Jaarverslag 2023-24 Concernaudit_definitief

1

Jaarverslag Concernaudit 2023-24 April 2023 – Maart 2024

Manager Concernaudit 22 april 2024

Inhoudsopgave Managementsamenvatting Speerpunten Concernaudit 2023-24 Evaluatie kwaliteit dienstverlening Follow-up proces Afgeronde auditopdrachten Rechtmatigheidsverantwoording Fraude

Innovatie en inzet van data-analyse Status onderhanden audit opdrachten uit jaarplan 2023-24

Management van de interne audit functie Bijlage: Reeds gerapporteerd (Halfjaarverslag)

2

Managementsamenvatting (1/2) Concernaudit jaarplan 2023-24 gerealiseerd

Zichtbaarheid en betrokkenheid in de organisatie

Het jaarplan Concernaudit 2023-24 heeft risico's rondom de robuustheid van de IT infrastructuur, HR, het gebruik van nieuwe technologieën en fraude geadresseerd. De door ons geprioriteerde thema's en onderzoeksobjecten hebben alle domeinen (fysiek, sociaal, bedrijfsvoering, dienstverlening) van de gemeente Utrecht geraakt.

Naast het uitvoeren van het jaarplan zijn leden van Concernaudit ook vertegenwoordigd in een aantal expert panels en werkgroepen. Hierin werken we samen met collega's uit verschillende domeinen aan complexe organisatorische vraagstukken en procesverbeteringen. Voorbeelden zijn: Spiegelsessies (b.v. herinrichting van organisatie onderdelen)

Met onze onderzoeken en adviezen dragen we bij aan het realiseren van de strategische doelstellingen en het verbeteren van governance, risicomanagement en interne controleprocessen. Per eind maart zijn nog twee audits uit het reguliere jaarplan 2023-24 onderhanden. Deze audits ronden we in Q2 2024 af:

• •

Voortgang implementatie standaard projectbeheersing Serviceplein ICT

Stuurgroep rechtmatigheidsverantwoording Selectiecommissie aanbesteding externe accountant Kernteam rechtmatigheidsverantwoording Expert panel inkoop Expert panel medewerker tevredenheidsonderzoek

Expert panel SAP HANA implementatie Vakgroep data science en AI tafel

Het is voor interne audit afdelingen in de publieke en private sector doorgaans gebruikelijk dat één of twee audits tijdens het opstellen van het jaarverslag nog onderhanden zijn.

Follow-up proces In 2023-24 heeft Concernaudit voor het eerst een robuust follow-up proces voor alle afgeronde audits toegepast. Eerste resultaten en aandachtspunten presenteren we op pagina 7.

Verdere professionalisering en speerpunten 2023-24 In het kader van het verder professionaliseren van de Concernaudit functie, hebben we in 2023-24 een aantal initiatieven rondom de thema’s strategie, netwerk, kennisdeling & samenwerking standaardisatie en impact geprioriteerd. Deze zijn op pagina 5 verder uitgewerkt. 3

Managementsamenvatting (2/2) Gemeentebrede verbetermogelijkheden Gebaseerd op de afgeronde audits en advieswerkzaamheden hebben we een aantal gemeentebrede verbetermogelijkheden geïdentificeerd. Deze liggen grotendeels in lijn met de in ons halfjaarverslag 2023-24 genoemde verbetermogelijkheden. Governance in de lijn • Duidelijk beleggen van rollen, verantwoordelijkheden en escalatielijnen; • Aantoonbaar naleven van wetgeving | Aandachtspunt: de Wet politiegegevens; • Opstellen van Data Privacy Impact Assessments voor alle hoog risico processen (gegevensbescherming); • Consequent naleven van kaders en richtlijnen; • Actualiseren van werkinstructies met bijhorende beheersmaatregelen | Aandachtspunt: fraudegevoelige processen. Governance in gemeentebrede projecten • Duidelijk beleggen van rollen, verantwoordelijkheden en escalatielijnen; • Heldere rol van stuurgroepen (kwaliteits- en voortgangsbewaking) en periodieke betrokkenheid van de directieraad bij belangrijke projecten; • Noodzaak om de afhankelijkheid van externen te verminderen.

Systemen en data • Consistent en consequent gebruik van systemen in plaats van handmatige ‘workarounds’ voor primaire en ondersteunende processen; •

Meer data in de besluitvormingsproces toepassen (datagedreven besluitvorming).

Contractmanagement • Duidelijke en afdwingbare afspraken met derden en toezicht op naleving hiervan | Aandachtspunt: leveranciers van clouddiensten.

Dossiervorming • Volledigheid, tijdigheid en kwaliteit van gearchiveerde dossiers | Aandachtspunten: project- programma- en kwaliteitsbewakingsdossiers.

Bovengenoemde aandachtspunten zijn ‘enablers’ voor efficiënte en transparante bedrijfsvoering. Externe factoren, zoals een krappe arbeidsmarkt en druk op de begroting van gemeenten, versterken de noodzaak voor verbetering. De directieraad heeft een aantal initiatieven en projecten in 2022 en 2023 opgestart die de oorzaken van de verbetermogelijkheden adresseren. De voortgang hiervan wordt in de reguliere P&C cyclus en aanvullende rapportagemomenten bewaakt. Concernaudit bewaakt de voortgang van de uit audits resulterende verbeterplannen in het follow-up proces.

4

Speerpunten Concernaudit 2023-24 Strategie • We volgen consequent onze roadmap richting continue verbetering en verdere professionalisering van de Concernaudit functie. Hiervoor gebruiken we het ‘Internal Audit Ambition Model’ van het Instituut van Internal Auditors (IIA) als benchmark. • We evalueren en actualiseren ons strategisch personeelsplan. Dit plan speelt in op veranderingen en behoeftes in de organisatie, ontwikkelingen van de Concernaudit functie en zorgt voor businesscontinuïteit.

Netwerk • We verbreden en versterken de samenwerking en benchmarking met andere interne auditafdelingen door: ✓ Periodieke overleggen tussen de G4 Interne Audit Managers ✓ Vakgroepen voor IT auditors en data analisten.

Kennisdeling en samenwerking • We benutten de kennis en expertise binnen de organisatie optimaal. Dit doen we door vak experts uit verschillende disciplines als gast auditoren bij onze audits te betrekken. • We werken hand in hand met de organisatie in stuurgroepen, agendagroepen, expert panels en werkgroepen aan organisatorische vraagstukken en procesverbeteringen.

Standaardisatie • We gebruiken consequent templates in het auditproces en evalueren deze periodiek om kwaliteitsstandaarden te waarborgen en efficiëntieslagen te maken. • We voeren een robuust 'audit follow-up proces' uit om de voortgang van verbeteracties in de organisatie te bewaken. • We zijn continu op zoek naar automatiseringsmogelijkheden voor handmatige auditwerkzaamheden en experimenteren hiervoor in pilots. Zo maken we capaciteit vrij voor dienstverlening met meer toegevoegde waarde.

Impact • We versterken onze competenties op gebied van fraude, informatiemanagement en systemen door het certificeren van twee collega’s in 2023. • We monitoren en analyseren surveyresultaten om onze dienstverlening continu te verbeteren. • We passen consequent een 'integrated' audit aanpak toe waar mogelijk. Dit betekent dat we een onderwerp multidisciplinair benaderen en verschillende audit technieken toepassen zoals data analyse, interviews, observaties, surveys en documentstudie. • We spelen in op actualiteiten met de scoping van audits en dataprojecten om maximale waarde voor de organisatie te genereren. 5

Evaluatie kwaliteit dienstverlening Sinds september 2022 stuurt Concernaudit na het delen van het definitieve auditrapport, een evaluatiesurvey uit. Met de survey verzamelen we feedback uit de organisatie om de kwaliteit van onze dienstverlening continu te verbeteren. De survey bestaat uit stellingen over vier thema’s, namelijk: Team, Uitvoering, Rapport en Meerwaarde audit. Stellingen worden beoordeeld op een schaal van 1 “Helemaal niet mee eens” t/m 5 “Helemaal mee eens”. Hieronder zijn onze ambities en inzichten tot zover uiteengezet.

Resultaten per thema

Thema’s Team: competenties van en communicatie met het auditteam.

Uitvoering: werkwijze, doelstelling en duur van de audit.

Rapport: leesbaarheid, inhoud en accuraatheid van het opgeleverde auditrapport.

Meerwaarde audit: waarde van de audit bij het verbeteren van interne beheersing.

Resultaat

Surveygegevens

# Audits

Uitvoering

Rapport

4,0

4,0

3,9

3,7

3,8

3,7

3,8

3,7

Ambitie

Top scores

# Auditees aangeschreven

Respons

68

23

Was:*

Team

# Auditees ingevuld

39 Dit overzicht bevat audits vanaf september 2022.

57%

4

Meerwaarde audit

*Scores uit jaarverslag 2022-23

Tops & Tips

Tip scores

Heldere communicatie over voortgang van de audit

Doorlooptijd van de audits

Closing meeting geeft goed beeld van belangrijkste bevindingen

Business acumen Kennis van het audit object

Managementsamenvatting geeft goed beeld van belangrijkste resultaten

Delen van “best practices” en waardevolle aanbevelingen

Audit was gericht op relevante onderwerpen en risico’s

Tijdig aanleveren auditrapport 6

Follow-up proces Sinds 2023-24 past Concernaudit voor het eerst een robuust follow-up proces toe voor alle afgeronde audits. Tijdens de follow-up perioden bewaken we de voortgang van de door management voorgestelde verbeteracties. Het management is verantwoordelijk om deze verbeteracties binnen de afgestemde periode te implementeren. Concernaudit fungeert in dit proces als aanjager, procesbewaker en escaleert significante vertragingen richting de directieraad.

Onderstaande grafieken weergeven de opvolgingsstatus van bevindingen met risicoclassificatie hoog en midden. Om capaciteitsredenen en een juiste prioritering van onze dienstverlening hebben wij een weloverwogen besluit genomen om bevindingen met classificatie laag niet mee te nemen in het follow-up proces.

Follow up status jaarplan 2022-23 # Audits

14 # Bevindingen

Follow up status jaarplan 2023-24

Aantal geadresseerd in een vervolgaudit 2024-25 7 Aantal onderhanden overdue 30% 26

# Audits

12

8%

57 Midden 8 Laag

14%

Aantal opgelost 5

6%

# Bevindingen

21 Hoog 86

Aantal onderhanden overdue 11

15 Hoog Aantal onderhanden niet overdue 2

3% 59%

Aantal opgelost 51

87

63 Midden 80% 9 Laag

Aantal onderhanden niet overdue 62

Conclusies Gezien het follow-up proces pas recentelijk is geïntroduceerd, geldt voor beide auditperioden dat de resultaten in lijn der verwachting liggen en bij het volwassenheidsniveau van de gemeente Utrecht passen. We zien een rode draad in de oorzaak van het niet tijdig opvolgen van bevindingen (‘overdue’), namelijk dat het management over het algemeen te optimistisch inzet op de opvolgdatum. Hier lijkt een onderschatting van benodigde inspanningen om de verbeteracties te implementeren plaats te vinden. In het vervolg zullen onze auditoren de verbeterplannen kritischer op haalbaarheid beoordelen. Verder ontstaan soms vertragingen in de opvolging van bevindingen door afhankelijkheden van a) andere gemeentebrede projecten, zoals De Utrechtse Standaard (DUS) en b) van (software)leveranciers. Het overgrote aantal niet tijdig opgevolgde bevindingen betreft de organisatieonderdelen Maatschappelijk Ontwikkeling en Informatie en Procesmanagement. 7

Audits (1/5)

Wettelijk verplichte jaarlijkse audit

Artikel 213a Gemeentewet: Uthiek

Artikel 213a Gemeentewet: Afval

Organisatieonderdeel: CIO-Office

Organisatieonderdeel: Stadsbedrijven

In het coalitieakkoord 2022-26 stelt het college de ambitie om een commissie aan te stellen die over digitale ethische vraagstukken adviseert. Hiervoor is in 2020 Team Uthiek opgericht binnen het CIO-Office.

In het coalitieakkoord 2022-2026 zijn de visie en ambities van de gemeente rondom afvalinzameling opgenomen. Stadsbedrijven (SB) is binnen de gemeente verantwoordelijk voor de inzameling en verwerking van afval. SB volgt hierbij ontwikkelingen rondom afval op de voet. Zo is SB vertegenwoordigd in diverse landelijke werkgroepen, draagt bij aan wetswijzigingen en werkt continu aan het ontwikkelen van innovatieve methoden voor afvalinzameling en –verwerking, zoals ‘Het Nieuwe Inzamelen’.

Het team bestaat uit een mix van ervaren vakexperts, trainees en een externe klankbordgroep die met veel passie ethische impact assessments rondom het gebruik van nieuwe technologieën uitvoeren. Dit verhoogt merkbaar het bewustzijn over digitale ethiek in de organisatie. Echter, de op co-rollen gebaseerde invulling van Team Uthiek vormt een uitdaging voor de realisatie van digitale ethiek doelstellingen. Verder ontbreken gedocumenteerde selectiecriteria (diversiteit, senioriteit en vakexpertise) voor het aanstellen van externe klankbordgroepleden. Ook missen formele samenwerkingsafspraken, waardoor hun expertise niet optimaal gebruikt wordt.

Een ander aandachtspunt voor Team Uthiek is hun overwegend informele aanpak. Zo bestaat een sterke afhankelijkheid van individuele invulling bij het uitvoeren van assessments door onvolledige werkafspraken en inconsequente naleving hiervan. Door een disbalans tussen ambities en beschikbare capaciteit zijn enkele in beleid genoemde activiteiten zoals het monitoren van gegeven adviezen niet uitgevoerd. Verder is het aantal uitgevoerde assessments door een gebrek aan adequate kwaliteitsbewaking de afgelopen jaren te optimistisch verantwoord in rapportages aan het college en de raad. Het management van het CIO-Office heeft reeds een plan van aanpak opgesteld voor het opvolgen van de verbeterpunten.

In de grondstoffennota 2020 zijn de strategische doelen t/m 2025 opgenomen. Deze sluiten aan bij het coalitieakkoord. De doelstellingen en planning voor na 2025 ontbreken echter, waarmee belangrijke input voor strategische bedrijfsvoeringaspecten en benodigde financiële middelen mist. In een raadsvoorstel uit 2020 zijn business cases aangekondigd voor twee projecten met ingrijpende consequenties voor inwoners en grote financiële gevolgen. Door omstandigheden, zoals Corona, zijn beide projecten vertraagd. De raad is hier echter niet proactief over geïnformeerd en momenteel is er geen interne deadline voor de uitwerking van de business cases. SB beschikt over veel data rond afval. Deze data worden vooral ingezet om het primaire proces te ondersteunen. Kansen om data ook in te zetten om beleid en activiteiten te evalueren, blijven echter onbenut. SB gebruikt twee indicatoren om de afvaldoelstelling te monitoren: de hoeveelheid restafval (per persoon) en de tevredenheid van inwoners met afvalinzameling. SB ligt op koers om de hiervoor gestelde doelen te behalen. De indicatoren wordt echter niet tussentijds gemeten, waardoor grip ontbreekt op de voortgangsbewaking. Het management van SB heeft een plan van aanpak opgesteld voor het opvolgen van de verbeterpunten. 8

Audits (2/5)

Wettelijk verplichte jaarlijkse audit

Wet politiegegevens (Wpg) – Governance & Applicatie- en autorisatiebeheer Organisatieonderdeel: CIO-office, Vergunningen, Toezicht en Handhaving – VTH, Werk & Inkomen – W&I, Maatschappelijke Ontwikkeling – MO, Openbare Orde en Veiligheid – OOV De Wet politiegegevens (Wpg) stelt criteria voor de verwerking van politiegegevens. De Autoriteit Persoonsgegevens (AP) houdt hier toezicht op. Een vorm van AP toetsing is een verplichte vierjaarlijkse externe en jaarlijkse interne audit. Het CIO-office is als Wpg stelselhouder verantwoordelijk voor het opstellen van gemeentebrede kaders hierover en het centrale contactpunt voor de AP. De interne audit bestond in 2023 uit een hercontrole van: 1) de interne auditbevindingen ‘Governance 2022’ en 2) de externe audit bevindingen inzake ‘Applicatie- en Autorisatiebeheer’. Voor governance-gerelateerde verbeteracties zoals sturen en verantwoorden is een eerste stap gezet in een samenwerking tussen het CIO-Office en de organisatieonderdelen. Echter, voor géén van de bevindingen uit de interne audit 2022 heeft volledige implementatie van de met management afgestemde verbeteracties plaatsgevonden. De oorzaak hiervan is een combinatie van gebrek aan bewustzijn over het onderwerp, druk op beschikbare capaciteit, onvoldoende managementaandacht en prioritering. Dit betreft alle organisatieonderdelen in scope.

Voor applicatie- en autorisatiebeheer zijn verbeteracties geïmplementeerd bij MO. Zij hebben namelijk beschikking gekregen over een ‘derdenverklaring’ voor hun Wpg applicatie. Door deze verklaring, opgesteld door een onafhankelijke vakexpert, heeft MO zicht op de kwaliteit van de IT beheersing bij de leverancier en hiermee over de veiligheid van gemeentelijke data. Echter, de overige organisatieonderdelen hebben de in de externe audit geconstateerde bevindingen niet opgevolgd. Een andere bevinding betreft tekortkomingen in configuraties van de grootste Wpg applicatie binnen de gemeente Utrecht. Zwakke wachtwoord-instellingen en een gebrek aan controle op autorisaties verhogen de kans op externe inbreuk op data. Door het niet opvolgen van de verbeteracties loopt de Gemeente Utrecht een aantal risico’s. Zo kan de AP in het uiterste geval verscherpt toezicht instellen. Dit legt, door onder andere verplichte periodieke voortgangsrapportages aan de AP, een additioneel beslag op de capaciteit van de organisatie. Onderdeel hiervan zijn ook gesprekken tussen de AP en de directeuren van organisatieonderdelen, Themadirecteur Bedrijfsvoering, betrokken wethouder en de gemeentesecretaris. Daarnaast vormt dit een reputatierisico, omdat de AP hierover publiceert.

Het management van alle betrokken organisatieonderdelen is inmiddels begonnen met het implementeren van de aanbevelingen uit het auditrapport.

9

Audits (3/5) IT Readiness assessment SAP S/4 HANA

IT Voortgang Cloudtransitie - Contractmanagement

Organisatieonderdeel: Financiën

Organisatieonderdeel: Domstad IT

Het systeem SAP wordt binnen de gemeente Utrecht voor verschillende primaire processen gebruikt zoals de financiële administratie en kent momenteel circa 2.500 gebruikers. De leverancier ontwikkelt en ondersteunt het huidige systeem niet meer vanaf 2027. Daarom stapt de gemeente Utrecht over naar het cloud-based systeem SAP S/4 HANA. De migratie is belegd bij de afdeling Financiën als systeemeigenaar. Zij werken samen met een externe programmamanager en externe implementatiepartner.

De gemeente Utrecht is in 2019 gestart met het programma Cloudtransitie. Met deze transitie worden steeds meer gemeentelijke IT-diensten van een on-premise naar een cloudomgeving verplaatst. Bij de inkoop van clouddiensten is het belangrijk om met leveranciers afdwingbare contractafspraken te maken, zodat de techniek, werking en het beheer van clouddiensten gewaarborgd is. We hebben voor deze audit enkel de kwaliteit en naleving van cloudcontracten van Domstad IT beoordeeld.

Het programma maakt veelvuldig gebruik van algemeen erkende standaard methoden voor systeemimplementaties. Dit biedt houvast voor het behalen van (deel)doelstellingen en zorgt voor een efficiënte werkwijze.

De belangrijkste tekortkoming in de programmaopzet is een gebrek aan periodieke verantwoording aan de stuurgroep en de directieraad. Gezien de complexiteit, financiële omvang en afhankelijkheid van externen, is een sterke betrokkenheid van beide organen een belangrijke succesfactor. Ondanks dat het programma sinds Q1 2023 loopt, ontbreken relevante instrumenten (DPIA en PSA) om privacy- en beveiligingsrisico’s adequaat te adresseren. Dit bemoeilijkt het toepassen van beheersmaatregelen voor een veilige inrichting van het nieuwe financiële systeem. Tevens ontbreekt een totaaloverzicht van de financiële impact van het programma en zijn kosten voor het tijdelijk in stand houden van de huidige systeemomgeving nog steeds onbekend.

Het management Financiën erkent het belang van bovenstaande punten en stelt verbeteracties op.

De gemeente kent voor haar contractmanagementproces een algemeen geaccepteerde standaard. Deze wordt echter niet consequent toegepast op cloudcontracten. Een gevolg hiervan is onvolledige contractdossiers door een gebrek aan belangrijke documenten met cloudleveranciers. Dit bemoeilijkt tevens de monitoring op de naleving van contractafspraken. De gemeente koopt het overgrote deel van haar software in via een raamovereenkomst met een softwarebroker, zodat voor alle software gerelateerde inkopen dezelfde voorwaarden van toepassing zijn. Echter, enkele inkopen zijn in strijd met de aanbestedingswet, omdat deze niet passen in de scope van de raamovereenkomst. Huidige ramingen voor het contract met een belangrijke cloudleverancier voorspellen een overschrijding van de oorspronkelijke doelwaarde in mei 2025. Zonder tegenmaatregelen resulteert dit mogelijk in een financiële onrechtmatigheid van € 7,8 miljoen. De daadwerkelijk benodigde diensten zijn tijdens de aanbesteding onderschat.

Het management van Domstad IT gaat aan de slag met het opvolgen van de bevindingen.

10

Audits (4/5) Talon proces

Projectbeheersing risicovolle projecten – RRP Wervengebied

Organisatieonderdeel: Stadsbedrijven

Organisatieonderdeel: Stadsbedrijven

We hebben een audit uitgevoerd naar het proces ‘Talon’ binnen Stadsbedrijven. Dit is het proces voor het aanvragen en uitvoeren van een kabel- en leidingvergunning.

Het programma Wervengebied is in 2021 gestart en richt zich op het herstel en behoud van het Utrechtse wervengebied in een periode van 30 jaar.

De medio 2022 aangestelde teamleider heeft samen met enthousiaste nieuwe medewerkers professionaliseringsslagen ingezet. Voorbeelden hiervan zijn verbetering van de onderbouwing van de budgettering, het inrichten van standaarden voor dossiervorming en het wegwerken van achterstanden in het herstel van straatwerk. De eerste stappen zijn gezet, maar verdere verbeterslagen zijn nodig om een robuust proces te waarborgen.

Het programma heeft met een vernieuwde aanpak het negatieve sentiment over het voorgaande project ‘Wal- en kluismuren’ weten te keren. Keldereigenaren en omwonenden worden nu actief betrokken bij het herstelprogramma. Ook laat het programmateam periodiek externe onderzoeken uitvoeren om te toetsen wat goed gaat en wat beter kan.

De ‘Verordening ondergrond: kabels, leidingen en boomwortels’ en bijbehorende nadere regel bevatten de spelregels voor het proces 'Talon'. Echter, deze worden door netbeheerders maar ook door de gemeente Utrecht zelf niet consequent nageleefd. Dit kan leiden tot onveilige situaties in de stad. Toezichthouders hebben een belangrijke rol in het proces omdat zij de kwaliteit van werkzaamheden van de netbeheerder en de aannemer waarborgen. Een standaard toezichtkader voor een uniforme uitvoering van hun werkzaamheden ontbreekt echter. Hierdoor ontstaat ongewenste ruimte voor individuele invulling van deze rol. Naast de proces gerelateerde verbeterpunten is ook versterking van de teamcultuur nodig. Veel personele wisselingen in korte tijd hebben geleid tot gebrek aan teamcohesie. Het management van Stadsbedrijven gaat aan de slag met het opvolgen van de aanbevelingen.

Echter, de huidige financiële verantwoording past niet bij de complexiteit en financiële omvang van het programma. Hierdoor bestaat het risico dat budgetoverschrijdingen niet of niet tijdig gesignaleerd worden. Een koppeling tussen de financiële realisatie en de daadwerkelijke programmavoortgang ontbreekt. Naar verwachting zal het programma in 2025 overgaan van de pioniersfase naar een meer volwassen organisatie. De benodigde acties hiervoor zijn grotendeels in beeld, maar nog niet geformaliseerd in een stappenplan. Aandachtspunten zijn een gezondere balans tussen interne en externe medewerkers, het verder standaardiseren en consequent naleven van processen en samenwerking en kennisdeling met de lijnorganisatie. Wij hebben daarnaast een aantal bevindingen rondom contractmanagement zoals het naleven van het Utrechtse inhuurbeleid, het hanteren van de Utrechtse contractvoorwaarden en het helder en afdwingbaar formuleren van contractafspraken met derden. De Programmadirecteur herkent de verbeterpunten en gaat hiermee aan de slag.

11

Audits (5/5) Patchmanagement Organisatieonderdeel: Domstad IT

Organisaties hebben dagelijks te maken met bedreigingen die de veiligheid van hun ICT infrastructuur aantasten. Een manier om deze te beveiligen is patchmanagement. Dit is het proces van het installeren van kleine software-pakketjes (patches) om tekortkomingen in systemen te verhelpen. Domstad IT heeft in Q1 2024 en een ervaren Vulnerability Manager aangenomen voor het dagelijks monitoren en scannen van kwetsbaarheden en (niet uitgevoerde) patches. Hij overlegt hier periodiek over met betrokken functionarissen. Daarnaast heeft Domstad IT een risicoregister ingericht voor het opnemen van risico’s volgend uit het bewust niet doorvoeren van patches. Echter, het huidige door Domstad IT opgestelde patchmanagementbeleid uit 2020 is gedateerd, op aspecten onduidelijk geformuleerd en wordt niet consequent nageleefd. Tevens ontbreken prestatie-indicatoren en duidelijke escalatielijnen in het document. Voor risico’s die ontstaan door bewust niet te patchen, dient een risico acceptatie besluit (RAB) te worden opgesteld. Echter, RAB’s worden vaak niet of niet tijdig opgesteld en betrokken functionarissen ervaren het opstellen hiervan als complex. Dit leidt tot onvoldoende inzicht in welke beveiligingsrisico’s bewust door het management worden geaccepteerd.

Tot slot ontbreekt relevante stuurinformatie over patchmanagement in managementoverleggen van Domstad IT en in de Regiegroep Gegevensbescherming. Dit beperkt effectieve besluitvorming rondom patchmanagement en beveligingsrisico’s van de gemeente Utrecht. Het management Domstad IT erkent de bevindingen en zet verbeteracties op.

12

Rechtmatigheidsverantwoording gemeentebreed

Wettelijk verplichte jaarlijkse audit

Door de wet ‘Versterking decentrale rekenkamers’ moet iedere gemeente vanaf begin 2023 zelf de rechtmatigheidsverantwoording opstellen en onderbouwen. Tot 2023 was deze taak belegd bij de externe accountant. Met de rechtmatigheidsverantwoording geeft het college aan of er in het boekjaar financiële onrechtmatigheden hebben plaatsgevonden. Verbijzonderde Interne Controles (VICs) De gemeente onderbouwt de rechtmatigheidsverantwoording met behulp van Verbijzonderde Interne Controles. Hiermee wordt jaarlijks gecontroleerd hoe effectief interne controlemethodes (procedures, regels en processen) hebben gewerkt om rechtmatigheidsfouten te voorkomen en/of te identificeren.

De rechtmatigheidsverantwoording bestaat uit de volgende drie fases:

Planningsfase (VIC plan)

Interim fase (VIC procesbeschrijving en lijncontrole)

Finale fase (VIC gegevensgerichte werkzaamheden)

Rol Concernaudit Concernaudit heeft in 2023 hand in hand gewerkt met de organisatie om de rechtmatigheidsverantwoording continu te verbeteren. We hebben onder andere spreekuren verzorgd voor het delen van vakkennis en kwaliteitsborging. Bovendien hebben we standaard templates voor elke fase ontwikkeld om middels standaardisatie de procesefficiëntie te verbeteren. Bij de ontwikkeling van de templates hebben we nauw samengewerkt met de externe accountant om een efficiënte jaarrekeningcontrole te faciliteren.

Uitgevoerde werkzaamheden en bevindingen Na iedere fase heeft Concernaudit een kwaliteitsbeoordeling uitgevoerd op de door de organisatieonderdelen aangeleverde werkzaamheden. Op gebied van de rechtmatigheidsverantwoording is in 2023 grote vooruitgang geboekt. Dit was een gezamenlijke inspanning van alle organisatieonderdelen en het kernteam RMV. Werk en Inkomen en Vergunningen, Toezicht en Handhaving vormen hierin een voorbeeldfunctie voor andere organisatieonderdelen. Concernaudit is van mening dat de uitgevoerde VIC werkzaamheden een geschikte basis vormen voor de controle van de externe accountant. Wel hebben wij een aantal gemeentebrede verbeteracties aangetroffen; • Bevindingen en conclusies zijn onvoldoende onderbouwd; • Met Concernaudit gemaakte afspraken over controlewerkzaamheden zijn niet consequent nageleefd; • De invulling van de VIC functie binnen Ruimte was tot Q2 2024 kwetsbaar, omdat deze volledig berustte op externe medewerkers.

We hebben de bevindingen en benodigde verbeteracties gedeeld met het management van de relevante organisatieonderdelen en geagendeerd in de Stuurgroep Rechtmatigheidsverantwoording.

13

Rechtmatigheidsverantwoording VIC’s

Wettelijk verplichte jaarlijkse audit

Concernaudit voert zelf VIC werkzaamheden uit op twee gemeentebrede processen met grote financiële impact. De externe accountant maakt hier gebruik van tijdens de jaarrekeningcontrole.

Inkopen en aanbesteden Organisatieonderdeel: Overstijgend

Financiële omvang 2023: EUR 851 miljoen

Concernaudit heeft de VIC werkzaamheden op inkopen en aanbesteden over 2023 afgerond. In 2023 zijn de geconstateerde onrechtmatigheden voor het niet naleven van Europese Aanbestedingsregels (€ 4,8 mln.) met meer dan 50% afgenomen ten opzichte van 2022 (€ 11,2 mln.). Een oorzaak hiervoor is dat de aandacht voor en naleving van de EU aanbestedingswetgeving gemeentebreed is toegenomen. Ondanks deze significante verbetering is het niet gelukt de doelstelling voor de naleving van aanbestedingsregels in de programmabegroting 2023 (maximale onrechtmatigheid € 3,0 mln.) te behalen. De meeste onrechtmatigheden zijn geconstateerd bij de organisatieonderdelen Ruimte (66%) en Stadsbedrijven (23%). De onrechtmatigheden zijn met name ontstaan door:

• •

het onterecht verstrekken van opdrachten na afloop van de contractperiode het onterecht verstrekken van opdrachten boven de contractwaarde

en betreffen zowel inkoop en aanbestedingen als inhuur van personeel. De bevindingen en benodigde verbeteracties zijn afgestemd met: • Het management van Ruimte en Stadsbedrijven; • Inkoop (verantwoordelijk voor centraal inkoopbeleid); • Mens & Organisatie (verantwoordelijk voor inhuur personeel).

Subsidieverstrekking Organisatieonderdeel: Overstijgend

Financiële omvang 2023: EUR 278 miljoen

Concernaudit heeft het VIC plan geactualiseerd voor het proces subsidieverstrekking en voor 2023 getoetst op conformiteit aan verordeningen, beleidsdocumenten en werkinstructies.

Wij hebben geen financiële onrechtmatigheden geconstateerd. Bij een aantal subsidies zijn de beschikkingen voor de subsidieverleningen en vaststellingen te laat afgegeven door het subsidiebureau van de gemeente. De beslistermijn uit de Algemene Subsidie Verordening (ASV) is daarbij niet gehaald. Het subsidiebureau heeft hier niet proactief over gecommuniceerd aan de subsidieaanvragers. Dit betreffen formele onrechtmatigheden. Het risico bestaat dat de subsidieontvanger de subsidie ambtshalve kan laten verlenen of vaststellen. De ontvanger heeft dan recht op het volledige subsidiebedrag, ook indien niet aan de aanvraagvoorwaarden wordt voldaan.

Daarnaast zijn de omschrijvingen van subsidieactiviteiten in de beschikkingen onvolledig en niet in lijn met het “Uitvoeringskader subsidieverstrekkingen”. Hierdoor is het moeilijk om vast te stellen of de subsidie wordt besteed aan de gewenste activiteiten. Het management van het subsidiebureau herkent de bevindingen en gaat hiermee aan de slag.

14

Fraude (1/2)

Frauderisicoanalyse 2023 Organisatieonderdeel: Gemeentebreed

Het onderwerp fraude heeft de afgelopen jaren door aanscherping van de beroepsnormen een steeds prominentere plek op de agenda van de externe accountant gekregen. Gemeenten worden verwacht te voldoen aan een fraudepakket bestaande uit drie onderdelen; Het uitvoeren van een periodieke frauderisicoanalyse; Het verzorgen van workshops om bewustwording rondom fraude in kwetsbare processen te verhogen; Het toetsen van beheersmaatregelen in fraudegevoelige processen. Sinds 2023 is het uitvoeren van het fraudepakket bij Concernaudit belegd.

Concernaudit heeft in 2023 in samenwerking met de organisatie een gemeentebrede frauderisicoanalyse uitgevoerd met als doel het fraudebeleid in beeld te brengen en de belangrijkste frauderisico’s van de gemeente Utrecht te identificeren. Deze frauderisicoanalyse bouwt voort op de analyse uit 2019.

De belangrijkste frauderisico’s hebben betrekking op het beschikken over vastgoed, handhaving, informatie en kritische bedrijfsapplicaties, inkoop en aanbesteding, en onjuiste gegevensvastlegging. Daarnaast kwamen twee bevindingen omtrent governance naar voren; • In het fraudebeleid “Onderzoeksprotocol integriteitsschendingen en misstanden” ontbreken eisen voor het opstellen van een oorzaakanalyse en het treffen van verbeteracties door management. • We stellen vragen bij de effectiviteit van het huidige centrale frauderegistratiepunt van de gemeente vanwege de, voor de omvang van de gemeente Utrecht, relatief weinig geregistreerde fraudemeldingen. De Coördinator Integriteit is eigenaar van beide bevindingen en verantwoordelijk voor het implementeren van verbeteracties in 2024. Een ander aandachtspunt is dat loggegevens van kritische bedrijfsapplicaties niet systematisch gebruikt worden om eventueel frauduleuze handelingen tijdig te stoppen. Waar van toepassing neemt Concernaudit dit onderwerp mee in de scoping van toekomstige audits.

15

Fraude (2/2) Fraudeworkshop Zorgfraude Organisatieonderdeel: Gemeentebreed Met de invoering van de Wet maatschappelijke ondersteuning (WMO) in 2015 ligt de verantwoordelijkheid voor het ondersteunen van mensen die niet op eigen kracht zelfredzaam zijn bij gemeenten. Dit kan bijvoorbeeld via een persoonsgebonden budget of zorg in natura. Landelijk dringt zich het beeld op dat veel fraude gepleegd wordt met deze zorggelden. Wij hebben daarom twee interne fraudeworkshops rondom het thema ‘zorgfraude’ georganiseerd in 2023. Collega’s vanuit de betrokken organisatieonderdelen uit het sociale en fysieke domein hebben hieraan deelgenomen. Het doel van de workshops was het vergroten van het risicobewustzijn binnen de organisatie en het leren herkennen van fraudesignalen. Onder het motto “think like a fraudster to catch a fraudster” gingen de deelnemers op zoek naar (nieuwe) methoden om fraude te plegen met zorggeld. Vervolgens ontwierpen zij beheersmaatregelen om deze fraude tegen te gaan. Een mooie spin-off is dat de uitkomsten van de workshop meegenomen worden in het ontwerp van een nieuw uitvoeringsplan "Toezicht" bij het organisatieonderdeel Maatschappelijke Ontwikkeling. Met deze workshop geven wij opvolging aan een aanbeveling uit de laatste managementletter van de externe accountant.

Fraudepreventie - Eerste Inschrijving Basisregistratie Personen Organisatieonderdeel: Publiekszaken Personen die langer dan vier maanden in Nederland willen verblijven, zijn wettelijk verplicht zich te registreren in de BRP van de gemeente waar zij gaan wonen. Hiermee krijgen zij een Burgerservicenummer en toegang tot zorgverzekeringen, uitkeringen en bankrekeningen. Dit is een kwetsbaar proces met risico op identiteitsfraude en onrechtmatige toegang tot voorzieningen. Wij hebben een audit uitgevoerd naar de effectiviteit van de interne controlemaatregelen. Medewerkers beschikken over adequate vakkennis en werken constructief samen voor continue procesverbetering. Dit heeft recent de werkdruk en doorlooptijd van eerste inschrijvingen verlaagd. Echter, de werkinstructies zijn gedateerd (2014) en niet geschikt voor een robuuste uitvoering van het proces. De dagelijkse uitvoering van het proces komt dan ook niet overeen met de werkinstructies. De belangrijkste beheersmaatregelen, functiescheiding en het vier-ogen-principe, worden daarnaast niet systeemtechnisch afgedwongen. Hierdoor kan theoretisch één medewerker het gehele proces doorlopen, wat de kans op fraude verhoogt. Ook is het periodiek analyseren van loggegevens niet in standaard werkprocessen ingebed om ongewenste patronen en knelpunten tijdig te identificeren.

Privacywetgeving beschouwt eerste inschrijvingen als hoog risico proces, waarvoor het opstellen van een Data Protection Impact Assessment (DPIA) verplicht is. Dit document was tijdens de audit nog niet aanwezig. Het management van Publiekszaken herkent de verbeterpunten en pakt deze op in Q2 2024.

16

Innovatie en inzet van data-analyse Binnen Concernaudit verkennen we mogelijkheden om data-analyse en nieuwe technologieën toe te passen. Dit doen we om de dienstverlening van Concernaudit continu te verbeteren, maar ook om de organisatie met procesverbeteringen te ondersteunen.

Data-analyse als audit techniek

Automatisering werkzaamheden

Ondersteuning en advies

Participatie en kennisdeling

Wij passen, waar mogelijk, data-analyse toe in onze auditaanpak.

Concernaudit is continu op zoek naar automatiseringsmogelijkheden voor handmatige audit-werkzaamheden. Hierdoor maken we capaciteit vrij voor dienstverlening met een hoge toegevoegde waarde voor de organisatie.

Concernaudit ondersteunt organisatieonderdelen in het verkrijgen van inzicht in en naleving van hun processen.

De stormachtige ontwikkelingen op het gebied van Artifical Intelligence (AI) bieden kansen voor de gemeente, maar stellen de organisatie ook voor uitdagingen op het gebied van ethiek en gegevensbescherming.

Hiermee vinden analyses en controles geautomatiseerd plaats op grote datasets. Afwijkingen in processen worden eerder zichtbaar, waardoor wij onze werkzaamheden gerichter en efficiënter kunnen uitvoeren. Bovendien verhoogt de inzet van dataanalyse de betrouwbaarheid van onze conclusies. Het afgelopen jaar is data-analyse onder meer ingezet bij de rechtmatigheidsverantwoording en bij de audits ‘Eerste Inschrijving in de BRP’ en ‘Talon’.

Een bijzonder arbeidsintensieve activiteit binnen Concernaudit is het kwartaallijks uitvoeren van de VIC 'Inkopen en Aanbesteden’. Het handmatig verzamelen van inkoopdocumenten is een voorbeeld hiervan. Dit proces hebben wij in Q1 2024 in een pilot volledig geautomatiseerd. Hierdoor besparen wij ongeveer 10 manuren op jaarbasis.

Een analysetechniek die we hiervoor toepassen is process mining. De resultaten hiervan worden in dashboards gevisualiseerd. Patronen, trends en knelpunten komen zo eenvoudiger en eerder in beeld. Hierdoor kan management tijdig verbeteracties in gang zetten en bijsturen.

Om het onderwerp meer uit te lichten in de gemeente, vindt een maandelijkse AItafel plaats. Medewerkers kunnen hier hun vragen rondom AI stellen.

Omdat wij de ervaring en expertise van onze data-analisten graag delen, neemt de Senior Data Analist van Concernaudit als specialist hieraan deel.

Op pagina’s 18-21 zijn de concrete samenwerkingsinitiatieven uit 2023/24 uitgewerkt.

17

Samenwerkingsinitiatieven: JZ en M&O Juridische Zaken

Mens & Organisatie

Dashboard Management Rapportages ‘Bezwaar en Beroep’

Voorspellende Model Vrijwillige Uitstroom

Naar aanleiding van het dossier Binnenstad en het daaropvolgende Berenschot rapport uit maart 2023 heeft Concernaudit op verzoek van JZ een dashboard met stuurinformatie ingericht.

De krapte op de arbeidsmarkt stelt de gemeente Utrecht voor uitdagingen. Openstaande vacatures zijn hierdoor lastiger in te vullen en voor werknemers is het aantrekkelijk om kansen buiten de gemeente te verkennen. Om beter op potentiële uitstroom te kunnen anticiperen, wil M&O datagedreven vooruitkijken.

Hiermee wordt de naleving van het proces ‘Bezwaar en Beroep’ inzichtelijk gemaakt en kunnen potentiële knelpunten tijdig worden geïdentificeerd. Het verzamelen van stuurinformatie voor de maandrapportages en het berekenen van prestatie indicatoren was voorheen handmatig, tijdrovend en foutgevoelig. Deze processen zijn nu zo veel mogelijk geautomatiseerd. Het dashboard is sinds december 2023 in gebruik bij JZ.

We ontwikkelen een voorspellend model om potentiële vrijwillige uitstroom van medewerkers inzichtelijk te maken. Dit model draagt bij aan een op feiten gebaseerd capaciteitsmanagement binnen de gemeente en faciliteert een doelgerichte en efficiënte inzet van managers en HR business partners. In het afgelopen jaar is het voorwerk voor dit project uitgevoerd. Omdat we met persoonsgegevens aan de slag gaan, is het van belang dat alle risico’s daarbij inzichtelijk zijn gemaakt en adequate beheersmaatregelen worden getroffen. Daarom hebben we een DPIA opgesteld en een Uthiek Assessment uitgevoerd. In het komend jaar ontwikkelen we het voorspellende model en maken we de uitkomsten daarvan inzichtelijk in een dashboard. Dit doen wij samen met de data afdeling van M&O.

18

Samenwerkingsinitiatieven: Financiën Financiën Dashboard Purchase 2 Pay (P2P)

Dashboard BTW bij doorbelasting van kosten

In het boekjaar 2023 heeft de gemeente Utrecht ongeveer 140 duizend crediteurenfacturen geboekt, voor een totaalbedrag van 1,1 miljard euro.

Sinds 2023 heeft de gemeente Utrecht een Horizontaal Toezichtconvenant met de Belastingdienst. Hiervoor is de gemeente verplicht om periodiek de kwaliteit van haar fiscale processen en bijbehorende beheersmaatregelen te toetsen.

Op verzoek van Financiën stelt Concernaudit sinds 2017 periodiek dashboards beschikbaar waarin de naleving van een aantal beheersmaatregelen in het P2P proces inzichtelijk wordt gemaakt. De focus ligt hierbij op de autorisaties van betrokken personen, functiescheiding en handmatig ingrijpen in geautomatiseerde processtappen. Het afgelopen jaar hebben we het dashboard uitgebreid met aangescherpte controles voor energiefacturen (totale uitgaven in 2023: ruim 26 miljoen euro) en het overschrijden van bestellingslimieten.

Om te voldoen aan de eis van de Belastingdienst zijn we in 2023 – in samenwerking met het fiscale team van FIJ – een pilot in het BTW domein gestart. We hebben een dashboard ontwikkeld voor controles rondom het doorbelasten van kosten aan derden. Hiermee maken we de overstap van steekproefsgewijze controles naar geautomatiseerde controles, waarbij de hele populatie aan relevante BTW transacties wordt meegenomen. BTW vak expertise wordt op deze manier gerichter en efficiënter ingezet.

Financiën kan hierdoor tekortkomingen in het proces tijdig identificeren en bijsturen.

19

Samenwerkingsinitiatieven: Publiekszaken Publiekszaken PBZ: Dashboard Raadplegingen BRP en advisering

PBZ: Dashboards Eerste inschrijving BRP

PBZ: Dashboard Reisdocumenten

De Basisregistratie Personen (BRP) bevat privacygevoelige persoonsgegevens van inwoners van Nederland en van personen die Nederland hebben verlaten. Jaarlijks vinden er binnen de gemeente enkele miljoenen raadplegingen in de BRP plaats. Het eigenaarschap voor toegang tot de BRP ligt bij PBZ, maar het systeem wordt ook geraadpleegd door andere organisatieonderdelen en woningcorporaties.

Personen die langer dan vier maanden in Nederland willen verblijven, zijn wettelijk verplicht zich te registreren in de BRP van de gemeente waar zij gaan wonen. Hiermee krijgen zij een Burgerservicenummer en toegang tot belangrijke voorzieningen in Nederland zoals een zorgverzekering of bankrekening.

Jaarlijks verstrekt PBZ ruim 35.000 reis-documenten.

Het risico bestaat dat medewerkers onbevoegd persoonsgegevens raadplegen voor persoonlijk/financieel gewin of identiteitsfraude. Sinds 2020 maakt Concernaudit een dashboard voor PBZ om raadplegingen in de BRP inzichtelijk te maken. In 2024 heeft Concernaudit het dashboard geactualiseerd en aanvullende controlemaatregelen gericht op opvallende patronen in de zoekopdrachten van gebruikers toegevoegd.

Het risico bestaat dat medewerkers betrokken raken bij identiteitsfraude door valse inschrijvingen te faciliteren. In Q1 2024 hebben we tijdens de audit ‘Eerste inschrijving’ een dashboard ontwikkeld om de naleving van het standaard proces, ongewenste afwijkingen en opvallende patronen inzichtelijk te maken. Met behulp van de dashboards kunnen knelpunten in 'workload management' en frauduleuze handelingen op tijd worden gesignaleerd.

Het risico bestaat dat medewerkers betrokken raken bij identiteitsfraude door het uitgeven van valse reisdocumenten. Concernaudit maakt sinds 2018 een dashboard ‘Reisdocumenten’ om de naleving van het standaard proces en ongewenste afwijkingen en opvallende patronen inzichtelijk te maken en verbetert het dashboard jaarlijks. Het afgelopen jaar is het dashboard uitgebreid met aanvullende controlemaatregelen, zoals de wijze waarop de identiteit van de aanvrager wordt gecontroleerd. Denk hierbij aan het vaststellen van de identiteit door middel van het oude reisdocument of identificerende vragen. Hierdoor kunnen knelpunten in 'workload management' en frauduleuze handelingen op tijd gesignaleerd worden.

20

Samenwerkingsinitiatieven: PwC Uitgelicht: Vergroten van bewustzijn en verantwoord omgaan met nieuwe technologieën Verantwoord omgaan met nieuwe technologieën is een onderwerp dat binnen Concernaudit veel aandacht krijgt. Hiervoor werken we onder andere samen met PwC. PwC heeft met Concernaudit en een aantal andere partners een innovatieprogramma (RISE) opgezet waarin oplossingen worden gezocht voor complexe maatschappelijk vraagstukken, zoals Ethical AI. Op 26 april 2023 heeft een workshop bij de gemeente Utrecht plaatsgevonden om RISE te testen in een simulatie. Hierbij stond de inzet van Ethical AI bij grote evenementen centraal. Specialisten vanuit PwC en topambtenaren van Openbare Orde en Veiligheid, Vergunningen Toezicht en Handhaving, Team Uthiek, Concernaudit en Concerncontrol hebben hieraan deelgenomen. De workshop bood een veilige leeromgeving om te oefenen met het nemen van moeilijke beslissingen over Ethical AI. Door te reflecteren op de keuzes en samenwerking tijdens een simulatie, hebben we kansen en dilemma's ervaren die inherent zijn aan het gebruik van Ethical AI en hoe je hier effectief mee om kunt gaan. De kennis en ervaringen uit de workshop nemen we nemen mee om dit complexe onderwerp binnen de gemeente Utrecht verder vorm te geven.

21

Status onderhanden audit opdrachten uit jaarplan 2023-24 Onderstaande twee audits uit het jaarplan 2023-24 zijn per eind maart 2024 nog onderhanden. In het tweede kwartaal van 2024 ronden we deze audits af.

Per 31 maart 2024

Vooronderzoek

Opdrachtbeschrijving afgestemd

Veldwerk afgerond

Bevindingen afgestemd

Conceptrapport aangeboden

In afwachting van managementreactie

Voortgang implementatie standaard projectbeheersing

Serviceplein ICT

22

Management van de interne auditfunctie Onafhankelijkheid

Belangenverstrengeling

De Manager Concernaudit heeft vastgesteld dat de benodigde onafhankelijkheid van Concernaudit is gewaarborgd:

Potentiële belangenverstrengeling wordt periodiek getoetst door de Manager Concernaudit. Tussen 1 april 2023 en 31 maart 2024 heeft belangenverstrengeling zich niet voorgedaan.

• De Manager Concernaudit rapporteert aan een dusdanig hoog niveau in de organisatie, waardoor Concernaudit in staat is om haar verantwoordelijkheden te kunnen vervullen. • De Manager Concernaudit heeft een directe communicatielijn met de Gemeentesecretaris, de Wethouder en de Adviescommissie Control & Financiën.

Belangenverstrengeling vindt plaats op het moment dat een auditor, die een vertrouwenspositie bekleedt in haar functie, een ander professioneel of persoonlijk belang heeft. Tegengestelde belangen kunnen het onpartijdig uitoefenen van de auditfunctie bemoeilijken. Door belangenverstrengeling kan een ongepast beeld ontstaan welke het vertrouwen in de interne auditor en haar audit activiteiten kan schaden.

Middelen en budget • Concernaudit had voldoende middelen (capaciteit en budget) om het interne audit plan 2023-24 uit te voeren.

• Concernaudit heeft het interne audit plan 2023-24 binnen het vastgestelde budget afgerond.

Permanente educatie Auditors met certificaten en beroepslidmaatschappen die bijbehorende onderhoudseisen in het kader van ‘Permanente Educatie’ stellen, hebben de benodigde trainingen en/of cursussen gevolgd om hieraan te voldoen.

Kwaliteitsbewaking en verbeterprogramma In december 2022 hebben we een interne kwaliteitstoets op de Concernaudit functie doorgevoerd om te evalueren of we voldoen aan de standaarden en de gedragscode van onze beroepsorganisatie, het Instituut van Internal Auditors (IIA). Hierbij zijn een aantal verbeterpunten inzake de efficiëntie en effectiviteit van de Concernaudit functie geïdentificeerd. We hebben de nodige verbeteracties geprioriteerd en eigenaarschap bij verschillende teamleden belegd. Ook werken we voor dit onderwerp nauw samen met de interne audit afdelingen van gemeenten Amsterdam en Den Haag voor benchmarking en kennisdeling.

23

Bijlage: reeds gerapporteerd in halfjaarverslag Samenvatting van de afgeronde auditopdrachten

24

Audits (1/3) Bewaken budgetrealisatie en kwaliteit dienstverlening van samenwerkingspartijen

Digitale Transitie Klantgericht samenwerken in Ketens (KIK)

Organisatieonderdeel: Maatschappelijke Ontwikkeling – MO

Organisatieonderdeel: CIO-office

Het opzetten van een robuust financieel forecasting proces staat hoog op de agenda bij MO. Begin 2023 zijn dan ook de eerste stappen hiervoor gezet. De grootste tekortkoming is dat op dit moment rollen en verantwoordelijkheden tussen de accounthouders en businesscontroller niet duidelijk belegd zijn. Dit resulteert in proces inefficiënties en frustraties. Ook is toegang tot privacygevoelige personeelsinformatie te breed ingericht. Dit ligt niet in lijn met het AVG ‘need to know’ principe.

NB: deze audit betreft overloop uit het jaarplan 2022-23. Wij hebben een audit uitgevoerd naar het programma Klantgericht Samenwerken in Ketens (KIK). KIK betreft een doorontwikkeling van het programma ‘Zaakgericht werken’ met het doel om OO-overstijgende samenwerking in ketens te stroomlijnen en te optimaliseren.

Op dit moment worden kwartaalgesprekken ingezet als interne controle op prestatieleveringen. Echter, hierbij ontbreekt diepgang, structuur en adequate vastlegging in de accountdossiers. Het huidige proces is te afhankelijk van de invulling van de individuele accounthouder en niet gestandaardiseerd. Verder wordt het bewaken van prestatieleveringen bemoeilijkt door het niet opnemen van SMART prestatie indicatoren in de contracten met partners. Interne controles op betalingen van subsidies in scope van de audit zijn daarentegen wel adequaat.

Gezien de complexiteit en financiële impact van KIK, is gebrek aan een adequate sturing de belangrijkste tekortkoming. Het 20Beraad bleek hiervoor niet het geschikte orgaan. Het programmaplan is verouderd en bovendien niet door de directieraad vastgesteld. Ook heeft er geen periodieke voortgangsbewaking in de directieraad plaatsgevonden. In de regiegroep ontbreken duidelijk vastgelegde spelregels voor constructieve samenwerking en besluitvorming. Ook zijn niet alle voor het programma relevante besluiten in de regiegroep genomen, wat het bestaan van de regiegroep ondermijnt.

De Tussenvoorziening, een grote partner van de gemeente Utrecht, voert opdrachten voor verschillende organisatieonderdelen uit. Echter, een totaaloverzicht en een integrale accounthouder ontbreken. Omdat MO de grootste opdrachtgever is, zou de regierol hier het best belegd kunnen worden.

De kwaliteit van het programmadossier is ondermaats. Verder is managementaandacht nodig voor het inzichtelijk maken van afhankelijkheden met andere gemeentebrede IT programma’s en afstemming met de organisatieonderdelen over het op te leveren product.

Het management van MO onderschrijft de bevindingen en volgt deze op door middel van het DUS-traject ‘Accountmanagement MO’ dat in Q3 2023 start.

Het auditrapport is uitgebreid besproken in de directieraad en er zijn, al tijdens de audit, mitigerende maatregelen genomen door de Directeur Bedrijfsvoering. 25

Audits (2/3) IT Compliance en efficiënt gebruik Identity Access Management module

Status opvolgingen bevindingen General IT controls – SAP Financieel en Inkoop

Organisatieonderdeel: Domstad IT

Organisatieonderdeel: Financiën, Inkoop en Domstad IT

Identity Access Management (IAM) omvat het managen van veilige toegang tot gemeentelijke data en systemen. Om dit te automatiseren, heeft de gemeente Utrecht Omada (tool) aangeschaft. Aspecten van het bijbehorende implementatieproject verliepen echter niet naar wens en daarom is het project tijdelijk on hold gezet. In 2022 is een herstart gemaakt. Wij hebben in deze audit gefocust op lessons learned uit het implementatieproject en de herstart IAM.

In de afgelopen jaren hebben verschillende General IT Controls (GITC’s) audits voor het SAP-systeem plaatsgevonden. Deze zijn uitgevoerd door zowel Concernaudit als door de externe accountant Deloitte. We hebben een follow-up audit uitgevoerd om de status van de opvolging van de bevindingen in kaart te brengen.

Belangrijke thema’s voor verbetering bleken governance en voortgangsbewaking. Zo is het beleid onvolledig en bevat het tegenstrijdigheden inzake het aansluiten van applicaties op Omada. Ook is er geen robuust proces voor periodieke voortgangsbewaking opgezet. Dit is een ‘enabler’ voor effectieve monitoring en het behalen van doelstellingen. We hebben een aantal verbetermogelijkheden rondom het thema contractmanagement geïdentificeerd. Zo zijn samenwerkingen tussen DomstadIT en organisatieonderdelen niet geformaliseerd, waardoor een kans op discrepanties in verwachtingen kan ontstaan. Ook zijn afspraken met derden niet SMART geformuleerd in overeenkomsten, waardoor er onvoldoende grip is op (verwachte) contractuitgaven en prestaties.

Voor de opvolging heeft management de primaire focus gelegd op bevindingen met risicoclassificaties hoog en midden. Per juli 2023 is ongeveer driekwart van de bevindingen volledig of grotendeels opgevolgd. Het gros van de niet opgevolgde bevindingen hebben risicoclassificatie laag. Opvolging hiervan wordt niet door Concernaudit gemonitord. Ondanks dat het opvolgen van de bevindingen een meerjarig proces was, heeft het inmiddels voldoende managementaandacht en worden zichtbaar resultaten geboekt.

Het management onderschrijft de bevindingen en geeft aan deze op korte termijn te kunnen opvolgen.

26

Audits (3/3) Logische Toegangsbeveiliging SAP HR Organisatieonderdeel: Mens en Organisatie

NB: deze audit betreft overloop uit het jaarplan 2022-23. Wij hebben een audit uitgevoerd naar de logische toegangsbeveiliging voor MijnHR. Over het algemeen zien we een robuust proces voor logische toegangsbeveiliging. Echter, er zijn verbetermogelijkheden voor het verder aanscherpen van diverse interne controles. De belangrijkste bevinding betreft dat bestaande lijnmanager controles (bijv. verlofaanvragen, verzuim en decelaraties) worden afgezwakt. Er zijn geen vastgelegde spelregels voor het aanwijzen van vervangers in het systeem. Hierdoor is het mogelijk om deze aan te wijzen zonder tijds- of functierestricties. Daarnaast is er geen totaaloverzicht van de gedelegeerde taken en vinden er geen periodieke plausibiliteitscontroles plaats. Dit verhoogt het risico op het misbruiken van data en fraude.

Een tweede aandachtspunt betreft de regiefunctie van M&O. Diverse IT processen zijn uitbesteed. Zoals contractueel afgesproken, brengt de leverancier derdenverklaringen uit. Dit is tevens een algemeen aanvaarde good practice. Echter, deze verklaringen zijn niet allemaal ingezien door M&O. Tevens rapporteert de leverancier niet over alle onderwerpen welke contractueel zijn overeengekomen. Onvoldoende inzicht in uitbestede processen verhoogt het risico op ongeautoriseerde toegang tot MijnHR. Het management van M&O herkent de bevindingen en heeft concrete acties uitgezet die nog in 2023 opvolging krijgen.

27