Halfjaarverslag 2025-26 Concernaudit

Halfjaarverslag Concernaudit 2025-26 April 2025 – September 2025

Manager Concernaudit 7 oktober 2025

Inhoudsopgave Managementsamenvatting

Managementsamenvatting Follow-up proces

Follow-up proces Audits

Audits Rechtmatigheidsverantwoording

Rechtmatigheidsverantwoording Fraudepakket

Fraudepakket Adviesopdrachten

Adviesopdrachten Samenwerkingsinitiatieven

Samenwerkingsinitiatieven Status onderhanden opdrachten uit jaarplan 2025-26

Status onderhanden opdrachten uit jaarplan 2025-26 Management van de interne audit functie

2

Managementsamenvatting (1/2) Context

Positieve observaties

Met dit halfjaarverslag informeren we de Concerndirectie en het college over de realisatie van het Concernaudit jaarplan 2025-26.

Follow-up van auditbevindingen

Het jaarplan adresseert risico’s rondom • • • •

Informatiebeveiliging: cloudcontracten en data privacy impact assessments; Workforce management: inhuur / wet DBA en personeelsplanning; Risicomanagement en Robuustheid van kritische processen binnen Werk en Inkomen en Volksgezondheid.

Ad-hoc opdrachten (niet in jaarplan opgenomen) • Naar aanleiding van recente casuïstiek, voert adviesbureau Berenschot op verzoek van de Gemeentesecretaris een onderzoek uit naar (dreigende) arbeidsconflicten binnen de gemeente. Het uitvoeren van de aanbesteding, het contractmanagement en de kwaliteitsbewaking tijdens het onderzoek is bij Concernaudit belegd. • Op verzoek van de Directeur Concercontrol geeft de Manager Concernaudit leiding aan een projectteam bestaande uit Business Controllers, een senior HR functionaris en adviesbureau Highberg om te adviseren over de inrichting van een robuuste en toekomstbestendige Control functie. Een auditor fungeert hierbij als projectsecretaris.

In 2023-24 heeft Concernaudit voor het eerst een follow-up proces voor alle afgeronde audits geïntroduceerd. Gebruikelijke uitdagingen in de beginfase, zoals te optimistische ramingen voor het implementeren van verbeteracties door de organisatieonderdelen, zijn inmiddels verholpen. Een andere positieve ontwikkeling is dat de snelheid waarmee bevindingen opgevolgd worden sterk verbeterd is. We hebben het follow-up proces onlangs verder aangescherpt door de directeuren hier sterker in te betrekken. Zo ontvangen zij nu ieder kwartaal een overzicht met "overdue" bevindingen en de daarbij horende risico's waarmee zij gerichter kunnen prioriteren en bijsturen waar nodig.

213a onderzoek buurtagenda's Met de inzet van zes buurtagenda’s speelt de gemeente in op het speerpunt ‘Ongelijk investeren voor gelijke kansen’ uit het Coalitieakkoord 2022-2026. Wij hebben in een artikel 213a onderzoek de efficiëntie en effectiviteit van de inrichting, werkwijze en behaalde resultaten van de buurtagenda’s beoordeeld. De voornamelijk positieve uitkomsten en enkele verbeterpunten worden in oktober met het college en de raad gedeeld.

Opdrachten uit jaarplan die niet doorgaan of die we uitstellen • De audit omtrent de volledigheid van de erfpachtinkomsten bij Ruimte voeren we niet uit. De door Ruimte uitgevoerde verbeteracties zijn dermate gevorderd dat de externe accountant in september 2025 bevestigd heeft de bevindingen uit de management letters 2018-2024 hierover te sluiten. Een interne audit op dit onderwerp voegt daarom geen verdere waarde toe. • De adviesopdracht bij Marketing voor het opzetten van een robuuste regierol van de uitbestede marketing- en communicatiediensten stellen we uit omdat de Directeur Marketing uitgevallen is en de verantwoordelijke Concerndirecteur per oktober uit dienst is.

Inburgering Bij de implementatie van de Wet Inburgering past de gemeente een aanpak toe die gericht is op ontwikkelen, leren en bijstellen. Deze aanpak, in combinatie met interne en externe evaluaties van de dienstverlening, vormen een solide basis voor een gestructureerde uitvoering van het inburgeringsproces. Door het toepassen van maatwerk binnen duidelijk vastgelegde kaders wordt rekening gehouden met de persoonlijke situatie van de inburgeraar. 3

Managementsamenvatting (2/2) Positieve observaties - vervolg

Aandachtspunten - vervolg

Inhuur – Wet Deregulering Beoordeling Arbeidsrelaties (DBA)

Data Protection Impact Assessments

De Wet DBA stelt sinds 2016 eisen aan de inhuur van zzp’ers om schijnzelfstandigheid te voorkomen. De Belastingdienst handhaaft vanaf 2025 de naleving van de wet. Om hierop in te spelen, heeft de Concerndirectie in Q4 2024 de bestaande aanpak voor de inhuur van zzp'ers aangescherpt. Eerste positieve effecten hiervan blijken uit een daling van het aantal rechtstreeks ingehuurde zzp’ers (van 205 in Q4 2024 naar 187 in Q1 2025), inhuurovereenkomsten met verlaagde uren per week en zzp’ers die in loondienst zijn getreden bij de gemeente zijn.

Aandachtspunten Cloudtransitie De gemeente Utrecht is in 2019 gestart met het programma Cloudtransitie. Het contractmanagement omtrent cloudapplicaties hebben wij reeds eerder als aandachtspunt gerapporteerd. Verbeteracties zijn geïnitieerd, maar de voortgang hierop verloopt traag. Hierdoor blijven risico’s omtrent het adequaat waarborgen van toegang tot en veiligheid van gemeentelijke data een voorlopig bestaan.

Risicomanagement Een rode draad uit diverse audits is het niet zorgvuldig uitvoeren, vastleggen en periodiek actualiseren van risicoanalyses bij (kritische) processen. Hierdoor zijn (bestaande) risico’s niet of onvoldoende in beeld en worden bijbehorende beheersmaatregelen niet gedefinieerd en geïmplementeerd. Dit resulteert mogelijk in een ongewenste blootstelling aan risico’s voor de gemeente. Denk hierbij aan risico’s omtrent de beveiliging van OT assets zoals bruggen, sluizen en gemalen die in de huidige geopolitieke omgeving een steeds aantrekkelijker doelwit vormen voor kwaadwillenden.

Sinds 2018 geldt volgens de Algemene Verordening Gegevensbescherming (AVG) de verplichting voor het uitvoeren van een Data Protection Impact Assessment (DPIA) voor processen met hoge privacyrisico’s. Uit diverse audits bij organisatieonderdelen met kritische processen blijkt dat DPIA’s niet aanwezig of van onvoldoende kwaliteit zijn om risico’s adequaat in beeld te brengen en de AVG aantoonbaar na te leven.

Wet politiegegevens Bij de jaarlijks verplichte Wpg audit stond dit jaar het proces “rechten van de betrokkene" centraal. Denk hierbij aan verzoeken van burgers voor inzage, rectificatie of vernietiging van politiegegevens. Aandachtpunten betreffen met name het niet effectief vertalen van beleid naar werkinstructies waarmee processen niet robuust en met adequate beheersmaatregelen ingericht zijn.

Ontwikkelingen binnen Concernaudit In het kader van het verder professionaliseren van de Concernaudit functie, laten we in 2025 een externe kwaliteitstoets door de IIA Nederland uitvoeren. Hierbij wordt de naleving van standaarden van onze beroepsorganisatie en de effectiviteit en efficiëntie van de interne audit functie beoordeeld. De verbeterpunten uit het pre-assessment rapport van juni 2025 hebben we inmiddels opgepakt en verwachten de kwaliteitstoetsing en certificering in december 2025 af te ronden.

Naar aanleiding van de toetsing hebben we in februari 2025 de strategie van Concernaudit herzien. Middels het jaarplan Concernaudit (inclusief performance indicatoren) en half(jaarverslagen) rapporteren we over de realisatie van onze strategie. Sinds mei 2025 versterkt een auditor uit de generatie Z ons team. Dit is een waardevolle toevoeging aan de diversiteit van het team. De afwezigheid van een auditor in verband met zwangerschapsverlof in de periode augustus 2025 – januari 2026 compenseren we door onze opdrachten gericht te scopen 4 en de werkzaamheden over diverse teamleden te verdelen.

Follow-up proces Sinds 2023 past Concernaudit een robuust follow-up proces toe voor alle afgeronde audits. Tijdens de follow-up bewaken we de voortgang van de door management voorgestelde verbeteracties. Het management is verantwoordelijk om deze verbeteracties binnen de afgestemde periode te implementeren. Concernaudit fungeert als aanjager, procesbewaker en escaleert significante vertragingen richting de directieraad. Onderstaande grafieken geven de opvolgingsstatus van bevindingen uit de auditjaren 2024-25 en 2024-25 weer*. Het follow-up proces bevat bevindingen met risicoclassificatie hoog en midden. Bevindingen met risicoclassificatie laag zijn hier geen onderdeel van.

Follow up status jaarplan 2024-25 # Audits

Aantal onderhanden overdue 7

(1 hoog risico)

11 # Bevindingen

11 Hoog 69

55 Midden 3 Laag

Follow up status jaarplan 2025-26

10% Aantal onderhanden niet overdue 12

Aantal onderhanden niet overdue 23

# Audits Aantal opgelost 50

5

(3 hoog risico)

# Bevindingen

3 Hoog

17% 73%

23

20 Midden 0 Laag

100%

Conclusies Uit het jaarplan 2024-25 is één bevindingen met risicoclassificatie hoog overdue bij IPM, waar door te optimistische ramingen van opvolgtermijnen aantoonbare kwaliteitscontroles op het datalekregister nog niet zijn ingericht. Hierdoor blijven per september 2025 risico’s omtrent de naleving van wet- en regelgeving zoals de Algemene Verordening Gegevensbescherming (AVG) voorlopig bestaan. *Uit het jaarplan 2023-24 zijn nog 9 bevindingen niet afgesloten, waarvan 1 bevinding met risicoclassificatie ‘hoog’ bij Ruimte en Stadsbedrijven. Hiervoor was opvolging reeds in gang gezet, maar heeft vertraging opgelopen door een afgebroken systeemimplementatie. De onderdelen hebben nieuwe mitigerende acties voorgesteld. De overige bevindingen zijn voornamelijk ‘midden’ bevindingen bij IPM, waar door personeelswisselingen herhaaldelijk vertraging is ontstaan in de opvolging. IPM is voornemens de bevindingen uiterlijk in Q1 2026 op te pakken.

5

Audits (1/4)

Doelstelling: Beoordelen van de efficiëntie en effectiviteit van de inrichting, werkwijze en behaalde resultaten van buurtagenda’s

Doelstelling: Toetsen van het voldoen aan de Wet DBA en de status van implementatie en naleving van de Utrechtse inhuuraanpak op rechtstreeks ingehuurde zzp’ers in het kader van de Wet DBA

Artikel 213a Gemeentewet: Buurtagenda’s

Inhuur – Naleving Wet DBA

Organisatieonderdeel: Wijken

Organisatieonderdeel: Mens & Organisatie (M&O) en Financiën en Inkoop (FI)

‘Ongelijk investeren voor gelijke kansen’ is een speerpunt in het Coalitieakkoord 20222026. De gemeente Utrecht zet sinds eind 2022 in zes buurten met sociale en/of ruimtelijke uitdagingen buurtagenda’s in om de groeiende ongelijkheid tegen te gaan en zet hiervoor ruim 1 miljoen euro per jaar in.

De Wet Deregulering Beoordeling Arbeidsrelaties (DBA) stelt sinds 2016 eisen aan de inhuur van ‘zelfstandigen zonder personeel’ (zzp’ers). Door de aangekondigde handhaving door de Belastingdienst per 2025 op wet DBA, heeft de Concerndirectie in september 2024 een aanpak vastgesteld om de naleving van de wet voor rechtstreeks ingehuurde zzp’ers te waarborgen.

De buurtagenda's zijn een buurt-specifieke samenwerking tussen de gemeente en bewoners, ondernemers en organisaties om leefomstandigheden en kansen van de bewoners te verbeteren. Uit een enquête en gesprekken met medewerkers, sociale partners en bewoners blijkt dat zij de buurtagenda’s als waardevol ervaren en aantoonbaar vooruitgang zien in hun buurten. Leden van het programmateam Buurtagenda’s borgen de blik naar buiten door actief deel te nemen aan initiatieven voor kennisdeling zoals regionale en landelijke kennisnetwerken rondom buurt – en wijkgericht werken. Een aandachtspunt is de samenwerking van het programmateam met betrokken organisatieonderdelen. Met Stadsbedrijven is deze het verst gevorderd, met Maatschappelijke Ontwikkeling en Werk & Inkomen wordt de samenwerking momenteel vormgegeven. Hierdoor blijven kansen voor kruisbestuiving en kennisdeling binnen de organisatie onbenut. Door gebrek aan concrete doelstellingen en KPI’s, is het niet mogelijk om de effectiviteit van de buurtagenda’s systematisch te meten. Verder ontbreekt een gestructureerde evaluatiemethode, waardoor resultaten tussen buurten lastig te vergelijken zijn. Dit belemmert het lerend vermogen binnen de organisatie en het tijdig signaleren van knelpunten. Het programmateam heeft een plan van aanpak opgesteld voor het opvolgen van de verbeterpunten.

De gemeente geeft hiermee adequaat invulling aan de wet DBA. De positieve effecten van de aanpak blijken mede uit een daling van het aantal rechtstreeks ingehuurde zzp’ers van 205 in Q4 2024 naar 187 in Q1. Een aandachtspunt is dat de aanpak intern versnipperd is over verschillende documenten. Dit is onpraktisch en niet gebruiksvriendelijk. Verder ontbreken duidelijke handvatten en voorbeelden, waardoor de beoogde werkwijze niet altijd duidelijk is voor inhurende managers.

De aanpak is enkel toegespitst op rechtstreeks ingehuurde zzp’ers. Inhuur van zzp’ers via bureaus of bv’s en zzp’ers bij een resultaatsverplichting (inkoop) zijn hierin niet opgenomen, ondanks de risico’s die bij de inzet van deze types zzp’ers bestaan. Een tekortkoming in het proces is dat Business Control niet betrokken was bij het opzetten en uitvoeren van controles op de aanpak. De door M&O uitgevoerde controles bleken niet tijdig en effectief.

Een ander aandachtspunt is dat de rapportage met stuurinformatie omtrent inhuur die gebruikt wordt door de Concerndirectie en de raad erg foutgevoelig is door verschillende databronnen en handmatige acties. Het management van M&O en Inkoop heeft verbeteracties toegezegd. 6

Audits (2/4)

Doelstelling: Beoordelen van de implementatiestatus van de roadmap voor versterking van digitale weerbaarheid binnen Operational Technology (OT) oplossingen

Doelstelling: Vaststellen of beheersmaatregelen adequaat zijn ingericht om de Wpg na te leven

Stadsbedrijven OT

Wet politiegegevens 2025

Organisatieonderdeel: Stadsbedrijven (SB)

Organisatieonderdeel: CIO Office, Werk & Inkomen (W&I), Maatschappelijke Ontwikkeling (MO), Vergunningen, Toezicht en Handhaving (VTH) en Juridische Zaken (JZ)

Operational technology (OT) stuurt systemen en processen in de fysieke leefomgeving aan, zoals bruggen en verkeersregelinstallaties. In 2022 heeft de Directeur Stadsbedrijven een consultancybureau ingehuurd om de digitale weerbaarheid van enkele OT systemen te beoordelen en een roadmap op te stellen.

De Wet politiegegevens (Wpg) stelt criteria voor de verwerking van politiegegevens. Politiegegevens zijn persoonsgegevens die in het kader van de politietaak worden verwerkt door buitengewoon opsporingsambtenaren (boa’s) binnen Leerlingzaken (MO), Toezicht & Handhaving Openbare Ruimte (VTH) en Bijzonder onderzoek (W&I).

Functionarissen van Stadsbedrijven zijn, mede vanuit de roadmap, betrokken bij diverse initiatieven voor kennisuitwisseling met de VNG en vakexperts inzake OT cybersecurity. Dit is een waardevolle inspiratiebron voor het inrichten van OT gerelateerde processen.

In deze audit hebben wij de aanwezige beheersmaatregelen om de rechten van de betrokkene (RvB) te behartigen getoetst. Denk hierbij aan verzoeken van burgers voor inzage, rectificatie of vernietiging van politiegegevens. Dit onderwerp was reeds een aandachtspunt tijdens een externe Wpg audit in 2022.

De projectleider heeft in Q1 2024 een plan van aanpak uitgewerkt om de roadmap te implementeren. Omdat dit plan niet de structuur van de roadmap volgt, is echter het lastig om acties uit beide documenten te koppelen. Tevens ontbreekt in het plan van aanpak een risico afweging die de prioritering van gekozen acties onderbouwt. Dit is inefficiënt en belemmert adequate bewaking van de implementatie. Een ander aandachtspunt is dat de voortgangsrapportages een te positief beeld schetsen van de werkelijke implementatie status. Zo zijn de meeste acties uit de roadmap niet (volledig) opgevolgd of vertraagd, maar dit blijkt niet uit de rapportages. Een herziening van acties en tijdslijnen heeft nog niet aantoonbaar plaatsgevonden. Diverse basisprincipes voor OT cybersecurity risicomanagement zijn nog niet ingericht. Denk hierbij aan gewenste weerbaarheidsniveaus en risico-eigenaren. Stadsbedrijven kan hierdoor niet adequaat beoordelen of zij haar OT risico’s beheerst in een tijd van snelle technologische ontwikkelingen en gerichte cyberaanvallen op overheden.

Gezien het huidige geopolitieke speelveld vormen OT assets namelijk een steeds aantrekkelijker doelwit voor aanvallen van kwaadwillenden. Het management van Stadsbedrijven heeft reeds acties uitgezet voor het opvolgen van de verbeterpunten.

MO is het verst gevorderd met het implementeren van de verbeteracties. Verder heeft het CIO Office, in haar rol als Wpg stelselhouder, diverse RvB beleidsstukken opgesteld, wat een uniforme en systematische procesuitvoering bevordert.

Wij hebben een aantal aandachtspunten geïdentificeerd bij het CIO Office. Zo zijn uitgangspunten uit beleid niet effectief vertaald naar werkinstructies voor het afhandelen van Wpg verzoeken. Dit verhoogt het risico op het niet uniform en binnen wettelijke termijnen afhandelen van deze verzoeken. Daarnaast ontbreekt een formeel en systematisch proces voor rectificatie- en vernietigingsverzoeken van politiegegevens, terwijl de Wpg in 2019 in werking is getreden. Dit is zorgelijk, omdat hierdoor mogelijkheden voor (identiteits)fraude ontstaan.

Omdat het registratiesysteem voor verzoeken niet over de juiste functionaliteiten beschikt en rapportagelijnen nog niet effectief zijn ingericht, heeft het CIO Office geen adequate sturingsinformatie om grip te houden op de afhandeling van Wpg verzoeken. Het management van de betrokken organisatieonderdelen is inmiddels begonnen met het implementeren van verbeteracties. 7

Audits (3/4)

Doelstelling: Beoordelen van de kwaliteit en naleving van geselecteerde contracten met cloudleveranciers

Doelstelling: Beoordelen van de naleving van het DPIA proces en de kwaliteit van uitgevoerde DPIA’s

Cloud Contractmanagement III

Data Protection Impact Assessments

Organisatieonderdeel: Ruimte

Organisatieonderdeel: CIO Office (CIOO), Mens & Organisatie (M&O), Publiekszaken (PBZ) en Werk & Inkomen (W&I).

De gemeente Utrecht is in 2019 gestart met het programma Cloudtransitie. Hiermee worden steeds meer gemeentelijke applicaties van een on-premise naar een cloudomgeving verplaatst en het applicatie- en databeheer aan leveranciers uitbesteed. Bij de inkoop van clouddiensten is het belangrijk om afdwingbare contractafspraken met leveranciers te maken, zodat de werking en het beheer van clouddiensten geborgd is. In deze audit hebben wij de kwaliteit en naleving van diverse cloudcontracten binnen Ruimte beoordeeld. Ruimte neemt concrete acties voor het verbeteren van contractmanagement. Zo is een ervaren externe Kwartiermaker Contractmanagement aangesteld in januari 2025 om onder andere processtandaardisatie te faciliteren. De gemeente hanteert voor haar contractmanagementproces de internationaal erkende standaard ‘CATS CM’. Ruimte past deze echter niet consequent toe, waardoor contractmanagers niet zijn aangewezen of hun rol onvoldoende invullen. Dit resulteert in een gebrek aan eigenaarschap voor contracten en inadequate bewaking van gemaakte afspraken. Verder ontbreken juridische waarborgen in de getoetste contracten. Zo zijn diverse contracten uitsluitend door de leverancier ondertekend of zijn contracten na substantiële wijzigingen in IT infrastructuur niet herzien. Dit belemmert de juridische afdwingbaarheid bij geschillen. Cloudrisico’s zijn onvoldoende geadresseerd.

Denk hierbij aan afspraken over applicatie uitfasering, data-overdracht en het aanleveren van verklaringen voor informatiebeveiliging bij de leveranciers. Hierdoor ontstaan risico’s omtrent dataveiligheid en kunnen leveranciers in het uiterste geval de gemeente de toegang tot de clouddienst ontzeggen.

De Algemene Verordening Gegevensbescherming (AVG) heeft als doel de privacy van EU-burgers te beschermen. De AVG vereist het uitvoeren van een risicoanalyse (DPIA) bij hoog risico verwerkingen van persoonsgegevens. In deze audit hebben wij de kwaliteit en procesnaleving van DPIA’s binnen M&O, PBZ en W&I beoordeeld. Een positieve ontwikkeling is dat M&O, PBZ en W&I procesverbeteringen doorvoeren en kwaliteitscontroles inrichten voor het DPIA proces. Het CIO Office bevordert daarnaast in haar kaderstellende rol standaardisatie in de uitvoering van DPIA’s met diverse formats. De instructies voor het opstellen van DPIAs zijn echter versnipperd over verschillende beleidsstukken en een handleiding. Dit is niet gebruiksvriendelijk en verhoogt het risico op onvolledige of niet tijdig uitgevoerde DPIA’s. Het samenspel tussen de 1e en 2e lijn bij het opstellen en actualiseren van DPIA’s werkt niet en kent rolonzuiverheid. Dit heeft geleid tot gebreken in DPIA’s en een verzwakte interne beheersing bij M&O en W&I. Voorbeelden hiervan zijn het gebruik van verouderde DPIA formats, het niet tijdig herzien van DPIA’s en het niet evalueren van de effectiviteit van genoemde beheersmaatregelen.

Het belangrijkste aandachtspunt is dat PBZ voor een kritiek proces in haar dienstverlening aan burgers niet over een formeel vastgestelde DPIA beschikt, enkel een incomplete conceptversie uit 2024 is aanwezig. Hierdoor ontbreekt een systematische risicoanalyse en –beoordeling van het proces. Dit is zorgelijk, omdat PBZ hierdoor niet aan de AVG voldoet en beheersmaatregelen mogelijk onvoldoende in beeld zijn gebracht.

Het management van de betrokken organisatieonderdelen is gestart met het implementeren van de benodigde verbeteracties.

Het management van Ruimte heeft inmiddels diverse verbeteracties in gang gezet. 8

Audits (4/4) Inburgering

Doelstelling: Beoordelen van de effectiviteit van de ‘Lerende aanpak inburgering’ en de naleving van randvoorwaarden voor gegevensbescherming.

Doelstelling: Beoordelen van de robuustheid van het proces rondom het bepalen van de benodigde weerstandscapaciteit.

Risicomanagement Weerstandsvermogen

Organisatieonderdelen: Werk & Inkomen en Maatschappelijke Ontwikkeling

Organisatieonderdeel: Financiën

De gemeente Utrecht heeft bij de implementatie van de Wet Inburgering 2021 gekozen voor een zogenoemde ‘Lerende aanpak’. Uit de audit blijkt dat deze aanpak effectief is voor het realiseren van de doelstellingen van de wet.

Weerstandsvermogen is een indicator die inzicht geeft in hoeverre de gemeente in staat is financiële gevolgen van risico’s op te vangen. De benodigde weerstandscapaciteit is beschreven in de paragraaf Weerstandsvermogen en Risicobeheersing in de begroting (€78,0 miljoen in 2025).

Wettelijke taken zijn systematisch vertaald naar beleid en werkinstructies, waarmee een solide basis is gelegd voor een gestructureerde uitvoering van het inburgeringsproces binnen Werk & Inkomen en Maatschappelijke Ontwikkeling.

Werk & Inkomen en Maatschappelijke Ontwikkeling leveren maatwerk door tegemoet te komen aan de persoonlijke situatie van de inburgeraar. Een voorbeeld hiervan is het leerwerkprogramma ‘Statushouders voor de klas’, dat statushouders met een lesbevoegdheid in hun thuisland helpt om in Nederland les te geven.

De afdelingen Concerncontrol en Financiën hebben de afgelopen jaren geïnvesteerd in het vergroten van de bewustwording van risicomanagement binnen de organisatie. Hierdoor ervaren Business Controllers de duidelijke meerwaarde van het proces en tonen eigenaarschap voor de risico’s binnen hun organisatieonderdeel. Daarnaast is de inhoudelijke kwaliteit van de paragraaf Weerstandsvermogen en Risicobeheersing merkbaar verbeterd. Zo is de beschrijving van de top 10 risico’s aangescherpt en zijn verwachte financiële gevolgen van de risico’s beter onderbouwd.

Sturingsinformatie voor het bewaken van het inburgeringsproces is beschikbaar. Zo worden

de maatschappelijke effecten van het inburgeringsbeleid inzichtelijk gemaakt door het gebruik van een internationaal erkend framework. Daarnaast zijn Werk & Inkomen en Maatschappelijke Ontwikkeling gestart met het monitoren van procesindicatoren om de voortgang van individuele inburgeraars te volgen. Het inburgeringproces kent een inherent hoog privacy risico vanwege de uitwisseling van persoonsgegevens met externe partijen. De Data Protection Impact Assessment is echter zeer oppervlakkig vastgelegd en het document is niet aantoonbaar formeel vastgesteld. Hierdoor zijn privacy risico’s mogelijk onvoldoende in beeld. Andere aandachtspunten zijn de subsidieverstrekking aan een partnerorganisatie zonder juridische grondslag (formeel onrechtmatig) en ontbrekende functionaliteiten in het klantinformatiesysteem, wat leidt tot verhoogde werkdruk en meer kans op fouten.

Tegelijkertijd heeft de opvolging van een in 2023 door een trainee uitgevoerd onderzoek naar financieel risicomanagement onvoldoende managementaandacht gekregen. Aanbevelingen uit het rapport zijn slechts minimaal geïmplementeerd. Doordat de huidige procesbeschrijving onvoldoende concreet is uitgewerkt, bestaan er ongewenste verschillen in de aanpak en diepgang van risicoanalyses tussen de verschillende organisatieonderdelen binnen de gemeente. In het huidige proces maakt de gemeente onderscheid tussen risico’s met incidentele en structurele gevolgen. Dit is echter geen wettelijke vereiste. Deze aanpak is complex en bovendien door afhankelijkheid van handmatige interventies foutgevoelig. Het management van Financiën heeft inmiddels verbeteracties in gang gezet.

Het management van de betrokken organisatieonderdelen is gestart met de implementatie van verbeteracties. 9

Rechtmatigheidsverantwoording gemeentebreed

Wettelijk verplichte jaarlijkse audit

Door de wet ‘Versterking decentrale rekenkamers’ moet iedere gemeente vanaf begin 2023 zelf de rechtmatigheidsverantwoording opstellen en onderbouwen. Tot 2023 was deze taak belegd bij de externe accountant. In 2025 legt de gemeente voor de derde keer verantwoording af over de rechtmatigheid van haar handelen. Met de rechtmatigheidsverantwoording geeft het college aan of er in het boekjaar financiële onrechtmatigheden hebben plaatsgevonden. Verbijzonderde Interne Controles (VICs)

Uitgevoerde werkzaamheden en conclusies

De gemeente onderbouwt de rechtmatigheidsverantwoording met behulp van Verbijzonderde Interne Controles uitgevoerd door Business Controllers van de verschillende organisatieonderdelen.

Na iedere fase heeft Concernaudit een kwaliteitsbeoordeling uitgevoerd op de door de organisatieonderdelen aangeleverde werkzaamheden.

Hiermee wordt jaarlijks gecontroleerd hoe effectief interne controlemethodes (procedures, regels en processen) hebben gewerkt om rechtmatigheidsfouten te voorkomen en/of te identificeren. De rechtmatigheidsverantwoording bestaat uit drie fases; Planningsfase (VIC plan)

Interim fase (VIC procesbeschrijving en lijncontrole)

Finale fase (VIC gegevensgerichte werkzaamheden)

Op gebied van de rechtmatigheidsverantwoording is in 2025 wederom vooruitgang geboekt. Dit betreft alle organisatieonderdelen en was een gezamenlijke inspanning van de Business Controllers, Concernaudit en het kernteam RMV – bestaande uit leden van Concern Control, Concernaudit en Financiën. Wij zijn van mening dat de uitgevoerde werkzaamheden een geschikte basis vormen voor de controle van de externe accountant.

Rol Concernaudit Concernaudit werkt hand in hand met de Business Controllers om de rechtmatigheidsverantwoording continu te verbeteren. Dit doen we door: • Het uitvoeren van kwaliteitstoetsen op de VIC werkzaamheden van de organisatieonderdelen; • Het verzorgen van spreekuren voor het delen van vakkennis; • Het (door)ontwikkelen van templates om middels standaardisatie de proces-efficiëntie te verbeteren.

10

Wettelijk verplichte jaarlijkse audit

Rechtmatigheidsverantwoording VIC’s

Concernaudit voert zelf Verbijzonderde Interne Controle (VIC) werkzaamheden uit voor twee gemeentebrede processen met grote financiële omvang. De externe accountant maakt hier gebruik van tijdens de jaarrekeningcontrole.

Inkopen en aanbesteden Organisatieonderdeel: Overstijgend

Financiële omvang t/m Q2 2025: EUR 618 miljoen

Concernaudit heeft de VIC werkzaamheden op inkopen en aanbesteden tot en met Q2 2025 uitgevoerd. Door toegenomen gemeentebrede aandacht voor en naleving van de EU aanbestedingswetgeving zijn de geconstateerde onrechtmatigheden de afgelopen jaren geleidelijk afgenomen voor ‘Werken en Diensten’ en ‘Leveringen’ (t/m Q2 2025: € 0,35 mln.). De bij inhuurcontracten geconstateerde onrechtmatigheden blijven echter een aandachtspunt (t/m Q2 2025: € 3,92 mln.). De totale onrechtmatigheid t/m Q2 2025 bedraagt daarmee € 4,27 mln.

De in de programmabegroting 2025 genoemde doelstelling voor de naleving van aanbestedingsregels van maximaal 1% van de totale uitgaven voor inkoop (t/m Q2 2025 € 6,2 mln.) is vooralsnog behaald. Let op: deze conclusie is beperkt tot bestedingen in 2025 die binnen onze controleaanpak vielen. In het kader van de rechtmatigheidsverantwoording zijn organisatieonderdelen verplicht om bij hen bekende onrechtmatigheden te melden.

Het merendeel van de onrechtmatigheden betreft inhuurcontracten waarin een maximaal aantal te declareren uren voor de gehele opdracht is vermeld, die bij de verlenging niet is verhoogd. De oorzaak is dat organisatieonderdelen op advies van Mens & Organisatie (M&O) consequent standaard inhuurovereenkomsten en verlengingsbrieven, die niet op elkaar aansloten, hebben toegepast. Formats van de inhuurcontracten zijn inmiddels door M&O aangepast om bovengenoemde onrechtmatigheden bij nieuw aanbestede inhuur te voorkomen.

De bevindingen en benodigde verbeteracties zijn afgestemd met het management van: • Mens & Organisatie (proceseigenaar inhuur personeel); • Inkoop (proceseigenaar centraal inkoopbeleid); • De organisatieonderdelen met onrechtmatigheden.

Subsidieverstrekking

Organisatieonderdeel: Maatschappelijke Ontwikkeling (MO)

Financiële omvang t/m Q2 2025: EUR 173 miljoen

Concernaudit heeft de VIC werkzaamheden op subsidies tot en met Q2 2025 uitgevoerd en hierbij het subsidieverstrekkingproces getoetst op conformiteit aan wet- en regelgeving en verordeningen. Wij hebben zoals in eerder jaren geen financiële onrechtmatigheden geconstateerd. Net als in eerdere jaren hebben wij formele onrechtmatigheden geconstateerd. Dit betreft t/m Q2 2025 slechts twee verleningsbeschikkingen die niet vóór het verstrijken van de beslistermijn uit de Algemene Subsidie Verordening (ASV) zijn afgegeven. Dit type onrechtmatigheid heeft geen directe consequenties voor de rechtmatigheidsverantwoording, maar tast mogelijk het vertrouwen in een betrouwbare overheid aan.

Een positieve ontwikkeling is dat het Subsidiebureau het instrument van verdagen ten opzichte van eerdere jaren steeds vaker tijdig inzet. Hiermee is opvolging gegeven aan de aanbeveling uit onze eerdere rapportages. Door het tijdig verdagen van een subsidieverlening krijgt de gemeente extra tijd voor haar subsidiebeoordelingen bij hoge werkdruk. Het management van het Subsidiebureau herkent de bevindingen en gaat hiermee aan de slag.

11

Fraudepakket Frauderisicoanalyse Het onderwerp fraude heeft de afgelopen jaren door aanscherping van de beroepsnormen een steeds prominentere plek op de agenda van de externe accountant gekregen. Gemeenten worden verwacht te voldoen aan een fraudepakket bestaande uit drie onderdelen;

Organisatieonderdeel: Gemeentebreed De frauderisicoanalyse vindt in Q4 2025 plaats en wij rapporteren de resultaten hiervan in het Concernaudit jaarverslag.

Het uitvoeren van een periodieke frauderisicoanalyse;

Fraudeworkshop Organisatieonderdeel: VTH

Het jaarlijks verzorgen van workshops om bewustwording rondom fraude in kwetsbare processen te verhogen;

Het jaarlijks toetsen van beheersmaatregelen in fraudegevoelige processen.

De fraudeworkshop vindt in Q4 2025 plaats en wij rapporteren de resultaten hiervan in het Concernaudit jaarverslag.

Fraudepreventie – toetsen van beheersmaatregelen Organisatieonderdeel: VGU – proces kostprijsdekkende huur

Sinds 2023 is het uitvoeren van het fraudepakket bij Concernaudit belegd.

Het toetsen van beheersmaatregelen in een fraudegevoelig proces vindt in Q4 2025 plaats en wij rapporteren de resultaten hiervan in het Concernaudit jaarverslag.

12

Adviesopdrachten (1/4) Mens & Organisatie Medewerkers van de gemeente kunnen declaraties indienen voor werkgerelateerde kosten. In 2024 heeft MO 50.000 declaraties verwerkt met een totaalbedrag van 1,15 miljoen euro. M&O (HR Services) de afgelopen jaren, in afstemming met de Belastingdienst, de controles op declaraties aantoonbaar verscherpt en in december 2024 het beleid herzien. Op hun verzoek hebben wij knelpunten in het declaratieproces inzichtelijk gemaakt en geadviseerd over het actualiseren van het beleid en het versterken en automatiseren van controlewerkzaamheden. Het huidige declaratiebeleid dekt niet alle onkostensoorten, is verspreid over meerdere plekken op het intranet en in handleidingen. Dit is niet gebruikersvriendelijk, waardoor ongewenste verschillen in interpretatie bij leidinggevenden en medewerkers ontstaan. Verder zijn de maximale bedragen voor een aantal onkostensoorten sinds 2010 niet meer geïndexeerd. M&O monitort trends en patronen in het declaratieproces niet systematisch. Hierdoor bestaat het risico dat er onvoldoende zicht is op knelpunten en ontwikkelingen in de uitvoering van het declaratieproces. Verder zijn de huidige controlewerkzaamheden niet risicogebaseerd ingericht. Ervaringen uit het verleden, zoals onjuiste of ongewenste declaraties, worden in de controleaanpak niet meegewogen. Dit beperkt de effectiviteit van de huidige controles.

De goedkeuring van declaraties door leidinggevenden in het systeem is een sterke controle binnen het declaratieproces. Echter, leidinggevenden kunnen de goedkeuring delegeren, maar hiervoor ontbreken duidelijke spelregels in het beleid. Door gebrek aan adequate systeemfunctionaliteiten delegeert 56% van de leidinggevenden deze taak. 40% van de vervangers is zelf echter geen leidinggevende. Dit is ongewenst en ondermijnt de effectiviteit van de lijnmanager-controle. Wij hebben een dashboard ontwikkeld dat trends, verschillen tussen organisatieonderdelen, afdelingen en onkostensoorten en uitschieters inzichtelijk maakt. Het dashboard hebben wij aan HR Services overgedragen.

13

Adviesopdrachten (2/4) Concernaudit Automatisering werkzaamheden op VIC Inkopen en Aanbesteden Concernaudit is continu op zoek naar automatiseringsmogelijkheden voor handmatige auditwerkzaamheden. Een bijzonder arbeidsintensieve activiteit is het ieder kwartaal uitvoeren van de VIC 'Inkopen en Aanbesteden’ (zie pagina 11). Sinds 2024 werken we in pilots aan de automatisering van deze werkzaamheden, waarin we inmiddels aantoonbare efficiëntieslagen hebben gemaakt. Zo hebben wij in de periode 1 maart 2024 – 1 april 2025 in totaal 945 manuren bespaard als gevolg van automatisering. Met een besparing van 875 uur in de periode 1 april 2025 – 30 september 2025, hebben wij de automatiseringsgraad van de controle significant verhoogd.

Visuele weergave van stappen in de automatisering In totaal bespaarden we 875 manuren in de periode 1 april 2025 – 1 oktober 2025, verdeeld over de processtappen:

1. Batchdownload In één handeling alle onderliggende documenten uit het financiële systeem ophalen, zoals contracten en verlengingsbrieven.

2. Scraping Automatisch verzamelen van gegevens uit gedownloade documenten, zoals namen van crediteuren, tarieven en looptijden.

3. Data geschikt maken voor gebruik Voor 2025-26 hebben wij de volgende speerpunten gekozen: • Het uitbreiden van de scripts en het toepassen hiervan op aanvullende documenten • Het (door)ontwikkelen en integreren van templates voor het uitvoeren van geautomatiseerde berekeningen • Het deels geautomatiseerd opstellen van benodigde controledossier voor de externe accountant • Het bewegen naar een controle van de gehele populatie in plaats van steekproeven bij een aantal pilots, zoals inhuurcontracten.

265 uur

612 uur

Gegevens voorbereiden voor gebruik in controle, zoals het eenduidig opnemen van datumvelden (31.03.2025 vs. 31-03-2025).

4. Controle uitvoeren Controleren van automatisch verzamelde gegevens aan specifieke toetspunten

14

Adviesopdrachten (3/4) Financiën Dashboard Memorialen

Dashboard Purchase 2 Pay (P2P) – bestellen t/m factuurafhandeling

De gemeente Utrecht verwerkt jaarlijks een groot aantal memorialen. In 2024 betrof dit 8.663 memorialen ter waarde van ongeveer € 5 miljard.

In het boekjaar 2024 heeft de gemeente Utrecht ongeveer 142.000 crediteurenfacturen geboekt, voor een totaalbedrag van € 1,2 miljard.

Vanwege het handmatige karakter en de mogelijkheid om het resultaat te beïnvloeden voor persoonlijk gewin, hebben memorialen een verhoogd risico op fraude. De externe accountant heeft in diverse managementletters aandacht gevraagd voor de gebrekkige onderbouwing van memoriaalboekingen en tekortkomingen in de interne beheersing.

Op verzoek van Financiën stelt Concernaudit periodiek dashboards beschikbaar waarin de naleving van een aantal beheersmaatregelen in het P2P proces inzichtelijk wordt gemaakt.

In samenwerking met Financiën hebben wij in 2024 een dashboard ontwikkeld om met een datagedreven aanpak het memorialenproces: • • • •

Inzichtelijker te maken; Knelpunten te identificeren; Interne beheersmaatregelen gericht aan te scherpen; Oorzaken van memoriaalboekingen in beeld te brengen en hierdoor het aantal boekingen terug te brengen.

De focus ligt hierbij op de autorisaties van betrokken personen, functiescheiding en handmatig ingrijpen in geautomatiseerde processtappen. Uit de analyse over boekjaar 2024 blijkt dat beheersmaatregelen over het algemeen adequaat worden nageleefd.

In Q2 2025 hebben wij dit dashboard omgebouwd zodat het compatibel is met het nieuwe financiële systeem (SAP S4/HANA). In Q4 2025 voegen wij aanvullende controles toe.

Is Q2 2025 hebben we het dashboard omgebouwd zodat het compatibel is met het nieuwe financiële systeem (SAP S4/HANA).

In Q1 2026 vullen wij dit dashboard met data over boekjaar 2025 en rapporteren wij over de resultaten hiervan.

Financiën kan met inzichten uit het dashboard tekortkomingen in het P2P proces tijdig identificeren en bijsturen. Gezien Concernaudit de automatisering van de controles in het P2P proces al geruime tijd ondersteunt, dient Financiën hier vanaf Q2 2026 zelfstandig invulling aan te geven. 15

Adviesopdrachten (4/4) - doorlopend Onderstaande opdrachten betreffen doorlopende adviesopdrachten, waarvoor wij de resultaten rapporteren in het jaarverslag 2025-26. Hieronder is per doorlopende adviesopdracht een toelichting op de status per 30 september 2025 opgenomen.

M&O: Voorspellend model vrijwillige uitstroom De krapte op de arbeidsmarkt stelt de gemeente Utrecht voor uitdagingen. Openstaande vacatures zijn hierdoor lastiger in te vullen en voor werknemers is het aantrekkelijk om kansen buiten de gemeente te verkennen. Daarom hebben wij in 2024 in samenwerking met M&O een model ontwikkeld om toekomstige vrijwillige uitstroom van medewerkers te voorspellen. De uitkomsten van het model hebben we gevisualiseerd in een dashboard.

Nu het dashboard een jaar in gebruik is, evalueren we het voorspellend model en het bijbehorende dashboard met M&O. Daarbij onderzoeken we waar verbeteringen mogelijk zijn en hoe we het voorspellend model toekomstbestendig kunnen inbedden in het capaciteitsmanagement van de gemeente.

JZ: Dashboard Management Rapportage 'Schade en Verzekeren'

JZ: Dashboard Management Rapportage ‘Bezwaar en Beroep’

Het genereren van informatie voor management-rapportages voor ‘Schade en Verzekeren’ vindt momenteel handmatig plaats en is afhankelijk van één functionaris. Dit is inefficiënt en vormt een ongewenste situatie in het kader van businesscontinuïteit. Daarom bestaat de wens voor een geautomatiseerd dashboard. Hiermee kan management van Juridische Zaken gerichter sturen op knelpunten en workload binnen het team.

Naar aanleiding van het dossier Binnenstad en het en het daaropvolgende Berenschot rapport, heeft Concernaudit in 2023 op verzoek van JZ een dashboard ontwikkeld om de managementrapportages omtrent het proces ‘Bezwaar en Beroep’ te verbeteren.

Tijdens de verkenningsfase met JZ in 2024 hebben wij echter geconstateerd dat een koppeling tussen de benodigde productiesystemen ontbreekt. De ontwikkeling van deze koppeling is inmiddels in gang gezet. Verder onderzoekt JZ momenteel het gebruik van een nieuwe module. Wij blijven in 2025 aangesloten bij de ontwikkelingen van JZ en bieden ondersteuning voor data gerelateerde vraagstukken. Zodra de gewenste aanpak definitief is, starten wij met het bouwen van de geautomatiseerde rapportages.

Het dashboard is sinds december 2023 operationeel en visualiseert volledig geautomatiseerd relevante stuurinformatie voor de maandrapportages van het proces ‘Bezwaar en Beroep’. In Q1 2025 hebben wij ondersteuning geboden bij het omzetten van dit dashboard naar de standaard dashboarding tool van de gemeente (van Cognos naar Tableau). In Q4 breiden wij de werkzaamheden uit en voorzien wij het dashboard van verdiepende analyses.

16

Samenwerkingsinitiatieven Naast het uitvoeren van het jaarplan zijn leden van Concernaudit ook vertegenwoordigd in een aantal expert panels en werkgroepen. Hierin werken we samen met collega's uit verschillende domeinen aan complexe organisatorische vraagstukken en procesverbeteringen. Hieronder hebben wij enkele nieuwe en bestaande samenwerkingsinitiatieven uitgelicht.

Externe samenwerkingsinitiatieven

Interne samenwerkingsinitiatieven

Commissie Bedrijfsvoering en Auditing Decentrale Overheden BADO

Werkgroep AI Act

Chief Audit Executives Forum

Kernteam rechtmatigheidsverantwoording

Risicoplatform overheden

Expert panel inhuur

Lid regiegroep Versterken Financiële Functie

Project Hervorming Control Functie (HCF) Op verzoek van de Directeur Concercontrol geeft de Manager Concernaudit leiding aan een projectteam bestaande uit Business Controllers, een senior HR functionaris en adviesbureau Highberg om te adviseren over de inrichting van een robuuste en toekomstbestendige Control functie. Een auditor fungeert hierbij als projectsecretaris.

Lid feedbackgroep Versterken Financiële Functie

Vakgroep data science

Artificial Intelligence (AI) tafel

17

Status onderhanden auditopdrachten uit jaarplan 2025-26 Deze pagina geeft de onderhanden opdrachten uit het jaarplan 2025-26 weer. Wij verwachten deze opdrachten conform planning af te ronden.

Per 30 september 2025

Vooronderzoek

Opdrachtbevestiging afgestemd

Veldwerk afgerond

Bevindingen afgestemd

Conceptrapport aangeboden

In afwachting van managementreactie

213a – Verstrekken van subsidies Readiness assessment NIS2-richtlijn SAP S/4 HANA – realisatie beoogde effecten business case Tussenevaluatie organisatieontwikkeling en verandertraject VG Beëindigingsovereenkomsten Spelregels gemeentebrede uurtarieven Onderzoeksprotocol integriteitsschendigen en misstanden Kostprijsdekkende verhuurprijzen

18

Status onderhanden adviesopdrachten uit jaarplan 2025-26 Deze pagina geeft de onderhanden adviesopdrachten uit het jaarplan 2025-26 weer. Wij verwachten deze opdrachten conform planning af te ronden.

Per 30 september 2025

Vooronderzoek

Opdrachtbevestiging afgestemd

Veldwerk afgerond

Bevindingen afgestemd

Conceptrapport aangeboden

In afwachting van managementreactie

Financiën: Dashboard btw bij doorbelasting van kosten Financiën: Dashboard Memorialen M&O: Voorspellend model groei van de organisatie MO: Dashboard subsidieverstrekkingen Dashboard raadplegingen kentekens Fraudeworkshop Frauderisicoanalyse

19

Status doorlopende opdrachten uit jaarplan 2025-26 Deze pagina geeft de doorlopende opdrachten uit het jaarplan 2025-26 weer. Wij verwachten deze opdrachten conform planning af te ronden en rapporteren de resultaten hiervan in het Jaarverslag Concernaudit 2025-26.

Per 30 september 2025 RMV Inkopen en aanbesteden Q3

De voorbereidende acties zijn voltooid. De hoofdwerkzaamheden vinden plaats in oktober 2025.

RMV Inkopen en aanbesteden Q4

De werkzaamheden vinden plaats in februari 2026.

RMV Subsidies (einde jaar) RMV Gemeentebreed (gegevensgericht) M&O: Voorspellend model vrijwillige uitstroom

De werkzaamheden vinden plaats in Q1 2026. Er zijn wekelijkse vragenuren tussen Concernaudit en de organisatieonderdelen. De hoofdwerkzaamheden vinden plaats in Q1 2026. Er zijn periodieke overleggen met M&O over de doorontwikkeling van het dashboard.

JZ: Dashboard Management Rapportage 'Schade en Verzekeren’

Er zijn periodieke overleggen met JZ over de ontwikkelingen en Concernaudit biedt ondersteuning voor data gerelateerde vraagstukken.

JZ: Dashboard Management Rapportage ‘Bezwaar en Beroep’

Er zijn periodieke overleggen met JZ over de doorontwikkeling van het dashboard.

20

Management van de interne auditfunctie (1/2) Onafhankelijkheid

Belangenverstrengeling

De Manager Concernaudit heeft vastgesteld dat de benodigde onafhankelijkheid van Concernaudit is gewaarborgd:

Potentiële belangenverstrengeling wordt periodiek getoetst door de Manager Concernaudit. In de periode 1 april 2025 t/m 30 september 2025 heeft belangenverstrengeling zich niet voorgedaan.

• De Manager Concernaudit rapporteert aan een dusdanig hoog niveau in de organisatie, waardoor Concernaudit in staat is om haar verantwoordelijkheden onafhankelijk te vervullen. • De Manager Concernaudit heeft een directe communicatielijn met de Gemeentesecretaris, de Wethouder en de Adviescommissie Control & Financiën.

Belangenverstrengeling vindt plaats op het moment dat een auditor, die een vertrouwenspositie bekleedt in haar functie, een ander professioneel of persoonlijk belang heeft. Tegengestelde belangen kunnen het onpartijdig uitoefenen van de auditfunctie bemoeilijken. Door belangenverstrengeling kan een ongepast beeld ontstaan welke het vertrouwen in de interne auditor en haar audit activiteiten kan schaden.

• In de periode 1 april 2025 t/m 30 september 2025 heeft geen inbreuk op de onafhankelijkheid van Concernaudit plaatsgevonden.

Concernaudit Charter

Permanente educatie Auditors met certificaten en beroepslidmaatschappen die bijbehorende onderhoudseisen in het kader van ‘Permanente Educatie’ stellen, volgen de benodigde trainingen en cursussen om hieraan te voldoen.

Middelen en budget

Concernaudit herijkt het Auditcharter in Q4 2025, naar aanleiding van de vernieuwde beroepsstandaarden voor interne auditors (GIAS), de geactualiseerde Concernaudit strategie een aanbevelingen uit de lopende externe kwaliteitstoetsing. Het geactualiseerde Auditcharter wordt door de Concerndirectie en het college vastgesteld in Q4 2025.

• Concernaudit beschikte over voldoende middelen (capaciteit en budget) om het interne audit plan 2025-26 uit te voeren. • Concernaudit zal het interne audit plan 2025-26 binnen het vastgestelde budget afronden.

21

Management van de interne auditfunctie (2/2) Kwaliteitsbewaking en verbeterprogramma Interne auditfuncties wereldwijd maken gebruik van dezelfde standaarden bij het uitvoeren van hun werkzaamheden. Deze standaarden zijn door onze beroepsorganisatie, het Instituut van Internal Auditors (IIA), recentelijk geüpdatet op basis van maatschappelijke ontwikkelingen. De nieuwe standaarden (GIAS) zijn vanaf 1 januari 2025 van toepassing. GIAS 8.4 schrijft voor dat interne audit afdelingen iedere vijf jaar een externe kwaliteitstoetsing laten uitvoeren om de naleving van de standaarden en de effectiviteit en efficiëntie van de interne audit functie te beoordelen. De Manager Concernaudit heeft opdracht aan IIA Nederland gegeven om de externe kwaliteitstoetsing voor het eerst in 2025 uit te voeren. De verbeterpunten uit het pre-assessment rapport van juni 2025 hebben we inmiddels opgepakt en we verwachten de formele toetsing en certificering in december 2025 af te ronden. De verbeterpunten hebben met name betrekking op GIAS domeinen 3 "Besturen van de internal auditfunctie",4 "Managen van de internal auditfunctie en 5 "Uitvoeren van interne auditdiensten". Na afronding van de formele toetsing, zal Concernaudit jaarlijks een selfassessment uitvoeren en de resultaten middels (half)jaarverslag aan de Concerndirectie en het college rapporteren.

Wij werken voor het onderwerp kwaliteitsbewaking nauw samen met de reeds gecertificeerde interne audit afdelingen van de gemeenten Amsterdam en Den Haag.

Key Performance Indicators (KPI’s) Jaarplanrealisatie Maximaal 3 audits of advies opdrachten die per 31 maart 2025 onderhanden zijn en in Q2 2025 worden afgerond.

Gerealiseerd

Budget Het jaarplan 2025-26 binnen het budget uitvoeren.

Onderhanden op schema

Kwaliteit dienstverlening Score 4 of hoger (afgerond) in 80% van alle audits. Auditees ontvangen een enquête waarin zij onze dienstverlening beoordelen van 1 t/m 5 op stellingen met betrekking tot Team, Uitvoering, Rapport en Meerwaarde audit. Professionele ontwikkeling De speerpunten voor 2025-26 zijn de ontwikkeling van leiderschapscompetenties, soft control audit technieken en benodigde vakexpertise voor de jaarlijkse verplichte Wet politiegegevens audit. Procesverbeteringen: doorlooptijd 80% van de concept auditrapporten en concept advies-memo’s uiterlijk 13 werkdagen dagen na de closing meeting versturen.

Follow-up Het follow-up proces voor alle audits binnen 3 tot 6 maanden na het uitbrengen van het definitieve audit rapport afronden.

Gerealiseerd: 80%

Gerealiseerd

Loopt achter: 57% Jaarverslag 2024-25: 50%

Nog niet van toepassing op het jaarplan 2025-26

22