager concernaudit zal de concerncontroller in samenspraak met de gemeentesecretaris besluiten over de waarneming. 3.3 Onafhankelijkheid en objectiviteit auditors De manager concernaudit zorgt ervoor dat de concernaudit gevrijwaard blijft van alle omstandigheden die het vermogen van auditors om hun verantwoordelijkheden op onpartijdige wijze uit te oefenen, bedreigen, waaronder kwesties met betrekking tot auditselectie, reikwijdte, procedures, frequentie, timing en rapportinhoud. Als de manager concernaudit bepaalt dat onafhankelijkheid of objectiviteit feitelijk of ogenschijnlijk kan worden aangetast, zullen de details van die aantasting aan de betreffende partijen worden meegedeeld. Auditors zullen een onbevooroordeeldheid tentoonspreiden die hen in staat stelt om opdrachten objectief en op een zodanige manier uit te voeren dat zij vertrouwen hebben in hun werkproduct, dat er geen kwaliteitscompromissen worden gemaakt en dat zij hun oordeel over auditkwesties niet laten afhangen van dat van anderen. Auditors hebben geen directe operationele verantwoordelijkheid voor of bevoegdheid met betrekking tot een van de aan een audit onderworpen activiteiten.

Auditors zullen derhalve geen interne controles implementeren, procedures ontwikkelen, systemen installeren, verslagen opstellen of zich bezighouden met enige andere activiteit die hun oordeel nadelig zou kunnen beïnvloeden, waaronder: • het beoordelen van specifieke activiteiten waarvoor zij in het voorgaande jaar verantwoordelijk waren; • operationele taken uitvoeren voor gemeente Utrecht of aan haar gelieerde organisaties; • verantwoordelijkheid dragen voor de interne beheersing of interne controle van de organisatieprocessen; • het initiëren of goedkeuren van transacties die niet tot de verantwoordelijkheid behoren van concernaudit; • het leiden van de activiteiten van een werknemer van gemeente Utrecht die niet in dienst is bij de concernaudit, behoudens voor zover die werknemers naar behoren zijn toegewezen aan auditteams of zijn ingezet om op andere wijze auditors te assisteren.

Auditcharter concernaudit gemeente Utrecht 2021

2

Auditors zullen: • • • •

elke aantasting van de onafhankelijkheid of objectiviteit, feitelijk of ogenschijnlijk, aan de betreffende partijen meedelen; professionele objectiviteit tonen bij het verzamelen, evalueren en communiceren van informatie over de activiteit of het proces dat wordt onderzocht; alle beschikbare en relevante feiten en omstandigheden evenwichtig beoordelen; de nodige voorzorgsmaatregelen nemen om te voorkomen dat zij al te zeer worden beïnvloed door hun eigen belangen of door anderen bij het vormen van oordelen.

4. Normen voor de professionele praktijk van internal auditing Alle auditors van concernaudit moeten zich houden bij de uitoefening van hun werkzaamheden aan: • de gedragscode en kernwaarden (open, scherp, wendbaar en betrouwbaar) van de gemeente Utrecht en de bijbehorende integriteitsregels; • de beroepsnormen van het Instituut van Internal Auditors (IIA), waaronder verplichte richtlijnen: grondbeginselen, definitie, standaarden en gedragscode; en aanbevolen richtlijnen: implementatierichtlijnen en aanvullende richtlijnen; • dit auditcharter; • het handboek van concernaudit. Voor Register IT Auditors (RE's) werkzaam bij concernaudit gelden aanvullend de gedragscode en verplichte regels en richtlijnen van NOREA, de beroepsorganisatie van IT-auditors in Nederland. Voor Register Accountants (RA's) werkzaam bij concernaudit gelden aanvullend de gedragscode en verplichte regels en richtlijnen van NBA, de Koninklijke Nederlandse Beroepsorganisatie van Accountants. 5. Grondbeginselen van de beroepsuitoefening van internal auditing Van auditors van concernaudit wordt verwacht dat zij de volgende beginselen toepassen en hooghouden: • Integriteit De integriteit van auditors geeft vertrouwen en vormt aldus het fundament voor het vertrouwen dat wordt gesteld in diens oordeel.

• Objectiviteit Auditors moeten bij het verzamelen, evalueren en communiceren van informatie over de activiteit die of het proces dat wordt onderzocht, de hoogste mate van professionele objectiviteit ten toon spreiden. Auditors maken een evenwichtige afweging van alle relevante omstandigheden en laten zich bij het vormen van hun oordeel niet onrechtmatig beïnvloeden door hun eigen belangen of die van anderen. • Vertrouwelijkheid Auditors hebben respect voor de waarde en het eigendom van de informatie die zij ontvangen. Zij maken geen informatie openbaar zonder daarvoor toestemming te hebben verkregen, tenzij er een wettelijke of professionele plicht daartoe bestaat. • Competentie Auditors passen de kennis, vaardigheden en ervaring toe die nodig zijn voor het uitvoeren van audit- en adviesopdrachten. 6. Werkterrein, bevoegdheden en aard van de opdrachten 6.1 Werkterrein Alle activiteiten, organisatieonderdelen, processen, (geautomatiseerde) systemen, procedures, organisatieonderdelen en verbonden partijen en andere samenwerkingsverbanden van de gemeente Utrecht kunnen object van een audit- of adviesopdracht zijn. De audit- en adviesopdrachten richten zich op de doelmatigheid, doeltreffendheid en rechtmatigheid van bestuurlijke-, risicomanagement- en beheersprocessen voor gemeente Utrecht.

Auditcharter concernaudit gemeente Utrecht 2021

3

6.2 Bevoegdheden Concernaudit heeft de volgende bevoegdheden: • volledige, vrije en onbeperkte toegang tot alle functies, bestanden, gebouwen/terreinen en personeelsleden die relevant zijn voor het uitvoeren van een opdracht, onder voorbehoud van verantwoordelijkheid voor de vertrouwelijkheid en bescherming van bestanden en informatie; • resources toewijzen, frequenties instellen, onderwerpen selecteren, werkgebieden bepalen, technieken toepassen die nodig zijn om auditdoelstellingen te bereiken en rapporten uit te geven; • medewerking van het benodigde personeel van gemeente Utrecht verkrijgen, evenals andere gespecialiseerde services van binnen of buiten gemeente Utrecht, teneinde de opdracht af te ronden. Concernaudit kan alleen werkzaamheden uitvoeren bij een verbonden partij of een ander samenwerkingsverband als dit contractueel is vastgelegd (‘right to audit’) of als de auditee de verbonden partij hiervan op de hoogte heeft gesteld en er geen bezwaar is van deze verbonden partij. Indien er geen volledige toegang mogelijk is dan zal de manager concernaudit deze beperking melden bij de opdrachtgever. De manager concernaudit heeft onbeperkte toegang tot en communiceert rechtstreeks met de concerndirectie en het college. 6.3 Opdrachtgeverschap en wijze van rapporteren Elke audit- of adviesopdracht kent een eenduidige opdrachtgever.

Opdrachtgevers kunnen zijn: het college, de gemeentesecretaris/algemeen directeur, concerndirecteur, een IRM’er, een concernmanager of de concerncontroller. De opdrachtgever van elke audit- of adviesopdracht wordt in het auditjaarplan en opdrachtbeschrijving vermeld. Met de opdrachtgever wordt de concept opdrachtbeschrijving en concept auditrapportage inhoudelijk afgestemd en wordt de verspreidingskring van de auditrapportage bepaald. Concernaudit rapporteert schriftelijk over elke opdracht in de vorm van een auditrapport, controlememorandum of presentatie. De auditrapportage bevat naast de bevindingen ook aanbevelingen voor het verbeteren van de doelmatigheid, doeltreffendheid en rechtmatigheid van bestuurlijke-, risicomanagement- en beheersprocessen. 6.4 Aard van opdrachten Concernaudit kan de volgende type opdrachten uitvoeren: • 213a-onderzoek Onderzoek op verzoek van het college naar de doelmatigheid en doeltreffendheid van het door het college gevoerde beleid conform artikel 213a van de gemeentewet. • Operational audit Beoordeling van de doelmatigheid, de doeltreffendheid en de rechtmatigheid van het gevoerde beleid en/of de effectiviteit van bestuurlijke-, risicomanagement- en beheersprocessen van een organisatieonderdeel, thema, activiteit of proces.

• Integrated audit Operational audit aangevuld met systeem-gerelateerde ITbeheersmaatregelen en/of gedragsaspecten (soft controls). • Digital audit Beoordeling van de automatisering/digitalisering van de organisatie en organisatie van de automatisering/digitalisering. De kwaliteitsaspecten die beoordeeld worden zijn: effectiviteit, efficiëntie, exclusiviteit, integriteit, controleerbaarheid, continuïteit en beheersbaarheid. • Project audit Beoordeling van de effectiviteit van bestuurlijke-, risicomanagementen beheersprocessen van een project of programma. • Bewonersaudit De Utrechtse term voor burgeraudit. Bewoners worden betrokken bij de controle en verantwoording op het gevoerde beleid, waarbij bewoners hun ervaringsdeskundigheid inbrengen.

•

Verbijzonderde interne Auditcharter concernaudit gemeente Utrecht 2021

4

controle (VIC)1

•

Europese subsidies

•

Adviesopdracht

De verbijzonderde interne controle (VIC) is gericht op het verkrijgen van inzicht vanuit de eigen organisatie in tenminste de getrouwe en rechtmatige totstandkoming van de baten, lasten en balansmutaties, zoals deze in de jaarrekening tot uitdrukking komen. Hierbij wordt onder meer aandacht geschonken aan de opzet, het bestaan en de werking van relevante beheersmaatregelen, alsmede de risico’s die aanwezig zijn voor wat betreft de eerdergenoemde genoemde aspecten van getrouwheid en rechtmatigheid. De verbijzonderde interne controle is een aanvulling op de reguliere interne controle, in die zin dat een objectief oordeel gegeven wordt over de opzet, het bestaan en de werking van de interne controles en beheersmaatregelen, die in de lijn uitgevoerd worden en de focus ligt op de processen met de grootste (financiële en maatschappelijke) risico’s. Controle van de verantwoording van de gemeente richting de Europese Unie over de ontvangen subsidies van een tweetal lopende projecten: School Chance en REDUCES. Is adviserend van aard en worden doorgaans verricht op specifiek verzoek van een opdrachtgever. De aard en de reikwijdte van de adviesopdracht zijn afhankelijk van de overeenkomst met de desbetreffende opdrachtgever.

Concernaudit voert de volgende type auditopdrachten niet uit: • financial audits van de jaarrekeningen en SISA-verantwoordingen van de gemeente. Dit is de taak van de externe accountant; • audits op externe verantwoordingen van de gemeente aan de gemeenteraad en externe toezichthouders, zoals over informatieveiligheid en de opzet, bestaan en werking van beheersmaatregelen inzake de BRP en Reisdocumenten, Suwinet, BAG, BGT, BRO, DigiD en Wpg. Deze audits worden extern aanbesteed aan onafhankelijke (IT) auditors; • persoonsgerichte onderzoeken van een natuurlijk of rechtspersoon vanwege (vermoedens van) fraude en/of integriteitsschendingen. Dit is de verantwoordelijkheid van de betreffende IRM’er of Concernmanager ondersteund door het Standby Team Integriteit. 6.5 Rol met betrekking tot risicomanagement Concernaudit moet de effectiviteit van de risicomanagementprocessen van de gemeente evalueren en bijdragen aan het verbeteren daarvan. Daartoe werkt concernaudit intensief samen met de strategisch risicomanager van de gemeente Utrecht.

Om te kunnen vaststellen of de risicomanagementprocessen effectief zijn, moet concernaudit beoordelen in hoeverre: • de strategische doelstellingen de missie van de gemeente ondersteunen en daarop aansluiten; • de belangrijke risico’s zijn vastgesteld en beoordeeld; • passende risicobeheermaatregelen worden gekozen waarbij risico’s in overeenstemming worden gebracht met de risicobereidheid van de gemeente; • relevante risico-informatie wordt vastgelegd en tijdig wordt verspreid, zodat personeel, management en het bestuur hun verantwoordelijkheden kunnen uitoefenen.

1 Definitie van de commissie Bedrijfsvoering, Auditing Decentrale Overheden (BADO) in de notitie ‘De verbijzonderde

interne controle bij decentrale overheden’, 14 februari 2019

Auditcharter concernaudit gemeente Utrecht 2021

5

Concernaudit verzamelt daarom gedurende al haar audit- en adviesopdrachten informatie ter onderbouwing van deze evaluatie. Wanneer de resultaten van alle audit- en adviesopdrachten in hun onderlinge samenhang worden beschouwd, bieden ze inzicht in de risicomanagement-processen van de gemeente en de doeltreffendheid daarvan. Bij haar risicobeoordeling neemt concernaudit de omvang, complexiteit, levenscyclus, volwassenheid, stakeholderstructuur en omgeving van de gemeente in overweging. Recente veranderingen in de omgeving van de organisatie (bv. nieuwe regelgeving, nieuw management, wijzigingen in de organisatiestructuur, nieuwe processen en nieuwe diensten) kunnen nieuwe risico's hebben geïntroduceerd. Gesprekken met het senior management en het bestuur en evaluatie van het beleid van de organisatie en notulen van vergaderingen zullen over het algemeen de risicobereidheid en risicocultuur van de organisatie laten zien, waardoor concernaudit haar aanbevelingen met betrekking tot het omgaan met risico’s daarmee kunnen afstemmen. 6.6 Rol met betrekking tot fraude- en integriteitsschendingonderzoeken Concernaudit moet de kans op het bestaan van (externe en interne) fraudes en integriteitsschendingen en hoe de organisatie fraude- en integriteitsrisico’s beheert, periodiek evalueren.

De resultaten van deze evaluatie worden meegenomen in haar jaarlijkse risicoanalyse in voorbereiding van het risicogebaseerde jaarplan. De verantwoordelijkheid voor het analyseren en de preventie en beheersing van integriteits- en frauderisico’s en het detecteren en onderzoeken van vermoedens van integriteitsschendingen en fraudes ligt primair bij concerndirecteuren, IRM’ers en concernmanagers. Bij het onderzoeken van (vermoedens van) integriteitsschendingen en fraudes worden zij ondersteund door het gemeentelijk Standby Team Integriteit. De manager concernaudit wordt actief geïnformeerd over lopende fraude- en integriteitsonderzoeken. Bij het opstellen van de scope van een auditopdracht moeten auditors rekening houden met de waarschijnlijkheid van belangrijke fouten; fraude; integriteits-schendingen; gevallen van niet-naleving van wet- & regelgeving, beleid en procedures; en andere risico’s. Bij het uitvoeren van auditopdrachten worden zoveel mogelijk de hard en soft controls ter voorkoming van integriteits- en frauderisico’s meegenomen. Waar concernaudit bij de uitvoering van haar auditopdrachten mogelijke integriteitsschendingen en fraudes constateert, zal de manager concernaudit deze (vertrouwelijk) rapporteren aan de betreffende concerndirecteur, IRM’er of concernmanager.

De waarde van elk fraude- of integriteitsonderzoek berust op de geloofwaardigheid en rechtmatigheid van het verkregen bewijsmateriaal. Bij deze onderzoeken bestaat het bewijs uit documentatie, verklaringen van getuigen en verklaringen van de (vermoedelijke) fraudeur/verdachte. Auditors zijn voldoende vakbekwaam om fraude- en integriteitsrisico’s en de manier waarop die risico’s beheerst worden door de organisatie te beoordelen. Auditors zijn, tenzij hiervoor specifiek opgeleid (Certified Fraud Examiner (CFE) training), niet vakbekwaam en beschikken niet over de noodzakelijke onderzoeksmiddelen voor het ontdekken en onderzoeken van (vermoedens van) fraude en integriteitsschendingen. Concernaudit voert daarom geen onderzoeken van (vermoedens van) fraudes en integriteitsschendingen (persoonsgericht onderzoeken) uit of geeft hier leiding aan. Concernaudit kan wel gevraagd worden door senior management om te assisteren bij dit soort onderzoeken. De manager concernaudit zal dan de toegevoegde waarde, de risico’s, de beschikbaarheid en de vakbekwaamheid van auditors beoordelen. 6.7 Geheimhouding, gebruik en bewaren van informatie Alle verkregen informatie zullen auditors als vertrouwelijk behandelen in overeenstemming met de interne richtlijnen, professionele auditstandaarden en externe wetgeving met betrekking tot gegevens van (privacygevoelige informatie).

De definitieve eindproducten: de opdrachtformulering en auditrapportage zijn in lijn met de archiefwet voor 10 jaar gearchiveerd in het archiefsysteem. Auditdossiers worden voor 10 jaar gearchiveerd in lijn met de IIA-beroepsrichtlijnen (om externe toetsing mogelijk te maken). 7. Coördinatie met andere (externe) assurance dienstverleners De manager concernaudit dient informatie te delen, activiteiten te coördineren en af te wegen of gebruikgemaakt kan worden van het werk van andere externe auditors en adviseurs, om een adequate auditafdekking te verzekeren en overlap van werkzaamheden tot een minimum te beperken.

Auditcharter concernaudit gemeente Utrecht 2021

6

7.1 Samenwerking met de externe accountant De opdracht van de externe accountant is vastgelegd in het controleprotocol van de gemeente. Concernaudit en de externe accountant opereren zelfstandig en zijn complementair aan elkaar. De externe accountant en concernaudit stemmen zoveel mogelijk de werkzaamheden af. De externe accountant maakt waar mogelijk gebruik van de werkzaamheden van concernaudit. Hiertoe voeren de externe accountant en concernaudit periodiek overleg. Onderwerpen van dit overleg zijn onder meer: afstemmen van de jaarplannen, het delen van risicoanalyses en het delen van definitieve rapportages en bevindingen. Concernaudit kan direct en open communiceren met de externe accountant zonder opgelegde beperkingen vanuit de organisatie. 7.2 Relatie met rekenkamer De rekenkamer Utrecht onderzoekt in de opdracht van de gemeenteraad de doelmatigheid, doeltreffendheid en rechtmatigheid van het door het gemeentebestuur gevoerde beleid. Concernaudit voert ook onderzoeken uit naar de doelmatigheid, doeltreffendheid en rechtmatigheid van het door het gemeentebestuur gevoerde beleid, maar dan in de opdracht van de concerndirectie of het college (213aonderzoeken). Om overlap en herhaling van vergelijkbare onderzoeken zoveel mogelijk te voorkomen, vindt er periodiek overleg plaats tussen de rekenkamer en concernaudit en worden jaarplannen gedeeld.

Tijdens dit overleg wisselen de partijen ook gesignaleerde ontwikkelingen en risico’s uit. 7.3 Opdrachten aan externe auditors Als er auditopdrachten door de gemeente worden aanbesteed aan externe (IT) auditors, zoals over informatieveiligheid, wil concernaudit graag geïnformeerd worden over de opdracht en uitkomsten van deze audits om zo een totaal risicobeeld van de gemeente Utrecht te vormen. Concernaudit zal indien nodig toetsen of de externe auditors voldoen aan de auditstandaarden, gedragscode en grondbeginselen van het auditvakgebied. 8. Auditjaarplan Op voordracht van concernaudit beslist het college welke auditopdrachten in een bepaald jaar dienen te worden uitgevoerd. Hiertoe stelt concernaudit vóór 1 april een auditjaarplan op. Het auditjaar loopt van 1 april tot en met 31 maart het volgende jaar. Bij de voorbereiding van het auditjaarplan houdt concernaudit rekening met: • de door haarzelf onderkende risico's in de gemeentelijke organisatie na het verkrijgen van inzicht in de strategieën, de belangrijkste doelstellingen en opgaven, de organisatiestructuur, de bijbehorende risico's en de processen voor risicomanagement; • verplichte audits voortvloeiend uit wetgeving en contractuele afspraken; • de behoeften en verwachtingen van opdrachtgevers, inclusief de aard en tijdsplanning.

De behoeften en verwachtingen worden opgehaald tijdens jaarplangesprekken; • minimaal twee 213a-onderzoek in opdracht van het college; • capaciteit voor ad hoc onderzoeken vanwege (integriteit of fraude) incidenten (5% totale beschikbare auditcapaciteit); • werkzaamheden van de externe accountant en de rekenkamer Utrecht; • de beschikbare middelen (auditcapaciteit gebaseerd op FTE en materieel budget) van concernaudit. Het concept auditjaarplan wordt afgestemd met: • de concerncontroller, vanwege zijn/haar verantwoordelijkheid voor de bedrijfsvoering van concernaudit en als adviseur van de concerndirectie en het college; • de concerndirectie, als de leiding van de ambtelijke organisatie en belangrijkste opdrachtgever voor audit- en adviesopdrachten; • de wethouder met audit in zijn/haar portefeuille vanwege mogelijke auditbehoeften en -verwachtingen van het college; • de rekenkamer Utrecht, om overlap in audits/onderzoeken met betrekking tot de doelmatigheid, de doeltreffendheid en de rechtmatigheid van het door het college gevoerde beleid te voorkomen;

Auditcharter concernaudit gemeente Utrecht 2021

7

•

de externe accountant, als belangrijke sparringpartner, om overlap in werkzaamheden te voorkomen en om de externe accountant maximaal gebruik te kunnen laten maken van de werkzaamheden van concernaudit.

De door het college goedgekeurde auditjaarplan wordt ter informatie gedeeld met: • IRM’s, concernmanagers en (business)controllers van de gemeente; • de adviescommissie Controle & Financiën, in haar rol als adviseur van de gemeenteraad ten aanzien van de controlerende taak van de gemeenteraad; • de externe accountant; • de rekenkamer Utrecht. De door het college goedgekeurde auditjaarplan wordt ter informatie voor elke medewerker van de gemeente Utrecht geplaatst op de intranetpagina van concernaudit. Concernaudit herziet tussentijds het auditjaarplan waar nodig naar aanleiding van veranderingen in de activiteiten, risico's, programma's, projecten, systemen en beheersmaatregelen van de gemeentelijke organisatie en wijzigingen in de beschikbare middelen van concernaudit. Concernaudit informeert het college, concerndirectie, accountant en adviescommissie C&F over de aanpassingen in het auditjaarplan en de aanleiding van de aanpassingen. 9. Kwaliteitsbewakings- en verbeterprogramma Concernaudit heeft een programma voor kwaliteitsborging en -verbetering dat alle aspecten van de concernaudit omvat. In het programma is een interne beoordeling opgenomen in hoeverre de concernaudit voldoet aan de IIA-gedragscode en standaarden. Het programma beoordeelt ook de doelmatigheid en doeltreffendheid van concernaudit en geeft aan welke mogelijkheden voor verbetering er zijn.

Het programma voor kwaliteitsborging en -verbetering voorziet erin dat ten minste eenmaal in de vijf jaar een externe kwaliteitstoetsing wordt uitgevoerd door een gekwalificeerde beoordelaar geaccrediteerd door IIA Nederland. 10. Verantwoordelijkheden manager concernaudit De manager concernaudit geeft leiding aan concernaudit en is daarmee integraal verantwoordelijk voor alle activiteiten van concernaudit. De manager concernaudit moet zorgdragen dat: • het auditcharter periodiek wordt gereviewd en indien nodig bijgewerkt en ter goedkeuring wordt aangebonden aan het college; • concernaudit alle aspecten van het auditcharter naleeft; • het handboek voor concernaudit up-to-date wordt gehouden en naleving ervan is gewaarborgd; • elke auditopdracht in het goedgekeurde (gewijzigde) auditjaarplan wordt uitgevoerd, inclusief het vaststellen van doelstellingen en werkgebied, de toewijzing van geschikte en adequaat gecontroleerde resources, de documentatie van werkprogramma's en testresultaten en de communicatie van opdrachtresultaten met toepasselijke conclusies en aanbevelingen voor de juiste partijen; • een adequate follow-up voor bevindingen en aanbevelingen van afgeronde auditopdrachten plaatsvindt; • concernaudit collectief over de kennis, vaardigheden en andere competenties beschikt die nodig zijn om aan de vereisten van het auditcharter te voldoen of deze verkrijgt; • trends en

nieuwe ontwikkelingen, wet- & regelgeving en risico’s die van invloed kunnen zijn op gemeente Utrecht onder de aandacht van de concerndirectie en het college worden gebracht; • innovaties die mogelijk kunnen bijdragen aan de doelmatigheid en doeltreffendheid van concernaudit worden onderzocht en geïmplementeerd. De manager concernaudit rapporteert halfjaarlijks schriftelijk aan de concerndirectie en het college over: • de naleving van de normen voor de professionele praktijk en de grondbeginselen van de beroepsuitoefening van internal auditing; Auditcharter concernaudit gemeente Utrecht 2021

8

• • • • • • • • • •

de organisatorische onafhankelijkheid van de concernaudit; de realisatie van het (gewijzigde) auditjaarplan; de resultaten van de afgeronde audit- en adviesopdrachten op hoofdlijnen; aanzienlijke kwesties rond bestuurlijke-, risicomanagement en beheersprocessen die de aandacht vereisen van de concerndirectie en het college; indien van toepassing elke managementreactie van het lijnmanagement die onaanvaardbaar kan zijn voor gemeente Utrecht; indien van toepassing significante vertraging in de ambtelijke organisatie ten aanzien van het opvolgen van bevindingen en aanbevelingen van afgeronde auditopdrachten in het verleden; indien van toepassing betrokkenheid van concernaudit bij onderzoeken van (vermoedens van) fraudes en integriteitsschendingen; knelpunten en wensen ten aanzien de beschikbare middelen; het programma voor kwaliteitsborging en -verbetering, inclusief resultaten van interne beoordelingen en externe beoordelingen; indien van toepassing alle beperkingen van bevoegdheden van concernaudit bij de uitvoering van haar taken en alle inmengingen en gerelateerde implicaties bij het bepalen van de reikwijdte van internal auditing, het uitvoeren van werkzaamheden en/of het communiceren van resultaten.

Slotbepalingen Dit charter treedt in werking op 01-09-2021. Dit charter kan worden aangehaald als: Auditcharter concernaudit gemeente Utrecht. Per 31-08-2021 komt het Auditcharter voor concernaudit van de gemeente Utrecht, in werking getreden op 1 april 2018, te vervallen. Aldus vastgesteld in de vergadering van het college van burgemeester en wethouders van 31-08-2021.

Auditcharter concernaudit gemeente Utrecht 2021

9

Bijlage A Generieke definities In dit charter wordt verstaan onder: a. Adviescommissie C&F Het doel van de adviescommissie Controle en Financiën is de kaderstellende en controlerende taak van de gemeenteraad te versterken. De adviescommissie brengt advies uit aan de gemeenteraad en haar raadscommissies over inhoud en proces van alle activiteiten die van belang zijn voor een goede beheersing op het gebied van rechtmatigheid, verantwoording en controle. b. College Het college van burgemeester en wethouders. c. Concerndirectie De gemeentesecretaris/algemeen directeur is eindverantwoordelijk voor het functioneren van de organisatie en geeft met de concerndirectie sturing aan de organisatie. De concerndirectie bestaat uit de gemeentesecretaris/algemeen directeur en concerndirecteuren. d. IRM Elk organisatieonderdeel wordt geleid door een Integraal Resultaatverantwoordelijk manager (IRM), die tevens verantwoordelijk is voor een goede en effectieve samenwerking in en bijdrage aan gezamenlijke opgaven. e. Concernmanager Manager van een bedrijfsvoeringsonderdeel die belast is met de hiërarchische leiding van het bedrijfsvoeringsonderdeel. f. Concerncontroller De concerncontroller adviseert gevraagd en ongevraagd de Twintig, de concerndirectie, het college en de gemeenteraad over de efficiency en effectiviteit van de organisatie i.r.t.

het behalen van haar doelstellingen en is verantwoordelijk voor de bewaking en bevordering van de werking van het controlsysteem (‘hoeder van het stelsel’), de consistentie tussen de verschillende organisatieonderdelen en opgaven en de minimaal benodigde randvoorwaarden en het kwaliteitsniveau voor een effectieve inrichting van control, complexe dossiers en risicovolle projecten. g. Concerncontrol De afdeling die de concerncontroller ondersteunt in zijn/haar taken. h. Concernaudit Concernaudit is de internal auditfunctie van de gemeente Utrecht. i. Auditors Alle vaste en tijdelijke werknemers van concernaudit: auditors, data-analisten, projectleiders en stagiairs. j. Externe accountant De door de gemeenteraad benoemde accountantsorganisatie, die belast is met de jaarrekeningcontrole. k. Rekenkamer Rekenkamer Utrecht onderzoekt in de opdracht van de gemeenteraad de doelmatigheid, de doeltreffendheid en de rechtmatigheid van het door het gemeentebestuur gevoerde beleid. l. Interne beheersing Het proces dat erop gericht is redelijke zekerheid te krijgen over de doelmatigheid en doeltreffendheid van bedrijfsprocessen, de betrouwbaarheid van de informatievoorziening en de naleving van relevante wet- en regelgeving (rechtmatigheid). m. Interne controle Het beoordelen van de opzet, het bestaan en de werking van de beheersmaatregelen in gemeentelijke processen of gegevensgericht.

De verantwoordelijkheid voor het uitvoeren van de interne controles ligt bij de proceseigenaren. n. Doelmatigheid of het streven om met een zo beperkt mogelijke inzet van de efficiëntie beschikbare middelen het gewenste resultaat te bereiken. o. Doeltreffendheid de mate waarin een organisatie erin slaagt met de geleverde prestaties of effectiviteit de gestelde doelen of gewenste maatschappelijk effecten te bereiken. p. Rechtmatigheid Het voldoen aan wettelijke kaders en regelgeving, zowel Europese en nationale wetgeving, maar ook door de gemeenteraad vastgestelde interne regels van de gemeente. Auditcharter concernaudit gemeente Utrecht 2021

10