05-11-02 PG&Z Accountantsverslag 2020 definitieve versie dd 21042021 WG

Vertrouwelijk PG&Z T.a.v. het algemeen en dagelijks bestuur Hanzeplein 120 9713 GW GRONINGEN

Drachten, 21 april 2021 Geacht bestuur,

Hierbij bieden wij u ons accountantsverslag aan dat wij hebben opgesteld in het kader van onze controle op de jaarrekening 2020 van gemeenschappelijke regeling Publieke Gezondheid & Zorg (PG&Z). Wij hebben onze controle uitgevoerd in overeenstemming met onze opdrachtbevestiging van 16 november 2020. Wij zullen u informeren over de volgende onderwerpen: ➢ De belangrijkste constateringen tijdens de jaarrekeningcontrole ➢ Kwaliteit van de interne organisatie ➢ Onafhankelijkheid en controleaanpak ➢ Rechtmatigheidsverantwoording Onze controle is gericht op het vormen van een oordeel omtrent de jaarrekening over het jaar 2020. Bij de uitvoering van onze controle hebben wij de volledige medewerking en ondersteuning van de medewerkers van GGD Groningen en RIGG ondervonden.

De mogelijkheid om een open en eerlijk dialoog met u te voeren, vormt een essentieel onderdeel van ons controleproces. Wij waarderen deze mogelijkheid om de inzichten die uit onze controle voorkomen met u te delen. Hoogachtend, Bentacera Registeraccountants B.V.

Was getekend: T.A. Schurer RA

2

Inhoudsopgave 1. Uitkomsten van de controle Inleiding Controleverklaring Reikwijdte en verantwoordelijkheden Materialiteit Jaarverslag en overige gegevens Presentatie en toelichting Schattingen Fungeren als groepsaccountant i.r.t. RIGG Impact COVID-19 Communicatie over de uitkomsten

04

2. Jaarrekening en werkzaamheden risico’s Analyse resultaat Analyse weerstandsvermogen Controle risico’s en werkzaamheden

12

3. Uitkomsten beoordeling interne beheersing Algeheel beeld van uw interne organisatie IT omgeving Cyberrisico’s Datalekken

19

4. Overige bevindingen en relevante zaken Rechtmatigheidsverantwoording Geen ongebruikelijke transacties Onafhankelijkheid Naleving wet en regelgeving Urenbesteding

22

Bijlagen

26

3

1. Uitkomsten van de controle

4

Uitkomsten van de controle 1.1 Inleiding Met ingang van boekjaar 2020 heeft u ons als accountant benoemd voor de gemeenschappelijke regeling Publieke Gezondheid & Zorg (PG&Z). De uitvoering van een controle in het eerste jaar vergt van beide kanten extra inspanning. Uw extra inspanning over het afgelopen jaar Als gevolg van de verzelfstandiging van GGD Groningen per 1 januari 2020, bestond het jaar 2020 initieel uit: • het beschrijven en opzetten van een goede administratieve organisatie en interne beheersing, • het aannemen van voldoende (gekwalificeerd) personeel, zodat de interne organisatie adequaat bemenst wordt, en • het opstarten van de uit te voeren taken die aan de GGD zijn toegekend. Naast bovengenoemde ontwikkelingen en omstandigheden die bij elke ‘nieuwe’ organisatie spelen, kwam daar voor u de bestrijding van de uitbraak van de Covid-19 pandemie bij. Dit heeft er voor uw organisatie in geresulteerd dat het volledig en adequaat inrichten van uw interne beheersingssysteem in 2020 nog niet is gerealiseerd. Op onderdelen is het derhalve zaak om het komende jaar dit verder te optimaliseren.

Onze extra inspanning dit eerste controlejaar Zoals in de eerste alinea van deze inleiding staat beschreven, zorgt een nieuwe samenwerking van beide kanten voor extra inspanning. Wij hebben dit jaar extra geïnvesteerd in enerzijds het verkrijgen van voldoende kennis over de kwaliteit van uw interne beheersing en anderzijds het verkrijgen van voldoende zekerheid om een uitspraak te kunnen doen over de getrouwheid van het resultaat en vermogen van uw organisatie. In dit accountantsverslag geven wij u een samenvatting van de uitkomsten naar aanleiding van de door ons uitgevoerde controlewerkzaamheden. De gedetailleerde bevindingen en aanbevelingen hebben wij op 12 april jl. besproken met uw directeur en controller. Deze detailbevindingen doen geen afbreuk aan het door ons gegeven eindoordeel, zoals verwoord in deze rapportage, en hebben primair tot doel om uw interne organisatie verder te optimaliseren in de komende jaren.

5

Uitkomsten van de controle 1.1 Controleverklaring Wij hebben onze controlewerkzaamheden afgerond en er resteren geen ongecorrigeerde controleverschillen of andere materiële onzekerheden, die een aanpassing zouden behoeven van onze controleverklaring. Dit heeft voor ons geresulteerd in het afgeven van een goedkeurende controleverklaring bij de jaarrekening van PG&Z over het boekjaar 2020 met dagtekening 21 april 2021 . Daarnaast zijn tijdens onze controle over het boekjaar 2020 geen onrechtmatigheden gebleken wat ertoe leidt dat wij in onze controleverklaring kunnen aangeven dat de verantwoorde baten en lasten alsook de balansmutaties rechtmatig tot stand zijn gekomen.

€ 383.000

GECORRIGEERD

In hoofdstuk 4 gaan wij verder in op de rechtmatigheidsverantwoording vanaf het jaar 2021.

Gecorrigeerd

€0

€0

€0

ONGECORRIGEERD

Fouten

Onzekerheden

Ongecorrigeerd

Bevinding

Soort correctie

Bedrag

Voorziening langdurig zieken

Fout

€ 283.000

Transitievergoeding verzelfstandiging

Fout

€ 120.000

Bevinding

Soort correctie

Niet van toepassing

Fout/onzekerheid

Bedrag €0

6

Uitkomsten van de controle Toelichting gecorrigeerde fouten Voorziening langdurig zieken Als gevolg van de verzelfstandiging van GGD Groningen bestaat er met ingang van boekjaar 2020 een personeelsrisico, waar deze voorheen bij Gemeente Groningen lag. Bij de verzelfstandiging is gekozen om eigen risicodrager voor de Ziektewet te zijn. Het eigen risicodragerschap leidt ertoe dat de financiële risico’s als gevolg van ziekte voor eigen rekening van GGD Groningen komen. Ultimo 2020 zijn vier medewerkers langdurig ziek, waarbij financiële risico’s zijn geconstateerd. Deze risico’s waren bij aanvang van de jaarrekeningcontrole nog niet gekwantificeerd. Op basis van onze controle zijn de risico’s door GGD Groningen ingeschat op € 283.000. Hiervoor is een voorziening opgenomen. Transitievergoeding verzelfstandiging Als gevolg van de verzelfstandiging is gebleken dat niet voor alle medewerkers die zijn meegegaan vanuit Gemeente Groningen een passende functie is gevonden. Dit heeft geleid tot een nog te betalen transitievergoeding van € 120.000 en deze verplichting is ultimo 2020 opgenomen in de jaarrekening.

7

Uitkomsten van de controle 1.2 Reikwijdte en verantwoordelijkheden van de controle Het dagelijks bestuur is verantwoordelijk voor het opmaken van de jaarrekening 2020. Daarnaast is het bestuur verantwoordelijk voor een zodanige interne beheersing als het bestuur noodzakelijk acht om het opmaken van de jaarrekening mogelijk te maken zonder afwijkingen van materieel belang als gevolg van fraude en fouten. Het algemeen bestuur is verantwoordelijk voor het uitoefenen van toezicht op het proces van financiële verslaggeving van GGD Groningen en de RIGG. Onze verantwoordelijkheid is het geven van een oordeel over de jaarrekening 2020 van PG&Z. Wij hebben onze controle verricht in overeenstemming met Nederlands recht, overeenkomstig het bepaalde in artikel 213 lid 3 sub d van de Gemeentewet en het besluit Accountantscontrole Decentrale overheden (BADO).

Bij het maken van de risico-inschattingen hebben wij de interne beheersing in aanmerking genomen die relevant is voor het opmaken van de jaarrekening. Deze risico-inschattingen hebben echter niet tot doel een oordeel tot uitdrukking te brengen over de effectiviteit van de interne beheersing van uw organisatie. Wij hebben onze controle zodanig ingericht dat wij een redelijke mate van zekerheid verkrijgen dat de jaarrekening in haar geheel geen afwijkingen van materieel belang bevat. Onze controle omvat tevens het evalueren van de geschiktheid van de gebruikte grondslagen voor financiële verslaggeving en van de redelijkheid van schattingen die door het bestuur gemaakt zijn.

Jaarstukken PG&Z

Balans + toelichting

Jaarrekening

Staat van baten en lasten + toelichting WNT verantwoording

De controleverklaring heeft betrekking op deze onderdelen

Jaarverslag

Van het jaarverslag stellen wij, op basis van onze kennis over de jaarrekening, vast dat deze correspondeert met de jaarrekening (zie paragraaf 1.4 voor toelichting)

SISA bijlage

8

Uitkomsten van de controle 1.3 Materialiteit In onze controle controleren wij niet alle transacties. Onze werkzaamheden worden gebaseerd op basis van onze risico-inschatting, de kwaliteit van uw interne beheersing en onze professioneel kritische instelling. Op basis hiervan stellen wij een bedrag vast dat wij als materialiteit hanteren bij de uitvoering van onze werkzaamheden. Materialiteit kan hierbij worden gedefinieerd als het bedrag waarop de gebruikers van de jaarrekening hun oordeel zouden kunnen aanpassen, mocht een dergelijke afwijking niet zijn gecorrigeerd in de jaarrekening.

Voor het bepalen van de materialiteit hanteren wij de uitgangspunten zoals opgenomen in het Besluit Accountantscontrole Decentrale Overheden (BADO): Goedkeuringstolerantie t.a.v. fouten: 1% van de lasten; Goedkeuringstolerantie t.a.v. onzekerheden: 3% van de lasten. Op basis van het voorgaande hanteren wij de volgende bedragen: Materialiteit fouten € 395.000 Materialiteit onzekerheden € 1.185.000 Op basis van de activiteiten van de organisatie, rekening houdend met de aanwezige posten en de omvang van de belangrijkste kerncijfers, achten wij de berekende materialiteit representatief voor de jaarrekening als geheel. Uitvoeringsmaterialiteit Om te voorkomen dat wij mogelijke fouten niet constateren en mogelijkerwijs een materiële fout in de jaarrekening zit, werken wij met een afslag op de materialiteit: de uitvoeringsmaterialiteit. Het SRA handboek controle heeft als uitgangspunt dat de uitvoeringsmaterialiteit in principe tussen 50 - 75% dient te zijn van de materialiteit, afhankelijk van de interne beheersing van de entiteit.

€ 197.000

€ 395.000

Aangezien uw organisatie sinds 1 januari 2020 verzelfstandigd is, is het niveau van interne beheersing nog niet op niveau. Wij lichten de bevindingen omtrent de interne beheersing verder toe in hoofdstuk 3.1. Derhalve hebben wij gekozen voor de onderzijde van de range: 50%, wat resulteert in een bedrag van € 197.000. Voor het rapporteren van onze afwijkingen hanteren wij een bedrag van € 19.500, zijnde 5% van de materialiteit voor fouten. Kwalitatieve overwegingen Naast het hanteren van een kwantitatieve materialiteit, beoordelen wij gedurende het gehele controleproces of wij tijdens de uitvoering van onze werkzaamheden signalen ontvangen of omstandigheden constateren die - ondanks dat deze in euro’s van geringe omvang zijn een mogelijke indicatie voor fraude of het niet-naleven van relevante wet- en regelgeving zijn.

9

Uitkomsten van de controle 1.4 Jaarverslag en overige gegevens

1.5 Presentatie en toelichting

Op basis van het Besluit Begroting & Verantwoording (BBV) en Controlestandaard 720 ‘De verantwoordelijkheden van de accountant met betrekking tot andere informatie’, gaat de accountant na of de andere informatie, bestaande uit het jaarverslag, waaronder de programmaverantwoording, de paragrafen en de overige gegevens, voor zover hij dat kan beoordelen, is opgesteld overeenkomstig het BBV en verenigbaar is met de jaarrekening en tijdens ons onderzoek van de jaarrekening verkregen kennis en begrip van PG&Z.

De opmerkingen ten aanzien van de presentatie en de toelichtingen in de jaarrekening zijn in de jaarrekening verwerkt.

Op grond van onze werkzaamheden zijn wij van mening dat de andere informatie: ➢ verenigbaar is met de jaarrekening en, op basis van de door ons verkregen kennis en begrip van GGD Groningen en RIGG, geen materiële afwijkingen bevat; ➢ alle informatie bevat die op grond van het BBV is vereist.

Wij hebben de inschatting van het bestuur beoordeeld en zijn akkoord met de gekozen verwerkingswijze in 2020. Risico op schattingsonzekerheid is beperkt en kwaliteit van de toelichting en onderbouwing van deze posten is toereikend.

1.6 Schattingen Voor het opstellen van de jaarrekening moeten vaak schattingen worden gemaakt. Bepaalde schattingen kunnen van bijzonder belang zijn door hun invloed op de jaarrekening en de waarschijnlijkheid dat toekomstige gebeurtenissen significant afwijken van de verwachtingen van het bestuur.

Deze werkzaamheden hebben niet dezelfde diepgang als onze controlewerkzaamheden bij de jaarrekening. Het dagelijks bestuur is verantwoordelijk voor het opstellen van de andere informatie, waaronder het jaarverslag en de overige gegevens in overeenstemming met het BBV.

10

Uitkomsten van de controle 1.7 Fungeren als groepsaccountant i.r.t. cijfers RIGG In de jaarrekening van PG&Z zijn de cijfers van GGD Groningen en Regionale Inkooporganisatie Groninger Gemeenten (RIGG) opgenomen. Als accountant van PG&Z hebben wij in dit kader gefungeerd als groepsaccountant, omdat wij niet bij beide onderdelen als controlerend accountant zijn benoemd. Onze groepscontrole richt zich met name op de significante onderdelen en processen, zoals dit vereist is op basis van onze controlestandaarden. Bij het onderdeel ‘GGD’ hebben wij zelf controlewerkzaamheden uitgevoerd en bij het onderdeel ‘RIGG’ hebben wij gebruik gemaakt van een andere accountant, te weten PWC Accountants. In onderling overleg met PWC Accountants is een opdracht tot specifiek overeengekomen werkzaamheden uit te voeren. Dit heeft voor PWC Accountants B.V. geresulteerd in het uitbrengen van een rapport van feitelijke bevindingen. Uit deze rapportage zijn geen bevindingen of onjuistheden naar voren gekomen.

Wij kunnen ons vinden in de in het jaarverslag opgenomen verantwoording van de meerkosten. Er is dan ook geen aanleiding om in onze controleverklaring een paragraaf te wijden aan de verantwoording van de meerkosten.

1.9 Communicatie over de uitkomsten van de controle Gedurende de uitvoering van onze controlewerkzaamheden hebben wij regelmatig onze bevindingen met medewerkers van uw organisatie gecommuniceerd. Communicatie ging veelal via de digitale wegen vanwege de corona-situatie. Ondanks deze wat ‘afstandelijke’ werkwijze is gedurende het proces goed contact geweest met de betrokkenen van uw en onze organisatie om de controle adequaat uit te kunnen voeren.

1.8 Impact COVID-19 In 2020 zijn de GGD’en geconfronteerd met extra kosten in verband met het bestrijden en beheersen van COVID-19. Het ministerie van Volksgezondheid, Welzijn en Sport (VWS) heeft de GGD’en extra taken en opdrachten gegeven. De meerkosten van deze taken en opdrachten worden door het ministerie van VWS direct vergoed aan de GGD’en. De verantwoording van de meerkosten vindt plaats via de jaarrekeningen van de GGD’en. Tijdens de controle van de jaarrekening 2020 dient te worden vastgesteld dat de meerkostenregeling budgetneutraal is en dat er geen sprake is van dubbele financiering van de meerkosten.

11

2. Analyse resultaat en risico’s

12

Jaarrekening en werkzaamheden risico’s 2.1 Analyse van het resultaat In ons accountantsverslag hebben wij besloten geen uitgebreide analyse op te nemen omtrent uw financiële positie en programmaverantwoording, omdat deze analyse reeds uitgebreid door u wordt toegelicht in uw jaarverslag en jaarrekening. Het resultaat voor bestemming valt per saldo € 942.000 hoger uit dan begroot. Ten eerste wordt dit veroorzaakt door € 616.000 lagere uitgaven voor het project aardbevingen. Ten tweede heeft het niet tijdig of niet volledig kunnen invullen van een aantal personele vacatures effect gehad op meerdere deelprogramma’s van het programma ‘Gezondheid’. Na toevoegingen en onttrekkingen aan de reserves ontstaat er een positief nog te bestemmen resultaat van € 629.000. Het algemeen bestuur zal hierover bij de vaststelling van de jaarrekening 2020 een besluit moeten nemen.

Resultatenrekening Post

Bedragen x €1.000

Realisatie

Begroting

Afwijking

%

€ 341.000 Baten - GGD

€ 39.257

€ 30.079

€ 9.178

Baten - RIGG

€ 3.039

€ 2.956

€ 83

3%

Lasten - GGD

€ 39.579

€ 31.219

€ 8.360

27%

Lasten – RIGG

€ 3.066

€ 3.326

€ -260

-8%

Resultaat voor bestemming

€ -362

€ -1.304

€ 942

31%

Mutaties reserves:

-

Programma Gezondheid

€ 691

€ 1.304

€ -613

-

Programma RIGG

€ 300

€0

€ 300

€ 629

€0

€ 629

Nog te bestemmen resultaat

13

Jaarrekening en werkzaamheden risico’s 2.2 Analyse van het weerstandsvermogen Voor continuïteit van een gemeenschappelijke regeling dient te worden geïnterpreteerd in hoeverre zij in staat is om niet-begrote financiële tegenvallers op te kunnen vangen uit eigen middelen. In de (verplichte) paragraaf “weerstandsvermogen en risicobeheersing” dient u inzage te geven in de risico’s die mogelijk bij uw organisatie spelen. Op basis van uw eigen risicoanalyse heeft u de kans x impact gekwantificeerd op € 655.000.

Weerstandsvermogen GGD Bedragen x €1.000

€ 341.000

Voor het voeren van een stabiel (financieel) beleid is het aanhouden van voldoende vermogen een belangrijke randvoorwaarde. Hierbij dient wel opgemerkt te worden dat, indien u niet over het minimale weerstandsvermogen beschikt en grote niet-voorziene tegenvallers zich voordoen, de deelnemende gemeenten verplicht zijn om bij te springen in het tekort, waardoor het niet noodzakelijk hoeft te zijn om aanzienlijke buffers binnen GGD Groningen aan te houden.

Weerstandsnorm

Op basis van het hiernaast opgenomen overzicht beschikt u ultimo 2020 over voldoende weerstandsvermogen om de door u geformuleerde en gekwantificeerde tegenvallers op te kunnen vangen. Daarnaast kan gesteld worden dat uw eigen (weerstands)vermogen een stabiel karakter vertoont, getuige het percentage eigen vermogen in relatie tot de jaarlijkse opbrengsten van uw organisatie.

2020 € 655

Beschikbaar: Algemene reserve

€ 1.057

Bestemmingsreserve

€ 1.586

Over-/onderrealisatie

€ 356

Ratio weerstandsvermogen

1,6

Aanbeveling Op basis van de ratio 1,6 blijkt dat het weerstandsvermogen ruim voldoende is om de geïdentificeerde risico’s op te kunnen vangen. Aangezien dit voor uw organisatie het eerste volledige zelfstandige jaar was, bevelen wij u aan om het weerstandsvermogen de komende jaren in stand te houden tot er een volledig inzicht is in de voor uw organisatie benodigde omvang aan ’genormaliseerd’ of ‘gewenst’ weerstandsvermogen.

14

Jaarrekening en werkzaamheden risico’s 2.3 Controle risico’s en werkzaamheden Op basis van de door ons uitgevoerde risicoanalyse zijn de onderstaande risico’s geïdentificeerd. Vervolgens beschrijven wij de werkzaamheden die wij hebben uitgevoerd om dit risico terug te brengen naar een – voor onze controledoeleinden – aanvaardbaar laag niveau. ➢ Significant risico (SR) ➢ Risico op afwijking materieel belang (RAMB)

SR Risico doorbreking interne beheersingsmaatregelen

SR Onjuiste verantwoording WNT

Het management bevindt zich gewoonlijk in een unieke positie om fraude te plegen, omdat het in staat is de administratie te manipuleren en frauduleuze financiële overzichten op te stellen door middel van het doorbreken van interne beheersmaatregelen. Als gevolg van de onvoorspelbaarheid van de wijze waarop het management interne beheersingsmaatregelen doorbreekt, vormt dit een risico op een afwijking van materieel belang die het gevolg is van fraude en vormt het om die reden een significant risico.

Ingevolge de Wet Normering Topinkomens (WNT) hebben wij als 341.000 accountants€een extra controlerende taak. Wij dienen te controleren of de WNT wordt nageleefd. Voor deze controle is een krachtens de wet vastgesteld Controleprotocol WNT van kracht.

Onze aanpak ➢ Controle van handmatige journaalposten ➢ Controle schattingen, met specifieke aandacht voor de gehanteerde methoden en de onderliggende aannames die worden gehanteerd om schattingen te maken ten opzichte van het voorgaande jaar ➢ Controle van specifiek geselecteerde journaalposten met onderliggende brondocumenten. ➢ Controle boekingen omtrent jaarafgrenzing

Onze bevindingen

Onze aanpak ➢ Controle van toegepaste bezoldigingsmaxima ➢ Controle volledigheid en juistheid verantwoorde functionarissen ➢ Controleren volledigheid en juistheid bezoldigingsgegevens.

Onze bevindingen De GGD Groningen heeft terecht de vereiste personalia en juiste bezoldigingsgegevens van de leden van het dagelijks bestuur, het algemeen bestuur en haar directeur opgenomen in de WNTverantwoording. Wij hebben bij de controle op de WNT-verantwoording geen onjuistheden in de verantwoording aangetroffen.

Wij hebben gedurende de jaarrekeningcontrole vastgesteld dat er geen onjuiste of onrechtmatige (memoriaal)boekingen hebben plaatsgevonden in de financiële administratie. Wij hebben de aannames ten aanzien van de schattingen geëvalueerd en hebben geen indicatoren van beïnvloeding van schattingen door het management geïdentificeerd. Wij hebben geen significante ongebruikelijke transacties geïdentificeerd.

15

Jaarrekening en werkzaamheden risico’s SR Fraude in de opbrengstverantwoording Vanuit de Nadere Voorschriften Controle en Overige Standaarden (NV COS) wordt een risico met betrekking tot de opbrengstverantwoording verondersteld. Aangezien de opbrengsten van GGD Groningen voornamelijk bestaan uit gemeentelijke bijdragen en rijksbijdragen en GGD Groningen geen invloed heeft op de hoogte van deze bijdragen, zou bij een goedlopende interne beheersing het veronderstelde risico voor deze opbrengststromen kunnen worden weerlegd. Gezien de opstartfase van de zelfstandige GGD Groningen en de kwaliteit van de interne beheersing vinden we op dit moment het risico (nog) niet weerlegbaar.

Onze aanpak ➢ Controle doorlopende nummering verkoopfacturen ➢ Controle juistheid door middel van deelwaarnemingen m.b.t. overige opbrengsten. ➢ Aansluiting met Formatus ➢ Aansluiting met Vaccinatieregister ➢ Controle op periodiciteit ➢ Vergelijking realisatie met verwachting (o.b.v. voorgaande jaren)

Onze bevindingen Naast bovenstaande werkzaamheden gericht op het risico met betrekking tot de overige opbrengsten, hebben wij ook de juistheid van de gemeentelijke bijdragen en rijksbijdragen gecontroleerd.

SR Juistheid personeelskosten Sinds 1 januari 2020 is GGD Groningen verzelfstandigd. In korte tijd diende de salarisadministratie opgezet te worden. Uit de interimcontrole is gebleken dat bij het overzetten van gegevens van YouForce naar AFAS, door medewerkers van GGD Groningen fouten zijn geconstateerd. Derhalve hebben wij ten aanzien van de juistheid van de personeelskosten € 341.000 een significant risico aangemerkt.

Onze aanpak ➢ Deelwaarnemingen op de overgang van Youforce naar AFAS ➢ Deelwaarnemingen op de juiste verwerking van mutaties gedurende het boekjaar ➢ Controle van de inrichting van AFAS met betrekking tot premiepercentages ➢ Fiscale drukberekening

Onze bevindingen Op basis van de uitgevoerde werkzaamheden hebben wij vastgesteld dat de overgang van Youforce naar AFAS op de juiste wijze heeft plaatsgevonden en dat fouten tijdig zijn hersteld door uw medewerkers. Mutaties gedurende het boekjaar zijn op de juiste wijze verwerkt. Er zijn ons geen onjuistheden gebleken met betrekking tot de verantwoorde personeelskosten.

Er zijn ons geen onjuistheden of onvolledigheden gebleken met betrekking tot de verantwoorde opbrengsten.

16

Jaarrekening en werkzaamheden risico’s RAMB Juistheid en volledigheid opbrengsten Vanuit de Nadere Voorschriften Controle en Overige Standaarden (NV COS) wordt een risico met betrekking tot de opbrengstverantwoording verondersteld. Aangezien de opbrengsten van GGD Groningen voornamelijk bestaan uit gemeentelijke bijdragen en rijksbijdragen en GGD Groningen geen invloed heeft op de hoogte van deze bijdragen, kan het veronderstelde risico voor deze opbrengststromen worden weerlegd. Voor de overige opbrengsten kan het veronderstelde risico niet op voorhand worden weerlegd en is daarom een risico op een afwijking van materieel belang onderkend voor wat betreft de juistheid en volledigheid van de overige opbrengsten.

Onze aanpak ➢ Controle doorlopende nummering verkoopfacturen ➢ Controle juistheid door middel van deelwaarnemingen m.b.t. overige opbrengsten. ➢ Aansluiting met Formatus ➢ Aansluiting met Vaccinatieregister ➢ Controle op periodiciteit ➢ Vergelijking realisatie met verwachting (o.b.v. voorgaande jaren)

RAMB Aanbestedingen/rechtmatigheid Het risico bestaat dat de vereisten die volgen uit de geldende aanbestedingswetgeving niet worden nageleefd met als gevolg dat de inkopen en/of aanbestedingen niet rechtmatig zijn. Daarnaast dienen de te maken kosten vooraf te zijn opgenomen in de begroting, welke is goedgekeurd het bestuur. Indien gemaakte kosten niet conform de € door 341.000 goedgekeurde begroting zijn, zijn deze niet rechtmatig, omdat het bestuur bestaat uit alle deelnemende gemeenten is het van belang de rechtmatigheid van de gemaakte kosten specifiek aandacht te geven tijdens onze controle.

Onze aanpak ➢ Controle op de formele vereisten volgens de Aanbestedingswet ➢ Controle op de inhoudelijke keuzes en ingenomen posities tijdens het inkoopproces/aanbestedingsproces. ➢ Vaststellen dat begroting (inclusief gewijzigde begroting) is goedgekeurd door het bestuur ➢ Vaststellen dat de gemaakte kosten bij de juiste programma’s zijn verantwoord ➢ Vaststellen dat de kosten per programma aansluiten op de (goedgekeurde) begroting.

Onze bevindingen Naast bovenstaande werkzaamheden gericht op het risico met betrekking tot de overige opbrengsten, hebben wij ook de juistheid van de gemeentelijke bijdragen en rijksbijdragen gecontroleerd.

Onze bevindingen

Er zijn ons geen onjuistheden of onvolledigheden gebleken met betrekking tot de verantwoorde opbrengsten.

Er zijn ons geen onjuistheden of onrechtmatigheden gebleken met betrekking tot de inkopen en/of aanbestedingen en de begroting.

Tijdens de uitvoering van onze controle hebben wij uw interne inkoopscan als basis voor onze werkzaamheden gebruikt.

17

Jaarrekening en werkzaamheden risico’s RAMB juistheid coronakosten en –opbrengsten Als gevolg van de coronacrisis is de GGD belast met extra taken en lag de interne focus voor een belangrijk deel op het beheersen van het virus. Hiertoe wordt significant meer kosten gemaakt dan begroot, welke vergoed worden door het ministerie van VWS of het RIVM. Het risico bestaat dat declarabele kosten niet juist worden verantwoord en dat corona gerelateerde kosten dubbel of niet gedeclareerd worden.

RAMB Presentatie en classificatie eigen vermogen Net als bij het hiervoor beschreven risico dienen onttrekkingen en toevoegingen aan bestemmingsreserves te worden goedgekeurd door het bestuur.

Onze aanpak € 341.000

➢ Vaststellen op basis van een steekproef dat coronakosten op de juiste kostenplaatsen verantwoord zijn in de administratie ➢ Vaststellen dat er geen dubbele financiering heeft plaatsgevonden

➢ Vaststellen dat onttrekkingen aan bestemmingsreserves zijn goedgekeurd door het bestuur ➢ Vaststellen dat er een notitie aanwezig is (welke is goedgekeurd door het bestuur) omtrent de te verwachten bestedingen ➢ Vaststellen dat er geen sprake is van vermenging tussen bestemmingsfondsen en bestemmingsreserves

Onze bevindingen

Onze bevindingen

Gezien de uitbreiding van de activiteiten in het kader van COVID-19 (m.n. het uitvoeren van testen) zijn de kosten hoger uitgevallen dan de oorspronkelijke begroting. Deze aan COVID-19 gerelateerde kosten zijn administratief goed vastgelegd en opgenomen in de verantwoording meerkosten. Kosten zijn niet dubbel gefinancierd.

Uit de notulen van de bestuursvergaderingen blijkt dat de bestemmingsreserves zijn goedgekeurd door het bestuur. Tevens hebben wij vast kunnen stellen dat er interne notities aanwezig zijn die beschrijven waar de bestemmingsreserve betrekking op hebben en hoe het te reserveren bedrag is bepaald.

Met betrekking tot de coronagerelateerde kosten en declaraties zijn ons geen onrechtmatigheden gebleken.

Onze conclusie is dat de presentatie en classificatie van de subcategorieën binnen het eigen vermogen geen onjuistheden bevat.

Onze aanpak

18

3. Beoordeling interne beheersing

19

Uitkomsten beoordeling interne beheersing 3.1 Algeheel beeld van uw interne organisatie

3.2 Wij hebben uw IT-omgeving beoordeeld

Vanuit ons perspectief willen wij u inzicht verschaffen in de kwaliteit van de administratieve organisatie van GGD Groningen.

Ingevolge artikel 2:393 lid 4 BW dient de accountant in zijn verslag aandacht te besteden aan de bevindingen met betrekking tot de betrouwbaarheid en continuïteit van de geautomatiseerde gegevensverwerking.

Wij hebben hiervoor de volgende criteria gehanteerd: ➢ Is het proces beschreven? ➢ Is de opzet van het proces toereikend? ➢ Bestaat het proces zoals het in de opzet staat beschreven? ➢ Werkt het proces conform de beschreven opzet? ➢ Is de managementinformatie uit het proces betrouwbaar en toereikend? ➢ Hebben wij vanuit de externe controle bevindingen rondom het proces? ➢ Is de beheersmaatregel beoordeeld en getest? ➢ Zijn voldoende beheersmaatregelen genomen in de applicaties waarvan het proces gebruik maakt? Op basis van de uitgevoerde werkzaamheden concluderen wij dat de voor de jaarrekening significante processen van GGD Groningen van voldoende niveau zijn. Overall gezien zijn wij van mening dat het huidige niveau van uw interne beheersing voldoende te noemen is gezien de omvang en leeftijd van de organisatie. Er zijn binnen uw organisatie voldoende interne beheersingsmaatregelen ingeregeld om een betrouwbare gegevensverwerking te waarborgen. Op een aantal onderdelen binnen de bij u organisatie aanwezige processen hebben wij een aantal bevindingen geconstateerd die voor verbetering vatbaar zijn. Deze detailbevindingen en onze aanbevelingen hierover zijn afzonderlijk aan uw directeur en controller gecommuniceerd.

Onze jaarrekeningcontrole is gericht op het geven van een oordeel omtrent de jaarrekening zelf en is niet primair gericht op het doen van uitspraken omtrent de betrouwbaarheid en continuïteit van de geautomatiseerde gegevensverwerking als geheel of onderdelen hiervan. De jaarrekeningcontrole heeft geen tekortkomingen in de continuïteit en betrouwbaarheid van de geautomatiseerde gegevensverwerking aan het licht gebracht. Aanbeveling Wij raden u aan om de dienstverlening en afhankelijkheid van de gemeente Groningen kritisch tegen het licht te houden en verantwoordelijkheden in een up-to-date Service Level Agreement vast te leggen. Reactie management Met ingang van 1 januari 2021 is de Service Level Agreement reeds geüpdatet.

Op basis van de uitgevoerde werkzaamheden hebben wij vastgesteld dat de processen binnen de GGD ondanks het thuiswerken in belangrijke mate hun doorgang hebben kunnen vinden.

20

Uitkomsten beoordeling interne beheersing 3.3 Cyberrisico’s blijven toenemen

3.4 Datalekken

De grote hoeveelheid cyber- en privacy incidenten in de maatschappij de afgelopen periode toont aan dat cyber- en privacy risico’s verder blijven toenemen. Cyberaanvallen kunnen tot continuïteitrisico’s leiden doordat tijdens ransomware aanval kritische data en systemen voor een langere periode niet beschikbaar zijn. Covid-19 leidt tot versnelde digitalisering bij organisaties, maar brengt ook nieuwe cyberrisico’s met zich mee.

Recentelijk is veel publiciteit geweest over het feit dat medewerkers van het landelijke nummer voor corona-testafspraken worden verdacht van datadiefstal. Zij zouden tegen betaling persoonsgegevens uit de GGDsystemen hebben aangeboden.

Wij adviseren om blijvende aandacht en voldoende prioriteit te geven aan de toenemende cyber en privacy risico’s op zowel technisch, procedureel als organisatorisch vlak en daarbij bijvoorbeeld ook te overwegen een onafhankelijke externe audit op het gebied van security en privacy uit te voeren. Wij merken op dat onze werkzaamheden rondom security en privacy zich beperken tot het inzicht krijgen in de maatregelen die GGD Groningen in dit kader heeft getroffen en hoe cybersecurity en privacy in opzet is ingebed in de organisatie. Wij hebben geen diepgaande beoordeling uitgevoerd om vast stellen of uw organisatie adequate maatregelen heeft getroffen om cyberrisico’s te mitigeren en te voldoen aan wet- en regelgeving rondom de beveiliging van persoonsgegevens.

Naar aanleiding hiervan is de Autoriteit Persoonsgegevens begin februari 2021 een onderzoek gestart naar de naleving door de GGD van de Algemene Verordening Gegevensbescherming. Daarbij heeft de Autoriteit Persoonsgegevens aangegeven het toezicht op de GGD’s te zullen intensiveren. Door GGD Groningen wordt er rekening mee gehouden dat in geval van schade als gevolg van een datalek in de GGD-systemen dat GGD Groningen hiervoor aansprakelijk kan worden gesteld. Verder kan de Autoriteit Persoonsgegevens sancties opleggen mocht uit onderzoek blijken dat de privacywetgeving is overtreden. Te denken valt aan waarschuwing, berisping of zelfs een boete. U heeft deze casus in uw jaarrekening tekstueel toegelicht waarmee naar onze mening richting de gebruikers voldoende transparantie wordt gegeven.

Wij adviseren u om een analyse te doen op het door u gewenste niveau van dienstverlening, die gebaseerd is op uw afhankelijkheid van ITdienstverlening en bijbehorende kosten. Indien gewenst treden wij nader met u in overleg. Reactie management op deze bevinding In februari is door Nexus een onderzoek uitgevoerd ten aanzien van de IT-risico’s die GGD Groningen loopt en daarover gerapporteerd.

21

4. Overige bevindingen en relevante zaken

22

Overige bevindingen en relevante zaken 4.1 Rechtmatigheidsverantwoording Vanaf begrotingsjaar 2021 vindt er een verandering plaats in de verantwoordelijkheden met betrekking tot de rechtmatigheid van de verantwoorde baten en lasten alsmede de balansmutaties in de jaarrekeningen van gemeenten, provincies en gemeenschappelijke regelingen. Niet langer is het de accountant die vaststelt of deze posten rechtmatig tot stand zijn gekomen. Vanaf 2021 ligt deze verantwoordelijkheid bij het dagelijks bestuur. Dit is vastgelegd in de Notitie Rechtmatigheidsverantwoording (opgesteld door de Commissie Besluit Begroting en Verantwoording (BBV)). Deze notitie vervangt de Kadernota Rechtmatigheid. Het algemeen bestuur bepaalt met ingang van 2021 wat de kaders zijn en vanaf welk moment (en welk bedrag) zij geïnformeerd wenst te worden. Het dagelijks bestuur legt via de jaarrekening verantwoording af over rechtmatigheid. De accountant oordeelt vervolgens of aan de criteria van deze verantwoording is voldaan en of deze verantwoording een getrouw beeld van de werkelijkheid geeft. De rechtmatigheidsverantwoording die vanaf 2021 opgenomen wordt in de jaarrekening, dient te voldoen aan negen criteria.

Zes criteria zien tevens toe op getrouwheidsaspecten en drie criteria zien uitsluitend toe op specifieke rechtmatigheidsaspecten: ➢ Calculatiecriterium ➢ Valuteringscriterium ➢ Adresseringscriterium ➢ Volledigheidscriterium ➢ Aanvaardbaarheidscriterium ➢ Leveringscriterium

afgedekt door balans en overzicht van baten en lasten

➢ Begrotingscriterium ➢ Voorwaardencriterium ➢ Misbruik en oneigenlijk gebruik criterium

afgedekt door rechtmatigheidsverantwoording

Het stappenschema voor het verantwoordingstraject ziet er vanaf 2021 als volgt uit: Stap 1: • Normenkader wordt vastgesteld door AB • Dagelijks bestuur toetst aan normenkader Stap 2: • Dagelijks bestuur rapporteert over rechtmatigheidsverantwoording en eventuele onduidelijkheden • Accountant betrekt de rechtmatigheidsverantwoording bij het oordeel over getrouwheid Stap 3: • Algemeen bestuur spreekt met dagelijks bestuur over de bevindingen rechtmatigheid.

De vorm van de rechtmatigheidsverantwoording is per heden nog niet definitief vastgelegd en wordt naar verwachting beschikbaar gesteld zodra de wetgeving hierop is aangepast. Voorwaarde voor het op kunnen stellen van een rechtmatigheidsverantwoording is de inrichting van een rechtmatigheidsadministratie c.q. registratie van afwijkingen van de geldende wet- en regelgeving. Deze registratie is een aanvulling op de operationalisering van het geldende normenkader in een toetsingskader. Wij adviseren u om de regelgeving hieromtrent nauwlettend te volgen en tijdig uw administratie in te richten om aan de voorwaarden van de rechtmatigheidsverantwoording te kunnen voldoen.

23

Overige bevindingen en relevante zaken 4.2 Bevestiging geen ongebruikelijke transacties

4.3 Onafhankelijkheid controleteam

Onze controle dient zodanig te worden gepland en uitgevoerd dat een redelijke mate van zekerheid wordt verkregen dat de jaarrekening geen onjuistheden van materieel belang als gevolg van fouten of fraude bevat (Standaard 240, “De verantwoordelijkheden van de accountant met betrekking tot fraude in het kader van een controle van financiële overzichten”). Door de beperkingen die inherent zijn aan een controle, bestaat er een onvermijdbaar risico dat sommige afwijkingen in de financiële overzichten niet zullen worden ontdekt, zelfs wanneer de controle naar behoren is gepland en uitgevoerd overeenkomstig de Standaarden.

Op grond van wettelijke voorschriften en regelgeving van de beroepsorganisatie zijn wij gehouden om alle relaties tussen onze organisatie en GGD Groningen schriftelijk te rapporteren en onze onafhankelijkheid als externe accountant ten opzichte van GGD Groningen schriftelijk te bevestigen.

Onze controlewerkzaamheden omvatten mede de volgens Standaard 240 vereiste werkzaamheden, zoals brainstorming, het verzamelen van informatie met het oog op het vaststellen van en reageren op het risico van fraude en het uitvoeren van bepaalde werkzaamheden gericht op het risico van het doorbreken van interne beheersmaatregelen door het management, met inbegrip van inzage in journaalboekingen, beoordeling van schattingen en evaluatie van zakelijke redenen voor significante ongebruikelijke transacties.

Een aantal belangrijke punten uit de Verordening inzake Onafhankelijkheid (ViO), die we hieronder hebben opgenomen betreffen: ➢ langdurige betrokkenheid ➢ samenloop van dienstverlening ➢ geschenken en giften Wij bevestigen als controleteam dat de onafhankelijkheidsvereisten zijn nageleefd.

Bij onze controle zijn geen gevallen van fraude en/of overtreding van wet- en regelgeving gesignaleerd.

24

Overige bevindingen en relevante zaken 4.4 Naleving wet- en regelgeving

4.6 Urenbesteding

Wij informeren het dagelijks- en/of algemeen bestuur over handelingen waarbij het hoger kader is betrokken en over fraude en illegale handelingen (of deze nu door het hoger kader of door andere werknemers zijn veroorzaakt) die een onjuistheid van materieel belang in de jaarrekening tot gevolg hebben. Gedurende de controle zijn geen significante punten gesignaleerd ten aanzien van feitelijke of vermoedelijke niet-nakoming van wet- en regelgeving of statuten, voor zover deze van belang worden geacht voor de mate waarin het bestuur in staat is haar taken te vervullen.

Met ingang van boekjaar 2016 doen wij als Bentacera mee aan het NBAverbetertraject “In het publiek belang”. In dit traject is één van de verbetermaatregelen het voor- en achteraf communiceren van onze tijdsen kostenbesteding aan u.

4.5 Naleving Besluit Begroting en Verantwoording (BBV) Wij hebben getoetst of uw jaarrekening voldoet aan het BBV en hebben geconcludeerd dat uw jaarrekening voldoet aan deze richtlijnen.

4.6 Wet Normering Topinkomens PG&Z is als gemeenschappelijke regeling op grond van de Wet Normering Topinkomens (WNT) verplicht om de beloningsgegevens van haar bestuurders en haar hoogste besluitvormende organen in haar jaarrekening op te nemen. PG&Z heeft de vereiste personalia en juiste bezoldigingsgegevens van de leden van het dagelijks bestuur, het algemeen bestuur en haar directie opgenomen in de WNT-verantwoording. Wij hebben bij de controle op de WNT-verantwoording geen onjuistheden in de verantwoording aangetroffen.

Belangrijke investeringen in de kwaliteit van de door ons uitgevoerde controles betreffen de investeringen in technologie en in onze medewerkers. Binnen onze praktijk hechten wij veel waarde aan het organiseren van trainingen voor medewerkers. Daarnaast vereist de controle van de jaarrekening van uw organisatie tijd en aandacht van het controleteam voor de uitvoering van controlewerkzaamheden, review- en coachingswerkzaamheden. Voor de controle van de jaarrekening 2020, inclusief tijdens het jaar uitgevoerde werkzaamheden ten aanzien van plannings-, interimwerkzaamheden hebben wij de volgende uren aan de controle van PG&Z besteed:

Urenbesteding controle 2020 Functie

Begroot

Realisatie

Extern accountant

24

26

(Senior) Controleleider

104

128

(Zelfstandig) Assistent

168

206

Data analist

16

3

Totaal

312

363

31.100

37.800

Totale kosten Controlebudget (regulier + eerstejaars)

30.750

25

Bijlagen

26

Single Information Single Audit 2020 (SiSa) Fouten en onzekerheden SiSA Op grond van het Besluit accountantscontrole decentrale overheden, artikel 5, lid 4, rapporteren wij in dit rapport over de fouten en onzekerheden van de specifieke uitkeringen die in 2020 vallen onder SiSa. Hieronder is de tabel opgenomen, welke ook opgenomen moet worden indien er geen fouten of onzekerheden zijn geconstateerd. Wij hebben de controle op deze regelingen uitgevoerd op basis van de door GGD Groningen opgemaakte SiSa-bijlage en de nota Verwachtingen accountantscontrole SiSa 2020. Per regeling is een tabel opgenomen. Voor uw organisatie is de volgende regeling van toepassing:

Specifieke uitkering

H3

Seksualliteitscoördinatie- en hulpverlening + aanvullende curatieve SOA bestijding

Fout of onzekerheid

Financiële Toelichting fout/onzekerheid omvang in euro’s

geen

0

n.v.t.

Subsidieregeling publieke gezondheid gemeenten H5

Subsidieregeling Prep

geen

0

n.v.t.

L1

Jong leren eten – uitkeringen

geen

0

n.v.t.

H11

Corona Bonusregeling zorg

geen

0

n.v.t.

totaal

geen

0

n.v.t.

Op basis van de uitgevoerde werkzaamheden hebben wij vastgesteld dat de SiSa bijlage geen fouten of onzekerheden bevat.

27