Jaarverslag 2021 - 2022 Concernaudit definitief.pdf

Jaarverslag Concernaudit APRIL 2021 – MAART 2022

12 mei 2022 Manager Concernaudit

Inhoudsopgave Een veelbewogen auditjaar Inleiding

Concernaudit Jaarverslag 1 april 2021 – 31 maart 2022

Status onderhanden opdrachten uit jaarplan 2021 - 2022

Betrokkenheid directieraad & gemeentebrede verbetermogelijkheden Afgeronde auditopdrachten

Afgeronde adviesopdrachten Digitale innovaties en innovatietrajecten

Een veelbewogen auditjaar In dit jaarverslag nemen we onze stakeholders mee in de resultaten en uitdagingen van de uitvoering van het jaarplan 20212022. Onze stakeholders en auditees willen we bedanken voor de samenwerking het afgelopen jaar. We kijken uit naar een nieuw auditjaar, waarbij we de gemeente Utrecht samen verder vooruit helpen. De jaarplanperiode 2021 - 2022 is een veelbewogen jaar geweest. Concernaudit heeft een ambitieuze planning opgesteld. Een deel van de audits op het plan is nog onderhanden, waaronder het 213a onderzoek ‘Veerkracht en Gelijke Kansen’ welke in mei in de directieraad behandeld wordt. In de periode 1 april 2021 t/m 31 maart 2022 is het niet gelukt het hele plan te realiseren. De voornaamste oorzaak hiervoor was dat het jaarplan achteraf bezien te ambitieus was. Andere redenen waren: - Doorloop medewerkers: Concernaudit bestaat uit een team van 13 collega’s en heeft aardig wat wisselingen in het team gehad, waaronder die van auditmanager. Het afgelopen jaar hebben vier medewerkers afscheid genomen van het team en hebben we vijf nieuwe collega’s mogen verwelkomen. De nieuwe collega’s hebben concernaudit versterkt op het gebied van leiderschap, IT riskmanagement en data-analyse technieken. - Ongepland langdurig verlof: Concernaudit heeft met ongepland verlof te maken gehad ter grootte van 1,3 fte.

- Capaciteit en prioritering auditee: Een aantal auditees hebben verzocht audits uit te stellen vanwege gebrek aan capaciteit, processen die nog niet klaar waren voor een audit of uitgestelde wetgeving. - Doorlooptijd: De verschillende auditfasen vragen afstemming met veel stakeholders. Tijdig afstemmen en reageren op bijvoorbeeld bevindingen bleek voor de auditee een uitdaging, evenals het managen van de doorlooptijd door concernaudit. Concernaudit zal hier bij de uitvoer van het volgende jaarplan meer aandacht aan besteden.

Status audits Afgerond

7

Onderhanden

8

Status advies Afgerond

7

Onderhanden

3

Status innovatie Innovatietrajecten zijn conform planning opgestart en hebben een langdurig ondersteunend karakter Utrecht.nl 3

Status onderhanden opdrachten uit jaarplan 2021 - 2022 Vooronderzoek Opdrachtafgerond beschrijving afgestemd

Veldwerk afgerond

Bevindingen afgestemd

Conceptrapport aangeboden

In afwachting van management reactie

IT Audit: Werken 3.0 ICT CMDB IT Audit: Privacyaudit Cameratoezicht & Bodycams IT Audit: LTB SAP ECC & SRM Operational Audit: Risicobeheersing samenwerkingsverbanden

213a Veerkracht en gelijke kansen Advies: Participatie frauderisicosessie Nulmeting digitale assistent GEM Rechtmatigheidsverantwoording: Inkopen en aanbesteden; spend Operational Audit: Onderwijshuisvesting Operational Audit: Erfpacht Operational Audit: Behandeling van Schadeclaims

Utrecht.nl 4

Betrokkenheid directieraad het afgelopen jaar heeft de organisatie geholpen noodzakelijke stappen te zetten Zichtbaar betrokken directieraad bevorderde slagkracht bij opvolging van auditbevindingen • Betrokkenheid van de directieraad bevorderde de juiste prioritering en opvolging van door concernaudit geconstateerde bevindingen en geformuleerde aanbevelingen.

• Daardoor konden gerichte acties die leiden tot risicomitigatie uitgezet worden

Gemeentebrede verbetermogelijkheden Strategische doelen zijn deels onvoldoende vertaald naar tactische inrichting en operationele uitvoering • Tactische en operationele invulling zijn vaak niet in lijn met strategische doelstellingen • Operationele processen krijgen onvoldoende handvatten om strategische doelstellingen te faciliteren Helderheid over eigenaarschap en verantwoordelijkheden voor organisatieonderdeel overstijgende vraagstukken is niet altijd aanwezig • Eigenaarschap en verantwoordelijkheid voor processen die organisatieonderdelen overstijgen zijn vaak onduidelijk • Verwachtingen die betrokken organisatieonderdelen van elkaar hebben zijn onvoldoende afgestemd en geformaliseerd

Volwassenheid van de interne beheersing blijft aandacht van het management vragen • Regiefunctie op kwaliteit, veiligheid en continuiteit van dienstverlening die is uitbesteed bij derde partijen is onvoldoende ingevuld • Functionaliteiten in huidige informatiesystemen worden niet optimaal benut • Kaders en richtlijnen zijn vaak incompleet, onvoldoende geformaliseerd en niet beschikbaar voor relevante functionarissen (IT domein) • Afhankelijkheid van individuen in combinatie met het niet altijd structureel en consequent delen van informatie (en borging hiervan in beleid en procedures) vergroot continuïteitsrisico’s (IT domein)

Utrecht.nl

• Onvoldoende sturing op en aantoonbare implementatie 5 van verplichte en geambieerde standaarden (IT domein)

Audit

Samenvatting van de afgeronde auditopdrachten

Utrecht.nl 6

Operational audits Concernaudit heeft in 2020-2021 drie operational audits uitgevoerd

1. Meervoudig onderhands aanbesteden (Organisatieonderdeel: gemeentebreed) Ten opzichte van eerder onderzoek naar de naleving van interne procedures bij meervoudig onderhands aanbesteden, zijn grote stappen gemaakt. We hebben een aantal aanbevelingen met het management gedeeld om voor de toekomst risico’s ten aanzien van het niet volledig naleven van het Utrechts inkoopbeleid te mitigeren. 2. Coronasteunpakketten: Tijdelijke overbruggingsregeling zelfstandig ondernemers (Tozo); Tijdelijke Ondersteuning Noodzakelijke Kosten (TONK) (Organisatieonderdeel: Werk & Inkomen) De algehele indruk is dat, zeker gezien de tijdsdruk waaronder WenI heeft gewerkt, het gehele Tozo- en TONK-proces goed is ingericht en uitgevoerd. Vanuit deze audit hebben we geen significante bevindingen. Een aantal verbetervoorstellen voor de toekomst hebben we met het management gedeeld. 3. Bedrijfsafvalinzameling (Organisatieonderdeel: Stadsbedrijven- Inzamelen, Markten en Havens) De afdeling Inzamelen, Markten en Havens (IMH) heeft de afgelopen jaren mooie stappen in het proces bedrijfsafvalinzameling gemaakt. We hebben een aantal bevindingen rond het toegangsbeheer van het productiesysteem, bedrijfsvoerings- en commerciële aspecten in de rapportage opgenomen. De aanbevelingen over kaders en richtlijnen ten aanzien van de verschillende aspecten worden door het management overgenomen.

Het opvolgen van de aanbevelingen draagt bij aan een verbetering van de interne beheersing en een efficiëntere werkwijze.

Utrecht.nl 7

IT Audits

Concernaudit heeft in 2020-2021 vier IT audits uitgevoerd

1. Wijzigingsbeheer SAP Inkoop- en financiële module (Organisatieonderdeel: Overstijgend) De audit naar het proces wijzigingsbeheer SAP inkoop- en financiële module heeft uitgewezen dat de volwassenheid van het wijzigingsbeheer op het informatiesysteem onvoldoende is om aantoonbaar in control te kunnen zijn. De aanbevelingen worden herkend door de stakeholders en mitigerende acties zijn onderhanden. 2. Readiness assessment Cloudtransitie (Organisatieonderdeel: Programma Cloudtransitie) Het Cloudtransitie (CT) programma is onderverdeeld in drie werkstromen: Infrastructuur, applicaties en regieorganisatie. Deze aanpak heeft als voordeel dat snel en flexibel op veranderende inzichten kan worden ingespeeld. Het resultaat van het onderzoek laat een aantal tekortkomingen zien ten aanzien van het programma en de doelstellingen die onvoldoende vertaald zijn naar tactische inrichting en operationele uitvoering. Deze bevindingen worden door de stuurgroep overgenomen waardoor voor het vervolg voldoende sturing en een veilige inrichting en exploitatie van clouddiensten door het management kan worden gegeven. 3. Algoritmebeheer- en verantwoording (Organisatieonderdeel: Overstijgend) In reactie op vragen die door raadsleden zijn gesteld, is de CIO (Chief Information Officer) office een initiatief gestart om het algoritmeregister op te zetten.

Uit de audit blijkt dat er onvoldoende maatregelen zijn ingericht om juistheid en volledigheid van het algoritmeregister te waarborgen. Ook blijkt dat kaders en richtlijnen voor beheer van algoritmes onvoldoende zijn gedefinieerd en daardoor niet beschikbaar voor de organisatie. De aanbevelingen zijn overgenomen door het management met het doel de kwaliteit van het register te verhogen en om adequate sturing te kunnen faciliteren. 4. Wigo4it (Samenwerkingsverband G4) Wigo4it is een coöperatie van de gemeenten Amsterdam, Rotterdam, Den Haag en Utrecht (hierna: G4 genoemd). Wigo4it ontwerpt, ontwikkelt, beheert en onderhoudt ICT-applicaties en bijbehorende IT-infrastructuur ten behoeve van de sociale Utrecht.nl diensten van de G4. Binnen de gemeente Utrecht wordt van deze applicaties gebruik gemaakt door Werk en Inkomen ter ondersteuning van de processen werk en inkomen. In opdracht van Wigo4it hebben de G4 een audit op de General IT Controls uitgevoerd. De aanbevelingen uit deze audit zijn overgenomen door WiGo4IT.

8

Advies Samenvatting van de afgeronde adviesopdrachten

Utrecht.nl 9

Advies inzake Rechtmatigheidsverantwoording (RMV) Concernaudit heeft een externe projectleider ingehuurd om de rechtmatigheidsverantwoording gemeentebreed te realiseren

De opzet voor de interne controles is deels gereed. Voor implementatie consequente uitvoer van de controles is werk aan de winkel. Met uitstel van de wetgeving heeft de gemeente hier meer tijd voor gekregen

Deze projectleider heeft alle afdelingen van de gemeente ondersteund bij het op maat maken van de rechtmatigheidsverantwoording.

De wetswijziging, Wet versterking decentrale rekenkamers, die de verantwoording van het college over de rechtmatigheid mogelijk maakt, is uitgesteld tot het voorjaar 2022. Hierdoor hoeft over het afgelopen jaar 2021 nog geen formele verantwoording in de jaarrekening van 2021 plaats te vinden.

organisatieonderdelen, directieraad, college en de raad. Ook is hierin de verantwoordingsgrens opgenomen en rapportageverplichting in de paragraaf bedrijfsvoering van de jaarstukken. Tenslotte is de inrichting van de VIC-functie en een risicoanalyse op hoofdlijnen onderdeel van dit plan. Dit geeft daarmee richting aan de uitwerking van de VIC-plannen voor de belangrijke processen bij organisatie onderdelen.

Uitgevoerde werkzaamheden

Rapportagelijnen

De werkzaamheden van het afgelopen jaar betroffen het verder uitwerken van de verbijzonderde interne controleplannen (VIC-plan). Voor de processen die vallen onder het sociaal domein (W&I) is dit een vanzelfsprekende activiteit. Hiervoor worden conform het VIC-plan controles uitgevoerd en periodiek gerapporteerd. Voor een aantal andere processen is dit nog geen structureel onderdeel van de ‘control’ werkzaamheden van business control. Dit komt soms door een gebrek aan capaciteit, kennis en ervaring en soms worden andere prioriteiten gesteld.

Over de voortgang van het project RMV wordt gerapporteerd aan de stuurgroep rechtmatigheid door de projectleider. De stuurgroep heeft het afgelopen jaar regelmatig de voortgang besproken en in voorkomende gevallen ook het belang besproken met de integraal verantwoordelijk managers.

Wettelijk kader

Inmiddels zijn ook de kaders om een goede verantwoording over de rechtmatigheid mogelijk te maken opgenomen in het controleplan rechtmatigheid. Deze kaders zitten onder andere op de rollen en verantwoordelijkheden van

Vervolgstappen Het normenkader voor de rechtmatigheid 2021 is op 15 maart 2022 vastgesteld door het college. De noodzakelijke aanpassingen aan de financiële en controleverordeningen zijn nog onderhanden en worden na het Utrecht.nl definitief worden van eerdergenoemde wetswijziging voorgelegd aan de raad. 10

Advies inzake rechtmatigheidsverantwoording Op verzoek van de stuurgroep rechtmatigheid heeft concernaudit geholpen met het oplossen van systeemproblemen

Concernaudit heeft verschillende afdelingen ondersteund bij de opzet of uitvoering van de VIC plannen

Verbijzonderde interne controle (VIC) plannen rechtmatigheidsverantwoording Concernaudit heeft de Ontwikkelorganisatie Ruimte en Vastgoedorganisatie Utrecht ondersteund bij het opstellen van de VIC plannen voor de rechtmatigheidsverantwoording van: •

Erfpacht: Ondersteuning bij opstellen van de opzet.

•

Verhuur gemeentelijk vastgoed: Ondersteuning bij opstellen van de opzet

•

Grondexploitatie: Ondersteuning bij de uitvoering

Ondersteunende werkzaamheden subsidies In opdracht van de stuurgroep rechtmatigheid heeft concernaudit werkzaamheden uitgevoerd om het Subsidiebureau te ondersteunen met het oplossen van systeemproblemen. Concernaudit heeft: •

inzichtelijk gemaakt hoe risico’s m.b.t. toegang tot data in het subsidiesysteem worden afgedekt door huidige ingerichte beheersmaatregelen op het gebied van toegangsbeheer. Daarbij zijn bevindingen in de interne beheersing vastgesteld en aanbevelingen voor verbetering genoteerd;

•

de aansluiting tussen het subsidiesysteem en het financiële systeem voorbereid met behulp van dataanalyse tools;

•

informatie uit het subsidiesysteem-weblog inzichtelijk gemaakt.

Utrecht.nl 11

Overige adviesopdrachten Concernaudit heeft een feitenrelaas opgesteld rondom de verkoop van het Rachmaninoffplantsoen

Concernaudit heeft declaratierapporten gecontroleerd

Feitenrelaas Rachmaninoffplantsoen

Europese subsidies

Op verzoek van de directeur van Ontwikkelorganisatie Ruime heeft Concernaudit een feitenrelaas opgesteld rondom de verkoop van het parkeerterrein bij Rachmaninoffplantsoen 61-67 te Utrecht.

In 2022 hebben we voor de projecten School Chance, Reduces en Urbact de declaratierapporten gecontroleerd. Geen bijzonderheden te melden.

Dit feitenrelaas is in april 2022 aan de directeur van Ontwikkelorganisatie Ruimte opgeleverd en in mei met KPMG gedeeld.

Utrecht.nl 12

Innovatie Toelichting op digitale innovaties en innovatietrajecten

Utrecht.nl 13

Toepassing van digitale innovaties De innovatielijn van Concernaudit zorgt ervoor dat audits efficiënter en vollediger uitgevoerd kunnen worden door het inzetten van • data-analyses • process mining • text mining

Data- analyse tooling Caseware IDEA

R

ProcessGold

Deze werkzaamheden kunnen worden uitgevoerd binnen audits, maar ook als zelfstandige projecten zoals voor diverse specifieke process mining trajecten het geval is. Concernaudit beschikt over meerdere gespecialiseerde softwareoplossingen die data-analyse ondersteunen: • Caseware IDEA (data- analyse software) • R (data- analyse software) • ProcessGold (process mining software) Op deze manier verzamelt, verwerkt, analyseert en controleert Concernaudit grote hoeveelheden data uit de systemen van de gemeente. Repeterende werkzaamheden worden daarbij geautomatiseerd via scripts. Met behulp van deze software verkrijgen we middels data en logboeken in systemen een betrouwbaar inzicht krijgen in hoe een proces verloopt en kunnen we de oorzaken van ongewenste resultaten (zoals afwijkingen en bottlenecks) achterhalen. Process mining is een methode die Concernaudit gebruikt om het verloop van processen daarnaast ook te visualiseren en resultaten te delen via dashboards. Hiermee krijgen auditees inzage in de gebruikte data, uitgevoerde analyses en kan naar behoefte worden gefilterd. Op de volgende pagina is een overzicht opgenomen van de innovatietrajecten van het afgelopen jaar.

Toepassen op Data in de vorm van logging uit informatie systemen

Stelt ons in staat • Grote hoeveelheden data te analyseren en controleren • Repeterende werkzaamheden te automatiseren via scripts • Verloop van processen in kaart te brengen, te visualiseren en te analyseren • Meer grip te krijgen door middel van dashboards en inzicht in resultaten Utrecht.nl 14

Innovatietrajecten Raadplegen van het Basisregistratie Personen (BRP) en verstrekken van reisdocumenten. Voor Publiekszaken voerden wij twee process minings uit. Voor beide minings werden dashboards ingericht. •

In de mining ‘raadplegen BRP’ werden verwachtingen getoetst en inzichten verschaft over 1) welke functionarissen raadplegingen verrichtten en 2) afwijkende patronen van raadplegen.

•

De mining ‘verstrekken van reisdocumenten’ betrof een replicatie van een eerder uitgevoerde mining. Daarin bekeken we de mogelijke meerwaarde van additionele log data en waren we in staat om een aantal aanvullende processtappen in beeld te brengen.

Subsidieverstrekken & ondersteuning implementatie van het subsidiesysteem, Easyfunders (EF) We hebben met Domstad IT en Ivengi (een externe partij) samengewerkt om de datatoegang voor het Subsidiebureau op orde te krijgen. Het opzetten van toegang tot data in een cloud-app bleek een uitdaging, we verwachten hiervan in 2022/23 gebruik te kunnen maken. Ondersteunende werkzaamheden met betrekking tot de implementatie van EF bestonden uit het voorbereiden en automatiseren van de aansluiting tussen EF en SAP.

SAP: proces bestellen t/m factuurafhandeling In samenwerking met FIJ (Financiën, Inkoop en Juridische Zaken) hebben we gewerkt aan het inrichten van een meer frequente uitvoering en aan het aanscherpen van analyses. Het onderdeel “handmatig verwijderen van betaalblokkades” kreeg hiermee een periodieke uitvoering in een dashboard. Voor de betaalstroom “facturen zonder verplichting” staat de opzet klaar om facturen die via verkorte weg werden goedgekeurd te controleren. De volledige process mining over geheel boekjaar 2021 is in uitvoering.

Nulmeting digitale assistent (Gem) Ver(der)gaande digitalisering in de dienstverlening komt steeds meer aan de orde van de dag binnen de gemeente. Een voorbeeld is de Artificial Intelligence toepassing in de vorm van ‘digitale assistent Gem’. De uitdaging van de gemeente is om tijdens het toepassen van deze innovaties in control te zijn en blijven. Een nulmeting hierop nadert zijn afronding.

Utrecht.nl

1