Jaarverslag 2022-23 Concernaudit definitief

1

Jaarverslag Concernaudit 2022-23 April 2022 – Maart 2023

Manager Concernaudit 19 april 2023

Inhoudsopgave Managementsamenvatting Speerpunten Concernaudit Evaluatie kwaliteit dienstverlening Afgeronde auditopdrachten Rechtmatigheidsverantwoording Data support & advies en innovatie Status onderhanden opdrachten 2022/23 Management van de interne audit functie Bijlage: Reeds gerapporteerd (Halfjaarverslag)

2

Managementsamenvatting (1/2) Concernaudit jaarplan 2022-23 gerealiseerd

Teamsamenstelling en verdere professionalisering

Door bovengemiddelde medewerkersfluctuatie en ziekteverlof binnen Concernaudit is er een significant aantal audits van het jaarplan 202122 naar het auditjaar 2022-23 doorgeschoven. Deze audits hebben we allemaal afgerond.

De huidige teamsamenstelling is divers qua leeftijd, werkdomein (publieke, private en academische sector), competenties en culturele achtergrond. In maart hebben we één openstaande vacature succesvol ingevuld en hiermee de ontwikkeling richting verjonging van het team voortgezet. We hebben nu een stabiele basis en een weerbaar team om mee verder te bouwen aan een moderne en innovatieve auditfunctie.

Eind maart zijn er nog twee audits uit het reguliere jaarplan 2022-23 onderhanden, die we in Q2 2023 zullen afronden: • •

Digitale transitie - klantgericht samenwerken in ketens Toegangsbeveiliging SAP HR

Het is voor interne audit afdelingen in de publieke en private sector doorgaans gebruikelijk dat er één of twee audits tijdens het opstellen van het jaarverslag nog onderhanden zijn.

Met onze onderzoeken en adviezen voegen we waarde toe aan de organisatie. Hierdoor helpen we bij het realiseren van de strategische doelstellingen. In het kader van het verder professionaliseren van de interne auditfunctie, hebben we in 2022-23 een aantal initiatieven rondom de thema’s strategie, communicatie, netwerk, kennisdeling & samenwerking en impact geprioriteerd. Deze zijn op pagina 5 verder uitgewerkt.

Onze IT auditor is ‘Jonge Ambtenaar van het Jaar’ in Utrecht We zijn heel erg trots dat Aleksandra Drazilovic, een van onze IT auditors, de prijs van de jonge ambtenaar van het jaar 2022 van de gemeente Utrecht heeft gewonnen. Dit was een geweldige promotie voor ons team en bleek een belangrijke ‘employer branding’ factor te zijn. Door deze ‘success story’ in de vacaturetekst op te nemen, konden we de open vacature met de gewenste kandidaat versneld invullen. 3

Managementsamenvatting (2/2) Uitgelicht: Verstrekken van reisdocumenten Naar aanleiding van onze eigen frauderisicoanalyse en de mediaaandacht in de zomermaanden (casus Den Haag), hebben we besloten een audit naar de interne controles in het proces verstrekken van reisdocumenten uit te voeren. We hebben hiervoor verschillende experts (data analist, socioloog, register accountant, IT auditor) en audit technieken (interviews, enquêtes, document reviews, proces mining) met elkaar gecombineerd. Leerpunten en inzichten uit deze audit delen we binnenkort met onze collega’s van de interne audit functie in Den Haag, zie pagina 8 voor verdere toelichting.

Verantwoord omgaan met nieuwe technologieën Voor het veilige gebruik van nieuwe technologieën zijn onder andere samenwerking en kennisdeling tussen vakdeskundigen nodig. Wij geven hier invulling aan door deel te nemen aan PwC’s Tomorrow 2.0 programma, waar het thema ethiek bij het gebruik van artificial intelligence (AI) oplossingen centraal staat. Hierdoor kunnen we bijdragen aan het verbeteren van het bewustzijn en de kennis van ethische AI oplossingen binnen de gemeente Utrecht.

Gemeentebrede verbetermogelijkheden Op basis van de afgeronde audits zien we gemeentebrede verbetermogelijkheden op de volgende vlakken: Voortgang (verbeter)projecten: Diverse, reeds opgestarte, verbeterprojecten duren te lang en/of hebben nog niet de gewenste resultaten opgeleverd. Dit vraagt om structurele aandacht en prioritering van het management. Aandachtspunten hierbij zijn enerzijds duidelijk belegde rollen en verantwoordelijkheden en anderzijds het periodieke monitoren van de voortgang. Bedrijfsvoering en primaire processen: • Formalisatie, implementatie en periodieke monitoring van kaders en richtlijnen als ‘enabler’ voor robuuste processen • Consistent en consequent gebruik van systemen als ‘enabler’ voor robuuste processen • Proactief contractmanagement • Volledigheid, tijdigheid en kwaliteit van gearchiveerde dossiers Voor het aanpakken van bovengenoemde punten heeft het management reeds stappen genomen: • Het opstarten van het project ‘De Utrechtse Standaard’ in Q2 2022 • Het opstellen van het raamwerk ‘Sturen en verantwoorden’, een standaard voor de beleidscyclus en doorontwikkeling van de managementcyclus • Het vaststellen van een verbeterplan voor informatiebeheer, op basis van het adviesrapport van Doxis • Het opstarten van het traject voor versteviging van de functionele sturing vanuit de bedrijfsvoeringsfuncties

We nemen deze punten zo veel mogelijk mee in de scoping van onze opdrachten. Over de voortgang en de effectiviteit hiervan rapporteren we in het halfjaar en jaarverslag 2023/24. 4

Speerpunten Concernaudit 2022-23 Strategie • Het analyseren van het coalitieakkoord en het zorgen dat de hierin genoemde prioriteiten, speerpunten en gerelateerde risico’s in de scoping van onze audits worden gewaarborgd. • Het uitvoeren van een self-assessment (nulmeting) van de Concernaudit functie door middel van het ‘internal audit ambition model’ van het Instituut van Internal Auditors (IIA). Om continue verbetering zeker te stellen, zijn we bezig met het opstellen van een roadmap. • Het ontwikkelen van een strategisch personeelsplan als basis voor business continuïteit, een optimale bezitting en het inzichtelijk maken van competenties, ambities en ontwikkelmogelijkheden.

Netwerk • Het onderhouden en uitbreiden van de samenwerking met de Utrechtse Rekenkamer. • Het uitbreiden en versterken van de samenwerking en benchmarking met de G4 en andere interne auditafdelingen.

Kennisdeling en samenwerking • Het opbouwen en onderhouden van relaties binnen de gemeente Utrecht, waardoor we op de hoogte blijven van ontwikkelingen en uitdagingen. Hiervoor nodigen wij regelmatig diverse gastsprekers uit de organisatie uit voor kennisdeling en om mogelijke samenwerking te verkennen.

Communicatie en standaardisatie

• Het introduceren van standaard templates in alle fases van een audit om een minimum kwaliteit te waarborgen en de doorlooptijd van audits te verkorten. • Het verbeteren van de communicatie met auditees, onder andere door het uitbrengen van een nieuw rapportagetemplate. De nieuwe vorm van rapporteren speelt in op de informatiebehoefte van diverse stakeholders. Bovendien is de leesbaarheid verbeterd door gebruik van visualisatietechnieken. • Het introduceren van ‘kick- off’ en ‘closing’ meetings om zowel eigenaarschap en verantwoordelijkheden bij het uitvoeren van audits te verduidelijken als verwachtingen met betrekking tot resultaten beter te managen.

Impact • Het introduceren van surveys om onze dienstverlening continu te verbeteren. Deze surveys worden na afronding van alle audits uitgezet om feedback bij de auditees op te halen, zie pagina 6 voor verdere toelichting. • Het opstellen van een ‘assurance map’ die alle auditactiviteiten met betrekking tot de gemeente Utrecht, zowel intern als extern, visualiseert. Het doel van de ‘assurance map’ is meerledig; ✓ het voorkomen van overlap in auditactiviteiten; ✓ input leveren voor het actualiseren van het risicomanagementproces; ✓ input leveren voor prioriteren van onderwerpen voor het jaarplan Concernaudit.

5

Evaluatie kwaliteit dienstverlening Sinds september 2022 stuurt Concernaudit na het delen van het definitieve auditrapport, een evaluatiesurvey uit. Met de survey verzamelen we feedback uit de organisatie om zo de kwaliteit van onze dienstverlening continue te verbeteren. De survey bestaat uit stellingen over vier thema’s, namelijk: Team, Uitvoering, Rapport en Meerwaarde audit. Stellingen worden beoordeeld op een schaal van 1 “Helemaal niet mee eens” t/m 5 “Helemaal mee eens”. Hieronder zijn onze ambities en de vergaarde inzichten tot zover uiteengezet.

Resultaten per thema

Thema’s Team: competenties van en communicatie met het auditteam.

Uitvoering: werkwijze, doelstelling en duur van de audit.

Rapport: leesbaarheid, inhoud en accuraatheid van het opgeleverde auditrapport.

Meerwaarde audit: waarde van de audit bij het verbeteren van interne beheersing.

Surveygegevens

# Audits*

Uitvoering

Rapport

3,8

3,7

3,8

Ambitie

Score ≥4

# Auditees aangeschreven

Respons

15

7

Resultaat

Team

# Auditees ingevuld

10 * Audits van voor september 2022 zijn niet meegenomen.

67%

Meerwaarde audit

3,7

4

Tops & Tips

Score ≤ 3,5

Bevindingen in audit rapport zijn helder en inzichtelijk geformuleerd

Doorlooptijd van de audits

Managementsamenvatting en closing meeting geven een goed beeld van resultaten

Business acumen (Kennis van het audit object)

Objectiviteit en onafhankelijkheid

Delen van “best practices”

6

Audits (1/4) Omgevingswet

Archeologie

Organisatieonderdeel: Ontwikkelorganisatie Ruimte – OOR en Vergunningen, Toezicht en Handhaving - VTH

Organisatieonderdeel: Ontwikkelorganisatie Ruimte – OOR

Wij hebben een follow-up audit uitgevoerd naar de opvolging van de bevindingen van het auditrapport Omgevingswet (d.d. mei 2021). Daarnaast hebben we de beoogde opzet van het risicomanagementproces voor de overdracht van het programma naar de lijn beoordeeld.

Het overgrote deel van de bevindingen uit 2021 is opgevolgd. Het programmateam heeft mooie stappen gezet om de organisatie zo goed mogelijk voor te bereiden op de inwerkingtreding van de Omgevingswet. De regiegroep Omgevingswet besteedt aandacht aan de nog onderhanden bevindingen. Deze hebben voornamelijk te maken met het inrichten van de nieuwe ketenstructuur. Een robuust risicomanagementproces was ten tijde van de audit nog niet in de lijn geïmplementeerd. Omdat de gemeente Utrecht door de Omgevingswet niet enkel een intern speelveld meer heeft, maar ook te maken heeft met een groot aantal externe stakeholders, is een adequaat risicomanagementproces van groot belang. De regiegroep onderschrijft de bevindingen en heeft concrete acties uitgezet voor de opvolging hiervan.

Bij Archeologie hebben wij een audit uitgevoerd naar de functiescheiding van de diverse rollen binnen de afdeling, zoals in het adviesrapport ‘Archeologie bij de tijd’ van de Raad voor Cultuur is beschreven. Daarnaast was de kwaliteit van het projectmanagement onderdeel van de audit. Archeologie heeft een adequaat beoordelingsproces waarmee de uitvoerde werkzaamheden inhoudelijk op kwaliteit getoetst worden. Bij het inrichten van de afdeling archeologie is echter onvoldoende aandacht gegeven aan het waarborgen van functiescheiding. Dit is niet in lijn met het adviesrapport en leidt mogelijk tot belangenverstrengeling. Verder is de kwaliteit van de projectmanagementinformatie binnen Archeologie momenteel niet bruikbaar voor sturing en besluitvorming. Archeologie maakt voor de uitvoering uitgebreid gebruik van externe medewerkers. De processen en interne controles rondom deze inhuur zijn niet robuust, wat kan leiden tot betaling van diensten die niet geleverd zijn. Wij hebben verbeterpunten met het management van OOR besproken en inmiddels is een externe consultant aan de slag gegaan met het opvolgen van de aanbevelingen.

7

Audits (2/4) Leveranciersmanagement Organisatieonderdeel: Maatschappelijke Ontwikkeling - MO

Bij MO hebben wij het leveranciersmanagementproces rondom de dienstverlening van de aanvullende Jeugdzorg en de Wet Maatschappelijke Ondersteuning (WMO) voor vier zorgpartners beoordeeld. Als referentiekader hebben we het Utrechtse sturingsmodel gebruikt, wat vraagt om balans tussen partnerschap (gedeelde waarden & interactie en dialoog) en rekenschap (kaders en randvoorwaarden & data en informatie). Uit interviews met de zorgpartners blijkt dat de accounthouders binnen MO goed scoren op de partnerschap (meedenken, verbinden en samenwerken). Echter, kaders en randvoorwaarden voor de aanvullende Jeugdzorg en WMO zijn verouderd of ontbreken. Hierdoor ontstaat ongewenste ruimte voor individuele interpretatie voor het bewaken van de dienstverlening van zorgpartners (financieel, materieel en juridisch). De meest significante tekortkoming is dat er geen robuust proces met duidelijke spelregels aanwezig is voor het verlengen van contracten met zorgpartners. Hierdoor zijn verlengingsbesluiten niet transparant en objectief verifieerbaar. Ook is het gemeentebrede contractmanagement kader niet geïmplementeerd, waardoor het contractsysteem niet optimaal wordt gebruikt. Waardevolle sturingsinformatie en rapportages worden hierdoor niet benut. Het MO-management heeft het herzien van de kaders en rand- voorwaarden reeds in gang gezet.

Verdere aanbevelingen van Concernaudit worden meegenomen in de scope van het DUS-traject ‘Accountmanagement MO’ dat in Q2 2023 wordt opgestart.

8

Audits (3/4) Fraudepreventie - Verstrekken van reisdocumenten

Projectbeheersing risicovolle projecten – RRP Berlijnplein

Organisatieonderdeel: Publiekszaken

Organisatieonderdeel: Culturele Zaken

In de frauderisico-analyse 2019 hebben we een aantal kwetsbare processen geïdentificeerd, waaronder het verstrekken van reisdocumenten. Wij hebben een audit uitgevoerd naar de effectiviteit van controlemaatregelen binnen dit proces.

Wij hebben een audit uitgevoerd naar de inrichting van het projectmanagement van RRP Berlijnplein en de kwaliteit van de rapportage aan senior management en de Raad. Ons uitgangspunt hierbij was de ‘handleiding projectbeheersing’. Omdat tijdens de audit pas 0,6% van het totaal projectbudget (à €48,3 mln.) was uitgegeven, waren het aantal rapportagemomenten nog beperkt.

Er is een adequaat proces met bijhorende functiescheiding voor het verstrekken van reisdocumenten in het beleid vastgelegd en in het productiesysteem ingericht. Echter, uit interviews blijkt dat bij drukte of lage bezetting soms één medewerker zowel de aanvraag als uitgifte van reisdocumenten afwikkelt. Dit is niet in lijn met het beleid en de daarin opgenomen functiescheiding. Bovendien verhoogt dit het frauderisico.

Het projectteam waarborgt de kwaliteit van het project door de handleiding grotendeels te volgen. Een gemeentebrede bevinding is dat de handleiding projectbeheersing op sommige punten (zoals betrokkenheid fiscalisten en juristen) te vrijblijvend en onvoldoende concreet is.

Ook hebben we geconstateerd dat heldere afspraken en vastleggingsvereisten ontbreken, indien wordt afgeweken van het standaard proces vanwege ‘de menselijke maat’.

Ook stellen we voor om de voortgangsrapportage uit te breiden met een koppeling tussen de GOTRICK-aspecten geld en tijd. Hierdoor worden potentiële knelpunten eerder inzichtelijk.

Tevens zijn er verbetermogelijkheden voor het verhogen en waarborgen van risicobewustzijn, integriteit en voor het creëren van een veilige cultuur waarin medewerkers elkaar durven aan te spreken op gedrag.

De tijdigheid en kwaliteit van vastlegging in het projectdossier verdienen managementaandacht.

Het verstrekken van reisdocumenten is volgens de privacywetgeving gedefinieerd als hoog risico proces, waarvoor het opstellen van een Data Protection Impact Assessment (DPIA) verplicht is. Dit document was gedurende de audit nog niet beschikbaar, maar heeft hoge management prioriteit in Q2 2023.

De projectmanager herkent de verbeterpunten en gaat hiermee aan de slag.

Het management van PBZ herkent ook de andere verbeterpunten en gaat hiermee aan de slag. 9

Audits (4/4) Wet politiegegevens (Wpg) - Governance

Privacyaudit Cameratoezicht

Organisatieonderdeel: CIO-office, Vergunningen, Toezicht en Handhaving – VTH || Werk & Inkomen – W&I Maatschappelijke Ontwikkeling – MO || Openbare Orde en Veiligheid – OOV

Organisatieonderdeel: Openbare Orde en Veiligheid – OOV

Bij het CIO-office en de betrokken organisatieonderdelen hebben we een audit naar het governance-proces rondom de Wpg uitgevoerd.

De organisatieonderdelen zijn goed bekend zijn met de IT-middelen die worden gebruikt voor het opslaan en verwerken van politiegegevens. VTH en W&I hebben de meest zichtbare stappen gezet de Wpg taken en verantwoordelijkheden te implementeren. Het CIO-office heeft een goed totaaloverzicht binnen welke organisatieonderdelen Wpg taken worden uitgevoerd. Echter, de bewustwording over de Wpg vereisten heeft managementaandacht nodig. Dit blijkt onder andere uit het feit dat er geen vertaalslag gemaakt is van wettelijke taken en verantwoordelijkheden naar gemeentelijk niveau. Dit is zorgelijk, aangezien de rol van de GU (i.e. verwerker of verwerkingsverantwoordelijke) invloed heeft op de wettelijke taken van de GU. Daarnaast ontbreken op centraal en op decentraal niveau periodieke sturing, verantwoording en monitoring inzake de Wpg naleving.

Voor het proces cameratoezicht hebben we de naleving van de ‘Algemene verordening gegevensbescherming (AVG)’ en de gemeentelijke beleidskaders onderzocht. Ons beeld is dat de benodigde kennis over deze wet in voldoende mate aanwezig is bij de betrokken functionarissen. Daarnaast worden de burgers door de gemeente duidelijk geïnformeerd over waar in de stad de camera’s hangen. Onze belangrijkste bevindingen zijn dat: • diverse beheersmaatregelen niet zijn opgenomen in het gemeentelijk beleid; • toegepaste beheersmaatregelen deels niet vastgelegd worden. Door het laatste punt voldoet de gemeente op dit moment niet aantoonbaar aan de privacywetgeving.

Het management van OOV is akkoord met bevindingen en geeft prioriteit aan het verder aanscherpen van de beleidsdocumenten en vastleggingsvereisten.

Het management van de CIO-office en de betrokken organisatieonderdelen zijn inmiddels aan de slag gegaan met het implementeren van de aanbevelingen uit het auditrapport.

10

Rechtmatigheidsverantwoording Wettelijk kader Met de wet ‘Versterking decentrale rekenkamers’ is de wet- en regelgeving waar gemeentes aan moet voldoen, aangepast. Vanaf begin 2023 moet iedere gemeente zelf de rechtmatigheidsverantwoording opstellen en deze kunnen onderbouwen. Tot 2023 was deze taak belegd bij de externe accountant.

Rol Concernaudit Concernaudit heeft een toetsende rol bij de gemeentebrede rechtmatigheidsverantwoording en voert zelf VIC werkzaamheden (zie p. 13) uit op twee processen die grote financiële impact hebben: 1) subsidieverstrekking en 2) inkopen en aanbesteden.

Kernteam Concernaudit vormt samen met Concerncontrol en Financiën het kernteam Rechtmatigheidsverantwoording. Het kernteam stemt periodiek met de externe accountant af hoe de totstandkoming en documentatie van de rechtmatigheidsverantwoording verloopt. Kennisdelen Concernaudit heeft nauw contact met andere gemeentes over de rechtmatigheidsverantwoording om kennis te delen en ‘good practices’ uit te wisselen. Uitgevoerde werkzaamheden en bevindingen De organisatieonderdelen hebben per relevant proces een Verbijzonderd Intern Controleplan (VIC plan) opgesteld. De plannen vormen de basis voor de uit te voeren interne controlewerkzaamheden. Concernaudit heeft deze plannen en controlewerkzaamheden beoordeeld en de organisatie geadviseerd over verbeterpunten.

Projectmanagement Tot september 2022 heeft een extern ingehuurde projectleider alle afdelingen van de gemeente ondersteund bij het op maat maken van de rechtmatigheidsverantwoording. Daarna heeft het kernteam Rechtmatigheidsverantwoording deze taak overgenomen

De verbeterpunten betreffen: • • •

beperkte managementaandacht en prioritering van het onderwerp rechtmatigheid binnen een aantal organisatieonderdelen; gebrek aan kennis en ervaring; onvoldoende aandacht voor volledige en tijdige vastlegging van de uitgevoerde werkzaamheden.

Verbeteracties De verbeterpunten zijn in de stuurgroep rechtmatigheid besproken en de hieruit volgende acties zijn in samenwerking met managers van de verschillende organisatieonderdelen geprioriteerd.

11

VIC’s Rechtmatigheidsverantwoording Concernaudit voert VIC werkzaamheden zelf uit op twee gemeentebrede processen die grote financiële impact hebben. De externe accountant maakt hiervan gebruik voor de jaarrekeningcontrole.

Inkopen en aanbesteden

Subsidieverstrekking

Organisatieonderdeel: Overstijgend

Organisatieonderdeel: Overstijgend

Concernaudit heeft de analyse op inkopen en aanbesteden over 2022 afgerond.

Vanaf 2022 voert Concernaudit de VIC werkzaamheden voor het proces subsidieverstrekking uit.

De geconstateerde onrechtmatigheden voor het niet naleven van Europese Aanbestedingsregels bedragen in totaal € 11,2 mln. In 2021 was dit €3,5 mln. Dit is een forse toename, maar nog wel binnen de materialiteitsgrens (ca. € 19 mln.) voor een goedkeurende accountantsverklaring bij de jaarrekening 2022.

Concernaudit heeft een VIC plan opgesteld en getoetst of de subsidieverstrekking wordt uitgevoerd zoals in verordeningen, beleidsdocumenten en werkinstructies zijn vastgelegd. Ook hebben wij gegevensgerichte controlewerkzaamheden uitgevoerd.

De meeste onrechtmatigheden zijn geconstateerd bij de organisatieonderdelen Stadsbedrijven (58%) en Ruimte (38%). De onrechtmatigheden zijn met name ontstaan door: • •

het onterecht verstrekken van opdrachten na afloop van de contractperiode; het onterecht verstrekken van opdrachten boven de contractwaarde.

Wij hebben tijdens deze controle geen onrechtmatigheden geconstateerd. Wij hebben één geconstateerd verbeterpunt rondom de vastlegging van goedkeuringen in het systeem gedeeld met het management van het subsidiebureau.

Beide onrechtmatigheden betreffen inhuur van personeel en uitbestede werkzaamheden. De onrechtmatigheden en de noodzaak voor prioritering van dit onderwerp zijn afgestemd met het management van Ruimte en Stadsbedrijven. Ook zijn de bevindingen met Inkoop besproken, omdat zij het beleid voor inkoop, inhuur en aanbesteden opstelt dat decentraal wordt uitgevoerd. 12

Data support & advies en innovaties Intern onderzoek ten behoeve van potentiële integriteitsschendingen Met data-extracties uit meerdere IT-systemen en bijbehorende analyses onderzochten wij mogelijke onregelmatigheden rondom de dienstverlening en de bijbehorende facturering van een specifieke leverancier. Onze resultaten hebben we met de Coördinator Integriteit gedeeld.

Fraudeworkshop

Data support en toepassen van eerdere innovaties

Wij hebben in maart 2023 een interne fraudeworkshop met het thema ‘zorgfraude’ georganiseerd. Collega’s vanuit de organisatieonderdelen Werk en Inkomen (WenI) en Openbare Orde en Veiligheid (OOV) hebben hieraan deelgenomen.

Het actief toepassen van eerder ontwikkelde data-oplossingen binnen audits was een speerpunt in de tweede helft van het jaarplan 20222023. Een voorbeeld is hiervan de toepassing van proces mining bij de audit ‘Verstrekken van reisdocumenten’.

Het doel van de workshop was het risicobewustzijn binnen de organisatie te vergroten en fraudesignalen te leren herkennen.

Een aantal bestaande proces minings hebben we doorontwikkeld en zo de stuurinformatie voor het management van een aantal processen verbeterd.

Een vervolgbijeenkomst is gepland in mei 2023. Met deze workshop geven wij opvolging aan een aanbeveling uit de laatste managementletter van Deloitte.

Daarnaast hebben we enkele arbeidsintensieve controlewerkzaamheden in de rechtmatigheidsverantwoording geautomatiseerd. Dit zorgt ervoor dat we auditcapciteit efficiënter kunnen inzetten.

13

Status onderhanden opdrachten uit jaarplan 2022-2023 Onderstaande twee audits uit het jaarplan 2022/23 zijn per eind maart 2023 nog onderhanden. In het tweede kwartaal van 2023 ronden we deze audits af.

Vooronderzoek

Opdrachtbeschrijving afgestemd

Veldwerk afgerond

Bevindingen afgestemd

Conceptrapport aangeboden

In afwachting van managementreactie

Digitale transitie Klantgericht samenwerken In Ketens (KIK)

Toegangsbeveiliging SAP HR

14

Management van de interne auditfunctie Onafhankelijkheid

Belangenverstrengeling

De Manager Concernaudit heeft vastgesteld dat de benodigde onafhankelijkheid van Concernaudit is gewaarborgd:

Potentiële belangenverstrengeling wordt periodiek getoetst door de Manager Concernaudit. Tussen 1 april 2022 en 31 maart 2023 heeft belangenverstrengeling zich niet voorgedaan.

• De Manager Concernaudit rapporteert aan een dusdanig hoog niveau in de organisatie, waardoor Concernaudit in staat is om haar verantwoordelijkheden te kunnen vervullen. • De Manager Concernaudit heeft een directe communicatielijn met de Gemeentesecretaris, de Wethouder en de Adviescommissie Control & Financiën.

Belangenverstrengeling vindt plaats op het moment dat een auditor, die een vertrouwenspositie bekleedt in haar functie, een ander professioneel of persoonlijk belang heeft. Tegengestelde belangen kunnen het onpartijdig uitoefenen van de auditfunctie bemoeilijken. Door belangenverstrengeling kan een ongepast beeld ontstaan welke het vertrouwen in de interne auditor en haar audit activiteiten kan schaden.

Middelen en budget • Concernaudit had voldoende middelen (capaciteit en budget) om het interne audit plan 2022/23 uit te voeren.

• Concernaudit heeft het interne audit plan 2022/23 binnen het vastgestelde budget afgerond.

Permanente educatie Auditors met certificaten en beroepslidmaatschappen die bijbehorende onderhoudseisen in het kader van ‘Permanente Educatie’ stellen, hebben de benodigde trainingen en/of cursussen gevolgd om hieraan te voldoen.

Quality assurance en verbeterprogramma Concernaudit is bezig met het opstellen van een ‘Quality Assurance and Improvement Program’ (QAIP). In december 2022 hebben we een interne kwaliteitstoets op de auditfunctie doorgevoerd. Op basis van de uitkomsten zijn we bezig met het opstellen van een roadmap met stappen richting continue verbetering en verdere professionalisering. Een QAIP maakt het mogelijk te evalueren of de interne auditactiviteiten plaatsvinden conform de standaarden en ‘code of ethics’ van het Instituut van Internal Auditors (IIA). Het programma toetst ook de efficiëntie en effectiviteit van de interne audit activiteiten en brengt ruimte voor verbetering aan het licht.

15

16

Bijlage: reeds gerapporteerd in halfjaarverslag Samenvatting van de afgeronde auditopdrachten, advies en innovatietrajecten

Audits (1/5) 1. Onderwijshuisvesting (Organisatieonderdeel: Vastgoedorganisatie Utrecht)

Wij hebben een audit uitgevoerd naar het proces van onderwijshuisvesting, waarbij de school de bouwheer is en de Vastgoed Organisatie Utrecht (VGU) een toetsende rol heeft. Het proces rondom betalingen aan schoolbesturen bleek onvoldoende robuust. Daardoor bestaat het risico dat betalingen niet rechtmatig geautoriseerd worden. Daarnaast kan de efficiëntie van processen en de documentatie van projectdossiers sterk verbeterd worden. Ook de vele personeelswisselingen bij VGU zijn een aandachtspunt met betrekking tot de continuïteit van de bedrijfsvoering. We hebben verschillende aanbevelingen met het management gedeeld om het proces van onderwijshuisvesting te verbeteren en hieraan gerelateerde risico’s voor de toekomst te mitigeren. 2. Erfpacht (Organisatieonderdeel: Ontwikkelorganisatie Ruimte (OOR)) Bij OOR hebben wij een audit uitgevoerd naar de realisatie van het verbetertraject van het erfpachtbedrijf. Dit verbetertraject heeft als doel om betrokken processen te optimaliseren en duidelijkheid te krijgen over (de inzet van) de benodigde capaciteit en budgetten. We hebben vastgesteld dat het verbetertraject nog niet volledig was afgerond en hebben daarom in de audit gefocust op een belangrijk data-aspect; de koppeling van het interne registratiesysteem SAP Real Estate met de basisregistratie van het Kadaster.

Met deze koppeling wil OOR een overzicht verkrijgen van alle percelen die in erfpacht zijn uitgegeven door de gemeente. We hebben de koppeling gecontroleerd en vastgesteld dat er geen informatie verloren gaat. Dit is belangrijk voor de data-integriteit. Daarnaast hebben we een aantal verbeterpunten voor de koppeling aangedragen.

3. Behandeling van Schadeclaims (Organisatieonderdeel: FIJ – Juridische Zaken) De manager Concernaudit heeft na consultatie met een interne onafhankelijke vak expert binnen Concerncontrol besloten om het auditrapport Schadeclaims niet uit te brengen, ondanks de reeds geleverde inspanningen. Het auditproces voldoet niet aan de minimum kwaliteitseisen van de beroepsorganisatie (The Institute of Internal Auditors). Met name de aspecten auditor competenties, scope versus daadwerkelijk geleverd product en de onderbouwing van bevindingen scoren onvoldoende. We hebben binnen Concernaudit inmiddels maatregelen getroffen om de nodige kwaliteit van onze audits te waarborgen.

17

Audits (2/5)

4. Vervolgonderzoek risicobeheersing samenwerkingsverbanden (Organisatieonderdeel: Financiën, Inkoop en Juridische zaken) In december 2020 heeft Concernaudit het onderzoeksrapport “Risicobeheersing samenwerkingsverbanden” opgeleverd. De belangrijkste bevindingen hierin waren het ontbreken van een eenduidig begrippenkader en een registratiesysteem voor adequate risicobeheersing en monitoring van samenwerkingen met derde partijen. In de Directieraad zijn de bevindingen en adviezen van het onderzoeksrapport onderschreven, is er een plan van aanpak vastgesteld en is besloten dat de verbeteracties in Q2 2022 afgerond moeten zijn. Concernaudit heeft in Q1 2022 een vervolgonderzoek uitgevoerd. We hebben geconcludeerd dat het plan van aanpak slechts beperkt is uitgevoerd. De langdurige afwezigheid van de projectleider en van één business controller zijn hier mede de oorzaak van. Het eigenaarschap van het plan van aanpak is momenteel niet duidelijk belegd. Het management heeft aangegeven dit onderwerp opnieuw op de agenda te zetten en met prioriteit te behandelen.

18

Audits (3/5) 5. 213a onderzoek: Veerkracht en gelijke kansen (Organisatieonderdeel: Werk en Inkomen, Volksgezondheid)

Zoals vastgelegd in het jaarplan 2021/22, heeft Concernaudit in opdracht van het College van Burgemeester en Wethouders onderzoek gedaan naar de strategische doelstelling ‘Veerkracht en gelijke kansen’ (VGK) op grond van artikel 213a van de Gemeentewet. Tijdens dit onderzoek is beoordeeld in welke mate het college erin geslaagd is om doelmatig en doeltreffend uitvoering te geven aan deze doelstelling. In het rapport worden deelopgaven geanalyseerd en onze conclusie hiervan is dat Utrecht vanuit de opgaven waardevolle resultaten behaalt door een constructieve samenwerking met de stad. Er zijn veel initiatieven en er is een positieve wisselwerking met de partners. Echter, er zijn ook uitdagingen om de impact van alle inspanningen op VGK in het sociaal domein goed te kunnen vaststellen, monitoren en meten. Gebaseerd op onze aanbevelingen en op eerdere uitkomsten van de visitatie, richt het management zich inmiddels op de doorontwikkeling van de wijze van sturen en op het monitoren van de impact van de VGK inspanningen. De focus van de opgaven wordt aangescherpt met de formulering van concrete doelen, eigenaarschap, effecten en beoogde impact. Dit sluit ook aan bij de verbetering van de P&C cyclus, waar de gemeente momenteel aan werkt in overleg met de Adviescommissie Controle en Financiën. 6.

213a onderzoek: Thuis voor iedereen (Organisatieonderdeel: Ruimte, Maatschappelijke Ontwikkeling) De manager Concernaudit heeft na consultatie met interne, onafhankelijke vak experts binnen Concerncontrol en Strategie en Public Affairs besloten geen vervolg te geven aan de audit ‘Thuis voor iedereen’. Besloten is om hierover geen rapport uit te brengen, ondanks de reeds geleverde inspanningen. Het tot nu gevolgde auditproces voldoet niet aan de minimum kwaliteitseisen van onze beroepsorganisatie (The Institute of Internal Auditors). Afronding zou een buitenproportionele inspanning van capaciteit vragen. Dit is niet in lijn is met de toegevoegde waarde die dit onderzoek zou leveren. De redenen hiervoor zijn de gekozen onderzoeksperiode (2018-2021), die inmiddels gedateerd is, de relatief brede onderzoeksscope, en een gebrek aan een gestructureerde en systematische auditaanpak en -documentatie. We hebben binnen Concernaudit inmiddels maatregelen genomen om de nodige kwaliteit van onze audits te waarborgen.

19

Audits (4/5) 7. Logisch toegangsbeheer SAP Inkoop- en financiële module (Organisatieonderdeel: Overstijgend) De audit naar het proces logisch toegangsbeheer SAP Inkoop- en financiële module heeft uitgewezen dat het proces nog niet aantoonbaar in control is. De oorzaak hiervan is het gebrek aan eigenaarschap en beperkte capaciteit binnen SAP beheer, Domstad IT. Verbeteringen zijn reeds doorgevoerd, onder andere door het opnieuw opstellen van het logisch toegangsbeleid waarin de geactualiseerde beheersmaatregelen zijn opgenomen. Dit gebeurt in samenwerking met de afdelingen Financiën, Inkoop en SAP beheer. 8. Werken 3.0 – Configuratiemanagement Laptops (Programma Werken 3.0)

De bevindingen van de audit vallen uiteen in specifieke punten gericht op het configuratiemanagement van laptops en algemene punten ten aanzien van het gehele configuratiemanagementproces. Voor alle configuratiemanagement processtappen (registratie, beheer, statusbewaking en verificatie) zien we voor laptops verbeteringen. Echter, de risico’s worden nog onvoldoende gemitigeerd. De belangrijkste bevinding voor het gehele proces is dat het management onvoldoende zicht heeft op de in gebruik zijnde IT middelen (hardware en software) en de onderlinge relaties van deze middelen. Hierdoor bestaat het risico dat het management onvoldoende kan sturen op informatiebeveiliging, bijvoorbeeld wanneer de gemeente doelwit is geworden van een cyberaanval. Het management van Domstad IT herkent de aanbevelingen en gaat hiermee aan de slag. 9. Follow-up audit opvolging bevindingen Rekenkamer (Organisatieonderdeel: Overstijgend) De follow-up audit heeft betrekking op de status van de opvolging bevindingen van het Rekenkamerrapport ‘Zo sterk als de zwakste schakel’. Dit was een onderzoek naar de informatieveiligheid bij de gemeente Utrecht. De audit heeft uitgewezen dat de opvolging van bevindingen in gang is gezet, maar de organisatie tegen diverse uitdagingen en knelpunten aanloopt.

Het ontbreken van adequate projectgovernance, beperkte sturingsinformatie naar het management en afhankelijkheden van lopende organisatiebrede projecten zoals Werken 3.0 vormen een belemmerende factor. Tot op heden zijn mede hierdoor een groot aantal bevindingen nog niet opgevolgd, waaronder bevindingen met betrekking tot kritieke of hoge informatiebeveiligingsrisico’s. De aanbevelingen worden herkend door het management en zullen verder worden opgevolgd. 20

Audits (5/5)

10. Wigo4it (Samenwerkingsverband G4) Wigo4it is een coöperatie van de gemeenten Amsterdam, Rotterdam, Den Haag en Utrecht (hierna: G4 genoemd). Wigo4it ontwerpt, ontwikkelt, beheert en onderhoudt ICT-applicaties en bijbehorende IT-infrastructuur ten behoeve van de sociale diensten van de G4. In opdracht van Wigo4it voeren de G4 jaarlijks een audit op de General IT Controls (GITC) uit. Begin 2022 heeft WiGo4IT besloten de bestaande Baseline Informatiebeveiliging Overheid (BIO)-audit en de gezamenlijke GITC-audit te combineren tot één audit. Deze audit zal niet door de G4 maar door de huidige BIO-auditor worden uitgevoerd. Dit betekent dat deze audit geen vervolg krijgt.

11. Privacy audit bodycams (Organisatieonderdeel: Vergunningen, Toezicht en Handhaving (VTH) De gemeente Utrecht is goed op weg met het inrichten en uitvoeren van privacy beheersmaatregelen met betrekking tot bodycams. Tijdens deze audit is geconstateerd dat aandacht nodig is voor groei naar een volwassenere interne beheersing waarbij deze beheersmaatregelen structureel aantoonbaar worden uitgevoerd. Verbeterslagen zijn te realiseren voor de stappen ‘dragen’, ‘verzamelen’, ‘retentie’ en ‘verwijderen’ van persoonsgegevens. Het risico is dat de gemeente nog niet volledig voldoet aan de AVG wet- en regelgeving wat kan leiden tot boetes en/of reputatieschade voor de gemeente. Het management van VTH heeft aangegeven om de bevindingen op te volgen en heeft hiermee reeds een start gemaakt.

21

Toepassing van digitale innovaties De innovatielijn van Concernaudit heeft als doel ervoor te zorgen dat audits efficiënter en vollediger uitgevoerd kunnen worden. Innovaties worden via twee sporen ingezet, namelijk als: 1. Ondersteuning van lopende audits; 2. Zelfstandige innovatieprojecten door identificatie en het testen van: a) Nieuwe methoden om toe te passen binnen audits b) Nieuwe objecten om te auditen

Data-analyse tooling

Caseware IDEA

R

Process Gold

Toepassen op Data in de vorm van logging uit informatiesystemen

Voor de innovaties werken we met data-analyses, process mining en tekst mining. Hiervoor gebruiken we de volgende data-analyse en process mining tools: • Caseware IDEA, R en ProcessGold Deze methoden en tools zorgen voor hogere betrouwbaarheid van de audits doordat grote hoeveelheden data uit logboeken en systemen geanalyseerd kunnen worden. De steekproef wordt hiermee overbodig. Daarnaast automatiseren wij controlewerkzaamheden, wat tot een efficiënt auditproces leidt.

Van log data naar visualisatie

Process mining passen wij veelvuldig toe. Hiermee wordt met log data het verloop van processen in kaart gebracht en getoetst. Deze analyses delen wij met de organisatie via dashboards. Meerdere specifieke minings worden inmiddels periodiek uitgevoerd. Dit is een belangrijke stap richting continuous monitoring. Middels periodieke monitoring wordt het management in staat gesteld om snel en adequaat te reageren op tekortkomingen in het proces. Op de volgende pagina’s worden de innovatietrajecten van het afgelopen half jaar toegelicht.

22

Innovatietrajecten Audit toepassing nieuwe Artifical Intelligence (AI) technologie De gemeente Utrecht implementeerde begin 2021 een chat bot, de digitale assistent ‘Gem’. Door Gem wordt de communicatie met de bewoners verder gedigitaliseerd door het toepassen van AI. Bijvoorbeeld het beantwoorden van vragen over paspoorten en rijbewijzen. Gem wordt ontwikkeld binnen een samenwerkingsverband tussen verschillende gemeenten en werkt volgens het Common ground principe, Dit laatste is een initiatief om de informatievoorziening van gemeenten collectief eenvoudiger, flexibeler en slimmer in te richten.

Netwerk Artificial Intelligence Voor een veilige toepassing van nieuwe technologieën, zoals AI, is samenwerking en kennisdeling met experts nodig. Op uitnodiging van PricewaterhouseCoopers (PWC) namen wij deel aan het Tomorrrow 2.0 programma. Dit is een internationaal netwerk van experts uit verschillende bedrijfssectoren en overheidsinstanties. Tijdens onze bijeenkomsten hebben we kennis uitgewisseld over de uitrol van AI en de daarmee samenhangende ethiek vraagstukken.

Concernaudit was de eerste partij binnen het samenwerkingsverband die de uitdaging aanging om deze AI-toepassing te auditen. Gem is een chat bot in ontwikkeling. Het huidige volwassenheidsniveau past bij de pilotfase van een nieuwe technologie. Onze hoofdaanbevelingen hebben betrekking op het toegangsbeheer en het vastleggen van medewerkerscompetenties. Het management heeft positief op het rapport gereageerd en gaat met de aanbeveling aan de slag. Wij hebben het rapport voor kennisdeling met onze partners van het samenwerkingsverband gedeeld.

23

Innovatietrajecten – process minings Raadplegen van het Basisregistratie Personen (BRP) en verstrekken reisdocumenten

SAP: proces bestellen t/m factuurafhandeling

Voor Publiekszaken voerden wij onderstaande twee process mining projecten uit. Hiervoor worden dashboards periodiek geüpdatet met nieuwe data. Dit maakt het mogelijk de processen over tijd te monitoren

Voor het organisatieonderdeel Financiën hebben we een process mining ontwikkeld om het proces bestellen tot en met factuurafhandeling te monitoren. Hiervoor bewandelen we twee wegen:

1. In de mining ‘raadplegen BRP’ werden verwachtingen getoetst en inzichten verschaft over 1) welke functionarissen raadplegingen verrichtten en 2) afwijkende patronen van raadplegen. 2. De mining ‘verstrekken van reisdocumenten’ betrof een uitbreiding van een eerder uitgevoerde mining. Beide minings helpen het management ongewenst gedrag tijdig te signaleren en hiervoor adequate maatregelen te nemen.

1) de jaarlijkse process mining over dit proces welke is afgerond over boekjaar 2021. 2) het doorontwikkelen van dit project. Daarbij hoort het inhoudelijk aanscherpen van analyses, de mining vaker uitvoeren en waar mogelijk de uitvoering van specifieke onderdelen overdragen aan het organisatieonderdeel Financiën. Deze mining helpt het organisatieonderdeel Financiën onrechtmatige transacties eerdere te identificeren en te corrigeren.

Inrichten process mining subsidies

We beogen een process mining op het subsidie proces in te richten. Daarvoor is toegang tot de data van het subsidiesysteem Easyfunders (EF) nodig. EF is een cloudapplicatie en voor de toegang tot de data is nog geen gestandaardiseerde oplossing binnen Domstad IT beschikbaar. Daarom loopt dit project vertraging op. Inmiddels is er voor Concernaudit een eerste tussentijdse oplossing ingericht voor de datatoegang, welke binnenkort getest kan worden. Deze process mining draagt bij aan het identificeren van onregelmatigheden binnen het subsidieproces.

24

Adviesopdrachten Data support & advies

Concernaudit heeft declaratierapporten gecontroleerd

Intern onderzoek t.b.v. integriteitsschendingen Met data-extracties uit meerdere systemen en bijbehorende analyses ondersteunden we een onderzoek rondom potentiële niet-integere handelingen van een medewerker. Data support & advies

Europese subsidies Wij hebben voor de subsidie projecten School Chance en Reduces de declaratierapporten gecontroleerd. Hiervoor zijn geen bijzonderheden te melden.

We hielpen verschillende organisatieonderdelen door mee te denken over het inrichten, uitvoeren en automatiseren van steekproeven. Dit heeft de kwaliteit van de interne controle op belangrijke processen, zoals personeel en betalingen, versterkt.

25