Halfjaarverslag 2022-23 Concernaudit definitief.pdf

Halfjaarverslag Concernaudit April 2022 – September 2022

Manager Concernaudit 19 oktober 2022

Inhoudsopgave Managementsamenvatting Aandachtsgebieden Concernaudit Afgeronde auditopdrachten Afgeronde adviesopdrachten Digitale innovaties en innovatietrajecten Status onderhanden opdrachten 2022/23 Management van de interne audit functie

2

Managementsamenvatting (1/2) Uitvoering van het jaarplan ligt op schema

Teamsamenstelling en verdere professionalisering

De medewerkersfluctuatie en het ziekteverlof binnen Concernaudit was bovengemiddeld in het afgelopen anderhalf jaar. Dit heeft een negatieve impact gehad op de doorlooptijd en de afronding van een significant aantal audits van het jaarplan 2021/22. Deze audits zijn naar het auditjaar 2022/23 doorgeschoven.

Met de huidige teamsamenstelling hebben we een stabiele basis en de juiste competenties om verder te kunnen bouwen aan een moderne en innovatieve auditfunctie. Daardoor kunnen wij met onze onderzoeken en adviezen waarde toevoegen aan de organisatie en helpen bij het realiseren van de strategische doelstellingen. Op dit moment heeft Concernaudit nog één openstaande vacature.

De verwachting is dat alle doorgeschoven audits in Q4 2022 afgerond zullen zijn. Gebaseerd op de huidige stand van zaken, zijn we positief dat we het door het college vastgestelde auditplan 2022/23 kunnen realiseren.*

In het kader van het verder professionaliseren van de interne auditfunctie, hebben we een aantal initiatieven rondom de thema’s strategie, communicatie, netwerk, impact en gemeentelijk inzicht opgestart. Deze zijn op pagina 5 verder uitgewerkt.

*De manager Concernaudit heeft besloten twee rapporten niet uit te brengen door kwaliteitsoverwegingen, zie pagina’s 7 en 9.

Onze IT auditor is ‘Jonge Ambtenaar van het Jaar’ in Utrecht We zijn heel erg trots dat Aleksandra Drazilovic, een van onze IT auditors, de prijs van de jonge ambtenaar van het jaar 2022 van de gemeente Utrecht heeft gewonnen. Dit is een geweldige promotie voor ons team en een belangrijke ‘employer branding’ factor. 3

Managementsamenvatting (2/2) Uitgelicht: Digitalisering door gebruik van Artificial Intelligence (AI) Van de vele positieve observaties willen we een AI project uitlichten. Door het gebruik van deze technologie in de vorm van een chatbot bij Publiekszaken wordt de communicatie met de bewoners verder gedigitaliseerd. Dit levert een belangrijke bijdrage aan de realisatie van de strategische doelstelling “digitale stad” en aan een efficiëntere bedrijfsvoering. De chatbot wordt continu verbeterd in samenwerking met verschillende gemeentes. De positieve observaties en verbetermogelijkheden uit onze audit hebben we met de samenwerkingspartners gedeeld.

Gemeentebrede verbetermogelijkheden Op basis van de afgeronde audits dit jaar zien we gemeentebrede verbetermogelijkheden op de volgende vlakken: Follow-up van lang lopende verbeterprojecten vraagt structurele aandacht en prioritering van het management • Eigenaarschap, vastlegging, timemanagement en periodieke monitoring Bedrijfsvoerings- en primaire processen • Formalisatie, implementatie en monitoring van kaders en richtlijnen als ‘enabler’ voor robuuste processen • Volledigheid en kwaliteit van gearchiveerde dossiers

Verantwoord omgaan met nieuwe technologieën Voor het veilige gebruik van nieuwe technologieën is onder andere samenwerking en kennisdeling tussen vak experts nodig. Dit doen wij door deel te nemen aan PWC’s Tomorrow 2.0 programma, waar het thema ethiek bij het gebruik van AIoplossingen centraal staat.

Voor het aanpakken van bovengenoemde verbetervoorstellen heeft het management reeds stappen genomen • Het opstarten van het project ‘De Utrechtse Standaard’ in Q2 • Het opstellen van een nieuw raamwerk ‘Sturen en verantwoorden’ • Het vaststellen van een verbeterplan voor informatiebeheer op basis van het adviesrapport van Doxis 4

Concernaudit heeft stappen gemaakt in ... Strategie • De analyse van het coalitieakkoord en waarborging van prioriteiten, essentiële zaken en gerelateerde risico’s in de scope van de audits. • Het uitvoeren van een self-assessment (nulmeting) van de Concernaudit functie door middel van het ‘internal audit ambition model’ van het Instituut van Internal Auditors (IIA). • Het ontwikkelen van een strategisch personeelsplan die de behoefte van een moderne auditfunctie vervult door het toepassen van de Utrechtse ontwikkelmatrix.

Netwerk • Het onderhouden en uitbreiden van de samenwerking met de Utrechtse Rekenkamer. • Het uitbreiden en versterken van de samenwerking en benchmarking met de G4 en andere interne auditafdelingen.

Kennisdeling en samenwerking • Het onderhouden en opbouwen van relaties waardoor we op de hoogte blijven van de ontwikkelingen binnen de gemeentelijke organisatie. Hiervoor nodigen wij regelmatig diverse gastsprekers uit de organisatie uit voor kennisdeling en om mogelijke samenwerking te verkennen.

Communicatie • Het verbeteren van de communicatie met auditees, onder andere door het uitbrengen van een nieuw rapportage template. De nieuwe vorm van rapporteren speelt in op de informatiebehoefte van diverse stakeholders en verhoogt de leesbaarheid door informatie voor besluitvorming te visualiseren. • Het introduceren van ‘kick- off’ en ‘closing’ meetings om eigenaarschap en verantwoordelijkheden bij het uitvoeren van audits te verduidelijken en verwachtingen van de audits en resultaten beter te managen.

Impact • Het introduceren van surveys om onze dienstverlening continu te verbeteren. Deze surveys worden uitgezet na afronding van alle audits om feedback bij de auditees op te halen. • Het opstellen van een ‘assurance map’ die alle auditactiviteiten met betrekking tot de gemeente Utrecht, zowel intern als extern, visualiseert. Het doel van deze map is enerzijds het voorkomen van overlap in auditactiviteiten en anderzijds het optimaal benutten van alle conclusies en aanbevelingen voor het risicomanagementproces en voor het opstellen van ons jaarplan.

5

Audit Samenvatting van de afgeronde auditopdrachten

Audits (1/5) 1. Onderwijshuisvesting (Organisatieonderdeel: Vastgoedorganisatie Utrecht)

Wij hebben een audit uitgevoerd naar het proces van onderwijshuisvesting, waarbij de school de bouwheer is en de Vastgoed Organisatie Utrecht (VGU) een toetsende rol heeft. Het proces rondom betalingen aan schoolbesturen bleek onvoldoende robuust. Daardoor bestaat het risico dat betalingen niet rechtmatig geautoriseerd worden. Daarnaast kan de efficiëntie van processen en de documentatie van projectdossiers sterk verbeterd worden. Ook de vele personeelswisselingen bij VGU zijn een aandachtspunt met betrekking tot de continuïteit van de bedrijfsvoering. We hebben verschillende aanbevelingen met het management gedeeld om het proces van onderwijshuisvesting te verbeteren en hieraan gerelateerde risico’s voor de toekomst te mitigeren. 2. Erfpacht (Organisatieonderdeel: Ontwikkelorganisatie Ruimte (OOR)) Bij OOR hebben wij een audit uitgevoerd naar de realisatie van het verbetertraject van het erfpachtbedrijf. Dit verbetertraject heeft als doel om betrokken processen te optimaliseren en duidelijkheid te krijgen over (de inzet van) de benodigde capaciteit en budgetten. We hebben vastgesteld dat het verbetertraject nog niet volledig was afgerond en hebben daarom in de audit gefocust op een belangrijk data-aspect; de koppeling van het interne registratiesysteem SAP Real Estate met de basisregistratie van het Kadaster.

Met deze koppeling wil OOR een overzicht verkrijgen van alle percelen die in erfpacht zijn uitgegeven door de gemeente. We hebben de koppeling gecontroleerd en vastgesteld dat er geen informatie verloren gaat. Dit is belangrijk voor de data-integriteit. Daarnaast hebben we een aantal verbeterpunten voor de koppeling aangedragen.

3. Behandeling van Schadeclaims (Organisatieonderdeel: FIJ – Juridische Zaken) De manager Concernaudit heeft na consultatie met een interne onafhankelijke vak expert binnen Concerncontrol besloten om het auditrapport Schadeclaims niet uit te brengen, ondanks de reeds geleverde inspanningen. Het auditproces voldoet niet aan de minimum kwaliteitseisen van de beroepsorganisatie (The Institute of Internal Auditors). Met name de aspecten auditor competenties, scope versus daadwerkelijk geleverd product en de onderbouwing van bevindingen scoren onvoldoende. We hebben binnen Concernaudit inmiddels maatregelen getroffen om de nodige kwaliteit van onze audits te waarborgen.

7

Audits (2/5)

4. Vervolgonderzoek risicobeheersing samenwerkingsverbanden (Organisatieonderdeel: Financiën, Inkoop en Juridische zaken) In december 2020 heeft Concernaudit het onderzoeksrapport “Risicobeheersing samenwerkingsverbanden” opgeleverd. De belangrijkste bevindingen hierin waren het ontbreken van een eenduidig begrippenkader en een registratiesysteem voor adequate risicobeheersing en monitoring van samenwerkingen met derde partijen. In de Directieraad zijn de bevindingen en adviezen van het onderzoeksrapport onderschreven, is er een plan van aanpak vastgesteld en is besloten dat de verbeteracties in Q2 2022 afgerond moeten zijn. Concernaudit heeft in Q1 2022 een vervolgonderzoek uitgevoerd. We hebben geconcludeerd dat het plan van aanpak slechts beperkt is uitgevoerd. De langdurige afwezigheid van de projectleider en van één business controller zijn hier mede de oorzaak van. Het eigenaarschap van het plan van aanpak is momenteel niet duidelijk belegd. Het management heeft aangegeven dit onderwerp opnieuw op de agenda te zetten en met prioriteit te behandelen.

8

Audits (3/5) 5. 213a onderzoek: Veerkracht en gelijke kansen (Organisatieonderdeel: Werk en Inkomen, Volksgezondheid)

Zoals vastgelegd in het jaarplan 2021/22, heeft Concernaudit in opdracht van het College van Burgemeester en Wethouders onderzoek gedaan naar de strategische doelstelling ‘Veerkracht en gelijke kansen’ (VGK) op grond van artikel 213a van de Gemeentewet. Tijdens dit onderzoek is beoordeeld in welke mate het college erin geslaagd is om doelmatig en doeltreffend uitvoering te geven aan deze doelstelling. In het rapport worden deelopgaven geanalyseerd en onze conclusie hiervan is dat Utrecht vanuit de opgaven waardevolle resultaten behaalt door een constructieve samenwerking met de stad. Er zijn veel initiatieven en er is een positieve wisselwerking met de partners. Echter, er zijn ook uitdagingen om de impact van alle inspanningen op VGK in het sociaal domein goed te kunnen vaststellen, monitoren en meten. Gebaseerd op onze aanbevelingen en op eerdere uitkomsten van de visitatie, richt het management zich inmiddels op de doorontwikkeling van de wijze van sturen en op het monitoren van de impact van de VGK inspanningen. De focus van de opgaven wordt aangescherpt met de formulering van concrete doelen, eigenaarschap, effecten en beoogde impact. Dit sluit ook aan bij de verbetering van de P&C cyclus, waar de gemeente momenteel aan werkt in overleg met de Adviescommissie Controle en Financiën. 6.

213a onderzoek: Thuis voor iedereen (Organisatieonderdeel: Ruimte, Maatschappelijke Ontwikkeling) De manager Concernaudit heeft na consultatie met interne, onafhankelijke vak experts binnen Concerncontrol en Strategie en Public Affairs besloten geen vervolg te geven aan de audit ‘Thuis voor iedereen’. Besloten is om hierover geen rapport uit te brengen, ondanks de reeds geleverde inspanningen. Het tot nu gevolgde auditproces voldoet niet aan de minimum kwaliteitseisen van onze beroepsorganisatie (The Institute of Internal Auditors). Afronding zou een buitenproportionele inspanning van capaciteit vragen. Dit is niet in lijn is met de toegevoegde waarde die dit onderzoek zou leveren. De redenen hiervoor zijn de gekozen onderzoeksperiode (2018-2021), die inmiddels gedateerd is, de relatief brede onderzoeksscope, en een gebrek aan een gestructureerde en systematische auditaanpak en -documentatie. We hebben binnen Concernaudit inmiddels maatregelen genomen om de nodige kwaliteit van onze audits te waarborgen.

9

Audits (4/5) 7. Logisch toegangsbeheer SAP Inkoop- en financiële module (Organisatieonderdeel: Overstijgend) De audit naar het proces logisch toegangsbeheer SAP Inkoop- en financiële module heeft uitgewezen dat het proces nog niet aantoonbaar in control is. De oorzaak hiervan is het gebrek aan eigenaarschap en beperkte capaciteit binnen SAP beheer, Domstad IT. Verbeteringen zijn reeds doorgevoerd, onder andere door het opnieuw opstellen van het logisch toegangsbeleid waarin de geactualiseerde beheersmaatregelen zijn opgenomen. Dit gebeurt in samenwerking met de afdelingen Financiën, Inkoop en SAP beheer. 8. Werken 3.0 – Configuratiemanagement Laptops (Programma Werken 3.0)

De bevindingen van de audit vallen uiteen in specifieke punten gericht op het configuratiemanagement van laptops en algemene punten ten aanzien van het gehele configuratiemanagementproces. Voor alle configuratiemanagement processtappen (registratie, beheer, statusbewaking en verificatie) zien we voor laptops verbeteringen. Echter, de risico’s worden nog onvoldoende gemitigeerd. De belangrijkste bevinding voor het gehele proces is dat het management onvoldoende zicht heeft op de in gebruik zijnde IT middelen (hardware en software) en de onderlinge relaties van deze middelen. Hierdoor bestaat het risico dat het management onvoldoende kan sturen op informatiebeveiliging, bijvoorbeeld wanneer de gemeente doelwit is geworden van een cyberaanval. Het management van Domstad IT herkent de aanbevelingen en gaat hiermee aan de slag. 9. Follow-up audit opvolging bevindingen Rekenkamer (Organisatieonderdeel: Overstijgend) De follow-up audit heeft betrekking op de status van de opvolging bevindingen van het Rekenkamerrapport ‘Zo sterk als de zwakste schakel’. Dit was een onderzoek naar de informatieveiligheid bij de gemeente Utrecht. De audit heeft uitgewezen dat de opvolging van bevindingen in gang is gezet, maar de organisatie tegen diverse uitdagingen en knelpunten aanloopt.

Het ontbreken van adequate projectgovernance, beperkte sturingsinformatie naar het management en afhankelijkheden van lopende organisatiebrede projecten zoals Werken 3.0 vormen een belemmerende factor. Tot op heden zijn mede hierdoor een groot aantal bevindingen nog niet opgevolgd, waaronder bevindingen met betrekking tot kritieke of hoge informatiebeveiligingsrisico’s. De aanbevelingen worden herkend door het management en zullen verder worden opgevolgd. 10

Audits (5/5)

10. Wigo4it (Samenwerkingsverband G4) Wigo4it is een coöperatie van de gemeenten Amsterdam, Rotterdam, Den Haag en Utrecht (hierna: G4 genoemd). Wigo4it ontwerpt, ontwikkelt, beheert en onderhoudt ICT-applicaties en bijbehorende IT-infrastructuur ten behoeve van de sociale diensten van de G4. In opdracht van Wigo4it voeren de G4 jaarlijks een audit op de General IT Controls (GITC) uit. Begin 2022 heeft WiGo4IT besloten de bestaande Baseline Informatiebeveiliging Overheid (BIO)-audit en de gezamenlijke GITC-audit te combineren tot één audit. Deze audit zal niet door de G4 maar door de huidige BIO-auditor worden uitgevoerd. Dit betekent dat deze audit geen vervolg krijgt.

11. Privacy audit bodycams (Organisatieonderdeel: Vergunningen, Toezicht en Handhaving (VTH) De gemeente Utrecht is goed op weg met het inrichten en uitvoeren van privacy beheersmaatregelen met betrekking tot bodycams. Tijdens deze audit is geconstateerd dat aandacht nodig is voor groei naar een volwassenere interne beheersing waarbij deze beheersmaatregelen structureel aantoonbaar worden uitgevoerd. Verbeterslagen zijn te realiseren voor de stappen ‘dragen’, ‘verzamelen’, ‘retentie’ en ‘verwijderen’ van persoonsgegevens. Het risico is dat de gemeente nog niet volledig voldoet aan de AVG wet- en regelgeving wat kan leiden tot boetes en/of reputatieschade voor de gemeente. Het management van VTH heeft aangegeven om de bevindingen op te volgen en heeft hiermee reeds een start gemaakt.

11

Rechtmatigheidsverantwoording Concernaudit heeft een toetsende rol bij de rechtmatigheidsverantwoording en voert zelf werkzaamheden uit op twee gemeentebrede processen (inkopen & aanbesteden en subsidies).

Tot september 2022 heeft een extern ingehuurde projectleider alle afdelingen van de gemeente ondersteund bij het op maat maken van de rechtmatigheidsverantwoording.

De opzet voor de interne controles is grotendeels gereed. Implementatie van consequente uitvoer van de controles blijft een aandachtpunt. Met uitstel van de wetgeving heeft de gemeente hier meer tijd voor gekregen.

Wettelijk kader De wetswijziging, Wet versterking decentrale rekenkamers, waarin de verantwoording van het college over de rechtmatigheid is beschreven, is aangenomen door de Tweede Kamer, maar moet nog behandeld worden door de Eerste Kamer. De verwachting is dat de wet in werking treedt op 1 januari 2023. De gemeente Utrecht wil wel al een verantwoording over het jaar 2022 opstellen.

Concernaudit vormt samen met Concerncontrol en Financiën de werkgroep Rechtmatigheidsverantwoording. Met de externe accountant stemmen wij periodiek af hoe de totstandkoming en documentatie van de rechtmatigheidsverantwoording verloopt. Vervolgstappen

Uitgevoerde werkzaamheden De organisatieonderdelen hebben per relevant proces een verbijzonderd intern controleplan (VIC-plan) opgesteld. Concernaudit heeft deze plannen beoordeeld en adviseert over verbetering van deze plannen. Concernaudit heeft zelf de VIC-plannen opgesteld voor de processen ‘subsidies’ en ‘inkopen en aanbesteden’. Aangezien dit gemeente brede processen zijn, voert Concernaudit hiervoor de werkzaamheden uit.

De gemeente gebruikt 2022 als een proefperiode om te komen tot een goede rechtmatigheidsverantwoording in 2023. Concernaudit heeft hierover nauw contact met andere gemeentes om kennis te delen en ‘best practices’ uit te wisselen. Concernaudit zal een toets uitvoeren op de kwaliteit van de door de organisatieonderdelen uitgevoerde VIC’s en zal verbetermogelijkheden terugkoppelen. 12

VIC’s Rechtmatigheidsverantwoording Concernaudit voert VIC’s uit voor onderstaande twee gemeentebrede processen met grote financiële impact. De accountant maakt gebruik van onze werkzaamheden voor deze VIC’s bij de jaarrekeningcontrole. 1. Inkopen en aanbesteden: (Organisatieonderdeel: Overstijgend) Concernaudit heeft de analyse op inkopen en aanbesteden over 2021 afgerond. De onrechtmatigheden voor het niet naleven van Europese Aanbestedingsregels zijn toegenomen t.o.v. 2020, maar nog ruim binnen de foutenmarge. 66 % van deze onrechtmatigheden in 2021 betreft één crediteur binnen het organisatieonderdeel Ruimte. Dit is ontstaan door het verstrekken van nieuwe opdrachten aan de crediteur na afloop van het bestaande contract. De onrechtmatigheid is bekend bij het management en verbeteracties zijn in gang gezet. Voor de jaarrekening 2022 zijn voor deze crediteur nog onrechtmatigheden te verwachten vanwege al eerder aangegane onrechtmatige verplichtingen. De werkzaamheden voor de analyse op inkopen en aanbesteden over 2022 zijn gestart. Het VIC-plan is bijgewerkt en de eerste controlewerkzaamheden hebben plaatsgevonden. Naast de controle door middel van een steekproef op alle crediteuren, worden hierbij integrale controlewerkzaamheden uitgevoerd op de doorwerking van in 2021 geconstateerde onrechtmatigheden. Dit gebeurt in afstemming met de externe accountant. 2.

Subsidies (Organisatieonderdeel: Overstijgend) Vanaf 2022 voert Concernaudit de VIC werkzaamheden voor subsidies uit. Concernaudit heeft een VIC-plan opgesteld en een lijncontrole op drie subsidievarianten uitgevoerd. Daardoor is de opzet en het bestaan van de processen vastgesteld. De bevindingen zijn afgestemd met het management van het subsidiebureau. In afstemming met de externe accountant starten in oktober de gegevensgerichte controlewerkzaamheden voor subsidies.

13

Advies Samenvatting van de afgeronde adviesopdrachten

Adviesopdrachten Data support & advies

Concernaudit heeft declaratierapporten gecontroleerd

Intern onderzoek t.b.v. integriteitsschendingen

Europese subsidies

Met data-extracties uit meerdere systemen en bijbehorende analyses ondersteunden we een onderzoek rondom potentiële niet-integere handelingen van een medewerker.

Wij hebben voor de subsidie projecten School Chance en Reduces de declaratierapporten gecontroleerd. Hiervoor zijn geen bijzonderheden te melden.

Data support & advies We hielpen verschillende organisatieonderdelen door mee te denken over het inrichten, uitvoeren en automatiseren van steekproeven. Dit heeft de kwaliteit van de interne controle op belangrijke processen, zoals personeel en betalingen, versterkt.

15

Innovatie Toelichting op digitale innovaties en innovatietrajecten

Toepassing van digitale innovaties De innovatielijn van Concernaudit heeft als doel ervoor te zorgen dat audits efficiënter en vollediger uitgevoerd kunnen worden. Innovaties worden via twee sporen ingezet, namelijk als: 1. Ondersteuning van lopende audits; 2. Zelfstandige innovatieprojecten door identificatie en het testen van: a) Nieuwe methoden om toe te passen binnen audits b) Nieuwe objecten om te auditen

Data-analyse tooling

Caseware IDEA

R

Process Gold

Toepassen op Data in de vorm van logging uit informatiesystemen

Voor de innovaties werken we met data-analyses, process mining en tekst mining. Hiervoor gebruiken we de volgende data-analyse en process mining tools: • Caseware IDEA, R en ProcessGold Deze methoden en tools zorgen voor hogere betrouwbaarheid van de audits doordat grote hoeveelheden data uit logboeken en systemen geanalyseerd kunnen worden. De steekproef wordt hiermee overbodig. Daarnaast automatiseren wij controlewerkzaamheden, wat tot een efficiënt auditproces leidt.

Van log data naar visualisatie

Process mining passen wij veelvuldig toe. Hiermee wordt met log data het verloop van processen in kaart gebracht en getoetst. Deze analyses delen wij met de organisatie via dashboards. Meerdere specifieke minings worden inmiddels periodiek uitgevoerd. Dit is een belangrijke stap richting continuous monitoring. Middels periodieke monitoring wordt het management in staat gesteld om snel en adequaat te reageren op tekortkomingen in het proces. Op de volgende pagina’s worden de innovatietrajecten van het afgelopen half jaar toegelicht.

17

Innovatietrajecten Audit toepassing nieuwe Artifical Intelligence (AI) technologie De gemeente Utrecht implementeerde begin 2021 een chat bot, de digitale assistent ‘Gem’. Door Gem wordt de communicatie met de bewoners verder gedigitaliseerd door het toepassen van AI. Bijvoorbeeld het beantwoorden van vragen over paspoorten en rijbewijzen. Gem wordt ontwikkeld binnen een samenwerkingsverband tussen verschillende gemeenten en werkt volgens het Common ground principe, Dit laatste is een initiatief om de informatievoorziening van gemeenten collectief eenvoudiger, flexibeler en slimmer in te richten.

Netwerk Artificial Intelligence Voor een veilige toepassing van nieuwe technologieën, zoals AI, is samenwerking en kennisdeling met experts nodig. Op uitnodiging van PricewaterhouseCoopers (PWC) namen wij deel aan het Tomorrrow 2.0 programma. Dit is een internationaal netwerk van experts uit verschillende bedrijfssectoren en overheidsinstanties. Tijdens onze bijeenkomsten hebben we kennis uitgewisseld over de uitrol van AI en de daarmee samenhangende ethiek vraagstukken.

Concernaudit was de eerste partij binnen het samenwerkingsverband die de uitdaging aanging om deze AI-toepassing te auditen. Gem is een chat bot in ontwikkeling. Het huidige volwassenheidsniveau past bij de pilotfase van een nieuwe technologie. Onze hoofdaanbevelingen hebben betrekking op het toegangsbeheer en het vastleggen van medewerkerscompetenties. Het management heeft positief op het rapport gereageerd en gaat met de aanbeveling aan de slag. Wij hebben het rapport voor kennisdeling met onze partners van het samenwerkingsverband gedeeld.

18

Innovatietrajecten – process minings Raadplegen van het Basisregistratie Personen (BRP) en verstrekken reisdocumenten

SAP: proces bestellen t/m factuurafhandeling

Voor Publiekszaken voerden wij onderstaande twee process mining projecten uit. Hiervoor worden dashboards periodiek geüpdatet met nieuwe data. Dit maakt het mogelijk de processen over tijd te monitoren

Voor het organisatieonderdeel Financiën hebben we een process mining ontwikkeld om het proces bestellen tot en met factuurafhandeling te monitoren. Hiervoor bewandelen we twee wegen:

1. In de mining ‘raadplegen BRP’ werden verwachtingen getoetst en inzichten verschaft over 1) welke functionarissen raadplegingen verrichtten en 2) afwijkende patronen van raadplegen. 2. De mining ‘verstrekken van reisdocumenten’ betrof een uitbreiding van een eerder uitgevoerde mining. Beide minings helpen het management ongewenst gedrag tijdig te signaleren en hiervoor adequate maatregelen te nemen.

1) de jaarlijkse process mining over dit proces welke is afgerond over boekjaar 2021. 2) het doorontwikkelen van dit project. Daarbij hoort het inhoudelijk aanscherpen van analyses, de mining vaker uitvoeren en waar mogelijk de uitvoering van specifieke onderdelen overdragen aan het organisatieonderdeel Financiën. Deze mining helpt het organisatieonderdeel Financiën onrechtmatige transacties eerdere te identificeren en te corrigeren.

Inrichten process mining subsidies

We beogen een process mining op het subsidie proces in te richten. Daarvoor is toegang tot de data van het subsidiesysteem Easyfunders (EF) nodig. EF is een cloudapplicatie en voor de toegang tot de data is nog geen gestandaardiseerde oplossing binnen Domstad IT beschikbaar. Daarom loopt dit project vertraging op. Inmiddels is er voor Concernaudit een eerste tussentijdse oplossing ingericht voor de datatoegang, welke binnenkort getest kan worden. Deze process mining draagt bij aan het identificeren van onregelmatigheden binnen het subsidieproces.

19

Status onderhanden opdrachten uit jaarplan 2022-2023 Vooronderzoek

Opdrachtbeschrijving afgestemd

Veldwerk afgerond

Bevindingen afgestemd

Conceptrapport aangeboden

In afwachting van managementreactie

Wet politiegegevens 2022 Cameratoezicht Omgevingswet Fraudepreventie kwetsbare processen Rechtmatigheidsverantwoording: Inkopen en aanbesteden

Rechtmatigheidsverantwoording: Subsidies Projectbeheersing risicovolle projecten Evaluatie zorgpartners Audit Archeologisch bedrijf Digitale transitie Klantgericht samenwerken In Ketens (KIK) Logische Toegangsbeheer SAP HR

20

Management van de interne auditfunctie Onafhankelijkheid

Belangenverstrengeling

De Manager Concernaudit heeft vastgesteld dat de benodigde onafhankelijkheid van Concernaudit is gewaarborgd:

Potentiële belangenverstrengeling wordt periodiek getoetst door de manager Concernaudit. Tussen 1 April 2022 en 30 September 2022 heeft belangenverstrengeling zich niet voorgedaan.

• De Manager Concernaudit rapporteert aan een dusdanig hoog niveau in de organisatie waardoor Concernaudit in staat is om haar verantwoordelijkheden te kunnen nakomen. • De Manager Concernaudit heeft een directe communicatielijn met de Gemeentesecretaris, de Wethouder en de Adviescommissie Control & Financiën.

Belangenverstrengeling vindt plaats op het moment dat een auditor, die een vertrouwenspositie bekleedt in haar functie, een ander professioneel of persoonlijk belang heeft. Tegengestelde belangen kunnen het onpartijdig uitoefenen van de auditfunctie bemoeilijken. Door belangenverstrengeling kan een ongepast beeld ontstaan welke het vertrouwen in de interne auditor en haar audit activiteiten kan schaden.

Middelen en budget • Concernaudit heeft voldoende middelen (capaciteit en budget) om het interne audit plan 2022/23 uit te voeren.

• Concernaudit zal het interne audit plan 2022/23 afronden binnen het vastgestelde budget.

Permanente educatie Auditors met certificaten en beroepslidmaatschappen die bijbehorende onderhoudseisen in het kader van ‘Permanente Educatie’ stellen, zullen de benodigde trainingen en/of cursussen volgen om hieraan te voldoen.

Quality assurance en verbeterprogramma Concernaudit is bezig met het opstellen van een ‘Quality Assurance and Improvement Program’ (QAIP). In Q4 2022 zal hiervoor een interne kwaliteitstoets op de auditfunctie plaatsvinden. Op basis van de uitkomsten zullen meer stappen richting verbetering en professionalisering worden gezet. Een QAIP maakt het mogelijk te evalueren of de interne auditactiviteiten plaatsvinden conform de standaarden en ‘code of ethics’ van het Instituut van Internal Auditors (IIA). Het programma toetst ook de efficiëntie en effectiviteit van de interne audit activiteiten en brengt ruimte voor verbetering aan het licht.

21