Jaarplan Concernaudit 2021-2022 (definitief).pdf

JAARPLAN CONCERNAUDIT APRIL 2021 – MAART 2022

24-03-2021 Antoine van Vlodorp

Inhoudsopgave

Inleiding Wat ziet Concernaudit gebeuren in de stad en de organisatie? Auditplan 2021/2022 Bijlagen: 1. Rechtmatigheidsverantwoording 2. Coronacrisis gerelateerde audits 3. Digitale audits 4. Integrated & operational audits 5. 213A onderzoeken en bewonersaudit 6. Projectaudits 7. Innovatie en adviesopdrachten 8. Ad hoc audits en onderzoeken

Utrecht.nl 2

1. Inleiding Concernaudit, de internal auditfunctie, helpt de gemeente Utrecht haar doelstellingen en opgaven te realiseren. We doen dit door op basis van een systematische en gedisciplineerde wijze de doelmatigheid en doeltreffendheid van de processen van governance, risicomanagement en beheersing te evalueren en te helpen verbeteren middels aanbevelingen. Concernaudit biedt daartoe onafhankelijke en objectieve audit- en adviesdiensten en verschaft het inzicht aan proceseigenaren. De opdracht van Concernaudit ligt vast in een Auditcharter, die is vastgesteld door het College van Burgemeester & Wethouders op 8 mei 2018. In de ‘Verordening voor periodiek onderzoek door het college naar de doelmatigheid en doeltreffendheid van het door het college gevoerde bestuur’ (raadsbesluit van 13 november 2003) is bepaald dat het college jaarlijks de doelmatigheid en doeltreffendheid van het door hem gevoerde bestuur laat onderzoeken op grond van artikel 213a van de Gemeentewet. Concernaudit voert namens het college de 213a-onderzoeken uit. Het college toetst jaarlijks de doelmatigheid en doeltreffendheid van minimaal twee opgaven of programma’s. Concernaudit stelt jaarlijks voor de periode april t/m maart een op een risicoanalyse gebaseerd auditjaarplan op.

Om een goede risicoanalyse te kunnen opstellen voert Concernaudit jaarplan-gesprekken met de Directieraad, Integraal Resultaatverantwoordelijke Managers (IRM-ers), Concernmanagers, hoofden van BSN afdelingen en specifieke functionarissen zoals de CISO (Chief Information Security Officer), FG (Functionaris Gegevensbescherming) en ENSIA coördinator. Ook wordt een gesproken met de secretaris van de Rekenkamer Utrecht en de externe accountant Deloitte om te begrijpen wat hun aandachtspunten en inzichten zijn. Tijdens deze jaarplan-gesprekken verkrijgt Concernaudit inzicht in de belangrijkste doelstellingen, opgaven, belangrijke ontwikkelingen en de bijbehorende risico's. Tijdens de jaarplan-gesprekken worden ook auditverzoeken besproken. Tenslotte worden de verplichte audits op basis van wetgeving of overeenkomsten (WiGo4IT) in kaart gebracht. Bij het prioriteren en selecteren van de audits en onderzoeken voor het jaarplan is rekening gehouden met de uitkomsten van eigen audits, onderzoeken van de Rekenkamer Utrecht en de jaarrekeningcontrole van de externe accountant Deloitte in de voorgaande jaren. Daarnaast is gelet op een gelijkmatige spreiding over de beleidsterreinen en organisatieonderdelen binnen de gemeente. Dit jaarplan geeft op basis van de huidige inzichten een overzicht van de geplande werkzaamheden van concernaudit in de periode april 2021 t/m maart 2022.

De geplande werkzaamheden zijn afgestemd op de beschikbare auditcapaciteit.

Utrecht.nl 3

Organisatie in control Een organisatie(onderdeel) is ‘in control’ wanneer sturen, beheersen en toezicht houden zodanig aantoonbaar zijn ingericht dat strategische en operationele doelstellingen op een effectieve en efficiënte wijze worden gerealiseerd. Strategische doelstellingen De strategische doelstellingen van de gemeente Utrecht vragen om een opgavegerichte sturing en verantwoording. Het management is primair verantwoordelijk voor de invulling van deze sturing en verantwoording. In de Strategische Agenda Bedrijfsvoering wordt de bedrijfsvoering als motor voor de organisatie gezien om het opgavegerichte werken te kunnen realiseren. Belangrijke ontwikkeling in dit kader is de beweging om naast het sturen op doelmatigheid meer te sturen op doeltreffendheid. Ook wordt meer gericht op het geheel door niet alleen naar de onderdelen te kijken, maar naar de opgaven. Operationele doelstellingen Operationele doelstellingen zijn gevat in de overkoepelende opgave ‘Hoge basiskwaliteit’. Dit raakt de inrichting van de primaire processen. De organisatie onderdelen zijn verantwoordelijk voor het instellen en laten functioneren van de administratieve organisatie en interne beheersing om deze basiskwaliteit op orde te hebben.

De eenheden businesscontrol, IPM (Informatie en Process Management) en DISO (Decentral Information & Security Officer) hebben tot taak de organisatieonderdelen hierbij te ondersteunen. Concernaudit draagt bij aan het zichtbaar in control krijgen en houden van de processen door het uitvoeren van risicoanalyses en het op basis daarvan uitvoeren van audits en adviseren over procesinrichtingen. Met de versterking van concerncontrol zal ook de rol van concernaudit veranderen. Meer audits richten zich op organisatieonderdelen overstijgende processen en thema’s en op de effectiviteit van de opzet van de 1e en 2e lijn en het samenspel tussen het lijnmanagement, (concern)control, IPM en DISO.

Utrecht.nl 4

Wat ziet Concernaudit gebeuren in de stad en de organisatie? Stad

Gemeentelijke organisatie

1. Verdere verdichting van de stad

1.

Uitdagingen in het opgavegericht werken; (bij)sturen & verantwoorden

2.

De beheersing van de samenwerking met partners om invulling te geven aan de opgaven moet beter.

3.

Toename complexiteit: bestuurlijke belangen, participatie, hoge ambities versus financiën en uitvoering

4.

Inhoudelijke kennis van de beleidsterreinen en juridische ondersteuning wordt belangrijker

5.

Noodzakelijke versterking control, risicomanagement en projectmanagement ingezet

6.

Noodzakelijke versterking van de algemene IT beheersprocessen

7.

Noodzakelijke versterking gegevensbescherming (informatiebeveiliging en privacy) ingezet

8.

Ambtenaar 3.0, digitale vaardigheden voor de medewerkers worden belangrijker

9.

Werken 3.0, hoe kunnen medewerkers gezond, effectief en toekomstbestendig opgavegericht blijven werken

10.

Meer aandacht nodig voor beheersing risico’s van digitale innovaties

2. Groei van de stad 3. Serieuze corona-effecten op bewoners en organisaties

4. Vergroting kansenongelijkheid 5. Nieuwe ontwikkelingen op het gebied van technologie en data 6. Toename participatie van bewoners en organisaties 7. Nieuwe wetgevingen 8. Onvoorspelbaarheid van de economische ontwikkelingen 9. Toename WOB-, klacht- en beroepcultuur

Utrecht.nl

5

Concernaudit planning 2021-2022 OO

Re fe re ntie Omschrijving aud it

Op d rachtg e ve r

Aard we rkzaamhe d e n

Ve rp licht

1. Rechtmatigheidsverantwoording

Aantal ure n 2.100

Alle OOR VGU OOR Alle

Proces rechtmatigheidsverantwoording 2021 Erfpacht Verhuur gemeentelijk vastgoed Grondexploitatie Inkopen en aanbestedingen (spend). Uitbreiding scope met doelmatigheid conform Nota Inkopen.

Concerncontroller Audit IRM OOR Opzetten VIC IRM VGU Opzetten VIC IRM Ruimte Uitvoeren VIC 1e helft 2021 Concernmanager FIJ Verbijzonderde Interne Controle

500 200 200 200 500

Alle

Subsidies

Concernmanager FIJ Verbijzonderde Interne Controle

500

2. Coronacrisis gerelateerde audits W&I Alle M&O / IPM

Corona steunpakketten voor zelfstandig ondernemers (Tozo) en gezinnen (TONK) Coronasteun voor organisaties middels subsidiesverstrekking Impact van de coronamaatregelen op de medewerkers - visie Werken 3.0

1.500 IRM W&I

Audit

600

Themadirecteur

Audit

600

Themadirecteur Bedrijfsvoering

Advies

300

3. Digitale audits W&I VTH

2.060

IPM

WiGo4it Algemene IT beheersmaatregelen Naleving Wet Politiegegevens (Wpg) - proces cameratoezicht en bodycams BOA's Gegevensbescherming Management Systeem (GBMS/ISMS) Cloudtransitie

IPM

Wijzigingsbeheer

Alle

Governance en risicobeheer algoritmes en volledigheid algoritmeregister

Alle

Directie WiGo4IT IRM VTH

Audit Audit

Ja Ja

60 400

Themadirecteur Bedrijfsvoering Concernmanager IPM/CIO Concernmanager IPM/CIO Themadirecteur Bedrijfsvoering

Audit

400

Audit

400

Audit

400

Audit

400

Utrecht.nl 6

Concernaudit planning 2021-2022 OO

Re fe re ntie Omschrijving aud it

Op d rachtg e ve r

Aard we rkzaamhe d e n

Ve rp licht

4. Integrated & operational audits VTH

Implementatie Omgevingswet fase 2

Alle

Samenwerkingsverbanden fase 2 (werking)

Alle

Meervoudig onderhands aanbesteden

MO SB OOR FIJ

2020-06 2020-08

OOR

Onderwijshuisvesting Bedrijfsafvalinzameling Erfpacht Behandeling van verzoeken om schadevergoeding Europese subsidies: 'School Chance' ; 'Reduces' en 'Urbact'

2.850 Stuurgroep Audit Omgevingswet Gemeentesecretaris/ Audit Algemeen Directeur Themadirecteur Audit Bedrijfsvoering IRM MO Audit IRM Stadsbedrijven Audit IRM OOR Audit Concern Manager FIJ Audit

400

IRM OOR

50

400 400 400 400 400 400

Controle

5. 213A onderzoeken en bewonersaudit MO

2020-16

Opgave 'Veerkracht en gelijke kansen'

MO

2020-17

Evaluatie zorgpartners WMO/Jeugdzorg

OOR

Opgave 'Woningmarkt in balans'

Aantal ure n

1.600 Wethouder Maatschappelijke ondersteuning Wethouder Maatschappelijke ondersteuning Wethouder Wonen

213a onderzoek

Ja

600

Bewonersaudit

Ja

400

213a onderzoek

Ja

600

Utrecht.nl 7

Concernaudit planning 2021-2022 OO

Re fe re ntie Omschrijving aud it

Op d rachtg e ve r

Aard we rkzaamhe d e n

6. Projectaudits OOR/SB OOR IPM

Aantal ure n 1.200

Project Herstel Wervengebied Stuurgroep project Project Merwedekanaalzone Stuurgroep project Programma Kik (Klantgericht werken In Ketens) - Stuurgroep implementatie Common Ground principes programma

Audit Audit Audit

7. Innovatie en adviesopdrachten PBZ

Ve rp licht

Digitalisering interne controles m.b.v. process mining: raadplegen van het Basisregistratie Personen (BRP) en verstrekken van reisdocumenten. PBZ Pilot audit op AI: chatbot GEM FIJ Process mining SAP “Proces bestellen tot en met factuurafhandeling” FIJ Monitoring implementatie SAP GRC tool als onderdeel van de opvolging van logische toegangsbeveiliging SAP aanbevelingen m.b.t. kritische autorisaties Diverse Participatie frauderisicosessies 8. Ad hoc audits en onderzoeken: 5% beschikbare audituren

400 400 400 1.300

IRM PBZ

Innovatie

300

IRM PBZ Innovatie Concernmanager FIJ Innovatie

200 400

Concernmanager FIJ Advies

200

Concerncontroller

200 700

Advies

Totaal Beschikbare audituren Saldo

13.310 13.289 21

Utrecht.nl 8

Berekening beschikbare audituren

Functie Manager Innovator Senior Auditor Senior IT Auditor Auditor IT Auditor Data-analist Assistent Auditor Projectleider RMV Stagiairs Totaal

Formatie 2021 FTE

Management

1 2,89 1 3 1,67 1 Extern Extern 10,56

30%

Accountmanagement 10% 10% 10%

Audits 60% 90% 90% 100% 100% 100%

Uren per FTE 1.360 1.360 1.360 1.360 1.360 1.360 1.360 1.360 1.360 1.360

Audituren

Waarvan Digital Audits

816 3.537 1.224 4.080

800 1.224

2.271 1.360

13.289

2.024

Utrecht.nl 9

Bijlage: toelichting op de onderdelen van het auditjaarplan

Utrecht.nl 10

1. Rechtmatigheidsverantwoording Vanaf verslagjaar 2021 moet de gemeente Utrecht zelf een verklaring afgeven over de naleving van de comptabele wet- en regelgeving, ofwel de rechtmatigheid. Deze zogenoemde rechtmatigheidsverantwoording wordt door het college opgenomen in de jaarrekening. Om deze verantwoording af te kunnen leggen, is het van belang dat voor alle materiële geldstromen de naleving van de relevante wet- en regelgeving inzichtelijk is. De totstandkoming van de rechtmatigheidsverantwoording vereist een goede inrichting van en samenwerking tussen de 3 lines: 

het management verantwoordelijk voor de inrichting en uitvoering van de processen (1e lijn);



de eenheden businesscontrol en concerncontrol voor advisering ten aanzien van de inrichting van de processen en uitvoering van de verbijzonderde interne controles (2e lijn); en



concernaudit voor advisering aan de 1e en 2e lijn over procesverbeteringen en het op basis van audits voorzien van directieraad en college van aanvullende zekerheid op het geheel (3e lijn).

In de praktijk betekent dit dat proces- en verbijzonderde interne controles zoveel mogelijk worden belegd bij de eenheden businesscontrol. In 2021/2022 zal Concernaudit: 

adviseren ten aanzien van de verbijzonderde interne controle (VIC) voor de processen erfpacht en verhuur gemeentelijk vastgoed. De VIC’s voor deze processen waren door uitdagingen bij de betreffende organisatieonderdelen niet tijdig afgerond;



Ruimte in het eerste half jaar ondersteunen van de uitvoering van de VIC grondexploitatie. Deloitte heeft ten aanzien van de jaarrekening 2019 een verklaring met beperking verstrekt op het getrouw beeld en de rechtmatigheid in verband met onzekerheden in de kostenramingen van de grondexploitatie Leidsche Rijn. Extra aandacht voor onderbouwing kostenramingen is gewenst;



zelf de verbijzonderde interne controles (VIC) uitvoeren van de organisatieonderdelen overstijgende processen: inkopen & aanbesteden (’spend’) en subsidies;



een audit uitvoeren naar het rechtmatigheidsverantwoordingsproces.

Utrecht.nl 11

2. Coronacrisis gerelateerde audits Corona steunpakketten voor zelfstandig ondernemers en gezinnen Veel Utrechtse bedrijven, ondernemers, zzp’ers en gezinnen ervaren de gevolgen van de maatregelen rondom het coronavirus. De gemeente en andere organisaties doen er alles aan om deze groepen te helpen. De Tijdelijke overbruggingsregeling zelfstandig ondernemers (Tozo) en de Tijdelijke Ondersteuning Noodzakelijke Kosten (TONK) zijn een paar van de maatregelen om ondernemers en gezinnen te ondersteunen tijdens de coronacrisis. De Tozo (1, 2, 3 en 4) regelingen voorzien in een aanvullende uitkering voor levensonderhoud voor zelfstandige ondernemers als het inkomen door de coronacrisis tot onder het sociaal minimum daalt. En in een lening voor bedrijfskapitaal om liquiditeitsproblemen als gevolg van de coronacrisis op te vangen. TONK is een vergoeding voor noodzakelijke woonkosten van gezinnen. In gemeente Utrecht gaat het om huur en hypotheekrente. Gemeenten worden volledig financieel gecompenseerd door het rijk voor de uitkeringskosten en uitvoeringskosten in het kader van de Tozo en TONK. Net als bij andere uitkeringen is het van belang dat alleen mensen die daar recht op hebben Tozo en TONK ontvangen en dat misbruik en oneigenlijk gebruik wordt tegengegaan of gedetecteerd en gecorrigeerd. Concernaudit zal een audit uitvoeren naar de rechtmatigheid van de Tozo en TONK uitkeringen.

Coronasteun voor organisaties middels subsidies De coronamaatregelen van de overheid hebben invloed op bijna alle organisaties actief in de stad Utrecht. De gemeente is vanwege de impact van de coronamaatregelen coulant omgegaan met reeds toegekende subsidies en extra coronasubsidies beschikbaar gesteld om specifieke organisaties te ondersteunen, zoals bijvoorbeeld voor activiteiten en initiatieven voor jongeren en jongvolwassenen op het gebied van sport, cultuur en vrije tijd. Voorwaarde is wel dat er (extra) aandacht is voor de mentale gezondheid. Daarnaast heeft de gemeente een nieuw subsidiesysteem in gebruik genomen: Easyfunders. Concernaudit zal beoordelen of het subsidieproces ondersteund door Easyfunders functioneert en daarbij extra aandacht besteden aan de doelmatigheid van de (Corona)subsidieverstrekking, de rolverdeling tussen subsidiebureau en de organisatieonderdelen; en hoe de IT beheersmaatregelen en geprogrammeerde controles van Easyfunders werken. Impact coronamaatregelen op de medewerkers – visie Werken 3.0 De coronamaatregelen en vooral de maatregelen van verplicht thuiswerken hebben geleid tot de vraag: Hoe kunnen medewerkers gezond, effectief en toekomstbestendig opgavegericht blijven werken? De gemeente heeft de visie Werken 3.0 ontwikkeld inclusief de leidende principes en concrete uitvoeringsmaatregelen.

De visie Werken 3.0 strekt uit over drie sporen: Werkgeverschap, ICT, Huisvesting. Het gaat daarin over werk- en managementstijl, mobiliteit en arbeidsvoorwaarden, gezondheid, werk/privé balans, digitaal en fysiek werken, dienstverlening en ICT, huisvesting (fysiek), duurzaamheid en inclusie. Concernaudit wil bijdragen aan de uitwerking en implementatie van Werken 3.0 door actief te adviseren over de risico’s en haalbaarheid van de uitvoeringsmaatregelen.

Utrecht.nl 12

3. Digitale audits Digitalisering speelt een belangrijke rol om de opgaven in de stad te kunnen realiseren. We zien dat digitalisering in een hoog tempo in alle aspecten van het dagelijks leven een rol speelt. We spreken dan ook wel over een digitale transformatie van onze samenleving. De gemeente wil Utrecht maximaal de kansen die digitalisering biedt benutten om de opgaven in onze stad te realiseren en zo bij te dragen aan een gezonde leefomgeving voor iedereen. Om succesvol te digitaliseren in de Utrechtse opgaven heeft de gemeente een fundament neergezet. Dit fundament houdt in dat er doordachte werkwijzen van strategie tot uitvoering plaatsvinden door samen te werken en kennis te delen om zo effectiever en efficiënter te werken. Met dit fundament realiseert de gemeente de (nieuwe, veelal digitale) oplossingen voor de stad. De termijn die de visie beslaat is meerjarig en loopt tot 2024. Digitalisering roept nieuwe, fundamentele vragen op, bijvoorbeeld ten aanzien van de bescherming van de privacy. Om op een juiste, veilige en eerlijke manier met digitalisering om te gaan, werkt de gemeente vanuit de volgende zes Utrechtse ethische waarden. 1. Privacy en autonomie 2. Menselijke waardigheid en Gezondheid 3. Rechtvaardigheid 4. Een veiliger digitale stad 5. Controle over technologie 6.

Omgaan met machtsverhoudingen Concernaudit wil bijdragen aan de digitalisering van de Utrechtse opgaven middels het uitvoering van audits naar de governance, risicomanagement en interne beheersing van de digitale oplossingen. Bij onze digitale audits zullen we de geïmplementeerde beheersmaatregelen toetsen aan het Utrechtse waardenmodel.

Utrecht.nl

Visie digitale stad als uitgangspunt De visie ‘Digitale stad’ is het fundament op basis waarvan de gemeente Utrecht werkt aan digitalisering. Concernaudit heeft voor de vijf ‘sporen’ van de visie in kaart gebracht welke voornaamste risico’s zij ziet en mee zal nemen in de digitale audit invulling van 2021- 2022

Utrecht.nl

Spoor 1: Onderzoek en innovatie Missie: Samen met partners doorbraak innovaties bereiken. De komende tien jaar krijgt Utrecht er 100.000 inwoners bij. Dit heeft gevolgen voor onder andere mobiliteit, luchtkwaliteit, zorguitgaven, schuldhulpverlening en de woningmarkt. Om deze stedelijke vraagstukken op te lossen of te beheersen hebben we doorbraakinnovaties nodig waarbij moderne ICT, data, algoritmen en kunstmatige intelligentie belangrijke drivers zijn. Doorbraakinnovaties liggen door hun aard niet kant en klaar op de plank en kunnen ook niet op een lineaire manier worden ontwikkeld. Om tot kansrijke ideeën te komen en deze uit te voeren, is een ontwikkelproces nodig met ruimte voor onderzoek en met een experimentele en open houding. Dit vraagt tijd, energie en menskracht. Het onderzoek en innovatie vindt plaats in samenwerking met partners. Risico’s gerelateerd aan het samenwerken met partners: • Financiële risico’s als de gemeente haar inbreng kwijt raakt of aansprakelijk kan worden gesteld voor financiële tekorten. • Beleidsmatige - en afbreukrisico's als de maatschappelijke prestatie niet wordt gerealiseerd. • Politieke risico’s als wanbeleid of integriteitschending bij de partners leiden tot publieke verontwaardiging en negatieve publiciteit voor het gemeentebestuur.

• Dataverwerkingsrisico’s als bij de gemeente onvoldoende overzicht bestaat en monitoring is ingericht op ITbeheersmaatregelen welke (contractueel) enerzijds zijn belegd bij externe partijen en anderzijds onder verantwoordelijkheid van de gemeente Utrecht vallen. In 2020 heeft Concernaudit geconstateerd dat gemeente Utrecht: • geen eenduidig definitie kent voor het begrip samenwerkingsverband. • geen eenduidige afspraken heeft over de registratie van samenwerkingsverbanden (aantal, financiële omvang en eigenaarschap). • De toepassing van systematisch risicomanagement is beperkt en wordt niet afgedwongen door een gemeentelijk monitoringsysteem. Hierdoor is niet duidelijk waarop monitoring en toezicht van samenwerkingsverbanden gebaseerd moet worden. Auditaanpak 2021/2022: • Audit risicobeheersing samenwerkingsverbanden inclusief digitale partners fase 2 (opvolging adviezen 2020 en toetsing werking beheersmaatregelen). • Natuurlijke adviesfunctie inzake bewustwording dataverwerkingsrisico’s bij het aangaan van samenwerkingsverbanden.

Utrecht.nl

Spoor 2: Ander werk, vaardigheden en een leven lang leren Missie: Om optimaal te profiteren van digitalisering stimuleren wij de ontwikkeling van nieuwe, andere kennis en vaardigheden bij Utrechters en medewerkers. Door de digitale transformatie veranderen taken en beroepen snel. Aan de ene kant zijn er veel kansen voor meer en beter werk. Er ontstaat een grotere vraag naar nieuwe beroepen zoals UX-designers (gebruikerservaring), developers, data-scientists en cybersecurity-specialisten. Aan de andere kant veranderen of verdwijnen er banen en taken door digitalisering. Machines of programmering kunnen repetitief of fysiek zwaar werk overnemen. Deze ontwikkelingen leiden tot een mismatch op de arbeidsmarkt. Dit speelt ook binnen de ambtelijke organisatie. Er zijn nieuwe digitale vaardigheden nodig om de dienstverlening op een hoog (digitaal) niveau te houden. Risico’s: GU anticipeert niet (tijdig) op de verwachte mismatch tussen de vereiste (digitale) kennis en vaardigheden van haar medewerkers, waardoor haar opgaven mogelijk niet (volledig) kunnen worden gerealiseerd. Auditaanpak 2021/2022: • Monitoring ontwikkelingen rond de digitale capaciteit, kennis en vaardigheden van de ambtelijke organisatie als onderdeel van de project Ambtenaar 3.0. • Bij individuele digitale audits zal expliciet aandacht worden besteed aan de kwantitatieve en kwalitatieve bemensing.

• Natuurlijke adviesfunctie inzake voorbereiding op aansluiting van de gemeentelijke opgave, functieprofielen en (IT) functievereisten.

Utrecht.nl

Spoor 3: Dynamische digitale economie (1) Missie: Realiseren van een toekomstbestendige digitale interne- en externe infrastructuur die Utrechters, bedrijven en overheid ondersteunt bij hun behoeften. De interne- en externe digitale infrastructuur moet flexibel én robuust zijn. Inwoners kunnen genieten van nieuwe producten en diensten die sterk vereenvoudigd, beter vindbaar en goedkoper zijn. Zoals de slim melden-app, dynamisch inzamelen van afval en digitaal een verhuizing doorgeven. Ondernemers kunnen dankzij online markten een groter bereik hebben, en met inzichten uit data kunnen zij hun processen optimaliseren en nieuwe verdienmodellen maken. Beschikbaarheid van die data speelt in al deze ontwikkelingen een cruciale rol. Dat zien we ook bij het massaal thuiswerken. Dit eist een passende, betrouwbare digitale infrastructuur voor overheden, ondernemers en inwoners. Risico’s Cybercrime is een onlosmakelijk onderdeel geworden van onze samenleving. Door gebruik van digitale externe infrastructuur heeft de Gemeente Utrecht, te maken met aan cyber gerelateerde risico’s, zoals cybercrime. Cybercrime kan geheel of gedeeltelijk de dienstverlening voor korte of lange tijd in gevaar brengen en leiden tot grote directe en indirecte kosten.

Het niet (optimaal) functioneren van de algemene IT beheersmaatregelen met betrekking tot de digitale interne infrastructuur, kunnen de beschikbaarheid, integriteit, exclusiviteit en daarmee de controleerbaarheid van objecten (informatie, IT-dienst of IT-middel) in gevaar brengen. Beschikbaarheid is de mate waarin een object continu beschikbaar is en de gegevensverwerking ongestoord voortgang kan hebben. Integriteit is de mate waarin het object in overeenstemming is met de beoogde werkelijkheid. Exclusiviteit is de mate waarin uitsluitend geautoriseerde personen of apparatuur via geautoriseerde procedures en beperkte bevoegdheden gebruikmaken van een object of toegang hebben tot een object (creëren, wijzigen, verwijderen of lezen van gegevens). Auditobservaties 2020/2021 Deloitte inzake cybersecurity • Het beschermen van gevoelige data is één van de grootste uitdagingen voor de Gemeente Utrecht. Er worden risicoanalyses en DPIA’s (Data Protection Impact Assessments) uitgevoerd om risico’s in kaart te brengen. Er is echter geen overzicht van externe partijen die toegang hebben tot gevoelige data, waardoor niet met zekerheid gezegd kan worden dat alle risico’s goed in kaart zijn gebracht. • Het bewustzijn van eindgebruikers over cybersecurity risico’s speelt een grote rol in het voorkomen en herkennen van incidenten.

Medewerkers moeten een verplichte AVG training volgen, maar overige cyber security bewustwordingsprogramma’s zijn op dit moment niet beschikbaar, waardoor het risico bestaat dat incidenten onopgemerkt blijven. • Het detecteren van kwetsbaarheden binnen het netwerk kan worden verbeterd. Er is geen duidelijke verantwoordelijkheid voor patchmanagement met betrekking tot security patches wat er toe kan leiden dat bekende kwetsbaarheden in gebruikte software niet worden verholpen. Mede door de decentrale besluitvorming met betrekking tot het aanschaffen van softwarepakketten kan dit leiden tot onopgemerkte risico’s.

Utrecht.nl

Spoor 3: Dynamische digitale economie (2) Auditobservaties 2020/2021 Concernaudit inzake logische toegangsbeveiliging SAP In het afgelopen jaar is aan veel aanbevelingen is (al dan niet gedeeltelijk) opvolging gegeven. Desondanks is er nog steeds sprake van een verhoogd risico dat fouten, nalatigheid of opzettelijk misbruik niet of niet tijdig worden voorkomen of ontdekt. Openstaande aanbevelingen hebben met name te maken met het inperken van de toekenning van (kritische) beheerrechten, de monitoring op het gebruik er van en de controle op de juistheid van de toegekende rechten (zowel gebruikers als beheerders). Teneinde dit te verbeteren, gaat het om een mix van een zeer grote hoeveelheid handmatige en geautomatiseerde beheersingsmaatregelen in en rondom een complex ERP-systeem. Gemeente Utrecht zet hiervoor in op de implementatie van de GRC Access tooling. Auditaanpak 2021/2022 externe infrastructuur (dienstverlening aan bewoners en organisaties): • Audit governance en risicobeheersing gemeentelijke algoritmen en de volledigheid van het gepubliceerde algoritmeregister https://ckan.dataplatform.nl/dataset/algoritmeregister-utrecht • Bijdrage aan de jaarlijkse audit van de algemene IT beheersmaatregelen van WiGo4IT. • Pilot audit op AI: chatbot GEM bij PBZ. Onderwerpen voor audits t.a.v.

de externe infrastructuur voor de komende jaren: • Audit governance, risicobeheersing en digitale toegankelijkheid gemeentelijke websites van de gemeente. • Audit governance, risicobeheersing en digitale toegankelijkheid gemeentelijke apps. • Audit governance en risicobeheersing Robot Process Automation (RPA) • Audit governance en risicobeheersing inzet van meer kunstmatige intelligentie (Artificial Intelligence, AI) bij gemeentelijke dienstverlening. • Audit governance en risicobeheersing bij het beschikbaar stellen van data aan derden.

Utrecht.nl

Spoor 3: Dynamische digitale economie (3) Auditaanpak 2021/2022 interne infrastructuur: • Audit wijzigingsbeheer, waarbij de focus zal liggen op systemen met financieel belang voor de Gemeente Utrecht. • Audit Cloudtransitie. • Monitoring van de voortgang van de implementatie van de aanbevelingen ten aanzien van logische toegangsbeheer SAP. • Natuurlijke adviesfunctie inzake logische toegangsbeveiliging, zoals het inrichten en opschonen van bevoegdheden in applicaties. • Natuurlijke adviesfunctie voor veilig (blijven) digitaliseren, zoals een ‘veilig digitaliseren checklist’ vóór livegang programma of project. • Start risicoanalyse van het volledige IT landschap gemeente Utrecht.

Overzicht van de algemene IT beheerprocessen inzake de interne infrastructuur (jaar laatste audit). Om een redelijke mate van zekerheid te kunnen geven ten aan zien van het geheel van algemene IT beheersprocessen, worden alle IT beheersprocessen minimaal 1 keer in de 4 jaar beoordeeld. • • •

• • • • • •

IT Governance (IT strategie, -beleid en – risicomanagement) IT personeelsmanagement Logische toegangsbeveiliging - netwerk (2020 Rekenkamer Utrecht) - systemen (2020 SAP) Fysieke toegangsbeveiliging (2020 Rekenkamer Utrecht) Wijzigingsbeheer (2021) Operationeel management inclusief monitoring Configuratiemanagement Backup- en recoverymanagement Incident- en probleemmanagement

• • • • • • • • • • • •

Continuïteit management en de crisis organisatie (Cyber) security management (2020 Deloitte) Cloud transitie & management (2021) Systeem architectuur management Datamanagement en –portabiliteit Systeemmigratie en -conversies Systeemeigenaarschap Leveranciersmanagement Licentiemanagement Logging Capaciteitsmanagement Elektronische archivering

Utrecht.nl

Spoor 4: Weerbaarheid (1) Missie: Vergroten de digitale weerbaarheid van de stad door bij bewoners, bedrijven en in de eigen organisatie het risicobewustzijn van digitale veiligheid te vergroten. Veiligheid en vertrouwen zijn de basis voor een succesvolle transformatie naar een digitale economie en samenleving. De basis voor een goed vestigingsklimaat, voor onze concurrentiepositie en voor de acceptatie en het gebruik van digitale middelen door inwoners en bedrijven. Onze visie is dat de gemeente Utrecht op het gebied van privacy en informatiebeveiliging een voorbeeldfunctie heeft voor de stad en voor de sector overheid. Risico’s: Informatieveiligheid is een onderwerp dat met de toenemende digitalisering steeds belangrijker wordt voor bewoners en bedrijven en voor de Gemeente Utrecht. De gemeente verwerkt grote hoeveelheden (persoons-)gegevens in een veelvoud aan systemen en programma’s. Veel van deze gegevens betreffen (bijzondere) persoonsgegevens of andere belangrijke gegevens die goed beschermd moeten zijn. Het gaat dan bijvoorbeeld om persoonsgegevens in de Basisregistratie Personen (BRP) en in het sociaal domein waarbij bijzondere persoonsgegevens worden geadministreerd, maar ook gegevens over bijvoorbeeld financiën, ruimtelijke projecten en de veiligheid in de stad.

Zonder goede informatiebeveiliging liggen cybercriminaliteit, fraude, oplichting en ondermijning op de loer. Auditobservaties 2020/2021 Rekenkamer Utrecht inzake informatieveiligheid De gemeente Utrecht heeft in 2019 het nieuwe Beleid voor gegevensbescherming 2019-2022 vastgesteld. Het uitgangspunt van dit beleid is risicogestuurd werken. Aan het risicogestuurd werken wordt echter nog onvoldoende invulling gegeven. Er zijn nog geen operationele risicoanalyses uitgevoerd en van de benodigde 21 tactische risicoanalyses zijn er slechts 6 gereed. Omdat risicoanalyses en Data Protection Impact Assessments (DPIA’s) cruciaal zijn om risicogestuurd te werken, is dit nog niet voldoende mogelijk. Bij de implementatie van het nieuwe beleid voor de gegevensbescherming heeft de gemeente Utrecht ook een roadmap opgesteld die jaarlijks wordt herijkt en geactualiseerd. Deze bevat onderwerpen waarmee de gemeente aan de slag gaat en de mijlpalen die daarbij behaald moeten worden. De uitvoering van het informatiebeveiligingsbeleid loopt op cruciale onderdelen achter op de oorspronkelijke planning. Met extra geld en mensen moet de achterstand worden ingelopen, maar daarvoor zijn ook daadkracht en urgentie bij de proceseigenaren en inzet van uitvoerende medewerkers vereist. De gemeente heeft verschillende algemene maatregelen genomen om de risico’s te laten afnemen.

Utrecht.nl

Spoor 4: Weerbaarheid (2) Auditaanpak 2021/2022: • Nul-meting Gegevensbescherming Management Systeem (GBMS) in voorbereiding op een ISO 2700X certificering. Gegevensbescherming combineert informatiebeveiliging en privacy. Bij deze audit staat de naleving van de Baseline Informatiebeveiliging Overheid (BIO) en de Algemene verordening gegevensbescherming (AVG). Bij de nul-meting zullen ook de aanbevelingen m.b.t. informatieveiligheid van de Rekenkamer Utrecht worden opgevolgd. De audit op de (openbare) ENSIA verantwoording is uitbesteed t/m 2022 aan Duijnborgh Audit B.V. • Audit Wet Politiegegevens (Wpg) – cameratoezicht en bodycams BOA’s. In de Ministeriële regeling periodieke audit politiegegevens is bepaald dat jaarlijks een internal audit moet plaatsvinden op één dan wel een aantal onderdelen van de wet. Op dit moment loopt er een audit van Concernaudit naar het proces staandehouding door BOA’s. In het jaarplan 2021/2022 is het proces cameratoezicht en bodycams BOA’s opgenomen. Daarnaast moet twee jaren na inwerkingtreding van de wet (2019), en vervolgens eenmaal in de vier jaren, moet de gemeente een externe IT auditor een privacy audit uitvoeren naar de naleving van de Wpg. De privacy audit in 2021 naar de naleving van de Wpg zal worden uitbesteed aan Duijnborgh Audit B.V. • Audit programma KIK (Klantgericht werken In Ketens) - implementatie van de Common Ground principes.

Gemeenten hebben een nieuwe, moderne, gezamenlijke informatievoorziening nodig voor het uitwisselen van gegevens. Het huidige stelsel voor gegevensuitwisseling maakt het lastig om snel en flexibel te vernieuwen, te voldoen aan privacywetgeving en efficiënt om te gaan met data. Dat staat de verbetering van de gemeentelijke dienstverlening in de weg. Met Common Ground willen gemeenten de informatievoorziening eenvoudiger, sneller en slimmer inrichten. In de kern gaat het bij Common Ground om een hervorming van de gemeentelijke informatievoorziening, door op een andere manier om te gaan met gegevens. Zo koppelen we data los van werkprocessen en applicaties. En we bevragen data bij de bron, in plaats van ze veelvuldig te kopiëren en op te slaan. De twee KIK pilots binnen de gemeente Utrecht betreffen: • De Vastgoed case; Van ongestructureerde data naar data op orde. • Keten: Beleidsvoorbereiding en Bestuurlijke Besluitvorming.

Utrecht.nl

Spoor 5: Grondrechten en ethiek Missie: We waarborgen grondrechten en waarden in een wereld waarin digitalisering steeds meer centraal staat. Bij de huidige en toekomstige vergaande digitale transformatie ontstaat de vraag of alles wat technologisch mogelijk is, ook wenselijk is. Digitalisering raakt aan de waarden en verhoudingen in onze samenleving en aan de manier waarop we met elkaar omgaan. Nieuwe technieken en toepassingen roepen ethische en grondrechtelijke vragen op. We moeten niet alleen oog hebben voor de mogelijkheden, maar ook voor de risico’s van digitalisering. In het coalitieakkoord hebben we de ambitie uitgesproken om toe te werken naar een opener en transparantere gemeente Utrecht. We willen bereiken dat onze publieke informatie beter vindbaar, uitwisselbaar, eenvoudig te ontsluiten en goed te archiveren is. Bijzondere aandacht hebben wij hierbij voor de transparantie rondom algoritmen en kunstmatige intelligentie. Risico’s: Politieke risico’s als de gemeente onvoldoende open en transparant is of hoe het de grondrechten bij digitale innovaties waarborgt. Dit kan leiden tot publieke verontwaardiging en negatieve publiciteit voor het gemeentebestuur. Auditaanpak 2021/2022: • Audit governance en risicobeheersing algoritmen in gebruik bij de gemeente en de volledigheid van het algoritmeregister (zie ook spoor 3).

• Nagaan of gemeente Utrecht een kunstmatige intelligentie register publiceert en bijhoudt.

Utrecht.nl

4. Integrated en operational audits (1) In het onderstaande overzicht is opgenomen welke integrated en operational audits we gaan uitvoeren. Operational audits richten zich op governance, risicomanagement en interne beheersing van processen. Bij integrated audits worden tevens ITen/of gedragsaspecten beoordeeld. Bij de opdrachtformulering van een audit wordt bepaald of IT- en/of gedragsaspecten in scope zijn.

Invoering Omgevingswet fase 2 Op 1 januari 2022 treedt naar verwachting de Omgevingswet in werking. Op dit moment loopt een readiness scan om te beoordelen of de gemeente per 1 januari 2022 tijdig aan de minimale eisen kan voldoen. In fase 2 zullen we beoordelen hoe de omgevingsvisie van de gemeente is geoperationaliseerd en opvolging geven aan de aanbevelingen uit fase 1. Samenwerkingsverbanden fase 2 (werking) De komende tien jaar krijgt Utrecht er 100.000 inwoners bij. Dit heeft gevolgen voor onder andere mobiliteit, luchtkwaliteit, zorguitgaven, schuldhulpverlening en de woningmarkt. Om deze stedelijke vraagstukken op te lossen of te beheersen werkt de gemeente intensief samen met partners in de stad, regio en landelijk. In fase 1 hebben we de opzet en bestaan van de beheersmaatregelen en risicomanagement inzake deze samenwerkingsverbanden beoordeeld. In fase 2 gaan we de werking van de beheersmaatregelen beoordelen en opvolging geven aan de aanbevelingen uit fase 1. Meervoudig onderhands aanbesteden Bij de inkoop van leveringen en diensten tot € 214.000 mag de gemeente kiezen voor het meervoudig onderhands aanbesteden, waarbij 3 tot 5 partijen worden uitgenodigd tot inschrijving. De Nota Inkoop bepaalt dat sprake moet zijn van ‘Local sourcing’, waarbij minstens twee betrouwbare regionale ondernemers worden uitgenodigd.

Ook bij meervoudig onderhandse aanvragen moet de gemeente gebruik maken van Tendernet. Om de integriteit van de deelnemers aan het inkoopproces te waarborgen, bestaat er een adequate functiescheiding binnen het proces en zijn er waarborgen ten aanzien van de documentatie. Concernaudit zal de doelmatigheid, doeltreffendheid en rechtmatigheid van het proces meervoudig onderhands aanbesteden beoordelen.

Utrecht.nl 23

4. Integrated en operational audits (2) Onderwijshuisvesting In Utrecht gaan bijna 50.000 kinderen en jongeren iedere dag naar school. Daarvoor hebben we in onze stad 93 basisscholen, 19 middelbare scholen en 12 scholen voor (voortgezet) speciaal onderwijs. In ruim 200 schoolgebouwen huisvesten we alle leerlingen en geven leraren het beste onderwijs. De recent gewijzigde gemeentelijke verordening onderwijshuisvesting omschrijft alle regels omtrent onderwijshuisvesting. De visie op onderwijshuisvesting vormt de basis voor het gemeentelijke beleid en de bouwprojecten en kent 4 pijlers: Een passende school, nabij huis; Gezond en veilig naar school; Efficiënte samenwerking; en Duurzame schoolgebouwen. Concernaudit gaat beoordelen hoe doelmatig en doeltreffend de onderwijshuisvesting in de stad is geregeld. Bedrijfsafvalinzameling Organisaties in de stad en regio kunnen ervoor kiezen om hun bedrijfsafval te laten inzamelen door Stadsbedrijven. De gemeente haalt al 50 jaar bedrijfsafval op en treedt daarbij in concurrentie met commerciële marktpartijen. Dit heeft consequenties op het gebied van belastingen, zoals BTW en VPB. Het proces bedrijfsafvalinzameling kent ook een verhoogd risico op misbruik, waaronder fraude. Concernaudit zal het proces van bedrijfsafval inzamelen beoordelen met extra aandacht voor misbruik en de correcte naleving van de belastingwetten.

Erfpacht De gemeente Utrecht is eigenaar van stukken grond. Sommige stukken grond zijn uitgegeven in erfpacht. Een erfpachter, een particulier, bedrijf of ondernemer, krijgt het gebruiksrecht van die grond: het erfpachtrecht en moet hiervoor een vergoeding betalen: de erfpachtcanon. In Utrecht bestaan 3 soorten erfpachtrechten: eeuwigdurende, voortdurende en tijdelijke erfpachtrechten. De erfpachter heeft de mogelijkheid om de canonverplichting af te kopen en een eeuwigdurende erfpacht kan onder voorwaarden omgezet worden naar vol eigendom. De afgelopen jaren zijn de erfpachtprocessen opnieuw ingericht. Concernaudit gaat beoordelen hoe doelmatig en doeltreffend de gewijzigde erfpachtprocessen werken.

Utrecht.nl 24

4. Integrated en operational audits (3) Behandeling van verzoeken om schadevergoeding Als de gemeente een fout maakt kan een bewoner of bedrijf schade lijden en zal die proberen om te verhalen op de gemeente. Maar ook in andere gevallen kan de gemeente verplicht zijn tot schadevergoeding. De gemeente kan op verschillende wijze met een aanspraak op schadevergoeding worden geconfronteerd: 1. Aansprakelijkstelling wegens onrechtmatige daad. 2. Wettelijke risicoaansprakelijkheid. 3. Schadebesluit op grond van een publiekrechtelijke regeling. 4. Subsidieaanvraag. 5. Toepassing van een contractueel vastgelegde vergoedingsplicht. 6. Aansprakelijkstelling wegens niet naleven bepaling uit overeenkomst. 7. Aansprakelijkstelling o.g.v. inlenersaansprakelijkheid/ ketenaansprakelijkheid. 8. In het kader van een klacht of melding. De gemeente krijgt vaker een verzoek om schadevergoeding. Concernaudit wil beoordelen of deze verzoeken doelmatig, doeltreffend en rechtmatig worden behandeld door de gemeente.

Utrecht.nl 25

5. 4. 213a-onderzoeken 213a onderzoeken en bewonersaudit In artikel 213a van de Gemeentewet is opgenomen dat het college periodiek onderzoek moet laten doen naar de doelmatigheid en doeltreffendheid van het gevoerde beleid. Concernaudit voert deze zogenoemde 213a-onderzoeken uit ten behoeve van het college en rapporteert hierover aan het college en de gemeenteraad. Concernaudit richt zich met de 213a-onderzoeken op de opgaven die in het Coalitieakkoord van het college zijn vastgelegd. Deze opgaven vormen voor de organisatie het kader waarbinnen gewerkt wordt. Bij 213a-onderzoeken wordt ingezoomd op het opgavegericht werken; (bij)sturen & verantwoorden. In 2018 en 2019 zijn 213a-onderzoeken naar de opgaven ‘Werk voor iedereen’ en ‘Duurzame energie voor iedereen’ uitgevoerd. Voor 2020-2021 was overeengekomen dat een 213a-onderzoek naar de opgave ‘Veerkracht en gelijke kansen” wordt uitgevoerd. Dit onderzoek zal in Q2 2021 plaatsvinden.

Aanvullend stelt Concernaudit voor om een 213a-onderzoek uit te voeren naar de opgave “Woningmarkt in balans”. Voor de selectie van deze opgave voor het 213aonderzoek zijn de volgende factoren doorslaggevend geweest: ▪ Spreiding over de 10 hoofdopgaven; ▪ betekenis voor de bewoners van de stad zodat de inwoners, organisaties of instellingen betrokken kunnen worden in het onderzoek; en ▪ op het betreffende beleidsveld is een bewonersaudit of een anderszins vernieuwende aanpak mogelijk. Voor de selectie van onderwerpen vindt daarnaast afstemming plaats met de onderzoeken die de Rekenkamer Utrecht uitvoert of in het recente verleden uitgevoerd heeft. Bewonersaudit Met Maatschappelijke Ontwikkeling is Concernaudit overeengekomen om de bewonersaudit te koppelen aan de tussentijdse beoordeling van de gecontracteerde WMO en Jeugdzorg partners. De timing van deze tussentijdse beoordeling is nog onderwerp van bespreking.

Utrecht.nl 26

6. Projectaudits De beheersing van grote, risicovolle projecten is een blijvend aandachtspunt voor elk gemeentebestuur. Grote projecten zijn door hun complexiteit bij uitstek langdurige en kostbare trajecten die bovendien vaak onderhevig zijn aan bestuurlijke en technologische scopewijzigingen. In 2019 heeft Concernaudit het onderzoek ‘Verdere professionalisering beheersing grote projecten’ opgeleverd. Het onderzoek geeft inzicht in de kansen om de interne beheersing van grote projecten te verbeteren. In 2020 hebben we een vervolgonderzoek uitgevoerd en gerapporteerd naar de beheersing van grote projecten, waarbij nadrukkelijk de onderdelen projectramingen, tegenspraak en projectadministratie zijn beoordeeld. De gemeente heeft acties uitgezet om de projectbeheersing te verbeteren. De regeling risicovolle projecten is bijna gereed. Daarnaast is in januari 2021 de handleiding projectbeheersing goedgekeurd en gepubliceerd teneinde de projectbeheersing te verbeteren.

Om te beoordelen of de beoogde verbetering van de projectbeheersing wordt gerealiseerd en om de risico’s van een aantal grote, risicovolle (politiek/afbreukrisico en financieel) projecten te beoordelen, zijn de navolgende projecten/programma’s geselecteerd voor een audit: • Project Herstel Wervengebied • Project Merwedekanaalzone Programma Kik (Klantgericht werken In Ketens) - implementatie Common Ground principes is geselecteerd vanwege het belang van het programma voor de digitale toekomst van de gemeente en de samenwerking met partners lokaal en nationaal.

Utrecht.nl 27

7. Innovatie en adviesopdrachten De doelstelling van digitale innovatie in de audits is om steekproefsgewijze, handmatige controles te vervangen door gedigitaliseerde, integrale controles. Op basis van de single audit gedachte betekent dit dat slechts één controle wordt uitgevoerd en vanuit andere controledoeleinden (bijvoorbeeld de jaarrekeningcontrole door de externe accountant) kunnen interne en externe partijen hier gebruik van maken. Met digitale controles voorzien wij in zeer nauwkeurige controles met een dekking van 100%. Technieken als process mining en data-analyse vormen de basis van de digitale controles. Sinds begin 2018 werkt Concernaudit aan de inrichting van deze digitale controles in de vier grote geldstromen van de gemeente: inkopen/aanbestedingen, subsidies, personeelskosten, sociale uitkeringen en bij publiekszaken. In 2021/2022 wil Concernaudit: • Digitalisering van de interne controles m.b.v. process mining ten aanzien van raadplegen van het Basisregistratie Personen (BRP) en verstrekken van reisdocumenten verder uitbouwen. • Een pilot audit doen m.b.t. kunstmatige intelligentie (AI) gebruikt bij de chatbot GEM. • Process mining SAP “Proces bestellen tot en met factuurafhandeling” verder uitbouwen en mogelijk overdragen aan FIJ. • De implementatie SAP GRC tool als onderdeel van de opvolging van Logische toegangsbeveiliging SAP aanbevelingen m.b.t.

kritische autorisaties actief monitoren. • Actief participeren aan frauderisico-sessies vanuit onze expertise.

Utrecht.nl 28

8. Ad hoc audits en onderzoeken Concernaudit heeft 5% van haar audituren gereserveerd om ad hoc audits en onderzoeken uit te voeren. Middels deze reservecapaciteit willen we flexibel kunnen inspelen op onverwachte belangrijke ontwikkelingen, nieuwe risico’s, onderzoeken naar vermoedens van niet integer handelen door bestuurders en medewerkers en fraudeonderzoeken. De Manager Concernaudit zal in afstemming met de Directieraad deze reservecapaciteit inzetten.

Utrecht.nl 29