Jaarverslag 2024-25 Concernaudit_definitief

Jaarverslag Concernaudit 2024-25 April 2024 – Maart 2025

Manager Concernaudit 10 april 2025

Inhoudsopgave Managementsamenvatting

Managementsamenvatting Follow-up proces

Follow-up proces Audits

Audits Rechtmatigheidsverantwoording

Rechtmatigheidsverantwoording Adviesopdrachten

Adviesopdrachten Samenwerkingsinitiatieven

Samenwerkingsinitiatieven Status onderhanden opdrachten uit jaarplan 2024-25

Status onderhanden opdrachten uit jaarplan 2024-25 Evaluatie kwaliteit dienstverlening Management van de interne audit functie Bijlage: Reeds gerapporteerd

2

Managementsamenvatting (1/2) Context

Positieve observaties

Met dit jaarverslag informeren we de Concerndirectie en het college over de realisatie van het Concernaudit jaarplan 2024-25.

Follow-up van auditbevindingen

Het jaarplan adresseerde risico’s rondom informatiebeheer en gegevensbescherming, cyberweerbaarheid, robuustheid van kritische processen binnen Financiën, JZ en IT en robuustheid van Operationele Technologie (OT) in het fysieke domein.

In 2023-24 heeft Concernaudit voor het eerst een follow-up proces voor alle afgeronde audits geïntroduceerd. Na gebruikelijke uitdagingen in de beginfase, zoals te optimistische ramingen voor het implementeren van verbeteracties door de organisatieonderdelen, is het proces in 2024-25 sterk verbeterd.

Rechtmatigheidsverantwoording

De door ons geprioriteerde thema's en onderzoeksobjecten hebben alle domeinen van de gemeente Utrecht geraakt.

In het opstellen en onderbouwen van de rechtmatigheidsverantwoording zijn wederom gemeentebrede professionaliseringsslagen gemaakt.

Per eind maart zijn nog twee audits uit het reguliere jaarplan 2024-25 onderhanden. Dit betreft de audit Stadsbedrijven OT/IT en het 213a onderzoek Wijken. Deze ronden we in Q2 2025 af.

Informatiebeheer

Uitstel adviesproject en audit bij Financiën Op verzoek van het management Financiën verplaatsen we het adviesproject "Automatisering btw controles" naar Q4 2025. Wegens capaciteitsproblemen heeft Financiën besloten automatisering van de controlewerkzaamheden in 2024 niet te prioriteren. We betreuren deze keuze, omdat hierdoor kansen voor het versterken en efficiënter uitvoeren van interne controles onbenut blijven.

Gezien de uitdagingen bij Financiën, heeft de Manager Concernaudit in afstemming met de Directeur Concerncontrol besloten de audit "Verbonden partijen" naar 2026 te verplaatsen.

De afgelopen jaren was informatiebeheer en naleving van wetgeving hieromtrent een knelpunt binnen de gemeente. Door het opzetten van het programma "Informatie op orde“ en het opnemen hiervan in de Regeling Risicovolle Projecten - met de daarbij horende rapportageverplichtingen richting college en raad heeft informatiebeheer zichtbaar meer managementprioriteit gekregen en zijn inmiddels aantoonbare verbeteringen gerealiseerd.

Wet politiegegevens Naleving van de Wet politiegegevens was in de afgelopen jaren gemeentebreed een aandachtspunt. Alle betrokken organisatieonderdelen hebben het afgelopen jaar stappen gezet omtrent beleidsverbetering en optimalisatie van systemen om beter aan de eisen van de wet en de toezichthouder, de Autoriteit Persoonsgegevens, te voldoen. 3

Managementsamenvatting (2/2) Positieve observaties - vervolg

Ontwikkelingen binnen Concernaudit

Omgevingswet

In het kader van het verder professionaliseren van de Concernaudit functie, laten we in 2025 een externe kwaliteitstoets door de IIA Nederland uitvoeren. Hierbij wordt de naleving van standaarden van onze beroepsorganisatie en de effectiviteit en efficiëntie van de interne audit functie beoordeeld. De verbeterpunten uit de quick scan van april 2025 pakken we op in aanloop naar de formele toetsing in december 2025.

Op 1 januari 2024 is de Omgevingswet landelijk in werking getreden, waardoor het proces omtrent het verlenen van vergunningen substantieel is veranderd binnen de gemeente. De gemeente Utrecht is ver gevorderd met het werken volgens de nieuwe spelregels en is een aanjager voor landelijke verbeteringen en ontwikkelingen in de uitvoering van de wet.

Aandachtspunten Cloudtransitie

Financiën

De gemeente Utrecht is in 2019 gestart met het programma Cloudtransitie. Hiermee worden steeds meer gemeentelijke applicaties van een on-premise naar een cloud-omgeving verplaatst en het applicatie- en databeheer aan leveranciers uitbesteed. Het contractmanagement omtrent cloudapplicaties is ondermaats, waardoor de toegang tot gemeentelijke data en de veiligheid hiervan niet adequaat gewaarborgd is.

De vertaalslag van verbeterplannen naar concrete, systematische en robuuste processen en een waarderende cultuur die samenwerking bevordert duurt te lang. De afhankelijkheid van derden hierbij blijft zorgelijk. Deze onderwerpen worden geadresseerd in het programma ‘Versterken Financiële Functie’.

Bewustzijn cyberweerbaarheid In het halfjaarverslag hebben we gebrek aan cyberbewustzijn bij medewerkers uitgelicht om gepast op cyberdreigingen te reageren. Alhoewel de deelnamecijfers van de e-learning gegevensbescherming inmiddels aanzienlijk gestegen zijn en het CIO Office na de audit een bewustwordingscampagne heeft gelanceerd, vraagt dit onderwerp om continue managementaandacht.

Governance Het actualiseren en naleven van kaders en richtlijnen blijft een aandachtspunt. In het afgelopen jaar betreft dit met name de standaarden projectbeheersing en contractmanagement en spelregels voor het berekenen van loon- en prijsindexaties.

Inzet van data Data analyse technieken worden niet optimaal benut voor het monitoren van processen, uitvoeren van interne controles en het feitelijk onderbouwen van scenario's in de besluitvorming. Concernaudit fungeert in diverse adviesprojecten als aanjager voor data gedreven werken. Echter, door gebrek aan relevante data competenties en prioritering in de organisatie worden de door ons ontwikkelde tools niet systematisch en consequent ingezet. Dit betreft met name het domein Bedrijfsvoering & Dienstverlening. Hierdoor blijven kansen voor procesverbeteringen en het creëren van een aantrekkelijke werkomgeving onbenut. 4

Follow-up proces Sinds 2023 past Concernaudit een robuust follow-up proces toe voor alle afgeronde audits. Tijdens de follow-up bewaken we de voortgang van de door management voorgestelde verbeteracties. Het management is verantwoordelijk om deze verbeteracties binnen de afgestemde periode te implementeren. Concernaudit fungeert als aanjager, procesbewaker en escaleert significante vertragingen richting de directieraad. Onderstaande grafieken geven de opvolgingsstatus van bevindingen uit de auditjaren 2023-24 en 2024-25 weer. Het follow-up proces bevat bevindingen met risicoclassificatie hoog en midden. Bevindingen met risicoclassificatie laag zijn hier geen onderdeel van.

Follow up status jaarplan 2024-25

Follow up status jaarplan 2023-24 # Audits

14 # Bevindingen

15 Hoog 100

Aantal onderhanden overdue 19 (0 hoog risico)

Aantal onderhanden niet overdue 4

Aantal opgelost 77

# Audits

9*

19%

Aantal onderhanden overdue 10

Aantal opgelost 21

16%

(3 hoog risico)

33%

# Bevindingen

77% 4%

76 Midden 9 Laag

10 Hoog 61

48 Midden 3 Laag

Aantal onderhanden niet overdue 32

52%

Conclusies Uit het jaarplan 2024-25 zijn drie bevindingen met risicoclassificatie hoog overdue: Bij IPM (1) zijn door te optimistische ramingen van opvolgtermijnen aantoonbare kwaliteitscontroles op het datalekregister nog niet ingericht. Hierdoor blijven risico’s omtrent de naleving van wet- en regelgeving zoals de Algemene Verordening Gegevensbescherming (AVG) voorlopig bestaan. Financiën (2) heeft de procesbeschrijving gemeentefonds nog niet geactualiseerd door een aantal (inhuur)personeelswisselingen. Dit zorgt voor ongewenste individuele invulling van het proces, waardoor kwaliteitseisen niet worden gewaarborgd. Daarnaast heeft Financiën nog geen aantoonbaar vervolg gegeven aan aandachtspunten uit de medewerkersonderzoeken 2023 en 2024. Dit verhoogt de kans op ongewenst uitstroom, omdat medewerkers zich niet gehoord en gewaardeerd voelen. Beide onderwerpen worden geadresseerd in het programma ‘Versterken Financiële Functie’. * Per 31-03-25 zijn twee audits uit het jaarplan 2024-25 nog onderhanden. Derhalve zijn de bevindingen van deze audits niet opgenomen in de visualisatie.

5

Audits (1/3)

Doelstelling: De efficiëntie en effectiviteit van de inrichting, werkwijze en behaalde resultaten van het programma ‘Informatie op Orde’ beoordelen.

Doelstelling: Vaststellen of beheersmaatregelen adequaat zijn ingericht om de Wpg na te leven.

Artikel 213a Gemeentewet: Informatie op Orde

Wet politiegegevens 2024

Organisatieonderdeel: Informatie- en Procesmanagement (IPM)

Organisatieonderdeel: CIO Office, Werk & Inkomen (W&I), Maatschappelijke Ontwikkeling (MO), Vergunningen, Toezicht en Handhaving (VTH) en Openbare orde en Veiligheid (OOV)

In het Coalitieakkoord 2022-2026 is de ambitie “verbeteren van opslag en ontsluiting van gegevens” opgenomen om grip op informatiebeheer te krijgen en te voldoen aan relevante wetgeving zoals de Archiefwet en Wet open overheid. De afgelopen jaren was informatiebeheer en naleving van wetgeving hieromtrent een knelpunt binnen de gemeente. Dit is ook bevestigd in externe onderzoeken van toezichthouders, Provincie Utrecht en Het Utrechts Archief, en consultancybureau Doxis. Daarom heeft de Themadirecteur Bedrijfsvoering in 2022 programma ‘Informatie op Orde’ opgezet. Door het opnemen van het programma in de Regeling Risicovolle Projecten en de daarbij horende rapportageverplichtingen richting Concerndirectie, college en raad, krijgt informatiebeheer zichtbare managementprioriteit en zijn aantoonbare verbeteringen gerealiseerd. Verder zijn adviezen uit diverse externe onderzoeken vertaald naar concrete programma activiteiten. Voor het meten van de programmavoortgang zijn SMART indicatoren gedefinieerd en worden data effectief ingezet. Programmateamleden nemen daarnaast deel aan kennisnetwerken binnen de G4 en met toezichthouders om proactief in te spelen op verwachtingen en ontwikkelingen. Een aandachtspunt omtrent governance was dat het mandaat en verantwoordelijkheden van de stuurgroep niet formeel waren vastgelegd, waardoor stuurgroep capaciteit niet optimaal benut werd.

De programmasturing is inmiddels overgedragen naar de lijnorganisatie binnen IPM. De opzet van risicomanagement in het programma staat nog in de kinderschoenen en ligt niet in lijn met gemeentebrede standaard omtrent risicomanagement. Hierdoor worden de implementatie van beheersmaatregelen en tijdige bijsturing belemmerd. Het management van IPM heeft reeds een plan van aanpak opgesteld voor het opvolgen van de verbeterpunten.

De Wet politiegegevens (Wpg) stelt criteria voor de verwerking van politiegegevens. De Autoriteit Persoonsgegevens (AP) houdt hier toezicht op. Een vorm van AP toetsing is een verplichte vierjaarlijkse externe en jaarlijkse interne audit. De interne audit 2024 bestond uit een hercontrole van: 1) de interne auditbevindingen ‘Governance 2022’ en ‘Applicatie- en Autorisatiebeheer 2023’ en 2) de externe audit bevindingen inzake ‘Opslaan en verwijderen van politiegegevens’. De interne auditbevindingen omtrent governance zijn grotendeels opgevolgd door alle organisatieonderdelen, met MO als voorloper. Daarnaast heeft OOV in het kader van een meerjarig vraagstuk door de inzet van externe expertise geconcludeerd dat de Wpg niet van toepassing is op hun gegevensverwerkingen. Wij nemen OOV daarom niet meer mee bij volgende Wpg audits, indien wetgeving niet wijzigt. Nog openstaande verbeterpunten betreffen vooral het opstellen of actualiseren van procesbeschrijvingen, bijvoorbeeld voor datalekmeldingen en inzageverzoeken. Daarnaast heeft de Functionaris Gegevensbescherming nog geen jaarverslag over 2023 gepubliceerd, terwijl de wettelijke verplichting is. Voor bevindingen omtrent zowel applicatiebeheer als het opslaan en verwijderen van politiegegevens tonen alle organisatieonderdelen verbeteringen ten opzichte van de externe audit uit 2022.

Echter, systeemtechnische beperkingen in de huidige applicaties hinderen het naleven van de wet. Zo hebben binnen W&I en VTH niet alle applicaties functionaliteiten om aantoonbaar aan bewaartermijnen te voldoen. Deze bevindingen worden naar verwachting in Q1 2025 opgelost door reeds gestarte systeemvervangingen. Het management van de betrokken organisatieonderdelen is inmiddels begonnen met het implementeren van verbeteracties. 6

Audits (2/3)

Doelstelling: Vaststellen in hoeverre de gemeente Utrecht, één jaar na de inwerkingtreding van de omgevingswet, in control is van de uitvoering van de processen in de operationele keten

Doelstelling: De kwaliteit en naleving van geselecteerde contracten met cloudleveranciers beoordelen.

Cloud Contractmanagement II

Omgevingswet

Organisatieonderdeel: Financiën en Juridische Zaken

Organisatieonderdeel: Vergunningen, Toezicht en Handhaving (VTH)

De gemeente Utrecht is in 2019 gestart met het programma Cloudtransitie. Hiermee worden steeds meer gemeentelijke applicaties van een on-premise naar een cloudomgeving verplaatst en het applicatie- en databeheer aan leveranciers uitbesteed.

Op 1 januari 2024 is de Omgevingswet landelijk in werking getreden. Deze wet heeft tot doel regels rondom de fysieke leefomgeving te vereenvoudigen en te bundelen. In deze audit toetsten wij in hoeverre de gemeente Utrecht in control is van het proces voor vergunningverlening (de operationele keten) bij VTH.

Bij de inkoop van clouddiensten is het belangrijk om afdwingbare contractafspraken met leveranciers te maken, zodat de werking en het beheer van clouddiensten geborgd is. In deze audit hebben wij de kwaliteit en naleving van diverse cloudcontracten binnen Financiën en Juridische Zaken beoordeeld. De gemeente hanteert voor haar contractmanagementproces de internationaal geaccepteerde standaard ‘CATS CM’. Echter, Financiën en Juridische Zaken zijn hier onvoldoende mee bekend en passen deze daarom niet consequent toe. Een gevolg hiervan is dat contracten niet zijn geregistreerd in het gemeentelijke inkoopsysteem. Hierdoor kunnen contractmanagers contractafspraken niet adequaat en efficiënt monitoren. Door gebrekkige contractdossiers binnen Financiën ontbreken rechtsgeldige contracten met leveranciers, terwijl applicaties nog in gebruik zijn. Bovendien adresseren de contracten binnen beide organisatieonderdelen cloudrisico’s onvoldoende. Zo hebben zij weinig afspraken met de leveranciers gemaakt over informatiebeveiliging of monitoren deze niet actief. Hierdoor kan de gemeente de veiligheid van haar data niet garanderen en kunnen cloudleveranciers bij een conflictsituatie in het uiterste geval de gemeente de toegang tot de clouddienst en haar gegevens ontzeggen.

Het management van Financiën en Juridische Zaken heeft inmiddels verbeteracties in gang gezet.

Het team Vergunningen Gebouwde Omgeving (VGO) van VTH heeft adequate initiatieven voor kwaliteitsmanagement opgezet. Zo is de maandelijkse bijeenkomst met vakexperts uit verschillende organisatieonderdelen waardevol voor kennisdeling over de samenwerkingsketen heen. Daarnaast zijn per Q4 2024 adequate kwaliteitscontroles in gang gezet voor het multidisciplinair beoordelen van vergunningendossiers. De Strategisch teamleider vervult een aanjagersrol voor het signaleren van knelpunten bij de uitvoering van de omgevingswet en zet de gemeente Utrecht op de kaart in landelijke bijeenkomsten hierover. Door de omgevingswet zijn processen binnen de gemeente substantieel veranderd. Echter, relevante KPI’s met streefwaarden om de effectiviteit hiervan te meten, ontbreken nog. Dit belemmert gerichte en tijdige identificatie van knelpunten en bijsturing. De applicatie Rx.Mission biedt vooralsnog beperkte rapportagemogelijkheden, waardoor een gedegen sturingsinformatie ontbreekt. Enkele indicatoren zoals werkvoorraden en doorlooptijden worden handmatig berekend. Dit is inefficiënt en foutgevoelig. De omgevingswet vraagt om ketensamenwerking tussen meerdere disciplines. Wij hebben een enquête uitgezet, waaruit blijkt dat het kennisniveau van het proces voor vergunningsverlening verschilt binnen organisatieonderdelen en dat de ketensamenwerking anders ervaren wordt.

Het management van VTH gaat aan de slag met de geformuleerde verbeteracties. 7

Audits (3/3) Loon- en prijsindexatie

Doelstelling: De status en effectiviteit van de verbeterplannen met betrekking tot het proces van de verwerking van loon- en prijsindexatie in de begroting en de voorjaarsnota toetsen.

Doelstelling: De effectiviteit van het proces voor het toetsen van onderwijshuisvestingsprojecten waarbij het bouwbeheer bij het schoolbestuur is belegd (toetsprojecten) beoordelen.

Follow up audit Onderwijshuisvesting

Organisatieonderdeel: Financiën

Organisatieonderdeel: Vastgoedorganisatie Utrecht (VGU)

Financiën voert jaarlijks loon- en prijsindexatie uit om de budgetten van de gemeente voor inflatie te indexeren. Bij de berekening van de loonindexatie in de voorjaarsnota 2023 heeft Financiën de cao verhoging € 8 mln. te hoog ingeschat. Samen met de fout in de berekening van het gemeentefonds heeft dit geleid tot veel negatieve media aandacht.

In 2022 hebben wij een audit naar de samenwerking tussen de gemeente Utrecht en schoolbesturen bij toetsprojecten uitgevoerd. De opvolging van de gerapporteerde verbeterpunten verliep in eerste instantie moeizaam. Daarom hebben wij in overleg met de Directeur VGU besloten om in 2024 een follow up audit hiernaar uit te voeren.

In 2023 zijn de eerste verbeterstappen gezet om het loon- en prijsindexatie proces te laten toetsen door Business Control. Daarnaast is naar aanleiding van benchmarking met de gemeente Den Haag de prijsindexatie berekening in 2024 aangepast.

Medio 2023 heeft VGU een Senior Projectmanager aangesteld om het toetsproces te standaardiseren en efficiënter in te richten. Hiervoor heeft hij een gedegen analyse uitgevoerd van sterktes en zwaktes van het bestaande proces en evaluatiesessies gehouden met toeters binnen VGU en met een aantal schoolbesturen. Verder heeft hij afstemming gezocht omtrent het gehanteerde toetsproces met andere Nederlandse gemeenten.

Het uitvoeren van het loonindexatie proces is momenteel bij Financiën belegd, maar Mens & Organisatie (M&O) beschikt over alle relevante data hiervoor. Wat opvalt, is dat een weloverwogen besluit en een formele onderbouwing voor dit positionering en een duidelijke rolverdeling ontbreken. Het beleidsdocument met spelregels voor het berekenen van de indexaties dateert uit 2017 en is niet aantoonbaar op actualiteit getoetst. Hierdoor ontbreekt de basis voor een robuust proces dat inspeelt op actualiteiten en waarin gedegen beheersmaatregelen zijn geborgd. Aandachtspunten omtrent samenwerking, waardering en leiderschap uit het medewerkersonderzoek 2023 zijn wederom bevestigd tijdens de audit. Het is zorgelijk dat het management van Financiën ten tijde van de audit nog geen plan met concrete acties had opgesteld of andere aantoonbare interventies had gepleegd die voor een duurzame cultuurverandering zorgen.

Dit heeft geresulteerd in een leidraad voor een vernieuwd toetsproces, waarin duidelijkheid wordt verschaft over rollen, taken, verantwoordelijkheden en werkwijzen.

In 2022 zorgde een hoog personeelsverloop binnen VGU voor vertragingen in het uitvoeren van het toetsproces. Het team is in 2024 uitgebreid, waardoor VGU inmiddels voldoende capaciteit heeft om de toetsprojecten tijdig op te pakken. Wij concluderen dat VGU met het actualiseren van de leidraad en door capaciteitsuitbreiding adequaat opvolging heeft gegeven aan de auditbevindingen uit 2022.

Het Management Financiën adresseert de benodigde verbeteracties in het programma ‘Versterken Financiële Functie’.

8

Rechtmatigheidsverantwoording gemeentebreed

Wettelijk verplichte jaarlijkse audit

Door de wet ‘Versterking decentrale rekenkamers’ moet iedere gemeente vanaf begin 2023 zelf de rechtmatigheidsverantwoording opstellen en onderbouwen. Tot 2023 was deze taak belegd bij de externe accountant. In 2024 legt de gemeente voor de tweede keer verantwoording af over de rechtmatigheid van haar handelen. Met de rechtmatigheidsverantwoording geeft het college aan of er in het boekjaar financiële onrechtmatigheden hebben plaatsgevonden. Verbijzonderde Interne Controles (VICs)

Uitgevoerde werkzaamheden en conclusies

De gemeente onderbouwt de rechtmatigheidsverantwoording met behulp van Verbijzonderde Interne Controles uitgevoerd door Business Controllers van de verschillende organisatieonderdelen.

Na iedere fase heeft Concernaudit een kwaliteitsbeoordeling uitgevoerd op de door de organisatieonderdelen aangeleverde werkzaamheden.

Hiermee wordt jaarlijks gecontroleerd hoe effectief interne controlemethodes (procedures, regels en processen) hebben gewerkt om rechtmatigheidsfouten te voorkomen en/of te identificeren. De rechtmatigheidsverantwoording bestaat uit drie fases; Planningsfase (VIC plan)

Interim fase (VIC procesbeschrijving en lijncontrole)

Finale fase (VIC gegevensgerichte werkzaamheden)

Rol Concernaudit Concernaudit werkt hand in hand met de Business Controllers om de rechtmatigheidsverantwoording continu te verbeteren. Dit doen we door: • Het uitvoeren van kwaliteitstoetsen op de VIC werkzaamheden van de organisatieonderdelen;

Op gebied van de rechtmatigheidsverantwoording is in 2024 wederom vooruitgang geboekt. Dit betreft alle organisatieonderdelen en was een gezamenlijke inspanning van de Business Controllers, Concernaudit en het kernteam RMV – bestaande uit leden van Concern Control, Concernaudit en Financiën. Wij zijn van mening dat de uitgevoerde werkzaamheden een geschikte basis vormen voor de controle van de externe accountant. Wel hebben wij een aandachtspunt gesignaleerd binnen Ruimte. Door een inconsequente naleving van interne procedures rondom het boeken van erfpachtinkomsten, is er een verhoogde kans dat rechtmatigheidsfouten niet door de Business Controller zijn geïdentificeerd. We hebben de bevinding en benodigde verbeteracties gedeeld met het management van Ruimte.

• Het verzorgen van spreekuren voor het delen van vakkennis; • Het (door)ontwikkelen van templates om middels standaardisatie de proces-efficiëntie te verbeteren.

9

Rechtmatigheidsverantwoording VIC’s

Wettelijk verplichte jaarlijkse audit

Concernaudit voert zelf Verbijzonderde Interne Controle (VIC) werkzaamheden uit voor twee gemeentebrede processen met grote financiële omvang. De externe accountant maakt hier gebruik van tijdens de jaarrekeningcontrole.

Inkopen en aanbesteden Organisatieonderdeel: Overstijgend

Financiële omvang 2024: EUR 900 miljoen

Subsidieverstrekking

Organisatieonderdeel: Maatschappelijke Ontwikkeling (MO)

Financiële omvang 2024: EUR 315 miljoen

Concernaudit heeft de VIC werkzaamheden op inkopen en aanbesteden over 2024 uitgevoerd.

Concernaudit heeft voor 2024 het VIC plan geactualiseerd en het proces getoetst op conformiteit aan wet- en regelgeving en verordeningen.

Door toegenomen gemeentebrede aandacht voor en naleving van de EU aanbestedingswetgeving zijn de onrechtmatigheden op dit gebied de afgelopen jaren afgenomen van € 11,2 mln. in 2022 tot € 4,8 mln. in 2023.

Wij hebben zoals in eerder jaren geen financiële onrechtmatigheden geconstateerd.

Helaas is met de geconstateerde onrechtmatigheden van € 6,8 mln. in 2024 de dalende trend niet voortgezet. Dit komt met € 6,32 mln. bijna volledig door inhuur. Hiermee is de in de programmabegroting 2024 genoemde doelstelling voor de naleving van aanbestedingsregels van maximaal € 3,0 mln. onrechtmatigheid wederom niet gehaald. Het merendeel van de onrechtmatigheden betreft inhuurcontracten waarin een maximaal aantal te declareren uren voor de gehele opdracht is vermeld, die bij de verlenging niet is verhoogd. De oorzaak is dat organisatieonderdelen op advies van Mens & Organisatie (M&O) consequent standaard inhuurovereenkomsten en verlengingsbrieven, die niet op elkaar aansloten, hebben toegepast. De bevindingen en benodigde verbeteracties zijn afgestemd met het management van: • Mens & Organisatie (proceseigenaar inhuur personeel); • Inkoop (proceseigenaar centraal inkoopbeleid); • Ruimte, Stadsbedrijven en Vergunningen, Toezicht en Handhaving (organisatieonderdelen met onrechtmatigheden)

Net als in eerdere jaren hebben wij een aantal formele onrechtmatigheden geconstateerd. Dit betreft een klein aantal verleningsbeschikkingen die niet vóór het verstrijken van de beslistermijn uit de Algemene Subsidie Verordening (ASV) zijn afgegeven. Dit type onrechtmatigheid heeft geen directe consequenties voor de rechtmatigheidsverantwoording, maar tast het vertrouwen in een betrouwbare overheid aan. Een belangrijk aandachtspunt is dat, zoals in voorgaande jaren, vastleggingseisen uit paragraaf 4.2.5. van het “Uitvoeringskader Subsidieverstrekking” niet consequent wordt nageleefd. Zo zijn subsidieactiviteiten in de beschikkingen te summier beschreven. Hierdoor is het moeilijk om vast te stellen of de subsidie daadwerkelijk wordt besteed aan de gewenste activiteiten. Daarnaast is het “Uitvoeringskader Subsidieverstrekking” voor 2024 niet geactualiseerd. Het management van het subsidiebureau herkent de bevindingen en gaat hiermee aan de slag.

Formats van de inhuurcontracten zijn inmiddels door M&O aangepast om bovengenoemde onrechtmatigheden bij nieuw aanbestede inhuur te voorkomen. 10

Fraude (1/2) Het onderwerp fraude heeft de afgelopen jaren door aanscherping van de beroepsnormen een steeds prominentere plek op de agenda van de externe accountant gekregen. Gemeenten worden verwacht te voldoen aan een fraudepakket bestaande uit drie onderdelen; Het uitvoeren van een periodieke frauderisicoanalyse;

Het jaarlijks verzorgen van workshops om bewustwording rondom fraude in kwetsbare processen te verhogen; Het jaarlijks toetsen van beheersmaatregelen in fraudegevoelige processen.

Frauderisicoanalyse Organisatieonderdeel: Gemeentebreed De periodiciteit voor het actualiseren van de gemeentebrede frauderisicoanalyse is twee jaar. Omdat wij de actualisatie in 2023 hebben uitgevoerd, zal de eerstvolgende in 2025 plaatsvinden. In Q4 2024 hebben wij, gebaseerd op aanbevelingen uit de managementletter 2023 van de externe accountant, het in kaart brengen van frauderisico’s en bijbehorende mitigerende maatregelen toegevoegd aan de werkzaamheden voor de Verbijzonderde Interne Controles (VIC).

Sinds 2023 is het uitvoeren van het fraudepakket bij Concernaudit belegd.

11

Fraude (2/2)

Doelstelling: Vaststellen of de kwaliteit en naleving van de beheersmaatregelen in het proces RNI adequaat zijn.

Doelstelling: Verhogen van bewustwording rondom fraude in kwetsbare processen

Fraudeworkshop Technisch Beheer Vastgoed

Fraudepreventie - Registratie van Niet-Ingezetenen

Organisatieonderdeel: Vastgoedorganisatie Utrecht

Organisatieonderdeel: Publiekszaken

Wij hebben in 2024 een workshop bij het technisch beheerteam van de Vastgoedorganisatie Utrecht (VGU) uitgevoerd om het fraudebewustzijn te verhogen. Technisch beheer is een kwetsbaar proces vanwege de financiële omvang en de afhankelijkheid van externe partijen voor vastgoedbeheer.

Personen die korter dan vier maanden in Nederland verblijven of in het buitenland wonen en een relatie moeten onderhouden met de Nederlandse overheid, kunnen zich in laten schrijven in de Registratie van Niet-Ingezetenen (RNI). Hiermee krijgen zij een Burgerservicenummer en toegang tot de arbeidsmarkt, diensten en voorzieningen. Utrecht is één van de 19 gemeenten die deze registraties uitvoert in opdracht van en onder verantwoordelijkheid van de Rijksdienst voor Identiteitsgegevens (RvIG).

Tijdens een rollenspel zijn we met deelnemers op zoek gegaan naar kwetsbaarheden in het werkproces door in de huid van kwaadwillende externen te kruipen. ​Voorbeelden zijn een beperkt zicht op marktconforme prijzen, het handelen onder tijdsdruk en de afhankelijkheid van een beperkt aantal aannemers

Daarna hebben de deelnemers beheersmaatregelen ontworpen om mogelijkheid op fraude in te perken. Denk hierbij aan aanscherpen van het vier ogen principe en de toepassing van data-analyse om afwijkingen in offertes te signaleren. Met de verkregen inzichten kan VGU kwetsbaarheden in het huidige proces identificeren en gericht aanpakken.

Concernaudit gebruikt deze informatie als input bij het actualiseren van de gemeentebrede frauderisicoanalyse in 2025.

Dit is een kwetsbaar proces met risico op identiteitsfraude en onrechtmatige toegang tot voorzieningen. Medewerkers binnen Publiekszaken (PBZ) beschikken over adequate vakkennis en middelen om het proces uit te voeren en werken hierin constructief samen.

De belangrijkste bevinding is dat de gemeente Utrecht het in 2024 ondertekende convenant met de RvIG niet vooraf juridisch getoetst heeft. De bijlagen van het convenant zijn niet bekend bij Publiekszaken en konden bij navraag ook niet door de RvIG worden verstrekt. Dit kan leiden tot misverstanden over verplichtingen en verwachtingen over de operationele uitvoering, met mogelijke juridische conflicten tot gevolg. Verder zijn in het convenant diverse afspraken gemaakt die door Publiekszaken niet allemaal (aantoonbaar) worden nageleefd. Een ander aandachtspunt is dat PBZ medewerkers incidenteel gebruikmaken van andermans account en dit niet vastleggen, waardoor functiescheiding in het geding komt. Publiekszaken organiseert periodieke bijeenkomsten om het bewustzijn van medewerkers rondom fraude en integriteit te verhogen. Echter, in 2023 en 2024 hebben niet alle medewerkers aan de bijeenkomsten deelgenomen. Het management van Publiekszaken herkent de verbeterpunten en pakt deze op. 12

Adviesopdrachten (1/5) Juridische Zaken

Juridische Zaken

Dashboard Management Rapportage ‘Bezwaar en Beroep’

Dashboard Management Rapportage 'Schade en Verzekeren'

Naar aanleiding van het dossier Binnenstad en het en het daaropvolgende Berenschot rapport, heeft Concernaudit in 2023 op verzoek van JZ een dashboard ontwikkeld om de managementrapportages omtrent het proces ‘Bezwaar en Beroep’ te verbeteren.

Het genereren van informatie voor managementrapportages voor ‘Schade en Verzekeren’ vindt momenteel handmatig plaats en is afhankelijk van één functionaris. Dit is inefficiënt en vormt een ongewenste situatie in het kader van businesscontinuïteit.

Het dashboard is sinds december 2023 operationeel en visualiseert volledig geautomatiseerd relevante stuurinformatie voor de maandrapportages van het proces ‘Bezwaar en Beroep’.

De reeds bestaande samenwerking met JZ zetten wij voort door de maandrapportages van het proces ‘Schade en Verzekeren’ te automatiseren. Met het dasboard kan management gerichter sturen op knelpunten en workload binnen het team. Een bijkomstig voordeel is dat informatie uit het dashboard kan worden gebruikt voor toekomstige onderhandelingen met verzekeraars omtrent keuzes over premies en eigen risico’s.

In de afgelopen periode hebben we dit dashboard verder geoptimaliseerd op basis van waardevolle gebruikersfeedback van juristen. Zo hebben we het gebruikersgemak verbeterd en een prognose voor verwachte bezwaar- en beroepsschriften van bewoner toegevoegd. Deze verbeteringen dragen bij aan een meer gerichte en voorspellende sturing van het proces ‘Bezwaar en Beroep’.

Tijdens de verkenningsfase met JZ hebben wij echter geconstateerd dat een koppeling tussen de benodigde productiesystemen ontbreekt. De ontwikkeling van deze koppeling is inmiddels in gang gezet. Zodra deze gereed is, kunnen wij met het bouwen van de geautomatiseerde rapportages beginnen.

13

Adviesopdrachten (2/5) Concernaudit Automatisering werkzaamheden op VIC Inkopen en Aanbesteden Concernaudit is continu op zoek naar automatiseringsmogelijkheden voor handmatige auditwerkzaamheden. Een bijzonder arbeidsintensieve activiteit is het ieder kwartaal uitvoeren van de VIC 'Inkopen en Aanbesteden’ (zie pagina 11). Sinds 2024 werken we in pilots aan de automatisering van deze werkzaamheden en inmiddels hebben we aantoonbare voortgang geboekt. De grafiek rechts weergeeft de reeds geautomatiseerde stappen en tijdsbesparingen.

Deze aanpak was in het bijzonder waardevol voor het in beeld brengen van een tot nu toe onbekende fout in de rechtmatigheidsverantwoording inkopen en aanbesteden (inhuur). De automatisering stelde ons in staat om de steekproef, na afstemming met de externe accountant, significant uit te breiden, zonder hier veel handmatige auditcapaciteit voor in te zetten. Doordat we de resultaten en conclusies snel konden delen met de inhuurdesk en betrokken organisatieonderdelen, konden zij verbeteracties tijdig in gang zetten.

Visuele weergave van stappen in de automatisering De totale tijdsbesparing per jaar is 945 manuren, verdeeld over de stappen

1. Batchdownload In één handeling alle onderliggende documenten uit het financiële systeem ophalen, zoals contracten en verlengingsbrieven.

282 uur

2. Scraping Automatisch verzamelen van gegevens uit gedownloade documenten, zoals namen van crediteuren, tarieven en looptijden.

3. Data geschikt maken voor gebruik

663 uur

Gegevens voorbereiden voor gebruik in controle, zoals het eenduidig opnemen van datumvelden (31.03.2025 vs. 31-03-2025).

4. Controle uitvoeren Controleren van automatisch verzamelde gegevens aan specifieke toetspunten.

14

Adviesopdrachten (3/5) Evaluatie RRP – ad hoc

Mens & Organisatie

Evaluatie Regeling Risicovolle Projecten

Voorspellende Model Vrijwillige Uitstroom

Sinds 2021 kent de gemeente Utrecht de Regeling Risicovolle Projecten (RRP). Het doel van deze regeling is de raad te versterken in haar kaderstellende en controlerende rol bij risicovolle projecten, die substantiële invloed op de stad hebben, innovaties gebruiken, bestuurlijke complexiteit kennen en/of een significante financiële omvang hebben.

De krapte op de arbeidsmarkt stelt de gemeente Utrecht voor uitdagingen. Openstaande vacatures zijn hierdoor lastiger in te vullen en voor werknemers is het aantrekkelijk om kansen buiten de gemeente te verkennen.

In de regeling is vastgelegd dat deze na drie jaar zal worden geëvalueerd door het college en de raad. Hiervoor is opdracht gegeven aan de Directeur Concerncontrol. De data-analist van Concernaudit was bij de evaluatie betrokken voor onderzoeksgerelateerde aspecten.

In samenwerking met M&O hebben wij daarom een model ontwikkeld om toekomstige vrijwillige uitstroom van medewerkers te voorspellen. Personeelsgegevens, medewerkersonderzoeken en arbeidsmarktdata over de periode 2017-2024 vormen de basis voor de voorspellingen. Door het gebruik van zelflerende algoritmes (machine learning) is het model verder geoptimaliseerd.

Onze data-analist – tevens socioloog – zorgde voor relevante vakexpertise door het hanteren van een mixed methods aanpak, waarbij zowel kwantitatieve als kwalitatieve onderzoeksmethoden zijn ingezet. Om een volledig beeld te krijgen van de ervaringen en opvattingen over de RRP, is een enquête gehouden onder raadsleden en ambtenaren van de gemeente Utrecht. Aansluitend zijn focusgroep-interviews georganiseerd met een selectie van ambtenaren en raadsleden.

De uitkomsten van het model hebben we gevisualiseerd in een dashboard dat M&O in staat stelt om risicogebieden voor vrijwillige uitstroom te identificeren. Denk bijvoorbeeld aan specifieke functies of doelgroepen binnen onze organisatie.

Uit de evaluatie volgden drie verbeterpunten: het terugbrengen van de frequentie van voortgangsrapportages, het toevoegen van de mogelijkheid om de toepassing van de RRP voor een project te pauzeren, en het wijzigen van het evaluatiemoment. De raad heeft op 27 maart 2025 ingestemd met deze verbeterpunten.

Verder gebruikt M&O het dashboard om uitstroomcijfers en daaraan verbonden conclusies te valideren. Hiermee draagt het dashboard bij aan feitelijk onderbouwd capaciteitsmanagement en faciliteert het een gerichtere en efficiënte inzet van managers en HR business partners.

15

Adviesopdrachten (4/5) Financiën Dashboard Memorialen

Dashboard Purchase 2 Pay (P2P) – bestellen t/m factuurafhandeling

De gemeente Utrecht verwerkt jaarlijks een groot aantal memorialen. In 2024 betrof dit 8.663 memorialen ter waarde van ongeveer € 5 miljard.

In het boekjaar 2024 heeft de gemeente Utrecht ongeveer 142.000 crediteurenfacturen geboekt, voor een totaalbedrag van € 1,2 miljard.

Vanwege het handmatige karakter en de mogelijkheid om het resultaat te beïnvloeden voor persoonlijk gewin, hebben memorialen een verhoogd risico op fraude. De externe accountant heeft in diverse managementletters aandacht gevraagd voor de gebrekkige onderbouwing van memoriaalboekingen en tekortkomingen in de interne beheersing.

Op verzoek van Financiën stelt Concernaudit periodiek dashboards beschikbaar waarin de naleving van een aantal beheersmaatregelen in het P2P proces inzichtelijk wordt gemaakt.

In samenwerking met Financiën hebben wij in Q2 2024 een dashboard ontwikkeld om met een datagedreven aanpak het memorialenproces: • • • •

Inzichtelijker te maken; Knelpunten te identificeren; Interne beheersmaatregelen gericht aan te scherpen; Oorzaken van memoriaalboekingen in beeld te brengen en hierdoor het aantal boekingen terug te brengen.

Is Q3 en Q4 2024 hebben wij het dashboard verder ontwikkeld.

De focus ligt hierbij op de autorisaties van betrokken personen, functiescheiding en handmatig ingrijpen in geautomatiseerde processtappen. Uit de analyse blijkt dat beheersmaatregelen over het algemeen adequaat worden nageleefd.

Financiën kan met inzichten uit het dashboard tekortkomingen in het P2P proces tijdig identificeren en bijsturen. Gezien Concernaudit de automatisering van de controles in het P2P proces al geruime tijd ondersteunt, dient Financiën hier vanaf Q2 2026 zelfstandig invulling aan te geven.

Met het dashboard beschikt Financiën nu over relevante stuurinformatie om een robuust proces voor memorialen in te richten en te bewaken. Zo heeft Financiën reeds controles op functiescheiding, het vierogen-principe en autorisaties aangescherpt op basis van het dashboard.

16

Adviesopdrachten (5/5) Publiekszaken Concernaudit ontwikkelt periodiek dashboards voor Publiekszaken (PBZ) voor een geautomatiseerde en volledige controle op kwetsbare processen. In 2025 hebben wij drie dashboards geüpdatet en overgezet naar de gemeentelijke dashboardtool (Tableau). Hiermee dragen we bij aan een vermindering van het aantal dashboardtools binnen de gemeente, waardoor capaciteit van data analisten efficiënter ingezet kan worden. Omdat er onvoldoende tastbare resultaten omtrent het gebruik van de dashboards binnen PBZ geboekt zijn, heeft de Manager Concernaudit besloten de samenwerking voorlopig te beëindigen. Dashboard Raadplegingen BRP

Dashboard Eerste inschrijving

Dashboard Reisdocumenten

De Basisregistratie Personen (BRP) bevat privacygevoelige persoonsgegevens van inwoners van Nederland en van personen die Nederland hebben verlaten. Het eigenaarschap voor de BRP ligt bij PBZ, maar het systeem wordt ook gebruikt door andere organisatieonderdelen en woningcorporaties. In 2024 werd de BRP ruim 1,8 miljoen keer geraadpleegd door medewerkers van de gemeente.

Personen die langer dan vier maanden in Nederland willen verblijven, zijn wettelijk verplicht zich te registreren in de BRP van de gemeente waar zij gaan wonen. Hiermee krijgen zij een Burgerservicenummer en toegang tot belangrijke voorzieningen in Nederland zoals een zorgverzekering of bankrekening.

Jaarlijks verstrekt PBZ ruim 35.000 reisdocumenten.

Het risico bestaat dat medewerkers onbevoegd persoonsgegevens raadplegen voor persoonlijk of financieel gewin of identiteitsfraude. Sinds 2020 maakt Concernaudit een dashboard om raadplegingen in de BRP inzichtelijk te maken. Het dashboard geeft PBZ de mogelijkheid om opvallende patronen te detecteren, zoals opvallende tijdstippen waarop raadplegingen plaatsvinden of frequente raadplegingen van eenzelfde persoon.

Het risico bestaat dat medewerkers betrokken raken bij identiteitsfraude door valse inschrijvingen te faciliteren. Sinds 2024 ontwikkelen we een dashboard om de naleving van het proces, ongewenste afwijkingen en opvallende patronen inzichtelijk te maken. Hiermee kunnen frauduleuze handelingen op tijd worden gesignaleerd en knelpunten in capaciteit bij PBZ gericht worden opgelost.

Het risico bestaat dat medewerkers betrokken raken bij identiteitsfraude door het uitgeven van valse reisdocumenten. Concernaudit maakt sinds 2018 een dashboard ‘Reisdocumenten’ om de naleving van het proces, ongewenste afwijkingen en opvallende patronen inzichtelijk te maken. Hiermee kunnen frauduleuze handelingen op tijd worden gesignaleerd en knelpunten in capaciteit bij PBZ gericht worden opgelost.

17

Samenwerkingsinitiatieven Naast het uitvoeren van het jaarplan zijn leden van Concernaudit ook vertegenwoordigd in een aantal expert panels en werkgroepen. Hierin werken we samen met collega's uit verschillende domeinen aan complexe organisatorische vraagstukken en procesverbeteringen. Hieronder hebben wij enkele nieuwe en bestaande samenwerkingsinitiatieven uitgelicht.

Commissie Bedrijfsvoering en Auditing Decentrale Overheden BADO Sinds juni 2024 vertegenwoordigt de Manager Concernaudit de gemeente Utrecht in de Commissie Bedrijfsvoering en Auditing Decentrale Overheden (BADO). Deze commissie bestaat uit deskundigen die onder meer werkzaam zijn bij gemeenten, provincies, de VNG, de beroepsorganisatie van accountants, accountantskantoren en het Rijk. De commissieleden werken samen om de interpretatie van regels voor bedrijfsvoering, verantwoording en accountantscontroles toe te spitsen op de praktijk van decentrale overheden.

Chief Audit Executives Forum De Manager Concernaudit is sinds 2025 lid van het CAE Forum, een besloten groep van meer dan 50 Chief Audit Executives uit de private en publieke sector in Nederland. Dit is een inspiratiebron voor kennisuitwisseling en doorontwikkeling van de interne auditfunctie.

Werkgroep AI Act In augustus 2024 is de Europese AI Act in werking getreden. De AI Act is van toepassing op alle sectoren, waaronder de overheid. Organisaties hebben tot augustus 2026 om aan de wettelijke vereisten te voldoen. Het CIO Office heeft in september 2024 een werkgroep opgericht die de gemeente bij de ontwikkeling van beleid voor de naleving van de AI Act ondersteunt. Hierdoor kan adequaat en tijdig invulling worden geven aan verplichtingen uit deze wetgeving, zonder daarbij de kansen die AI biedt uit het oog te verliezen. Onze data-analist, tevens Certified AI Compliance Officer, neemt hieraan deel.

Overige samenwerkingsinitiatieven Selectiecommissie aanbesteding externe accountant

Kernteam rechtmatigheidsverantwoording

Expert panel inkoop

Lid klankbordgroep Versterken Financiële Functie

Expert panel SAP HANA implementatie

Vakgroep data science

Artificial Intelligence (AI) tafel

18

Status onderhanden opdrachten uit jaarplan 2024-25 Per 31 maart 2025

Vooronderzoek

Opdrachtbeschrijving afgestemd

Veldwerk afgerond

Bevindingen afgestemd

Conceptrapport aangeboden

In afwachting van managementreactie

Auditopdrachten 213a Wijken

Stadsbedrijven OT/IT

19

Evaluatie kwaliteit dienstverlening Sinds september 2022 stuurt Concernaudit na het delen van het definitieve auditrapport, een evaluatiesurvey uit. Met de survey verzamelen we feedback uit de organisatie om de kwaliteit van onze dienstverlening continu te verbeteren. De survey bestaat uit stellingen over vier thema’s, namelijk: Team, Uitvoering, Rapport en Meerwaarde audit. Stellingen worden beoordeeld op een schaal van 1 “Helemaal niet mee eens” t/m 5 “Helemaal mee eens”. Hieronder zijn onze ambities en inzichten tot zover uiteengezet.

Resultaten per thema

Thema’s Team: competenties van en communicatie met het auditteam.

Uitvoering: werkwijze, doelstelling en duur van de audit.

Rapport: leesbaarheid, inhoud en accuraatheid van het opgeleverde auditrapport.

Meerwaarde audit: waarde van de audit bij het verbeteren van interne beheersing.

Resultaat

Surveygegevens

# Audits

Uitvoering

Rapport

4,0

4,0

3,9

3,7

4,0

4,0

3,9

3,7

Ambitie

Top scores

# Auditees aangeschreven

Respons

114 35

Was:*

Team

# Auditees ingevuld

65 Dit overzicht bevat audits vanaf september 2022.

57%

4

Meerwaarde audit

*Scores uit jaarverslag 2023-24

Tops & Tips

Tip scores

Heldere communicatie over voortgang van de audit

Doorlooptijd van de audits

Closing meeting geeft goed beeld van belangrijkste bevindingen

Business acumen Kennis van het audit object

Managementsamenvatting geeft goed beeld van belangrijkste resultaten

Delen van “best practices” en waardevolle aanbevelingen

Audit was gericht op relevante onderwerpen en risico’s

Tijdig aanleveren auditrapport 20

Management van de interne auditfunctie (1/2) Onafhankelijkheid

Belangenverstrengeling

De Manager Concernaudit heeft vastgesteld dat de benodigde onafhankelijkheid van Concernaudit is gewaarborgd:

Potentiële belangenverstrengeling wordt periodiek getoetst door de Manager Concernaudit. Tussen 1 april 2024 en 31 maart 2025 heeft belangenverstrengeling zich niet voorgedaan.

• De Manager Concernaudit rapporteert aan een dusdanig hoog niveau in de organisatie, waardoor Concernaudit in staat is om haar verantwoordelijkheden te vervullen. • De Manager Concernaudit heeft een directe communicatielijn met de Gemeentesecretaris, de Wethouder en de Adviescommissie Control & Financiën.

Belangenverstrengeling vindt plaats op het moment dat een auditor, die een vertrouwenspositie bekleedt in haar functie, een ander professioneel of persoonlijk belang heeft. Tegengestelde belangen kunnen het onpartijdig uitoefenen van de auditfunctie bemoeilijken. Door belangenverstrengeling kan een ongepast beeld ontstaan welke het vertrouwen in de interne auditor en haar audit activiteiten kan schaden.

• In 2024/2025 heeft geen inbreuk op de onafhankelijkheid van Concernaudit plaatsgevonden.

IIA Congres 2024

Permanente educatie Auditors met certificaten en beroepslidmaatschappen die bijbehorende onderhoudseisen in het kader van ‘Permanente Educatie’ stellen, volgen de benodigde trainingen en cursussen om hieraan te voldoen.

Met drie collega’s van Concernaudit hebben wij in juni 2024 deelgenomen aan het IIA congres in Leusden. Na aanleiding van de Olympische Spelen in Parijs was "Conformance & Performance" het congresthema. We hebben aan de hand van voorbeelden uit de topsport inspiratie opgedaan wat betreft het voldoen aan verwachtingen en presteren.

Middelen en budget • Concernaudit beschikte over voldoende middelen (capaciteit en budget) om het interne audit plan 2024-25 uit te voeren. • Concernaudit heeft het interne audit plan 2024-25 binnen het vastgestelde budget afgerond.

21

Management van de interne auditfunctie (2/2) Kwaliteitsbewaking en verbeterprogramma Interne auditfuncties wereldwijd maken gebruik van dezelfde standaarden bij het uitvoeren van hun werkzaamheden. Deze standaarden zijn door onze beroepsorganisatie, het Instituut van Internal Auditors (IIA), recentelijk geüpdatet op basis van maatschappelijke ontwikkelingen. De nieuwe standaarden (GIAS) zijn vanaf 1 januari 2025 van toepassing. GIAS 8.4 schrijft voor dat interne audit afdelingen iedere vijf jaar een externe kwaliteitstoetsing laten uitvoeren om de naleving van de standaarden en de effectiviteit en efficiëntie van de interne audit functie te beoordelen. De Manager Concernaudit heeft opdracht aan IIA Nederland gegeven om de externe kwaliteitstoetsing voor het eerst in 2025 uit te voeren. De verbeterpunten uit de quick scan van april 2025 pakken we op in aanloop naar de formele toetsing in december 2025. De verbeterpunten hebben met name betrekking op GIAS domein 5 "Uitvoeren van interne auditdiensten". Denk hierbij aan aspecten in de dossiervorming zoals, risicobeoordeling, evaluatiecriteria en werkprogramma's. De benodigde verbeteringen betreffen zowel audit- als adviesopdrachten, waarbij adviesopdrachten meer aandacht nodig hebben.

Ook werken we op het onderwerp kwaliteitsbewaking nauw samen met de reeds gecertificeerde interne audit afdelingen van de gemeenten Amsterdam en Den Haag.

Key Performance Indicators (KPI’s) Jaarplanrealisatie Maximaal 3 audits of advies opdrachten die per 31 maart 2025 onderhanden zijn en in Q2 2025 worden afgerond.

Gerealiseerd

Budget Het jaarplan 2024/25 binnen het budget uitvoeren.

Gerealiseerd

Kwaliteit dienstverlening Score 4 of hoger (afgerond) in 80% van alle audits. Auditees ontvangen een enquête waarin zij onze dienstverlening beoordelen van 1 t/m 5 op stellingen met betrekking tot Team, Uitvoering, Rapport en Meerwaarde audit. Professionele ontwikkeling Het behalen van de volgende certificaties: één Certified Artificial Intelligence Compliance Officer (CAICO), één Certified Interal Auditor (CIA) en een CIA kandidaat. Procesverbeteringen: doorlooptijd 80% van de concept auditrapporten en concept advies-memo’s uiterlijk 13 werkdagen dagen na de closing meeting versturen.

Follow-up Het follow-up proces voor alle audits (vanaf het jaarplan 2024-25) binnen 3 tot 6 maanden na het uitbrengen van het definitieve audit rapport afronden.

Bijna gerealiseerd: 79%

Gerealiseerd

Loopt achter: 50% Halfjaarverslag: 29%

Loopt achter: 0%

Per 31 maart 2025 is deze KPI van toepassing op twee audits. 22

23

Bijlage: reeds gerapporteerd in halfjaarverslag Samenvatting van de afgeronde auditopdrachten

Audits (1/4) Cyberweerbaarheid

Doelstelling: de effectiviteit en naleving van initiatieven en maatregelen voor bewustwording over cyberweerbaarheid beoordelen.

Organisatieonderdeel: CIO Office De meeste cyberaanvallen worden veroorzaakt door menselijk handelen. In het kader van bewustwording hierover heeft het CIO Office een gemeentebrede e-learning gegevens-bescherming met verschillende niveaus (brons, zilver, goud, diamant) geïmplementeerd in september 2022. Per juni 2024 is 69% van de medewerkers nog niet gestart met de e-learning. Slechts 22% van de interne medewerkers en 7% van de externen voldoen aan de geformuleerde KPI “80% niveau zilver medio 2024”. De deelnamecijfers binnen de B20 en het college zijn teleurstellend en wijzen op een gebrek aan juiste tone at the top voor gegevensbescherming. Hiermee is het risico van het verstrekken van gevoelige gegevens door medewerkers aan potentiële hackers ongewenst hoog. Verder is het lage deelnamepercentage een gemist kans, omdat respondenten in onze enquête aangeven positief zijn over de e-learning en hierdoor bewuster omgaan met gevoelige gegevens. Een aantoonbare aansluiting tussen de kennisbehoefte van de medewekers en de aangeboden e-learning ontbreekt, omdat resultaten uit een eerdere nulmeting en data uit tussenrapportages niet zijn gebruikt bij de (door)ontwikkeling van de e-learning.

Wij hebben een phishing test uitgevoerd bij de organisatieonderdelen met de hoogste (W&I) en laagste (FIJ) deelnamecijfers aan de e-learning. W&I scoort hierbij duidelijk beter dan FIJ, wat positief correleert met het volgen van de e-learning. Opkomende Europese cyberwetgeving maakt bestuurders verantwoordelijk voor het nemen van maatregelen tegen cyberrisico's en het toezicht hierop. Het CIO-office heeft hiervoor beleid voor gegevensbescherming opgesteld en integreert dit ook in de onboarding van nieuwe medewerkers. Een zorgpunt is dat het beleid niet op alle aspecten consequent wordt nageleefd.

De AVG verplicht organisaties tot het bijhouden van een datalekregister. Het CIO-office verzamelt input van organisatieonderdelen voor het interne register, maar voert hier geen kwaliteitscontroles op uit. Een ander aandachtspunt is dat het hiervan afgeleide externe datalekregister sinds juli 2023 niet meer is geactualiseerd. Het management van het CIO Office erkent de bevindingen en heeft verbeteracties opgestart.

24

Audits (2/4)

Doelstelling: de dienstverlening bij het Serviceplein ICT beoordelen met focus op performancemanagement en data analyse voor procesverbetering.

Doelstelling: de effectiviteit en naleving van het patchmanagement beoordelen.

Serviceplein ICT

Patchmanagement II - Vervolgaudit

Organisatieonderdeel: Mens & Organisatie (M&O)

Organisatieonderdeel: Ruimte, Werk & Inkomen en Mens & Organisatie

Het Serviceplein ICT is het centrale aanspreekpunt voor IT vragen en meldingen van medewerkers en behandelt er per jaar zo’n 100.000. Organisatorisch valt de afdeling onder M&O, maar werkt gezien de werkzaamheden nauw samen met Domstad IT.

Organisaties hebben dagelijks te maken met bedreigingen die de veiligheid van hun ICT infrastructuur aantasten. Patchmanagement is een manier om systemen te beveiligen door het installeren van kleine softwarepakketjes (patches).

Binnen de gemeente is het Serviceplein ICT is een rolmodel voor het realiseren van doelstellingen omtrent ‘Diversiteit en inclusie’ omdat zij structureel Mbo stageplaatsen aanbieden en inclusieve wervingsmethoden zoals ‘open hiring’ toepassen. Het Serviceplein ICT is tevens een springplank voor het doorgroeien naar andere functies in de organisatie.

Wij concluderen dat de huidige inrichting en uitvoering van het patchmanagementproces niet in lijn ligt met de Baseline Informatiebeveiliging Overheid – BIO (van toepassing sinds 2019) en opkomende cyberwetgeving (NIS2-richtlijn – verwachte implementatie Q3 2025).

In 2021 heeft een extern adviesbureau een quickscan uitgevoerd met betrekking tot professionaliseringsmogelijkheden voor het Serviceplein ICT. Waar mogelijk pakken servicepleinmedewerkers verbeteracties op, maar door gebrek aan managementprioritering ontbreekt een gestructureerde en systematische aanpak.

Zo ontbreekt gemeentebreed patchmanagementbeleid voor een gestandaardiseerde en systematische aanpak voor het patchmanagementproces. Dit leidt tot ongewenste individuele invulling van het proces binnen de organisatieonderdelen. Voorbeelden hiervan zijn dat risico analyses ontbreken en patches voor installatie niet bij alle onderdelen worden getest. Dit verhoogt de kans op beveiligingsincidenten.

Een aandachtspunt is het ontbreken van een helder beleidsdocument dat het mandaat, de samenwerking met Domstad IT en KPI’s voor de dienstverlening beschrijft. Hierdoor mist een basis voor standaardisatie van werkprocessen, zoals opgenomen als speerpunt in het Jaarplan Serviceplein ICT 2023.

Ook zijn er geen relevante KPI’s gedefinieerd (gemeentebreed en per organisatieondeel) om een adequate uitvoering van het patchmanagementproces te monitoren. Dit beperkt het tijdig constateren van knelpunten, waardoor bijsturing mogelijk te laat plaatsvindt.

Wij zien verder verbetermogelijkheden betreffende het inzetten van data voor de monitoring van dienstverlening en continue procesverbetering. Om datagedreven besluitvorming binnen het Serviceplein ICT te stimuleren, heeft Concernaudit een dashboard ontwikkeld dat trends en patronen inzichtelijk maakt en oorzaakanalyses faciliteert.

Voor cloudapplicaties voeren de leveranciers doorgaans het patchmanagement-proces uit. Echter, de verantwoordelijke functionarissen (IPM-teams) in de organisatieonderdelen monitoren de daadwerkelijke naleving door cloudleveranciers hiervan niet. Hierdoor kan de veiligheid van cloudapplicaties niet gegarandeerd worden.

Het management van het Serviceplein ICT erkent de bevindingen en pakt deze op.

Het management van de organisatieonderdelen en de CISO gaan aan de slag met verbeteracties. 25

Audits (3/4)

Doelstelling: de status en effectiviteit van de verbeterplannen met voor de berekening van inkomsten uit het gemeentefonds beoordelen.

Doelstelling: de implementatiestatus van de standaard Projectbeheersing beoordelen

Projectbeheersing

Gemeentefonds

Organisatieonderdeel: Ruimte, Stadsbedrijven, Vastgoedorganisatie Utrecht (VGU) en Projectmanagementbureau (PMB)

Organisatieonderdeel: Financiën

In 2020 heeft de Directieraad de standaard Projectbeheersing vastgesteld. Daarbij is aan de organisatieonderdelen Ruimte, Stadsbedrijven en VGU een opdracht gegeven om deze standaard te implementeren. Oorspronkelijk was het systeemeigenaarschap voor de standaard bij de Directeur F&I belegd. Sinds december 2023 is het eigenaarschap overgegaan naar de Manager Projectmanagementbureau. Per april 2024 heeft de rol van systeemeigenaar echter nog niet tot aantoonbare toegevoegde waarde voor de organisatie geleid. Wel zijn door PMB eerste acties en initiatieven in gang gezet, zoals het periodiek organiseren van vakgroepbijeenkomsten vanaf juli 2024. De organisatieonderdelen voelen over het algemeen geen verplichting en noodzaak om de standaard formats voor projectbeheersing te gebruiken. Sterker nog, bij Ruimte zijn op afdelingsniveau eigen formats ontwikkeld. Dit leidt tot inefficiënt gebruik van mensen en middelen en belemmert uniforme uitoefening van projecten. De implementatie van de standaard is verder gevorderd bij Stadsbedrijven en VGU dan bij Ruimte. De oorzaak hiervan is dat bij Ruimte opdrachtgeverschap voor implementatie meer dan een jaar niet was belegd. Een belangrijke tekortkoming is dat voor organisatieonderdeel overstijgende projecten een (systeem)overzicht ontbreekt. Dit belemmert adequate en tijdige sturing op deze complexe en risicovolle projecten.

De organisatieonderdelen werken momenteel gezamenlijk aan de aanbesteding van een nieuw projectadministratiesysteem ter verbetering van het bovenstaande. Het management van de betrokken organisatieonderdelen herkent de bevindingen en geeft aan deze op te volgen.

Het gemeentefonds verdeelt geld van het Rijk onder alle gemeenten. Voor Utrecht is dit met ongeveer € 1 miljard per jaar de belangrijkste bron van inkomsten. Bij de berekening van de verwachte bijdrage van het gemeentefonds in de begroting 2023 heeft Financiën een rekenfout van € 42 miljoen gemaakt die tot veel negatieve media-aandacht geleid heeft. Als reactie hierop zijn in 2023 een aantal verbeteracties in kaart gebracht. Echter, de implementatie hiervan is teleurstellend (peildatum juni 2024) en resulteert nog niet in aantoonbare en robuuste procesverbeteringen. De aandachtspunten uit het medewerkersonderzoek 2023 voor Financiën (teamgevoel, samenwerking, waardering, ondersteuning van leidinggevenden) zijn bevestigd tijdens de auditinterviews. Het is daarom zorgelijk dat er nog steeds geen plan met concrete initiatieven voor duurzame cultuurverbetering opgesteld is. Het feit dat de foutenevaluatie in klein gezelschap – exclusief uitvoerende medewerkers – heeft plaatsgevonden, draagt niet bij aan een beter teamgevoel. Ook is de evaluatie niet formeel vastgelegd, wat het lerend vermogen van de afdeling beperkt. De Manager Financiën heeft een externe consultant ingehuurd om het kennisniveau over het gemeentefonds te verhogen en een procesbeschrijving op te stellen.

De sinds maart 2024 beschikbare concept versie hiervan was tijdens de audit in juni nog steeds niet formeel vastgesteld en geïmplementeerd. Het huidige gemeentefondsproces kan door inzet van zowel data analyse als benchmarking en kennisdeling met andere gemeenten verder geoptimaliseerd worden. Het management van Financiën herkent de bevindingen gaat aan de slag met de aanbevelingen 26

Audits (4/4) Doelstelling: de maximale impact van een potentieel fraudegeval op de jaarrekening berekenen.

Impact van potentieel fraudegeval op jaarrekening – ad hoc Organisatieonderdeel: Gemeentebreed Na een spoedverzoek van de Directeur Concerncontrol heeft Concernaudit in mei 2024 de impact van een potentieel fraudegeval in het fysieke domein op de jaarrekening van de gemeente Utrecht in beeld gebracht. We hebben onze werkzaamheden, met name data-analyse technieken, nauw met de externe accountant afgestemd en onze conclusies in een memo samengevat. De maximale onzekerheid met betrekking tot het potentiële fraudegeval - en het totaalbedrag voor onzekerheden in de jaarrekening 2023 van de gemeente - bleken ruim onder de door de externe accountant gehanteerde materialiteit van € 20,1 mln. te liggen. Hierdoor heeft het potentiële fraudegeval geen impact gehad op de goedkeurende accountantsverklaring.

Het organisatieonderdeel in kwestie heeft tijdens de jaarrekeningcontrole in mei een extern bureau ingehuurd om een vooronderzoek en feitenonderzoek naar het potentiële fraudegeval uit te voeren. Concernaudit heeft geen rol in beide onderzoeken.

27