Jaarplan Concernaudit 2024-25_definitief

Jaarplan Concernaudit 2024-25 April 2024 – Maart 2025

Manager Concernaudit 19 maart 2024

Inhoudsopgave Managementsamenvatting

Aanpak totstandkoming Jaarplan Speerpunten Concernaudit 2024-25 Audits

Rechtmatigheidsverantwoording Fraude Innovatie en Data

Optionele opdrachten Status onderhanden opdrachten 2023-24 Management van de Interne Audit functie

2

Managementsamenvatting (1/2) Context en introductie

Speerpunten in het jaarplan

Voor u ligt het jaarplan Concernaudit 2024-25. Het jaarplan wordt door de Directieraad en het College vastgesteld en ter informatie gedeeld met de Adviescommissie Control & Financiën. Middels het halfjaar- en jaarverslag rapporteren we over de voortgang van de realisatie van het jaarplan. Met onze onderzoeken en adviezen dragen we bij aan het realiseren van de ambities en doelstellingen uit het coalitieakkoord en het continu verbeteren van governance, risicomanagement en interne controle processen.

Het plan omvat onderwerpen uit verschillende domeinen:

Plan proces en risico inschatting Het jaarplan is tot stand gekomen op basis van een risico-gebaseerde, gestructureerde en systematische aanpak. Deze aanpak is op pagina 6 gevisualiseerd. De meest urgente risico’s die we in ons jaarplan 202425 adresseren zijn: Robuustheid OT/IT infrastructuur • Stadsbedrijven

Cyberweerbaarheid • Factor mens

•

•

Informatiebeheer Gegevensbescherming Robuustheid kritische processen Financiën, Juridische Zaken, IT

• • • •

fysiek sociaal dienstverlening en geeft uitgebreid aandacht aan de speerpunten van het programma "Versterking Bedrijfsvoering" ✓ standaardisering ✓ informatiebeveiliging ✓ capaciteitsmanagement ✓ sturen en verantwoorden.

De focus op bedrijfsvoering is enerzijds gebaseerd op recente incidenten betreffende de dienstverlening van Financiën en Juridische Zaken die tot negatieve media aandacht geleid hebben. Anderzijds is een robuuste bedrijfsvoering, die het uitvoeren van de primaire taken van de gemeente Utrecht op en efficiënte en effectieve manier ondersteunt, de basis voor een weerbare ambtelijke organisatie. Interne en externe factoren, zoals een relatief hoog ziekteverzuim, de krappe arbeidsmarkt, druk op de begroting van gemeentes en verdere digitalisering van de gemeentelijke dienstverlening versterken de druk op de huidige bedrijfsvoering. 3

Managementsamenvatting (2/2) Speerpunten in het jaarplan Aandachtsgebied: gebruik van loggegevens Tijdens het uitvoeren van de gemeentebrede frauderisicoanalyse in 2023 hebben we geconcludeerd dat loggegevens van bedrijfskritische applicaties niet periodiek geanalyseerd worden. Dit is een gemiste kans voor een op feiten gebaseerd capaciteitsmanagement en het tijdig opsporen van fraude. Daarom hebben we in overleg met de directieraad besloten loggegevens in 2024-25 te prioriteren. Dit doen we door het onderwerp in de scoping van alle audits, waar van toepassing, mee te nemen. Zichtbaarheid en betrokkenheid in de organisatie Naast het uitvoeren van het jaarplan zijn leden van Concernaudit ook vertegenwoordigd in expert panels, vakgroepen, spiegelsessies, stuurgroepen en agendagroepen. Hierin werken we samen met collega's uit verschillende domeinen aan procesverbeteringen en aan het oplossen van complexe organisatorische vraagstukken. Deze samenwerking draagt bij aan het verankeren van de bekendheid van Concernaudit en haar producten breed binnen de gemeente Utrecht.

Ons team Door het vullen van de vacature van een Senior Operational Auditor versterken we onze positie op gebied van de wettelijk verplichte beleidsonderzoeken en het toepassen van een multidisciplinaire audit aanpak. Met een formatie van 9,5 FTE hebben we een solide basis en de juiste competenties om verder aan een moderne en innovatieve auditfunctie te bouwen. Vakkennis die binnen Concernaudit ontbreekt, compenseren we door samenwerkingen met specialisten uit de organisatie, zoals Concern Control, Juridische Zaken en het Programma Management Bureau. In het kader van het continu verbeteren en verder professionaliseren van de interne auditfunctie, hebben we de volgende speerpunten op de agenda voor 2024-25: Strategie

Samenwerking en kennisdeling

Impact

Netwerk

Standaardisatie

Deze speerpunten zijn op pagina 6 verder uitgewerkt.

4

Aanpak totstandkoming Jaarplan Concernaudit 2024-25 Bijdragen aan realisatie strategische doelstellingen Waarde toevoegen

Prioriteren van onderwerpen Coalitieakkoord

Externe onderzoeken

Actualiteiten

Input van stakeholders

Wet- en regelgeving

Concernaudit Jaarplan

Interne audits

Auditplan Rekenkamer Benchmarking met G4

Risicoanalyse Kernwaarden Gemeente Utrecht

5

Speerpunten Concernaudit 2024-25 Strategie • We volgen consequent onze roadmap richting continue verbetering en verdere professionalisering van de Concernaudit functie. Hiervoor gebruiken we het ‘internal audit ambition model’ van het Instituut van Internal Auditors (IIA).

• We evalueren en actualiseren ons strategisch personeelsplan. Dit plan speelt in op veranderingen en behoeftes in de organisatie, ontwikkelingen van de Concernaudit functie en zorgt voor businesscontinuïteit. In 2024-25 versterken we onze competenties op gebied van interne audit raamwerken, standaarden, tools en technieken door het certificeren van twee collega’s.

Standaardisatie • We gebruiken standaard templates in het audit proces en verbeteren deze continu om efficiëntieslagen te maken. Hierdoor verkorten we de doorlooptijd van audits.

• We voeren regelmatig peer reviews door om kwaliteitsbewaking en kennisdeling te waarborgen. • We werken systematisch aan het verbeteren van onze schrijfvaardigheden. Dit doen we door het organiseren van workshops waar we met concrete voorbeelden uit afgeronde audits aan de slag gaan.

Netwerk • We continueren de constructieve samenwerking met de Utrechtse Rekenkamer. • We continueren en versterken de samenwerking en benchmarking met de G4 en andere interne auditafdelingen.

Kennisdeling en samenwerking • We benutten de kennis en expertise binnen de organisatie optimaal. Dit doen we door vakexperts uit verschillende disciplines als 'guest auditors' bij onze audits te betrekken. Het meest gevorderd is onze samenwerking met juristen. In 2024-25 verkennen we mogelijkheden voor samenwerking met het Projectmanagementbureau en Onderzoek & Advies.

Impact • We vullen de vacature van een Senior Operational Auditor in 2024 in. Hiermee versterken we onze competenties op gebied van wettelijk verplichte beleidsonderzoeken en integrated audits. • We passen consequent een integrated audit aanpak toe waar mogelijk. Dit betekent dat we een onderwerp multidisciplinair benaderen en verschillende audit methodes, zoals data analyse, interviews, survey en documentstudie hanteren. • We monitoren en analyseren van survey-resultaten om onze dienstverlening continu te verbeteren. • We spelen in op actualiteiten met de scoping van audits en innovatieprojecten om maximale waarde voor de organisatie te leveren. 6

Audits

Audits (1/6) – Wettelijke verplichtingen 1. 213a - Regeling Risicovolle Projecten (RRP) – Informatie op Orde

Wettelijk verplichte jaarlijkse audit

Scope: Het programma ‘Informatie op Orde’ heeft als doel het veilig, vindbaar en volledig opslaan en vernietigen van gemeentelijke informatie te bevorderen. In 2023 is het programma toegevoegd aan de Regeling Risicovolle Projecten, omdat uit verschillende interne en externe onderzoeken bleek dat het informatiebeheer van de gemeente niet op orde is. Het programma is opgesplitst in een aantal deelprojecten. Tijdens de audit beoordelen wij de uitvoering van het programmaplan (tijd, scope, budget) voor een aantal deelprojecten. Hierin nemen wij verantwoording richting senior management en de raad mee, inclusief tijdig gebruik van escalatielijnen binnen de ambtelijke organisatie. Tenslotte beoordelen wij, waar van toepassing, de opvolging van de bevindingen uit het Doxis rapport (2022).

Organisatieonderdeel: Organisatie IPM (Domstad IT) Strategische doelstelling: Betrouwbare Overheid Kernwaarde: Scherp, open en betrouwbaar

Risico: Gebrek aan adequate projectbeheersing verhoogt het risico op budgetoverschrijdingen (tijd, geld en capaciteit), omdat knelpunten niet tijdig worden geïdentificeerd. 2. 213a Wijken – ongelijk investeren in gelijke kansen

Wettelijk verplichte jaarlijkse audit

Scope: In het kader van ongelijk investeren in gelijke kansen heeft de raad extra middelen vrijgemaakt voor 6 buurten in Utrecht. We toetsen in een 213a onderzoek de doelmatigheid en doeltreffendheid van de aanpak hiervan binnen Wijken. Aandachtspunten zijn onder andere prioritering van initiatieven, budgetallocatie, voortgangsbewaking en realisatie van beoogde doelstellingen. Om overlap met het in 2024 geplande Rekenkamer onderzoek "Overvecht" te vorkomen, stemmen we de scope van deze audit nauw met de Rekenkamer af.

Organisatieonderdeel: Wijken

Strategische doelstelling: Levendige en gezonde stad, Ontwikkelen en wonen voor iedereen, Kansrijk opgroeien Kernwaarde: Open, wendbaar, betrouwbaar

Risico: Indien bovenstaande aandachtspunten niet in robuuste processen gewaarborgd zijn, worden mens en middelen niet optimaal ingezet om doelstellingen te bereiken.

8

Audits (2/6) – Wettelijke verplichtingen Wettelijk verplichte jaarlijkse audit

Organisatieonderdeel: Organisatie IPM (CIO-Office), VTH, W&I, MO, OOV

Scope: De Wet politiegegevens vraagt om een jaarlijkse interne audit op de naleving van deze wet door de gemeente Utrecht. Concernaudit heeft hiervoor een meerjarenplan opgesteld met verschillende thema’s per jaar. In 2024 ligt de focus enerzijds op het uitvoeren van een hercontrole van de interne auditbevindingen uit 2023. Anderzijds beoordelen wij – volgend uit ons meerjarenplan – processen rondom het opslaan en verwijderen van politiegegevens.

Strategische doelstelling: Veilige Stad, Betrouwbare Overheid

3. IT Wet Politiegegevens 2024 en hercontrole auditbevindingen 2023

Risico: Het niet naleven van wet- en regelgeving kan leiden tot privacyschending en financiële boetes opgelegd door de Autoriteit Persoonsgegevens.

Kernwaarde: Scherp, open, betrouwbaar

9

Audits (3/6) – Informatiebeveiliging 4. Stadsbedrijven OT/IT Scope: Investeringen in digitale weerbaarheid zijn binnen de gemeente Utrecht voornamelijk gericht op de ITomgeving (kantoorautomatisering). Gezien de aard van de dienstverlening van de gemeente, is digitale weerbaarheid ook een belangrijk aandachtspunt voor de Operationale Technologie (OT). OT is hardware en software voor het aansturen van objecten in de buitenruimte zoals bruggen en sluizen. Stadsbedrijven heeft in 2022 een ethische hacker ingehuurd om de digitale weerbaarheid van hun OT-systemen te testen in een nulmeting. Dit heeft geresulteerd in een rapport met een aantal bevindingen, aanbevelingen en een roadmap om deze te implementeren. Tijdens deze audit focussen wij op de implementatiestatus van de roadmap bij Stadsbedrijven.

Organisatieonderdeel: Stadsbedrijven

Strategische doelstelling: Veilige Stad, Betrouwbare Overheid

Kernwaarde: Scherp, open, betrouwbaar

Risico: Onvoldoende weerbare OT vergroot de kans op beveiligingsincidenten en storingen in de openbare ruimte.

5. Cyberweerbaarheid Scope: Voor een sterke informatiebeveiliging is de drie-eenheid ‘mens, techniek en proces’ van groot belang. Omdat het overgrote deel van cyberincidenten wordt veroorzaakt door mensen, stellen wij de factor ‘mens’ centraal in deze audit. De gemeente Utrecht investeert gericht in initiatieven ten behoeve van bewustwording over cyberweerbaarheid bij haar medewerkers. Een voorbeeld hiervan is een applicatie met e-learnings over dit onderwerp. Wij toetsen in hoeverre deze e-learnings en andere maatregelen passend zijn om bewustwording te verhogen en daadwerkelijk worden nageleefd door de medewerkers. De Utrechtse Rekenkamer kondigt in haar jaarplan 2024 het vervolgonderzoek ‘Informatieveiligheid’ aan. Wij hebben de scope van onze audit met de Rekenkamer afgestemd, om auditcapaciteiten optimaal te benutten.

Organisatieonderdeel: Organisatie IPM (CIO-Office), OO’s nog te bepalen.

Strategische doelstelling: Veilige Stad, Betrouwbare Overheid

Kernwaarde: Scherp, wendbaar, betrouwbaar

Risico: Gebrek aan adequaat bewustzijn over cyberrisico’s vergoot de kans op beveiligingsincidenten bij de gemeente Utrecht.

10

Audits (4/6) – IT vervolgaudits 6. Patchmanagement II – vervolgaudit patchmanagement uit jaarplan 2023/24

Organisatieonderdeel: Organisatie IPM (IPM-teams bij OOs nog te bepalen)

Scope: Patchmanagement stelt de gemeente in staat om haar IT infrastructuur optimaal te beschermen tegen interne of externe beveiligingsdreigingen. Begin 2024 hebben wij een audit uitgevoerd naar de kwaliteit en naleving van het patchmanagement proces binnen DomstadIT. Met deze audit breiden wij de scope hiervan uit door dit proces voor een aantal aanvullende organisatieonderdelen te toetsen.

Strategische doelstelling: Veilige Stad, Betrouwbare Overheid

Risico: Ineffectief patchmanagement verhoogt de kans op uitbuiting van zwaktes op de Utrechtse IT omgeving door kwaadwillenden.

Kernwaarde: Scherp, wendbaar, betrouwbaar

7. Cloudcontracten II – vervolgaudit Cloudcontracten uit jaarplan 2023/24

Organisatieonderdeel: Organisatie IPM (IPM-teams bij OOs nog te bepalen)

Scope: Door de in 2019 ingezette Cloudtransitie van de gemeente, worden IT diensten steeds vaker uitbesteed aan cloudleveranciers. Dit resulteert in een sterke afhankelijkheid van deze leveranciers en vraagt daarom om een sterke regierol vanuit de gemeente Utrecht. In Q1 2024 hebben wij de kwaliteit en naleving van een aantal cloudcontracten binnen DomstadIT beoordeeld. Met deze audit breiden wij de scope hiervan uit door dit proces voor een aantal aanvullende organisatieonderdelen te toetsen. Risico: Inadequaat contractmanagement verhoogt de kans op storingen in de bedrijfsvoering en bedreigt daardoor de bedrijfscontinuïteit.

Strategische doelstelling: Veilige Stad, Betrouwbare Overheid

Kernwaarde: Scherp, betrouwbaar

11

Audits (5/6) 8. Omgevingswet Scope: De Omgevingswet is per 1 januari 2024 landelijk ingegaan. Het doel van deze wet is om de hoeveelheid wetten voor de leefomgeving te vereenvoudigen en te bundelen. Begin 2023 heeft Concernaudit een audit uitgevoerd naar het programma dat was opgezet om de gemeente Utrecht hierop voor te bereiden. Deze wet vraagt om een compleet andere en snellere manier van werken. Zo heeft de gemeente nog maar 8 weken de tijd om vergunningsaanvragen te verwerken. Ook worden aanvragen niet meer apart behandeld bij VTH, Ruimte en Stadsbedrijven, maar via een multidisciplinaire ketenaanpak. Het programma heeft hiervoor werkprocessen opnieuw ingericht. Wij toetsen in deze audit of de uitgevoerde werkzaamheden conform de nieuwe werkprocessen en binnen de wettelijke termijn plaatsvinden.

Organisatieonderdeel: VTH, Ruimte

Strategische doelstelling: Aantrekkelijke, groene leefomgeving en erfgoed, Betrouwbare overheid Kernwaarde: Open, wendbaar, scherp, betrouwbaar

Risico: Het niet (tijdig) naleven van de werkprocessen verhoogt de kans op het overtreden van de Omgevingswet, met als gevolg financiële boetes en reputatieschade door burgerlijk bezwaar. 9. Verbonden partijen

Organisatieonderdeel: OO nog te bepalen

Scope: Het Utrechtse Werkbedrijf (UW), een 100% deelneming van de gemeente Utrecht, kwam recent prominent in de media. De gemeente moest vlak voor de kerst onverwachts een aanzienlijk bedrag bijstorten, zodat UW de salarissen en eindejaarsuitkering kon uitbetalen. Naar aanleiding van dit incident selecteren we één verbonden partij uit het portfolio van de gemeente Utrecht om het toezicht op deelnemingen (governance in de ambtelijke organisatie) en verantwoording hierover aan de raad te toetsen.

Strategische doelstelling: Werk, toekomstbestendige economie en bestaanszekerheid, Betrouwbare overheid

Risico: Door gebrek aan adequaat toezicht op deelnemingen worden budgetoverschrijdingen en aanvullende financieringsbehoeftes te laat gesignaleerd. Hierdoor worden verbeteracties te laat opgestart en het college en de raad onjuist of te laat geïnformeerd. De negatieve media-aandacht van incidenten zoals het UW beschadigt bovendien het vertrouwen van Utrechters in de gemeente.

Kernwaarde: Open, scherp, betrouwbaar

12

Audits (6/6) 10. Proces gemeentefonds en salariskosten Scope: In 2023 heeft afdeling Financiën materiële fouten in de begroting van de periode 2024 – 2027 geconstateerd. Deze hebben betrekking op zowel de grootse inkomsten- alsook de grootse kostenpost van de gemeente Utrecht; het gemeentefonds en de salariskosten. Verbeterplannen zijn uitgewerkt, aan de directieraad gepresenteerd en naar aanleiding van negatieve publiciteit in februari 2024 nogmaals aangescherpt. We toetsen in deze audit de effectiviteit van de verbeterplannen om een robuuste inrichting van de afdeling Financiën (mensen, processen, inzet van technologie) met effectieve interne beheersmaatregelen te waarborgen. Bovendien beoordelen wij de status van de naleving van de verbeterplannen.

Organisatieonderdeel: Financiën

Strategische doelstelling: Betrouwbare Overheid

Kernwaarde: Betrouwbaar, scherp

Risico: Het verstrekken van juiste en volledige financiële informatie vormt de basis voor adequate besluitvorming. Gebrek hieraan verhoogt te kans op te late bijsturing, verkeerde prioritering van capaciteiten en middelen. Bijkomende negatieve media-aandacht tast daarnaast het vertrouwen van Utrechters in de gemeente aan. 11. Follow-up audit – Onderwijshuisvestiging Scope: Concernaudit heeft in Q2 2022 een audit naar de samenwerking tussen de gemeente Utrecht en schoolbesturen in onderwijshuisvestigingsprojecten uitgevoerd. Hierbij zijn een aantal verbeterpunten rondom procesefficiëntie, interne beheersmaatregelen, dossiervorming en personeelsplanning geïdentificeerd. Omdat de opvolging van de bevindingen traag verloopt, hebben we in afstemming met VGU voor een follow-up audit gekozen. Hierin staat de implementatie van verbeteracties uit 2022 centraal. Eventueel breiden we de scope met een beperkt aantal nieuwe onderwerpen uit.

Organisatieonderdeel: VGU

Strategische doelstelling: Kansrijk opgroeien, Betrouwbare Overheid

Kernwaarde: Open, scherp, betrouwbaar

Risico: Gebrek aan adequaat projectmanagement en samenwerking verhoogt de kans op projectvertragingen en budgetoverschrijdingen.

13

Rechtmatigheidsverantwoording

Rechtmatigheidsverantwoording (1/2) Vanaf begin 2023 moet iedere gemeente zelf de rechtmatigheidsverantwoording opstellen en deze onderbouwen. Dit is opgenomen in de wet ‘Versterking decentrale rekenkamers’. Tot 2023 was deze taak belegd bij de externe accountant.

Rechtmatigheidsverantwoording (RMV) gemeentebreed De gemeente onderbouwt de rechtmatigheidsverantwoording met behulp van Verbijzonderde Interne Controles (VIC). Hiermee wordt getoetst hoe goed interne controlemethodes (procedures, regels en processen) werken om de kans op fraude en fouten zo klein mogelijk te houden. Voor alle processen in scope ligt de verantwoordelijkheid voor het uitvoeren van de VIC bij het betreffende organisatieonderdeel. De rechtmatigheidsverantwoording bestaat uit drie fases: • de planningsfase (VIC plan), • de interim fase (VIC procesbeschrijving en lijncontrole), en • de finale fase (VIC gegevensgerichte werkzaamheden). Concernaudit werkt hand in hand met de organisatie om de rechtmatigheidsverantwoording continu te verbeteren. Dit doen we onder andere door het houden van spreekuren voor het delen van vakkennis en voor kwaliteitsborging. Wettelijk verplichte jaarlijkse audit

Organisatieonderdeel: Gemeentebreed Strategische doelstelling: Betrouwbare Overheid Kernwaarde: Scherp, open en betrouwbaar

Daarnaast ontwikkelen we templates om middels standaardisatie de procesefficiëntie te verbeteren. Bij het ontwikkelen van deze producten staan we in nauw contact met de externe accountant.

Na iedere fase stellen we een rapport op en delen bevindingen en benodigde verbeteracties met de relevante organisatieonderdelen en met de Stuurgroep Rechtmatigheidsverantwoording. Onze werkzaamheden dragen bij aan het versterken van primaire processen en faciliteren een efficiënte jaarrekeningcontrole door de externe accountant. Risico: Indien financiële onrechtmatigheden niet proactief door de gemeente worden geïdentificeerd, maar pas door de externe accountant tijdens de jaarrekening controle worden vastgesteld, leidt dit tot een afkeurende of beperkte accountantsverklaring (indien de door de raad vastgestelde drempelwaarden overschreden worden). Het ontbreken van een goedkeurende accountantsverklaring resulteert bovendien in reputatieschade voor de gemeente.

15

Rechtmatigheidsverantwoording (2/2) Concernaudit voert zelf controlewerkzaamheden uit op twee processen die grote impact op de bedrijfsvoering hebben; ‘Inkopen & Aanbesteden’ en ‘Subsidieverstrekkingen’.

Organisatieonderdeel: Gemeentebreed Strategische doelstelling: Betrouwbare Overheid Kernwaarde: Scherp, open en betrouwbaar

De externe accountant maakt tijdens de jaarrekeningcontrole gebruik van de werkzaamheden van Concernaudit. Verbijzonderde Interne Controle (VIC): Inkopen & aanbesteden Financiële omvang 2023: EUR 851 miljoen

Wettelijk verplichte jaarlijkse audit

Verbijzonderde Interne Controle (VIC): Subsidieverstrekkingen Financiële omvang 2023: EUR 278 miljoen

Wettelijk verplichte jaarlijkse audit

De VIC Inkopen en aanbesteden is gericht op de identificatie van financiële onrechtmatigheden in het proces ‘inkoop en aanbesteden’.

De VIC Subsidieverstrekkingen is gericht op de identificatie van financiële onrechtmatigheden in het proces ‘uitgaande subsidieverstrekkingen’.

Concernaudit voert deze controle op kwartaalbasis uit en deelt de bevindingen met de Stuurgroep Rechtmatigheidsverantwoording en de betreffende organisatieonderdelen. Hierdoor worden onrechtmatigheden tijdig zichtbaar en kunnen de organisatieonderdelen met verbeteracties aan de slag.

Concernaudit voert deze controle twee keer per jaar uit en deelt de bevindingen met de Stuurgroep Rechtmatigheidsverantwoording en de betreffende organisatieonderdelen. Hierdoor worden onrechtmatigheden tijdig zichtbaar en kunnen de organisatieonderdelen met verbeteracties aan de slag.

Risico*: Het niet naleven van de Europese aanbestedingswet- en regelgeving kan resulteren in rechtszaken aangespannen door partijen die geen mogelijkheid hebben gehad aan het tenderproces deel te nemen.

In 2024 breidt Concernaudit de scope van de controle uit met een toets op de klantgerichtheid van het subsidiebureau. Dit betreft met name het proactief communiceren over subsidieverstrekkingen die vertraging oplopen. Risico*: Het niet voldoen aan de Algemene Subsidie Verordening, leidt tot financiële onrechtmatigheden en potentieel misbruik en oneigenlijk gebruik van subsidieregelingen door burgers.

*Voor risico’s met betrekking tot de jaarrekeningcontrole, zie p.15

16

Fraude

Fraude (1/2) Fraude heeft de afgelopen jaren door aanscherping van de beroepsnormen een steeds prominentere plek op de agenda van de externe accountant voor de jaarrekeningcontrole gekregen. Gemeentes worden verwacht te voldoen aan een fraudepakket bestaande uit drie onderdelen; • Het uitvoeren van een periodieke frauderisicoanalyse; • Het verzorgen van workshops om bewustwording rondom fraude in kwetsbare processen te verhogen; • Het toetsen van beheersmaatregelen in fraudegevoelige processen. Sinds 2023 is het uitvoeren van het fraudepakket voor de jaarrekeningcontrole bij Concernaudit belegd.

Frauderisicoanalyse - follow-up bevindingen frauderisicoanalyse Concernaudit heeft in 2023 in samenwerking met de organisatie een gemeentebrede frauderisicoanalyse uitgevoerd met als doel het fraudebeleid in beeld te brengen en de grootste frauderiscio’s van de gemeente Utrecht te identificeren. Hierbij kwamen twee bevindingen omtrent governance naar voren. Deze hadden betrekking op het beleidsdocument “Onderzoeksprotocol integriteitsschendingen en misstanden” en de effectiviteit van het centrale frauderegistratiepunt van de gemeente. Een ander aandachtspunt is dat loggegevens van kritische bedrijfsapplicaties niet systematisch gebruikt worden om fraude tijdig te constateren. In 2024 toetst Concernaudit de opvolging van bovenstaande bevindingen.

Organisatieonderdeel: Gemeentebreed Strategische doelstelling: Betrouwbare Overheid Kernwaarde: Scherp, wendbaar en betrouwbaar

Samenwerking met de Coördinator Integriteit Op verzoek ondersteunen we de Coördinator Integriteit in de verkenningsfase van potentiële integriteitsschendingen.

18

Fraude (2/2) Fraudeworkshop

Het toetsen van beheersmaatregelen in fraudegevoelige processen

Scope: In de frauderisicoanalyse 2023 zijn ‘beschikken over vastgoed’ en ‘inkoop en aanbesteding’ als kwetsbare processen geïdentificeerd. Binnen VGU komen beide processen samen, omdat onderhoudswerkzaamheden voor gemeentelijk vastgoed vaak worden uitbesteed. Concernaudit organiseert in 2024 daarom een workshop om het fraudebewustzijn van vastgoedmedewerkers te verhogen en potentiële red flags te identificeren.

Scope: Concernaudit beoordeelt jaarlijks de effectiviteit van de interne beheersmaatregelen voor één kwetsbaar proces uit de frauderisicoanalyse. Wij hebben in 2023 en Q1 2024 gefocust op Publiekszaken (PBZ), omdat hun dienstverlening gevoeligheden kent voor identiteitsfraude.

Risico: Door het niet tijdig herkennen van red flags in kwetsbare processen, worden fraude-incidenten niet of te laat geïdentificeerd. Verplichte jaarlijkse activiteit

In 2024-25 prioriteren wij wederom het onderwerp identiteitsfraude en richten ons op de Registratie van Niet-Ingezetenen (RNI). Risico: Ineffectieve beheersmaatregelen verhogen de kans op frauduleuze activiteiten. Verplichte jaarlijkse controle

PBZ - fraudegevoelige processen in scope Organisatieonderdeel: Gemeentebreed Strategische doelstelling: Betrouwbare Overheid

Uitgifte van reisdocumenten

Eerste inschrijving van buitenlanders

Reeds beoordeeld

Reeds beoordeeld

Kernwaarde: Scherp, wendbaar en betrouwbaar

Registratie van NietIngezetenen (RNI)

19

Innovatie en Data

Innovatie en inzet van data-analyse Binnen Concernaudit verkennen we mogelijkheden om data-analyse en nieuwe technologieën toe te passen. Dit doen we om de dienstverlening van Concernaudit continu te verbeteren, maar ook om de organisatie met procesverbeteringen te ondersteunen.

Data-analyse als audit techniek

Automatisering werkzaamheden

Ondersteuning en advies

Participatie en kennisdeling

Wij passen, waar mogelijk, dataanalyse toe in onze auditaanpak.

Concernaudit is continu op zoek naar automatiseringsmogelijkheden voor handmatige auditwerkzaamheden. Hierdoor maken we capaciteit vrij voor dienstverlening met een hoge toegevoegde waarde voor de organisatie.

Concernaudit ondersteunt organisatieonderdelen in het verkrijgen van inzicht in en naleving van hun processen.

De stormachtige ontwikkelingen op het gebied van Artifical Intelligence (AI) bieden kansen voor de gemeente, maar stellen de organisatie ook voor uitdagingen op het gebied van ethiek en gegevensbescherming.

Hiermee vinden analyses en controles geautomatiseerd plaats op grote datasets. Afwijkingen in processen worden eerder zichtbaar, waardoor wij onze werkzaamheden gerichter en efficiënter kunnen uitvoeren. Bovendien verhoogt de inzet van data-analyse de betrouwbaarheid van onze conclusies.

Een bijzonder arbeidsintensieve activiteit binnen Concernaudit is het kwartaallijks uitvoeren van de VIC 'Inkopen en Aanbesteden'. Wij hebben de ambitie om in 2024 een deel van de werkzaamheden te automatiseren. Dit betreft het verzamelen van inkoop-contracten en het verkrijgen van informatie uit inhuurcontracten.

Een analysetechniek die we hiervoor toepassen is process mining. De resultaten hiervan worden in dashboards gevisualiseerd. Patronen, trends en knelpunten komen zo eenvoudiger en eerder in beeld. Hierdoor kan management tijdig verbeteracties in gang zetten en bijsturen. Op pagina’s 23-25 zijn de concrete samenwerkingsinitiatieven voor 2024-25 verder uitgewerkt.

Om het onderwerp meer uit te lichten in de gemeente, vindt een maandelijkse AI-tafel plaats. Medewerkers kunnen hier hun vragen rondom AI stellen. Omdat wij de ervaring en expertise van onze data-analisten graag delen, neemt de Senior Data Analist van Concernaudit als specialist hieraan deel.

Hiermee automatiseren we ongeveer 150 manuren.

21

Samenwerkingsinitiatieven: JZ en M&O Juridische Zaken

Mens & Organisatie

JZ: Dashboard Management Rapportages ‘Bezwaar en Beroep’

JZ: Dashboard Management Rapportages ‘Schade en Verzekeren’

M&O: Voorspellende Model Vrijwillige Uitstroom

Naar aanleiding van het dossier Binnenstad en het daaropvolgende Berenschot rapport uit maart 2023 heeft Concernaudit op verzoek van JZ een dashboard ingericht. Hiermee wordt de naleving van het proces ‘Bezwaar en Beroep’ inzichtelijk gemaakt en kunnen potentiële knelpunten tijdig worden geïdentificeerd.

Op verzoek van JZ ontwikkelen we dit jaar een dashboard voor het proces ‘Schade en Verzekeren’. Hiermee wordt de naleving van het proces inzichtelijk gemaakt en kunnen potentiële knelpunten tijdig worden geïdentificeerd.

In samenwerking met M&O ontwikkelen we een voorspellend model om potentiële vrijwillige uitstroom van medewerkers inzichtelijk te maken. In 2023 is het voorwerk voor dit project uitgevoerd, waarbij we onder andere een DPIA hebben opgesteld en een Uthiek Assessment hebben uitgevoerd. In 2024-25 ontwikkelen we het voorspellende model en maken we de uitkomsten daarvan inzichtelijk in een dashboard.

Het verzamelen van de informatie voor de maandrapportages en het berekenen van prestatie indicatoren was voorheen handmatig, tijdrovend en foutgevoelig. Deze werkzaamheden zijn nu in het dashboard zo veel mogelijk geautomatiseerd. Het nieuwe dashboard is sinds december 2023 in gebruik bij JZ. Wij hebben in 2024-25 capaciteit gereserveerd om, gebaseerd op feedback vanuit JZ, het dashboard verder te verbeteren.

Het generen van informatie voor managementrapportages voor ‘Schade en Verzekeren’ vindt momenteel handmatig plaats en is afhankelijk van één functionaris. Dit is inefficiënt en een ongewenste situatie in het kader van businesscontinuïteit. Met het dashboard automatiseren we deze werkzaamheden zo veel mogelijk.

Het dashboard draagt bij aan een op feiten gebaseerd capaciteitsmanagement binnen de gemeente en faciliteert een doelgerichte en efficiënte inzet van managers en HR business partners.

Een bijkomstig voordeel is dat informatie uit de dashboards gebruikt kan worden voor toekomstige onderhandelingen met verzekeraars omtrent keuzes over premies en eigen risico’s.

22

Samenwerkingsinitiatieven: Financiën Financiën Dashboard Purchase 2 Pay (P2P)

Dashboard BTW bij doorbelasting van kosten

Dashboard Memorialen

In het boekjaar 2023 heeft de gemeente Utrecht ongeveer 140 duizend crediteurenfacturen geboekt, voor een totaalbedrag van 1,1 miljard euro.

Sinds 2023 heeft de gemeente Utrecht een Horizontaal Toezicht-convenant met de Belastingdienst. Hiervoor is de gemeente verplicht om periodiek de kwaliteit van haar fiscale processen en bijbehorende beheersmaatregelen te toetsen.

Memorialen zijn handmatige boekingen die impact hebben op het resultaat in de jaarrekening van de gemeente Utrecht. In 2023 bedroeg het aantal memoriaalboekingen ongeveer 8.500.

Op verzoek van Financiën stelt Concernaudit sinds 2017 periodiek dashboards beschikbaar waarin de naleving van een aantal beheersmaatregelen in het P2P proces inzichtelijk wordt gemaakt. De focus ligt hierbij op de autorisaties van betrokken personen, functiescheiding en handmatig ingrijpen in geautomatiseerde processtappen. In 2024-25 breiden we het dashboard verder uit door beheersmaatregelen hieraan toe te voegen. Financiën kan hierdoor tekortkomingen in het proces tijdig identificeren en bijsturen.

Om te voldoen aan de eis van de Belastingdienst zijn we in 2023 – in samenwerking met het fiscale team van FIJ – een pilot in het BTW domein gestart. We hebben een dashboard ontwikkeld voor controles rondom het doorbelasten van kosten aan derden. Hiermee maken we de overstap van steekproefsgewijze controles naar geautomatiseerde controles, waarbij de hele populatie aan relevante BTW transacties wordt meegenomen. BTW vak expertise wordt op deze manier gerichter en efficiënter ingezet. In 2024-25 verbeteren wij het dashboard en voegen we aanvullende BTW controles toe.

Voor de externe accountant zijn de memoriaalboekingen een belangrijk aandachtspunt in de jaarrekeningcontrole. Momenteel ontbreekt binnen Financiën een geautomatiseerd totaaloverzicht van memorialen en een overzicht van de naleving van beheersmaatregelen in dit proces. Op verzoek van Financiën ontwikkelen wij in 2024-25 een dashboard om memoriaalboekingen op een efficiënte en overzichtelijke manier aan de externe accountant te tonen. Dit dashboard maakt patronen inzichtelijk en faciliteert een oorzaakanalyse van handmatige boekingen. Daarnaast worden controles op de naleving van beheersmaatregelen, zoals het vier-ogen-principe en functiescheiding, geautomatiseerd.

23

Samenwerkingsinitiatieven: Publiekszaken Publiekszaken PBZ: Dashboard Raadplegingen BRP en advisering

PBZ: Dashboards Eerste inschrijving BRP en Registratie Niet Ingezetene

De Basisregistratie Personen (BRP) bevat privacygevoelige persoonsgegevens van inwoners van Nederland en van personen die Nederland hebben verlaten. Jaarlijks vinden er binnen de gemeente enkele miljoenen raadplegingen in de BRP plaats. Het eigenaarschap voor toegang tot de BRP ligt bij PBZ, maar het systeem wordt ook geraadpleegd door andere organisatieonderdelen en woningcorporaties.

Buitenlanders die langdurig in Nederland verblijven, worden als ingezetene in de BRP ingeschreven (de “Eerste inschrijving”). Na inschrijving ontvangt de burger een BSN, waarmee toegang verkregen kan worden tot belangrijke voorzieningen in Nederland (bijv. een zorgverzekering of bankrekening).

Het risico bestaat dat medewerkers onbevoegd persoonsgegevens raadplegen voor persoonlijk/financieel gewin of identiteitsfraude. Sinds 2020 maakt Concernaudit een dashboard voor PBZ om raadplegingen in de BRP inzichtelijk te maken, en verbetert het dashboard jaarlijks. In 2024-25 zal de data-analist, tevens socioloog, van Concernaudit PBZ adviseren bij het nog beter definiëren en herkennen van opvallende patronen. Hierdoor kunnen ongewenste raadplegingen en mogelijke fraude eerder gesignaleerd worden.

Het risico bestaat dat medewerkers betrokken raken bij identiteitsfraude door valse inschrijvingen te faciliteren. In 2023 hebben we voor het eerst een dashboard voor de “Eerste inschrijving” gemaakt om de naleving van het standaard proces, ongewenste afwijkingen en opvallende patronen inzichtelijk te maken.

PBZ: Dashboard Reisdocumenten Jaarlijks verstrekt PBZ ruim 20.000 reisdocumenten. Het risico bestaat dat medewerkers betrokken raken bij identiteitsfraude door het uitgeven van valse reisdocumenten. Concernaudit maakt sinds 2018 een dashboard ‘Reisdocumenten’ om de naleving van het standaard proces en ongewenste afwijkingen en opvallende patronen inzichtelijk te maken en verbetert het dashboard jaarlijks. Hierdoor kunnen knelpunten in 'workload management' en frauduleuze handelingen op tijg gesignaleerd worden.

In 2024-25 maken we ook een dashboard voor de “Registratie Niet Ingezetene” (RNI), de inschrijving voor buitenlanders die kortdurend in Nederland verblijven. Met behulp van de dashboards kunnen knelpunten in 'workload management' en frauduleuze handelingen op tijd worden gesignaleerd. 24

Optionele opdrachten

Optionele opdrachten op jaarplan Concernaudit 2024-25 Eén of meerdere van de optionele opdrachten voeren wij uit indien wij capaciteit beschikbaar hebben of in het geval dat door omstandigheden een van de reguliere opdrachten niet kan plaatsvinden.

IT Systemen en informatiebeveiliging

Datamanagement

Één extra frauderisico workshop Fraude Één extra audit - toetsen van beheersmaatregelen in een kwetsbaar proces uit de frauderisicoanalyse Meldsysteem Signale – kwaliteit van sturingsinformatie en rapportages (Stadsbedrijven) Audits Meerjarenplan Ruimte Innovatie en Data

Mapping inhuur binnen de gemeente Utrecht - risico op fictieve dienstverbanden

26

Status onderhanden opdrachten uit jaarplan 2023-24 Onderstaande twee audits uit het jaarplan 2023/24 zijn per eind maart nog onderhanden. In het tweede kwartaal van 2024 ronden we deze audits af.

Vooronderzoek

Opdrachtbeschrijving afgestemd

Veldwerk afgerond

Bevindingen afgestemd

Conceptrapport aangeboden

In afwachting van managementreactie

Standaard implementatie projectbeheersing

IT Service desk

27

Management van de interne auditfunctie Onafhankelijkheid

Belangenverstrengeling

De Manager Concernaudit heeft vastgesteld dat de benodigde onafhankelijkheid van Concernaudit is gewaarborgd;

Potentiële belangenverstrengeling wordt periodiek getoetst door de Manager Concernaudit.

• De Manager Concernaudit rapporteert aan een dusdanig hoog niveau in de organisatie, waardoor Concernaudit in staat is om haar verantwoordelijkheden te kunnen nakomen.

• De Manager Concernaudit heeft een directe communicatielijn met de Gemeentesecretaris, de Wethouder en de Adviescommissie Control & Financiën.

Belangenverstrengeling vindt plaats op het moment dat een auditor, die een vertrouwenspositie bekleedt in haar functie, een ander professioneel of persoonlijk belang heeft. Tegengestelde belangen kunnen het onpartijdig uitoefenen van de auditfunctie bemoeilijken. Door belangenverstrengeling kan een ongepast beeld ontstaan welke het vertrouwen in de interne auditor en haar audit activiteiten kan schaden.

Middelen en budget

Kwaliteitsbewaking en verbeterprogramma

Concernaudit heeft voldoende middelen (capaciteit en budget) om het jaarplan 2024-25 uit te voeren.

In december 2022 hebben we een interne kwaliteitstoets op de Concernaudit functie doorgevoerd om te evalueren of we voldoen aan de standaarden en de gedragscode van onze beroepsorganisatie, het Instituut van Internal Auditors (IIA). Hierbij zijn een aantal verbeterpunten inzake de efficiëntie en effectiviteit van de Concernaudit functie geïdentificeerd.

Concernaudit heeft de juiste competenties om het jaarplan 2024-25 uit te voeren.

Permanente educatie Auditors met certificaten en beroepslidmaatschappen die bijbehorende onderhoudseisen in het kader van ‘Permanente Educatie’ stellen, zullen de benodigde trainingen en/of cursussen volgen om hieraan te voldoen.

We hebben de nodige verbeteracties geprioriteerd en eigenaarschap bij verschillende teamleden belegd. Ook werken we voor dit onderwerp nauw samen met de interne audit afdelingen van gemeente Amsterdam en gemeente Den Haag voor benchmarking en kennisdeling.

28