Jaarplan Concernaudit 2023-24_definitief

Jaarplan Concernaudit 2023-24 April 2023 – Maart 2024

Manager Concernaudit 15 maart 2022

Inhoudsopgave Managementsamenvatting Aanpak totstandkoming Jaarplan Speerpunten Concernaudit 2023-2024 IT Systemen en informatiebeveiliging Integrated Audits Rechtmatigheidsverantwoording Fraude Innovatie en Data

Optionele opdrachten Status onderhanden opdrachten 22/23 Management van de Interne Audit functie 2

Managementsamenvatting (1/2) Context en introductie

Speerpunten in het jaarplan

Voor u ligt het jaarplan Concernaudit 2023-24. Het jaarplan wordt door de Directieraad en het College vastgesteld en ter informatie gedeeld met de Adviescommissie Control & Financiën. Door middel van het halfjaar- en jaarverslag rapporteren we over de voortgang van de realisatie van het jaarplan.

Plan proces en risico inschatting Het jaarplan is tot stand gekomen op basis van een risicogebaseerde, gestructureerde en systematische aanpak. Deze aanpak is op pagina 6 gevisualiseerd. De meest urgente risico’s die we in ons jaarplan 202324 adresseren zijn: Robuustheid IT infrastructuur • Cybersecurity en informatiebeveiliging

Gebruik van nieuwe technologieën

•

Human resources Capaciteitsmanagement

Fraude

Het plan adresseert onderwerpen in verschillende domeinen: • • • •

fysiek sociaal dienstverlening en heeft aandacht voor het programma Versterking Bedrijfsvoering ✓ standaardisering ✓ informatiebeveiliging ✓ capaciteitsmanagement ✓ sturen en verantwoorden.

Dit laatste punt is een belangrijke ‘enabler’ voor een robuuste en weerbare gemeentelijke organisatie die met de ambities en doelstellingen uit het coalitieakkoord aan de slag gaat. Het verantwoord omgaan met ethische vraagstukken rondom nieuwe technologieën toetsen we in een onderzoek naar de ethiek commissie (Uthiek board) en hun adviezen. Nodige verbeteracties rondom fraude management zijn door de externe accountant in de management letters van 2022 en 2023 (interim controle) genoemd en krijgen daarom van ons uitgebreid aandacht in het jaarplan. 3

Managementsamenvatting (2/2) Innovaties in het jaarplan

Ons team

De data analisten van Concernaudit gaan op het gebied van innovatie in 2023-24 aan de slag met het bouwen van twee voorspellende modellen:

Met de huidige teamsamenstelling (11 FTE) hebben we een stabiele basis en beschikken we over de juiste competenties om verder te kunnen bouwen aan een moderne en innovatieve auditfunctie. Daardoor blijven wij met onze rapportages waarde toevoegen aan de organisatie en helpen wij bij het realiseren van de strategische doelstellingen.

• •

Ongewenste uitstroom van medewerkers Onrechtmatigheden in het aanbestedingsproces

Beide modellen zullen optimaal gebruik maken van reeds beschikbare data binnen de gemeente. De eerste analyse levert een belangrijke bijdrage aan het speerpunt capaciteitsmanagement en het voorkomen van ongewenste uitstroom van medewerkers. Dit wordt mogelijk door deze medewerkers eerder te identificeren. Daardoor kunnen HR business partners en managers gerichter aandacht aan het onderwerp besteden. De tweede analyse is beoogd om potentiële onrechtmatigheden in het aanbestedingsproces eerder en met minder audit capaciteit te identificeren. Daardoor kan bijsturing in het geval van onrechtmatigheden eerder plaatsvinden en kan vrijkomende audit capaciteit elders worden ingezet.

In het kader van het continu verbeteren en verder professionaliseren van de interne auditfunctie, hebben we de volgende speerpunten op de agenda voor 2023-24:

Strategie

Samenwerking en kennisdeling

Impact

Netwerk

Standaardisatie

Deze speerpunten zijn op pagina 6 verder uitgewerkt. 4

Aanpak totstandkoming Jaarplan Concernaudit 2023-24 Bijdragen aan realisatie strategische doelstellingen Waarde toevoegen

Prioriteren van onderwerpen Coalitieakkoord

Externe onderzoeken

Uitvoeringsbrief 2023 Raad

Inputgesprekken met stakeholders

Wet- en regelgeving

Concernaudit Jaarplan

Interne audits

Audit plan Rekenkamer Benchmarking met G4

Risicoanalyse Kernwaarden Gemeente Utrecht

5

Speerpunten Concernaudit 2023-2024 Strategie • Het consequent volgen van onze roadmap richting continue verbetering en verdere professionalisering van de Concernaudit functie. Hiervoor gebruiken we het ‘internal audit ambition model’ van het Instituut van Internal Auditors (IIA).

• Het doorontwikkelen van ons strategisch personeelsplan. Dit plan vervult de behoefte van een moderne auditfunctie en zorgt voor businesscontinuïteit. We versterken onze competenties op gebied van fraude, informatiemanagement en systemen door het certificeren van twee collega’s in 2023.

Netwerk • Het onderhouden en uitbreiden van de samenwerking met de Utrechtse Rekenkamer. • Het uitbreiden en versterken van de samenwerking en benchmarking met de G4 en andere interne auditafdelingen.

Kennisdeling en samenwerking • Het onderhouden en opbouwen van relaties binnen de gemeente Utrecht waardoor we op de hoogte blijven van ontwikkelingen en uitdagingen. Hiervoor nodigen wij regelmatig diverse gastsprekers uit de organisatie uit om kennisdeling en mogelijke samenwerking te verkennen.

Standaardisatie • Het verder uitbreiden en consequent gebruiken van templates in het audit proces om kwaliteitsstandaarden te waarborgen en efficiëntieslagen te maken. • Het regelmatig uitvoeren van peer reviews binnen Concernaudit voor kwaliteitsbewaking, kennisdeling en leren & ontwikkelen. • Het ontwikkelen van een professioneel instroomprogramma voor nieuwe collega’s. Concernaudit heeft een openstaande vacature ingevuld. Vanaf 1 maart wordt Concernaudit namelijk versterkt met één FTE.

Impact • Het monitoren en analyseren van survey-resultaten om onze dienstverlening continu te verbeteren. Deze surveys worden sinds Q3 2022 uitgezet na afronding van alle audits om feedback bij de auditees op te halen. • Het consequent toepassen van een integrated audit aanpak waar mogelijk. Dit betekent dat we een onderwerp multidisciplinair benaderen en een mixed methods audit aanpak toepassen, zoals data analyse, interviews, survey en documentstudie. • Het bouwen van een netwerk van “guest auditors” als facilitator voor een integrated audit aanpak. We hebben inmiddels een eerste pilot voor samenwerking met juristen binnen de gemeente Utrecht afgerond. Hierdoor benutten we optimaal kennis en expertise binnen de organisatie.

6

IT Systemen en informatiebeveiliging

IT Systemen en informatiebeveiliging (1/2) 1. IT Compliance en efficiënt gebruik Identity Access Management module Scope: het aansluiten van door de gemeente gebruikte (nieuwe) systemen op de Identity Access Management (IAM) module. Consistent gebruik van deze module geeft controle over de toegang en bewerkingen in systemen, applicaties en databases. Risico: gebrek aan controle verhoogt het risico op ongeautoriseerde toegang tot de Utrechtse IT omgeving.

2. IT Readiness assessment SAP HANA Scope: het SAP HANA implementatieplan. Hiervoor zullen wij het plan aan de hand van verschillende dimensies zoals governance, haalbaarheid en andere kwaliteitsaspecten beoordelen.

Organisatieonderdeel: Domstad IT Strategische doelstelling: Digitale Stad & Transparante, slagvaardige organisatie Speerpunt coalitieakkoord: Uitvoering, Versterking BSN bedrijfsvoering Kernwaarde: Scherp, open en betrouwbaar

Organisatieonderdeel: FIJ, Domstad IT Strategische doelstelling: Digitale Stad & Transparante, slagvaardige organisatie

Risico: ontoereikende projectbeheersing verhoogt het risico op budget overschrijdingen (tijd, geld en capaciteit).

Speerpunt coalitieakkoord: Uitvoering, Versterking BSN bedrijfsvoering Kernwaarde: Scherp, open en betrouwbaar

3. IT Voortgang Cloudtransitie - focus contractmanagement

Organisatieonderdeel: Domstad IT

Scope: contractmanagement van IT diensten die worden afgenomen voor de Cloudtransitie. Wij zullen de kwaliteit van het contractmanagement beoordelen. Risico: indien contractmanagement tekortschiet, bestaat de kans dat de bedrijfscontinuïteit in gevaar komt door ontoereikende beschikbaarheids- en IT beveiligingsafspraken en gebrek aan toegang tot relevante stuurinformatie.

Strategische doelstelling: Digitale Stad & Transparante, slagvaardige organisatie Speerpunt coalitieakkoord: Uitvoering, Versterking BSN bedrijfsvoering Kernwaarde: Scherp, open en betrouwbaar

8

IT Systemen en informatiebeveiliging (2/2) Organisatieonderdeel: Domstad IT

4. Status opvolgingen bevindingen General IT controls – SAP Financieel en Inkoop Scope: het initiatief voor het opvolgen van auditbevindingen Logisch Toegangsbeheer en Wijzigingsbeheer SAP uit 2021-2022. Wij zullen de status van de opvolging van de bevindingen in kaart brengen. Risico: het gebrek aan opvolging zorgt ervoor dat de externe accountant niet efficiënt de jaarrekeningcontrole kan uitvoeren waardoor extra kosten voor de gemeente worden gemaakt.

Speerpunt coalitieakkoord: Uitvoering, Versterking BSN bedrijfsvoering Kernwaarde: Scherp, open en betrouwbaar

Organisatieonderdeel: Domstad IT

5. Informatiebeveiliging - Patchmanagement Scope: het gemeentebrede patchmanagement proces. Wij zullen de effectiviteit en efficiëntie van dit proces beoordelen. Risico: een niet robust proces verhoogt de kans op inbreuk op het Utrechtse IT omgeving door hackers. 6. IT Wet Politiegegevens 2023 en hercontrole auditbevindingen 2022

Strategische doelstelling: Digitale Stad & Transparante, slagvaardige organisatie

Wettelijk verplichte jaarlijkse audit

Scope: de naleving van de Wet politiegegevens. De focus zal liggen op enerzijds een hercontrole van de interne en externe auditbevindingen 2022. Anderzijds zullen wij applicatie- en autorisatiebeheer beoordelen. Risico: het niet naleven van wet- en regelgeving kan leiden tot privacyschending en financiële boetes opgelegd door de Autoriteit Persoonsgegevens.

Strategische doelstelling: Digitale Stad & Transparante, slagvaardige organisatie Speerpunt coalitieakkoord: Uitvoering, Versterking BSN bedrijfsvoering Kernwaarde: Scherp, open en betrouwbaar Organisatieonderdeel: VTH, W&I, MO Strategische doelstelling: Digitale Stad & Transparante, slagvaardige organisatie Speerpunt coalitieakkoord: Uitvoering, Versterking BSN bedrijfsvoering Kernwaarde: Scherp, open en betrouwbaar

9

Integrated Audits

Integrated Audits (1/3) 1. 213a Milieu en circulariteit - Utrecht slim met afval

Wettelijk verplichte jaarlijkse audit

Scope: gebruik van beschikbare data als stuurinformatie voor het bereiken van een doelmatig en doeltreffend afvalbeleid.

Risico: inadequate en niet tijdig beschikbare stuurinformatie leidt tot te late signalering van het niet behalen van de tactische- en strategische doelstellingen en mogelijke bijsturing. 2. 213a Digitale Stad - Uthiek board

Wettelijk verplichte jaarlijkse audit

Scope: de Uthiek board. Wij zullen de doelmatigheid en doeltreffendheid van de Uthiek board beoordelen door de governance en diversiteit van de board in kaart te brengen. Ook zullen wij de kwaliteit, tijdigheid, vastlegging en naleving van de adviezen beoordelen. Risico: de Uthiek board wordt niet of te laat betrokken bij het implementeren van nieuwe technologieën en/of adviezen van de Uthiek board worden niet opgevolgd. Beide risico’s verhogen de kans tot ongewenst gebruik van technologieën wat kan leiden tot privacyschending. 3. Regeling Risicovolle Projecten (RRP)

Jaarlijkse audit

Scope: projectmanagement voor project binnen de RRP. Tijdens de audit zullen wij de voortgang van het projectplan (tijd, scope, budget) en de -verantwoording voor één project beoordelen. Risico: ontoereikende projectbeheersing verhoogt het risico op budgetoverschrijdingen (tijd, geld en capaciteit) en te late en onvolledige verantwoording naar de Raad.

Organisatieonderdeel: Stadsbedrijven Strategische doelstelling: Vergroenen en verdichten in balans Speerpunt coalitieakkoord: Milieu en circulariteit Kernwaarde: Open, wendbaar, scherp, betrouwbaar Organisatieonderdeel: Informatie Proces Management Strategische doelstelling: Transparante, slagvaardige organisatie, Digitale Stad Speerpunt coalitieakkoord: Digitale Stad Kernwaarde: Open, wendbaar, scherp, betrouwbaar

Organisatieonderdeel: Nog te bepalen Strategische doelstelling: Transparante, slagvaardige organisatie Speerpunt coalitieakkoord: Uitvoering Kernwaarde: Open, scherp, betrouwbaar

11

Integrated Audits (2/3) 4. Servicedesk (HR of IT) Scope: de servicedesk. We zullen de governance en de inrichting van de servicedesk beoordelen. Ook gaan we de effectiviteit en efficiëntie van de dienstverlening toetsen. Voor deze audit kiezen wij de IT- of HR servicedesk en werken we nauw samen met de DUS projectorganisatie.

Organisatieonderdeel: Domstad IT, Mens & Organisatie Strategische doelstelling: Transparante, slagvaardige organisatie Speerpunt coalitieakkoord: Uitvoering

Risico: gebrek aan juiste prioritering van servicedesk aanvragen en het periodieke analyseren van oorzaken leidt tot inefficiënt gebruik van mens en middelen.

Kernwaarde: Open, scherp

5. Capaciteitsmanagement

Organisatieonderdeel: Mens & Organisatie

Scope: het capaciteitsmanagement proces. We zullen voor een aantal aspecten binnen dit proces het beleid, de naleving van het beleid en gebruik van beschikbare tools toetsen.

Strategische doelstelling: Transparante, slagvaardige organisatie Speerpunt coalitieakkoord: Uitvoering

Risico: onvoldoende management aandacht en prioritering voor capaciteitsmanagement leidt tot ongewenste uitstroom en het niet in staat zijn om nieuwe medewerkers te werven.

Kernwaarde: Open, wendbaar, scherp, betrouwbaar

6. Voortgang implementatie standaard projectbeheersing (Ruimte, Stadsbedrijven, Vastgoed)

Organisatieonderdeel: Ruimte, SB, VGU

Scope: de voortgang van de implementatie standaard projectbeheersing. Wij gaan het naleven van de standaard en het efficiënt gebruik van het projectmanagement systeem ‘Fortes Change Cloud’ beoordelen. Voor deze audit kiezen we diverse projecten van de bovengenoemde organisatieonderdelen.

Strategische doelstelling: Transparante, slagvaardige organisatie

Risico: het niet naleven van de nieuwe standard verhoogt het risico op budget overschrijdingen (tijd, geld en capaciteit).

Kernwaarde: Open, scherp

Speerpunt coalitieakkoord: Uitvoering

12

Integrated Audits (3/3) 7. Bewaken budgetrealisatie en kwaliteit dienstverlening van samenwerkingspartijen (Maatschappelijke Ontwikkeling)

Scope: kwaliteit en effectiviteit van de processen rondom het bewaken van het budget en de dienstverlening van samenwerkingspartijen. We zullen de impact van deze processen op tijdige en adequate besluitvorming en bijsturing beoordelen. Risico: te laat identificeren van budgetoverschrijdingen door samenwerkingspartijen waardoor verbeteracties te laat worden opgestart en het college en de raad onvolledig of te laat geïnformeerd worden. 8. Talon proces (Stadsbedrijven) Het Talon proces omvat de werkzaamheden rondom ondergrondse bekabeling en het doorbelasten hiervan aan nutsbedrijven.

Scope: het talon proces en bijbehorende werkzaamheden. We zullen dit proces op effectiviteit en efficiency beoordelen, zoals het gebruik van informatiesystemen en de samenwerking met derden.

Organisatieonderdeel: MO Strategische doelstelling: Zorg dichtbij op maat, transparante en slagvaardige organisatie

Speerpunt coalitieakkoord: Welzijn, zorg en ondersteuning Kernwaarde: Open, wendbaar, scherp, betrouwbaar

Organisatieonderdeel: Stadsbedrijven Strategische doelstelling: Vergroenen en verdichten in balans Speerpunt coalitieakkoord: Bereikbaarheid Kernwaarde: Open, betrouwbaar

Risico: gebrek aan loyaliteit aan standaard processen en uniform gebruik van systemen leidt tot inefficiënt gebruik van mens en middelen.

13

Rechtmatigheidsverantwoording

Rechtmatigheidsverantwoording Met de wet ‘Versterking decentrale rekenkamers’ is de wet- en regelgeving waar gemeentes aan moet voldoen aangepast. Vanaf begin 2023 moet iedere gemeente zelf de rechtmatigheidsverantwoording opstellen en deze kunnen onderbouwen. Tot 2023 was deze taak belegd bij de externe accountant.

•

Concernaudit heeft een toetsende rol bij de rechtmatigheidsverantwoording en voert zelf werkzaamheden uit op twee processen die grote financiële impact hebben: Inkopen & aanbesteden Subsidies

Rechtmatigheidsverantwoording (RMV) gemeentebreed

Organisatieonderdeel: Gemeentebreed

Strategische doelstelling: Transparante, slagvaardige organisatie Speerpunt coalitieakkoord: Uitvoering, t.b.v. jaarrekeningcontrole Kernwaarde: Scherp, open en betrouwbaar Wettelijk verplichte jaarlijkse audit

Scope: het onderbouwen van de rechtmatigheidsverantwoording van het college in de jaarrekening.

•

Verbijzonderde Interne Controle (VIC): Inkopen & aanbesteden

Scope: de identificatie van potentiële onrechtmatigheden in het proces inkoop en aanbesteden.

•

Verbijzonderde Interne Controle (VIC): Subsidies

Scope: de identificatie van potentiële onrechtmatigheden in het proces uitgaande subsidies. Risico: rechtszaken en financiële boetes door niet voldoen aan wet- en regelgeving, imagorisico door beperkte accountantsverklaring in jaarrekening.

15

Fraude

Fraude Fraude is een belangrijk aandachtspunt voor de gemeente Utrecht en maakt onderdeel uit van de jaarrekeningcontrole. In de managementletters van 2022 en 2023 (interim-controle) heeft de externe accountant Deloitte hierover een aantal verbeterpunten genoemd.

•

Er zijn verschillende mogelijkheden om eigenaarschap van de verbeterpunten binnen de organisatie te beleggen. Omdat de interne audit functie over de benodigde competenties en capaciteiten beschikt, is ervoor gekozen de frauderisico-analyse, workshop en controle testen bij Concernaudit te beleggen.

Organisatieonderdeel: Gemeentebreed Strategische doelstelling: Transparante, slagvaardige organisatie Speerpunt coalitieakkoord: Uitvoering, t.b.v. jaarrekeningcontrole Kernwaarde: Scherp, open en betrouwbaar

Frauderisico-analyse

Verplichte jaarlijkse controles

Scope: Update gemeentebrede frauderisico analyse Risico: Het niet of onvoldoende in beeld hebben van kwetsbare processen en de daarmee verbonden frauderisico's •

Frauderisico workshop

Scope: Fraude bewustwording training en “red flag” identificatie voor kwetsbaar proces Risico: Geen proactief monitoren van “red flags” bij kwetsbare processen waardoor fraude niet of te laat wordt geïdentificeerd •

Fraude controle testen

Scope: Effectiviteit en efficiency van interne controles in kwetsbaar proces testen Risico: Interne controles werken niet zoals gepland waardoor fraude niet of te laat wordt gesignaleerd

17

Innovatie en Data

Innovatie en inzet van data analytics (1/2) De data analisten binnen Concernaudit gaan in 2023/24 met twee pilots rond om het thema voorspellende analyses aan de slag. De voorspellende analyse capaciteitsmanagement levert een belangrijke bijdrage aan het speerpunt capaciteitsmanagement en het vorkomen van ongewenste uitstroom. We voeren deze analyse in samenwerking met het HR data expertise team uit. De voorspellende analyse aanbestedingen draagt bij om potentiële onrechtmatigheden in het aanbestedingsproces eerder en met minder audit capaciteit te identificeren.

Voorspellende analyses •

Capaciteitsmanagement

Scope: ongewenste uitstroom binnen capaciteitsmanagement. We ontwikkelen een voorspellende analyse die door optimaal gebruik van beschikbare data potentiële uitstroom van medewerkers zichtbaar maakt. Daardoor kunnen managers en HR business partners doelgerichter en efficiënter worden ingezet. •

Aanbestedingen

Scope: het aanbestedingsproces. We ontwikkelen een voorspellende analyse die door optimaal gebruik van beschikbare data potentiële onrechtmatigheden zichtbaar maakt. Hierdoor zullen minder handmatige auditwerkzaamheden nodig zijn en kunnen we audit capaciteit efficiënter inzetten.

Organisatieonderdeel: Gemeentebreed Strategische doelstelling: Digitale Stad & Transparante, slagvaardige organisatie Speerpunt coalitieakkoord: Uitvoering, Versterking BSN bedrijfsvoering Kernwaarde: Scherp, open en betrouwbaar

Samenwerkingen •

Samenwerking met PwC

Voor het verantwoord omgaan met en veilige gebruik van nieuwe technologieën is samenwerking en kennisdeling tussen vakexperts nodig. Dit doen wij door deel te nemen aan PwC’s Tomorrow 2.0 programma, waar het thema ethiek bij het gebruik van artificial intelligence oplossingen centraal staat. •

Samenwerking met de integriteit coördinator

Op verzoek zullen we de integriteit coördinator in de verkenningsfase van potentiële integriteitsschendingen ondersteunen.

19

Innovatie en inzet van data analytics (2/2) Organisatieonderdeel: Gemeentebreed

De inzet van data analytics zorgt voor een hogere betrouwbaarheid van audits doordat grote hoeveelheden data uit logboeken en systemen geanalyseerd kunnen worden. Daarnaast worden controle activiteiten geautomatiseerd, wat tot minder handwerk en daardoor een efficiëntere inzet van mens en middelen leidt.

Strategische doelstelling: Digitale Stad & Transparante, slagvaardige organisatie Speerpunt coalitieakkoord: Uitvoering, Versterking BSN bedrijfsvoering Kernwaarde: Scherp, open en betrouwbaar

Door het toepassen van process mining wordt met log data het verloop van processen in kaart gebracht en getoetst. Deze analyses delen wij met de organisatie via dashboards. Meerdere specifieke minings worden inmiddels periodiek uitgevoerd. Dit is een belangrijke stap richting continuous monitoring. Hiermee worden afwijkingen sneller geïdentificeerd, waardoor management snel en adequaat kan tegensturen op tekortkomingen in het proces.

Process minings en dashboards Wij zullen de volgende process minings uitvoeren en de bijbehorende dashboards voor de organisatieonderdelen ter beschikking stellen: •

Bestellen t/m factuurafhandeling (doorontwikkeling en overdracht aan Financiën)

•

Raadplegen Basisregistratie Persoonsgegevens (BRP) en verstrekken reisdocumenten voor Publiekszaken (doorontwikkeling)

•

Eerste inschrijving buitenlanders voor Publiekszaken (nieuw)

•

Versterken en automatiseren controles rondom BTW voor Financiën (nieuw)

20

Optionele opdrachten

Optionele opdrachten op jaarplan Concernaudit 2023/2024 Eén of meerdere van de optionele opdrachten voeren wij uit indien wij capaciteit beschikbaar hebben of in het geval dat door omstandigheden een van de reguliere opdrachten niet kan plaatsvinden.

IT Systemen en informatiebeveiliging

Informatiebeheer – opvolging aanbevelingen Doxis rapport Uitvoering Wet Open Overheid - proactieve en reactieve informatieverstrekking Eén extra frauderisico workshop

Fraude Fraude controle testing voor nog één kwetsbaar proces

Integrated audits

Nieuw meldsysteem – kwaliteit van sturingsinformatie en rapportages (Stadsbedrijven)

Toepassing text mining in audits Innovatie en Data

SAP 4HANA implementatie – process mining voor procesbeschrijving

22

Status onderhanden opdrachten uit jaarplan 2022-2023 Onderstaande twee audits uit het jaarplan 2022/23 zijn per eind maart nog onderhanden. In het tweede kwartaal van 2023 ronden we deze audits af.

Vooronderzoek

Opdrachtbeschrijving afgestemd

Veldwerk afgerond

Bevindingen afgestemd

Conceptrapport aangeboden

In afwachting van managementreactie

Digitale transitie Klantgericht samenwerken In Ketens (KIK)

Toegangsbeveiliging SAP HR

23

Management van de interne auditfunctie Onafhankelijkheid De Manager Concernaudit heeft vastgesteld dat de benodigde onafhankelijkheid van Concernaudit is gewaarborgd: • De Manager Concernaudit rapporteert aan een dusdanig hoog niveau in de organisatie, waardoor Concernaudit in staat is om haar verantwoordelijkheden te kunnen nakomen. • De Manager Concernaudit heeft een directe communicatielijn met de Gemeentesecretaris, de Wethouder en de Adviescommissie Control & Financiën.

Belangenverstrengeling Potentiële belangenverstrengeling wordt periodiek getoetst door de Manager Concernaudit. Belangenverstrengeling vindt plaats op het moment dat een auditor, die een vertrouwenspositie bekleedt in haar functie, een ander professioneel of persoonlijk belang heeft. Tegengestelde belangen kunnen het onpartijdig uitoefenen van de auditfunctie bemoeilijken. Door belangenverstrengeling kan een ongepast beeld ontstaan welke het vertrouwen in de interne auditor en haar audit activiteiten kan schaden.

Middelen en budget • Concernaudit heeft voldoende middelen (capaciteit en budget) om het jaarplan 2023/24 uit te voeren.

• Concernaudit heeft de juiste competenties om het jaarplan 2023/24 uit te voeren.

Permanente educatie Auditors met certificaten en beroepslidmaatschappen die bijbehorende onderhoudseisen in het kader van ‘Permanente Educatie’ stellen, zullen de benodigde trainingen en/of cursussen volgen om hieraan te voldoen.

Quality assurance en verbeterprogramma Concernaudit is bezig met het door ontwikkelen van een ‘Quality Assurance and Improvement Program’ (QAIP). In december 2022 hebben we een interne kwaliteitstoets op de auditfunctie doorgevoerd. Op basis van de uitkomsten hebben we een road-map opgesteld met stappen richting continue verbetering en verdere professionalisering. Een QAIP maakt het mogelijk te evalueren of de interne auditactiviteiten plaatsvinden conform de standaarden en ‘Code of Ethics’ van het Instituut van Internal Auditors (IIA). Het programma toetst ook de efficiëntie en effectiviteit van de interne audit activiteiten en brengt ruimte voor verbetering aan het licht.

24