Halfjaarverslag 2024-25 Concernaudit_definitief

1

Halfjaarverslag Concernaudit 2024-2025 April 2024 – September 2024

Manager Concernaudit 30 september 2024

Inhoudsopgave Managementsamenvatting Follow-up proces Audits Rechtmatigheidsverantwoording Adviesopdrachten Samenwerkingsinitiatieven Status onderhanden opdrachten uit jaarplan 2024-25 Management van de interne audit functie

2

Managementsamenvatting (1/2) Positieve observaties: Het follow-up proces waarin wij na afloop van audits de implementatie van verbeteracties toetsen, loopt na een moeizame start in 2023 steeds beter. Deze positieve ontwikkeling is gemeentebreed van toepassing. Tevens is de kwaliteit van de onderbouwing van de rechtmatigheidsverantwoording verder verbeterd en zet de dalende trend van financiële onrechtmatigheden, met name voor "inkopen en aanbestede”, zich voort. Gemeentebrede verbetermogelijkheden: Gebaseerd op de afgeronde audits en advieswerkzaamheden hebben we een aantal gemeentebrede verbetermogelijkheden geïdentificeerd. Governance • De noodzaak voor het naleven van kaders en richtlijnen blijft een aandachtspunt. Met name gebrek aan naleving van de Standaard projectbeheersing vraagt managementaandacht en prioritering.

•

Kaders en procesbeschrijvingen zijn vaak gedateerd en onvolledig en hierdoor ongeschikt om een robuuste uitvoering van processen te waarborgen.

Financiën

•

Adequate interventies naar aanleiding van signalen uit het medewerkersonderzoek en foutevaluaties ontbreken om voor een duurzame cultuurverandering te zorgen.

•

De implementatie van robuuste en systematische verbeteracties duurt te lang en de afhankelijkheid van derden bij deze trajecten is zorgelijk. Hierdoor bestaat nog steeds een verhoogd risico op fouten in de begroting (e.g. gemeentefonds en loon- en prijsindexatie).

•

De systeemeigenaar rol van Financiën bij de implementatie van de Standaard projectbeheersing heeft niet tot aantoonbare toegevoegde waarde geleid.

Inzet van data • Data analyse technieken worden niet optimaal benut in de bedrijfsvoering. Denk hierbij aan het monitoren van processen en aan inzetten van data voor het feitelijk onderbouwen van mogelijke keuzes in de besluitvorming. Monitoring van leveranciers van clouddiensten • Periodieke en aantoonbare toezicht op cloudleveranciers ontbreekt vaak. Hierdoor is de veiligheid van gemeentelijke data die bij deze leveranciers is opgeslagen niet gewaarborgd. Bewustzijn cyberweerbaarheid • Het cyberbewustzijn bij medewerkers is ondermaats om adequaat op cyberdreigingen te reageren, ondanks bestaande bewustwordingstools en activiteiten. Dit blijkt onder andere uit teleurstellende deelnamecijfers van de e-learning gegevensbescherming en een phishing test. Prestatie indicatoren • Vaak ontbreken relevante prestatie indicatoren die aan de realisatie van doelstellingen of robuuste uitvoering van processen bijdragen. Dit belemmert adequate voortgangsbewaking hierop.

De concerndirectie heeft een aantal initiatieven en projecten opgestart die de oorzaken van de verbetermogelijkheden adresseren. De voortgang hiervan wordt in de reguliere P&C cyclus en aanvullende rapportagemomenten bewaakt. Concernaudit bewaakt de voortgang van de uit audits resulterende verbeterplannen in 3 het follow-up proces.

Managementsamenvatting (2/2) Uitvoering jaarplan 2024-25 ligt op schema

Zichtbaarheid en betrokkenheid in de organisatie

Met dit halfjaarverslag informeren we de directieraad en het college over de voortgang van de realisatie van het Concernaudit jaarplan 2024-25. Het plan omvat onderwerpen uit verschillende domeinen en besteedt uitgebreid aandacht aan de speerpunten van het programma "Versterking Bedrijfsvoering". De meest urgente risico's de we in ons jaarplan adresseren zijn:

Naast het uitvoeren van het jaarplan zijn leden van Concernaudit ook vertegenwoordigd in een aantal expert panels en werkgroepen. Hierin werken we samen met collega's uit verschillende domeinen aan complexe organisatorische vraagstukken en procesverbeteringen, zie pagina 15 voor verdere toelichting. In augustus 2024 is de Europese AI Act in werking getreden. De AI Act is van

• • • •

Informatiebeheer en gegevensbescherming Cyberweerbaarheid met focus op de factor mens Robuustheid kritische processen binnen Financiën, JZ en IT Robuustheid Operationele Technologie (OT) in het fysieke domein

toepassing op alle sectoren, waaronder de overheid. Het CIO Office heeft een werkgroep opgericht die de gemeente bij het ontwikkelen van beleid voor de naleving van de AI Act ondersteunt. Onze data analist, die onlangs de opleiding Certified AI Compliance Officer heeft afgerond, neemt hieraan deel.

Gebaseerd op de huidige stand van zaken, zijn we positief dat we het Concernaudit jaarplan 2024-25 kunnen realiseren.

Sinds juni 2024 vertegenwoordigt de Manager Concernaudit de gemeente Utrecht in de Commissie Bedrijfsvoering en Auditing Decentrale Overheden (BADO). In deze commissie werken functionarissen van decentrale overheden, het Rijk en accountants samen om de interpretatie van regels voor bedrijfsvoering, verantwoording en accountantscontroles toe te spitsen op de praktijk van decentrale overheden.

Uitstel adviesproject bij Financiën Op verzoek van het management Financiën verplaatsen we het adviesproject "Automatisering btw controles" naar Q4 2025. Het team Fiscaliteit kampt al langer met capaciteitsproblemen en de manager heeft ervoor gekozen om op dit moment geen prioriteit aan verdere automatisering van de controlewerkzaamheden te geven. We betreuren deze keuze, omdat nodige professionaliserings- en procesefficiëntieslagen binnen Financiën hierdoor behoorlijke vertraging oplopen.

Verdere professionalisering – externe kwaliteitstoets In het kader van het verder professionaliseren van de Concernaudit functie, laten we in 2025 een externe kwaliteitstoets door de IIA Nederland uitvoeren. Hierbij wordt de naleving van standaarden van onze beroepsorganisatie en de effectiviteit en efficiëntie van de interne audit functie beoordeeld. We hebben capaciteit gereserveerd om de nodige verbeteracties voor deze kwaliteitstoetsing (quickscan in Q1 en formele toetsing in Q4) te realiseren.

4

Follow-up proces Sinds 2023 past Concernaudit een robuust follow-up proces toe voor alle afgeronde audits. Tijdens de follow-up bewaken we de voortgang van de door management voorgestelde verbeteracties. Het management is verantwoordelijk om deze verbeteracties binnen de afgestemde periode te implementeren. Concernaudit fungeert als aanjager, procesbewaker en escaleert significante vertragingen richting de directieraad.

Onderstaande grafieken weergeven de opvolgingsstatus van bevindingen uit de auditjaren 2022-23 en 2023-24. Afgeronde audits uit het jaar 2024-25 zijn nog niet onderhevig aan het follow-up proces. Het follow-up proces bevat bevindingen met risicoclassificatie hoog en midden. Bevindingen met risicoclassificatie laag zijn hier geen onderdeel van.

Follow up status jaarplan 2023-24

Follow up status jaarplan 2022-23 # Audits

11 # Bevindingen

Aantal onderhanden overdue 12

# Audits

Aantal onderhanden niet 14% overdue 1% 1

14 # Bevindingen

20 Hoog 86

33%

35%

Aantal opgelost 33

15 Hoog

58 Midden 8 Laag

Aantal onderhanden overdue 35

100 85%

Aantal opgelost 73

76 Midden 32% 9 Laag

Aantal onderhanden niet overdue 32

Conclusies Gezien het follow-up proces pas in 2023 is geïntroduceerd, liggen resultaten voor bovenstaande auditjaren in lijn der verwachting en passen bij het volwassenheidsniveau van de gemeente Utrecht. De overdue bevindingen kunnen niet worden toegewezen aan één specifiek organisatieonderdeel, maar zijn gemeentebreed van toepassing. Zoals eerder gerapporteerd, blijkt dat het niet tijdig opvolgen van bevindingen (overdue) voornamelijk ligt aan het te optimistisch ramen van de opvolgdatum door management. Hier lijkt een onderschatting van benodigde inspanningen plaats te vinden. Verder is andere prioritering in verband met capaciteitsproblemen een vaak genoemde reden voor het niet tijdig opvolgen van bevindingen.

5

Audits (1/4) Cyberweerbaarheid

Doelstelling: de effectiviteit en naleving van initiatieven en maatregelen voor bewustwording over cyberweerbaarheid beoordelen.

Organisatieonderdeel: CIO Office De meeste cyberaanvallen worden veroorzaakt door menselijk handelen. In het kader van bewustwording hierover heeft het CIO Office een gemeentebrede e-learning gegevens-bescherming met verschillende niveaus (brons, zilver, goud, diamant) geïmplementeerd in september 2022. Per juni 2024 is 69% van de medewerkers nog niet gestart met de e-learning. Slechts 22% van de interne medewerkers en 7% van de externen voldoen aan de geformuleerde KPI “80% niveau zilver medio 2024”. De deelnamecijfers binnen de B20 en het college zijn teleurstellend en wijzen op een gebrek aan juiste tone at the top voor gegevensbescherming. Hiermee is het risico van het verstrekken van gevoelige gegevens door medewerkers aan potentiële hackers ongewenst hoog. Verder is het lage deelnamepercentage een gemist kans, omdat respondenten in onze enquête aangeven positief zijn over de e-learning en hierdoor bewuster omgaan met gevoelige gegevens. Een aantoonbare aansluiting tussen de kennisbehoefte van de medewekers en de aangeboden e-learning ontbreekt, omdat resultaten uit een eerdere nulmeting en data uit tussenrapportages niet zijn gebruikt bij de (door)ontwikkeling van de e-learning. Wij hebben een phishing test uitgevoerd bij de organisatieonderdelen met de hoogste (W&I) en laagste (FIJ) deelnamecijfers aan de e-learning.

W&I scoort hierbij duidelijk beter dan FIJ, wat positief correleert met het volgen van de e-learning. Opkomende Europese cyberwetgeving maakt bestuurders verantwoordelijk voor het nemen van maatregelen tegen cyberrisico's en het toezicht hierop. Het CIO-office heeft hiervoor beleid voor gegevensbescherming opgesteld en integreert dit ook in de onboarding van nieuwe medewerkers. Een zorgpunt is dat het beleid niet op alle aspecten consequent wordt nageleefd. De AVG verplicht organisaties tot het bijhouden van een datalekregister. Het CIO-office verzamelt input van organisatieonderdelen voor het interne register, maar voert hier geen kwaliteitscontroles op uit. Een ander aandachtspunt is dat het hiervan afgeleide externe datalekregister sinds juli 2023 niet meer is geactualiseerd. Het management van het CIO Office erkent de bevindingen en heeft verbeteracties opgestart.

6

Audits (2/4)

Doelstelling: de dienstverlening bij het Serviceplein ICT beoordelen met focus op performancemanagement en data analyse voor procesverbetering.

Doelstelling: de effectiviteit en naleving van het patchmanagement beoordelen.

Serviceplein ICT

Patchmanagement II - Vervolgaudit

Organisatieonderdeel: Mens & Organisatie (M&O)

Organisatieonderdeel: Ruimte, Werk & Inkomen en Mens & Organisatie

Het Serviceplein ICT is het centrale aanspreekpunt voor IT vragen en meldingen van medewerkers en behandelt er per jaar zo’n 100.000. Organisatorisch valt de afdeling onder M&O, maar werkt gezien de werkzaamheden nauw samen met Domstad IT.

Organisaties hebben dagelijks te maken met bedreigingen die de veiligheid van hun ICT infrastructuur aantasten. Patchmanagement is een manier om systemen te beveiligen door het installeren van kleine softwarepakketjes (patches).

Binnen de gemeente is het Serviceplein ICT is een rolmodel voor het realiseren van doelstellingen omtrent ‘Diversiteit en inclusie’ omdat zij structureel Mbo stageplaatsen aanbieden en inclusieve wervingsmethoden zoals ‘open hiring’ toepassen. Het Serviceplein ICT is tevens een springplank voor het doorgroeien naar andere functies in de organisatie.

Wij concluderen dat de huidige inrichting en uitvoering van het patchmanagementproces niet in lijn ligt met de Baseline Informatiebeveiliging Overheid – BIO (van toepassing sinds 2019) en opkomende cyberwetgeving (NIS2-richtlijn – verwachte implementatie Q3 2025).

In 2021 heeft een extern adviesbureau een quickscan uitgevoerd met betrekking tot professionaliseringsmogelijkheden voor het Serviceplein ICT. Waar mogelijk pakken servicepleinmedewerkers verbeteracties op, maar door gebrek aan managementprioritering ontbreekt een gestructureerde en systematische aanpak.

Zo ontbreekt gemeentebreed patchmanagementbeleid voor een gestandaardiseerde en systematische aanpak voor het patchmanagementproces. Dit leidt tot ongewenste individuele invulling van het proces binnen de organisatie-onderdelen. Voorbeelden hiervan zijn dat risico analyses ontbreken en patches voor installatie niet bij alle onderdelen worden getest. Dit verhoogt de kans op beveiligingsincidenten.

Een aandachtspunt is het ontbreken van een helder beleidsdocument dat het mandaat, de samenwerking met Domstad IT en KPI’s voor de dienstverlening beschrijft. Hierdoor mist een basis voor standaardisatie van werkprocessen, zoals opgenomen als speerpunt in het Jaarplan Serviceplein ICT 2023.

Ook zijn er geen relevante KPI’s gedefinieerd (gemeentebreed en per organisatieondeel) om een adequate uitvoering van het patchmanagementproces te monitoren. Dit beperkt het tijdig constateren van knelpunten, waardoor bijsturing mogelijk te laat plaatsvindt.

Wij zien verder verbetermogelijkheden betreffende het inzetten van data voor de monitoring van dienstverlening en continue procesverbetering. Om datagedreven besluitvorming binnen het Serviceplein ICT te stimuleren, heeft Concernaudit een dashboard ontwikkeld dat trends en patronen inzichtelijk maakt en oorzaakanalyses faciliteert.

Voor cloudapplicaties voeren de leveranciers doorgaans het patchmanagement-proces uit. Echter, de verantwoordelijke functionarissen (IPM-teams) in de organisatieonderdelen monitoren de daadwerkelijke naleving door cloudleveranciers hiervan niet. Hierdoor kan de veiligheid van cloudapplicaties niet gegarandeerd worden.

Het management van het Serviceplein ICT erkent de bevindingen en pakt deze op.

Het management van de organisatieonderdelen en de CISO gaan aan de slag met verbeteracties. 7

Audits (3/4)

Doelstelling: de status en effectiviteit van de verbeterplannen met voor de berekening van inkomsten uit het gemeentefonds beoordelen.

Doelstelling: de implementatiestatus van de standaard Projectbeheersing beoordelen

Projectbeheersing

Gemeentefonds

Organisatieonderdeel: Ruimte, Stadsbedrijven, Vastgoedorganisatie Utrecht (VGU) en Projectmanagementbureau (PMB)

Organisatieonderdeel: Financiën

In 2020 heeft de Directieraad de standaard Projectbeheersing vastgesteld. Daarbij is aan de organisatieonderdelen Ruimte, Stadsbedrijven en VGU een opdracht gegeven om deze standaard te implementeren. Oorspronkelijk was het systeemeigenaarschap voor de standaard bij de Directeur F&I belegd. Sinds december 2023 is het eigenaarschap overgegaan naar de Manager Projectmanagementbureau. Per april 2024 heeft de rol van systeemeigenaar echter nog niet tot aantoonbare toegevoegde waarde voor de organisatie geleid. Wel zijn door PMB eerste acties en initiatieven in gang gezet, zoals het periodiek organiseren van vakgroepbijeenkomsten vanaf juli 2024. De organisatieonderdelen voelen over het algemeen geen verplichting en noodzaak om de standaard formats voor projectbeheersing te gebruiken. Sterker nog, bij Ruimte zijn op afdelingsniveau eigen formats ontwikkeld. Dit leidt tot inefficiënt gebruik van mensen en middelen en belemmert uniforme uitoefening van projecten. De implementatie van de standaard is verder gevorderd bij Stadsbedrijven en VGU dan bij Ruimte. De oorzaak hiervan is dat bij Ruimte opdrachtgeverschap voor implementatie meer dan een jaar niet was belegd.

Een belangrijke tekortkoming is dat voor organisatieonderdeel overstijgende projecten een (systeem)overzicht ontbreekt. Dit belemmert adequate en tijdige sturing op deze complexe en risicovolle projecten. De organisatieonderdelen werken momenteel gezamenlijk aan de aanbesteding van een nieuw projectadministratiesysteem ter verbetering van het bovenstaande. Het management van de betrokken organisatieonderdelen herkent de bevindingen en geeft aan deze op te volgen.

Het gemeentefonds verdeelt geld van het Rijk onder alle gemeenten. Voor Utrecht is dit met ongeveer € 1 miljard per jaar de belangrijkste bron van inkomsten. Bij de berekening van de verwachte bijdrage van het gemeentefonds in de begroting 2023 heeft Financiën een rekenfout van € 42 miljoen gemaakt die tot veel negatieve media-aandacht geleid heeft. Als reactie hierop zijn in 2023 een aantal verbeteracties in kaart gebracht. Echter, de implementatie hiervan is teleurstellend (peildatum juni 2024) en resulteert nog niet in aantoonbare en robuuste procesverbeteringen. De aandachtspunten uit het medewerkersonderzoek 2023 voor Financiën (teamgevoel, samenwerking, waardering, ondersteuning van leidinggevenden) zijn bevestigd tijdens de auditinterviews. Het is daarom zorgelijk dat er nog steeds geen plan met concrete initiatieven voor duurzame cultuurverbetering opgesteld is. Het feit dat de foutenevaluatie in klein gezelschap – exclusief uitvoerende medewerkers – heeft plaatsgevonden, draagt niet bij aan een beter teamgevoel. Ook is de evaluatie niet formeel vastgelegd, wat het lerend vermogen van de afdeling beperkt. De Manager Financiën heeft een externe consultant ingehuurd om het kennisniveau over het gemeentefonds te verhogen en een procesbeschrijving op te stellen.

De sinds maart 2024 beschikbare concept versie hiervan was tijdens de audit in juni nog steeds niet formeel vastgesteld en geïmplementeerd. Het huidige gemeentefondsproces kan door inzet van zowel data analyse als benchmarking en kennisdeling met andere gemeenten verder geoptimaliseerd worden. Het management van Financiën herkent de bevindingen gaat aan de slag met de aanbevelingen 8

Audits (4/4) Doelstelling: de maximale impact van een potentieel fraudegeval op de jaarrekening berekenen.

Impact van potentieel fraudegeval op jaarrekening – ad hoc Organisatieonderdeel: Gemeentebreed

Na een spoedverzoek van de Directeur Concerncontrol heeft Concernaudit in mei 2024 de impact van een potentieel fraudegeval in het fysieke domein op de jaarrekening van de gemeente Utrecht in beeld gebracht. We hebben onze werkzaamheden, met name data-analyse technieken, nauw met de externe accountant afgestemd en onze conclusies in een memo samengevat. De maximale onzekerheid met betrekking tot het potentiële fraudegeval - en het totaalbedrag voor onzekerheden in de jaarrekening 2023 van de gemeente - bleken ruim onder de door de externe accountant gehanteerde materialiteit van € 20,1 mln. te liggen. Hierdoor heeft het potentiële fraudegeval geen impact gehad op de goedkeurende accountantsverklaring. Het organisatieonderdeel in kwestie heeft tijdens de jaarrekeningcontrole in mei een extern bureau ingehuurd om een vooronderzoek naar het potentiële fraudegeval uit te voeren. Inmiddels is een feitenonderzoek opgestart, dat per eind september 2024 nog gaande was. Concernaudit heeft geen rol in beide onderzoeken.

9

Rechtmatigheidsverantwoording gemeentebreed

Wettelijk verplichte jaarlijkse audit

Door de wet ‘Versterking decentrale rekenkamers’ moet iedere gemeente vanaf begin 2023 zelf de rechtmatigheidsverantwoording opstellen en onderbouwen. Tot 2023 was deze taak belegd bij de externe accountant. In 2024 legt de gemeente voor de tweede keer verantwoording af over de rechtmatigheid van haar handelen. Met de rechtmatigheidsverantwoording geeft het college aan of er in het boekjaar financiële onrechtmatigheden hebben plaatsgevonden. Verbijzonderde Interne Controles (VICs) De gemeente onderbouwt de rechtmatigheidsverantwoording met behulp van Verbijzonderde Interne Controles uitgevoerd door Business Controllers van de verschillende organisatieonderdelen. Hiermee wordt jaarlijks gecontroleerd hoe effectief interne controlemethodes (procedures, regels en processen) hebben gewerkt om rechtmatigheidsfouten te voorkomen en/of te identificeren.

Uitgevoerde werkzaamheden en conclusies Wij hebben de door de organisatie uitgevoerde werkzaamheden voor de plannings- en interimfase beoordeeld. Door procesverbeteringen en gezamenlijke inspanningen van de Business Controllers en Concernaudit, is de kwaliteit van de VIC werkzaamheden sterk verbeterd. Hierdoor hebben wij onze kwaliteitswerkzaamheden in significant minder tijd kunnen uitvoeren. Wij zijn van mening dat de tot nu toe uitgevoerde werkzaamheden een geschikte basis vormen voor de controle van de externe accountant.

De rechtmatigheidsverantwoording bestaat uit drie fases; Planningsfase (VIC plan)

Interim fase (VIC procesbeschrijving en lijncontrole)

Finale fase (VIC gegevensgerichte werkzaamheden)

Rol Concernaudit Concernaudit werkt hand in hand met de Business Controllers om de rechtmatigheidsverantwoording continu te verbeteren. Dit doen we door: • Het uitvoeren van kwaliteitstoetsen op de VIC werkzaamheden van de organisatieonderdelen; • Het verzorgen van spreekuren voor het delen van vakkennis;

Wederom vormen Werk en Inkomen en Vergunningen, Toezicht en Handhaving een voorbeeldfunctie voor andere organisatieonderdelen. Wij hebben een aantal aandachtspunten geconstateerd:

• Aanhoudende capaciteitsproblemen binnen team Belastingen (Financiën) zorgen voor vertraging in de uitvoering van de VIC werkzaamheden. • De invulling van de VIC functie binnen Ruimte is kwetsbaar omdat het volledig berust op externe medewerkers. De kwaliteit van de VIC plannen is daarnaast een verbeterpunt. We hebben de bevindingen en benodigde verbeteracties gedeeld met het management van de relevante organisatieonderdelen.

• Het (door)ontwikkelen van templates om middels standaardisatie de procesefficiëntie te verbeteren.

10

Rechtmatigheidsverantwoording VIC’s

Wettelijk verplichte jaarlijkse audit

Concernaudit voert zelf Verbijzonderde Interne Controle (VIC) werkzaamheden uit op twee gemeentebrede processen met grote financiële impact. De externe accountant maakt hiervan gebruik tijdens de jaarrekeningcontrole.

Inkopen en aanbesteden Organisatieonderdeel: Overstijgend

Financiële omvang jan – juni 2024: EUR 448 miljoen

Subsidieverstrekking

Organisatieonderdeel: Maatschappelijke Ontwikkeling (MO)

Financiële omvang jan – juni 2024: EUR 212 miljoen

Concernaudit heeft de VIC werkzaamheden op inkopen en aanbesteden over de eerste twee kwartalen van 2024 afgerond.

Concernaudit heeft voor 2024 het VIC plan geactualiseerd en het proces getoetst op conformiteit aan wet- en regelgeving en verordeningen.

De geconstateerde onrechtmatigheden tot en met juni 2024 (€ 0,4 mln.) zijn in omvang significant lager dan in voorgaande jaren (geheel 2023 € 4,8 mln.). De oorzaak hiervan is toegenomen gemeentebrede aandacht voor en naleving van de EU aanbestedingswetgeving.

Wij hebben zoals in eerder jaren geen financiële onrechtmatigheden geconstateerd.

Concernaudit draagt hieraan bij door kwartaallijks controles op inkopen en aanbesteden uit te voeren. Zo kunnen organisatieonderdelen tijdig actie ondernemen in geval van onrechtmatigheden. De in de programmabegroting 2024 genoemde doelstelling maximaal € 3,0 mln. onrechtmatige aanbestedingen lijkt voor het eerst in jaren haalbaar. De geconstateerde onrechtmatigheden betreffen de organisatieonderdelen Ruimte, Stadsbedrijven, Vergunningen Toezicht en Handhaving, Maatschappelijke Ontwikkeling en Domstad IT. Deze zijn met name ontstaan door: • •

het onterecht verstrekken van opdrachten na afloop van de contractperiode; het onterecht niet Europees aanbesteden van opdrachten;

en betreffen zowel inkoop en aanbestedingen als inhuur van personeel. De bevindingen en benodigde verbeteracties zijn afgestemd met het management van: • Organisatieonderdelen met onrechtmatigheden; • Inkoop (verantwoordelijk voor centraal inkoopbeleid); • Mens & Organisatie (verantwoordelijk voor inhuur personeel).

Alhoewel wij een daling zien in het aantal formele onrechtmatigheden ten opzichte van 2023, is een klein aantal verleningsbeschikkingen niet vóór het verstrijken van de beslistermijn uit de Algemene Subsidie Verordening (ASV) afgegeven. Hierdoor bestaat het risico dat de subsidieontvanger de subsidie ambtshalve kan laten verlenen of vaststellen. De ontvanger heeft dan recht op het volledige subsidiebedrag, ook indien niet aan de aanvraagvoorwaarden wordt voldaan. Het “Uitvoeringskader Subsidieverstrekking” is voor 2024 nog niet geactualiseerd. Gezien het belang van het beleidsstuk, is de lange doorlooptijd van deze actualisatie een aandachtspunt. De omschrijvingen van subsidieactiviteiten in de beschikkingen zijn nog steeds te summier en liggen niet in lijn met het uitvoeringskader. Hierdoor is het moeilijk om vast te stellen of de subsidie daadwerkelijk wordt besteed aan de gewenste activiteiten. Een ander aandachtspunt is dat de aansluiting tussen het financiële systeem SAP en het subsidiesysteem Easyfunders door het gebrek aan datakwaliteit niet geautomatiseerd is. Dit leidt tot inefficiënties in de jaarrekeningcontrole omdat aansluitingen handmatig gemaakt moeten worden.

Het management van het subsidiebureau herkent de bevindingen en gaat hiermee aan de slag. 11

Adviesopdrachten (1/3) Juridische Zaken

Juridische Zaken

Dashboard Management Rapportage ‘Bezwaar en Beroep’

Dashboard Management Rapportage 'Schade en Verzekeren'

Naar aanleiding van het dossier Binnenstad en het en het daaropvolgende Berenschot rapport, heeft Concernaudit in 2023 op verzoek van JZ een dashboard ontwikkeld om de managementrapportages omtrent het proces ‘Bezwaar en Beroep’ te verbeteren.

Het genereren van informatie voor managementrapportages voor ‘Schade en Verzekeren’ vindt momenteel handmatig plaats en is afhankelijk van één functionaris. Dit is inefficiënt en vormt een ongewenste situatie in het kader van businesscontinuïteit.

Het dashboard is sinds december 2023 operationeel en visualiseert volledig geautomatiseerd relevante stuurinformatie voor de maandrapportages van het proces ‘Bezwaar en Beroep’.

De reeds bestaande samenwerking met JZ zetten wij voort door de maandrapportages van het proces ‘Schade en Verzekeren’ te automatiseren. Met het dasboard kan management gerichter sturen op knelpunten en workload binnen het team. Een bijkomstig voordeel is dat informatie uit het dashboard kan worden gebruikt voor toekomstige onderhandelingen met verzekeraars omtrent keuzes over premies en eigen risico’s.

In de afgelopen periode hebben we dit dashboard verder geoptimaliseerd op basis van waardevolle gebruikersfeedback van juristen. Zo hebben we het gebruikersgemak verbeterd en een prognose voor verwachte bezwaar- en beroepsschriften van bewoner toegevoegd. Deze verbeteringen dragen bij aan een meer gerichte en voorspellende sturing van het proces ‘Bezwaar en Beroep’.

Tijdens de verkenningsfase met JZ hebben wij echter geconstateerd dat een koppeling tussen de benodigde productiesystemen ontbreekt. De ontwikkeling van deze koppeling is inmiddels in gang gezet. Zodra deze gereed is, kunnen wij met het bouwen van de geautomatiseerde rapportages beginnen.

12

Adviesopdrachten (2/3) Concernaudit

Mens & Organisatie

Automatisering werkzaamheden op VIC Inkopen en Aanbesteden

Voorspellende Model Vrijwillige Uitstroom

Concernaudit is continu op zoek naar automatiseringsmogelijkheden voor handmatige auditwerkzaamheden. Een bijzonder arbeidsintensieve activiteit is het kwartaallijks uitvoeren van de VIC 'Inkopen en Aanbesteden’ (zie pagina 11). Daarom werken we in pilots aan de automatisering van deze werkzaamheden.

De krapte op de arbeidsmarkt stelt de gemeente Utrecht voor uitdagingen. Openstaande vacatures zijn hierdoor lastiger in te vullen en voor werknemers is het aantrekkelijk om kansen buiten de gemeente te verkennen.

Eerder hebben we succesvol het handmatig verzamelen van onderbouwende documenten uit het systeem SAP SRM geautomatiseerd. In de afgelopen maanden hebben we ons gericht op het automatisch uitlezen van inkoopdocumenten. Hiervoor hebben we een script ontwikkeld dat de benodigde informatie uit de inkoopdocumenten herkent, verzamelt en in een database opslaat. Dit maakt handmatige, repetitieve taken overbodig. Denk hierbij aan het opzoeken, openen en kopiëren van informatie uit losse documenten. In het komend halfjaar breiden wij het script verder uit om meer documenttypen te kunnen verwerken. Daarnaast ontwikkelen we scripts voor datapreparatie en de inrichting van analyses om onze contolewerkzaamheden verder te versnellen.

In samenwerking met M&O hebben wij daarom een model ontwikkeld om toekomstige vrijwillige uitstroom van medewerkers te voorspellen. Personeelsgegevens, medewerkersonderzoeken en arbeidsmarktdata over de periode 2017-2024 vormen de basis voor de voorspellingen. Door het gebruik van zelflerende algoritmes (machine learning) is het model verder geoptimaliseerd. De uitkomsten van het model hebben we gevisualiseerd in een dashboard dat M&O in staat stelt om risicogebieden voor vrijwillige uitstroom te identificeren. Denk bijvoorbeeld aan specifieke functies of doelgroepen binnen onze organisatie. Het dashboard ondersteunt een feitelijk onderbouwd capaciteitsmanagement en faciliteert een gerichtere en efficiënte inzet van managers en HR business partners.

In totaal beogen we hier 150 manuren per jaar mee te besparen.

13

Adviesopdrachten (3/3) Financiën

Evaluatie RRP – ad hoc

Dashboard Memorialen

Evaluatie Regeling Risicovolle Projecten

De gemeente Utrecht verwerkt jaarlijks een groot aantal memorialen. In 2023 betrof dit meer dan 8.000 memorialen ter waarde van € 3,8 miljard.

Sinds 2021 kent de gemeente Utrecht de Regeling Risicovolle Projecten (RRP). Het doel van deze regeling is de raad te versterken in haar kaderstellende en controlerende rol bij projecten die risicovol zijn. Dit zijn projecten met substantiële invloed op de stad, het gebruik van innovaties, bestuurlijke complexiteit en/of significante financiële omvang.

Vanwege het handmatige karakter en de mogelijkheid om het resultaat te beïnvloeden voor persoonlijk gewin, hebben memorialen een verhoogd risico op fraude. De externe accountant heeft in diverse managementletters aandacht gevraagd voor de gebrekkige onderbouwing van memoriaalboekingen en tekortkomingen in de interne beheersing.

In samenwerking met Financiën hebben wij een dashboard ontwikkeld om met een datagedreven aanpak het memorialenproces: • Inzichtelijker te maken; • Knelpunten te identificeren; • Interne beheersmaatregelen gericht aan te scherpen; • Oorzaken van memoriaalboekingen in beeld te brengen en hierdoor het aantal boekingen terug te brengen. Met het dashboard beschikt het managent van Financiën nu over relevante stuurinformatie om een robuust proces voor memorialen in te richten en te bewaken.

In de regeling is vastgelegd dat deze na drie jaar zal worden geëvalueerd door het college en de raad. Hiervoor is opdracht gegeven aan de Directeur Concerncontrol. De data-analist van Concernaudit is bij de evaluatie betrokken voor onderzoeksgerelateerde aspecten. Onze data-analist – tevens socioloog – brengt relevante vakexpertise door het hanteren van een mixed methods aanpak, waarbij zowel kwantitatieve als kwalitatieve onderzoeksmethoden zijn ingezet. Om een volledig beeld te krijgen van de ervaringen en opvattingen over de RRP, is een enquête gehouden onder raadsleden en ambtenaren van de gemeente Utrecht. Aansluitend zijn focusgroep-interviews georganiseerd met een selectie van ambtenaren en raadsleden. De bevindingen uit de evaluatie vormen de basis voor het concluderende rapport, dat door de Directeur Concerncontrol eind 2024 wordt opgeleverd.

In het tweede halfjaar ontwikkelen wij het dashboard verder.

14

Samenwerkingsinitiatieven Naast het uitvoeren van het jaarplan zijn leden van Concernaudit ook vertegenwoordigd in een aantal expert panels en werkgroepen. Hierin werken we samen met collega's uit verschillende domeinen aan complexe organisatorische vraagstukken en procesverbeteringen. Hieronder hebben wij enkele nieuwe en bestaande samenwerkingsinitiatieven uitgelicht.

Commissie Bedrijfsvoering en Auditing Decentrale Overheden BADO Sinds juni 2024 vertegenwoordigt de Manager Concernaudit de gemeente Utrecht in de Commissie Bedrijfsvoering en Auditing Decentrale Overheden (BADO). Deze commissie bestaat uit deskundigen die onder meer werkzaam zijn bij gemeenten, provincies, de VNG, de beroepsorganisatie van accountants, accountantskantoren en het Rijk. De commissieleden werken samen om de interpretatie van regels voor bedrijfsvoering, verantwoording en accountantscontroles toe te spitsen op de praktijk van decentrale overheden.

Overige samenwerkingsinitiatieven Selectiecommissie aanbesteding externe accountant

Kernteam rechtmatigheidsverantwoording

Expert panel inkoop

Werkgroep AI Act In augustus 2024 is de Europese AI Act in werking getreden. De AI Act is van toepassing op alle sectoren, waaronder de overheid. Organisaties hebben tot augustus 2026 om aan de wettelijke vereisten te voldoen. Het CIO Office heeft een werkgroep opgericht die de gemeente bij de ontwikkeling van beleid voor de naleving van de AI Act ondersteunt. Hierdoor kan adequaat en tijdig invulling worden geven aan verplichtingen uit deze wetgeving, zonder daarbij de kansen die AI biedt uit het oog te verliezen. In september 2024 kwam de werkgroep voor het eerst bijeen. Onze data-analist, die onlangs de opleiding tot Certified AI Compliance Officer succesvol heeft afgerond, neemt actief deel hieraan.

Expert panel medewerker tevredenheidsonderzoek

Expert panel SAP HANA implementatie

Vakgroep data science

Artificial Intelligence (AI) tafel

15

Status onderhanden auditopdrachten uit jaarplan 2024-25 Per 30 september 2024

Vooronderzoek

Opdrachtbeschrijving afgestemd

Veldwerk afgerond

Bevindingen afgestemd

Conceptrapport aangeboden

In afwachting van managementreactie

213a – Regeling Risicovolle Projecten (RRP) - Informatie op Orde 213a Wijken – ongelijk investeren in gelijke kansen

IT Wet Politiegegevens 2024 en hercontrole auditbevindingen 2024 Stadsbedrijven OT/IT Cloudcontracten II – vervolgaudit Omgevingswet Verbonden partijen Follow-up audit - Onderwijshuisvesting Toetsen van beheersmaatregelen in fraudegevoelige processen – PBZ RNI Loon en prijsindexatie

16

Status onderhanden adviesopdrachten uit jaarplan 2024-25

Per 30 september 2024

Vooronderzoek

Opdrachtbeschrijving afgestemd

Veldwerk afgerond

Bevindingen afgestemd

Conceptrapport aangeboden

In afwachting van managementreactie

JZ: Dashboard Schade en Verzekeren

Financiën: Dashboard Purchase 2 Pay Financiën: Dashboard BTW bij doorbelasting van kosten* PBZ: Dashboards** Fraudeworkshop

* Deze opdracht is uitgesteld op verzoek van Financiën. Zie p.3 in de managementsamenvatting voor verdere toelichting.

**De volgende dashboards worden opgesteld: 1) Raadplegingen BRP en advisering Reisdocumenten, 2) Eerste inschrijving BRP en 3) Registratie Niet Ingezetenen.

17

Management van de interne auditfunctie (1/2) Onafhankelijkheid

Belangenverstrengeling

De Manager Concernaudit heeft vastgesteld dat de benodigde onafhankelijkheid van Concernaudit is gewaarborgd:

Potentiële belangenverstrengeling wordt periodiek getoetst door de Manager Concernaudit. Tussen 1 april 2024 en 30 september 2024 heeft belangenverstrengeling zich niet voorgedaan.

• De Manager Concernaudit rapporteert aan een dusdanig hoog niveau in de organisatie, waardoor Concernaudit in staat is om haar verantwoordelijkheden te kunnen vervullen. • De Manager Concernaudit heeft een directe communicatielijn met de Gemeentesecretaris, de Wethouder en de Adviescommissie Control & Financiën.

Belangenverstrengeling vindt plaats op het moment dat een auditor, die een vertrouwenspositie bekleedt in haar functie, een ander professioneel of persoonlijk belang heeft. Tegengestelde belangen kunnen het onpartijdig uitoefenen van de auditfunctie bemoeilijken. Door belangenverstrengeling kan een ongepast beeld ontstaan welke het vertrouwen in de interne auditor en haar audit activiteiten kan schaden.

Permanente educatie

IIA Congres 2024

Auditors met certificaten en beroepslidmaatschappen die bijbehorende onderhoudseisen in het kader van ‘Permanente Educatie’ stellen, volgen de benodigde trainingen en cursussen om hieraan te voldoen.

Met drie collega’s van Concernaudit hebben wij in juni 2024 deelgenomen aan het IIA congres in Leusden. Na aanleiding van de Olympische Spelen in Parijs was "Conformance & Performance" het congresthema. We hebben aan de hand van voorbeelden uit de topsport inspiratie opgedaan wat betreft het voldoen aan verwachtingen en presteren.

Middelen en budget • Concernaudit heeft voldoende middelen (capaciteit en budget) om het interne audit plan 2024-25 uit te voeren. • Concernaudit zal het interne audit plan 2024-25 binnen het vastgestelde budget afronden.

18

Management van de interne auditfunctie (2/2) Kwaliteitsbewaking en verbeterprogramma Interne auditfuncties wereldwijd maken gebruik van dezelfde standaarden bij het uitvoeren van hun werkzaamheden. Deze standaarden zijn door onze beroepsorganisatie, het Instituut van Internal Auditors (IIA), recentelijk geüpdatet op basis van maatschappelijke ontwikkelingen. De nieuwe standaarden (GIAS) zijn vanaf 1 januari 2025 van toepassing.

GIAS 8.4 schrijft voor dat interne audit afdelingen iedere vijf jaar een externe kwaliteitstoetsing laten uitvoeren om de naleving van de standaarden en de effectiviteit en efficiëntie van de interne audit functie te beoordelen. De Manager Concernaudit heeft opdracht aan IIA Nederland gegeven om de externe kwaliteitstoetsing voor het eerst in 2025 uit te voeren. We doen dit in twee fases; een quickscan in Q1 2025 en de formele kwaliteitstoetsing in Q4 2025. We hebben capaciteit gereserveerd om de nodige verbeteracties voor de kwaliteitstoetsing te realiseren en een van onze Senior Auditors als Project Manager aangewezen. Ook werken we op het onderwerp kwaliteitsbewaking nauw samen met de interne audit afdelingen van de gemeenten Amsterdam en Den Haag. Naast de voorbereidingen voor de externe kwaliteitstoetsing hebben we dit jaar het thema 'verbeteren schrijfvaardigheden' als speerpunt gekozen. Elk teamlid heeft een individueel verbeterplan opgesteld en we bespreken casuïstiek periodiek in teamoverleggen.

Key Performance Indicators (KPI’s) Jaarplanrealisatie Maximaal 3 audits of advies opdrachten die per 31 maart 2025 onderhanden zijn en in Q2 2025 worden afgerond.

Onderhanden op schema

Budget Het jaarplan 2024/25 binnen het budget uitvoeren.

Onderhanden op schema

Kwaliteit dienstverlening Score 4 of hoger (afgerond) in 80% van alle audits. Auditees ontvangen een enquête waarin zij onze dienstverlening beoordelen van 1 t/m 5 op stellingen met betrekking tot Team, Uitvoering, Rapport en Meerwaarde audit.

Onderhanden loopt achter: 76%

Professionele ontwikkeling Het behalen van de volgende certificaties: één Certified Artificial Intelligence Compliance Officer (CAICO), één Certified Interal Auditor (CIA) en een CIA kandidaat.

Onderhanden op schema

Procesverbeteringen: doorlooptijd 80% van de concept auditrapporten en concept advies-memo’s uiterlijk 13 werkdagen dagen na de closing meeting versturen.

Onderhanden loopt achter: 29%

Follow-up Het follow-up proces voor alle audits (vanaf het jaarplan 2024/25) binnen 3 tot 6 maanden na het uitbrengen van het definitief audit rapport afronden.

Nog niet van toepassing

19