Jaarverslag 2020 - 2021 Concernaudit v04-06-2021.pdf

JAARVERSLAG CONCERNAUDIT APRIL 2020 – MAART 2021

04-06-2021 Antoine van Vlodorp

Inhoudsopgave 0. 1. 2. 3.

Samenvatting Uitdagingen concernaudit in 2020/2021 Digitale innovatie concernaudit in 2020/2021 Belangrijkste uitkomsten per audit, onderzoek, verbijzonderde interne controle en process mining

Bijlage realisatie jaarplan in detail (ter informatie) 1. Project Rechtmatigheidsverantwoording 2. Uitvoeren Verbijzonderde Interne Controles 3. Operational procesaudits 4. Digital audits 5. 213a & overige onderzoeken 6. Advisering en innovatie 7. Personele bezetting Concernaudit

Utrecht.nl 2

0. Samenvatting 1.

Project rechtmatigheidsverantwoording is goed verlopen, maar capaciteit bij organisatieonderdelen t.a.v. het verbijzonderde interne controleplan (VIC) en uitvoering van de VIC zijn een knelpunt. 2. Vervolgonderzoek beheersing grote projecten: vijf projecten in detail beoordeeld. Aandachtspunten geconstateerd in lijn met de bredere verbeteringen projectbeheersing. 3. Logische toegangsbeveiliging SAP: voortgang in de verbeterpunten. Aandacht blijft nodig voor resterende punten. 4. Risicobeheersing samenwerkingsverbanden: tussentijds beeld is dat centraal inzicht en kaderstelling voor toezicht verbetering behoeft. 5. Onderzoek Administratieve Organisatie/Interne Controle (AO/IC) van het proces verlenen parkeervergunningen bij VTH. Verbeterpunten geïdentificeerd. 6. Readiness scan naar de implementatie van de Omgevingswet – concept rapport. Tijdige implementatie is haalbaar, mits aandachtspunten tijdig worden geadresseerd. Grote afhankelijkheid van tijdige oplevering door centrale overheid van Digitaal Stelsel Omgevingswet. Start OW recent uitgesteld tot 1 juli 2022. 7. Nulmeting (privacy audit) naleving Wet Politiegegevens (Wpg) - concept rapport. De maatregelen gericht op de bescherming van politiegegevens zijn nog in ontwikkeling, maar er zijn stappen in de goede richting gezet om invulling te geven aan de wettelijke vereisten.

Desondanks moet de gemeente meer doen (qua activiteiten en qua snelheid) om de rechtmatige uitvoering van de Wet Politiegegevens (Wpg) te waarborgen. 8. Verbijzonderde Interne Controle EU-aanbestedingen: nog onrechtmatigheden bij inhuur en verbeteringen gewenst t.a.v. het aanbestedingsproces. 9. Process mining subsidies: de naleving van de termijnen in de verleningsfase en vaststellingsfase van subsidies kan beter. 10. Process mining inkoopfacturen: aanscherping van de beheersmaatregelen gewenst ten aanzien van de goedkeuring van bestellingen en het goedkeuren van facturen.

Utrecht.nl 3

1. Uitdagingen Concernaudit in 2020/2021 a) b) c) d) e) f)

Het jaarplan 2020/2021 was opgesteld voor de coronacrisis. De coronacrisis heeft zijn effect gehad op het uitvoeren van de audits die totaal digitaal op afstand moesten worden uitgevoerd. Jaarplan 2020/2021 was te ambitieus; te veel audits gepland. Benodigde inzet voor project rechtmatigheidsverantwoording was veel groter dan verwacht. Prioritering organisatieonderdelen inclusief uitrol nieuwe systemen had effect op geplande audits. Groot aantal personeelsmutaties en hoger ziekteverzuim mede gerelateerd aan de coronacrisis. Beschikbare auditcapaciteit daardoor lager dan verwacht. Onderbezetting qua IT audit.

Concernaudit moest daarom prioriteren. Een aantal minder kritische audits niet zijn uitgevoerd en zijn audits doorgeschoven naar het jaarplan 2021/2022. De prioritering heeft plaatsgevonden in overleg met de Concerndirectie en wethouder Linda Voortman. Het bijgestelde jaarplan 2020/2021 is compleet uitgevoerd. Concernaudit heeft op dit moment geen vacatures, maar nog wel een hoog ziekteverzuim (geen verband met de coronacrisis).

Utrecht.nl 4

2. Digitale innovaties Concernaudit in 2020/2021 Middels data-analyse software (Caseware IDEA) verzamelt, verwerkt, analyseert en controleert Concernaudit grote hoeveelheden data uit de systemen van de gemeente ter verbetering van de effectiviteit en efficiëntie van haar auditwerkzaamheden. Process Mining is een methode die Concernaudit gebruikt om het verloop van processen in kaart te brengen, te visualiseren, te analyseren en te controleren met behulp van speciale software (ProcessGold). Met behulp van deze software verkrijgen we middels data en logboeken in systemen een betrouwbaar inzicht krijgen in hoe een proces verloopt en kunnen we de oorzaken van ongewenste resultaten (afwijkingen en bottlenecks) achterhalen. Data-analyse en Process Mining passen we structureel toe bij audits en onderzoeken. Door deze toepassingen te verbreden in de organisatie is het mede financieren van de software geborgd. Vanuit organisatieonderdelen is er interesse voor de digitale vernieuwingen van Concernaudit. Robotgestuurde procesautomatisering, afgekort tot RPA, is een techniek die gebruikt wordt voor het automatiseren van processen, met behulp van zogenaamde 'software-robots’. Concernaudit gebruikt na een pilot, nu structureel RPA bij haar controle van de Europese aanbestedingen. Bij Werk & Inkomen loopt een RPA pilot.

Concernaudit zou graag zien dat de gemeente vanuit de opgave Digitale Stad investeert in een gemeentebreed RPA platform, waarop alle organisatieonderdelen kunnen aanhaken.

Utrecht.nl 5

3. Belangrijkste uitkomsten audits en onderzoeken Vervolgonderzoek beheersing grote projecten Toekomstgerichte, thematische analyse van de kaders en de toepassing hiervan ten aanzien van projectramingen, tegenspraak en projectadministratie. Conclusie: Veel zaken gaan goed, niet omdat de gemeente die goed heeft ingericht of gestructureerd, maar omdat medewerkers maximaal hun kennis en ervaring inzetten om de juiste dingen goed te doen. Aandachtspunten: a) Concretiseer de handleiding ten aanzien van de toe te passen ramingssytematiek(en) voor de verschillende typen projecten en de daarbij te hanteren onzekerheidsmarge, mede afhankelijk van de fase waarin het project zit. Geef meer concreet handvatten voor de opbrengsten, kosten en onzekerheidsmarges die hierin moeten worden opgenomen. b) Zet voortvarend in op de implementatie van integraal risicomanagement, waarin projectrisico’s aan de orde komen. c) Organiseer de leercurve op projectbeheersing en daarmee minder afhankelijkheid van individuele en externe deskundigheid. d) Denk na over doorontwikkeling van de nu informele aansturing van de projectomgeving. e) Verbreedt en verdiep het instrumentarium voor tegenspraak. f) Schenk in de opbouw van een effectieve en acceptabele uniforme standaard projectadministratie aandacht aan de grondoorzaken voor het ontbreken van uniforme financiële projectsturing.

De volgende vijf projecten zijn in detail beoordeeld: Implementatie van ZorgNed, Kanaalstraat- Damstraat, Jaarbeursgarage, Noordelijke Randweg Utrecht (NRU) en Berlijnplein. Na afronding van het vervolgonderzoek zijn belangrijke stappen gezet door de gemeente om de projectbeheersing gemeentebreed te versterken: • Handleiding projectbeheersing voor alle projecten. • Aanvullend de Regeling Risicovolle Projecten voor grote, risicovolle projecten.

Utrecht.nl 6

3. Belangrijkste uitkomsten audits en onderzoeken Audit logische toegangsbeveiliging SAP (vervolg 2019) Conclusie: ‘Gezien waar het vandaan komt, beweegt logische toegangsbeveiliging SAP in de goede richting’. Aan veel aanbevelingen is (al dan niet gedeeltelijk) opvolging gegeven. Desondanks is er sprake van een verhoogd risico dat fouten, nalatigheid of opzettelijk misbruik niet of niet tijdig worden voorkomen of ontdekt. Openstaande aanbevelingen hebben met name te maken met het inperken van de toekenning van (kritische) beheerrechten, de monitoring op het gebruik er van en de controle op de juistheid van de toegekende rechten (zowel gebruikers als beheerders). Teneinde dit te verbeteren, gaat het om een mix van een zeer grote hoeveelheid handmatige en geautomatiseerde beheersingsmaatregelen in en rondom een complex ERP systeem SAP. Gemeente Utrecht zet hiervoor in op de implementatie van de SAP GRC Access tooling, een tool die is ontwikkeld om organisaties te helpen bij het automatiseren van het beheer van gebruikers- en beheerderstoegang en het bewaken van functiescheiding op basis van gebruikersrollen. Audit risicobeheersing samenwerkingsverbanden Rapport fase 1 ‘definiëren en inventariseren van samenwerkingsverbanden’.

Belangrijkste bevindingen: • Volledig inzicht in aantal en financiële omvang van samenwerkingsverbanden is een opgave bij afwezigheid van een eenduidig begrippenkader en richtlijnen voor registratie. • Concernaudit heeft in totaal 101 samenwerkingsverbanden geïnventariseerd met een totale financiële omvang van bijna € 70 mln. Waarschijnlijk zijn er meer samenwerkingsverbanden. • Meerdere modellen voor risicobeheersing zijn in opzet aanwezig. De toepassing van systematisch risicobeheersing bij samenwerkingsverbanden is beperkt en wordt niet afgedwongen door een gemeentelijk monitoringsysteem. Audit van fase 2 ‘analyse van risicomodellen en beheersing van 15 verschillende samenwerkingsverbanden’ is opgenomen in jaarplan 2021/2022.

Utrecht.nl 7

3. Belangrijkste uitkomsten audits en onderzoeken Onderzoek Administratieve Organisatie/Interne Controle (AO/IC) van het proces verlenen parkeervergunningen bij VTH Belangrijkste uitkomsten: • De huidige en gewenste opzet en bestaan van de AO/IC van het proces verlenen parkeervergunningen is onderzocht. In totaal zijn er 18 risico’s en 48 beheersmaatregelen in kaart gebracht. In opzet en bestaan worden de risico’s voldoende beheerst. • De belangrijkste aanbevelingen betreffen de beheersmaatregelen inzake de hoge risico’s van: het niet factureren van verleende parkeervergunningen/niet ontvangen van betalingen; het hoog geautomatiseerd proces.

Utrecht.nl 8

3. Belangrijkste uitkomsten audits en onderzoeken Readiness scan naar de implementatie van de Omgevingswet – concept rapport In december 2019 heeft de gemeenteraad het plan van aanpak invoering Omgevingswet vastgesteld waarin de doelen van de Omgevingswet en de Utrechtse ambities voor de OW zijn uitgewerkt: 1. Integrale benadering fysieke leefomgeving; 2. Vergroten bestuurlijke afwegingsruimte; 3. Inzicht in wat wel en niet kan; en 4. Besluitvorming versnellen en verbeteren. De invoering van de OW is ondergebracht in een apart programma.

In de voorbereiding op de OW is de gemeente sterk afhankelijk van de landelijke ontwikkelingen, vooral ten aanzien van Digitaal Stelsel Omgevingswet (DSO). Vanwege vertraging in o.a. de oplevering van het DSO zijn er onvoldoende waarborgen dat alle partners op tijd kunnen voldoen aan de minimale eisen voor een verantwoorde invoering van de OW. Daarom heeft de regering opnieuw besloten de inwerkingtreding van de OW uit te stellen, nu tot 1 juli 2022. In periode maart t/m mei 2021 is een readiness scan naar de implementatie van de Omgevingswet (OW) uitgevoerd met als doel te beoordelen in hoeverre de gemeente per 1 juli 2022 kan werken conform de OW: wat betekent dat we voldoen aan de (juridische) eisen en het huidige niveau van dienstverlening in stand kunnen houden. Wij komen tot de conclusie dat de voortgang van de voorbereidingen in lijn is met de VNG richtlijnen. Voor het merendeel van de mijlpalen ligt de gemeente op koers om per 1-7-2022 te voldoen aan de minimale eisen van de OW. De grootste risico’s op vertraging van de implementatie OW hebben betrekking op: • De OW vereist een andere manier van werken: integraal, ketengericht, faciliterend en digitaal. De organisatorische effecten van de invoering OW zijn nog niet volledig in beeld, maar er zijn wel verkenningen over de personele consequenties en de effecten van de OW op organisatiestructuur en functies.

We hebben zorgen over de tijdige noodzakelijke opleiding en ondersteuning voor betrokken medewerkers in dit veranderingstraject. • De gemeente heeft specifieke OW software verworven. De gemeente moet zo snel mogelijk zorgdragen voor een werkende aansluiting/koppeling met de DSO-LV om zekerheid te verkrijgen dat het uitwisselen en publiceren vanuit de eigen omgevingsplansoftware werkt, zodat urgente planwijzigingen kunnen worden doorgevoerd. De OW software en contracten met de leveranciers voldoet niet volledig aan eisen van de Baseline Informatie beveiliging Overheid (BIO) en Algemene verordening gegevensbescherming (AVG), waardoor we gegevensbeschermingsrisico’s lopen. • Er is nog geen eenduidige aanpak voor het wijzigen van het omgevingsplan, inclusief alle procedurele eisen tijdig wordt doorlopen.

Utrecht.nl 9

3. Belangrijkste uitkomsten audits en onderzoeken Nulmeting (privacy audit) verwerking politiegegevens proces staandehouding - concept rapport. Bij de gemeente zijn buitengewoon opsporingsambtenaren (boa’s) werkzaam bij meerdere organisatieonderdelen. Deze boa’s zijn bijvoorbeeld werkzaam als gemeentelijke handhavers, wijkboa’s, boswachters, parkeercontroleurs, milieu-inspecteurs, leerplichtambtenaren en sociaal rechercheurs. De verwerking van persoonsgegevens door boa’s ter voorkoming, opsporing of vervolging van strafbare feiten (kort ‘politiegegevens’) vallen vanaf 1 januari 2019 onder de Wet Politiegegevens (Wpg) en relevante besluiten (Bpr en BprBoa) en regeling. Naast een opsporingstaak hebben boa’s ook andere taken, zoals het houden van toezicht en handhaving binnen het eigen domein. Op het verwerken van persoonsgegevens in verband met het uitvoeren van deze taken is niet de Wpg, maar de AVG van toepassing. Voor politiegegevens gelden op grond van de Wpg andere bewaartermijnen, andere rechten van betrokkenen én andere regels om de gegevens aan derden te verstrekken dan voor persoonsgegevens die worden verwerkt onder de AVG. Van belang is dat de gemeente een verwerkingssysteem gebruikt waarin een duidelijk onderscheid bij de verwerking van persoonsgegevens is aangebracht tussen de ‘toezicht/handhaving’ of ‘opsporing’ taken van boa’s.

Vergunningen, Toezicht en Handhaving (VTH) is verantwoordelijk voor het toezicht, handhaving en opsporing op het gebied van de Openbare Ruimte (THOR) en Bebouwde Omgeving (THBO) en heeft binnen de gemeente de meeste boa’s in dienst. Het auditobject betrof de verwerking van persoonsgegevens in het kader van de uitvoering van de opsporingstaak staandehouding door boa’s van THOR. Voor deze opsporingstaak is gekozen, omdat staandehouding circa 80% van het werk van THOR beslaat. Wij hebben geconcludeerd dat de maatregelen gericht op de bescherming van politiegegevens nog in ontwikkeling zijn, maar dat stappen in de goede richting zijn gezet om invulling te geven aan de wettelijke vereisten. Desondanks moet de gemeente meer doen (qua activiteiten en qua snelheid) om de rechtmatige uitvoering van de Wpg te waarborgen. De belangrijkste tekortkomingen hebben betrekking op het toekennen van autorisaties, de uitbesteding van gegevensverwerkingen, gegevensbescherming door beveiliging en ontwerp, de gemeentelijke privacy verordening en het verplichte jaarlijkse verslag van de Functionaris Gegevensbescherming.

Utrecht.nl 10

3. Belangrijkste uitkomsten verbijzonderde interne controle Verbijzonderde Interne Controle salarismutaties algemeen en personeel M&O 2020 Geen bijzonderheden geconstateerd. M&O zal zelf de controle op de salarismutaties vanaf 2021 uitvoeren. Verbijzonderde Interne Controle personeelsdeclaraties 2020 Bevindingen hadden betrekking op dubbel gedeclareerde kosten, kosten die op de verkeerde wijze zijn gedeclareerd en declaraties in strijd met de regels. De geconstateerde bevindingen worden ten laste van de vrije ruimte in de werkkostenregeling gebracht conform de berekeningswijze zoals is overeengekomen met de belastingdienst. Het declaratieproces is met de komst van het systeem MijnHR gewijzigd. M&O zal zelf de controle op de declaraties vanaf 2021 uitvoeren. Verbijzonderde Interne Controle naleving EU-aanbestedingsregels 2020 Ten opzichte van de afgelopen jaren is de omvang van de geconstateerde onrechtmatigheden in 2020 fors gedaald. Geconstateerde onrechtmatigheden hebben vooral betrekking op inhuur: • Het blijven inhuren van personeel nadat de contractduur is verstreken en/of • Het verlengen van Marktpleincontracten waar dit niet meer is toegestaan. Daarnaast zijn meerdere verbeterpunten gerapporteerd ten aanzien van het aanbestedingsproces en de vastlegging in SAP. De verbeterpunten zijn overgenomen en voorzien van een concreet actieplan.

Utrecht.nl 11

3. Belangrijkste uitkomsten process mining Process Mining subsidies 2020 Concernaudit heeft een digitale controle middels Process Mining uitgevoerd over de in 2020 verstrekte subsidies met informatie uit het subsidiesysteem (SI-U) en de financiële administratie (SAP). Het betrof 2.909 dossiers met een totale waarde van € 217.456.481. Het doel was om vast te stellen dat de subsidies zijn verstrekt op basis van een adequaat werkproces. Daarna is vastgesteld of een toereikende functiescheiding aanwezig is en zichtbare beoordelingen en controles hebben plaatsgevonden alvorens een subsidie wordt toegekend en vastgesteld. We hebben geconstateerd dat bij de verstrekte subsidies de vastgestelde termijnen in de verleningsfase en vaststellingsfase vaak niet worden nageleefd. We hadden geen bevindingen t.a.v. de betrouwbaarheid van de subsidie-informatie, bevoegdheden en functiescheiding. Process mining inkoopfacturen SAP 2020 Concernaudit heeft een digitale controle middels Process Mining uitgevoerd op de in 2020 geboekte inkoopfacturen met een totale waarde van € 1.073.758.551. In dit proces van bestellen tot en met de betaling van de facturen toetsten wij of specifieke processtappen zijn uitgevoerd door daartoe geautoriseerde personen, adequate functiescheiding is toegepast en er geen misbruik van beheers- en gebruikersrollen is geweest.

Wij hebben geconstateerd dat bij een klein aantal bestellingen de goedkeuring door een budgethouder ontbreekt. Dit blijkt samen te hangen met de vervanging van budgethouders en het niet (tijdig) intrekken van bevoegdheden van voormalige budgethouders. Daarnaast ontbreekt bij een klein aantal facturen de (volledige) goedkeuring van de juiste personen en is de noodzakelijke functiescheiding (minimaal twee personen) niet toegepast. Een klein deel van de facturen (2%) is handmatig geboekt door medewerkers van FIJ. Handmatige boekingen zijn nodig in het geval van boekingsfouten, binnen specifieke betaalstromen en bij specifieke leveranciers.

Utrecht.nl 12

Bijlagen jaarverslag 2020/2021

Utrecht.nl 13

1. Project rechtmatigheidsverantwoording Het project rechtmatigheidsverantwoording (RMV) heeft in de periode april 2020 – maart 2021 goede voortgang gemaakt. De externe projectleider rapporteert periodiek de voortgang aan de stuurgroep RMV. De zorgen van het project RMV hebben vooral betrekking op de businesscontrol capaciteit van organisatieonderdelen ten aanzien van het opmaken van de verbijzonderde interne controleplannen (VIC’s) gericht op rechtmatigheid (vooral bij Vastgoedorganisatie Utrecht (VGU) en Ontwikkelorganisatie Ruimte) en de uitvoering en rapportage van de VIC’s in 2020. Op 27-05-2020 heeft de projectleider RMV een presentatie gegeven aan de adviescommissie Controle & Financiën van de raad inzake het goedgekeurde project plan van aanpak. Op 21-01-2021 heeft de raad de verantwoordingsgrens voor de rechtmatigheidsverantwoording over het begrotingsjaar 2021, 2022 en 2023 vastgesteld. Ook is bepaald door de raad dat in de paragraaf bedrijfsvoering van de jaarstukken een toelichting wordt opgenomen op de rechtmatigheidsverantwoording, met daarin een uiteenzetting van de geconstateerde bevindingen en oorzaken, afwijkingen van wet- en regelgeving en maatregelen ter voorkoming van soortgelijke bevindingen in de toekomst. Op 9 maart 2021 heeft het college het ‘Normenkader rechtmatigheid 2020’ vastgesteld.

Het ‘normenkamer rechtmatigheid 2021’ Noodzakelijke aanpassingen aan de financiële en controleverordeningen i.v.m. RMV zijn geïdentificeerd. Verordeningen worden aangepast nadat de wetswijziging door de 1e en 2e kamer is aangenomen. Het projectteam heeft ook meegewerkt aan de ‘Handreiking Invoering Rechtmatigheidsverantwoording; Adviezen en best practices’ van VNG en IPO in samenwerking met gemeenten Alkmaar, Almere en Amersfoort en de provincies Flevoland en Utrecht (bijgevoegd).

Utrecht.nl 14

2. Verbijzonderde Interne Controles OO

Verbijzonderde Interne Controles

M&O

1. Controle salarismutaties algemeen 2020 - Afgerond De resultaten n.a.v. uitgevoerde controles op basis van steekproeven zijn gerapporteerd aan M&O. Op de individuele controles zijn geen bijzonderheden geconstateerd. Wel is er een onduidelijkheid omtrent het ontbreken van een aansluiting tussen het aantal aangeleverde en het aantal door verwerkte mutaties in het oude personeel systeem (PIMS). 2. Controle salarismutaties eigen personeel M&O 2020 - Afgerond De resultaten n.a.v. uitgevoerde controles op basis van steekproeven zijn gerapporteerd aan M&O. Geen bijzonderheden geconstateerd. 3. Controle personeelsdeclaraties 2020 - Afgerond De bevindingen n.a.v. uitgevoerde controles op basis van steekproeven zijn gerapporteerd aan M&O inclusief aanbevelingen ter verbetering. Bovenstaande controlewerkzaamheden zijn overgedragen aan M&O in Q1 2021.

Alle

4. Controle naleving EU-aanbestedingsregels 2020 - Afgerond De bevindingen n.a.v. uitgevoerde controles op basis van steekproeven zijn gerapporteerd aan FIJ, Concerncontrol en Deloitte inclusief aanbevelingen ter verbetering. Ten opzichte van de afgelopen jaren is de omvang van de geconstateerde onrechtmatigheden in 2020 fors gedaald. Onrechtmatigheden vooral bij inhuur. Meerdere verbeterpunten gerapporteerd t.a.v. het aanbestedingsproces.

Meerdere

5. Process Mining subsidies 2020 - Afgerond De bevindingen n.a.v. uitgevoerde process mining zijn gerapporteerd aan de manager van het Subsidiebureau en Deloitte inclusief aanbevelingen ter verbetering. Bevindingen hadden betrekking op de naleving van de termijnen in de verleningsfase en vaststellingsfase van subsidies. Geen bevindingen t.a.v. de betrouwbaarheid van de controle Utrecht.nl informatie, bevoegdheden en functiescheiding. 15

3. Operational audits OO

Operational audits (indien relevant ook IT en soft controls in scope)

MO

1. Geïntegreerde procesaudit Backoffice Jeugdwet en WMO – Afgerond 2. Procesaudit onderwijs – onderzoek uitgesteld naar jaarplan 2021/2022 i.v.m. prioritering organisatieonderdeel en concernaudit

RUIMTE 3. Vervolgonderzoek beheersing grote projecten – Afgerond. 4. Procesaudit Erfpacht – Gecanceld i.v.m. organisatiewijzigingen bij Ontwikkelorganisatie Ruimte.

VTH

5. Readiness-scan invoering Omgevingswet – Concept rapport.

Utrecht.nl 16

4. Digital audits OO

IT audits

Wigo4it

1. Jaarlijkse IT audit bij Wigo4it – Afgerond.

VTH

2. Privacy audit Verwerking Politiegegevens Staandehouding – concept rapportage.

Alle

3. ENSIA-verantwoordingsproces – gecanceld vanwege gebrek IT audit capaciteit Concernaudit. Audit ENSIA-verantwoording wordt jaarlijks uitgevoerd door Duijnborgh Audit B.V.

BSN

4. Logische toegangsbeveiliging SAP (vervolg 2019) – Afgerond.

5. Toegangsbeveiliging bedrijfsnetwerk – Gecanceld vanwege gebrek IT audit capaciteit en overlap met het onderzoek van de Rekenkamer Utrecht naar informatiebeveiliging.

Utrecht.nl 17

5. 213a & overige onderzoeken OO

213a onderzoek en overige onderzoeken

MO

1. 213a onderzoek ‘Veerkracht en gelijke kansen’- i.v.m. prioritering Concernaudit en in overleg met wethouder Voortman uitgesteld naar Q2 2021.

MO

2. Bewonersaudit ‘Het Utrechtse zorgmodel’ cliëntenparticipatie bij de tussenevaluatie van zorgpartners – Uitvoering gepland in Q1 – Q3 2021. Uitvoering is gekoppeld aan de timing van de tussenevaluatie zorgpartners door Maatschappelijke Ontwikkeling (MO)

OOR

3. Controle Europese subsidies – Afgerond. Geen bijzonderheden

Alle

4. Audit risicobeheersing samenwerkingsverbanden – Afgerond. Fase 1 ‘Definiëren en inventariseren van samenwerkingsverbanden’. Fase 2 in plan 2021/2022.

Alle

5. Onderzoek aanbesteding - In behandeling nemen aanbestedingsstukken in de periode 2011 t/m 2013 – Afgerond (vertrouwelijk).

Utrecht.nl 18

6. Advisering en innovatie OO

Advisering en innovatie

BSN

1. Inbreng traject aanbesteding SAP GRC Access tooling – Afgerond.

BSN

2. Advisering van de werkgroep implementatie MijnHR (SAP Succesfactors)– Afgerond Advisering ten aanzien van risico’s en gewenste beheersmaatregelen MijnHR.

BSN

3. Deelname aan risico-dialoog programma – Afgerond.

BSN

4. Pilot RPA Inkoop met PWC – Afgerond.

PBZ

5. Pilot process mining Publiekszaken – Afgerond.

Meerdere

6. Pilot Text Mining subsidies met Deloitte – Afgerond

W&I

7. Review interne controleplan Tozo – Afgerond.

Alle

8. Process mining SAP – Afgerond.

Utrecht.nl 19

7. Personele bezetting Concernaudit (1) Functie

Personeelsmutaties APRIL 2020 – MAART 2021

Manager Concernaudit

Tijdelijke parttime (24 uur p/w) manager t/m juni 2020. Nieuwe fulltime manager vanaf 1 juli 2020.

Audit Innovator

Werkzaamheden gestopt in juni 2020, daarna uitdienst getreden. Niet vervangen. Taken en verantwoordelijkheden belegd bij de Manager en een Data Analist.

Senior Auditor

1 Senior Auditor is in maart 2020 met pensioen gegaan. Nieuwe Senior Auditor gestart op 1 september 2020.

Senior IT Auditor

Senior IT Auditor is vertrokken in januari 2021. Nieuwe Senior IT auditor is gestart op 1 maart 2021.

Auditor

1 Auditor was langdurig ziek, maar werkt gelukkig weer volledig beter.

Data Analist

1 Data Analist gaat in juli 2021 met pensioen. Nieuwe Data Analist start op 1 juni 2021.

Assistent Auditor

2 Assistent Auditors; uitstroom 1 assistent auditor gepland in 2021.

Projectleider RMV

Oude projectleider is op eigen verzoek vertrokken 30 september 2020. Nieuwe projectleider is gestart op 1 oktober 2020. Inhuur tot juni 2021 (16 uur p/wk). Verlening van het inhuurcontract tot eind 2021 wordt besproken.

Stagiairs

1 Stagiair Hogeschool Inholland: onderzoek naar de Administratieve Organisatie /Interne Controle van het proces verlenen parkeervergunningen VTH. 3 Stagiairs IT audit opleiding Tilburg Universiteit: de privacy audit Verwerking Politiegegevens Staandehouding VTH.

Utrecht.nl 20

7. Personele bezetting Concernaudit (2) Functie

FTE

Formatie 2020

Huidige bezetting

Formatie 2021

Manager Concernaudit

1,00

1,00

1,00

Innovator

1,00

-

-

Senior Auditor

2,78

2,89

2,89

Senior IT Auditor

1,00

1,00

1,00

Auditor

1,75

3,00

3,00

IT Auditor

-

-

-

Data-analist

-

1,67

1,67

Assistent Auditor

3,00 *

2,00 *

1,00 *

Projectleider RMV

Extern

Extern

Extern

Stagiairs

Extern

N.v.t.

Extern

Totaal

10,53

11,56

10,56

* Uitstroom 1 Assistent Auditor gepland

Utrecht.nl 21