Jaarplan Concernaudit 2025-26_definitief

Jaarplan Concernaudit 2025-26 April 2025 – Maart 2026

Manager Concernaudit 12 februari 2025

Inhoudsopgave Managementsamenvatting Aanpak totstandkoming Jaarplan Audits

Audits Rechtmatigheidsverantwoording Fraude & Integriteit Adviesopdrachten Optionele opdrachten Status onderhanden opdrachten 2024-25 Management van de Interne Audit functie

2

Managementsamenvatting (1/2) Context en introductie

Thema’s in het jaarplan

Voor u ligt het jaarplan Concernaudit 2025-26. Met onze audit- en adviesopdrachten dragen we bij aan de verbetering van de gemeentelijke dienstverlening, bedrijfsvoering en organisatiecultuur met de kenmerken ‘inclusiviteit’ en ‘DRA’ (duidelijk, resultaatgericht, aanspreekbaar). Het jaarplan wordt door de Concerndirectie en het College vastgesteld en ter informatie gedeeld met de Adviescommissie Control & Financiën. Middels het halfjaar- en jaarverslag rapporteren we over de voortgang van de realisatie van het jaarplan.

Het jaarplan bevat onderwerpen uit verschillende domeinen en twee organisatieonderdelen die voor het eerst op het plan staan; Volksgezondheid en Marketing.

Plan proces en risico inschatting Het jaarplan is tot stand gekomen op basis van een risico-gebaseerde, gestructureerde en systematische aanpak. Deze aanpak is op pagina 6 gevisualiseerd. De meest urgente risico’s die we in ons jaarplan 202526 adresseren, zijn: Informatiebeveiliging Workforce management • Cloudcontracten • Inhuur / Wet DBA • Cyberweerbaarheid • Personeelsplanning • DPIA*

Risicomanagement

*Data Protection Impact Assessment

•

Robuustheid kritische processen Volksgezondheid, Ruimte, Werk en Inkomen

Bij Volksgezondheid beoordelen we in een tussenevaluatie de voortgang van een beoogde organisatieverandering. We ondersteunen de collega's van Marketing bij het inrichten van een robuuste regierol voor uitbestede marketing- en communicatiediensten. Interne en externe factoren, zoals een hoog ziekteverzuim, inhuur van derden, de krappe arbeidsmarkt, de noodzaak om te bezuinigen en verdere digitalisering blijven drukken op de bedrijfsvoering. Daarom hebben we wederom veel aandacht voor thema's die bijdragen aan het versterken van de bedrijfsvoering. Denk hierbij aan het naleven van wettelijke verplichtingen omtrent de Wet politiegegevens, de Algemene Verordening Gegevensbescherming en het anticiperen op aankomende regelgeving zoals de Cyberbeveiligingswet. Verder voeren we een aantal adviesprojecten uit waarin we data analyse technieken en AI oplossingen inzetten om de productiviteit en grip op processen – en hiermee de bedrijfsvoering – verbeteren. Een voorbeeld hiervan is een voorspellend model voor personeelsplanning om toekomstscenario's voor de groei of krimp van de gemeente in beeld te brengen.

Managementsamenvatting (2/2) Thema’s in het jaarplan

Speerpunten in het jaarplan - vervolg

Andere data-gedreven adviesprojecten zijn gericht op het versterken van beleid of het verbeteren van de dienstverlening aan de bewoners. Een beoogd effect is om door consequente inzet van data analyse en AI de gemeente Utrecht aantrekkelijk te maken voor een nieuwe generatie werknemers (GenZ).

Concernaudit laat in 2025 voor het eerst een externe kwaliteitstoetsing uitvoeren door de Nederlandse beroepsorganisatie van interne auditors.

Zoals in eerdere jaren vormen de bevindingen in de managementletter van Deloitte belangrijke input voor ons jaarplan. We hebben dit jaar de onderwerpen erfpachtinkomsten bij Ruimte en handmatige boekingen (memorialen) bij Financiën geprioriteerd. Vaste onderwerpen op het plan zijn de rechtmatigheidsverantwoording en activiteiten rondom fraude en integriteit. Voor ons 213a onderzoek hebben wij het verstrekken van subsidies gekozen. Dit onderwerp benaderen we tevens in een adviesopdracht voor procesautomatisering.

Speerpunten in het jaarplan Externe kwaliteitstoetsing Concernaudit Interne auditfuncties wereldwijd maken gebruik van dezelfde standaarden bij het uitvoeren van hun werkzaamheden. Onderdeel hiervan is een verplichte vijfjaarlijkse externe kwaliteitstoetsing om de naleving van de standaarden en de effectiviteit en efficiëntie van de interne auditfunctie te beoordelen.

Zichtbaarheid en betrokkenheid in de organisatie Naast het uitvoeren van het jaarplan, zijn leden van Concernaudit ook vertegenwoordigd in vakgroepen, spiegelsessies, stuurgroepen, klankboardgroepen en in selectiecommissies voor senior functies. Deze samenwerking draagt bij aan het verankeren van de bekendheid van Concernaudit en haar producten binnen de gemeente Utrecht. Inzet van AI De stormachtige ontwikkelingen op het gebied van AI bieden enorme kansen voor de interne auditfunctie. Binnen de kaders van de gemeente maken we maximaal gebruik van AI oplossingen in onze dienstverlening. Hierdoor verkrijgen we een completer beeld van de risico's en knelpunten, kunnen we trends nauwkeuriger voorspellen en kan management betere, datagedreven beslissingen nemen. Team Met de komst van een Auditor uit de generatie Z versterken we ons team per mei 2025 op gebied van multigenerationeel diversiteit.

De Manager Concernaudit is sinds 2025 lid van het CAE Forum, een besloten groep van meer dan 50 Chief Audit Executives uit de private en publieke sector in Nederland. Dit is een inspiratiebron voor kennisuitwisseling en doorontwikkeling van de interne auditfunctie. 44

Aanpak totstandkoming Jaarplan Concernaudit 2025-26 Bijdragen aan realisatie strategische doelstellingen Waarde toevoegen

Prioriteren van onderwerpen Coalitieakkoord

Externe onderzoeken

Actualiteiten

Input van stakeholders

Wet- en regelgeving

Concernaudit Jaarplan

Interne audits

Auditplan Rekenkamer Benchmarking met G4

Audit universe en risicoanalyse Kernwaarden Gemeente Utrecht Actualiteiten bijhouden, trends spotten 5

Audits

Audits (1/8) – Wettelijke verplichtingen 1. 213a – Verstrekken van subsidies – kleiner dan EUR 125.000

Wettelijk verplichte jaarlijkse audit

Scope: Het subsidiebureau van de gemeente Utrecht heeft 2.835 subsidies verleend in 2024 met een totaalbedrag van EUR 223 miljoen. Op 17 december 2024 heeft het college besloten het verantwoordingsprotocol subsidies aan te passen. Daarbij is de grens voor een accountantsverklaring over de jaarverantwoording verhoogd van EUR 100.000 naar EUR 125.000. Voor subsidies lager dan dit bedrag bestaat een hoger risico op het niet doelmatig en doeltreffend besteden van het ontvangen subsidiebedrag. We toetsen de doelmatigheid en doeltreffendheid van een aantal verstrekte subsidies onder de EUR 125.000 uit verschillende organisatieonderdelen. Verder beoordelen we de effectiviteit van de huidige organisatorische positionering van het subsidiebureau bij Maatschappelijk Ontwikkeling. Gebaseerd op de resultaten van deze audit, overwegen wij om in 2026-27 een vervolgonderzoek te doen naar subsidies groter dan EUR 125.000.

Organisatieonderdeel: Maatschappelijke Ontwikkeling, gemeentebreed Strategische doelstelling: Betrouwbare Overheid Kernwaarde: Open en betrouwbaar

Risico: Subsidies zonder externe accountantsverklaring hebben een hoger risico op niet doelmatige en doeltreffende besteding. Hierdoor worden door het college beoogde effecten mogelijk niet gerealiseerd.

2. IT audit Wet Politiegegevens 2025

Wettelijk verplichte jaarlijkse audit

Scope: De Wet politiegegevens vraagt om een jaarlijkse interne audit op de naleving van deze wet door de gemeente Utrecht. Concernaudit heeft hiervoor een meerjarenplan opgesteld met verschillende thema’s per jaar. Daarnaast dient iedere vier jaar een externe audit plaats te vinden. In 2025 vindt deze opnieuw plaats. Om duplicatie in scope met de externe audit te voorkomen, voeren wij in 2025 een thema audit uit met een focus op het proces ‘rechten van betrokkenen’. Dit betreft de rechten van burgers met betrekking tot persoonsgegevens die door de gemeente verwerkt worden.

Organisatieonderdeel: Organisatie IPM (CIO-Office)

Strategische doelstelling: Veilige Stad, Betrouwbare Overheid

Kernwaarde: Scherp, open, betrouwbaar

Risico: Het niet naleven van wet- en regelgeving verhoogt de kans op privacyschending en financiële boetes opgelegd door de Autoriteit Persoonsgegevens.

7

Audits (2/8) 3. Data Protection Impact Assessments – DPIA’s Scope: De gemeente Utrecht verwerkt bij veel taken persoonsgegevens. Denk aan uitgifte van identificatiebewijzen of registratie van bewoners in het gemeentelijk basisregister. Het opstellen van Data Protection Impact Assessments (DPIA) is verplicht vanuit wetgeving zoals de Algemene Verordening Gegevensbescherming (AVG). De Functionaris Gegevensbescherming (FG) adviseert hierop. Een DPIA heeft als doel het op voorhand identificeren van privacyrisico’s bij verwerkingen van persoonsgegevens en hier beheersmaatregelen voor te formuleren. Het CIO Office heeft een kaderstellende rol voor het DPIA proces. In 2024 heeft hiervoor onder leiding van de Chief Privacy Officer een verbetertraject plaatsgevonden. In deze audit beoordelen wij de kwaliteit van een selectie van uitgevoerde DPIA’s en de procesnaleving.

Organisatieonderdeel: Organisatie IPM (CIO-Office)

Strategische doelstelling: Veilige Stad, Betrouwbare Overheid

Kernwaarde: Scherp, open, betrouwbaar

Risico: Het niet systematisch uitvoeren en archiveren van DPIA’s verhoogt de kans op privacy incidenten, financiële boetes vanuit de Autoriteit Persoonsgegevens en reputatieschade voor de gemeente Utrecht.

4. Readiness assessment NIS2-richtlijn* Scope: De NIS2-richtlijn, die sinds 17 oktober 2024 van kracht is, stelt strengere eisen aan de cyberbeveiliging van onder andere lokale overheden binnen de EU. De richtlijn heeft als doel het verhogen van de cyberweerbaarheid. In Nederland wordt de richtlijn geïmplementeerd via de Cyberbeveiligingswet, welke naar verwachting eind 2025 van kracht gaat. Het bestuur van de gemeente wordt dan expliciet verantwoordelijk gesteld voor het naleven van de wet. In deze audit beoordelen wij de geplande aanpak ter voorbereiding op de NIS2-richtlijn. Risico: Onvoldoende voorbereiding op de NIS2-richtlijn verhoogt de kans op cyberaanvallen, financiële boetes vanuit de Rijksinspectie Digitale Infrastructuur (RDI) en reputatieschade voor de gemeente Utrecht. *Indien de Cyberbeveiligingswet vertraging oploopt, bestaat de mogelijkheid om deze audit naar het jaarplan 2026-27 uit te stellen.

Organisatieonderdeel: Organisatie IPM (CIO-Office)

Strategische doelstelling: Veilige Stad, Betrouwbare Overheid

Kernwaarde: Scherp, wendbaar, betrouwbaar

8

Audits (3/8) 5. SAP S/4 HANA - realisatie beoogde effecten uit business case Scope: Per 1 januari 2025 is het nieuwe financiële systeem SAP S/4 HANA geïmplementeerd. Dit was een vervangingsinvestering, omdat het eerder gebruikte SAP systeem niet langer doorontwikkeld werd door de leverancier. Mede in het kader van de Cloudtransitie heeft de gemeente daarom gekozen voor cloud-based systeem SAP S/4 HANA. In Q1 2024 hebben wij een readiness assessment uitgevoerd op het programmaplan en de governance van de programma-organisatie die de implementatie heeft begeleid. In Q1 2026 toetsen wij de realisatie van beoogde effecten uit de opgestelde businesscase.

Organisatieonderdeel: Organisatie IPM, Financiën Strategische doelstelling: Veilige Stad, Betrouwbare Overheid Kernwaarde: Open, scherp, wendbaar, betrouwbaar

Risico: Het niet realiseren van beoogde effecten leidt tot inefficiënte inzet van mens en middelen en het niet behalen van strategische doelstellingen.

6. Cloudcontracten III Scope: Door de in 2019 ingezette Cloudtransitie binnen de gemeente Utrecht worden IT diensten steeds vaker uitbesteed aan cloudleveranciers. Dit resulteert in een grote afhankelijkheid van deze leveranciers en vraagt daarom om een sterke regierol vanuit de gemeente. In zowel Q1 2024 als Q1 2025 hebben wij de kwaliteit en naleving van een aantal cloudcontracten binnen het domein bedrijfsvoering beoordeeld. Gebaseerd op de zorgwekkende resultaten van deze audits, prioriteren wij dit onderwerp nogmaals in ons jaarplan en toetsen het proces binnen een ander organisatieonderdeel.

Organisatieonderdeel: Organisatie IPM (IPM-teams bij OOs nog te bepalen) Strategische doelstelling: Veilige Stad, Betrouwbare Overheid Kernwaarde: Open, scherp, betrouwbaar

Risico: Inadequaat contractmanagement bedreigt de bedrijfscontinuïteit door het niet managen van juridische risico’s omtrent informatiebeveiliging. Denk hierbij aan storingen en datalekken.

9

Audits (4/8) 7. Tussenevaluatie organisatieontwikkeling en verandertraject Scope: In 2025 gaat Volksgezondheid (VGZ) met een organisatieontwikkeling en verandertraject aan de slag. Het projectmanagementbureau ondersteunt VGZ hierin met veranderexpertise. De beoogde resultaten voor 2025 zijn op basis van een analyse van de huidige knelpunten en meest urgente veranderopgaves in een jaarplan vastgelegd. In Q1 2026 beoordelen we in een tussenevaluatie de voortgang van de organisatieverandering aan de hand van de gerealiseerde resultaten, ingezette tools en technieken. De conclusies en aanbevelingen uit deze audit neemt VGZ mee in het vervolg van de veranderaanpak.

Organisatieonderdeel: Volksgezondheid

Strategische doelstelling: Levendige en gezonde stad Kernwaarde: Open, wendbaar, scherp, betrouwbaar

Risico: Een inadequaat ingerichte medische organisatie verhoogt de kans op het niet naleven van wet en regelgeving en inefficiënt gebruik van mens en middelen.

8. Beëindigingsovereenkomsten Scope: In Q1 2025 introduceert Mens en Organisatie een standaard proces voor het opstellen van beëindigingsovereenkomsten. Deze overeenkomsten vallen binnen het mandaat van Directeuren. Echter, omdat de HR Business Partners hier momenteel onvoldoende bij betrokken zijn, ontbreekt een uniforme en transparante aanpak binnen de gemeente Utrecht. Verder is de kwaliteit van de onderliggende dossiers een aandachtspunt. In deze audit toetsen we de naleving van het nieuwe proces aan hand van een aantal beëindigingsovereenkomsten uit verschillende organisatieonderdelen.

Organisatieonderdeel: Mens en Organisatie Strategische doelstelling: Betrouwbare overheid Kernwaarde: Open, betrouwbaar

Risico: Door gebrek aan een standaard proces voor het opstellen van beëindigingsovereenkomsten en betrokkenheid van de HR Business Partners hierbij, ontstaat ongewenste willekeur bij de vast te leggen afspraken bij de verschillende organisatieonderdelen.

10

Audits (5/8) 9. Spelregels gemeentebrede uurtarieven Scope: De gemeente maakt veelvoudig gebruik van het doorbelasten van uren voor interne dienstverlening en voor het factureren van diensten aan derde partijen. De spelregels voor het berekenen van de hieraan gerelateerde uurtarieven zijn opgenomen in het beleidsdocument 'Spelregels gemeentebrede uurtarieven’. Dit document is in september 2015 opgesteld en sindsdien niet meer geactualiseerd. De hierin genoemde spelregels en aannames zijn inmiddels gedateerd en vormen geen bruikbare basis meer voor de jaarlijkse actualisatie van de tarieven. Dit heeft in de afgelopen jaren tot een ongewenste wildgroei van berekeningsmethodieken in de verschillende organisatieonderdelen geleid.

Organisatieonderdeel: Financiën, Concerncontrol Strategische doelstelling: Betrouwbare overheid

Kernwaarde: Open, betrouwbaar

Wij brengen in deze audit de huidige knelpunten in kaart (systemen, specifieke behoeftes van organisatieonderdelen) en doen aanbevelingen voor het actualiseren van het beleidsdocument.

Risico: Het niet consequent toepassen van een actuele en uniforme urencalculatie verhoogt het risico op foutief berekende lokale heffingen, leges en prijzen voor derden indien de gemeente als commerciële partij optreed. Het toepassen van verschillende berekeningsmethodieken voor interne doorbelastingen resulteert daarnaast in een inefficiënt gebruik van mens en middelen.

11

Audits (6/8) 10. Erfpacht – controle volledigheid erfpachtopbrengsten Scope: Sinds 2018 benoemt de externe accountant in de management letters tekortkomingen omtrent de administratie van erfpachtobjecten. Een aandachtspunt hierbij is het niet periodiek uitvoeren en vastleggen van controles die de volledigheid van de facturatie van de erfpachtopbrengsten waarborgen. In deze audit beoordelen we in een tussenevaluatie de opzet en eerste resultaten van een recent door Ruimte opgesteld verbeterprogramma. Verder maken we aanbevelingen hoe controlewerkzaamheden door de inzet van data-analyse technieken geautomatiseerd en voor de hele populatie van objecten (in plaats van steekproeven) uitgevoerd kunnen worden.

Organisatieonderdeel: Ruimte Strategische doelstelling: Betrouwbare Overheid Kernwaarde: Open, betrouwbaar, scherp

Risico: Gebrek aan robuuste processen rondom erfpachtobjecten en adequate periodieke controles hiervan, verhoogt het risico op onvolledige erfpachtopbrengsten.

11. Inhuur – naleving wet DBA, effectiviteit en efficiëntie Scope: In de afgelopen jaren heeft de gemeente Utrecht steeds het door de raad vastgestelde maximum voor inhuur overschreden (10% van de loonsom). Dit feit, in combinatie met de aankondiging van de belastingdienst om vanaf januari 2025 de wet DBA te handhaven en de taakstelling voor de hervormingsbezuinigingen, maakt inhuur een actueel en relevant onderwerp. In deze audit toetsen we de realisatie van de actieplannen "naleving wet DBA", lichten we oorzaken en risico's voor langdurige inzet van inhuur uit en doen we aanbevelingen om dit in te perken.

Organisatieonderdeel: Mens en Organisatie, gemeentebreed Strategische doelstelling: Betrouwbare Overheid Kernwaarde: Open, scherp, betrouwbaar

Risico: Het niet naleven van de wet DBA verhoogt het risico op naheffingen, fiscale boetes en disrupties in de dienstverlening van de gemeente. De langdurige inzet van inhuur voor bedrijfskritische functies resulteert in inefficiënt gebruik van financiële middelen.

12

Audits (7/8) 12. Opgave inburgering Scope: Het doel van de Wet inburgering 2021 (ingangsdatum 1 januari 2022) is dat inburgeringsplichtigen zo snel mogelijk meedoen in Nederland en werk vinden. Gemeenten begeleiden en monitoren de inburgeringstrajecten en krijgen vanuit hun (nieuwe) regierol te maken met een groot aantal aanbieders voor verschillende onderdelen van het inburgeringstraject. In deze audit toetsen we in hoeverre de in de afgelopen maanden toegepaste lerende aanpak bij de in het inburgeringsproces betrokken organisatieonderdelen Werk en Inkomen en Maatschappelijk Ontwikkeling resulteert in een robuust proces voor de opgave inburgering binnen de gemeente Utrecht.

Organisatieonderdeel: Werk en Inkomen

Strategische doelstelling: Betrouwbare Overheid, Werk toekomstbestendige economie en bestaanszekerheid Kernwaarde: Betrouwbaar, scherp

Risico: Indien de gemeente er niet in slaagt haar regiefunctie robuust een adequaat in te richten, zorgt dit mogelijk voor het niet adequaat uitvoeren van de taken en verantwoordelijkheden die uit de Wet inburgering voortvloeien.

13

Audits (8/8) 13. Risicomanagement – onderbouwing benodigde weerstandscapaciteit Scope: Voor een gezonde financiële positie moet de gemeente over voldoende weerstandsvermogen beschikken. Het weerstandsvermogen is een indicatie van de mogelijkheden om toekomstige niet begrote financiële tegenvallers op te vangen en dient als buffer om de continuïteit van de bedrijfsvoering te waarborgen. In de nota 'Risicomanagement en weerstandsvermogen' is vastgelegd dat in de gemeente Utrecht de beschikbare weerstandscapaciteit minimaal gelijk moet zijn aan de benodigde weerstandscapaciteit. In de paragraaf 'Weerstandsvermogen en risicobeheersing' in de programmabegroting en jaarrekening is de ontwikkeling van dit streefcijfer, inclusief een toelichting op de gemeentebrede top 10 risico's die het grootste deel van de benodigde weerstandscapaciteit bepalen, opgenomen.

Organisatieonderdeel: Financiën, Concerncontrol Strategische doelstelling: Betrouwbare Overheid Kernwaarde: Open, betrouwbaar, scherp

We toetsen in deze audit de robuustheid van het proces rondom het berekenen en periodiek actualiseren van de benodigde weerstandscapaciteit. Denk hierbij aan het tot stand komen van de risicoanalyse in de organisatieonderdelen (betrokkenheid van relevante stakeholders, volledigheid en prioriteren van risico's, kwaliteit van de onderbouwing van aannames) en de inzet van risico simulatietechnieken. Risico: Indien het proces voor de berekening van de benodigde weerstandscapaciteit niet robuust is, resulteert dit mogelijk in een foutieve berekening van het weerstandsvermogen. In dit geval wordt de financiële ruimte om tegenvallers op te vangen niet juist aan de raad gepresenteerd in de begroting en jaarrekening.

14

Rechtmatigheidsverantwoording

Rechtmatigheidsverantwoording (1/2) Vanaf begin 2023 moet iedere gemeente zelf de rechtmatigheidsverantwoording opstellen en deze onderbouwen. Dit is opgenomen in de wet ‘Versterking decentrale rekenkamers’. Tot 2023 was deze taak belegd bij de externe accountant.

Rechtmatigheidsverantwoording (RMV) gemeentebreed De gemeente onderbouwt de rechtmatigheidsverantwoording met behulp van Verbijzonderde Interne Controles (VIC). Hiermee wordt getoetst hoe goed interne controlemethodes (procedures, regels en processen) werken om de kans op fraude en fouten zo klein mogelijk te houden. Voor alle processen in scope ligt de verantwoordelijkheid voor het uitvoeren van de VIC bij het betreffende organisatieonderdeel. De rechtmatigheidsverantwoording bestaat uit drie fases: • de planningsfase (VIC plan), • de interim fase (VIC procesbeschrijving en lijncontrole), en • de finale fase (VIC gegevensgerichte werkzaamheden). Concernaudit werkt hand in hand met de organisatie om de rechtmatigheidsverantwoording continu te verbeteren. Dit doen we onder andere door het houden van spreekuren voor het delen van vakkennis en voor kwaliteitsborging. Wettelijk verplichte jaarlijkse audit

Organisatieonderdeel: Gemeentebreed Strategische doelstelling: Betrouwbare Overheid Kernwaarde: Scherp, open en betrouwbaar

Daarnaast ontwikkelen we templates om middels standaardisatie de procesefficiëntie te verbeteren. Bij het ontwikkelen van deze producten staan we in nauw contact met de externe accountant. Na iedere fase stellen we een rapport op en delen bevindingen en benodigde verbeteracties met de relevante organisatieonderdelen. Onze werkzaamheden dragen bij aan het versterken van primaire processen en faciliteren een efficiënte jaarrekeningcontrole door de externe accountant. In 2025 breiden we de scope van de planningsfase uit met een jaarlijkse risico analyse gericht op fouten veroorzaakt door fraude. Risico: Indien financiële onrechtmatigheden niet proactief door de gemeente worden geïdentificeerd, maar pas door de externe accountant tijdens de jaarrekening controle worden vastgesteld, leidt dit tot een afkeurende of beperkte accountantsverklaring (indien de door de raad vastgestelde drempelwaarden overschreden worden). Het ontbreken van een goedkeurende accountantsverklaring resulteert bovendien in reputatieschade voor de gemeente.

16

Rechtmatigheidsverantwoording (2/2) Concernaudit voert zelf controlewerkzaamheden uit op twee processen die grote impact op de bedrijfsvoering hebben; ‘Inkopen & Aanbesteden’ en ‘Subsidieverstrekkingen’. De externe accountant maakt tijdens de jaarrekeningcontrole gebruik van de werkzaamheden van Concernaudit. Verbijzonderde Interne Controle (VIC): Inkopen & aanbesteden Financiële omvang 2024: EUR 900 miljoen

Wettelijk verplichte jaarlijkse audit

Organisatieonderdeel: Gemeentebreed Strategische doelstelling: Betrouwbare Overheid Kernwaarde: Scherp, open en betrouwbaar

Verbijzonderde Interne Controle (VIC): Subsidieverstrekkingen Financiële omvang 2024: EUR 315 miljoen

Wettelijk verplichte jaarlijkse audit

De VIC Inkopen en aanbesteden is gericht op de identificatie van financiële onrechtmatigheden in het proces ‘inkoop en aanbesteden’.

De VIC Subsidieverstrekkingen is gericht op de identificatie van financiële onrechtmatigheden in het proces ‘uitgaande subsidieverstrekkingen’.

Concernaudit voert deze controle op kwartaalbasis uit en deelt de bevindingen met de betreffende organisatieonderdelen. Hierdoor worden onrechtmatigheden tijdig zichtbaar en kunnen de organisatieonderdelen met verbeteracties aan de slag.

Concernaudit voert deze controle twee keer per jaar uit en deelt de bevindingen met de betreffende organisatieonderdelen. Hierdoor worden onrechtmatigheden tijdig zichtbaar en kunnen de organisatieonderdelen met verbeteracties aan de slag.

Deze controle is bijzonder arbeidsintensief. Daarom is het (gedeeltelijk) automatiseren van deze werkzaamheden een speerpunt van Concernaudit. Zie pagina 24 voor verdere toelichting.

Zoals in eerdere jaren, voert Concernaudit in 2025 een additionele toets op de klantgerichtheid van het subsidiebureau uit. Dit betreft met name het proactief communiceren met subsidieaanvragers over subsidieverstrekkingen die vertraging oplopen.

Risico*: Het niet naleven van de Europese aanbestedingswet- en regelgeving kan resulteren in rechtszaken aangespannen door partijen die geen mogelijkheid hebben gehad aan het tenderproces deel te nemen.

Risico*: Het niet voldoen aan de Algemene Subsidie Verordening, leidt tot financiële onrechtmatigheden en potentieel misbruik en oneigenlijk gebruik van subsidieregelingen door burgers.

*Voor risico’s met betrekking tot de jaarrekeningcontrole, zie p.17

17

Fraude & Integriteit

Fraude & Integriteit (1/3) Fraude heeft de afgelopen jaren door aanscherping van de beroepsnormen een steeds prominentere plek op de agenda van de externe accountant voor de jaarrekeningcontrole gekregen. Gemeentes worden verwacht te voldoen aan een fraudepakket bestaande uit drie onderdelen;

Frauderisicoanalyse

• Het uitvoeren van een periodieke frauderisicoanalyse;

Concernaudit heeft in 2023 in samenwerking met de organisatie een gemeentebrede frauderisicoanalyse uitgevoerd met als doel het fraudebeleid in beeld te brengen en de grootste frauderisico’s van de gemeente Utrecht te identificeren.

• Het verzorgen van workshops om bewustwording rondom fraude en integriteit in kwetsbare processen te verhogen;

In 2025 actualiseren we de frauderisicoanalyse. Dit doen we op basis van de volgende bronnen:

• Het toetsen van beheersmaatregelen in fraudegevoelige processen.

• • • • •

Sinds 2023 is het uitvoeren van het fraudepakket voor de jaarrekeningcontrole bij Concernaudit belegd.

Organisatieonderdeel: Gemeentebreed Strategische doelstelling: Betrouwbare Overheid Kernwaarde: Scherp, wendbaar en betrouwbaar

de uitkomsten van de voorgaande frauderisicoanalyses, interviews en risicosessies met sleutelfiguren, uitkomsten van de rechtmatigheidsverantwoording bevindingen uit recente audits, en recente fraudemeldingen.

Door deze informatie samen te brengen, krijgen we een nauwkeurig beeld van mogelijke kwetsbaarheden binnen de gemeentelijke processen. We stemmen de werkwijze en uitkomsten af met de externe accountant, de Strategisch Risicomanager en de Coördinator Integriteit. Samenwerking met de Coördinator Integriteit Op verzoek ondersteunen we de Coördinator Integriteit in de verkenningsfase van potentiële integriteitsschendingen.

19

Fraude & Integriteit (2/3) Audit - Onderzoeksprotocol Integriteitsschendingen en misstanden

Audit - Beheersmaatregelen in fraudegevoelige processen

Scope: Het Onderzoeksprotocol Integriteitsschendingen en misstanden is in 2024 door de Coördinator Integriteit geactualiseerd en door de Concerndirectie vastgesteld. Hierbij zijn aanbevelingen van Concernaudit uit de gemeentebrede frauderisicoanalyse 2023 meegenomen.

Scope: Concernaudit beoordeelt jaarlijks de effectiviteit van de interne beheersmaatregelen voor één kwetsbaar proces uit de frauderisicoanalyse.

Wij toetsen in deze audit de effectiviteit en efficiëntie van de inrichting en naleving van het geactualiseerde protocol. Dit doen wij aan de hand van een selectie van meldingen. Risico: Inadequate inrichting en naleving van het onderzoeksprotocol verhoogt de kans op het niet of niet tijdig opvolgen en afhandelen van meldingen.

In 2025-26 toetsen wij de kwaliteit van de beheersmaatregelen voor het berekenen van kostprijs dekkende verhuurprijzen binnen Vastgoed. De focus ligt op beleidsondersteunend vastgoed en maatschappelijke instellingen. Risico: Ineffectieve beheersmaatregelen verhogen de kans op frauduleuze activiteiten. Verplichte jaarlijkse controle

Organisatieonderdeel: Mens en Organisatie

Organisatieonderdeel: Vastgoedorganisatie Utrecht

Strategische doelstelling: Betrouwbare Overheid

Strategische doelstelling: Betrouwbare Overheid

Kernwaarde: Scherp en betrouwbaar

Kernwaarde: Open, scherp en betrouwbaar

20

Fraude & Integriteit (3/3) Fraudeworkshop

Dashboard raadplegingen kentekens

Scope: Ieder jaar verzorgt Concernaudit een workshop rondom fraude. Het doel van deze workshop is om fraudebewustzijn onder medewerkers te verhogen. Door middel van een rollenspel signaleren deelnemers frauderisico’s in hun werkproces, identificeren zij potentiële red flags voor fraude en ontwerpen zij beheersmaatregelen om frauderisico’s te adresseren.

Scope: Een aantal medewerkers binnen VTH kunnen voor hun werkzaamheden kentekens en bijbehorende persoonsgegevens raadplegen. Denk hierbij aan BOA’s en medewerkers in de vergunningverlening. Het risico bestaat dat deze medewerkers betrokken raken bij identiteitsfraude door onbevoegd persoonsgegevens in te zien.

In de afgelopen jaren hielden we workshops rondom fraude in de zorg en bij vastgoedbeheer. In 2025 organiseren we opnieuw een workshop rondom één van de kwetsbare processen uit de frauderisicoanalyse. Risico: Door het niet tijdig herkennen van red flags in kwetsbare processen, worden fraude-incidenten niet of te laat geïdentificeerd. Verplichte jaarlijkse activiteit

Op verzoek van de Coördinator Integriteit ontwikkelen we in samenwerking met VTH een dashboard om raadplegingen van kentekens inzichtelijk te maken. Het dashboard bevat controles om opvallende patronen in raadplegingen te signaleren, zoals vaak geraadpleegde kentekens en afwijkende momenten van raadplegingen. Met dit dashboard geven we invulling aan de aanbeveling uit onze frauderisicoanalyse 2023 om meer gebruik te maken van loggegevens uit systemen ten behoeve van de detectie van fraude.

Organisatieonderdeel: Gemeentebreed

Organisatieonderdeel: Vergunningen, Toezicht en Handhaving

Strategische doelstelling: Betrouwbare Overheid

Strategische doelstelling: Betrouwbare Overheid

Kernwaarde: Open, scherp en betrouwbaar

Kernwaarde: Open, scherp en betrouwbaar

21

Adviesopdrachten

Automatisering Concernaudit werkzaamheden Concernaudit Automatisering rechtmatigheidsverantwoording inkopen en aanbesteden Een bijzonder arbeidsintensieve activiteit binnen Concernaudit is het kwartaallijks uitvoeren van de Verbijzonderde Interne Controle (VIC) inkoop en aanbesteden. Deze controle vereist veel routine- en handmatige werkzaamheden. Daarom zijn wij in 2024 met een aantal pilots gestart voor de automatisering van deze werkzaamheden. Inmiddels verzamelen wij een groot deel van de benodigde gegevens uit het financiële systeem SAP geautomatiseerd door inzet van ‘scraping’ scripts. Denk hierbij aan begin- en einddata van contracten, contractwaarden en –tarieven en gegevens van leveranciers. Verder hebben wij de benodigde data-opschoning geautomatiseerd, waardoor ontsloten data zoals datumvelden direct geschikt is voor verdere analyses (bijvoorbeeld 30.03.2024 of 30-03-2024). Voor 2025-26 hebben wij de volgende speerpunten op gebied van automatisering gekozen: • • • •

Het uitbreiden van de scripts en het toepassen hiervan op aanvullende documenten Het (door)ontwikkelen en integreren van templates voor het uitvoeren van geautomatiseerde berekeningen Het deels geautomatiseerd opstellen van benodigde controledossier voor de externe accountant Het bewegen naar een controle van de gehele populatie in plaats van steekproeven bij een aantal pilots, zoals inhuurcontracten.

Hiermee nemen wij belangrijke vervolgstappen voor duurzame oplossingen en een robuuste interne beheersing van het proces inkoop en aanbesteden.

23

Adviesopdrachten: Juridische Zaken Juridische Zaken JZ: Dashboard Management Rapportages ‘Bezwaar en Beroep’

JZ: Dashboard Management Rapportages ‘Schade en Verzekeren’

In 2023 hebben wij een managementrapportage ontwikkeld voor het proces ‘Bezwaar en Beroep’ binnen JZ. Hiermee wordt de naleving van het proces inzichtelijk gemaakt en kunnen potentiële knelpunten tijdig worden geïdentificeerd.

In het jaarplan 2024-25 was het ontwikkelen van een dashboard voor het proces ‘Schade en Verzekeren’ binnen JZ opgenomen het genereren van stuurinformatie te automatiseren en verbeteren.

Door het geautomatiseerd opstellen van de rapportage, wordt capaciteit binnen JZ bespaard en is managementinformatie minder foutgevoelig en hierdoor betrouwbaarder.

In 2024-25 is het rapport, na de eerste gebruikerservaringen, doorontwikkeld. In 2025-26 hebben wij samen met JZ de onderstaande vervolgstappen gedefinieerd: • Het opnieuw inrichten van het rapport in de dasboard tool Tableau, in het kader van reducering van het aantal gebruikte tools binnen de gemeente • Het aanpassen van het rapport aan het nieuwe Zaaksysteem

Uit vooronderzoek bleek echter dat nog niet alle randvoorwaarden hiervoor aanwezig zijn. Denk hierbij aan het koppelen van data uit het proces ‘Schade en Verzekeren’ aan een dashboard tool. Een aanvullende complicerende factor was de implementatie van het nieuwe Zaaksysteem in 2024.

Concernaudit heeft JZ daarom in 2024-25 ondersteund bij het onderzoeken van opties voor het realiseren van de benodigde koppeling. In 2025-26 gaan wij hiermee door. Zodra de datavoorziening hiervoor gereed is, zullen wij het dashboard ontwikkelen.

• Het aanvullen van het rapport met verdiepende analyses, zoals oorzaakanalyses op termijnoverschrijdingen

24

Adviesopdrachten: Financiën Financiën Dashboard Purchase 2 Pay (P2P)

Dashboard BTW bij doorbelasting van kosten

Dasboard Memorialen

In het boekjaar 2024 heeft de gemeente Utrecht ongeveer 147 duizend crediteurenfacturen geboekt, voor een totaalbedrag van EUR 1,2 miljard.

Sinds 2023 heeft de gemeente Utrecht een Horizontaal Toezicht-convenant met de Belastingdienst. Hiervoor is de gemeente verplicht om periodiek de kwaliteit van haar fiscale processen en bijbehorende beheersmaatregelen te toetsen.

Memoriaalboekingen zijn voor de externe accountant een belangrijk aandachtspunt in de jaarrekeningcontrole. Deze handmatige boekingen hebben impact op het resultaat in de jaarrekening van de gemeente Utrecht. In 2024 bedroeg het aantal memoriaalboekingen ongeveer 7.100.

Op verzoek van Financiën stelt Concernaudit sinds 2017 periodiek dashboards beschikbaar waarin de naleving van een aantal beheersmaatregelen in het P2P proces inzichtelijk wordt gemaakt. De focus ligt hierbij op de autorisaties van betrokken personen, functiescheiding en handmatig ingrijpen in geautomatiseerde processtappen. In 2025-26 passen we bestaande analyses aan voor gebruik in het nieuwe systeem SAP S/4 HANA, rekening houdend met de nieuwe functionaliteiten en beheersmaatregelen van het systeem. Financiën kan hierdoor tekortkomingen in het proces tijdig identificeren en bijsturen.

We zijn in 2023 – in samenwerking met het fiscale team van Financiën – een BTW pilot gestart en hebben hierbij een dashboard ontwikkeld voor controles rondom het doorbelasten van kosten aan derden. Hiermee maken we de overstap van steekproefsgewijze controles naar geautomatiseerde controles, waarbij de hele populatie aan relevante BTW transacties wordt meegenomen. BTW vak expertise wordt op deze manier gerichter en efficiënter ingezet.

In 2025-26 verbeteren wij het dashboard en voegen we aanvullende BTW controles toe. Voor dit project was reeds capaciteit gereserveerd in het jaarplan 2024-25, maar het is op verzoek van Financiën uitgesteld naar Q3 2025 vanwege capaciteitsproblemen.

Op verzoek van Financiën ontwikkelden wij in 2024 een dashboard om memoriaalboekingen op een efficiënte en overzichtelijke manier aan de externe accountant te tonen. Dit dashboard maakt patronen inzichtelijk en faciliteert een oorzaakanalyse van handmatige boekingen. Daarnaast worden controles op de naleving van beheersmaatregelen, zoals het vierogen-principe en functiescheiding, geautomatiseerd. In 2025-26 passen we bestaande analyses aan voor gebruik in het nieuwe systeem SAP S/4 HANA, met inachtneming van de nieuwe procesinrichting voor memorialen. We zullen het nieuwe proces in kaart brengen met behulp van process mining.

25

Adviesopdrachten: Mens en Organisatie Mens en Organisatie Voorspellend model Groei van de organisatie

Voorspellend Model Vrijwillige Uitstroom

Dashboard declaraties

M&O heeft de ambitie om meer strategisch vooruit te kijken op gebied van personele planning. De inzet van data en analyse is daarbij een speerpunt. Door optimaal gebruik te maken van beschikbare data en innovatieve analysetechnieken in te zetten, kan gericht en proactief gestuurd worden op veranderingen in de personeelscapaciteit.

Samen met M&O heeft Concernaudit in 2024 een voorspellend model ontwikkeld om potentiële vrijwillige uitstroom van medewerkers inzichtelijk te maken. De resultaten van dit voorspellend model zijn inzichtelijk gemaakt in een dashboard.

Medewerkers van de gemeente kunnen declaraties indienen tot een maximumbedrag van €5.000,per declaratie. In principe behoren leidinggevenden declaraties in het personeels-systeem MijnHR te beoordelen. Echter, deze taak wordt vaak gedelegeerd naar de managementondersteuning.

In samenwerking met M&O ontwikkelen we daarom een voorspellend model, om op basis van historische gegevens voorspellingen over de toekomstige omvang van het personeelsbestand te maken. Op basis van het model identificeren we toekomstscenario’s voor de groei (of krimp) van onze organisatie in de komende jaren. Daarnaast is het voorspellend model een waardevol instrument voor het inzichtelijk maken van beoogde effecten van mogelijke hervormingsbezuinigingen.

In 2025-26 verbeteren we dit dashboard, door: • het voorspellend model te versterken met behulp van aanvullende analyses rondom de accuraatheid van het model. • het updaten hiervan met gerichte informatie vanuit M&O om risico’s op uitstroom nog beter inzichtelijk te maken.

Met deze verbeteringen dragen we bij aan een op feiten gebaseerd capaciteitsmanagement binnen de gemeente. Bovendien versterken we een doelgerichte en efficiënte inzet van managers en HR business partners.

M&O voert momenteel geen structurele en volledige controles op dit proces uit. In 2025-26 ontwikkelen we daarom een dashboard om door middel van data-analyse inzicht te geven in de totale populatie van declaraties van medewerkers. De uitkomsten van deze analyses vormen belangrijke input voor het verbeteren van het declaratiebeleid van de gemeente en het versterken van beheersmaatregelen rondom mogelijke fraude.

26

Adviesopdrachten: Maatschappelijke Ontwikkeling en Marketing Maatschappelijke Ontwikkeling

Marketing

MO: Dashboard subsidieverstrekkingen

Marketing: Inrichting governance

Het verstrekken van subsidies is binnen de gemeente Utrecht bij het Subsidiebureau van MO belegd. Dit is met EUR 315 miljoen in 2024 een van de grootste financiële stromen van de gemeente.

Concernaudit ondersteunt Marketing bij het opzetten van een robuuste regierol van de uitbestede marketing- en communicatiediensten.

Samen met MO ontwikkelen we een dashboard om het proces van subsidieverstrekking inzichtelijk te maken. Door toepassing van process mining maken we het proces van subsidieverstrekkingen inzichtelijk en identificeren wij eventuele knelpunten hierin.

Denk hierbij aan: • duidelijk belegde rollen en verantwoordelijkheden; • het formuleren van heldere doelstellingen en bijhorende prestatie-indicatoren.

Het dashboard geeft MO hiermee belangrijke inzichten voor het bewaken van subsidie-verstrekkingen.

Deze aspecten vormen de basis voor een robuuste en effectieve voortgangsbewaking op uitbestede diensten, waarin knelpunten tijdig zichtbaar worden.

Daarnaast ondersteunt het dashboard Concernaudit in de verdere automatisering van controlewerkzaamheden rondom de rechtmatigheidsverantwoording.

Ook kijken we naar mogelijkheden om door inzet van dataanalyse technieken de voortgangsbewaking verder te versterken. Deze samenwerking draagt bij aan een efficiëntere inzet van interne marketing capaciteiten en budgetten voor uitbestede diensten.

27

Optionele opdrachten

Optionele opdrachten op jaarplan Concernaudit 2025-26 Eén of meerdere van de optionele opdrachten voeren wij uit indien wij capaciteit beschikbaar hebben of in het geval dat door omstandigheden een van de reguliere opdrachten niet kan plaatsvinden.

Toets bedrijfsvoering MO partners en onderaannemers Audits

Cyberweerbaarheid: Toepassing en effectiviteit van het nieuwe trainingspakket

Fraude

Eén extra frauderisico workshop

Advies

Voorspellend model voor proces ‘Inkopen en Aanbesteden’

29

Status onderhanden adviesopdrachten uit jaarplan 2024-25 Onderstaande twee audits uit het jaarplan 2024-25 zijn per eind maart nog onderhanden. In het tweede kwartaal van 2025 ronden we deze audits af. Vooronderzoek

Opdrachtbeschrijving afgestemd

Veldwerk afgerond

Bevindingen afgestemd

Conceptrapport aangeboden

In afwachting van managementreactie

Stadsbedrijven OT/IT

213a Wijken – Buurtagenda’s

30

Management van de interne auditfunctie (1/2) Onafhankelijkheid

Belangenverstrengeling

De Manager Concernaudit heeft vastgesteld dat de benodigde onafhankelijkheid van Concernaudit is gewaarborgd:

Potentiële belangenverstrengeling wordt periodiek getoetst door de Manager Concernaudit.

• De Manager Concernaudit rapporteert aan een dusdanig hoog niveau in de organisatie, waardoor Concernaudit in staat is om haar verantwoordelijkheden te kunnen vervullen. • De Manager Concernaudit heeft een directe communicatielijn met de Gemeentesecretaris, de Wethouder en de Adviescommissie Control & Financiën.

Belangenverstrengeling vindt plaats op het moment dat een auditor, die een vertrouwenspositie bekleedt in haar functie, een ander professioneel of persoonlijk belang heeft. Tegengestelde belangen kunnen het onpartijdig uitoefenen van de auditfunctie bemoeilijken. Door belangenverstrengeling kan een ongepast beeld ontstaan welke het vertrouwen in de interne auditor en haar audit activiteiten kan schaden.

Middelen en budget

Permanente educatie

• Concernaudit heeft voldoende middelen (capaciteit en budget) om het interne audit plan 2025-26 uit te voeren.

Auditors met certificaten en beroepslidmaatschappen die bijbehorende onderhoudseisen in het kader van ‘Permanente Educatie’ stellen, zullen de benodigde trainingen en cursussen volgen om hieraan te voldoen.

• Concernaudit zal het interne audit plan 2025-26 binnen het vastgestelde budget afronden.

31

Management van de interne auditfunctie (2/2) Kwaliteitsbewaking en verbeterprogramma Interne auditfuncties wereldwijd maken gebruik van dezelfde standaarden bij het uitvoeren van hun werkzaamheden. Deze standaarden zijn door onze beroepsorganisatie, het Instituut van Internal Auditors (IIA), recentelijk geüpdatet op basis van maatschappelijke ontwikkelingen. De nieuwe standaarden (GIAS) zijn vanaf 1 januari 2025 van toepassing. GIAS 8.4 schrijft voor dat interne audit afdelingen iedere vijf jaar een externe kwaliteitstoetsing laten uitvoeren om de naleving van de standaarden en de effectiviteit en efficiëntie van de interne audit functie te beoordelen. De Manager Concernaudit heeft opdracht aan IIA Nederland gegeven om de externe kwaliteitstoetsing voor het eerst in 2025 uit te voeren. We doen dit in twee fases; een quickscan in Q1 2025 en de formele kwaliteitstoetsing in Q4 2025. We hebben capaciteit gereserveerd om de nodige verbeteracties voor de kwaliteitstoetsing te realiseren en een van onze Senior Auditors als Project Manager aangewezen. Ook werken we op het onderwerp kwaliteitsbewaking nauw samen met de interne audit afdelingen van de gemeenten Amsterdam en Den Haag. Naast de voorbereidingen voor de externe kwaliteitstoetsing hebben we in 2025-26 nogmaals het thema 'verbeteren schrijfvaardigheden' als speerpunt gekozen.

Elk teamlid heeft een individueel verbeterplan opgesteld en we bespreken relevante casuïstiek periodiek in teamoverleggen.

Key Performance Indicators (KPI’s) Jaarplanrealisatie Maximaal 3 audits of advies opdrachten die per 31 maart 2026 onderhanden zijn en in Q2 2026 worden afgerond. Budget Het jaarplan 2025/26 binnen het budget uitvoeren.

Kwaliteit dienstverlening Score 4 of hoger (afgerond) in 80% van alle audits. Auditees ontvangen een enquête waarin zij onze dienstverlening beoordelen van 1 t/m 5 op stellingen met betrekking tot Team, Uitvoering, Rapport en Meerwaarde audit.

Professionele ontwikkeling De speerpunten voor 2025-26 zijn de ontwikkeling van leiderschapscompetenties, soft control audit technieken en benodigde vakexpertise voor de jaarlijkse verplichte Wet politiegegevens audit. Procesverbeteringen: doorlooptijd 80% van de concept auditrapporten en concept advies-memo’s uiterlijk 13 werkdagen dagen na de closing meeting versturen.

Follow-up Het follow-up proces voor alle audits (vanaf het jaarplan 2024/25) binnen 3 tot 6 maanden na het uitbrengen van het definitief audit rapport afronden.

32