1. (AUDIT) Managementletter gemeente Vijfheerenlanden 2020.pdf

Belangrijkste boodschappen

Evaluatie van uw interne beheersing

Ontwikkelingen Vooruitblik naar de jaarrekeningcontrole Bijlagen

Rapportage interim bevindingen 2020 Gemeente Vijfheerenlanden

Deze rapportage is interactief en gemaakt om te bekijken op:

11 maart 2021

Belangrijkste boodschappen

Evaluatie van uw interne beheersing

Gemeente Vijfheerenlanden Aan het college van burgemeester en wethouders Postbus 11 4140 AA Leerdam 11 maart 2021 Geacht college,

Ontwikkelingen Vooruitblik naar de jaarrekeningcontrole Bijlagen

Hierbij ontvangt u onze tussentijdse bevindingen met betrekking tot de controle van de jaarrekening van uw gemeente voor het boekjaar dat eindigt op 31 december 2020. We hebben onze werkzaamheden uitgevoerd in overeenstemming met ons controleplan 2020. Onze zienswijzen, bevindingen en aanbevelingen zijn open en constructief besproken met de ambtelijke organisatie. Wij hebben onze controle uitgevoerd in overeenstemming met onze overeenkomst d.d. 9 november 2020, ons voorstel tot dienstverlening d.d. 28 augustus 2020 en ons controleplan 2020 d.d. 12 januari 2021. In deze rapportage hebben wij onze eerste bevindingen en observaties opgenomen ten aanzien van uw interne beheersing. Het verdient een compliment voor de organisatie dat veel van de door ons gesignaleerde aandachtspunten reeds zijn opgenomen in de interne ontwikkelplannen ter verbetering van de interne beheersing. Dit geeft naar onze mening aan dat uw organisatie op het juiste spoor zit om zich te ontwikkelen naar een volwassen gemeente met zelforganiserende teams. Graag leveren wij hier onze bijdrage aan door met een frisse blik mee te kijken met de uitvoering van uw ontwikkelopgave.

Daarom hebben wij enkele aspecten uit de ontwikkelplannen nader belicht waaraan wij vanuit onze rol als externe accountant en natuurlijke adviseur specifiek belang hechten. Onze rapportage dient u dan ook te zien als positief kritische aanmoediging om de ingezette werkwijze te blijven volgen. Het rapport bestaat uit drie delen. Deel 1 geeft onze visie op en bevindingen ten aanzien van uw interne beheersing en de uitvoering van uw ontwikkelplannen. Deel 2 beschrijft de actuele ontwikkelingen voor uw organisatie en uw status van voorbereiding op deze ontwikkelingen. Deel 3 blikt vooruit op de jaareindecontrole en behandelt de meest relevante aandachtsgebieden. Graag bespreken we de inhoud van dit verslag tijdens de vergadering met de directie en portefeuillehouder op 11 maart 2021 en met de Auditcommissie op 23 maart 2021. Mocht u nog vragen hebben, aarzelt u dan niet om contact met ons op te nemen.

Met vriendelijke groet, Q-Concepts Accountancy B.V.

drs. E.E.T.M. Kalnenek RA

J.G. Schuijt MSc RA

Onze belangrijkste boodschappen Belangrijkste boodschappen

Evaluatie van uw interne beheersing

Ontwikkelingen Vooruitblik naar de jaarrekeningcontrole Bijlagen

1. Er is een grote en belangrijke beweging voorwaarts gezet in het verbeteren van de interne beheersing binnen de gemeente, maar er moeten nog flinke stappen gezet worden. 2. Voor het controlejaar 2020 geldt dat wij onze controle volledig gegevensgericht uitvoeren. Hoewel u afhankelijk bent van verklaringen van derden, hebben wij op dit moment geen aanleiding om te veronderstellen dat de planning van de controle niet gerealiseerd kan worden. 3. Hoewel wij geloven in de visie van zelforganiserende teams, zijn wij van mening dat de huidige status van de organisatie vraagt om een meer directieve centrale rol. Met het MT Bedrijfsvoering is een eerste stap hiertoe gezet. Dit overleg kan haar toegevoegde waarde verder vergroten door prioriteiten te stellen in de ontwikkelplannen en als coördinator op te treden in de uitvoering van deze plannen. 4. Wij hechten belang aan de positie en taakuitoefening van het team Control in het algemeen en die van de concerncontroller in het bijzonder bij het coördineren van het organisatiebrede ontwikkelvraagstuk. Wij bevelen u aan om per 1 januari 2022, de beoogde einddatum van de tijdelijke rol, de concerncontroller wederom volledig inzetbaar te maken ten behoeve van het team Control. 5. In aanloop naar de rechtmatigheidsverantwoording is het van belang dat de VIC zowel kwalitatief als kwantitatief uitgebreid wordt.

Voor een gemeente met uw omvang en complexiteit mist het team een professional met een auditachtergrond die zelfstandig en vaktechnisch in staat is om het proces van risicoanalyse tot rapportage te begeleiden.

6. Voor onze controle gebruiken wij de VIC als intern beheersingskader. Graag gaan wij het komende jaar met uw VIC in overleg hoe wij de VIC-functie voor de controle van de jaarrekening 2021 kunnen gebruiken als interne beheersingsmaatregel. 7. Mede door het ontbreken van concrete KPI’s en samenhang tussen beleidsdocumenten en de P&C producten, ervaren wij de rapportages in de P&C cyclus omvangrijk en moeilijk leesbaar. Wij raden u aan om de informatiebehoefte van alle partijen te inventariseren. Op basis van deze behoefte kunnen SMART geformuleerde KPI’s worden opgesteld, die worden bewaakt door middel van de P&C documenten. 8. De maatschappelijke aandacht voor het onderwerp fraude heeft ervoor gezorgd dat meer en meer wordt verwacht dat het college en de directie zelfstandig een interne fraudeanalyse opstelt. Zeker met uw ambitie om te komen tot een rechtmatigheidsverantwoording, en wellicht op een later moment, een In Control Statement, raden wij u aan om een interne fraudeanalyse op te stellen. 9. Er bestaat een frauderisico in uw betalingsproces. Wij benadrukken dat wij geen indicatie hebben dat er sprake is van fraude. Het risico hierop achten wij gezien de aanwezige soft-controls binnen de organisatie beperkt. 10. Wij hebben geconstateerd dat niet alle relevante wet- en regelgeving is opgenomen in het normenkader.

Wij adviseren u om op korte termijn het normenkader te herzien. Tevens raden wij u aan om het normenkader aan uw VIC en ons voor te leggen voordat het ter vaststelling wordt voorgelegd.

Onze visie op uw ontwikkelplannen Belangrijkste boodschappen

Evaluatie van uw interne beheersing Ontwikkelplannen VIC

P&C cyclus Processen en IT-organisatie

Fiscaal Ontwikkelingen

Vooruitblik naar de jaarrekeningcontrole Bijlagen

Er zijn grote en belangrijke stappen voorwaarts gezet in het verbeteren van uw interne beheersing Wij zijn onze samenwerking in de eerste week van december gestart met de ‘Week van Q’. In deze week hebben wij kennis gemaakt met diverse medewerkers van verschillende teams uit alle 3 lijnen van uw organisatie. Gedurende deze week en de periode daaropvolgend hebben wij een goed beeld gekregen van uw organisatie, uw medewerkers en uw interne beheersing. Mede door het relatief late moment waarop wij benoemd zijn, in combinatie met onze gezamenlijke ambitie om de jaarrekeningcontrole ultimo mei 2021 af te ronden, hebben wij ons tijdens onze interim-controle geconcentreerd op de volgende aspecten: • Op hoofdlijnen in kaart brengen van uw interne beheersingsorganisatie, inclusief de opzet en uitvoering van de ontwikkelplannen; • Samenwerking, begeleiding, richting geven en coaching van uw (verbijzonderde) interne controle; • Bespreken van diverse attentiepunten in de komende jaarrekening, zoals grondexploitaties en de gevolgen van de uitspraak in de zaak Niemans; • Ondersteunen van de financiële adviseurs met vragen over de toepassing van het BBV.

Onze conclusie is dat er een grote en belangrijke beweging voorwaarts is gezet in het verbeteren van de interne beheersing binnen de gemeente, maar ook dat er nog flinke stappen gezet moeten worden. Afgaand op het aantal ontwikkelplannen dat momenteel in uitvoering en voorbereiding is, wordt dit door u in voldoende mate onderkent. Wij hebben daarom in deze fase van uw ontwikkeling afgezien van een opsomming van detailbevindingen op procesniveau. Na afloop van de controle van de jaarrekening 2020 zullen wij samen met de organisatie de processen in meer detail in kaart brengen langs het “3 lines-of-defence” model, mede op basis van de uitkomsten van de VIC, de procesbeschrijvingen die momenteel onderhanden zijn en de verdere voortgang van de ontwikkelplannen. Dit past in de reis die wij met jullie zijn aangegaan om de organisatie naar een hoger plan te brengen. Voor het controlejaar 2020 geldt nog dat wij onze controle volledig gegevensgericht uitvoeren. Dit zullen wij samen doen met de VIC op basis van het bijgestelde Interne Controleplan 2020. Overigens hebben wij op dit moment geen aanleiding om te veronderstellen dat de planning van de controle niet gerealiseerd kan worden.

Hoewel de initiële planningen van de uitvoering van het Interne Controleplan 2020 en het afsluitproces niet volledig zijn gerealiseerd, constateren wij dat op dit moment de herziene deadlines haalbaar zijn.

Onze visie op uw ontwikkelplannen Belangrijkste boodschappen

Evaluatie van uw interne beheersing Ontwikkelplannen VIC

P&C cyclus

Ontwikkelplannen kunnen beter gecoördineerd worden Allereerst willen wij u en uw medewerkers complimenteren met de gerealiseerde vooruitgang. De afgelopen periode heeft u veel tijd en energie geïnvesteerd in het verder professionaliseren van de organisatie, de processen en de interne beheersing. Wij zien zeer gemotiveerde medewerkers die bereid zijn om door te groeien en de organisatie goed vorm te geven. Er zijn binnen nagenoeg alle zelforganiserende teams goede ontwikkelplannen opgesteld die voortvarend zijn opgepakt. Hierbij ervaren wij het als zeer positief dat deze plannen door de medewerkers van de teams zelf zijn geïnitieerd.

Processen en IT-organisatie

Fiscaal Ontwikkelingen

Vooruitblik naar de jaarrekeningcontrole Bijlagen

Aan de andere kant zien wij dat de positieve energie binnen de organisatie nog onvoldoende wordt gekanaliseerd. De ontwikkelplannen zijn vooral gericht op de ambities, doelstellingen en processen van de individuele teams, en komen vaak probleemgericht tot stand. In sommige gevallen, bijvoorbeeld binnen het sociaal domein, zijn ontwikkelplannen gemaakt op deelprocessen, zonder dat het effect op de overige deelprocessen voldoende zichtbaar is gemaakt. Wij hebben naar aanleiding hiervan de volgende observaties: • De uitvoering van de plannen verloopt naast elkaar, zonder adequate coördinatie en regie van een centrale rol binnen de organisatie; • Er ontbreekt een totaaloverzicht van deze plannen, inclusief prioritering vanuit de concernorganisatie; • Het is niet altijd bekend wat het effect is van de ontwikkelplannen op andere teams binnen de gemeente. In enkele gevallen geldt dit ook voor processen binnen hetzelfde team.

Bovenstaande waarnemingen geven het risico weer dat de ontwikkelplannen onderling niet op elkaar aansluiten of niet passen binnen de fase waarin de organisatie als geheel zich op dit moment bevindt. Tevens is onze ervaring dat een gebrek aan centrale coördinatie ertoe kan leiden dat de onderliggende oorzaak van een probleem niet structureel wordt opgelost, met als (mogelijk) gevolg dat de positieve energie waarmee de verbeteringen zijn ingezet, verandert in negatieve energie en onverschilligheid bij de medewerkers omdat de onderliggende problemen zich blijven voordoen. Hoewel wij geloven in de visie van zelforganiserende teams, zijn wij van mening dat de huidige status van de organisatie vraagt om een meer directieve centrale rol. Wij zijn verheugd dat met het inrichten van een gestructureerd overleg tussen de directie en de meest bij de ontwikkeling betrokken netwerkmanagers in de vorm van een MT Bedrijfsvoering, een eerste stap hiertoe is ingezet. Dit overleg kan naar onze mening haar toegevoegde waarde verder vergroten door prioriteiten te stellen in de ontwikkelplannen en als coördinator op te treden in de uitvoering van deze plannen.

Wij raden u aan om op korte termijn: • Een inventarisatie uit te voeren naar alle ontwikkelplannen, inclusief ambities, doelstellingen, processtappen, status en voortgang; • Na te gaan wat de onderlinge samenhang is van deze plannen, en waar op deze samenhang de coördinatie verbeterd dient te worden; • Na te gaan of de plannen passen binnen de huidige visie, doelstellingen en status van de organisatie; • Gemotiveerd prioritering te geven aan de individuele plannen, en deze te communiceren aan de teams.

Onze visie op uw ontwikkelplannen Belangrijkste boodschappen

Evaluatie van uw interne beheersing Ontwikkelplannen VIC

P&C cyclus Processen en IT-organisatie

Fiscaal Ontwikkelingen

Vooruitblik naar de jaarrekeningcontrole Bijlagen

Ontwikkelplannen kunnen beter gecoördineerd worden (vervolg) Naar onze mening dient de verantwoordelijkheid voor deze inventarisatie neergelegd te worden bij het team Control. Zij is verantwoordelijk voor de bewaking van de interne beheersing op concernniveau. De teams rapporteren over de voortgang van hun plannen als onderdeel van de reguliere planning- en control cyclus. De controle op juistheid en volledigheid van de informatieverstrekking door de teams kan ingericht worden als onderdeel van de VIC.

Maak de concerncontroller per 1 januari 2022 volledig inzetbaar voor het team Control In november is besloten om een deel van de bezetting van het team Control onder te brengen in het team Financiën om de uitvoering van het Ontwikkelplan voor de financiële functie in een stroomversnelling te brengen. Gezien de specifieke situatie waarin de gemeente zich bevindt en de ervaringen die recent zijn opgedaan met de tijdelijke invulling van de functie, snappen wij deze keuze indien het Ontwikkelplan als losstaande actie wordt gezien. Hiervoor hebben wij echter het belang aangegeven dat wij hechten aan de positie en taakuitoefening van het team Control in het algemeen en die van de concerncontroller in het bijzonder bij het coördineren van het organisatiebrede ontwikkelvraagstuk. Naar onze mening is het Ontwikkelplan voor de financiële functie onderdeel van dit vraagstuk, en moet het plan als zodanig worden ingericht en uitgevoerd. De concerncontroller is hierbij de aangewezen functionaris om de coördinerende rol in het organisatiebrede ontwikkelvraagstuk op zich te nemen. Deze rol is onverenigbaar met een sturende rol in de uitvoering van het plan. Daarom bevelen wij u aan om per 1 januari 2022, de beoogde einddatum van de tijdelijke rol, de concerncontroller wederom volledig inzetbaar te maken ten behoeve van het team Control.

Onze visie op uw ontwikkelplannen Belangrijkste boodschappen

Evaluatie van uw interne beheersing Ontwikkelplannen VIC

P&C cyclus Processen en IT-organisatie

Fiscaal Ontwikkelingen

Vooruitblik naar de jaarrekeningcontrole Bijlagen

Geef prioriteit aan het ontwikkeldeel van het ontwikkelplan voor de financiële functie Begin 2020 heeft het college het Ontwikkelplan voor de financiële functie vastgesteld. Onderdeel van dit plan is een actielijst met, inmiddels, 69 punten die helpen om de financiële sturing binnen de organisatie te verbeteren. Tijdens onze controle hebben wij kennisgenomen van dit plan. Wij juichen de ambitie uit het plan van aanpak toe, en herkennen op basis van onze eerste kennismaking de noodzaak hiervan. Anderzijds constateren wij dat de voortgang van het plan achterblijft bij de initiële verwachtingen, in het bijzonder ten aanzien van het ontwikkeldeel. Hoewel er in het plan de nadruk is gelegd op het tijdig afronden van de planning & control cyclus 2019 en 2020, is naar onze mening juist het ontwikkeldeel cruciaal voor de structurele verbetering van de financiële functie binnen de organisatie, maar tevens voor de verbetering van de interne beheersing als geheel. Wij adviseren u derhalve om hier de komende maanden prioriteit aan te geven. Hieronder hebben wij onze visie gegeven op de in onze ogen meest belangrijke zaken.

Geef prioriteit aan het opstellen van procesbeschrijvingen, inclusief soft-controls Uit de Monitor Ontwikkelplan financiële functie blijkt dat er beperkte voortgang is bij het beschrijven van de financiële en administratieve processen binnen de organisatie, mede door het gebrek aan tijd en prioriteit. Dit geldt niet alleen binnen het Team Financiën, maar ook bij de verschillende vakteams.

Naar onze mening is een eenduidige opzet van de processen en procedures een voorwaarde voor een interne beheersing die toereikend is om als organisatie in control te zijn. Daarom raden wij aan om prioriteit te geven aan het uitwerken van deze opzet. Hierbij vinden wij het van belang dat u uw eigen wensen en behoefte voor ogen houdt. Het is ons opgevallen dat uw medewerkers veel waarde hechten aan de mening van de accountant bij het inrichten van de processen, de wijze waarop taken en verantwoordelijkheden worden uitgevoerd en de vorm waarin specificaties of resultaten worden aangeleverd. Wij zijn echter van mening dat wij niet uw bedrijfsvoering kunnen inrichten, maar hooguit met u mee kunnen denken en handvatten kunnen aanreiken. Uiteraard doen wij dit graag. Wij raden u aan om bij het opstellen van de procesbeschrijvingen de balans tussen rechtmatigheid en doelmatigheid in het oog te houden, en niet te vervallen in verstikkende procedures omdat uw accountant dan makkelijker kan controleren. Deze balans bepaalt u zelf, in samenspel tussen gemeenteraad, college en organisatie. Hierbij betrekt u ook soft-controls.

Op basis van de zichtbare en bewezen integriteit, leiderschap en transparantie van bijvoorbeeld de gemeentesecretaris, college en raadsleden wordt een organisatiecultuur gecreëerd waarbij doelstellingen worden gerealiseerd en risico’s adequaat worden beheerst, zonder te vervallen in bureaucratische processen en procedures die geen waarde toevoegen aan uw burgers. De VIC controleert dit mechanisme als onderdeel van haar interne controleplan. Als externe accountants beoordelen wij deze principes in hun totaliteit..

Onze visie op uw ontwikkelplannen Belangrijkste boodschappen

Evaluatie van uw interne beheersing Ontwikkelplannen VIC

P&C cyclus Processen en IT-organisatie

Fiscaal Ontwikkelingen

Vooruitblik naar de jaarrekeningcontrole Bijlagen

Stel een werkinstructie op voor de PAV’ers Een belangrijke rol binnen de financiële functie en interne beheersing van de organisatie wordt ingevuld door de “prestatie-akkoord-verklaarders” (PAV’ers). Wij hebben op basis van diverse gesprekken met deze PAV’ers geconstateerd dat het niet bij iedereen duidelijk is wat de kaders en verantwoordelijkheden zijn in het proces. Het ontbreekt aan een eenduidige werkinstructie waarin is opgenomen welke werkzaamheden de PAV’ers moeten uitvoeren bij het goedkeuren van een factuur, welke bewijsvoering voor het vaststellen van de prestatielevering noodzakelijk is. Tevens ontbreekt op dit moment een ondergrens voor het formeel vaststellen van de prestatielevering. Dit leidt er in de praktijk toe dat er veel moeite wordt gedaan om bijvoorbeeld de aankoop van een bos bloemen of een lunch tijdens een vergadering te onderbouwen. Naar onze mening is dit niet wenselijk.

Wij adviseren wij u om op korte termijn een eenduidige werkinstructie op te stellen voor de PAV’ers waarin minimaal is opgenomen: • Het minimale bedrag waarboven een expliciete prestatieverklaring noodzakelijk is; • Binnen welke termijn de prestatieverklaring dient plaats te vinden; • Welke documenten gelden als bewijsvoering voor de prestatieverklaring; • De centrale plek waar deze documenten opgeslagen worden, bij voorkeur in Civision Middelen bij de factuur waarvoor het akkoord gegeven wordt.

Vergroot de kennis van het BBV Uit onze gesprekken met de financiële adviseurs hebben wij gesignaleerd dat er binnen de teams Financiën en Control behoefte is aan verdieping van de kennis van het BBV. Dit is mede tot uitdrukking komen in het hoge aantal vragen dat wij ontvingen vanuit de organisatie tijdens de jaarafsluiting. Wij hebben geconstateerd dat het uitvoeren van een trainingsprogramma in vaardigheden en vakkennis (waaronder het BBV) is opgenomen in het Ontwikkelplan van de financiële functie. Zo wordt er jaarlijks ter voorbereiding van de jaarrekeningcontrole een training actualisatie BBV aangeboden aan uw medewerkers. Dergelijke trainingen zijn veelal gericht op de algemene wet- en regelgeving. Naar onze mening heeft het voor uw medewerkers meer toegevoegde waarde om een cursus in het BBV zo specifiek als mogelijk te voor de gemeentelijke organisatie te maken, bijvoorbeeld door een inhouse training te organiseren. In onze ervaring leidt dit tot een beste verankering van de kennis binnen de organisatie en de individuele medewerker.

Onze visie op uw VIC Belangrijkste boodschappen

Evaluatie van uw interne beheersing

Wij gebruiken uw VIC als intern beheersingskader In het licht van de accountantscontrole onderscheiden wij vier varianten van samenwerking tussen uw VIC en ons. Deze varianten zijn ontleend aan de Notitie ‘De verbijzonderde interne controle bij decentrale overheden’ van de Commissie Bedrijfsvoering Auditing Decentrale Overheden (BADO).

Ontwikkelplannen VIC

P&C cyclus Processen en IT-organisatie

Fiscaal Ontwikkelingen

Vooruitblik naar de jaarrekeningcontrole Bijlagen

Voor onze controle gebruiken wij de VIC als intern beheersingskader, de tweede variant uit de Notitie. In deze situatie gebruiken wij uw VIC als een belangrijke informatiebron om kennis te verkrijgen van de gemeente en zo richting te geven aan onze controle. Op deze wijze worden risico’s geïdentificeerd en ingeschat, om een basis voor het opzetten en uitvoeren van verdere controlewerkzaamheden te verkrijgen. Wij zullen in deze situatie kennisnemen van de geaccordeerde jaarplannen, de werkzaamheden en de bevindingen van de VIC. In januari van dit jaar hebben wij samen met uw VIC gewerkt aan de opzet van het Interne Controleplan 2020. Hierbij hebben wij ons gezamenlijk bewust beperkt tot de werkzaamheden die noodzakelijk zijn in het kader van de accountantscontrole, zowel qua scope als omvang van de werkzaamheden. Tot en met eind februari zijn al diverse VIC’s uitgevoerd en aan ons ter beschikking gesteld. Wij zijn daarbij positief verrast over de diepgang en het kritische gehalte waarmee de werkzaamheden zijn uitgevoerd. Uit de werkzaamheden van de VIC tot op heden zijn diverse bevindingen gekomen die aanleiding geven tot verbetering van de processen, in het bijzonder bij het verstrekken van de omgevingsvergunningen. Deze bevindingen hebben naar verwachting geen effect op ons oordeel omdat de financiële consequenties beperkt blijven.

Overigens hebben wij op verzoek van de waarnemend netwerkmanager de VIC op de rechtmatigheid van de aanbestedingen uitgevoerd. Hiervoor is aan ons aanvullend budget ter beschikking gesteld. Uw VIC is kwalitatief en kwantitatief kwetsbaar Wij willen aandacht vragen voor de kwetsbaarheid van de huidige VIC functie. Alle werkzaamheden, van planningsfase tot een rapportering, worden uitgevoerd door één persoon, tijdelijk ondersteund door de inzet van externe inhuur. Dit is, samen met het feit dat de controles van de jaarrekeningen 2018 en 2019 fors zijn uitgelopen, één van de oorzaken dat het Interne Controleplan 2020 relatief laat in definitieve vorm gereed was. In het bijzonder in de aanloop naar de rechtmatigheidsverantwoording en, mogelijk later, het In Control Statement is het naar onze mening van belang dat de VIC zowel kwalitatief als kwantitatief uitgebreid wordt. Wij willen benadrukken dat dit geen diskwalificatie is van de huidige VIC. Voor een gemeente met uw omvang en complexiteit mist het team naar onze mening een professional met een auditachtergrond die zelfstandig en vaktechnisch in staat is om het proces van risicoanalyse tot rapportage te begeleiden.

De huidige medewerkster heeft met haar kennis, ervaring en draagvlak in de organisatie onmisbare toegevoegde waarde om samen met de netwerkmanagers de controles uit te voeren, concrete adviezen te geven en verbeterplannen op te stellen.

Onze visie op uw VIC Belangrijkste boodschappen

Evaluatie van uw interne beheersing Ontwikkelplannen VIC

P&C cyclus Processen en IT-organisatie

Fiscaal Ontwikkelingen

Vooruitblik naar de jaarrekeningcontrole Bijlagen

Uw VIC is kwalitatief en kwantitatief kwetsbaar (vervolg) Graag gaan wij het komende jaar met uw VIC in overleg hoe wij de VIC-functie voor de controle van de jaarrekening 2021 kunnen gebruiken als interne beheersingsmaatregel (variant 3 van de Notitie). Onze samenwerking op basis van deze variant ziet er in hoofdlijnen als volgt uit: • Jaarlijks maakt uw VIC zelfstandig een controleplan waarin een risicoanalyse is opgenomen per proces. In dit plan vindt onder andere de koppeling plaats van de risico’s met de controlebeweringen en de uit te voeren werkzaamheden. Voorafgaand aan het actualiseren van deze risicoanalyse besteden wij een dag samen met uw VIC om door alle relevante processen te gaan, en in een brainstorm na te denken over de (status van de) gesignaleerde risico’s en eventuele aanvullende risico’s. Tevens besteden wij hierbij aandacht aan de belangrijkste frauderisico’s, en risico’s in de IT-omgeving; • Naast een risicoanalyse is tevens in het auditplan opgenomen met welke diepgang (materialiteit) uw VIC haar werkzaamheden uitvoert, welke concrete controles worden uitgevoerd, op welke wijze deelwaarnemingen tot stand komen en welke risico’s en controledoelstellingen hiermee worden afgedekt. Wij bespreken het gedetailleerd uitgewerkte auditplan per proces met uw VIC voordat deze definitief wordt.

Hiermee zorgen we voor een optimale overlap tussen de risico’s en uitgevoerde werkzaamheden in het controleplan, en onze risico’s en werkzaamheden; • Uw VIC doet de voorbereidingen van het toetsen van de interne beheersing (besprekingen met de proceseigenaren, risicoanalyses en lijncontroles). Jaarlijks bepalen we in overleg of, en bij welke processen, wij zelf aanschuiven tijdens de besprekingen;

•

•

•

De vakteams en uw VIC verrichten de controlewerkzaamheden zoals in het controleplan zijn opgenomen en leggen de genomen stappen en geconstateerde bevindingen zichtbaar vast. Hierdoor zijn de werkzaamheden voor ons controleerbaar. Wij nemen in onze controle, bij voorkeur ieder kwartaal, kennis van de werkzaamheden en bevindingen van uw VIC. Uw VIC trekt op basis van alle uitgevoerde werkzaamheden conclusies over de betrouwbaarheid van de processen en de cijfers in de jaarrekening van de gemeente. Deze conclusies vormen straks ook de basis voor de rechtmatigheidsverantwoording van het college. Wij toetsen deze conclusies en onderliggende werkzaamheden. We zullen op basis van een aselecte deelwaarneming, deze werkzaamheden reproduceren om te beoordelen of wij tot dezelfde bevindingen en conclusies komen. Als dit het geval is, zullen wij deze bevindingen en conclusies van uw VIC overnemen. Dit betekent niet dat wij dubbel werk verrichten, maar dat wij kritisch kijken op welke wijze uw VIC tot haar oordeelsvorming is gekomen.

Onze visie op uw Planning & Control cyclus Belangrijkste boodschappen

Evaluatie van uw interne beheersing Ontwikkelplannen VIC

P&C cyclus Processen en IT-organisatie

Fiscaal Ontwikkelingen

Vooruitblik naar de jaarrekeningcontrole Bijlagen

Uw P&C proces en P&C documenten zijn in ontwikkeling Tijdens onze kennismaking hebben wij diverse gesprekken gevoerd met de medewerkers die direct betrokken zijn bij de P&C cyclus. Ook hier is onze eerste indruk dat er grote wil is om het proces te verbeteren en deadlines te realiseren. Op dit moment ervaren wij echter dat het realiseren van de afspraken en de deadlines binnen de planning & controlcyclus een doel op zich zijn, in plaats van een middel om de organisatie op een goede wijze te kunnen beheersen. Dit is een logisch gevolg van de ervaringen van de laatste twee jaar. Tevens lijkt het erop dat deze aanpak succesvol is bij het tot stand komen van de jaarrekening 2020. Wij signaleren echter ook dat het veel tijd en energie kost van de medewerkers in de organisatie, omdat de werkwijze nog niet is geïnstitutionaliseerd in de organisatie. Onderstaand hebben wij een aantal aanbevelingen opgenomen die ertoe kunnen bijdragen om het P&C proces te verbeteren, en de kwaliteit van de P&C documenten te verhogen: Werk met periodeafsluitingen Op dit moment vindt er alleen per jaareinde een financiële afsluiting plaats. Hierdoor ontstaat er veel druk op de medewerkers om alles tijdig uit te zoeken, in de administratie te verwerken en op een gestructureerde wijze te rapporteren.

Door meerdere keren per jaar af te sluiten, bijvoorbeeld bij de bestuursrapportage, is de periode beter te overzien, worden mogelijke fouten en onjuistheden eerder gesignaleerd en opgelost, worden overschrijdingen eerder zichtbaar en wordt het proces een integraal onderdeel van de reguliere bedrijfsvoering.

Een bijkomend voordeel is dat de betrokkenheid van de eerste lijn gedurende het jaar hiermee verhoogd wordt, wat de kwaliteit van de rapportages ten goede komt. Het resultaat is dat het afsluitproces per jaareinde eenvoudiger is en bovendien minder tijd kost.

Bij de periodeafsluiting worden in ieder geval aansluitingen gemaakt tussen de financiële administratie en de diverse subadministraties, worden mutaties in reserves en voorzieningen integraal geboekt, tussenrekeningen afgestemd en opgeschoond en kredieten afgesloten en waar nodig gecorrigeerd. Sluit rapportages aan op de behoefte van de gebruikers In de ideale situatie vormt het collegeprogramma de basis voor de strategie, domeinoverstijgende thema’s en programma’s en doelstellingen van de organisatie. Op basis van deze uitgangspunten worden kritische prestatie indicatoren (KPI’s) en budgetten opgesteld. In de P&C documenten wordt vervolgens gerapporteerd in hoeverre de KPI’s en budgetten zijn gerealiseerd, bij voorkeur in onderlinge samenhang.

Wij hebben geconstateerd dat deze ideale situatie binnen gemeente Vijfheerenlanden nog niet aanwezig is. In de jaarrekening wordt weliswaar de verplichte indeling gebruikt voor de programmaverantwoording, maar de analyses zijn globaal en verschillen in diepgang en kwaliteit. De zichtbare aansluiting tussen de verschillende beleidsdocumenten en P&C documenten ontbreekt, en de beleidsdoelstellingen zijn niet vertaald in concrete KPI’s. In de bijlage bij de jaarrekening worden uitsluitend de verplichte beleidsindicatoren benoemd.

Onze visie op uw Planning & Control cyclus Belangrijkste boodschappen

Evaluatie van uw interne beheersing Ontwikkelplannen VIC

P&C cyclus Processen en IT-organisatie

Fiscaal Ontwikkelingen

Vooruitblik naar de jaarrekeningcontrole Bijlagen

Sluit rapportages aan op de behoefte van de gebruikers (vervolg) Mede door het ontbreken van de samenhang en KPI’s, ervaren wij de rapportages in de P&C cyclus als omvangrijk en, mede door de technische opzet en bewoordingen, moeilijk leesbaar. Tevens komt expliciet tot uitdrukking dat de diverse onderdelen van de rapportages zijn opgesteld door een groot aantal medewerkers binnen de organisatie. Hierdoor is er geen duidelijke samenhang en prioritering tussen deze onderdelen.

Wij raden u aan om samen met de gemeenteraad, college en organisatie een project te starten om op basis van de doelstellingen van de organisatie de informatiebehoefte van alle drie de partijen te inventariseren. Op basis van deze behoefte kunnen SMART geformuleerde KPI’s worden opgesteld, die worden bewaakt door middel van de P&C documenten. Continueer de ontwikkeling van de resultaatmonitor Een eerste stap in de ontwikkeling naar een meer resultaatgerichte gemeente is de ontwikkeling van de resultaatmonitor. De originele insteek van de resultaatmonitor was het vertalen van het collegeprogramma naar doelstelling en realisatie. Wij hebben de resultaatmonitor tijdens onze controle beoordeeld en zijn enthousiast over de opzet ervan. De gehanteerde formulieren zijn intelligent opgezet, waardoor de medewerker die de monitor invult alleen die formulieren krijgt die op basis van zijn antwoorden relevant zijn.

Het instrument is nog volop in ontwikkeling, maar wij zien veel voordelen om beleidsdoelen meer concreet te maken. Graag geven wij suggesties om de monitor gerichter te kunnen gebruiken: • De resultaatmonitor is op dit moment nog volledig ingericht op basis van kwalitatieve doelstellingen. De mogelijkheid om financiële doelstellingen en resultaten in te voeren en bewaken is beperkt. In de doorontwikkeling van de monitor is het aan te bevelen om ook dit aspect mee te nemen. • De resultaatmonitor is in opzet goed ontwikkeld maar vergt veel discipline van de gebruikers om alle gegevens juist, volledig en tijdig in te vullen. Dit vereist een voortdurende stimulans voor de gebruikers van de monitor om dit daadwerkelijk te doen. Hierbij kan gedacht worden aan een koppeling tussen de gegeven in de monitor en de P&C documenten. • De doelstellingen in de monitor zijn nog algemeen van aard. De monitor dwingt het SMART definiëren van doelstellingen niet af. Door de aard en karakter van de invoervelden aan te passen is dit naar onze mening wel mogelijk. • De resultaatmonitor is als eerste instantie als losstaand instrument opgezet. Naar onze mening kan de relevantie van de monitor worden verbeterd door concreet te bepalen in welke informatiebehoefte de monitor moet voorzien. Hierop kan de aard en karakter van de invoervelden worden aangepast.

Onze visie op uw Planning & Control cyclus Belangrijkste boodschappen

Evaluatie van uw interne beheersing Ontwikkelplannen VIC

P&C cyclus Processen en IT-organisatie

Fiscaal Ontwikkelingen

Vooruitblik naar de jaarrekeningcontrole Bijlagen

Stel een liquiditeitsplanning op In de organisatie en P&C documenten ontbreekt een onderbouwde liquiditeitsplanning zoals gevraagd in artikel 3 lid 13 van het Treasurystatuut gemeente Vijfheerenlanden. In de paragraaf Treasury worden de verplichte risico’s en ratio’s benoemd, maar er is geen sprake van een berekening van de liquiditeitsbehoefte over de verschillende jaren. Tevens is in de geprognotiseerde balans geen analyse opgenomen van de wijzigingen van het werkkapitaal. Wij begrijpen dat een liquiditeitsplanning door de verkoop van de aandelen Eneco minder prioriteit had van de organisatie. Door de negatieve uitspraak in de zaak Niemans, de omvangrijke investeringsopgaven in onderwijshuisvesting en riolering, de steeds toenemende uitgaven in het Sociaal Domein en de onzekerheden naar aanleiding van de gevolgen van de COVID-19 pandemie, is het naar onze mening noodzakelijk om doorlopend inzicht te hebben in het verloop van uw geldmiddelen. Naar onze mening ligt hier een belangrijke verantwoordelijkheid voor de treasuryfunctie van de gemeente.

Op dit moment is er in tegenspraak met artikel 16 van het Treasurystatuut gemeente Vijfheerenlanden 2019 geen specifieke treasurer aanwezig binnen de organisatie. De verantwoordelijkheid voor de treasuryfunctie is gedeeltelijk belegd bij een medewerker van de financiële administratie en gedeeltelijk bij een financieel adviseur. Om de treasuryfunctie passende aandacht te geven, raden wij u aan om de verantwoordelijkheid hiervan te beleggen bij één hiervoor aangestelde persoon.

Onze bevindingen ten aanzien van uw processen Belangrijkste boodschappen

Evaluatie van uw interne beheersing Ontwikkelplannen VIC

P&C cyclus Processen en IT-organisatie

Fiscaal Ontwikkelingen

Vooruitblik naar de jaarrekeningcontrole Bijlagen

Zoals eerder aangegeven zullen wij de controle van de jaarrekening volledig gegevensgericht uitvoeren omdat de interne beheersing van de organisatie nog niet het vereiste basisniveau heeft voor een meer systeemgerichte controleaanpak. Daarom hebben wij onze bevindingen in de managementletter vooral beperkt om dit basisniveau te bereiken. Desalniettemin hebben wij in hoofdlijnen wel alle processen van de gemeente in kaart gebracht. De bevindingen en aanbevelingen met de hoogste prioriteit voor de interne beheersing en jaarrekening hebben wij hieronder samengevat.

Fraude Reeds meerdere jaren is fraude binnen de publieke sector een belangrijk onderwerp van gesprek. De maatschappelijke aandacht voor dit onderwerp heeft ervoor gezorgd dat meer en meer wordt verwacht dat het college en de directie zelfstandig een interne fraudeanalyse opstelt. Een dergelijke analyse helpt de organisatie om frauderisicofactoren te identificeren en te beheersen. Hierdoor kan fraude zoveel mogelijk worden tegen gegaan. Zeker met uw ambitie om te komen tot een rechtmatigheidsverantwoording, en wellicht op een later moment, een In Control Statement, raden wij u aan om een interne fraudeanalyse op te stellen.

Er bestaat een risico in uw betalingsproces Binnen het betaalproces bestaat in opzet een toereikend ‘vierogenprincipe’ om onrechtmatige betalingen te voorkomen. De betalingen worden door een tweede medewerker gecontroleerd door middel van een door het systeem gegenereerde hashtotaal. Dit hashtotaal wordt aangesloten met een hashtotaal van een schermprint uit Civision Middelen die per e-mail door de eerste medewerker verstuurd wordt. Naar haar aard is deze schermprint te wijzigen door de eerste medewerker. Hierdoor kan deze eerste medewerker elk hashtotaal in de e-mail opnemen die hij/zij wilt, en hiermee onrechtmatige betalingen initiëren zonder dat de tweede medewerker zich dit realiseert of constateert. Wij adviseren u daarom om de controle van de betaling door de tweede persoon niet meer uit te laten voeren aan de hand van de schermprint, maar door middel van directe raadpleging van het hashtotaal in Civision Middelen zelf. Graag willen wij benadrukken dat wij geen indicatie hebben dat er daadwerkelijk sprake is van fraude. Het risico hierop achten wij gezien de aanwezige soft-controls binnen de organisatie beperkt.

Onze bevindingen ten aanzien van uw processen Belangrijkste boodschappen

Evaluatie van uw interne beheersing Ontwikkelplannen VIC

P&C cyclus Processen en IT-organisatie

Fiscaal Ontwikkelingen

Vooruitblik naar de jaarrekeningcontrole Bijlagen

Aanbestedingen

Inkopen en betalingen

Rechtmatigheid van aanbestedingen is nog niet structureel geborgd in de organisatie In 2020 zijn goede stappen gezet om de rechtmatigheid van de aanbesteding in de organisatie te waarborgen. Alle aanbestedingen worden geregistreerd in het zaaksysteem, vanaf initiatie tot contractering. In dit systeem worden per fase vragen gesteld over aard, omvang en inhoud van de aanbesteding. De formulieren in het systeem zijn opgebouwd op een wijze dat het systeem de juiste vragen stelt en procedure voorstelt op basis van de gegevens antwoorden en ingegeven data. Hier kan echter door de aanvrager van afgeweken worden. Ook ontvangt de aanvrager naar aanleiding van de gegeven antwoorden specifieke meldingen om actie te ondernemen. Een voorbeeld hiervan is dat hij/zij contact opneemt met de inkoopadviseur. Dit is echter een aanbevolen inkoopprocedure en hier kan, indien gemotiveerd, van worden afgeweken.

Binnen de organisatie ontbreekt adequaat inzicht in de verplichtingen Binnen de gemeente Vijfheerenlanden is geen contractenof verplichtingenadministratie aanwezig. De mogelijkheid hiervoor is in opzet aanwezig binnen de applicatie Civision Middelen, maar wordt (nog) niet gebruikt. Hierdoor is er beperkt zicht op de lopende verplichtingen van de gemeente. Een positieve uitzondering hierop vormt de grondexploitatie Broekgraaf. Het voordeel van een verplichtingenadministratie in Civision Middelen is dat er een beter inzicht ontstaat in de totale financiële positie van de organisatie, de voorspellende waarde ten behoeve van liquiditeitsmanagement wordt verhoogd en het autorisatie- en verwerkingsproces van facturen wordt vereenvoudigd. Wij raden u derhalve aan om de verplichtingenadministratie in Civision Middelen in te richten en in gebruik te nemen.

Zoals hiervoor blijkt hebben wij geconstateerd dat een medewerker van de in opzet goede procedure in het zaaksysteem kan afwijken zonder autorisatie van een tweede persoon. Hierdoor is de rechtmatigheid van de aanbestedingen (nog) niet gewaarborgd. Wij raden u aan om een automatisch goedkeuringsproces in het zaaksysteem in te bouwen indien een medewerker van de door het zaaksysteem gegenereerde aanbestedingsvorm wil afwijken. De zaak kan dan pas worden afgewikkeld indien de goedkeuring door de juiste mandaathouder, bijvoorbeeld de netwerkmanager, is verleend.

Onze bevindingen ten aanzien van uw processen Belangrijkste boodschappen

Evaluatie van uw interne beheersing Ontwikkelplannen VIC

P&C cyclus Processen en IT-organisatie

Fiscaal Ontwikkelingen

Vooruitblik naar de jaarrekeningcontrole Bijlagen

Investeringen, kredietbeheer en kapitaalgoederen Geen volledig investeringsprogramma op lange termijn Binnen de gemeente is er nog geen volledig investeringsprogramma beschikbaar voor de lange termijn. Dit komt ook tot uitdrukking in de begroting 20212024. In de jaarschijf 2024 zijn bijvoorbeeld geen investeringen opgenomen. Wij hebben begrepen dat er verbetermaatregelen genomen worden om zorg te dragen dat bij de begroting 2022 een totaaloverzicht van de investeringen tot en met 2025 aanwezig is.

Planningsoptimisme in het investerings- en onderhoudsprogramma Binnen het investerings- en onderhoudsprogramma is sprake van een hoge mate van planningsoptimisme. Dit leidt ertoe dat investeringen en onderhoud niet worden uitgevoerd in overeenstemming met de planning. Naar onze mening is de voorspelbaarheid van het investeringsen onderhoudsprogramma van belang voor een goede beheersing van de financiële positie van de gemeente, waaronder een optimaal liquiditeits- en financieringsmanagement. Tevens kan het doorschuiven van investeringen naar de toekomst zorgen voor een te hoge werkvoorraad en werkdruk voor de organisatie, waardoor nieuwe investeringen moeten worden doorgeschoven.

Nog geen volledig inzicht in bestaan kapitaalgoederen Bij de harmonisatie van de kapitaalgoederen van de drie samengevoegde gemeenten zijn de activalijsten van de afzonderlijke gemeenten samengevoegd. Hierbij is geen analyse gemaakt op deze kapitaalgoederen daadwerkelijk nog bestaan en/of in gebruik zijn bij de gemeente. Tevens hebben wij begrepen er geen adequate aansluiting gemaakt kan worden tussen de bezittingen die in de activastaat staan, en de activa die in de (nog op te stellen) beheerplannen zijn opgenomen. Wij hebben begrepen dat als onderdeel van het opstellen en harmoniseren van de gemeentelijke beheerplannen alle aanwezige gemeentelijke kapitaalgoederen administratief in kaart gebracht worden en in beheersystemen worden geregistreerd. Nadat dit gereed is, zal er een inventarisatie uitgevoerd worden van de in de gemeentelijke vaste activa-administratie geactiveerde kapitaalgoederen om het bestaan van deze geactiveerde kapitaalgoederen vast te stellen. Indien er activa zijn die niet meer in gebruik zijn, zullen deze uit de activastaat en de begroting (onderhoud en kapitaalslasten) verwijderd worden. Voor de controle van de jaarrekening 2020 zullen wij aanvullende werkzaamheden uitvoeren om het bestaan van de activa vast te stellen.

Onze bevindingen ten aanzien van uw processen Belangrijkste boodschappen

Evaluatie van uw interne beheersing Ontwikkelplannen VIC

P&C cyclus Processen en IT-organisatie

Fiscaal Ontwikkelingen

Vooruitblik naar de jaarrekeningcontrole Bijlagen

Grondexploitaties De informatievoorziening naar de raad is beperkt Gezien de financiële omvang en lange looptijd van de exploitaties en het feit dat veel gronden nog moeten worden geleverd, achten wij het risicoprofiel van uw grondexploitatie hoog. Naar onze mening krijgen de grondexploitaties in de informatievoorziening naar de gemeenteraad niet de aandacht die passend is bij een dergelijk risicoprofiel. Wij hebben geconstateerd dat er door de organisatie geen Meerjarenperspectief Grondexploitaties (MPG) wordt opgesteld. De paragraaf Grondbeleid in de begroting en jaarrekening is beperkt. Zo ontbreekt het aan een duidelijke risico- en scenarioanalyse per grondexploitatie. Wij raden u aan om met de gemeenteraad in overleg te treden over de informatiebehoefte ten aanzien van de grondexploitaties, en de informatievoorziening hierop aan te passen.

Interne beheersing tijdschrijven op projecten ontbreekt Binnen de gemeente Vijfheerenlanden vindt in principe geen urenregistratie plaats door de medewerkers. Hierop is een uitzondering voor grondexploitaties en investeringen. Wij hebben echter vastgesteld dat de interne beheersing op deze urenregistratie ontbreekt. Hierdoor is er geen zekerheid dat de urencomponent die aan de grondexploitatie en investeringsprojecten wordt toegerekend juist en volledig is. Wij hebben vastgesteld dat de totaal op projecten geactiveerde urencomponent niet materieel is voor de jaarrekening als geheel.

Vanuit de organisatie hebben wij echter signalen ontvangen dat niet alle uren ook daadwerkelijk worden geschreven. Hierdoor wordt de exploitatie mogelijk ten onrechte belast. Wij raden u aan om de projectleiders minimaal maandelijks een analyse op de juistheid en volledigheid van de geschreven uren te laten uitvoeren. Nota Grondbeleid is nog niet geactualiseerd In de financiële verordening is opgenomen dat het college eens in de vier jaar een (geactualiseerde) Nota Grondbeleid aanbiedt aan de Raad. Wij hebben geconstateerd dat dit tot op heden nog niet heeft plaatsgevonden. Gezien de omvangrijke actieve grondexploitaties en grondposities binnen de gemeente, raden wij u aan om deze nota op korte termijn alsnog aan de raad aan te bieden. Overigens wijzen wij u graag op een interne inconsistentie in de financiële verordening. In artikel 22 is opgenomen dat de geactualiseerde Nota Grondbeleid elke vier jaar aan de raad aangeboden dient te worden. In de toelichting op artikel 22 wordt echter een termijn van vijf jaar genoemd. Om verwarring te voorkomen raden wij u aan om de toelichting in overeenstemming te brengen met het artikel in de verordening.

Onze bevindingen ten aanzien van uw processen Belangrijkste boodschappen

Evaluatie van uw interne beheersing Ontwikkelplannen VIC

P&C cyclus Processen en IT-organisatie

Fiscaal Ontwikkelingen

Vooruitblik naar de jaarrekeningcontrole Bijlagen

Sociaal Domein Een van de belangrijkste aandachtspunten binnen de gemeente zijn de toenemende kosten voor de uitvoering van de Wmo en, in het bijzonder, de Jeugdwet. Dit vraagt een strikte beheersing van de processen binnen het sociaal domein, in het bijzonder ten aanzien van de intake en de prestatielevering. Wij hebben vastgesteld dat juist op deze aspecten de interne beheersing binnen de gemeente ontoereikend is. Jeugdwet De uitvoering van de Jeugdwet is voor een belangrijk deel ondergebracht bij de RBL, met uitzondering van de intake in de zorgverlening. Deze taak ligt volledig bij de gemeente. De medewerkers van het team zijn zeer betrokken bij hun cliënten, en hebben hierdoor meer oog voor de dienstverlening dan voor de rechtmatige vaststelling van de zorgbehoefte. Tevens hebben wij geconstateerd dat er in het intakeproces geen functiescheiding aanwezig is, de zorg wordt geleverd voordat de beschikking / het behandelplan is afgegeven en dat de zorg die in de beschikking / behandelplan is opgenomen niet de zorg is die geleverd wordt. Daarnaast werd er tot het najaar van 2020 geen eenduidige zorgbeschikking opgesteld, maar diende het behandelplan tevens als beschikking. Gezien de aard van beide documenten, kan dit in de praktijk echter aanzienlijke problemen opleveren.

Wij zijn verheugd dat er binnen het team een nieuwe kwaliteitsmedewerker is aangesteld die een positieve bijdrage levert aan het professionaliseren van het intakeproces.

Wij hebben echter ook geconstateerd dat op dit moment de verbeteringen vooral zitten op het instrumentarium en documentatie, en nog niet op de onderliggende oorzaak zoals de cultuur binnen het team. Bij de Jeugdwet geldt als belangrijk extra knelpunt dat de intake in het zorgproces ook via externe verwijzers kan plaatsvinden. Hierdoor is het belang van een toereikende beheersing op de in-, door- en uitstroom in het proces nog belangrijker. Omdat de door- en uitstroom in de Jeugdzorg is uitbesteed aan het RBL, is een strakke beheersing en informatievoorziening naar onze mening van belang. Wij hebben geconstateerd dat dit nog niet in voldoende mate is ingericht. Wmo De constateringen ten aanzien van de intake en prestatielevering in de uitvoering van de Jeugdwet, gelden ook voor de uitvoering van de Wmo. De uitvoering van de Wmo is belegd binnen de gemeentelijke organisatie. Voor een belangrijk deel wordt aangesloten bij het berichtenverkeer tussen zorgverlener en gemeente. Hierbij ligt de nadruk in de financiële beheersing op de betaalregels. Een volledig inzicht in de beschikte zorg die wel is uitgevoerd, maar nog niet is gefactureerd is niet aanwezig. Hierdoor is het risico aanwezig dat zorgkosten onverwacht in rekening worden gebracht bij de gemeente. De uitgevoerde, nog niet gedeclareerde zorg dient echter als verplichting in de jaarrekening te worden verantwoord.

Wij raden u aan om bij het opstellen van de jaarrekening een analyse op te stellen vanuit het berichtenverkeer en de productieverantwoordingen om de totale verplichtingen voor de gemeente in kaart te brengen.

Onze bevindingen ten aanzien van uw processen Belangrijkste boodschappen

Evaluatie van uw interne beheersing Ontwikkelplannen VIC

P&C cyclus Processen en IT-organisatie

Prestatielevering binnen het sociaal domein is niet in de processen verankerd Om de prestatielevering door de zorgverleners vast te stellen wordt tot op heden volledig gesteund op de productieverantwoordingen van deze zorgverleners. Hierdoor bent u voor de rechtmatige uitvoering van de processen binnen het sociaal domein, maar ook voor de tijdige afronding van uw jaarrekening, afhankelijk van derde partijen. Deze afhankelijkheid kan worden verminderd door de invoering van uitgebreide (schriftelijke) cliëntervaringsonderzoeken gericht op de kwaliteit en prestatielevering van de zorg. Daarnaast kan de aandacht voor prestatielevering onderdeel vormen van de herbeoordeling van cliënten.

Fiscaal Ontwikkelingen

Vooruitblik naar de jaarrekeningcontrole Bijlagen

Om de interne beheersing van uw processen in het sociaal domein te verbeteren raden wij u aan om prioriteit te geven aan het inrichten van het zogenaamde 'mandje' aan controlemaatregelen ter borging van de eigen beheersing van het aspect prestatielevering zodat de afhankelijkheid van accountants van aanbieders beperkt kan worden. Hiervoor verwijzen wij graag naar de door de SDO uitgebrachte notitie Controle interne beheersing Jeugd en Wmo voor gemeenten en accountants. De maatregelen kunnen daarbij tevens dienen ter verbetering van de kwaliteit van de dienstverlening.

Financiële sturingsinformatie is in ontwikkeling Zoals wij hiervoor hebben geconstateerd dient de interne beheersing binnen het sociaal domein op korte termijn te worden verbeterd om verregaande financiële risico’s in het proces te voorkomen. Inmiddels zijn de eerste verbetermaatregelen ingezet, zoals de ontwikkeling van financiële stuurinformatie in een vast dashboard. Deze dashboards zijn nog in ontwikkeling. Wij zijn enthousiast over de mogelijkheden die het dashboard biedt in de financiële beheersing van het sociaal domein. Wij raden u aan de gegevens in het dashboard verder te ontwikkelen tot concrete sturingsinformatie. Subsidieverstrekkingen Er is nog geen gestructureerd register van verstrekte subsidies aanwezig. Hiervoor zou het zaaksysteem kunnen worden gebruikt, waarbij van belang is dat een subsidiedossier en alle onderliggende documenten één dossiernummer krijgen. Om het gebruik van het zaaksysteem te stimuleren, is het wenselijk om de administratie te verzoeken om geen betalingen te doen zonder dat een subsidiedossier in het zaaksysteem is opgevoerd.

Onze bevindingen ten aanzien van uw processen Belangrijkste boodschappen

Evaluatie van uw interne beheersing Ontwikkelplannen VIC

P&C cyclus Processen en IT-organisatie

Fiscaal Ontwikkelingen

Vooruitblik naar de jaarrekeningcontrole Bijlagen

Personeels- en salarisadministratie Werkprocessen nog niet ingericht op systeem ADP Sinds 2020 wordt de salarisadministratie gevoerd in het systeem ADP. De werkprocessen zijn hier echter nog niet op aangepast. Hierdoor is er een risico dat niet alle personeels- en salarismutaties die door de teams worden doorgegeven juist en volledig worden verwerkt in de salarisadministratie. Geen functiescheiding in systeem ADP In het systeem ADP is geen functiescheiding aanwezig in de salarisverwerking. Er is een geautomatiseerde workflow ingericht om deze functiescheiding te waarborgen, maar deze is nog niet in gebruik genomen. Overigens hebben wij geen indicaties dat salarissen onjuist of onrechtmatig zijn uitbetaald. Ontvangen subsidies en bijdragen Voor de ontvangen subsidie en bijdragen is geen centraal subsidieregister aanwezig waarin tevens de subsidievoorwaarden zijn opgenomen. Hierdoor is er een risico dat niet volledig wordt voldaan aan de voorwaarden die aan de ontvangen subsidies zijn toegekend, waardoor er mogelijk een terugbetalingsverplichting zou kunnen ontstaan. Voor de jaarrekening geldt daarbij dat subsidiebaten slechts mogen worden verantwoord voor zover zeker is dat onvoorwaardelijk aan de verplichtingen uit hoofde van de subsidieregeling en -beschikking is of kan worden voldaan.

Wij raden u aan om bij het opstellen van de jaarrekening per ontvangen subsidiestroom expliciet een analyse te maken in hoeverre aan de verplichtingen is voldaan. Indien dit niet kan worden vastgesteld, dient het te ontvangen bedrag als overlopend passief in de balans te worden verantwoord. Huren en pachten Binnen het proces huren en pachten wordt geen gebruik gemaakt van een zogenaamd standenregister. Hierdoor is er geen inzicht in de volledigheid van de verantwoorde huuropbrengsten. Op dit moment wordt een integrale aansluiting gemaakt tussen de huuradministratie en het kadaster. Het is nog niet bekend of deze analyse gereed is voordat de jaarrekeningcontrole start. Daarnaast hebben wij geconstateerd dat de interne beheersing van de huurbaten die door Helsdingen in rekening worden gebracht, onvoldoende zichtbaar zijn. Vanwege de omvang van deze geldstroom is dit voor onze controle minder relevant. In onze ervaring bestaat er echter door het hoge contante geldverkeer bij Helsdingen een verhoogd inherent frauderisico. Wij raden u daarom aan om de interne beheersing te verbeteren, bijvoorbeeld door maandelijks een analyse uit te voeren op de geldstromen, en deze te bespreken met het management van Helsdingen.

Onze bevindingen ten aanzien van uw processen Belangrijkste boodschappen

Evaluatie van uw interne beheersing Ontwikkelplannen VIC

P&C cyclus Processen en IT-organisatie

Fiscaal Ontwikkelingen

Vooruitblik naar de jaarrekeningcontrole Bijlagen

IT-organisatie De reikwijdte van onze IT-audit In het kader van de jaarrekeningcontrole 2020 hebben wij de opzet en het bestaan van de algemene IT beheersmaatregelen beoordeeld. Deze maatregelen zijn te verdelen in de volgende categorieën: • Wijzigingsbeheer • Beveiliging en toegangscontroles • IT-operatie (back-up & recovery). We hebben dit beoordeeld voor de volgende applicaties die binnen de scope van onze controle zijn opgenomen, te weten: • Civision Middelen (financiële administratie); • Aeolus Back Zorg (sociaal domein) • ADP (salarisadministratie) • Gouw (belastingen). De IT-auditwerkzaamheden hebben niet als doel te komen tot een beoordeling van de IT-organisatie of ITomgeving als geheel, maar zijn uitsluitend gericht op het verkrijgen van voldoende zekerheid ten aanzien van de continuïteit en betrouwbaarheid van de IT-omgeving in opzet en bestaan voor zover relevant in het kader van de controle van de jaarrekening.

Algemene IT beheersmaatregelen van onvoldoende niveau voor systeemgericht controleaanpak Om rechtstreeks te kunnen steunen op de geautomatiseerde informatievoorziening is het in het algemeen vereist dat proces- en beheersmaatregelen zijn gedefinieerd, geformaliseerd en registratie plaatsvindt waarmee de opzet, bestaan en effectieve werking van beheersmaatregelen aantoonbaar zijn. Samenvattend zien we dat de volwassenheid binnen de verschillende IT categorieën nog niet van een dusdanig niveau zijn om te kunnen steunen in het kader van de jaarrekeningcontrole. In de hierna volgende paragrafen hebben we onze bevindingen nader toegelicht.

Onze bevindingen ten aanzien van uw processen Belangrijkste boodschappen

Evaluatie van uw interne beheersing Ontwikkelplannen VIC

P&C cyclus Processen en IT-organisatie

Fiscaal Ontwikkelingen

Vooruitblik naar de jaarrekeningcontrole Bijlagen

Richt een gestructureerd risicomanagementproces in op basis van de BIO We hebben vastgesteld dat in september een nieuw strategisch IT beleid voor de periode 2021-2024 is opgesteld, waarbij de visie en ambitie is uiteengezet voor de komende jaren. In dit plan is geen expliciete aandacht voor de informatiebeveiliging. Wij hebben begrepen dat het huidige informatiebeveiligingsbeleid drie jaar geleden is opgesteld, en een vernieuwd strategisch beleid in concept beschikbaar is. Dit beleidsplan wordt de komende weken door het college vastgesteld.

In het algemeen is er binnen de gemeente nog geen PDCA-cyclus ingericht, waarbij een jaarlijkse risicoanalyse wordt uitgevoerd aan de hand van de Baseline Informatiebeveiliging Overheid (BIO), maatregelen worden getroffen om de risico’s te mitigeren, periodiek wordt beoordeeld of de ingerichte maatregelen effectief zijn en verbeteringen worden doorgevoerd op basis van de toetsing van de maatregelen. We hebben begrepen dat de meest recent beschikbare risicoanalyse voor het laatst gedurende 2019 heeft plaatsgevonden. Gezien de steeds belangrijkere rol van cybersecurity binnen uw organisatie en de steeds veranderende werkwijze van cybercriminelen, raden wij u aan om op korte termijn een gestructureerde risicomanagementprocedure in te richten op basis van de BIO. Wij hebben begrepen dat hiervoor in het komende jaar een aanzet gegeven wordt.

Regierol richting clouddienstverlener vergroten Diverse applicaties binnen uw organisatie betreffen zogenaamde cloudoplossingen van derde partijen. Wij hebben geconstateerd dat de regierol richting clouddienstverleners nog onvoldoende is ingericht. Deze regierol houdt in dat er sprake is van een SLA waarin heldere afspraken zijn gemaakt over de taken, verantwoordelijkheden en uitvoering. Minimaal jaarlijks dient samen met de dienstverlener te worden geëvalueerd of aan afspraken in de SLA is voldaan. Tevens is het hierbij van belang dat jaarlijks inzicht wordt verkregen in het volwassenheidsniveau van de interne beheersingsomgeving en dataveiligheid bij de betreffende clouddienstverleners. Hiertoe beschikken de meeste dienstverleners over specifieke rapportages zoals ISAE 3402/SOC 2 type II rapportages. Wij raden u aan om deze rapportages jaarlijks bij u clouddienstverleners op te vragen en te analyseren op mogelijke risico’s. Wijzigingsbeheer informeel ingericht Het wijzigingsbeheer binnen uw IT-organisatie is informeel ingericht. Zo worden wijzigingen niet altijd geregistreerd of zichtbaar door gebruikers getest alvorens deze in productie worden genomen. Hierdoor bestaat het risico dat wijzigingen niet juist, volledig of rechtmatig tot stand komen. Hierdoor kan een bedreiging ontstaan voor de continuïteit van de applicaties of de dataveiligheid.

Wij raden u aan om het wijzigingsbeheer opnieuw in te richten op basis van bewezen processen zoals ITIL of COBIT. Een informeel proces wordt gevolgd, waarbij wijzigingen in de applicaties die ‘on premise’ draaien in samenwerking met de externe leveranciers ín productie worden genomen.

Onze bevindingen ten aanzien van uw processen Belangrijkste boodschappen

Evaluatie van uw interne beheersing Ontwikkelplannen VIC

P&C cyclus Processen en IT-organisatie

Fiscaal Ontwikkelingen

Vooruitblik naar de jaarrekeningcontrole Bijlagen

Toegangsbeheer en beveiliging van Civision Middelen dient te worden verbeterd Voor de genoemde applicaties hebben wij een beoordeling uitgevoerd op het toegangsbeheer. Hierbij hebben wij geconstateerd dat deze per applicatie verschilt. Zo is de toegang tot de applicatie Gouw toereikend ingericht, maar ontbreekt in het bijzonder bij Civision Middelen een toereikend en zichtbaar intern beheersingskader. Wij hebben de volgende bevindingen bij deze applicatie: • Toegangsrechten worden informeel toegekend zonder gebruik te maken van zichtbare autorisatie, registratie en een autorisatiematrix. Een periodieke maandelijkse review wordt uitgevoerd op de juistheid van gebruikersaccounts, maar deze is voor ons niet zichtbaar; • Er zijn een hoog aantal useraccounts met uitgebreide rechten in gebruik; • Wachtwoordinstellingen zijn ingericht conform de best practises, waaronder de complexiteit van het wachtwoord en de periode waarmee wachtwoorden gewijzigd moeten worden.