646137 Bijl06 Interne controle verslag ICT NML 2025.pdf

Interne controle verslag 2025

Versie: 0.3 Status: Concept Datum: 12 februari 2026

Inhoudsopgave Inleiding ......................................................................................................................................................... 3 1. Het begrotingscriterium ............................................................................................................................ 4 1.1 Uitgevoerde werkzaamheden ............................................................................................................. 4 1.2 Bevindingen ......................................................................................................................................... 4 2. Het voorwaardencriterium........................................................................................................................ 5 2.1 Uitgevoerde werkzaamheden ............................................................................................................. 5 2.2 Bevindingen ......................................................................................................................................... 6 2.2.1 Inkoopanalyse .............................................................................................................................. 6 2.2.2 Factuurvereisten en betalingen ................................................................................................... 7 3.

Het misbruik en oneigenlijk gebruik criterium .......................................................................................... 8 3.1 Uitgevoerde werkzaamheden ............................................................................................................. 9 3.2 Bevindingen .......................................................................................................................................10 3.2.1 Prestatieverklaringen .................................................................................................................10 3.2.2 Wijzigingen IBAN-nummers leveranciers ...................................................................................10 3.2.3 Frauderisicoanalyse op ongeautoriseerde bankbetalingen .......................................................10 4. Opvolging interne controleverslag 2024 .................................................................................................12 5. Conclusies & aanbevelingen....................................................................................................................13

2

Inleiding Met ingang van 2023 is het bestuur verantwoordelijk voor een rechtmatigheidsverantwoording. In het kader van de rechtmatigheidscontrole worden negen rechtmatigheidscriteria onderkend, te weten; ▪ ▪ ▪ ▪ ▪ ▪ ▪ ▪ ▪

Calculatiecriterium, Valuteringscriterium Adresseringscriterium Volledigheidscriterium Aanvaardbaarheidscriterium Leveringscriterium Begrotingscriterium Voorwaardencriterium Misbruik en oneigenlijk gebruik criterium

In het kader van het getrouwheidsonderzoek wordt er aandacht besteed aan de meeste van deze criteria. Voor de oordeelsvorming over de rechtmatigheid van het financieel beheer is er aandacht besteed aan de rechtmatigheidscriteria: ▪ ▪ ▪

Het begrotingscriterium, Voorwaardencriterium, Het misbruik en oneigenlijk gebruik criterium (M&O-criterium).

3

1. Het begrotingscriterium Het begrotingscriterium houdt in dat financiële beheerhandelingen, die ten grondslag liggen aan de baten en lasten, alsmede de balansposten, tot stand zijn gekomen binnen de grenzen van de geautoriseerde begroting en hiermee samenhangende programma's. In de (programma)begroting zijn de maxima voor de lasten vermeld die door het bestuur zijn vastgesteld. Dit houdt in dat de financiële beheerhandelingen moeten passen binnen de begroting, waarbij de verantwoording op het juiste programma alsmede het juiste begrotingsjaar en de toereikendheid van het begrotingsbedrag van belang zijn. Met de controle op de juiste toepassing van het begrotingscriterium wordt getoetst of het budgetrecht is gerespecteerd. Het begrotingscriterium is uitgewerkt in de vigerende Kadernota rechtmatigheid van de commissie Besluit Begroting en Verantwoording (BBV). In de recent vastgestelde financiële verordening ICT NML 2025 en het Controleprotocol 2025 ICT NML zijn nadere regels vastgelegd omtrent de rechtmatigheid en de rechtmatigheidsverantwoording. Zo zijn hierin de verantwoordingsgrens en de rapportagegrens vastgelegd.

Ook is in de financiële verordening ICT NML 2025 aangegeven dat het uitgangspunt is dat iedere afwijking van de begroting als onrechtmatig wordt beschouwd, maar dat een onderschrijding van de lasten of investeringsbudget en een afwijking in de baten rechtmatig is, mits deze tijdig aan het bestuur zijn gemeld (gedurende het verslagjaar of uiterlijk bij de jaarrekening). Tenslotte is in de financiële verordening opgenomen op welk moment een afwijking binnen de beleidskaders vallen en als acceptabel kan worden gekwalificeerd.

1.1 Uitgevoerde werkzaamheden Voor het begrotingscriterium zijn geen specifiek aanvullende interne controlewerkzaamheden noodzakelijk geacht in relatie tot de rechtmatigheidsverantwoording. ICT NML legt immers door middel van de tussentijdse financiële rapportages gedurende het verslagjaar en in de jaarrekening over het gehele verslagjaar verantwoording af over de afwijkingen tussen de gerealiseerde lasten en de vastgestelde begroting. Hierbij worden mogelijke afwijkingen getoetst aan paragraaf 4.2 Begrotingscriterium uit het Controleprotocol ICT NML 2025. Afwijkingen worden in dit kader reeds toegelicht en onderbouwd, zodat deze in toereikende mate voorziet in de informatie benodigd in het kader van de af te leggen rechtmatigheidsverantwoording. In dit verslag wordt over de uitgevoerde rechtmatigheidswerkzaamheden ook over het begrotingscriterium een toelichting opgenomen.

1.2 Bevindingen In de tussentijdse financiële rapportages 2025 en de jaarrekening rapporteert ICT NML tijdig over de begrotingsafwijkingen. Ook zijn, voor zover noodzakelijk, op basis van deze rapportages begrotingswijzigingen opgesteld. Op deze wijze is het bestuur actief en tijdig geïnformeerd. ICT NML voldoet daarmee aan het begrotingscriterium. Tenslotte wordt jaarlijks in de paragraaf Bedrijfsvoering van de jaarstukken een toelichting rechtmatigheidsverantwoording opgenomen, waarin de afwijkingen boven de rapportagegrens worden toegelicht. Op deze wijze wordt voldaan aan de financiële verordening én het controleprotocol.

4

2. Het voorwaardencriterium Besteding en inning van gelden door een Gemeenschappelijk Regeling zijn aan bepaalde voorwaarden verbonden, waarop door het bestuur wordt getoetst. Deze voorwaarden liggen vast in wetten en regels van hogere overheden en haar verordeningen. Bij het voorwaardencriterium wordt vooral gekeken of de financiële beheerhandelingen binnen ICT NML voldoen aan de voorwaarden zoals die gesteld zijn in de wet- en regelgeving. Daartoe is het van belang dat de geldende wet- en regelgeving duidelijk vastligt. Het bestuur is primair verantwoordelijk voor de naleving van de wet- en regelgeving en moet dus permanent inzicht hebben in de van toepassing zijnde relevante wet- en regelgeving. Deze is dan ook opgenomen in het normenkader, die bij de controle van het voorwaardencriterium wordt betrokken. Het voorwaardencriterium veroorzaakt in belangrijke mate de inspanningen die nodig zijn voor de rechtmatigheidscontrole. Ten aanzien van de verordeningen worden uitsluitend financiële consequenties verbonden aan die bepalingen, die recht, hoogte en duur van financiële beheerhandelingen betreffen. Oftewel voor de interne regelgeving vindt uitsluitend een toets plaats naar recht, hoogte en duur van financiële beheerhandelingen.

Indien en voor zover bij de controle financiële onrechtmatige handelingen worden geconstateerd, worden deze in de rapportage en oordeelsweging uitsluitend betrokken indien en voor zover het door het bestuur of hogere overheden vastgestelde regels en kaderstellende besluiten betreft. Met andere woorden: interne regels van de directeur, die niet kaderstellend zijn vallen hierbuiten. Mocht tijdens de toetsing toch blijken dat het normenkader niet juist of niet compleet is en dit consequenties heeft gehad voor de controles, dan wordt in de paragraaf bedrijfsvoering van de jaarstukken aangegeven welke regels het betreft. De accountant bevestigt dit in zijn verslag van bevindingen. Tenslotte is de vigerende Kadernota rechtmatigheid van de commissie BBV van toepassing bij de controle. Deze commissie brengt zwaarwegende adviezen uit en doet stellige uitspraken. Afwijking daarvan is in beginsel niet mogelijk, tenzij er doorslaggevende argumenten zijn om af te wijken. Deze dienen dan door ICT NML en de accountant te worden gedocumenteerd.

2.1 Uitgevoerde werkzaamheden In relatie tot het voorwaardencriterium heeft ICT NML de navolgende controlewerkzaamheden uitgevoerd, te weten: ▪ ▪

het uitvoeren van een inkoopanalyse; het controleren van factuurvereisten en betalingen.

Inkoopanalyse Om te toetsen of inkopen/inkoop lasten rechtmatig zijn verantwoord is er een inkoopanalyse uitgevoerd. Een inkoopanalyse betreft een analyse van de lasten over een periode van 4 jaar (in relatie tot de EU aanbestedingsgrenzen) op leverancierniveau en/of opdrachtniveau. De basis voor de inkoopanalyse is onttrokken uit overeenkomsten zoals vastgelegd in de contractenadministratie (Topdesk) en de bestedingen (lasten) zoals verantwoord in de financiële administratie (Business Central).

5

Om intern te waarborgen dat inkopen welke de EU-drempel naderen tijdig worden gesignaleerd en nieuwe Europese aanbestedingen tijdig worden opgestart met als doel onrechtmatige lasten te voorkomen, is deze interne inkoopanalyse uitgevoerd op het niveau van de inkopen per leverancier. Tevens is hierbij getoetst of de interne inkoopstrategie is opgevolgd. Waarbij steeds een aansluiting is gemaakt tussen de inkoopanalyse en de crediteurenadministratie/inkoopboek vanuit de financiële administratie (Business Central), om de volledigheid van de inkoopanalyse te kunnen waarborgen. In de analyse zijn ook de lasten over de actuele lopende periode betrokken en de voorafgaande drie verslagjaren en getotaliseerd afgezet tegen de actueel geldende aanbestedingsgrenzen. Factuurvereisten en betalingen Op basis van een willekeurige steekproef vanuit de massa van alle verantwoorde inkopen bij leveranciers over de verslagperiode is getoetst of de ontvangen inkoopfacturen voldoen aan de gestelde eisen en de betalingen in overeenstemming zijn met factuurgegevens. Hierbij is onder andere gecontroleerd op: ▪ ▪ ▪ ▪

juiste tenaamstelling factuur; verantwoording op juiste programma/budget/grootboekrekening; juiste verwerking van de omzetbelasting in de financiële administratie; of de betaling op het juiste bankrekeningnummer van de betreffende leverancier heeft plaatsgevonden.

De door ICT NML uitgevoerde werkzaamheden over het verslagjaar 2025 en de daarbij geconstateerde bevindingen zijn vastgelegd in het interne controle dossier 2025.

2.2 Bevindingen De bevindingen zijn onderverdeeld in de volgende twee onderdelen: 1. de uitvoering van de inkoopanalyse; 2. de controle van de factuurvereisten en betalingen.

2.2.1 Inkoopanalyse Uit navraag bij de relevante partijen blijkt dat het inkoopbeleid is gevolgd. Het inkoopbeleid is geformaliseerd in de Nota Inkoop- en aanbestedingsbeleid ICT NML 2018. Tijdens het uitvoeren van de inkoopanalyse zijn twee onregelmatigheden geconstateerd:

1. Rechtmatige inkoop Cadac Group was gedurende het verslagjaar 2025 niet aan te tonen door ontbrekende aanbestedingsdocumenten; 2. Gedurende het verslagjaar 2025 werd de TRO-leaseovereenkomst met Econocom telkens met 6 maanden tegen dezelfde voorwaarden verlengd. Cadac Group Met de overname van de onderneming ECGeo van de latente gemeente zijn de originele documenten m.b.t. de aanbestedingsprocedure niet meegekomen en ook niet meer te achterhalen bij deze gemeente. Ook het bedrijf waarmee oorspronkelijk de overeenkomst is getekend, is inmiddels door de Cadac Group overgenomen. Volgens het externe inkoopadvies zijn alle rechten en plichten van de overeenkomst met de overname van ECGeo meegegaan naar ICT NML en mogen ook de eventuele verlengingsopties worden geactiveerd. Uit dien hoofde zou ICT NML volgens dit advies rechtmatig handelen. 6

ICT NML heeft in 2025 met de Cadac Group nieuwe overeenkomsten opgesteld volgens de afspraken die golden met de latende gemeente. Deze overeenkomsten zijn ondergebracht bij de bestaande softwarebroker. Vòòr de zomer van 2026 staat een marktverkenning/marktconsultatie gepland, die mogelijk kan leiden tot de aanschaf van kwalitatief betere of financieel aantrekkelijkere software met ingang van begrotingsjaar 2027. Econocom Volgens het extern inkoopadvies uit 2025 is de overeenkomst met Econocom niet gekoppeld aan een absolute einddatum, waardoor deze periodiek getoetst dient te worden aan de actuele marktsituatie. Eind 2022 is een aankondiging in geval van vrijwillige transparantie vooraf gepubliceerd op TenderNed, waaruit is gebleken dat géénn marktpartij een TRO-leaseconstructie (Technology Refresh Option) kon leveren en niemand is benadeeld. ICT NML heeft daarmee voldaan aan de toetsing aan de actuele marktsituatie en zou volgens het advies rechtmatig handelen. Om in de toekomst ook rechtmatig te blijven heeft ICT NML in 2025 de onderhandeling met deze partij opgestart over een mogelijke beëindiging van de TRO-leaseconstructie. Per 1 november 2025 is deze leaseconstructie omgezet in een operational leaseovereenkomst met een looptijd van 5 jaar (absolute einddatum). Na afloop van deze termijn is de verplichting volledig afgewikkeld.

De financiering van nieuwe assets vindt overigens rechtmatig volgens de gegunde aanbesteding plaats. Uit bovenstaande blijkt dat de geconstateerde onregelmatigheden in 2025 zijn opgelost. Verdere bevindingen in het kader van onrechtmatigheid zijn niet vastgesteld.

2.2.2 Factuurvereisten en betalingen Voor deze controle is dezelfde steekproef gebruikt als voor de prestatieverklaringen. De resultaten van deze controle zijn in detail vastgelegd in hetzelfde Excelbestand als voor de prestatieverklaringen (zie hoofdstuk 3. Misbruik en oneigenlijk gebruik criterium, onderdeel 5. Prestatieverklaring). Dit bestand is door ICT NML aan de accountant beschikbaar gesteld als onderbouwing voor dit verslag. Juiste verwerking van de omzetbelasting in de financiële administratie Per inkoopfactuur is beoordeeld of de BTW, zoals deze vermeld staat op de factuur, correct is geboekt binnen Business Central (BC). Vastgesteld is dat alle beoordeelde facturen op correcte zijn verwerkt in BC. Heeft de betaling op het juiste bankrekeningnummer van de betreffende leverancier plaatsgevonden? Per inkoopfactuur is er beoordeeld of er een match is tussen de bankrekening op de factuur en de bankrekening waarnaar het geld is overgemaakt via de BNG-bank. Vastgesteld is dat bij alle facturen de bankrekening op de inkoopfactuur aansluit op de bankrekening waarnaar het bedrag is overgemaakt. Juiste tenaamstelling factuur Per inkoopfactuur is beoordeeld of de factuur een juiste tenaamstelling hadden. Vastgesteld is dat op alle facturen een juiste tenaamstelling en adressering is gebruikt.

Verantwoording op de juiste kostenplaats/grootboekrekening Per inkoopfactuur is beoordeeld of de factuur op de juiste grootboekrekening en bedrijfseenheid (budget) is geboekt, waarbij de bedrijfseenheid direct gekoppeld is aan een van de drie programma’s of aan de overzichten. Daarbij is dus expliciet beoordeelt of de factuur betrekking heeft op Automatisering, Informatisering of Bedrijfsvoering en of het om centrale of gemeente specifieke lasten ging. Vastgesteld is dat bij alle facturen de verantwoording op het juiste programma, bedrijfseenheid, budget en grootboekrekening heeft plaatsgevonden.

7

3. Het misbruik en oneigenlijk gebruik criterium Onder misbruik wordt verstaan: ‘Het opzettelijk niet, niet tijdig, onjuist of onvolledig verstrekken van gegevens met als doel ten onrechte overheidssubsidies of -uitkeringen te verkrijgen of niet dan wel een te laag bedrag aan heffingen aan de overheid te betalen’. Onder oneigenlijk gebruik wordt verstaan: ‘Het door het aangaan van rechtshandelingen, al dan niet gecombineerd met feitelijke handelingen, verkrijgen van overheidsbijdragen of het niet dan wel tot een te laag bedrag betalen van heffingen aan de overheid, in overeenstemming met de bewoordingen van de regelgeving, maar in strijd met het doel en de strekking daarvan’. ICT NML dient effectieve maatregelen te nemen om misbruik en oneigenlijk gebruik (afgekort M&O) van overheidsgelden en overheidseigendommen bij financiële beheerhandelingen te voorkomen, detecteren en corrigeren. De controle richt zich op: ▪

▪

De toetsing in hoeverre in bestaande procedures deugdelijke maatregelen ter voorkoming van misbruik- en oneigenlijk gebruik zijn genomen (bestaan), alsmede de werking van de getroffen maatregelen vaststellen; De controle of de bestaande procedures aangepast dienen te worden om het M&O-beleid actueel te houden.

Wij hebben structurele, preventieve maatregelen tegen fraude genomen in kwetsbare processtappen binnen de financiële processen. Door interne beheersmaatregelen, als systeemcontrole, 4-ogen principe en bestandsvergelijking, wordt het voorkomen van financiële misstanden geborgd binnen ICT NML. Ook bij de kwaliteitscontroles en de verbijzonderde interne controles (VIC) is aandacht voor fraudesignalen. Tenslotte heeft het bestuur van ICT NML een gedragscode vastgesteld ‘Zo doen we dat bij ICT NML’, waarin vastligt op welke wijze de medewerkers met elkaar en met anderen dienen om te gaan, waarbij het werk integer (betrouwbaar en moreel juist) wordt uitgevoerd. Deze gedragscode geeft concreet aan wat de betekenis is van de ambtseed die de medewerkers van ICT NML afleggen. Als aanvulling op de aanwezige beheersmaatregelen heeft het bestuur van ICT NML in november 2025 een eerste opzet voor een frauderisicoanalyse gemaakt. Een frauderisicoanalyse is een middel om bewustzijn, inzicht, passende beheersmaatregelen en de borging daarvan te realiseren. Het doel is de mogelijkheden van doelbewust frauduleus handelen te voorkomen of te beperken. Dit vindt plaats door de opzet, bestaan en werking van beheersmaatregelen te toetsen, eventuele tekortkomingen te signaleren en passende maatregelen te treffen, zodat een onrechtmatige uitstroom van middelen (geld of bezittingen) wordt voorkomen.

Zodra zo’n frauderisicoanalyse eenmaal is opgezet en ook elk jaar wordt herhaald, waarbij de eerder genomen beheersmaatregelen worden geëvalueerd, ontstaat een dynamisch en cyclisch verbeterproces. De uitgevoerde analyse vormt een leidraad voor de toekomstige planning en uitvoering van specifieke werkzaamheden ter beoordeling en beheersing van (potentiële) frauderisico’s binnen ICT NML.

8

3.1 Uitgevoerde werkzaamheden In relatie tot dit criterium zijn de navolgende controlewerkzaamheden uitgevoerd, te weten: • • •

het uitvoeren van werkzaamheden in relatie tot de prestatieverklaring; het controleren van wijzigingen van IBAN-nummers leveranciers; het opzetten van een frauderisicoanalyse.

Prestatieverklaringen Op basis van een willekeurige steekproef vanuit de totale massa van alle verantwoorde inkopen bij leveranciers in de verslagperiode is gecontroleerd of intern is vastgelegd dat de prestatie in de vorm van een dienst of de levering van goederen/producten heeft plaatsgevonden. Met andere woorden of de verantwoording van lasten rechtmatig is op basis van de geleverde prestatie. Als blijkt dat de prestatieverklaring niet eenduidig tot uitdrukking komt in ons inkoopsysteem Continia (BC) of op een andere wijze kan worden aangetoond, dan is expliciet bij de budgethouder/teamleider of directeur een prestatieverklaring opgevraagd. Wijzigingen van IBAN-nummers leveranciers Volgens de interne procedure worden door Crowe FAS (administratiekantoor), die voor ICT NML de administratie voert slechts wijzigingen in de stamgegevens leverancier doorgevoerd (zoals bankrekeningnummer), nadat ICT NML dit heeft goedgekeurd. Teneinde te controleren of gedurende het verslagjaar geen andere wijzigingen hebben plaatsgevonden, wordt intern een totaalanalyse uitgevoerd op alle wijzigingen van IBAN-nummers van leveranciers tijdens de verslagperiode. Alle wijzigingen van IBAN-nummers worden vervolgens gecontroleerd op basis van onderliggende documentatie.

Op deze wijze is achteraf ter volledigeheid de rechtmatigheid van deze wijzigingen vastgesteld, zodat kan worden vastgesteld dat geen onrechtmatige betalingen hebben plaatsgevonden. Vanaf de tweede helft van verslagjaar 2025 zijn wijzigingen in dit proces aangebracht, waardoor dit proces efficiënter is geworden. Intern is daarbij wel voldoende functiescheiding binnen dit gewijzigde proces aangebracht. Tenslotte wordt voortaan bij de batchbetalingen gewerkt met zogenaamde hashtotals. De zichtbare controle met hash-totals draagt ertoe bij dat ongeautoriseerde wijzigingen van bankrekeningnummers en bedragen in het betaalproces worden voorkomen. Opzetten van een frauderisicoanalyse In november 2025 heeft een eerste frauderisicoanalyse plaatsgevonden. Onder begeleiding van een externe partij heeft met het MT en een aantal andere key-medewerkers binnen ICT NML een workshop plaatsgevonden om frauderisico’s binnen ICT NML in kaart te brengen. Daarnaast zijn de interne controlemaatregelen geïnventariseerd, die deze risico’s afdekken en is beoordeeld of er nog restrisico’s bestaan. Op basis hiervan is een eerste opzet van een frauderisicoanalyse gemaakt en hierover zal in een afzonderlijk voorstel aan het bestuur worden gerapporteerd.

Aanvullend wordt door de accountant specifiek aandacht besteed aan fraude(risiso’s) op basis van een door ICT NML ingegvulde fraudechecklist en door het uitvoeren van een bankanalyse op alle uitgaande geldstromen. De door ICT NML uitgevoerde werkzaamheden rondom het M&O criterium over het verslagjaar 2025 en de daarbij geconstateerde bevindingen zijn vastgelegd in het interne controle dossier 2025.

9

3.2 Bevindingen De bevindingen zijn onderverdeeld in de volgende drie onderdelen: 1. Prestatieverklaringen; 2. Wijzigingen van IBAN-nummers crediteuren; 3. Frauderisicoanalyse op ongeautoriseerde bankbetalingen.

3.2.1 Prestatieverklaringen Het inkoopsysteem Continia (BC) biedt (nog) geen mogelijkheid om een prestatieverklaring vast te leggen. Derhalve zijn voor alle facturen uit de steekproef prestatieverklaringen opgevraagd bij de budgethouder/teamleider of directeur, die verantwoordelijk is voor deze facturen. Voor alle facturen zijn door de budgethouders/teamleiders of directeur prestatieverklaringen verstrekt, die de rechtmatigheid van de inkoopfacturen bevestigen. De onderbouwing van de uitgevoerde werkzaamheden en de prestatieverklaringen zijn te vinden in het interne controle dossier 2025 en beschikbaar gesteld aan de accountant.

3.2.2 Wijzigingen IBAN-nummers leveranciers De gedurende het verslagjaar 2025 gewijzigde IBAN-nummers zijn opgenomen in het interne controle dossier 2025. In de eerste helft van 2025 zijn deze wijzigingen doorgevoerd door Crowe FAS en vervolgens gecontroleerd door de junior controller van ICT NML. In de tweede helft van 2025 zijn er wijzigingen in het interne proces doorgevoerd en vindt een en ander efficiënter plaats. Door deze wijzigingen zijn verantwoordelijkheden verschoven en dient de interne controle op een andere wijze plaats te vinden om voldoende functiescheiding te waarborgen. In de tweede helft van 2025 zijn geen gewijzigde IBAN-nummers geconstateerd. Wel zijn er een aantal nieuwe leveranciers aangemaakt door de junior controller van ICT NML. De stamgegevens van deze leveranciers zijn gecontroleerd en goedgekeurd door een administratief medewerker ICT NML. Documentatie hiervan is terug te vinden in het interne controle dossier 2025.

3.2.3 Frauderisicoanalyse op ongeautoriseerde bankbetalingen Vanaf de tweede helft van het verslagjaar 2025 worden betaalbatches gecontroleerd met hash-totals. Op de betaalbatch uit BC (financiële administratie) of uit Loket (salarisadministratie) staat een hashtotaal, die inmiddels terugkomt in de geïmporteerde batch bij de BNG Bank. In de tweede helft van het verslagjaar 2025 heeft nog geen volledige zichtbare controle plaatsgevonden op de aansluiting van het hash-totaal betaalbatch BC/Loket en het hash-totaal betaalbatch BNG Bank. Vanaf medio oktober 2025 vindt ook een zichtbare controle plaats en worden deze controledocumenten intern opgeslagen. Met deze stap is de aanbeveling uit het interne controle verslag van 2024 opgevolgd. Op deze wijze wordt vastgesteld dat er geen tussentijdse wijzigingen meer hebben plaatsgevonden, zodat de betalingen rechtmatig hebben plaatsgevonden. Door deze aansluiting vanaf oktober 2025 zichtbaar vast te leggen (beheersmaatregel) is het bestaan en de werking van deze maatregel achteraf door de interne controle vast te stellen.

10

De accountant voert jaarlijks een zogenaamde bankanalyse uit. Op basis van een dump van alle bankmutaties in de verslagperiode is door de accountant een analyse uitgevoerd op alle uitgaande betalingen. De accountant gebruikt daarvoor een speciaal ontwikkelde analyse tool in Excel. Op deze wijze krijgt de accountant onder andere inzicht in: • • • •

leveranciers met meerdere bankrekeningnummers; dubbele betalingen; opvallende omschrijvingen; opvallende bedragen; enz.

De daaruit voorvloeiende bijzonderheden zijn vervolgens door ICT NML geanalyseerd, gecontroleerd en onderbouwd, zodat de accountant een uitspraak kan doen of er sprake is geweest van mogelijke ongeautoriseerde en onrechtmatige betalingen (uitgaande geldstromen). Uit deze analyse is geen fraude gesignaleerd. Op advies van de accountant wordt sinds de tweede helft van 2025 de controle op wijzigingen in de IBAN-nummers intern vastgelegd, zodat een controle daarop achteraf mogelijk is geworden. Tenslotte is sinds december 2025 in het inkoopproces via BC een extra controle op IBANnummers ingevoerd. In het accountantsverslag is de accountant volgens de geldende wet- en regelgeving verplicht om over (materiële) fraude te rapporteren. Frauderisico checklist en -analyse Op verzoek van de accountant vult ICT NML jaarlijks een zogenaamde frauderisico checklist in. Deze checklist besteed aandacht aan de structuur, de activiteiten en de financiering van ICT NML, zodat een beeld wordt verkregen van de mogelijke frauderisico’s. De accountant gebruikt de uitkomst van deze checklist vervolgens voor zijn risico-inschatting ten behoeve van de uitvoering van zijn controlewerkzaamheden. Jaarlijks wordt deze checklist en de mogelijke frauderisico’s door de accountant met ICT NML besproken.

In november van 2025 heeft het MT samen met een aantal key-medewerkers van ICT NML een workshop gevolgd en zijn frauderisico’s in kaart gebracht en zijn de interne beheersingsmaatregelen die deze risico’s verkleinen geïnventariseerd. De workshop heeft geleid tot een eerste opzet van een frauderisicoanalyse, waarover afzonderlijk door ICT NML zal worden gerapporteerd. Uit deze analyse zijn geen materiële tekortkomingen naar voren gekomen. Ook is in het verslagjaar 2025 geen diefstal of fraude door eigen medewerkers geconstateerd.

11

4. Opvolging interne controleverslag 2024 Uit de interne controle 2024 zijn een aantal conclusies en aanbevelingen voortgekomen. De interne opvolging daarvan wordt hieronder weergegeven. Inkoopbeleid Het huidige inkoopbeleid van ICT NML dateert nog uit 2018. Geadviseerd was om dit inkoopbeleid in 2025 te actualiseren. Deze actualisatie heeft in 2025 nog niet plaatsgevonden. De oorzaak hiervan is dat vanuit de VNG in 2025 een nieuw model inkoop- en aanbestedingsbeleid zou worden gepubliceerd, waarop ICT NML wenste te wachten. Uiteindelijk heeft de VNG dit pas in december 2025 gepubliceerd, waardoor de actualisatie van het inkoop- en aanbestedingsbeleid voor ICT NML nog niet heeft kunnen plaatsvinden. Contractenbeheer en -register Het contractenregister van ICT NML wordt bijgehouden in Topdesk. In 2024 was geconstateerd dat dit register niet volledig actueel was, waardoor is geadviseerd om alle lopende contracten en wijzigingen daarop in dit register vast te leggen. Ook is geadviseerd om een procedure op te stellen op welke wijze actualisatie en registratie van contracten dient plaats te vinden en wie daarvoor verantwoordelijk is. Op deze wijze is dit register toegankelijk voor de IC-medewerkers en alle andere medewerkers van ICT NML. Het archief is in 2025 een stuk toegankelijker dan in 2024.

Bestanden zijn makkelijker te vinden omdat er bepaalde trefwoorden worden gebruikt bij het uploaden van bestanden. Workshop frauderisicoanalyse De accountant had aangeboden om ICT NML te ondersteunen met het opzetten van een frauderisicoanalyse door het geven van een workshop aan de interne controlemedewerkers en het MT. In november 2025 heeft ICT NML gebruik gemaakt van dit aanbod en heeft de workshop plaatsgevonden. Deze workshop vormt de basis voor de eerste opzet van de frauderisicoanalyse. Formalisatie inkoop-en betaalproces In het interne controle verslag 2024 is geadviseerd om in 2025 het inkoopproces vast te leggen, waarin het proces van bestelling tot en met betaling (inclusief aanmaken of wijzigen van stamgegevens leveranciers) formeel wordt vastgelegd. De zichtbare controle en aansluiting van het hash-totaal en het zichtbaar vastleggen van de controle op de wijziging van de stamgegevens leveranciers en deze controles toegankelijk maken voor de IC-medewerkers van ICT NML zal in dit inkoopproces meegenomen dienen te worden. Op deze wijze kan het inkoopproces voortaan beter op opzet, bestaan en werking worden getoetst door de ICmedewerkers van ICT NML, waarmee de risico’s met beheersmaatregelen in het inkopproces kunnen worden verkleind en daarmee ook de kans op fraude wordt geminimaliseerd.

Sinds november 2025 voert ICT NML grotendeels zelf haar financiële administratie. Door het wijzigen van de interne processen bij het inkoop- maar ook het verkoopproces zullen nieuwe procesbeschrijvingen opgesteld dienen te gaan worden. Hierdoor heeft in 2025 nog geen formalisatie van het inkoop- en betaalproces plaatsgevonden. Het plan is om deze in 2026 op te gaan stellen, zodat ook formeel vast komt te liggen wie waarvoor verantwoordelijk is en welke interne controlemaatregelen uitgevoerd dienen te worden.

12

5. Conclusies & aanbevelingen Voortvloeiend uit dit rapport zijn een aantal conclusies en aanbevelingen gekomen die hieronder worden opgesomd. Inkoopbeleid Zoals in hoofdstuk 4 aangegeven is het huidige inkoop- en aanbestedingsbeleid nog niet geactualiseerd. Geadviseerd wordt om de Nota inkoop- en aanbestedingsbeleid ICT NML 2018 te actualiseren op de geldende wet- en regelgeving rondom inkoop en aanbesteding. Formalisatie inkoop-en betaalproces Zoals in het voorgaande hoofdstuk aangegeven is het inkoop- en betaalproces nog niet formeel vastgelegd. Aanbevolen wordt om in 2026 het inkoopproces vast te leggen, waarin het proces van bestelling tot en met betaling (inclusief aanmaken of wijzigen van stamgegevens leveranciers en de controle met hash-totalen) wordt vastgelegd. Formalisatie verkoop- en inningsproces Naast het inkoopproces zijn eind 2025 ook wijzigingen aangebracht aan het interne verkoop- en factureringsproces. Geadviseerd wordt om ook dit verkoop- en inningsproces in 2026 te beschrijven en formeel vast te leggen. Op deze wijze is duidelijk wie waarvoor verantwoordelijk is en welke interne controlemaatregelen uitgevoerd dienen te worden.

13