Managementletter 2023 gemeente Utrecht

Concernaudit voert jaarlijks een thema-audit uit naar de effectiviteit van de controlemaatregelen bij een kwetsbare proces (in het afgelopen jaar: verstrekking paspoorten). Tevens organiseert Concernaudit frauderisicosessies, om input te verkrijgen voor de frauderisicoanalyse en voor workshops, zoals de workshop zorgfraude in mei 2023.

03

Wij adviseren dit op te nemen in het interne auditplan. Daarnaast verdient het aanbeveling om het bestaan en de werking van de beheersmaatregelen zowel centraal als decentraal te monitoren. 04

2021 – Frauderisicomanagement Uw interne frauderisicoanalyse wordt eens per vier jaar geactualiseerd. Op basis van de decentrale opzet van uw organisatie worden het risicomanagement en de interne-controleplannen tussentijds decentraal geactualiseerd. Op deze wijze speelt u in op actuele situaties, bijvoorbeeld op de frauderisico’s ten aanzien van de nieuwe Tozo-regeling. Tevens maakt u voor het inventariseren en kwantificeren van de financiële risico’s gebruik van Naris. Een aandachtspunt hierbij vormt het bij elkaar brengen en monitoren van de decentraal ingeschatte frauderisico’s.

© 2023. For information, contact Deloitte The Netherlands.

Uw frauderisicoanalyse wordt naar verwachting dit najaar afgerond. Wij nemen voorafgaand aan de jaarrekeningcontrole kennis van de uitkomsten hiervan. Op basis daarvan gaan wij na of het gehele fraudelandschap bij de analyse is betrokken.

Update jaareinde, om na te gaan of het punt is opgelost

Daarnaast maakt het toetsen van opzet, bestaan en werking deel uit van uw controleplan voor de rechtmatigheidsverantwoording. De resultaten van de interne toetsing hebben wij (als gevolg van de lopende uitvoering van deze toetsing) nog niet kunnen beoordelen. Het bij elkaar brengen en monitoren van de decentraal ingeschatte frauderisico’s is belegd bij Concernaudit. De frauderisicoanalyse is opgenomen in het ‘Jaarplan Concernaudit 2023-24’, ‘Plan van Aanpak Frauderisicoanalyse 2023’ van Concernaudit.

Update jaareinde, om na te gaan of het punt is opgelost

Uw frauderisicoanalyse wordt naar verwachting dit najaar afgerond. Wij nemen voorafgaand aan de jaarrekeningcontrole kennis van de uitkomsten hiervan. Op basis hiervan gaan wij na hoe de ingeschatte frauderisico’s vervolgens worden gemonitord.

Managementsamenvatting

Speerpunten adviescommissie

Aandachtspunten jaarrekeningcontrole 2023

Bijlage

27

Opvolging aanbevelingen voorgaande jaren

Nr. 05

06

Status 2023

Bevinding

Follow-up 2023

2019 – Frauderisicomanagement In de frauderisicoanalyse op het niveau van het organisatieonderdeel ontbreekt nog een beschrijving van de restrisico’s en van de wijze waarop hiermee wordt omgegaan (e.g. accepteren/mitigeren/ vermijden). Het verdient aanbeveling om in te gaan op de risicobereidheid ten aanzien van fraude- en compliancerisico’s, op zowel concernniveau als op het niveau van het organisatieonderdeel.

In de frauderisicoanalyse 2023 wordt een beschrijving opgenomen van restrisico’s en van de wijze waarop hiermee wordt omgegaan. Wij hebben tussentijds inzage verkregen in het proces van uw frauderisicoanalyse en constateren dat u ons adviespunt opvolgt.

2020 – Prestatielevering Wij raden u aan om te onderzoeken of het mogelijk is om in SAP een aanvullende controlestap in te richten bij het autoriseren van facturen voor prestatielevering. Wij raden u aan om, indien er facturen boven een bepaalde grens worden ontvangen, via het systeem te laten afdwingen dat de budgethouders onderbouwende documentatie bijvoegen, ter onderbouwing van de prestatielevering.

Ten tijde van de interim controle 2023 hebben wij vastgesteld dat dit punt per heden nog niet is opgevolgd. De levenscyclus van uw financiële pakket (SAP) en van de inkoopmodule (SAP MUIS) nadert haar einde. Uw organisatie is dan ook gestart met het implementeren van de opvolgers van deze pakketten. De organisatie verwacht de implementatie van het nieuwe systeem te hebben afgerond per 1 januari 2025.

Update jaareinde, om na te gaan of het punt is opgelost

Uw frauderisicoanalyse wordt naar verwachting dit najaar afgerond. Wij nemen voorafgaand aan de jaarrekeningcontrole kennis van de uitkomsten hiervan.

Tot en met de implementatie van het nieuwe pakket accepteert u dit risico. Wij hebben de opzet en het bestaan van uw interne-beheersingsmaatregelen getoetst en hebben vastgesteld dat deze in voldoende mate het onderkende risico mitigeren. Concernaudit voert interne controles uit door middel van process mining, om deze risico’s te monitoren. 07

2018 – Erfpacht: controle volledigheid erfpachtopbrengsten Wij hebben vastgesteld dat: • Niet alle controles zichtbaar worden vastgelegd. Hierdoor is noch door de gemeente Utrecht, noch door BDO achteraf na te gaan of de controles zijn uitgevoerd, en, zo ja, wat de mogelijke uitkomsten en vervolgacties zijn geweest. • Er geen periodieke controle wordt uitgevoerd op de volledigheid van de te factureren/geadministreerde erfpachtobjecten.

Uw organisatie heeft de ‘basislijst’, waarop de verschillende in erfpacht uitgegeven perceelnummers zijn opgenomen, nagenoeg gecompleteerd. Hierdoor is het mogelijk om een koppeling te maken tussen het grondperceel en het kadastraal perceel. In de komende periode wordt onderzocht op welke wijze de gegevens periodiek geactualiseerd kunnen worden (bij voorkeur in een IT-applicatie). Als volgende stap wordt een plan van aanpak opgesteld voor het uitvoeren van uw jaarlijkse steekproeven.

Wij bevelen u aan om periodiek, maar ten minste eenmaal per jaar, een verbandscontrole uit te voeren op de volledigheid van het aantal te factureren/te verpachten objecten.

© 2023. For information, contact Deloitte The Netherlands.

Managementsamenvatting

Speerpunten adviescommissie

Aandachtspunten jaarrekeningcontrole 2023

Bijlage

28

Opvolging aanbevelingen voorgaande jaren

Nr. 08

Status 2023

Bevinding

Follow-up 2023

2018 -– Verhuurproces: controle op naleving huurbeleid (kostendekkende huur/markthuur) In het beleid van de gemeente Utrecht (Kaderbrief Vastgoed en MPUV 2017) is opgenomen dat: • Er een kostendekkende huur in rekening wordt gebracht voor activiteiten van de huurder die het beleid van de gemeente Utrecht ondersteunen. • De markthuur in rekening wordt gebracht in alle andere gevallen.

De controle van de kostprijs dekkende huur komt, middels het routingformulier, tot stand onder controletechnische functiescheiding. Wij constateren dat de vraag of een potentiële huurder de markthuur of een kostprijs dekkende huur dient te betalen niet expliciet wordt meegenomen bij uw toetsing. Wij adviseren u om deze controle expliciet zichtbaar te maken in het routingformulier.

Wij hebben, op basis van de door ons uitgevoerde lijncontrole op een nieuwe verhuring in boekjaar 2018, niet kunnen nagaan of er (door een onafhankelijke medewerker) een controle is uitgevoerd op de kostendekkendheid van de huurprijs zoals vastgelegd in de huurovereenkomst. Wij adviseren u om bij het muteren van huurovereenkomsten een check in te bouwen waarmee wordt vastgesteld dat de huur kostendekkend is. 09

2019, 2021 & 2022 – Subsidiebaten In 2021 is er onderzoek gedaan naar de wijze waarop de inkomende subsidies zijn vastgelegd in SAP en elders in de organisatie. Dit onderzoek heeft plaatsgevonden ter voorbereiding op het doorontwikkelen van de beheersingsomgeving voor de inkomende subsidies. Door uitval vanwege ziekte is de tweede projectfase niet in december 2021, maar pas in 2022 opgestart. De afronding van het project staat als gevolg hiervan door gepland voor december 2022. De interne beheersing van de inkomende subsidies wordt vanaf dat moment ingestoken, analoog aan de wijze waarop de SiSa-regelingen reeds worden beheerst binnen de gemeente Utrecht. Concreet betekent dit dat het jaarlijkse opstelen samenstelproces decentraal wordt uitgevoerd, terwijl de toetsing en afstemming met de financiële administratie centraal worden verricht. In de komende maanden zullen de procedures en richtlijnen die met deze proceswijziging samenhangen nader worden uitgewerkt, waarbij de organisatie als doel heeft om per jaareinde over een in financiële zin sluitende administratie te beschikken, evenals over een geüpdatet handboek financiën. Daarnaast moet het proces van inkomende subsidies opnieuw onder de aandacht zijn gebracht bij díe organisatieonderdelen die verantwoordelijk zijn voor het gros van de aanvragen.

© 2023. For information, contact Deloitte The Netherlands.

Wij hebben, door middel van een bevestigend vragenonderzoek met de betrokken functionarissen, vastgesteld dat het jaarlijkse opstel- en samenstelproces wat betreft de ontvangen subsidies decentraal wordt uitgevoerd, terwijl de toetsing en de afstemming met de financiële administratie centraal plaatsvindt. Om dit te borgen is door de gemeente een centraal subsidieregister ingericht. Wij hebben vastgesteld dat in dit nieuw ingerichte subsidieregister de specifieke voorwaarden per subsidie niet zijn opgenomen. Hierdoor bestaat er (nog) geen mogelijkheid om middels het subsidieregister te monitoren of er (tijdig) wordt voldaan aan de verplichtingen uit de toekenningsbeschikking van de specifieke subsidie. Daarbij hebben wij vernomen dat in de praktijk het gebruik van het subsidieregister niet bij alle relevante functionarissen binnen de gemeente bekend is, waardoor de gemeente regelmatig subsidiegelden ontvangt zonder dat er een registratie in het subsidieregister heeft plaatsgevonden. Op basis van deze combinatie van factoren achten wij de huidige invulling van het subsidieregister nog onvoldoende om de juistheid en de volledigheid van de subsidiebaten te kunnen garanderen. Wij adviseren u dan ook om dit proces verder aan te scherpen.

Managementsamenvatting

Speerpunten adviescommissie

Aandachtspunten jaarrekeningcontrole 2023

Bijlage

29

Opvolging aanbevelingen voorgaande jaren

Nr. 10

Follow-up 2023

2021 – Subsidieverstrekkingen Wij hebben vastgesteld dat de gemeente geen periodieke aansluiting maakt (kan maken) tussen de financiële administratie en de nieuwe subadministratie van de subsidieverstrekkingen (EasyFunders). Wij adviseren u om tijdig en minimaal voorafgaand aan de jaarrekeningcontrole afspraken te maken met EasyFunders, om tijdig zicht te krijgen op eventuele aansluitverschillen tussen EasyFunders en SAP.

Vanaf het boekjaar 2023 heeft de gemeente de periodieke aansluiting gemaakt tussen de subadministratie (EasyFunders) en de financiële administratie (SAP). Wij hebben echter van de organisatie begrepen dat de data vanuit de subadministratie (nog) niet geheel betrouwbaar zijn, omdat de subsidiespecifieke gegevens niet altijd up-to-date zijn. Wij vragen dan ook uw nadrukkelijke aandacht voor de datakwaliteit en voor de beheersing daarvan binnen de geïmplementeerde subadministratie. Daarbij hebben wij vernomen dat de gemeente nog geen Service Level Agreement (SLA) heeft afgesloten waarin de verschillende afspraken zijn vastgelegd. Dit wordt verwacht voor het einde van het boekjaar.

Tevens adviseren wij u om middels een service level agreement (SLA) afspraken te maken met EF over betrouwbare en bruikbare informatie voor uw interne-controlewerkzaamheden. 11

Status 2023

Bevinding

2021 & 2022 – Memoriaalboekingen De gemeente heeft het proces rondom de controle van memoriaalboekingen in 2022 verder vormgegeven via een procesherziening, waarbij het vierogenprincipe is ingebed, met gebruik van vaste formats en een nadere duiding hiervan in de vorm van een gebruikershandleiding. Het doel van deze procesherziening is om de betrouwbaarheid van de memoriaalboekingen en de consistentie van de controles en onderbouwingen te borgen. Op de formats is een aantal kernwerkstappen opgenomen, zoals: juiste grootboekrekening, de aanwezigheid van onderbouwende documentatie, het correct boeken van btw en, indien van toepassing, de door de budgethouder of business controller uitgevoerde BBVcheck. Het vierogenprincipe is tevens technisch in de financiële administratie ingebed. Hoewel wij dit een positieve ontwikkeling vinden, merken wij op dat er binnen het huidige proces: • Keuzes gemaakt zijn om normen te hanteren die aangeven vanaf welk moment er een BBV-check verricht moet worden vanuit Business Control, en wanneer een akkoord moet zijn van de budgethouder. • Geen sprake is van een gestructureerde wijze van het documenteren van de door de controlerend functionaris verrichte controlehandelingen, noch van de hierbij gemaakte overwegingen om een memoriaal te accorderen. In het systeem is alleen het akkoord zichtbaar dat door de controlerend functionaris wordt gegeven.

Wij bevelen de gemeente aan om het systematisch documenteren van het controlespoor van deze verplichte tweede autorisatie te verankeren in het proces rondom memoriaalboekingen.

Mede als gevolg van de naderende implementatie van SAP4HANA per 1 januari 2025 heeft uw organisatie besloten het eerder door ons gerapporteerde (rest)risico te accepteren en onze aanbevelingen mee te nemen bij de inrichting van het nieuwe (financiële) systeem.

Aangezien niet alle memorialen door een budgethouder of business controller worden gecontroleerd en geaccordeerd, terwijl het controlespoor van de controlerend medewerker bij financiën niet op een gestructureerde wijze wordt gedocumenteerd, achten wij het proces inzake de memorialen nog niet voldoende solide om het risico op memoriaalboekingen die zonder (juridische) grondslag (niet compliant zijn met het BBV) worden geboekt voldoende te verkleinen. Wij adviseren u om het proces op het gebied van het documenteren van de controlewerkzaamheden verder te concretiseren.

© 2023. For information, contact Deloitte The Netherlands.

Managementsamenvatting

Speerpunten adviescommissie

Aandachtspunten jaarrekeningcontrole 2023

Bijlage

30

Bijlage Reikwijdte van onze werkzaamheden

© 2023. For information, contact Deloitte The Netherlands.

31

Reikwijdte van onze werkzaamheden Onze verantwoordelijkheid is het zodanig plannen en uitvoeren van een controleopdracht dat wij daarmee voldoende en geschikte controle-informatie verkrijgen voor het door ons af te geven oordeel over de jaarrekening van 2023, teneinde vast te stellen dat deze een getrouw beeld geeft van de financiële positie van de gemeente Utrecht, met inachtneming van de wettelijke bepalingen van het Besluit Begroting en Verantwoording.

Een jaarrekeningcontrole heeft niet als doel om enige zekerheid te geven over de kwaliteit van de interne organisatie. De controle bestaat uit een combinatie van controlewerkzaamheden, waaronder een risicoanalyse, analytische procedures, detailcontroles en, voor zover mogelijk en efficiënt, het testen van de interne-beheersingsmaatregelen die zijn gerelateerd aan en relevant voor de controle. Wij richten ons hierbij alleen op de interne controle-omgeving die relevant is voor onze oordeelsvorming over de jaarrekening. De managementletter is gebaseerd op onze interim-controle als onderdeel van de jaarrekeningcontrole 2023. Volledigheidshalve merken wij op dat onze controlewerkzaamheden, analyse en evaluatie zijn uitgevoerd in het kader van de door uw gemeenteraad verstrekte opdracht tot controle van de jaarrekening 2023. De geselecteerde werkzaamheden zijn afhankelijk van de door ons als accountant van de gemeente Utrecht toegepaste oordeelsvorming, met inbegrip van het inschatten van het risico dat de jaarrekening een afwijking van materieel belang bevat als gevolg van fraude of fouten. Bij het maken van deze risico-inschatting nemen wij de interne beheersing in aanmerking die relevant is voor het opmaken van de jaarrekening en voor het getrouwe en rechtmatige beeld daarvan, gericht op het opzetten van controlewerkzaamheden die passend zijn in de omstandigheden.

De risico-inschatting heeft niet tot doel een oordeel tot uitdrukking te brengen over de effectiviteit van de interne beheersing. Hierdoor is onze analyse en evaluatie beperkter dan deze zou zijn geweest in het kader van een opdracht tot het geven van een oordeel over de opzet, het bestaan en de efficiency van de interne beheersing als geheel en bestrijkt deze daarom niet noodzakelijkerwijs alle in de interne organisatie vervatte tekortkomingen. Daarnaast is onze controle niet specifiek gericht op het ontdekken van fraude. Indien wij aangesteld zouden zijn om een fraudeonderzoek bij de gemeente Utrecht uit te voeren, zouden wij wellicht andere bevindingen hebben geconstateerd en observaties hebben gerapporteerd dan die welke nu zijn opgenomen in deze managementletter.

© 2023. For information, contact Deloitte The Netherlands.

Managementsamenvatting

Speerpunten adviescommissie

Aandachtspunten jaarrekeningcontrole 2023

Bijlage

32

Deloitte refers to one or more of Deloitte Touche Tohmatsu Limited (“DTTL”), its global network of member firms, and their related entities (collectively, the “Deloitte organization”). DTTL (also referred to as “Deloitte Global”) and each of its member firms and related entities are legally separate and independent entities, which cannot obligate or bind each other in respect of third parties. DTTL and each DTTL member firm and related entity is liable only for its own acts and omissions, and not those of each other. DTTL does not provide services to clients. Please see www.deloitte.com/about to learn more. Deloitte provides industry-leading audit and assurance, tax and legal, consulting, financial advisory, and risk advisory services to nearly 90% of the Fortune Global 500® and thousands of private companies. Our professionals deliver measurable and lasting results that help reinforce public trust in capital markets, enable clients to transform and thrive, and lead the way toward a stronger economy, a more equitable society and a sustainable world. Building on its 175-plus year history, Deloitte spans more than 150 countries and territories. Learn how Deloitte’s more than 345,000 people worldwide make an impact that matters at www.deloitte.com.

This communication contains general information only, and none of DTTL, its global network of member firms or their related entities is, by means of this communication, rendering professional advice or services. Before making any decision or taking any action that may affect your finances or your business, you should consult a qualified professional adviser. No entity in the Deloitte organization shall be responsible for any loss whatsoever sustained by any person who relies on this communication. © 2023. For information, contact Deloitte The Netherlands.