LIS2022.20a Auditcommissie - bijlage Boardletter 2021

Boardletter 2021 Gemeente Veenendaal

Definitief 13 december 2021

Aan het College van Burgemeester en Wethouders van de gemeente Veenendaal

Bedankt voor uw vertrouwen

Doetinchem, 13 december 2021 459601/HdF/NK Geacht College, Tot slot willen wij onze dank uitspreken voor de medewerking die ons gedurende de uitvoering van onze werkzaamheden is verleend en de prettige wijze van samenwerking.

Als onderdeel van de controle van de jaarrekening over het kalenderjaar 2021 van uw gemeente hebben wij een interimcontrole uitgevoerd. Naar aanleiding van deze controle ontvangt u onze bevindingen en aanbevelingen. Deze zijn bedoeld als constructieve input voor de directie en het College als onderdeel van het continue proces van het veranderen en verbeteren van de beheersing van uw organisatie. Met een hebben we aangegeven dat de opvolging van deze aanbeveling noodzakelijk is vanuit onze accountantscontrole.

Met vriendelijke groet, Stolwijk Kelderman {{esl:Signer1:capture:size(200,65)}}

Wij hebben de interimcontrole verricht in overeenstemming met het Nederlands recht, waaronder de Nederlandse controlestandaarden. Dit vereist dat wij voldoen aan de voor ons geldende ethische voorschriften. Nederlands recht vereist onder andere dat wij onafhankelijk zijn ten opzichte van onze controlecliënten. Wij merken op dat onze controle niet specifiek is ingericht op het ontdekken van fraude. De primaire verantwoordelijkheid voor het voorkomen en ontdekken van fraude berust bij het College. De accountant is niet verantwoordelijk en aansprakelijk voor de preventie van fraude. De accountant is wel verantwoordelijk voor het betrekken van frauderisico’s in de planning en uitvoering van zijn controleopdracht. Voor een nadere toelichting verwijzen wij naar de opdrachtbevestiging.

w.g. dhr. R.H. Gosselink-Wolbrink RA

2

Inhoudsopgave

Waar bent u naar op zoek?

1. Kernpunten

2. Aandachtspunten Raad

4. Beheersing processen

5. Afsluiting

3. Algemene beheersing

•

3

1. Kernpunten

Onze kernpunten Ons beeld van de algemene beheersing

Top 3 risico’s

De interne beheersing ontwikkelt zich door. Er worden steeds meer instrumenten ingericht met als doel de belangrijkste risico’s te beheersen. De door ons gedane aanbevelingen zijn of worden in het algemeen opgepakt.

De belangrijkste 3 risico’s voor de controle van de jaarrekening 2021 zijn:

1.

Planning & control cyclus

Er is voor de belastingheffing en –inning een tweetal nieuwe applicaties aangeschaft. De interne beheersing is op dit moment nog niet voldoende ingericht. Hierdoor is het moeilijk de volledigheid van de baten aan te tonen.

De planning en control cyclus is ingericht en loopt zoals vastgelegd.

Informatietechnologie

2.

Voor de dataveiligheid is aandacht en zijn er maatregelen genomen om data te beschermen. Ook zijn en worden maatregelen genomen om de toegang (beter) te beveiligen.

Het vaststellen van de prestaties van de inkopen

Omdat de controle op de inkoopfacturen voor wat betreft de facturen onder de € 50.000 niet altijd door 2 functionarissen worden bekrachtigd is, in combinatie met de vastlegging van de prestaties, er een risico op het vaststellen van de rechtmatigheid van de inkopen.

Risicomanagement en weerstandsvermogen

3.

Er is een systeem van risicomanagement. Er zijn ook afspraken met de Raad gemaakt over het minimale vermogen. Procedures over normen en de wijze waarop de risico’s worden berekend kunnen worden ontwikkelt.

Het niet Europees aanbesteden terwijl dat wel moet

Er is nog steeds een risico dat inkopen die Europees moeten niet Europees worden aanbesteed. Inmiddels zijn er wel maatregelen getroffen. Deze maken de kans dat dit zich voordoet kleiner. Uit de verbijzonderde interne controle zijn een aantal onrechtmatigheden naar voren gekomen in 2021. Bij de jaarrekeningcontrole zullen wij deze beoordelen.

Richting de rechtmatigheidsverantwoording Gemeenten hebben een jaar uitstel gekregen voor de rechtmatigheidsverantwoording. U laat interne controles uitvoeren en bereidt de rechtmatigheidsverantwoording voor. Er zijn nog aandachtspunten naar voren gekomen als gevolg van landelijke wet- en regelgeving.

Het vaststellen van de volledigheid van de belastingbaten

4

Van de Raad hebben wij 2 aandachtspunten meegekregen.

2. Aandachtspunten van de Raad

Aandachtspunten en bevindingen Speerpunt 1: Informatie over de gevolgen van Corona Is de Raad door het College voldoende geïnformeerd over de gevolgen van de coronacrisis en zijn hierin ter verbetering adviezen te geven. De coronacrisis heeft veel effect op de organisatie en medewerkers en de lange termijn effecten zijn onzeker. Is de informatievoorziening aan de Raad, gezien vanuit de rol en taak van de accountant, voldoende op orde?

Bevindingen In de bestuursrapportages en separate raadsinformatiebrieven zijn de raadsleden geïnformeerd over de gevolgen van de Coronacrisis.

Raadsinformatiebrief In april 2021 is de 11e en vooralsnog laatste raadsinformatiebrief verschenen. In de raadsinformatiebrieven wordt per programma een toelichting gegeven over de gevolgen van de Coronacrisis voor de stad en de burgers en de acties die de gemeente Veenendaal hierop neemt en gaat nemen.

Bestuursrapportages In de 1e en 2e bestuursrapportage is in de inleiding een toelichting gegeven over de financiële effecten van Corona. Deze toelichting geeft een overzicht van de effecten op de baten en de lasten. Deze worden per aard kort toegelicht, gekoppeld aan programma’s. Er is een toelichting opgenomen op de compensatie vanuit het Rijk. Er wordt ook een toelichting gegeven op de actuele stand van het Coronaherstelfonds. Dit fonds zal worden ingezet voor activiteiten en initiatieven uit de samenleving om een snelle herstart te maken en herstelimpuls te geven aan de Veenendaalse samenleving. Per programma/doelstelling is een inhoudelijke toelichting gegeven op de effecten. Hieruit concluderen wij vanuit onze rol als accountant dat de informatievoorziening aan de raad op orde is.

5

Van de Raad hebben wij 2 aandachtspunten meegekregen.

2. Aandachtspunten van de Raad

Aandachtspunten en bevindingen Speerpunt 2: Dataveiligheid financiële systemen Dataveiligheid financiële systemen. Uitvoering in de vorm van een interview (bijv. met de interne specialist dataveiligheid). Gemeenten lopen risico’s op het gebied van de betrouwbaarheid en continuïteit van geautomatiseerde (financiële) systemen. De dataveiligheid van de financiële systemen wordt getoetst om de mate van borging vast te stellen.

Bevindingen De algemene indruk vanuit de organisatie is dat er veel aandacht is voor het aspect informatiebeveiliging. Dit is mede ingegeven door een aantal voorvallen van de afgelopen jaren. Het College is bijgepraat over de risico’s en gevolgen van de hack bij Hof van Twente, de leerpunten en aandachtspunten voor de gemeente Veenendaal zijn opgepakt. Het bewustzijn van mogelijke risico’s op dit gebied in de huidige tijd is groot. Er zijn al veel acties ondernomen en er worden veel verbeteringen in gang gezet. In de hierna volgende beschrijving stippen we onder meer kort de onderhanden zijnde acties aan.

IT omgeving De IT is bij de gemeente Veenendaal in eigen beheer. Daarnaast biedt de gemeente Veenendaal diensten aan voor de gemeenten Rhenen, Renswoude, Woudenberg en Scherpenzeel, voor Sportservice Veenendaal en het Centrum voor Jeugd en Gezin. In 2020 is vanuit het team I&A een verbetertraject voor de IT opgestart. Dit verbetertraject betreft de basisinrichting van de IT-processen, de ontwikkeling van de architectuur, het vergroten van het eigenaarschap én de verantwoordelijkheid van de medewerkers. In 2021 is dit uitgewerkt door onder meer een proactieve beheersorganisatie in te richten waarbij afstemming met ‘klanten’ (zowel intern als extern) ofwel informatiemanagement voorop staat en een verbeterslag in de archivering en het informatiebeheer. Om inzichtelijk te krijgen hoe de IT zich tot elkaar verhoudt is een centrale registratie van alle werkprocessen en bedrijfskritische applicaties (32 stuks) onderhanden. Dit legt de basis om een concept continuïteitsplan uit 2018 te actualiseren en vast te laten stellen. 6

Van de Raad hebben wij 2 aandachtspunten meegekregen.

2. Aandachtspunten van de Raad

Aandachtspunten en bevindingen Speerpunt 2: Dataveiligheid financiële systemen Dataveiligheid financiële systemen. Uitvoering in de vorm van een interview (bijv. met de interne specialist dataveiligheid). Gemeenten lopen risico’s op het gebied van de betrouwbaarheid en continuïteit van geautomatiseerde (financiële) systemen. De dataveiligheid van de financiële systemen wordt getoetst om de mate van borging vast te stellen.

Bevindingen Informatiebeveiliging Er is een CISO (Chief Information Security Officer) aangesteld. Een CISO zorgt ervoor dat de medewerkers, het beleid, de bedrijfsprocessen, de uitvoering en ook de apparatuur van de organisatie proactief beschermd worden tegen cyberdreigingen. Een CISO zorgt voor de rapportages aan het MT en de directie over de inrichting, de naleving en de controle. Daarnaast is er een privacy officer aangesteld (ook wel functionaris gegevensbescherming (FG) genoemd) die toezicht houdt op de toepassing en naleving van de Algemene Verordening Gegevensbescherming (AVG). Per applicatie is er een applicatiebeheerder aangewezen. Er is informatiebeveiligingsbeleid vastgesteld voor 2021 tot 2025. Dit is gebaseerd op de Baseline Informatiebeveiliging Overheid (BIO). Dit is een normenkader voor informatiebeveiliging binnen de overheid. Op basis van dit informatiebeveiligingsbeleid wordt nu een meerjarenplan en tactisch beleid verder uitgewerkt. Daarin wordt nader beschreven wie welke werkzaamheden uitvoert met welke doelstellingen. De bewustwording van de cyberrisico’s wordt onder de aandacht gebracht door dit onder meer te benadrukken in het on boarding programma, berichten op intranet en testen met phishingmails. Het verzorgen van een cybertraining en een cursus digitale zelfverdediging zijn in voorbereiding.

In 2020 is het strategisch beleidskader privacy vastgesteld. Dit privacy beleid is bekend bij alle medewerkers en ‘wat te doen bij een datalek’ is ook voldoende onder de aandacht. 7

Van de Raad hebben wij 2 aandachtspunten meegekregen.

2. Aandachtspunten van de Raad

Aandachtspunten en bevindingen Speerpunt 2: Dataveiligheid financiële systemen Dataveiligheid financiële systemen. Uitvoering in de vorm van een interview (bijv. met de interne specialist dataveiligheid). Gemeenten lopen risico’s op het gebied van de betrouwbaarheid en continuïteit van geautomatiseerde (financiële) systemen. De dataveiligheid van de financiële systemen wordt getoetst om de mate van borging vast te stellen.

Bevindingen Continuïteit Er is een back-up en recoverybeleid opgesteld, maar dit is verouderd en niet formeel vastgesteld. De actualisatie hiervan is onderhanden. De frequentie van de back-ups is afhankelijk van de inhoud van de data. Er worden offline back-ups gemaakt op tapes. De segmentatie van het netwerk (het verdelen van het netwerk in meerdere zones) is onderhanden. De uitwijktest is in 2021 (nog) niet uitgevoerd maar staat op de planning. De updates van software applicaties worden vooraf getest door gebruikers, zoals het hoort. De gebruikers wordt gevraagd een testverslag op te stellen om te rapporteren over hun bevindingen. Deze testverslagen worden vaak niet of onvolledig ingevuld. Hierdoor ontstaat het risico dat een update wordt doorgevoerd zonder daarbij rekening te houden met eventuele fouten die uit de test naar voren zijn gekomen.

Toegang tot systemen en applicaties De medewerkers van de gemeente Veenendaal loggen met een VPN verbinding én een 2-factor authenticatie in op Vmware. De voorwaarden die gesteld zijn aan wachtwoorden zijn van voldoende niveau, onder meer het aantal tekens en bijzondere tekens. Als gevolg van Corona en de lange levertijden van IT-middelen is nu hiervoor eigen hardware in gebruik.

8

Van de Raad hebben wij 2 aandachtspunten meegekregen.

2. Aandachtspunten van de Raad

Aandachtspunten en bevindingen Speerpunt 2: Dataveiligheid financiële systemen Dataveiligheid financiële systemen. Uitvoering in de vorm van een interview (bijvoorbeeld met de interne specialist dataveiligheid). Gemeenten lopen risico’s op het gebied van de betrouwbaarheid en continuïteit van geautomatiseerde (financiële) systemen. De dataveiligheid van de financiële systemen wordt getoetst om de mate van borging vast te stellen.

Bevindingen Toegang tot systemen en applicaties Om de toegangsrechten goed te kunnen beheersen is een functionele autorisatiematrix (FAM) ontwikkelt. Daarin is vermeld welke gebruikersrechten moeten worden toegekend op basis van de functie of de taken. SmartAIM Authorisation Management Suite is daarbij een interface die managers in staat stelt de autorisaties van hun medewerkers online aan te vragen en te wijzigen. De beoordeling van alle toegekende gebruikersrechten is onderhanden en wordt in principe 2x per jaar uitgevoerd. De functionele autorisatiematrix is hiervoor een goede basis. Het aanvragen van de toekenning van gebruikersrechten is centraal aangestuurd via TopDesk. De toekenning en bewaking van de gebruikersrechten van Key2Belastingen loopt (nog) niet via de hiervoor vermelde procedure. Uit een incidentele beoordeling van de gebruikers in 2021 blijken te veel rechten en autorisaties. Deze zijn inmiddels aangepast.

9

Van de Raad hebben wij 2 aandachtspunten meegekregen.

2. Aandachtspunten van de Raad

Aandachtspunten en bevindingen Speerpunt 2: Dataveiligheid financiële systemen Dataveiligheid financiële systemen. Uitvoering in de vorm van een interview (bijv. met de interne specialist dataveiligheid). Gemeenten lopen risico’s op het gebied van de betrouwbaarheid en continuïteit van geautomatiseerde (financiële) systemen. De dataveiligheid van de financiële systemen wordt getoetst om de mate van borging vast te stellen.

Bevindingen Bescherming van gegevens Voor de fysieke werkomgeving geldt een clean desk policy: in het stadskantoor zijn geen vaste werkplekken en liggen er (dus) ook geen geprinte documenten. Door Corona zijn medewerkers verplicht tot thuiswerken. Verzocht is om documenten van het werk die op het huisadres zijn geprint in een papierbak op het gemeentehuis te deponeren. De toegang tot de software wordt beschermd door antivirus software en een firewall. Om een nog betere bescherming te bewerkstelligen is de implementatie van Microsoft Defender onderhanden. Jaarlijks wordt een pen(entratie)test uitgevoerd. Een pentest laat zien of uw organisatie voldoende weerbaar is tegen digitale aanvallen. Het geeft inzicht in de kwetsbaarheden van de IT-infrastructuur, en de mogelijke gevolgen hiervan. De afgelopen jaren zijn de bevindingen naar aanleiding van de pentest beperkt en deze zijn vervolgens opgepakt. In 2020 is de volledige buitenkant gescand. Een pentest op de binnenkant zal mogelijk dit jaar worden uitgevoerd. Een oefening en handleiding hoe te handelen als organisatie bij een cyberaanval zijn in de maak.

10

3. Algemene beheersing

Meerdere aspecten van beheersing Tijdens onze interimcontrole controleren wij de interne beheersing binnen uw organisatie. Wij geven hier ons beeld van de algemene beheersing met onder meer de planning & control cyclus, geven de ontwikkelingen weer en rapporteren over de ontwikkelpunten. Voor 2021 willen wij u graag mee nemen in uw proces inzake risicobepaling en weerstandsvermogen. Als voorbereiding op de invoering van de rechtmatigheidsverantwoording 2022 gaan we hier nader in op de landelijke ontwikkelingen en de status van uw organisatie.

• Richting de rechtmatigheid sverantwoordin g

3.2 Risicomanagement en weerstandsvermogen

3.1 Ons beeld van de algemene beheersing

3.3 Richting de rechtmatigheidsverantwoording

• Rapporteren over duurzaam ondernemen 11

3.1 Algemene beheersing

Ons beeld van de algemene beheersing. Ons beeld van uw organisatie

Ontwikkelingen in de organisatie

De interimcontrole 2021 laat zien dat de in 2020 ingezette (door)ontwikkeling van de organisatie en financiële beheersing en verantwoording ook in 2021 is doorgezet.

•

Fiscaliteiten

Veenendaal heeft sinds een aantal jaren een overeenstemming met de Belastingdienst dat zij valt onder het zogenaamde horizontaal toezicht. Deze toezichtsvorm steunt op het uitgangspunt dat instellingen meer aangesproken mogen worden op hun eigen verantwoordelijkheden en dat de Belastingdienst en belastingplichtigen een wederzijds belang hebben bij het tot stand brengen van een vertrouwensrelatie, waarbij een onnodig zware toezichtslast met lastige discussies en correcties achteraf, vermeden kan worden. In 2020 heeft de belastingdienst ‘Het Doorontwikkeld Horizontaal Toezicht’ geïntroduceerd. Vanaf 1 januari 2020 wordt bij alle gemeenten een evaluatie van het huidige convenant gestart waarbij een nieuw individueel convenant kan worden overeengekomen. Alvorens voor een nieuw convenant in aanmerking te komen moet worden aangetoond dat de organisatie over een fiscale strategie, het inzicht in fiscale risico’s en een goede beheersing van de risico’s beschikt. Deze drie pijlers worden opgenomen in een Tax Control Framework. Daarbij dient aangetoond te worden dat dit ook werkt. De gemeente Veenendaal heeft aangegeven positief tegenover continuering van het Horizontaal Toezicht te staan, maar de uitvoering van de drie pijlers staat onder druk. De haalbaarheid zal eerst intern worden onderzocht. In maart 2022 zal de Belastingdienst hierover verder in gesprek gaan met Veenendaal.

In 2021 is verder vormgegeven aan het proces van het opstellen en bewaken van de teamplannen en de periodieke bespreking van de voortgang. Het doel van de teamplannen is onder meer dat wordt bereikt dat: - alle doelstellingen in beeld komen en de beschikbare middelen; - een totaalbeeld voor de gemeente genereren; - tijdige bijsturing mogelijk is. De voortgang tussen de teamleider, directie en concerncontroller wordt per kwartaal besproken: Het juiste gesprek voeren op basis van de juiste informatie. De voortgang van de opvolging van de adviezen uit voorgaande boardletter en accountantsverslagen is ook onderdeel van de teamplannen en kwartaalgesprekken. De adviezen blijven onder de aandacht. Daarnaast is er een plan van aanpak opvolging aanbevelingen accountant opgesteld. Per kwartaal worden de afzonderlijke aanbevelingen en hun voortgang gemonitord en bezien of aanvullende besluitvorming vanuit directie benodigd is. Sommige adviezen kosten meer tijd om te implementeren. Adviezen worden overgenomen op een wijze die past bij Veenendaal en op basis van eigen inzicht leiden tot een betere beheersing. In de bestuursrapportage is een terugkoppeling gegeven aan de Raad over de voortgang. Op basis van onze uitgevoerde interimcontrole hebben wij diverse verbeteringen in de processen vastgesteld.

Om hieraan te kunnen voldoen is extra capaciteit voor fiscaliteiten noodzakelijk. Bij de 2e bestuursrapportage zijn hiervoor de financiële middelen beschikbaar gesteld. 12

3.1 Algemene beheersing

Ons beeld van de algemene beheersing. Op fiscaal gebied zijn een aantal lopende cases onderhanden: Voor de BTW is het noodzakelijk om de onderbouwing van het mengpercentage (welk deel van de BTW mag worden verrekend) te herzien. Met betrekking de vennootschapsbelasting lopen discussies met de Belastingdienst inzake de begraafrechten en reclame-inkomsten.

•

Procesbeschrijvingen

Wij adviseren u zorg te dragen voor een juiste verwerking hiervan in de jaarstukken 2021.

• Sturen op financiën In 2021 is Pepperflow in gebruik genomen voor het opstellen van de P&Cdocumenten. De begroting 2021 en de bestuursrapportages 2021 zijn hierin opgenomen en de jaarstukken 2021 zullen hierna volgen.

•

Integriteit en fraude

De beschrijving van de salarissen, de omgevingswet en de jeugdzorg is als pilot onderhanden. Bij het beschrijven van het proces wordt getoetst of in de opzet wordt voldaan aan de wet- en regelgeving. Er wordt onderzocht welke software hierin het beste kan ondersteunen. Op basis van de pilot zal een visie op procesbeheer worden opgesteld.

Er zijn richtlijnen, beleidsdocumenten en andere instrumenten voor de beheersing van fraude en integriteit.

• Wet normering topinkomens

•

In 2021 zijn een nieuwe griffier en gemeentesecretaris gestart. Bij wijzigingen is extra aandacht noodzakelijk als gevolg van de specifieke, complexe regeling in de WNT.

De gemeente Veenendaal kent een verordening voor het uitvoeren van doelmatigheids- en doeltreffendheidsonderzoeken. De afgelopen jaren is niet voldaan aan de frequentie van de onderzoeken zoals deze in de verordening zijn opgenomen. Eind 2021 wordt een uitvraag gedaan naar het gewenste thema waarop een onderzoek kan worden uitgevoerd. De planning is om dit onderzoek in 2022 uit te voeren.

Wij vragen uw aandacht voor het juist verantwoorden hiervan in de jaarstukken bij de WNT.

• Grondexploitatie In het boekjaar 2021 heeft de Raad een nieuwe grondexploitatie Trivium vastgesteld. Daarnaast zal in december een nieuwe grondexploitatie Het Ambacht 13 worden vastgesteld.

Een frauderisicoanalyse en frauderisicobeleid worden nog opgesteld.

Doelmatigheid en doeltreffendheid

3.1 Algemene beheersing

Ons beeld van de algemene beheersing. • Beheersing kredieten

•

In 2021 zijn alle begrote kredieten in de activamodule opgenomen. Dit levert een real time inzicht op van de resterende kredietruimte.

Door het thuiswerken is de goedkeuring van de memoriaalboekingen door een 2 e persoon niet altijd consistent toegepast. De betrokkenheid van een tweede persoon wordt niet afgedwongen door Key2financien. Dit kan leiden tot ongewenste verschuivingen van lasten tussen programma’s. Een extra check op de onderbouwing van de memoriaalboekingen is opgenomen in het interne controleprogramma.

• AVG De processen rondom de AVG zijn in 2021 verder verfijnd: -

De taken tussen de FG en de privacy adviseur worden niet meer uitgewisseld. Indien nodig trekken de FG en de privacy adviseur gezamenlijk op, ieder vanuit hun eigen rol;

-

In 2021 is het privacy beleid geactualiseerd;

-

De in 2020 uitgevoerde pilot voor een kwaliteitssysteem van informatiebeveiliging en privacy is geëvalueerd en leidt tot goede resultaten. Er is nu een plan van aanpak opgesteld om dit voor alle teams uit te rollen;

-

Er wordt een risico-inventarisatie opgesteld.

•

Memoriaalboekingen

Verordeningen

Eind 2020 is de controleverordening vastgesteld. Deze verordening en de verordening op de rekenkamercommissie zijn in 2021 op overheid.nl gepubliceerd.

14

3.1 Algemene beheersing

Uw planning & control cyclus De planning & control cyclus vormt de basis van uw beheersorganisatie en geeft u inzicht in wat uw organisatie wil bereiken en in welke mate u dat heeft bereikt. Hierbij maakt u gebruikt van diverse instrumenten. Enerzijds om de doelstellingen te bepalen en vast te leggen en anderzijds om de voortgang en realisatie te monitoren. De doelstelling is om tijdig bij te kunnen sturen, zodat de doelen gehaald worden.

In de paragraaf Weerstandsvermogen in de begroting is een aantal kengetallen vermeld. Het kengetal structurele exploitatieruimte is te laag verantwoord. De berekening leidt tot een ruimte van 2%.

Begroting

Wij hebben de eisen naast de programmabegroting 2021 gelegd en adviseren u het volgende in de begroting toe te voegen: • Overzicht algemene dekkingsmiddelen: Specificatie van het dividend; • Paragraaf Financiering: Een toelichting op de systematiek rentetoerekening aan investeringen en grondexploitaties; • Een toelichting waarop de ramingen zijn gebaseerd en oorzaken van grote verschillen met vorig en voor-vorig boekjaar; • Het gerealiseerde bedrag van vorig en voor-vorig boekjaar; • Een raming van de gevolgen van bestaand en nieuw beleid; • Een overzicht van incidentele baten en lasten met daarbij een toelichting op de grootste posten; • Een overzicht van structurele toevoegingen/onttrekkingen per reserve; • Jaarlijks terugkerende arbeidskosten gerelateerde verplichtingen oftewel het uitstaande saldo verlofdagen; • In het overzicht investeringen: een onderscheid maatschappelijk en economisch nut.

Het BBV stelt een aantal eisen aan de begroting. Diverse onderdelen zijn in de programmabegroting 2021 alsnog toegevoegd.

De begroting van 2021 is op 9 november 2020 vastgesteld en tijdig bij de Provincie ingediend. De begroting laat na mutaties in de reserves een positief resultaat zien van € 910.000. Gedurende 2021 toont de prognose voor het resultaat een positief resultaat van € 789.000. Om de begroting sluitend te krijgen is een aantal bezuinigingstaakstellingen opgenomen in 2021, een groot deel voor het sociaal domein. De structurele verhoging van het Rijksbudget Jeugd is vanaf 2023 nog niet geformaliseerd, maar al wel meegenomen in uw begroting. U heeft deze onzekerheid opgenomen als risico. Wij adviseren u in de jaarstukken 2021 een overzicht op te nemen van alle bezuinigingen uit de begroting 2021 en de stand van zaken. De herverdeling van het gemeentefonds is ook een grote onzekerheid in de exploitaties van gemeenten. U heeft voor het mogelijk negatieve effect een risico opgenomen. 15

3.2 Algemene beheersing

Risicomanagement en weerstandsvermogen

In de begroting en de jaarstukken wordt de verplichte paragraaf Weerstandsvermogen en risicomanagement opgenomen waarin een toelichting is gegeven van de stand op dat moment.

Het weerstandsvermogen Iedere organisatie heeft te maken met risico’s. Deze doen zich op allerlei terreinen voor. Omdat risico’s het functioneren van een organisatie beïnvloeden, dient de organisatie inzicht te hebben in de risico’s. Weerstandsvermogen is de weerbaarheid van een organisatie in financieel opzicht. Als een risico zich voordoet, wordt het weerstandsvermogen van de organisatie aangesproken. Het weerstandsvermogen moet voldoende zijn om te kunnen acteren op de risico’s en dit geeft ook gelijk aan hoe sterk de organisatie financieel is. Om vast te stellen dat uw organisatie voldoende in staat is risico’s op te vangen, moet een inschatting worden gemaakt van het zogenaamde benodigde weerstandsvermogen.

Risicobepaling De risico's worden jaarlijks bij de begroting én de jaarrekening geactualiseerd. De actualisatie wordt uitgevoerd door de afdeling Control in overleg met de beleidsmedewerkers. Van ieder risico wordt de kans en de financiële impact bepaald. Op basis van een simulatie in het systeem Naris wordt het benodigde weerstandsvermogen bepaald. De risico-inventarisatie behelst op dit moment de financiële risico’s. Wij ondersteunen het plan om het risicobeleid voor strategische risico’s verder op te zetten.

In het kader van onze natuurlijke adviesfunctie hebben wij het systeem van risicomanagement en weerstandsvermogen in uw organisatie beoordeeld.

Wij kunnen geen oordeel geven over de volledigheid van de risico’s maar hebben een vergelijking gemaakt met andere vergelijkbare organisaties. De vermelde risico’s komen in grote lijnen overeen met de benchmark.

Nota weerstandsvermogen De gemeente Veenendaal heeft geen separate nota Weerstandsvermogen die door de Raad is vastgesteld. In een nota Weerstandsvermogen kunnen uitgangspunten staan voor het bepalen van het benodigde weerstandsvermogen en het proces van risicobepaling wordt beschreven. Daarnaast wordt een toelichting gegeven op welke middelen onderdeel zijn van het beschikbare weerstandsvermogen.

In de jaarstukken wordt een toelichting gegeven van het verloop van de risico’s ten opzichte van de begroting. Dit is in overeenstemming met de voorschriften van het BBV.

Op basis van een aangenomen amendement in de Raad is de ondergrens voor de Algemene Reserve op € 16,5 miljoen gesteld. In de tweede bestuursrapportage is de prognose voor de algemene reserve € 18,7 miljoen. 16

3.2 Algemene beheersing

Risicomanagement en weerstandsvermogen Bepaling beschikbaar weerstandsvermogen Voor het bepalen van het beschikbare weerstandsvermogen wordt uitgegaan van de algemene reserve, de stille reserves en de onbenutte belastingcapaciteit. Uit behoedzaamheidsoverwegingen raden wij u aan de onbenutte belastingcapaciteit en stille reserves niet op te nemen in het beschikbare weerstandsvermogen. Dit geld heeft de gemeente nog niet voorhanden en het is de vraag of dit in deze mate te gelde gemaakt kan worden. In de jaarstukken 2020 is ook een deel van de bestemmingsreserve startersleningen meegenomen in de berekening van het beschikbare weerstandsvermogen. Dit is niet meegenomen in de begroting 2021 in het beschikbare weerstandsvermogen.

Benodigd versus beschikbaar In de begroting 2021 daalt de verhouding tussen het benodigde weerstandsvermogen (de risico’s) en het beschikbare weerstandsvermogen tot 1,55. In de begroting wordt vermeld dat deze ratio voldoet maar dat het belangrijk is om tijdig bij te sturen zodat de ratio niet onder 1 uitkomt. In de begroting en de jaarstukken wordt het verloop van de ratio in de jaren grafisch weergegeven. Dit geeft een helder beeld.

17

3.3 Algemene beheersing

Richting de rechtmatigheidsverantwoording Landelijke ontwikkeling

Aanpassingen in financiële verordening

De invoering van de rechtmatigheidsverantwoording zou eerst over 2021 plaatsvinden, maar is met (minimaal) 1 jaar uitgesteld. De verwachting is dat het College over het jaar 2022 een rechtmatigheidsverantwoording moet opstellen. Hierdoor heeft uw organisatie een extra jaar ter voorbereiding gekregen.

In de kadernota Rechtmatigheid 2022 worden de volgende aspecten aangehaald om in de financiële verordening op te nemen: •

De kaderstelling op het gebied van rechtmatigheid vorm te geven;

De commissie BBV heeft inmiddels wel een nieuwe kadernota Rechtmatigheid 2022 uitgebracht, waarin zij haar visie geeft over het begrip rechtmatigheid in de rechtmatigheidsverantwoording. In de kadernota Rechtmatigheidsverantwoording 2022 zijn enkele stellige uitspraken en aanbevelingen opgenomen die van belang zijn bij het totstandkoming van de rechtmatigheidsverantwoording.

•

De verantwoordingsgrens – de grens tot waar onrechtmatigheden worden geaccepteerd - op basis van de lasten inclusief toevoegingen aan de reserves;

•

De rapportagegrens – de grens voor het melden van afwijkingen door het College - voor de rechtmatigheidsverantwoording;

We brengen de volgende punten die nieuw zijn of afwijken van de wijze waarop de accountant hiermee omging graag onder uw aandacht.

•

Het aangeven binnen welke financiële grenzen het College mag handelen op programmaniveau;

Normenkader

•

De afspraken tussen de Raad en het College over verschuivingen van uitgaven tussen jaarschijven in een investeringsbudget;

De commissie BBV adviseert de door de Raad gedelegeerde bevoegdheden aan het College niet op te nemen in het normenkader voor de rechtmatigheid.

•

De kaders indien specifieke budgetten bij onderuitputting op jaareinde in bestemmingsreserves opgenomen worden.

18

3.3 Algemene beheersing

Richting de rechtmatigheidsverantwoording Rechtmatigheidsverantwoording

Paragraaf Bedrijfsvoering

Voorwaarden die van invloed zijn op de verslaggeving of het getrouwe beeld van de jaarrekening worden niet opgenomen in de rechtmatigheidsverantwoording.

Het College moet in de paragraaf Bedrijfsvoering een toelichting geven op alle afwijkingen, die in de rechtmatigheidsverantwoording zijn opgenomen en de maatregelen om deze afwijkingen in de toekomst te voorkomen.

In de kadernota Rechtmatigheid 2022 worden de volgende aspecten aangehaald om rekening mee te houden bij het opstellen van de rechtmatigheidsverantwoording over 2022:

Niet-financiële onrechtmatigheden in verband met het niet naleven van bepalingen in de wet Fido en bijbehorende regelingen moeten worden toegelicht in de paragraaf Bedrijfsvoering. Dit is een stellige uitspraak die in het addendum van de kadernota 2021 is vermeld en is daarmee verplicht vanaf 2021.

• Overschrijdingen van de begroting tellen mee in de rechtmatigheidsverantwoording; • Bij complexe situaties waarin er verschillende onderbouwde standpunten zijn en specialisten niet tot een eenduidig oordeel komen, kan het voor het College onduidelijk zijn of financieel rechtmatig is gehandeld. Het College neemt deze mee in de rechtmatigheidsverantwoording als onduidelijkheid;

Indien de normen uit de gids proportionaliteit veelvuldig niet nageleefd worden of slecht gedocumenteerd en/of gemotiveerd zijn, dan moet het College hierover rapporteren via de paragraaf Bedrijfsvoering.

Nota Misbruik en oneigenlijk gebruik

• Wanneer misbruik van overheidsgelden (bijvoorbeeld bij de Participatiewet) is geconstateerd en een terugvordering (met eventueel een boete) is opgelegd blijft staan dat misbruik van overheidsgelden heeft plaatsgevonden. Dit misbruik van overheidsgelden telt mee in de rechtmatigheidsverantwoording.

De commissie BBV beveelt aan om een overkoepelend beleidsstuk misbruik & oneigenlijk gebruik (M&O) te maken. Dit bevat algemene uitgangspunten en de maatregelen ter voorkoming van misbruik en oneigenlijk gebruik. Is het M&O beleid niet actueel of wordt deze feitelijk niet nageleefd dan vermeld het College dit in de paragraaf Bedrijfsvoering. De commissie BBV adviseert om geconstateerde fraude door eigen medewerkers toe te lichten in de paragraaf bedrijfsvoering.

19

3.3 Algemene beheersing

Richting de rechtmatigheidsverantwoording Onze adviezen voor 2022

• In het controleplan de volgende punten mee te nemen:

Zoals hiervoor vermeld schrijft de kadernota rechtmatigheid 2022 een aantal aanpassingen in de financiële verordening voor. Daarnaast vraagt de herziening van wetgeving een aanpassing van interne regelgeving.

o Interne controle op de overschrijdingen op de drempel van het schatkistbankieren en de renterisiconorm; o Interne controle op de naleving van het interne inkoopbeleid;

Wij adviseren u het volgende:

o De naleving van het M&O-beleid.

• Het controleprotocol, de controleverordening en de financiële verordening na het in werking treden van de aangepaste wetgeving te herzien;

• Tussentijds te rapporteren over geconstateerde afwijkingen uit de verbijzonderde interne controle en maatregelen en de effecten van de maatregelen te monitoren.

• Een overkoepeld beleidsstuk M&O op te stellen; • De verbijzonderde interne controle zodanig in te richten dat in het eerste jaar met name getoetst wordt op de rechtmatigheidsaspecten en in de komende jaren te beoordelen of de interne controle verder uitgebreid kan worden; • Voorafgaand aan het uitvoeren van de verbijzonderde interne controle een normenkader vast te laten stellen en hierin de aan het College gedelegeerde bevoegdheden niet op te nemen; • De gids Proportionaliteit uit te werken in het interne inkoopbeleid;

20

3.3 Algemene beheersing

Richting de rechtmatigheidsverantwoording

Voor het voldoen aan de rechtmatigheidsverantwoording ligt de focus voor 2022 op alleen de rechtmatigheid.

De status van de interne controle bij uw organisatie In 2021 is de formatie en bezetting voor de verbijzonderde interne controle (VIC) uitgebreid met een senior VIC medewerker. Voor 2021 is een controleplan opgesteld, waarin de risico’s en de te controleren items zijn opgenomen. De relevante processen zijn opgenomen. Dit interne controleplan is in januari 2021 vastgesteld. Op basis van dit interne controleplan worden de teams gevraagd per proces controleplannen op te stellen zodat de verbijzonderde interne controle periodiek uitgevoerd kan worden. In de komende periode zal het onderscheid tussen de 1e lijnscontroles en 2e lijnscontroles worden verduidelijkt. De interne controlewerkzaamheden vinden gedurende het jaar plaats. Hierbij wordt gebruik gemaakt van de software applicatie KIC, behoudens de verbijzonderde interne controle op de processen Europese aanbestedingen en personeel. De omvang van de werkzaamheden is afgestemd op het belang (risicoinschatting en omvang) van het proces. De interne controle over het eerste half jaar 2021 is voor diverse processen uitgevoerd. De uitkomsten zijn besproken met de proceseigenaar. Een aantal interne controles dient nog op te worden gepakt. Zoals lokale heffingen, begraafrechten en inkopen en betalingen. Over de uitkomsten van het 1e half jaar zijn aan het managementteam, de directie en het College gerapporteerd.

21

4. Beheersing processen

Processen en de top 3 van controlerisico’s

Tijdens onze interimcontrole hebben wij de interne beheersing van de processen die tot de jaarrekening 2021 leiden, beoordeeld. Bij onze controle hebben we risico’s onderkend. Op de volgende pagina’s geven we een korte toelichting op de 3 belangrijkste risico’s voor de controle van de jaarrekening 2021. Een groot van de overige risico’s hebben een lager kans x impact gehalte en hebben wij opgenomen in de managementletter aan het College.

De aanbevelingen worden in het directieoverleg besproken en er wordt een besluit over genomen. Via de berap wordt u over de voortgang van de opvolging van de aanbevelingen geïnformeerd. In deze boardletter informeren wij u over de top 3 van onze bevindingen en aanbevelingen. Deze zijn de belangrijkste voor het kunnen vaststellen van de rechtmatigheid en de getrouwheid van de jaarrekening 2021.

In onze vorige rapportages hebben we aanbevelingen gedaan. De meeste van deze aanbevelingen zijn onderhanden. Enkele konden om verschillende redenen nog niet worden opgepakt en een aantal aanbevelingen wordt niet opgevolgd. Dit betreft met name organisatorische aanbevelingen of aanbevelingen die van geringe invloed zijn.

22

4. Top-3 risico

1. Interne beheersing lokale heffingen Bevinding 2021

Aanbeveling

Vanaf 2021 wordt voor de belastingheffing en –inning een tweetal nieuwe software applicaties gebruikt, namelijk Key2Belastingen en OrtaX. De implementatie van deze software heeft een groot beslag op de capaciteit gelegd. Daarnaast zijn de werkzaamheden uitgebreid met de belastingheffing van de gemeente Woudenberg. Op dit moment is het niet mogelijk betrouwbaar lijstwerk aan te leveren.

Wij adviseren u in overleg te gaan met het team Belastingen om een plan op te stellen hoe in control te raken en de noodzakelijke informatie tijdig te kunnen aanleveren. Ook voor de andere gemeenten.

Gevolgen jaarrekeningcontrole De opgeleverde informatie zullen wij bij de jaarrekening beoordelen.

De onderbezetting en de druk op de capaciteit gaat ten koste van de interne beheersing van het proces lokale heffingen. De benodigde informatie om vast te kunnen stellen dat de lokale heffingen juist en volledig zijn geïnd kunnen waarschijnlijk niet tijdig en volledig voor aanvang van de jaarrekeningcontrole worden verstrekt.

Het mogelijk niet kunnen opleveren van informatie leidt tot een onzekerheid in de controle van de jaarrekening 2021.

Risico Hierdoor ontstaat het risico dat aanslagen niet tijdig en volledig zijn opgelegd. De financiële omvang van deze baten in de exploitatie is materieel. Het niet opleveren van informatie leidt tot onzekerheden in de controle en mogelijk tot een afwijkende controleverklaring.

23

4. Top-3 risico

2. Betalingen zonder prestatie Bevinding 2018

Follow-up 2021

Het bestellen, de ontvangst (prestatielevering) en de autorisatie van de betaling ligt in één hand bij facturen onder de € 50.000 (mandaatgrens).

Vanaf 1 april 2021 is het proces aangescherpt met het verzoek bij facturen groter dan € 1.500 bewijsstukken toe te voegen in de financiële administratie. Dit heeft nog niet tot de gewenste situatie geleid. Dit proces zal in de komende periode worden herzien.

De autorisatie van de levering of de prestatie op de factuur doet de budgethouder. De documentatie van de prestatie is niet altijd aan te tonen.

Achteraf wordt een steekproef uitgevoerd door de verbijzonderde interne controle op de rechtmatigheid van de prestaties. Hiermee wordt (achteraf) gecontroleerd of alle inkopen rechtmatig zijn geweest. Uit de verbijzonderde interne controle van afgelopen jaren zijn geen bijzonderheden naar voren gekomen.

Risico Door het ontbreken van een scheiding tussen de goedkeuring van de geleverde prestatie en de autorisatie van de factuur (bij facturen onder de € 50.000) wordt het risico gelopen dat er geld uit de gemeente gaat zonder dat daar een prestatie tegenover staat. De impact op het risico is groot door de mogelijke imago schade én onzekerheden in de controle. De kans wordt beperkt doordat een deel van deze groep facturen wél door meerdere personen worden geautoriseerd.

Gevolgen jaarrekeningcontrole De uitkomsten van de steekproef 2021 zullen wij bij de jaarrekening beoordelen. Het mogelijk niet kunnen aantonen van de geleverde prestatie of dienst leidt tot een onzekerheid in de controle van de jaarrekening 2021.

Aanbeveling Wij adviseren u de routing voor de autorisatie aan te passen zodat voor alle inkopen getekend door 2 personen wordt, door een medewerker voor de geleverde prestatie en door de budgethouder. Wij adviseren u de bewijsstukken voor de geleverde prestatie geautomatiseerd te koppelen aan de factuur en deze in het systeem door een prestatieverklaarder te laten autoriseren.

24

4. Top-3 risico

3. Onjuiste procedure Europese aanbestedingen Bevinding 2018

Follow-up 2021

In 2018 is een onderzoek uitgevoerd naar de inkoopfunctie. Hieruit is een aantal aanbevelingen naar voren gekomen.

Capaciteit: In 2020 is de capaciteit van inkoop uitgebreid met 3 tactisch inkoopadviseurs. Ondanks deze uitbreiding geeft het team aan nog te hoge workload te ondervinden.

Het proces van aanbestedingen is belegd bij de budgethouders. Door het ontbreken van een signaleringsmiddel wordt het risico gelopen dat een aanbesteding niet of niet tijdig volgens de juiste spelregels wordt gedaan.

Contractenregister: Het contractenregister is in de basis ingericht. De verantwoordelijkheid voor het aanleveren van de contracten ligt bij de teams. Nog niet alle contracten zijn opgenomen.

De volledigheid van het contractenbeheer is nog niet gewaarborgd.

Risico

Aanbestedingskalender: Er is beperkt zicht op de verwachte aanbestedingen in 2022. De input vanuit de teams is minimaal.

De EU-aanbestedingsregels zijn complex. Door de verantwoordelijkheid voor de juiste inkoopprocedure bij de budgethouders neer te leggen wordt het risico gelopen dat een aanbesteding niet of niet tijdig volgens de juiste spelregels wordt gedaan en kan er sprake zijn van een onrechtmatigheid.

Verbijzonderde interne controle (VIC): Over de eerste helft van 2021 is VIC uitgevoerd. Door deze tijdige uitvoering gaat er een signalerend signaal naar de organisatie. Hieruit zijn voor een aantal inkopen mogelijke onrechtmatigheden geconstateerd. Nader onderzoek vindt hierop plaats.

Aanbeveling

Gevolgen jaarrekeningcontrole

Wij adviseren u in de lijn toe te zien op de tijdigheid, volledigheid en de juistheid van de Europese aanbestedingen door het inrichten en gebruiken van een contractenregister en een aanbestedingskalender.

De naleving van de aanbestedingsregels wordt aanvullend achteraf vastgesteld aan de hand van een spendanalyse, die door de VIC zal worden uitgevoerd. Wij zullen deze reviewen.

25

5. Afsluiting

Wij hebben de concept boardletter besproken Afstemming Deze boardletter is tot stand gekomen in overleg met en na afstemming met de betrokken ambtenaren en het College. Deze brief wordt ter kennisgeving verzonden aan de gemeenteraad.

Afsluiting Wij vertrouwen erop u hiermee van dienst te zijn en zijn graag bereid nadere informatie te verstrekken. Met vriendelijke groet, Stolwijk Kelderman {{esl:Signer1:capture:size(200,65)}}

w.g. dhr. R.H. Gosselink-Wolbrink RA

26

Toegevoegde waarde

die bijdraagt aan uw duurzame succes

Samenwerkende specialisten Binnen Stolwijk Kennisnetwerk bundelen wij een aantal kennisgebieden op financieel, bedrijfskundig, economisch en personeelsniveau. Vanuit deze verschillende disciplines hebben wij een 360 graden overview, zodat wij u beter en vollediger kunnen adviseren. Deze aanpak, waarbij specialisten en generalisten nauw samenwerken, leidt ertoe dat wij een belangrijke bijdrage kunnen leveren aan het duurzame succes van uw organisatie. Hoe wij dat doen? Dat leest u in het transparantieverslag op onze website.

Uw succes > www.stolwijkkennisnetwerk.nl