Definitief concept accountantsverslag 2023 Voorschoten d.d. 8 juli 2024

Accountantsverslag 2023

Gemeente Voorschoten

Pagina 26

5.6.1.

Opvang Oekraïense vluchtelingen en asielzoekers in crisisno odopvang locaties De Rijksoverheid heeft veiligheidsregio’s opdracht gegeven om gemeentelijke opvangplekken voor Oekraïense vluchtelingen (ontheemden) te realiseren. Medio 2022 is aanvullend aan veiligheidsregio’s door de Rijksoverheid gevraagd om asielzoekers tijdelijk op te vangen in crisisnoodopvanglocaties vanwege de capaciteitsuitdagingen van Ter Apel. Dit heeft geleid tot nieuwe wet- en regelgeving, nieuwe kaders, afspraken en richtlijnen en heeft geleid tot nieuwe financiële stromen en tot aanpassing van de interne beheersingsmaatregelen bij gemeenten, veiligheidsregio’s en GGD’s. Veiligheidsregio’s, GGD’s en gemeenten worden volgens voorwaarden gecompenseerd voor gemaakte kosten. De financiële impact van de vluchtelingencrisis is groot. De extra kosten voor opvang van Oekraïners in Voorschoten bedragen over 2023 € 3,3 miljoen (2022: € 2,2 miljoen). Voorschoten heeft deze aanvullende kosten apart geregistreerd. Er is over 2023 een positief resultaat op deze activiteit van € 1,3 miljoen (2022: € 0,7 miljoen voordelig) gerealiseerd. De bijdrage over 2022 heeft het Rijk nog niet vastgesteld. Voor de vergoeding van meerkosten en de verantwoording van meerkosten in de jaarrekening van Voorschoten zijn landelijk afspraken gemaakt, onder meer in het Bekostigingsbesluit en een Verantwoordinginstructie (Oekraïne).

De verantwoording over de besteding van de meerkosten eerste opvang ontheemden Oekraïne verloopt via de SiSa-systematiek (Single information, Single audit). In het Verantwoordingsoverzicht SiSa 2023 in de jaarrekening 2023 van Voorschoten legt Voorschoten verantwoording of over ontvangen bijdragen en de bestedingen. Op grond van de regeling mag een gemeente het meerdere ontvangen normbedrag toevoegen aan het resultaat van de gemeente.

5.6.2.

SiSa-bijlage Op grond van het Besluit accountantscontrole decentrale overheden (BADO), artikel 5, lid 4, rapporteren wij in ons accountantsverslag over de fouten en onzekerheden van de specifieke uitkeringen die in 2023 in het kader van SiSa worden verantwoord. Het is volgens de nota verwachtingen accountantscontrole SiSa voorgeschreven dat wij de geconstateerde fouten en onzekerheden per regeling rapporteren door middel van een verplicht voorgeschreven tabel. Deze tabel dient door uw gemeente samen met een aantal andere verplicht voorgeschreven verantwoordingsdocumenten elektronisch bij het CBS te worden aangeleverd. Wij hebben de tabel van Voorschoten opgenomen in Bijlage 1.

Accountantsverslag 2023

Gemeente Voorschoten

Pagina 27

5.7.

IT-beheersi ng De betrouwbaarheid en continuïteit van de geautomatiseerde gegevensverwerking is een terugkerend onderwerp bij onze controlewerkzaamheden en de rapportage van onze bevindingen. Onze werkzaamheden richten zich vooral op de IT-beheersingsmaatregelen die relevant zijn in het kader van onze opdracht voor het controleren van de jaarrekening. Wij benadrukken dat onze werkzaamheden zich niet richten op alle IT-risico’s en beheersingsmaatregelen, zoals bijvoorbeeld de risico’s en beheersingsmaatregelen die voortvloeien uit cybercriminaliteit. In het kader van de jaarrekeningcontrole 2023 van gemeente Voorschoten is door ons een onderzoek uitgevoerd naar de kwaliteit van de IT-organisatie, het IT-landschap en de beheersing daarvan. Wij verwijzen naar de tabel van bijlage 2 voor onze belangrijkste bevindingen en daarbij horende aanbevelingen. Vanuit de door ons uitgevoerde werkzaamheden in het kader van de controle van de jaarrekening hebben wij geen significante tekortkomingen of risico’s geconstateerd voor de betrouwbaarheid en continuïteit van de geautomatiseerde gegevensverwerking. Wij benadrukken dat ons onderzoek van de IT-beheersingsmaatregelen in het kader van onze jaarrekeningcontrole belangrijke informatie kan geven over IT-risicogebieden van Voorschoten. Er kan echter ook sprake zijn van risicogebieden die niet door ons onderkend worden.

De oorzaak hiervan is de beperkte scope van ons onderzoek. Voor een verbreding van de scope van het onderzoek naar IT-beheersingsmaatregelen adviseren wij om met name aandacht te hebben voor kwaliteitscertificering van IT-processen, systemen en applicaties en voor beveiligingsscans door specialisten. Desgewenst bespreken wij graag de relevante opties en de mogelijkheden die wij (vanuit ons netwerk) hierin kunnen bieden.

5.8.

Verwerki ng van g econstateerde afwijkingen getrouwhei d Tijdens de jaarrekeningcontrole zijn naar aanleiding van onze controle geen materiële correcties doorgevoerd in de jaarrekening 2023. Er hebben naar aanleiding van onze controle correcties plaatsgevonden in de jaarstukken, dit betroffen cijfermatige correcties en tekstuele aanpassingen, zoals aanpassingen met betrekking tot presentatie-, rubricerings- en toelichtingsvereisten van het BBV, waarderingsgrondslagen, begrotingsrechtmatigheid en de rechtmatigheidsverantwoording. Inhoudelijk zijn er over de jaarrekening 2023 en de doorgevoerde correcties geen meningsverschillen geweest met uw organisatie. Naar aanleiding van de door ons uitgevoerde controlewerkzaamheden resteren ongecorrigeerde getrouwheidsfouten en onzekerheden in de controle groter dan de rapporteringstolerantie van € 50.000.

Accountantsverslag 2023

Gemeente Voorschoten

Pagina 28

De onderstaande tabel geeft een samenvatting van de fouten en onzekerheden ten aanzien van getrouwheid. Betreft

Fout (getrouwheid)

Te lage verantwoording verplichting eindafrekening 2023 ICT-diensten Wassenaar

Onzekerheid (getrouwheid)

€ 59.000 € 495.000

Onzekerheid prestatielevering PGB Wmo en Jeugd Onzekerheid prestatielevering Wmo ZIN

€ 31.000

Onzekerheid prestatielevering Jeugd ZIN

€ 296.000 TOTAAL

€ 59.000

€ 822.000

Herstelbare getrouwheidsfouten werken volgens bijlage 6 ‘Beslisboom getrouwheid- en rechtmatigheidsbevindingen’ van de Kadernota Rechtmatigheid van de commissie BBV niet door als rechtmatigheidsfout voor de rechtmatigheidsverantwoording (voorwaardencriterium). De prestatielevering van de zorg (Wmo en Jeugd ZIN en PGB’s) is een onderdeel van het getrouwe beeld (het leveringscriterium) van de lasten in de jaarrekening en daarmee onderwerp van de accountantscontrole. Dit aspect werkt niet door naar de rechtmatigheidsverantwoording van het college van B&W. Het totaal van de geconstateerde afwijkingen op het gebied van de getrouwheid blijft binnen de goedkeuringstolerantie voor fouten van € 812.000 en onzekerheden van € 2.436.000. Hierdoor is de strekking van de controleverklaring 2023 goedkeurend voor getrouwheid.

6. Overige onderwerpen 6.1.

Naleving van w et - en regelgeving en fr auderisicobeheersi ng Wij betrekken bij onze controlewerkzaamheden, overeenkomstig de voor ons geldende standaarden, de naleving van wet- en regelgeving en frauderisico’s. Daarbij richten wij ons op risico’s die kunnen leiden tot een afwijking van materieel belang in de jaarrekening. Wij hebben op basis van onze controlewerkzaamheden de risicofactoren voor overtredingen van wet- en regelgeving en fraude geëvalueerd. Frauderisicofactoren kunnen voortvloeien uit bijvoorbeeld leveranciersselectie, (contant) geldverkeer, bewuste beïnvloeding door het bestuur en/of het management van de presentatie (jaar)cijfers teneinde een ander beeld voor te stellen dan de werkelijkheid en misbruik/oneigenlijk gebruik van bedrijfsmiddelen van Voorschoten.

Accountantsverslag 2023

Gemeente Voorschoten

Pagina 29

Onze controle heeft geen afwijkingen van wet- en regelgeving of aanwijzingen voor fraude aan het licht gebracht. Wij constateren dat er in de bedrijfsvoering belangrijke maatregelen zijn getroffen om dergelijke risico’s te beheersen. Deze maatregelen bestaan hoofdzakelijk uit het toewijzen van taken en verantwoordelijkheden, het realiseren van functiescheiding, procedures, intern toezicht en externe controle. Naar onze mening wordt het risico van (materiële) fraude en overtreding van wet- en regelgeving hierdoor teruggebracht. Wij adviseren hierbij nog wel om als onderdeel van het risicomanagementsysteem periodiek een separate risicoanalyse op deze thema’s uit te voeren en daarbij te evalueren of er voldoende beheersingsmaatregelen zijn getroffen. Wij verwijzen hiervoor naar onze bevindingen die wij in onze managementletter hebben gerapporteerd. Onze eigen controlewerkzaamheden hebben overigens geen relevante afwijkingen van wet- en regelgeving of aanwijzingen voor fraude aan het licht gebracht. Daarbij merken wij nog wel op dat van ons niet verwacht kan worden dat elke overtreding van wet- en regelgeving of fraude door ons ontdekt wordt. Dat heeft onder andere te maken met het mogelijk opzettelijke karakter van dergelijke overtredingen en fraude. In onze gesprekken met de organisatie is bevestigd dat er geen fraude heeft plaatsgevonden en ook geen vermoeden is van fraude.

6.2.

Verplichte r apporteri ng fraude en continuï teit in onze contr olev erklaring De controle van de jaarrekening van Voorschoten is aan te merken als een wettelijke controleopdracht. Dit impliceert dat wij in onze controleverklaring bij de jaarrekening vanaf 2022 rapporteren over fraude- en continuïteitsrisico’s die relevant zijn geweest bij het plannen en uitvoeren van onze controlewerkzaamheden. Daarbij geven wij aan hoe wij op deze risico’s hebben ingespeeld. De rapportage van de accountant over fraude en continuïteit is in de basis geënt op de verantwoording van frauderisicobeheersingsmaatregelen en de toelichting op de continuïteitsverwachtingen in het jaarverslag. Uiteraard dient de inhoud van het jaarverslag ook op deze thema’s proportioneel te zijn en een juiste en volledige voorstelling van zaken te geven.

6.2.1.

Fraude In de controleverklaring lichten wij toe dat Voorschoten beschikt over een actuele en geformaliseerde frauderisicoanalyse. De frauderisicoanalyse is in 2023 geactualiseerd en de ‘Notitie Frauderisicobeleid gemeente Voorschoten 2023’, waarin de frauderisicoanalyse als bijlage is opgenomen is vastgesteld door het college van B&W op 19 december 2023. De raad heeft de verantwoordelijkheid om toezicht te houden op de fraudebeheersing. Voorschoten treft waarborgen gericht op ontdekken en beperken van frauderisico’s. Voorschoten beschikt ook over een overkoepelend M&O-beleid. De ‘Notitie misbruik en oneigenlijk gebruik gemeente Voorschoten 2023’ is vastgesteld door het college van B&W op 19 december 2023.

Accountantsverslag 2023

Gemeente Voorschoten

Pagina 30

Voor de komende periode is de implementatie en een nadrukkelijke verankering nodig van de fraudepreventie en de toets op de naleving van het M&O-beleid (interne beheersmaatregelen) in de (verbijzonderde) interne controle. Hiermee kunnen de belangrijkste frauderisico’s periodiek worden geïnventariseerd, geadresseerd en geëvalueerd. Verder is het belangrijk dat de frauderisicoanalyse en het M&O-beleid, ter informatie worden gedeeld met de raad en besproken met de Commissie P&C. Wij benadrukken dat wij met onze aanbeveling vooral doelen op een praktische invulling en uitvoering, passend bij de grootte en de activiteiten van Voorschoten en passend binnen uw beschikbare capaciteit en middelen. Meer informatie hierover is te vinden in de NBA-Brochure Verplichte rapportage over fraude en continuïteit in de controleverklaring bij de jaarrekening; wat betekent dit voor u als klant. 6.2.2.

Continuïteit Naast rapportering over frauderisico’s is rapportering over continuïteitsrisico’s vanaf 2022 verplicht in de controleverklaring bij jaarrekening van gemeenten. Gemeente Voorschoten heeft in de jaarstukken inzicht gegeven in de toekomstsverwachting van de gemeente. Gemeenten kennen als overheidsorgaan feitelijk geen risico van discontinuïteit. Wel bestaat het risico dat gemeenten (tijdelijk) hun financiële zelfstandigheid verliezen en een zogenoemde artikel 12-status krijgen. Er is sprake van grote onzekerheid over de hoogte van de algemene uitkering vanaf het boekjaar 2026 doordat het Rijk vanaf 2026 forse bezuinigingen inrekent op het gemeentefonds. Voor het begrotingsjaar 2026 is uw gemeente uitgegaan van een daling van de algemene uitkering. De raad heeft de gewijzigde meerjarenbegroting 2024-2027 (na verwerking van amendementen en nota van wijziging) op 9 november 2023 vastgesteld. Voorschoten heeft een structureel sluitende begroting voor de jaren 2024 tot en met 2026. Voor 2027 is een nadelig (structureel) begrotingssaldo geraamd van € 361.000. De provincie voert regulier repressief financieel toezicht op de gemeente Voorschoten.

6.3.

Onafhankelijkheid Het waken voor onze onafhankelijkheid is primair onze eigen (vaktechnische) verantwoordelijkheid. Daarvoor treffen wij – overeenkomstig onze standaarden en interne kwaliteitsprocedures – diverse maatregelen. Op basis van de uitvoering van deze maatregelen kunnen wij bevestigen dat wij de controleopdracht voor de jaarstukken van Voorschoten op onafhankelijke wijze hebben kunnen uitvoeren en afronden. Aanvullend daarop rapporteren wij u jaarlijks – voor uw beoordeling van onze onafhankelijkheid – de werkzaamheden die door ons zijn verricht naast het controleren van financiële verantwoordingen en het uitoefenen van onze natuurlijke adviesfunctie. Met betrekking tot het verslagjaar 2023 hebben wij geen werkzaamheden verricht naast onze controlewerkzaamheden en de direct daaruit voortvloeiende ondersteuning en advisering over de invoering van de rechtmatigheidsverantwoording. Tot slot bevestigen wij dat geen sprake is van een langdurige betrokkenheid (zeven jaar of meer) van één van de teamleden bij de controleopdracht voor Voorschoten.

Accountantsverslag 2023

Gemeente Voorschoten

Pagina 31

6.4.

Duurzaamheid Wij hebben ons een beeld gevormd van de aandacht die Voorschoten heeft voor het verduurzamen van de bedrijfsvoering en de verantwoording daarover in het bestuursverslag of anderszins. Daarbij houden wij er rekening mee dat Voorschoten niet onder de verplichtingen vanuit de CSRD valt, maar wel te maken heeft en krijgt met verantwoordingsvereisten vanuit onder meer (lokale) overheden, zorgverzekeraars en banken. Zie ook onze managementletter hierover. Het verdient aanbeveling om duurzaamheid nadrukkelijker te agenderen, zodat Voorschoten zelf ook de regie kan houden over de ontwikkelingen die vanuit wet- en regelgeving op de organisatie afkomen. Het voert voor dit accountantsverslag te ver om een volledig stappenplan uit te werken en tegelijkertijd onderkennen wij een risico dat te laat wordt gestart met voorbereidingen om tijdig te kunnen voldoen aan de verantwoordingsvereisten vanuit de CSRD die indirect op Voorschoten afkomen. In dat kader adviseren wij om in ieder geval de volgende processtappen te agenderen en op te pakken: ▪

Materialiteitsanalyse. Zie voor meer informatie over het bepalen van de materialiteit bijvoorbeeld het Stappenplan dubbele materialiteitsanalyse CSRD dat ontwikkeld is door de NBA. De materialiteitsanalyse geeft richting aan de focusgebieden voor verduurzaming en aan verantwoording daarover. Een goede materialiteitsanalyse motiveert ook waarom Voorschoten wel of niet werkt aan bepaalde duurzaamheidsdoelstellingen. Professionele adviesbureaus beschikken over software om de materialiteitsanalyse gestructureerd uit te voeren. Ons advies is om de materialiteitsanalyse medio 2024 gereed te hebben.

▪

Duurzaamheidsbeleid. Op basis van de materialiteitsanalyse kan het duurzaamheidsbeleid van Voorschoten herijkt worden en vertaald worden naar actiepunten die geadresseerd worden aan verantwoordelijke functionarissen, al dan niet ondersteund door externe deskundigen. Wij adviseren om het herijken van het duurzaamheidsbeleid te agenderen voor het derde kwartaal 2024. Hierbij merken wij nog op dat duurzaamheidsbeleid niet los is te zien van het meerjarenbeleid van organisaties en andersom ook niet. Dit impliceert dat het uitwerken van duurzaamheidsbeleid tot gevolg kan hebben dat het meerjarenbeleid op onderdelen bijgesteld moet worden.

▪

Verantwoordingsinformatie. Voor CSRD-plichtige organisaties zijn de verantwoordingsvereisten (in combinatie met de materialiteitsanalyse) inmiddels bekend. Voor niet-CSRD-plichtige organisaties zal er de komende tijd meer duidelijkheid komen over de verantwoordingsvereisten vanuit ketenpartners. Ongeacht de toepasselijkheid van de CSRD is het uitwerken van een duurzaamheidsverantwoording een omvangrijk proces. Wij adviseren om dit te agenderen voor het laatste kwartaal 2024 en daarbij in eerste instantie aansluiting te zoeken bij de ‘light’ versie van de CSRD: de EU Voluntary Sustainability Reporting Standard for non-listed SMEs that are outside the scope of CSRD. Desgewenst beschikken wij over een in het Nederlands vertaalde versie. Als aandachtspunt merken wij hierbij nog op dat het stelselmatig verantwoorden over duurzaamheid ook vraagt om een daarop afgestemde inrichting van registraties en informatiesystemen. Wij adviseren om hier aandacht voor te hebben.

Accountantsverslag 2023

Gemeente Voorschoten

Pagina 32

Van het in de vorige paragaaf geschetste, beschikken nog maar weinig organisaties over veel deskundigheid. In lijn met de CSRD adviseren wij om externe deskundigen in te schakelen om scherper zicht te krijgen op deze ontwikkelingen en een beeld te krijgen van wat dit concreet van Voorschoten zal vragen de komende jaren.

7. Slot Wij vertrouwen erop u met dit accountantsverslag voldoende te hebben geïnformeerd over onze controlebevindingen en u van dienst te zijn geweest met de vermelde ontwikkelingen en aanbevelingen.

Accountantsverslag 2023

Gemeente Voorschoten

Pagina 33

Bijlage 1 – SiSa bijlage 2023 gemeente Voorschoten Nummer specifieke uitkering conform SiSa-bijlage 2023 A16 B2

C32 C41B

C55 C62

C92 C94

C97 D8 D14

D19 E44B

F28

G2

G3

Accountantsverslag 2023

Specifieke uitkering

Fout of onzekerheid

Financiële omvang in euro’s

Toelichting Fout of onzekerheid

Bekostigingsregeling opvang ontheemden Oekraïne Regeling specifieke uitkering gemeentelijke hulp gedupeerden toeslagenproblematiek Regeling specifieke uitkering ventilatie in scholen Specifieke uitkering Regeling flexibele inzet woningbouw (SiSa tussen medeoverheden) Aanpak energiearmoede

n.v.t.

n.v.t.

n.v.t.

n.v.t.

n.v.t.

n.v.t.

n.v.t.

n.v.t.

n.v.t.

n.v.t.

n.v.t.

n.v.t.

n.v.t.

n.v.t.

n.v.t.

Specifieke uitkering aan gemeenten voor de bekostiging van de kwijtschelding van gemeentelijke belastingen van gedupeerden door de toeslagenaffaire Regeling specifieke uitkering Informatiepunten Digitale Overheid Regeling houdende regels verstrekking specifieke uitkering aan gemeenten verduurzaming [...] van eigenaars, woonverenigingen en wooncoöperaties Regeling huisvesting grote gezinnen vergunninghouders 2023 Onderwijsachterstandenbeleid 20232026 (OAB) Regeling specifieke uitkering inhalen COVID-19 gerelateerde onderwijsvertragingen Tijdelijke onderwijshuisvesting ontheemden Tijdelijke impulsregeling klimaatadaptatie 2021–2027 (SiSa tussen medeoverheden) Tijdelijke regeling capaciteit decentrale overheden voor klimaat- en energiebeleid Gebundelde uitkering op grond van artikel 69 Participatiewet_gemeentedeel 2023 Besluit bijstandverlening zelfstandigen 2004 (uitsluitend kapitaalverstrekking)_gemeentedeel 2023

n.v.t.

n.v.t.

n.v.t.

n.v.t.

n.v.t.

n.v.t.

n.v.t.

n.v.t.

n.v.t.

n.v.t.

n.v.t.

n.v.t.

n.v.t.

n.v.t.

n.v.t.

n.v.t.

n.v.t.

n.v.t.

n.v.t.

n.v.t.

n.v.t.

n.v.t.

n.v.t.

n.v.t.

n.v.t.

n.v.t.

n.v.t.

n.v.t.

n.v.t.

n.v.t.

n.v.t.

n.v.t.

n.v.t.

Gemeente Voorschoten

Pagina 34

Nummer specifieke uitkering conform SiSa-bijlage 2023 G4

G10 G12

G13 H4 H8 H12

H30

H32

H35B

Specifieke uitkering

Fout of onzekerheid

Financiële omvang in euro’s

Toelichting Fout of onzekerheid

Tijdelijke overbruggingsregeling zelfstandig ondernemers (Tozo)_gemeentedeel 2023 Wet inburgering 2021_ gemeentedeel 2023 Kwijtschelden publieke schulden SZWdomein hersteloperatie kinderopvangtoeslagaffaire_gemeent edeel 2023 Onderwijsroute_ deel gemeente 2023

n.v.t.

n.v.t.

n.v.t.

n.v.t.

n.v.t.

n.v.t.

n.v.t.

n.v.t.

n.v.t.

n.v.t.

n.v.t.

n.v.t.

Regeling specifieke uitkering stimulering sport Regeling Sportakkoord 2020-2022

n.v.t.

n.v.t.

n.v.t.

n.v.t.

n.v.t.

n.v.t.

Regeling specifieke uitkering lokale preventieakkoorden of preventieaanpakken Specifieke uitkering versterking voor sport en bewegen, gezondheidsbevordering, cultuurparticipatie en de sociale basis 2023-2026 Regeling specifieke uitkering Meerkosten Energie Openbare Zwembaden Specifieke uitkering IZA-doelen 20232026 (SiSa tussen medeoverheden)

n.v.t.

n.v.t.

n.v.t.

n.v.t.

n.v.t.

n.v.t.

n.v.t.

n.v.t.

n.v.t.

n.v.t.

n.v.t.

n.v.t.

Rechtmatigheidsoordeel specifieke uitkeringen (zoals blijkt uit de controleverklaring): goedkeurend Strekking controleverklaring getrouwheid gehele jaarrekening: goedkeurend

Accountantsverslag 2023

Gemeente Voorschoten

Pagina 35

Bijlage 2 – Belangrijkste bevindingen geautomatiseerde gegevensverwerking (IT) IT Thema

Relevante bevinding/aanbeveling/advies

Identificatie en authenticatie (logische toegangsbeveiliging)

1. Professionaliseer het bestaande wachtwoordbeleid, bijvoorbeeld aan de hand van best practices en stel deze formeel vast en implementeer het vernieuwde wachtwoordbeleid binnen de voor de gemeente Voorschoten relevante IT-omgeving(en). 2. Onderzoek de mogelijkheden voor het toepassen van single-sign-on voor de applicaties LEEF en CiVision Middelen. 3. Richt binnen de Active Directory zogeheten ‘event logs’ in waarmee een historie van wijzigingen rondom (wachtwoord)settings (per gebruiker) wordt opgebouwd (indien single-sign-on niet toepasbaar is). 4. Neem kennis van het (default)wachtwoordbeleid en tref passende maatregelen (indien single-sign-on niet toepasbaar is). 5. Onderzoek de mogelijkheden voor het configureren van logging, waarmee een historie van wijzigingen rondom (wachtwoord)settings (per gebruiker) wordt opgebouwd. 6. Stel periodiek vast of het wachtwoordbeleid nog passend is en breng, daar waar nodig, de noodzakelijke wijzigingen aan. 7. Definieer ‘handelingen’ (applicatie- en applicatieoverstijgend niveau) welke niet door één gebruiker mogen worden uitgevoerd. Vertaal deze handelingen naar de bestaande dan wel nog te definiëren rollen en rechten. Dit resulteert in een overzicht van de ‘ongewenste combinaties’ van rollen en rechten. 8.

Stel de ‘ongewenste combinaties’ formeel vast, zodat het een uitgangspunt vormt voor het toekennen, wijzigen en intrekken van rechten binnen de IT-omgeving(en). Voer periodiek een vergelijking uit waarbij de autorisatiestructuur (‘IST’) wordt afgezet tegen de ‘ongewenste combinaties’ (‘SOLL’). 9. Neem (voor de (kern)applicaties GWS4all, LEEF, CiVision Middelen en Motion kennis van het change management proces van de IT-partners Centric, Stadsbeheer, PinkRoccade en BCS HR Software (bijvoorbeeld door het raadplegen van ISAE 3402

Autorisaties en autorisatiebeheer (logische toegangsbeveiliging)

Change management

Accountantsverslag 2023

Gemeente Voorschoten

Pagina 36

IT Thema

Back-up en recovery

Service Level Management

Wet- en regelgeving

Accountantsverslag 2023

Relevante bevinding/aanbeveling/advies en/of SOC 1/2/3 assurancerapport) en stel vast of dit proces (en de geïmplementeerde maatregelen) aansluit op de IT-uitgangspunten en risicobereidheid van de gemeente Voorschoten. Tref vervolgens passende (aanvullende) maatregelen, zodat de functionaliteit (‘supply’) blijft aansluiten op de wensen (‘demand’). 10. Betrek de ‘balans’ tussen de door de betreffende IT-partner getroffen maatregelen en de eigen, aanvullende, maatregelen in het Service Level Management proces. 11. Stel op basis van de IT-uitgangspunten en het risicobereidheid van de gemeente Voorschoten en de minimaal te treffen maatregelen een passende ‘RTO’ (Recovery Time Objective) en ‘RPO’ (Recovery Point Objective) vast en stem de ‘RTO’ en ‘RPO’ met de IT-partners af en stel vast in hoeverre deze gewaarborgd kan worden. Neem kennis van de bestaande ISO certificeringen en/of assurancerapportages (ISAE 3402 en/of SOC 1/2/3) om te bepalen of de betreffende IT-partner ‘in control’ is. 12. Waarborg dat tenminste jaarlijks een representatieve restore test wordt uitgevoerd van een volledige back-up. 13. Breng de IT-keten (verder) in kaart resulterend in een overzicht van (uitbestede) processen, producten en/of diensten en bijbehorende leveranciers (zowel hoofd- als onderaannemers). 14.

Voer een risicoanalyse uit waarin de kwaliteitsaspecten beschikbaarheid, integriteit en vertrouwelijkheid centraal staan en schat de kans en/of impact van mogelijke incidenten in relatie tot genoemde kwaliteitsaspecten in, resulterend in een risicobereidheid. 15. Tref passende maatregelen om de geïdentificeerde risico's tot een aanvaardbaar laag niveau te kunnen reduceren, zodat de IT-functie van de gemeente Voorschoten gedegen kan worden ingericht. Maak met elke IT-partner afspraken over periodieke afstemming over de (kwaliteit van de) dienstverlening, zodat verwachtingen op elkaar blijven afgestemd. 16. Onderzoek hoe effectief en efficiënt inzicht kan worden verkregen in de van toepassing zijnde weten regelgeving en koppel deze taak aan een hiervoor geschikte functionaris. 17. Spiegel de ontwikkelingen/wet- en regelgeving risicobereidheid vanuit de aspecten beschikbaarheid,

Gemeente Voorschoten

Pagina 37

IT Thema

Relevante bevinding/aanbeveling/advies integriteit en vertrouwelijkheid op het gebied van Informatiebeveiliging (en de daarvan onderdeel uitmakende Cybersecurity). 18. Formuleer de te treffen maatregelen en plot deze binnen de factoren mens, organisatie en techniek. 19. Denk na over het laten uitvoeren van een kwetsbaarheden-analyse (vulnerability-scan) en/of pentest, zodat inzicht wordt verkregen in de bestaande kwetsbaarheden en of deze door kwaadwillende zouden kunnen worden ‘misbruikt’.

Accountantsverslag 2023

Gemeente Voorschoten

Pagina 38