06. Intern controleplan 2025 gemeente Woudenberg.pdf

Intern Controleplan 2025

Gemeente Woudenberg

Inhoudsopgave Inhoudsopgave........................................................................................................................1 1. Inleiding...................................................................................................................................2 1.1. Aanleiding...............................................................................................................................2 1.2. Definities.................................................................................................................................2 1.3. Doelstellingen.........................................................................................................................2 2. Kaders (verbijzonderde) interne controle en rechtmatigheid....................................................4 2.1. Algemeen kader......................................................................................................................4 2.2. Kaders Verbijzonderde interne controle en Rechtmatigheid..................................................4 2.3. Normenkader..........................................................................................................................5 3.

Ontwikkelingen.......................................................................................................................6

4. Inrichting organisatie...............................................................................................................6 4.1. Model drie verdedigingslinies.................................................................................................7 4.2. Rollen - taken - verantwoordelijkheden.................................................................................7 4.3. Inrichting interne controle organisatie...................................................................................9 5. Inrichting proces....................................................................................................................10 5.1. Inrichting gemeentelijke processen......................................................................................10 5.2. Procesinrichting (verbijzonderde) interne controle..............................................................11 6. Controleaanpak en risicoanalyse............................................................................................13 6.1. Inleiding................................................................................................................................14 6.2. Significante posten en processen.........................................................................................15 6.3.

Aanpak en uitvoering werkprogramma’s per proces............................................................16 6.4. Controleaanpak....................................................................................................................17 7. Vastlegging en rapportage.....................................................................................................19 7.1. Inleiding................................................................................................................................19 7.2. Rapportagemomenten..........................................................................................................20 7.3. Inhoud rapportages..............................................................................................................20 7.4. Afstemming met accountant................................................................................................21 8.

Planning VIC...........................................................................................................................21 Bijlage 1 - Richtlijnen uitvoering interne controle en foutenevaluatie.....................................23

Pagina 1

Intern controle plan 2025

1. Inleiding 1.1. Aanleiding Ons college draagt op grond van art. 212/213 van de Gemeentewet zorg voor de interne toetsing van de getrouwheid van de informatieverstrekking en de rechtmatigheid van beheerhandelingen. Om hier invulling aan te geven stellen wij periodiek het interne controleplan bij en vast. In dit plan geven wij op praktische en pragmatische wijze uitwerking aan deze opdracht, waarbij wij vakjargon zoveel als mogelijk proberen te voorkomen. 1.2. Definities Interne controle (IC) is het proces dat gericht is op het verkrijgen van een redelijke mate van zekerheid omtrent het bereiken van doelstellingen op het gebied van: - De effectiviteit en efficiëntie van de bedrijfsprocessen; - De betrouwbaarheid van de financiële informatieverzorging; - De naleving van relevante wet- en regelgeving, beleidsrichtlijnen en procedures; - Het bewaken van activa of waarden; - Risicomanagement. Een andere definitie is voor interne controle is: het treffen van noodzakelijke beheersmaatregelen in de bedrijfsprocessen en het toezicht daarop. Daarnaast wordt veel gesproken over het ‘in control’ zijn. Dit gaat nog een stap verder. Een organisatie is 'in control' als de organisatie zodanig is ingericht dat de juiste discussie op het juiste moment op het juiste niveau wordt gevoerd, zodat (indien nodig) bijgestuurd kan worden om de doelstellingen te realiseren.

'In Control' wil dus zeggen dat de organisatie zo is ingericht dat goed bestuur mogelijk is. 1.3. Doelstellingen Een goed opgezette interne controle is een belangrijke pijler voor de gemeente in het kader van planning en control. Enerzijds voor het controleren en signaleren van tekortkomingen in de uitvoering van de taken, anderzijds voor het bijsturen en het afleggen van verantwoording over de uitgevoerde taken. Met een toereikend controleplan kan de uitvoering van taken gestructureerd en efficiënt worden gedaan. 1. Verbeteren kwaliteit bedrijfsvoering Het primaire doel van interne controle is om een beeld te krijgen van de kwaliteit van de bedrijfsvoering. Interne controle is een middel om de kwaliteit van de bedrijfsvoering (continu) te verbeteren en tijdig bij te kunnen sturen in processen. Bij de interne controle wordt zichtbaar vastgesteld of de processen beheerst worden, zoals dat met de inrichting van de administratieve organisatie beoogd was. Ook wordt met de uitkomsten van interne controle getoetst of aan de eisen van rechtmatigheid, verantwoording en controle wordt voldaan. 2.

Optimale samenwerking accountant Het secundaire doel is een maximale aansluiting te realiseren tussen de werkzaamheden van de externe accountant en de verbijzonderde interne controle, zodat de accountant optimaal gebruik kan maken van de werkzaamheden van de verbijzonderde interne controle functie. 3. ‘In control’ zijn Pagina 2

Intern controle plan 2025

Het uiteindelijke doel is het ‘in control’ zijn als organisatie: Wij realiseren onze doelstellingen binnen de gestelde kaders, waarbij beschikbare middelen effectief en efficiënt worden ingezet. Daarbij zijn wij ons bewust van de risico’s en in staat om tijdig bij te sturen.

Pagina 3

Intern controle plan 2025

2. Kaders (verbijzonderde) interne controle en rechtmatigheid Op het gebied van de (verbijzonderde) interne controle ((V)IC) gelden diverse kaders. Deels zijn dit algemene kaders vastgesteld door hogere overheden, deels zijn dit onze eigen kaders. 2.1. Algemeen kader Zoals in de inleiding is aangegeven is de basis van de (V)IC vastgelegd in de verordeningen ex artikel 212 en 213 van de Gemeentewet.

Gemeentewet Rollen en bevoegdheden raad en college Artikel 212

Raad

Artikel 213

Financiële verordening

Controleverordening

Spelregels financieel beleid (bijvoorbeeld P&C-cyclus)

Opdracht accountant College verstrekt informatie

College

Artikel 213a

Verordening Doelmatig- en doeltreffendheid College doet onderzoek

Organisatieregeling (intern)

Verantwoordelijkheden, rollen en (verbijzonderde) interne controle

Verder is er nog diverse andere regelgeving (in voorbereiding). Om de invoering van de rechtmatigheidsverantwoording mogelijk te maken zijn aanpassingen noodzakelijk in de Financiële Verhoudingswet, de Gemeentewet en de Provinciewet, maar ook in lagere regelgeving, zoals het Besluit Begroting en Verantwoording (BBV) en het Besluit accountantscontrole decentrale overheden (BADO). 2.2. Kaders Verbijzonderde interne controle en Rechtmatigheid Op het gebied van de verbijzonderde interne controle en rechtmatigheid is de volgende regelgeving vastgesteld en zijn enkele adviezen uitgebracht: 1. Kadernota Rechtmatigheid 2025 van de commissie BBV; In deze kadernota geeft de commissie BBV haar visie over de invulling van het begrip rechtmatigheid in de controleverklaring van de decentrale overheden. 2. Notitie Rechtmatigheidsverantwoording van de commissie BADO; Dit is een adviesnota uitgebracht door de commissie Bedrijfsvoering, Auditing Decentrale overheden (BADO). Deze notitie is een handreiking, die meer helderheid moet scheppen over de gevolgen die de invoering van de rechtmatigheidsverantwoording zal hebben. 3. Notitie De verbijzonderde interne controle bij decentrale overheden van de commissie BADO.

Deze notitie is bedoeld om inzicht te bieden in hoe de verbijzonderde interne controle kan worden ingericht en welke gevolgen dit heeft voor de mogelijkheden voor de controlerend accountant om hiervan gebruik te maken. Pagina 4

Intern controle plan 2025

Visueel ziet de uitwerking er als volgt uit:

2.3. Normenkader De rechtmatigheidsverantwoording is gebaseerd op het vastgestelde normenkader. Het normenkader bevat alle relevante wet- en regelgeving die meegewogen moet worden bij de rechtmatigheidsverantwoording. Het kader voor de interne controle is geregeld in een aantal interne en externe regels. Deze bepalen de opzet en uitvoering van de controlewerkzaamheden. Het kader wordt grofweg bepaald door onderstaande regels. Extern kader: - Gemeentewet; - Besluit accountantscontrole decentrale overheden (Bado); - Besluit Begroting en Verantwoording (BBV); - Kadernota Rechtmatigheid (Commissie BBV). Intern kader - Raadsverordeningen en besluiten; - Controleprotocol; - Gemeentelijk normenkader: Het gemeentelijk normenkader bevat de interne en externe regelingen die van toepassing zijn op het rechtmatigheidsbeheer. Dit overzicht wordt ter kennisname aan de Auditcommissie/raad aangeboden. Naarmate de gemeente meer regelgeving vaststelt, neemt de complexiteit toe om te voldoen aan de geldende rechtmatigheidseisen. In beginsel valt alle vastgestelde regelgeving onder de reikwijdte van de rechtmatigheidsverantwoording en het daarop gebaseerde rechtmatigheidsoordeel. Het is derhalve van belang dat bij de totstandkoming van nieuwe regelgeving een zorgvuldige afweging wordt gemaakt ten aanzien van de noodzaak, doeltreffendheid en doelmatigheid ervan.

Onnodige regeldruk dient te worden vermeden door uitsluitend regels vast te stellen die bijdragen aan een efficiënte en effectieve uitvoering van gemeentelijke taken. Voorts verdient het aanbeveling om met de gemeenteraad expliciete afspraken te maken over welke regelgeving binnen de scope van het rechtmatigheidsoordeel wordt gebracht. Dit bevordert zowel de transparantie als de consistentie in de toepassing van de rechtmatigheidsverantwoording. Pagina 5

Intern controle plan 2025

3. Ontwikkelingen Een aantal ontwikkelingen binnen en buiten onze gemeente hebben invloed op de interne controle. De volgende belangrijke ontwikkelingen zijn te noemen: - Steeds complexere en veranderende omgeving; Bijvoorbeeld door ontwikkelingen op het gebied van de decentralisaties binnen het sociaal domein, toename digitalisering en meer samenwerking. - Steeds meer auditverplichtingen (inclusief zelfevaluaties); Bijvoorbeeld op het gebied van de Baseline Informatiebeveiliging Gemeenten (BIO), Eenduidige Normatiek Single Information Audit (ENSIA), Algemene Verordening Gegevensbescherming (AVG), maar ook binnen het sociaal domein voor prestatielevering door zorgaanbieders. - Verplichte rechtmatigheidsverantwoording bij de jaarrekening door ons college; - Noodzakelijke aandacht voor onze automatisering binnen de (verbijzonderde) interne controle; Het gaat hierbij zowel om de automatiseringsprocessen zelf als het gebruik van automatisering binnen de werkprocessen. Applicaties bevatten steeds meer ingebouwde controlemechanismen (bijvoorbeeld digitale factuurafhandeling), maar ook toegangscontroles, verplichte periodieke wijziging van wachtwoorden. - Hogere eisen van de Autoriteit Financiële Markten. Er worden flink hogere eisen gesteld aan de rol en de werkzaamheden van de accountant.

Ook voor ons heeft dit een forse (financiële) impact, aangezien deze eisen doorwerken naar de eisen die aan de interne beheersing binnen onze gemeente worden gesteld.

4. Inrichting organisatie Om op een goede manier invulling aan interne controle te geven en zeker om ‘in control’ te komen en blijven is een goede inrichting van de organisatie nodig. In de theorie wordt de controlepiramide als volgt weergegeven:

Het is de uitdaging dit in onze kleine organisatie op de best mogelijke manier te implementeren. Om de organisatie in te richten is het belangrijk het ambitieniveau passend bij een gemeente van onze omvang te bepalen. De interne controle bestaat uit een ‘zachte’ en een ‘harde kant’. De zachte kant heeft betrekking op aspecten als cultuur, houding en gedrag. De ‘harde’ kant heeft betrekking op het instrumentarium en de processen. Onze gemeentelijke organisatie moet zichzelf voortdurend de volgende vragen stellen: - Wat is ons ambitieniveau? Wat kunnen en willen wij als organisatie aan? - Is onze organisatie bereid om te leren en te verbeteren? Pagina 6

Intern controle plan 2025

- Is onze organisatie afgestemd op de ambities? 4.1. Model drie verdedigingslinies Op het gebied van administratieve organisatie (AO) en interne controle (IC) wordt voor het verbeteren van het ‘in control’ zijn vaak gebruik gemaakt van het model van de drie verdedigingslinies. De commissie BADO (Bedrijfsvoering, Audit Decentrale Overheden) gaat hier in haar Notitie Rechtmatigheidsverantwoording ook van uit. Dit model ziet er als volgt uit:

n - Commissie BADO, notitie rechtmatigheidsverantwoording, d.d. 20 maart 2020

Bro

4.2. Rollen - taken - verantwoordelijkheden In onze gemeente gebruiken wij dit model als basis voor de inrichting van onze organisatie op het gebied van (verbijzonderde) interne controle. Uiteraard is de gemeenteraad als hoogste orgaan binnen de gemeente kaderstellend en controlerend. Ons college is als bestuur primair verantwoordelijk voor het ‘in control’ zijn van de organisatie. De ambtelijke organisatie is verantwoordelijk voor de diverse processen en een goede bedrijfsvoering. Daarnaast zijn er natuurlijk nog andere belanghebbenden als de accountant. Schematisch weergegeven ziet dit er als volgt uit:

Pagina 7

Intern controle plan 2025

Controle jaarrekening Opdracht raad Communicatie via de Auditcommissie

Controlevragen Getrouwheid (kloppen de cijfers?) Rechtmatigheid (cijfers volgens de regels tot stand gekomen?)

Beoordeling financieel kritische processen

De rol van de accountant ziet er in dit kader als volgt uit:

Pagina 8

Intern controle plan 2025

4.3. Inrichting interne controle organisatie Wij hebben onze IC-organisatie op basis van het model van de drie verdedigingslinies ingericht. Concreet ziet dit er als volgt uit: 1e lijn Proceseigenaar

2e lijn Bedrijfsvoering

Manager en beleidsadviseur

Interne controle functionaris

3e lijn (Verbijzonderde) Interne controle

Concern control en VIC

Diverse medewerkers1

Marija van der Pol en Marga Stoof

Yannick Scharloo en Aart van de Bovenkamp

Verantwoordelijk voor: - Beleid - Proces - Budget - Risicobeheersing (strategisch - tactisch - operationeel) - Vastleggen interne beheersingsmaatregelen

Ondersteuning, advisering, coördinatie en bewaking uitvoering 1e lijncontrole

Verantwoordelijk voor: - Toetsen werking beheersmaatregelen - Toetsen kwaliteit processen - Verslagleggen bevindingen - Adviseren kwaliteitsverbetering

1e lijn - proceseigenaar Per proces is er een verantwoordelijke proceseigenaar. Deze kan bij de werkzaamheden worden ondersteunt door een medewerker die de controles binnen de lijn uitvoert en hierover rapporteert. 2e lijn - interne controle functionaris De tweede lijnscontrole hebben wij ingericht binnen de vakteam financiën.

1

Zie het overzicht met de processen.

Pagina 9

Intern controle plan 2025

3e lijn - Verbijzonderde interne controle Voor een adequate uitvoering van de verbijzonderde interne controle moet worden voldaan aan enkele randvoorwaarden: - onafhankelijke positie, geen belemmeringen opgelegd door het bestuur of de directie; - vaktechnische bekwaamheid VIC’er (uitvoering getrouwheidsrechtmatigheidswerkzaamheden); - (inhoudelijke) deskundigheid VIC’er met betrekking tot het object van onderzoek; - zorgvuldigheid: planning, begeleiding, beoordeling en vastlegging.

en

De verbijzonderde interne controle in onze gemeente is gepositioneerd als onderdeel van control. De medewerker die belast is met de uitvoering van de verbijzonderde interne controle staat onder aansturing van de concerncontroller. Samenwerking accountant Een van onze doelstellingen is het realiseren van een goede samenhang tussen de uitgevoerde (verbijzonderde) interne controlewerkzaamheden en de door de accountant te verrichten (externe) werkzaamheden. Het is daarom belangrijk om de accountant als adviseur te betrekken bij de aanpak van de VIC en de uitvoering van de VIC, waarbij ons college uiteraard haar eigen verantwoordelijkheid blijft houden. Volgens de Nadere voorschriften controle en overige Standaarden (NV COS) toetst de accountant jaarlijks de kwaliteit van de opzet, de invoering (het bestaan), en de werking van de belangrijkste interne controlemaatregelen voor alle significante financiële bedrijfsprocessen. Dit sluit aan op de werkzaamheden van onze VIC’er.

5. Inrichting proces Een proces is een reeks samenhangende activiteiten gericht op het realiseren van een bepaald doel, bijvoorbeeld het verstrekken van Wmo-voorzieningen of een omgevingsvergunning. De basis voor een goede procesbeheersing is een goede procesinrichting. De procesinrichting moet goed afgestemd zijn op het beleid en het normenkader. Zoals in het schema hiervoor is opgenomen is de proceseigenaar is primair verantwoordelijk voor de procesinrichting en de procesbeheersing. 5.1. Inrichting gemeentelijke processen De belangrijkste en meest risicovolle processen zijn beschreven en worden periodiek, mede op basis van de bevindingen vanuit de (verbijzonderde) interne controle, verbeterd. De proceseigenaar is hier verantwoordelijk voor, ondersteuning en advisering vindt plaats door de interne controlefunctionarissen vanuit de vakteam financiën. Dit vindt op hoofdlijnen op de volgende manier plaats:

Pagina 10

Intern controle plan 2025

De cyclus van de procesinrichting, risicomanagement, zelfevaluatie en interne audit passen wij al voor een deel toe in onze interne controle aanpak. De procesbeschrijvingen, welke niet allemaal meer actueel of aanwezig zijn, zijn wel een aandachtspunt. De zelfevaluatie vindt nu nog niet plaats door de proceseigenaren, maar maakt deel uit van het proces om te komen tot een goede rechtmatigheids-verantwoording. 1e lijnscontrole De basis van de interne controle is een goede administratieve organisatie en de daarin ingebouwde interne beheersing. Elk proceseigenaar heeft inzicht nodig in wat kan er fout gaan in zijn/haar proces en welke maatregelen hij/zij moet treffen om te voorkomen dat deze fout wordt gemaakt. Deze interne controle in de 1e lijn moet zichtbaar geborgd zijn in het werkproces. Dit inzicht is ook belangrijk om een goede beheersing te krijgen over de beveiligings- en privacy risico’s om zo datalekken te voorkomen. Het is de verantwoordelijkheid van de proceseigenaar om dit goed te organiseren en in te richten. In het vorige schema betreft dit de onderdelen Procesinrichting, Risicomanagement en Zelfevaluatie. 2e en 3e lijnscontrole Naast interne controle in de 1e lijn is er ook interne controle in de 2 e lijn en verbijzonderde interne controle in de 3e lijn. Dat betreft de interne controle in het vorige schema. Hier gaan we in de volgende paragraaf verder op in. 5.2.

Procesinrichting (verbijzonderde) interne controle Visueel ziet het proces van (verbijzonderde) interne controle er als volgt uit:

Pagina 11

Intern controle plan 2025

2e lijnscontrole Dit betreft de interne controle die uitgevoerd wordt door de interne controle functionarissen binnen de vakteam financiën. Deze interne controle richt zich met name op het toetsen en adviseren over de interne controlemaatregelen in de 1 e lijn. In het schema hierboven zijn dit de stappen 1 tot en met 4. Meer specifiek is de aandacht gericht op de financiële uitkomsten van de processen en op het bepalen van de volledigheid van de opbrengsten en juistheid van de kosten.

Pagina 12

Intern controle plan 2025

3e lijnscontrole De verbijzonderde interne controle (VIC) is de onafhankelijke toets van de interne controlemaatregelen. De VIC is gericht op het verkrijgen van inzicht vanuit de eigen organisatie in tenminste de getrouwe en rechtmatige totstandkoming van de baten, lasten en balansmutaties, zoals deze in de jaarrekening tot uitdrukking komen. Hierbij besteden wij vooral aandacht aan de opzet, het bestaan en de werking van relevante beheersmaatregelen. Daarnaast op de risico’s die aanwezig zijn op het gebied van getrouwheid en rechtmatigheid. De verbijzonderde interne controle is een aanvulling op de reguliere interne controle, in die zin dat: - een objectief oordeel gegeven wordt over de opzet, het bestaan en de werking van de interne controles en beheersmaatregelen, die in de (1e en 2e) lijn uitgevoerd worden; - de focus ligt op de processen met de grootste (financiële en maatschappelijke) risico’s. De VIC richt zich voornamelijk op de getrouwheid van de informatieverstrekking en de rechtmatigheid van (financiële) beheershandelingen.

Dit betekent dat de VIC vooral gericht is op (het leveren van een bijdrage aan): - het juiste gebruik van gedelegeerde bevoegdheden; - het opvolgen van de wet- en regelgeving, gemeentelijke verordeningen, voorschriften, instructies, procedures; - de betrouwbaarheid (juistheid, volledigheid, tijdigheid) en rechtmatigheid van transacties en de daarbij behorende gegevensverwerking; - de betrouwbaarheid (juistheid, volledigheid, tijdigheid) en rechtmatigheid van informatievoorziening en verantwoordingsrapportages; - de beheersing van processen en het voldoende afdekken van financiële risico’s door adequate beheersmaatregelen; - de werking van de interne beheersmaatregelen; - het doen van aanbevelingen voor het verbeteren van de kwaliteit van de processen; - het voorbereiden c.q. ondersteunen van de externe accountantscontrole.

6. Controleaanpak en risicoanalyse

Pagina 13

Intern controle plan 2025

6.1. Inleiding Bij het schrijven van dit controleplan is een separate risico-inschatting gemaakt van de materiële controleprocessen. Bij het duiden van de risico’s zijn de volgende aspecten relevant: - De financiële omvang van het proces; - De actuele ontwikkelingen; - Controlebevindingen van de accountant, controller en verbijzonderde interne controle. Dit resulteert in de indeling van het proces in het risicoprofiel laag, midden of hoog. Deze inschatting wordt afgestemd met de accountant en bepaald de diepgang en omvang van de controle. In het kader van de rechtmatigheidsverantwoording moeten alle processen jaarlijks worden getoetst. Voor elk proces stellen wij jaarlijks vast of het proces nog actueel is (opzet) en of het proces nog wordt nageleefd (bestaan). Als een proces is geselecteerd om dat jaar te toetsen worden meerdere waarnemingen gedaan (werking). De werkzaamheden worden verspreid over het jaar uitgevoerd, zodat er, bij gebleken aandachtspunten, voldoende tijd is om bij te sturen. De proceseigenaren (1e lijn) gaan in gesprek met de concerncontroller en de verbijzonderde interne controlefunctionaris (3e lijn). In dit gesprek worden de risico’s besproken die het behalen van de doelstellingen van het desbetreffende bedrijfsproces in de weg kunnen staan en welke beheersmaatregelen er worden genomen om deze risico’s te ondervangen.

Schematisch weergegeven ziet de interne controle in het proces er als volgt ut:

Het gesprek in fase 1 levert een plan van aanpak/werkprogramma op met daarin de (belangrijkste) risico’s en de beheersmaatregelen ter ondervanging van deze risico’s (1 e en 2e lijn) en de wijze en het moment waarop hier wordt getoetst (3e lijn). In fase twee vindt deze toetsing plaats en in fase drie en vier wordt middels een (risico)rapportage hierover gerapporteerd. In fase vijf stellen de proceseigenaren een rechtmatigheidsverantwoording op en bespreken deze met de directie. Alle afzonderlijke rechtmatigheidsverantwoordingen vormen ‘bij elkaar opgeteld’ de rechtmatigheidsverantwoording van het college.

Pagina 14

Intern controle plan 2025

6.2. Significante posten en processen Jaarlijks toetsen wij de kwaliteit van de opzet, invoering (het bestaan) en werking van de interne controlemaatregelen voor alle financiële bedrijfsprocessen. In afstemming met de accountant bepalen wij wat een efficiënte methode is. Dit kan zijn de toetsing van de opzet, het bestaan en de werking van de processen in combinatie met een steekproef of de opzet, het bestaan en een uitgebreide steekproef. Daarnaast is de omvang van de uitgevoerde interne controlewerkzaamheden van belang. De kwaliteit van de uitgevoerde IC-werkzaamheden is bepalend voor de omvang van de verbijzonderde interne controle. Hoe beter de kwaliteit, des te beperkter de VIC-werkzaamheden kunnen zijn. De nadruk ligt hierbij op de significante (materiële 2) processen. De processen die relevant zijn voor de (verbijzonderde) interne controle zijn geselecteerd op basis van de grootte van de financiële geldstromen (middels de zogenoemde IV3 -rapportage begroting). Dit zijn in onze gemeente de volgende bedrijfsprocessen: Lasten Bedrijfsproces

Proceseigenaar

Risicoprofiel

1.

Financiële administratie

Aart van de Bovenkamp

Middel

2.

Inkoop en aanbesteding

Directie/ IBMN

Hoog

3.

a.Personeel (indienst en uitdienst) b.Personeel (Salarismutaties) c.Personeel (Declaratie)

Ellen van Middelkoop

Middel

4.

Participatiewet

5.

Wmo voorzieningen

6.

Jeugdwet

7.

Grondexploitaties

Amersfoort/ Coöperatie De Kleine Schans/ Jolanda van Kolfschoten Amersfoort/ Coöperatie De Kleine Schans/ Liesbeth Davelaar Amersfoort/ Coöperatie De Kleine Schans/ Roos Spoeltman Karen Kuperus

8.

Subsidieverstrekkingen

Irma Schotman

Middel

9.

Subsidievaststelling

Irma Schotman

Middel

10. Leerlingenvervoer

Lieke Wittekamp

Middel

11. Vennootschapsbelasting en BTW

Henk van den Hof

Laag

12. Single information, single audit (SISA)

Henk van den Hof

Middel

13. Treasury

Henk van den Hof

Laag

14. WNT

Ellen van Middelkoop

Middel

15. Memoriaalboekingen

Henk van den Hof

Hoog

16. Begrotingscriteruim

Yannick Scharloo

Hoog

17. M&O criterium

Yannick Scharloo

Middel

Middel Laag Middel Middel Middel Hoog

Baten 2

Informatie is `materieel` indien het weglaten of het onjuist weergeven daarvan de economische beslissingen die gebruikers op basis van de jaarrekening nemen, zou kunnen beïnvloeden.

Pagina 15

Intern controle plan 2025

Bedrijfsproces

Proceseigenaar

Risicoprofiel

18. Algemene uitkering

Yannick Scharloo

Laag

19. A. Belastingen (OZB + rioolheffing + afvalstofheffing) 2 B. Toeristenbelasting2 C. Hondenbelasting2 20. Opbrengsten burgerzaken

Yannick Scharloo

Middel

Laura Biermans

Laag

21. Opbrengsten begraven en uitvaart

Hennie van de Weerdhof

Laag

22. Verhuur en pachten

Yannick Scharloo

Laag

23. Omgevingsvergunningen

Kursat Celik

Laag

Voor de voornoemde processen zijn of worden werkprogramma’s opgesteld welke de basis zijn voor de uit te voeren controles. Voor alle processen worden lijncontroles uitgevoerd, waarbij wordt gekeken hoe een bepaalde financiële transactie tot stand is gekomen. 1

Voor de processen Participatiewet, Wmo voorzieningen en Jeugdwet is een apart intern controleplan opgesteld waarbij de werkzaamheden door een externe adviseur worden uitgevoerd. 2 Voor de processen van de belastingen van de OZB, toeristenbelasting en honden wordt gebruik gemaakt van de werkzaamheden van de accountant van GBLT Single information single audit (SISA) Naast de reguliere verantwoording van materiële processen in de jaarrekening moet de gemeente over bepaalde specifieke uitkeringen via een bijlage bij de jaarrekening verantwoording afleggen. Deze wijze van verantwoorden staat bekend onder de naam Single Information Single Audit (SISA). De SISA-systematiek is ook van toepassing in de relatie met de gemeenschappelijke regelingen (GR) waarin onze gemeente participeert. Wij zijn verantwoordelijk voor de verantwoording aan het ministerie. Als de GR fouten maakt in de verantwoording of als zij de ministeriële SISA-circulaire niet correct toepast en dit is door de accountant van de GR niet opgemerkt dan heeft dit negatieve gevolgen voor onze gemeente. Het is daarom van belang dat er voorafgaand aan de accountantscontrole bij de GR afstemming plaatsvindt over de SISA bijlage. De primaire verantwoordelijkheid van de verantwoording ligt bij de budgethouder van de regeling.

De vakgroep financiën toetst de juistheid en volledigheid van de verantwoordingsinformatie en stelt de SISA-bijlage op. 6.3. Aanpak en uitvoering werkprogramma’s per proces De opzet van elk proces is in kaart gebracht in de interne controleplannen per proces (onderdeel risicoanalyse). De opbouw van de werkprogramma’s per proces is als volgt: 1. Doelstelling controle; Hierin wordt de controledoelstelling van de onderliggende financiële geldstroom opgenomen. Moet deze op juistheid of volledigheid worden gecontroleerd en wat zijn de posten in de programmarekening en de balans die gerelateerd zijn aan de processen? 2. Wet- en regelgeving van toepassing op het proces en de impact hiervan op de interne controle; Hier wordt ingegaan op de relevante wet- en regelgeving en rechtmatigheidsaspecten van het desbetreffende proces, inclusief de toelichting hoe dit geborgd is in het proces en de uitvoering van de interne controle. 3. Risicoanalyse; Pagina 16

Intern controle plan 2025

In dit hoofdstuk zijn de risico’s en beheersmaatregelen in het betreffende proces weergegeven. Deze zijn het vertrekpunt van de interne controle en beschrijven overzichtelijk de beheersing van het proces. Hierin wordt niet alleen gefocust op financiële risico’s, maar wordt ook aandacht besteedt aan juridische risico’s en eventuele andere niet-financiële risico’s. 4. Overzicht bevindingen en aanbevelingen; In dit overzicht zijn de bevindingen en aanbevelingen weergegeven die uit de risicoanalyse komen. Jaarlijks wordt over deze bevindingen en aanbevelingen gerapporteerd. 5. Werkzaamheden interne controle. Hierin worden concreet de werkzaamheden van de interne controle beschreven. Dit begint met de beoordeling van de opzet (door middel van een jaarlijkse actualisatie van de risicoanalyse met de proceseigenaar waardoor de procesbeheersing in beeld is), het bestaan van het proces (waarbij door middel van een lijncontrole het proces in beeld wordt gebracht) en wordt de werking van de beheersmaatregelen beschreven (waarbij via deelwaarnemingen de werking wordt getoetst). Tevens worden waar nodig aanvullende gegevensgerichte controlewerkzaamheden uitgevoerd. In bijlage 1 zijn de richtlijnen voor de uitvoering van de interne controle opgenomen evenals de foutenevaluatie. 6.4. Controleaanpak Van de geselecteerde processen inventariseren wij de doelen, risico’s en beheersmaatregelen.

Het gaat hierbij om financiële, maar ook operationele risico’s, waardoor de organisatiedoelstellingen mogelijk niet gerealiseerd (kunnen) worden. Deze risicoanalyse vindt voortdurend plaats, omdat alle bevindingen aanleiding kunnen zijn om de aanpak bij te stellen. De controle kan op verschillende manieren plaatsvinden: 1. Procesgericht; De fase van procesgerichte werkzaamheden is erop gericht vast te stellen of de belangrijke beheersmaatregelen in de processen inderdaad werken zoals beschreven (beoordeling opzet, bestaan en werking van de beheersmaatregelen in de processen). In deze fase komen ook de verschillen aan het licht tussen hoe de organisatie denkt dat een proces verloopt en hoe het feitelijk verloopt. 2. Gegevensgericht; De gegevensgerichte werkzaamheden zijn erop gericht die processen of activiteiten te controleren, waarvan het efficiënter is om direct naar de transacties te kijken in plaats van naar het hele proces. Een voorbeeld hiervan is het aangaan van langlopende leningen. 3. Risicogericht. Hierbij wordt, in afstemming met de accountant, de aandacht besteed aan posten die er echt toedoen. De onderwerpen waar geen of weinig risico’s aan verbonden zijn krijgen minder aandacht. In 2025 gaan wij de nota risicomanagement actualiseren. Hierbij worden ook andere typen risico’s meegenomen, zoals frauderisico’s, imagorisico’s en maatschappelijke risico’s.

Als dit vormgegeven kan er een logischere relatie worden gelegd tussen de risico’s, de genomen maatregelen en de uit te voeren verbijzonderde interne controlewerkzaamheden. De interne controle zal zoveel mogelijk procesgericht plaatsvinden. Bij de controle wordt vastgesteld in welke mate het procesverloop tot rechtmatige producten en diensten leidt. Indien belangrijke beheersmaatregelen niet in het proces aanwezig zijn of niet zichtbaar aanwezig zijn moeten er aanvullende gegevensgerichte controles worden uitgevoerd om voldoende zekerheid te krijgen dat de processen betrouwbaar zijn verlopen. Deze controle vindt al dan niet via statistische deelwaarnemingen plaats.

Pagina 17

Intern controle plan 2025

Schematisch zien de werkzaamheden van de VIC er als volgt uit:

Omvang waarnemingen De omvang van het aantal deelwaarnemingen is afhankelijk van de financiële omvang van het proces en de geïdentificeerde procesrisico’s. Ook speelt een rol hoe vaak de beheersmaatregel in de praktijk wordt uitgevoerd. Voor grote populaties (vanaf 150 posten) geldt ter bepaling van de omvang van de te controleren waarnemingen onderstaande tabel. Bij kleine populaties wordt 10% van de massa onderzocht. Hele kleine populaties (tot 15 mutaties) worden integraal onderzocht. Frequentie handeling

Diverse malen per dag Wekelijks Maandelijks Per kwartaal Jaarlijks

Aantal deelwaarnemingen Geen Tekortkomingen tekortkomingen 25 5 2 2 1

40 8 4 4 2

Als bij de aanvullende deelwaarnemingen weer fouten worden geconstateerd dan wordt er uitgegaan van een niet/onvoldoende functionerende interne controle. Dit zal leiden tot een gegevensgerichte controle, waarbij omvangrijk steekproeven getrokken worden. De aantallen voor de deelwaarneming moeten aselect via een bepaalde methodiek bepaald worden. Bijvoorbeeld elke 25e factuur of via een programma. Bij gegevensgerichte controle wordt een steekproef getrokken op basis van SRA tabel (tabel die de accountantskantoren hanteren) in overleg met de accountant. Foutenanalyse en afloopcontrole Als er fouten worden geconstateerd moet eerst worden vastgesteld of het financiële fouten of nietfinanciële fouten betreffen. Niet financiële fouten zijn wel aandachtspunten voor de AO/IC en worden gerapporteerd, maar worden niet meegenomen in de foutenevaluatie. Geconstateerde financiële fouten kunnen in drie categorieën worden ingedeeld: Pagina 18

Intern controle plan 2025

1. Structurele fouten; Dit zijn fouten waarvan de oorzaak bekend is, zodat de financiële gevolgen zijn door te rekenen en te herstellen. Als de analyse van de gevolgen van de gevonden foutoorzaak voldoende fouten boven tafel haalt, is extrapolatie niet meer nodig. 2. Incidentele fouten; Van deze fouten is de oorzaak niet bekend, waardoor de accountant er rekening mee moet houden dat zij zich in de gehele populatie kunnen voordoen. Extrapolatie is daarom noodzakelijk. Extrapolatie vindt altijd plaats in overleg met de accountant, om tot een zorgvuldige beoordeling van de fouten te komen. 3. Unieke fouten; Deze fouten zijn van dien aard dat ze verder niet in de massa voorkomen. In feite zijn het structurele fouten die zich eenmalig voordoen. Aangetoond moet worden dat de oorzaak van de fout zodanig van aard is dat deze ook daadwerkelijk verder niet meer voorkomt. Extrapolatie is niet nodig. Er wordt altijd uitgezocht hoe de fout is ontstaan. Dit kan bijvoorbeeld door het uitvoeren van een aanvullende steekproef of het inkaderen van de massa waarin de fout kan plaatsvinden. Als de fout is ontstaan in het boekjaar waarover verantwoording wordt afgelegd dan kan deze worden hersteld. Als de fout wordt geconstateerd in een volgend boekjaar, dan moet na het herstellen van de fout deze alsnog worden meegenomen in de foutenevaluatie.

Als de extrapolatie van incidentele fouten leidt tot een onacceptabel grote financiële (hoger dan de tolerantie) fout, dan wordt er aanvullend onderzoek uitgevoerd. De steekproef wordt uitgebreid op het aspect van de geconstateerde fout. Bijvoorbeeld als de inkomsten foutief worden gekort hoeft enkel de steekproef te worden uitgebreid op het onderdeel inkomsten korting. Geconstateerde onrechtmatigheden kunnen worden hersteld door de gemeenteraad of het college. De volgende methodes zijn beschikbaar: - De gemeenteraad is bevoegd om een voorwaarde (bijvoorbeeld een artikel in een verordening van de gemeente zoals de subsidieverordening) buiten werking te stellen. Deze voorwaarde heeft dan geen interne en externe werking en leidt dan niet tot een rechtmatigheidsfout. - De gemeenteraad is bevoegd om een werkwijze goed te keuren. Bijvoorbeeld als subsidieaanvragen niet tijdig zijn ingediend, maar toch zijn behandeld kan de gemeenteraad besluiten dat dit rechtmatig is. Deze procedure heet de indemniteitsprocedure. Op basis van een hardheidsclausule kan het college bevoegd zijn om per geval een onrechtmatigheid goed te keuren. Het college kan dit enkel voor specifieke gevallen en mag niet een gehele massa (onrechtmatigheden op grote schaal) goedkeuren, dit recht is voorbehouden aan de raad.

7. Vastlegging en rapportage 7.1. Inleiding De vastlegging van de interne controles (het uitvoeren van lijncontroles en deelwaarnemingen) vindt plaats in de ontwikkelde formats in Excel. In deze formats zijn de controlepunten opgenomen en wordt verwezen naar onderliggende documenten. De vastlegging vindt plaats in een vooraf vastgestelde mappenstructuur. De bevindingen worden teruggekoppeld naar de proceseigenaar. De proceseigenaar kan een reactie geven op de bevindingen en aanbevelingen. Soms leiden de controleresultaten tot een nader overleg. Tijdens deze bespreking wordt aandacht geschonken aan wat goed en minder goed loopt in het proces en worden verbetermaatregelen voorgesteld. De proceseigenaar is verantwoordelijk voor Pagina 19

Intern controle plan 2025

het herstel van de tekortkomingen. Het uitgangspunt is dat alle fouten en onzekerheden hersteld worden in het lopende jaar. Na afloop van het controlejaar wordt een integraal verslag van de uitgevoerde controlewerkzaamheden opgesteld ten behoeve van het college. Dit verslag wordt vooraf besproken met de concerncontroller en ter kennisname aan het directieteam gestuurd. In 2025 gaan wij de huidige systematiek evalueren en kijken of de inzet van een geautomatiseerd systeem het proces en de verslaglegging kan vereenvoudigen. 7.2. Rapportagemomenten De formele rapportagemomenten zijn oktober van het lopende jaar en april/mei van het volgende jaar. De rapportagemomenten zijn gekoppeld aan de interim controle en eindejaarcontrole van de accountant. 7.3. Inhoud rapportages De rapportage bevat de uitkomsten van de interne controle, waarbij de bevindingen en aanbevelingen worden weergegeven, inclusief prioriteitstelling. De rapportage is meer gericht op de procesverbetering (tactisch niveau) en wat minder op de daadwerkelijke uitkomsten van de steekproeven (operationeel niveau). De inhoud van de rapportages is als volgt: Rapportage per proces Deze rapportage heeft de volgende inhoud: 1. Uitkomsten risicoanalyse proces; Hierbij geven wij met een kleur aan of de beheersmaatregelen per risico effectief, deels effectief of niet effectief zijn. 2.

Overzicht van bevindingen en aanbevelingen; Inclusief eventuele geconstateerde fouten en uit te voeren herstelacties naar aanleiding van de uitgevoerde interne controle, waarbij de proceseigenaar een reactie kan geven op de bevindingen en aanbevelingen. In dit overzicht is de prioriteitstelling aangegeven. 3. Totaaloordeel proces. Met dit totaaloordeel wordt aangegeven in welke mate het proces in control is. Eerste rapportage Deze rapportage heeft de volgende inhoud: 1. Inleiding; 2. Ontwikkelingen en actualiteiten die effect hebben op de interne beheersing; 3. Status interne beheersing in de organisatie; 4. Overzicht oordeel per proces ten opzichte van het voorgaande jaar; 5. Belangrijkste bevindingen met onderscheid tussen nieuwe bevindingen en opvolging bevindingen voorgaande jaren, inclusief een overzicht van geconstateerde fouten en onzekerheden. Hierin wordt tevens ook ingegaan op de opvolging van de managementletter voorgaand boekjaar; 6. Aandachtspunten interne controle 2e halfjaar. Eindrapportage Na de afronding van de controles in het boekjaar gaan wij via een addendum in op de eerste rapportage. De (aanvullende) inhoud is: 1. Opvolging managementletter accountant; 2. Onderdeel rechtmatigheidsverantwoording; Pagina 20

Intern controle plan 2025

3. Opvolging herstelacties die in de eerste rapportage zijn opgenomen; 4. Status opvolging bevindingen en aanbevelingen met prioriteit hoog (aanbevelingen met hoge urgentie). De rapportages worden besproken met de betrokken proceseigenaren, interne controlefunctionarissen, directie en portefeuillehouder financiën en worden ter informatie naar het college gestuurd. 7.4. Afstemming met accountant De accountant maakt gebruik van de werkzaamheden en de rapportages over de VIC. De accountant zal daarnaast ook eigenstandig controlewerkzaamheden verrichten. Een goede afstemming over de VIC met de accountant zorgt van beide kanten voor een efficiënt proces. Wij stemmen de interne controleplannen per proces af op de verwachtingen van de accountant. De verwachtingen van de accountant zijn als volgt: Opzet Lijncontroles Test werkzaamheden

Kopie (gewijzigde) procesbeschrijving aanwezig (bij voorkeur digitaal) Kopie aanwezig bij de gemeente (bij voorkeur digitaal) Interne controle functionaris zet de selectie uit en stemt periodiek met de accountant af van welke stukken hij een kopie wil ontvangen.

8. Planning VIC

De jaarcyclus voor de interne controle is als volgt:

Periode

Actie

Actie door

Januari Oktober

1. Uitvoering interne controle, inclusief vastlegging; 2. Deelwaarnemingen over 1e half jaar; 3. Rapportage per proces en bespreking uitkomsten; 4. Opstellen rapportage interne controle 1e half jaar

VIC/interne controle functionarissen en proceseigenaren

November

1. Bespreking rapportage interne controle 1e half jaar met

VIC/concern controller

directie en portefeuillehouder financiën;

2. Verzending rapportage aan college (ter informatie) December

1. Ondersteuning interim controle accountant; 2. Actualisatie normenkader, controleprotocol en controleplan en afstemming met de accountant

VIC/concern controller

December februari

Uitvoering 2e half jaar interne controle werkzaamheden

VIC/interne controle functionarissen en proceseigenaren

Maart - april

1. Opstellen rapportage interne controle 2e half jaar 2. Bespreking rapportage interne controle 2e half jaar met directie en portefeuillehouder financiën; 3. Verzending rapportage aan college (ter informatie)

VIC/concern controller

Mei

3. Ondersteuning eindejaarcontrole accountant;

VIC

Pagina 21

Intern controle plan 2025

Pagina 22

Intern controle plan 2025

Bijlage 1 - Richtlijnen uitvoering interne controle en foutenevaluatie Bij de interne controles zullen onderstaande criteria worden betrokken. De criteria 1 t/m 6 hebben naast rechtmatigheid ook betrekking op getrouwheid. De criteria 7 t/m 9 zijn aanvullende criteria die alleen betrekking hebben op de rechtmatigheid. 1. Calculatiecriterium; De vastgestelde bedragen zijn juist berekend. Voorbeelden: legesbedragen en facturen. 2. Valuteringscriterium; Het tijdstip van betaling en de verantwoording van verplichtingen is juist. Voorbeelden: aangaan en verantwoording van contracten en verplichtingen. 3. Leveringscriterium; Juistheid van ontvangen goederen en/of diensten. Voorbeelden: inkoop van goederen/diensten. 4. Adresseringscriterium; De persoon of organisatie waar een financiële stroom naar toe is gegaan, is juist (rechthebbende). Voorbeeld: betalingsverkeer. 5. Volledigheidscriterium; Alle opbrengsten die verantwoord zouden moeten zijn, zijn ook verantwoord. Voorbeelden: legesopbrengsten, OZB, rioolrechten, afvalstoffenheffing en grondverkopen. 6. Aanvaardbaarheidscriterium; De financiële beheershandeling past bij de activiteiten van de gemeente en in relatie tot de kosten is een aanvaardbare tegenprestatie overeengekomen. Voorbeelden: inkoop van goederen en/of diensten en verstrekken van subsidies. 7.

Voorwaardencriterium; Nadere eisen die worden gesteld bij de uitvoering van financiële beheershandelingen. Voorbeelden: subsidievoorwaarden, aanbesteding en belastingwetgeving. Het voorwaardencriterium bestaat uit de volgende criteria: de omschrijving van de doelgroep respectievelijk het project; de heffings- en/of declaratiegrondslag; normbedragen (denk aan hoogte en duur); de bevoegdheden; het voeren van een administratie; het verkrijgen en bewaren van bewijsstukken; aan te houden termijnen besluitvorming, betaling, declaratie e.d. 8. Begrotingscriterium; Financiële handelingen moeten passen binnen het kader van de geautoriseerde begroting (per programma). Voorbeeld: overschrijding van het programma. 9. M&O-criterium. De interne toetsing op juistheid en volledigheid van gegevens die door derden zijn verstrekt bij het gebruik van overheidsregelingen (= misbruik) en de interne toetsing of derden bij het gebruik van overheidsregelingen geen (rechts)handelingen hebben verricht die in strijd zijn met het doel of de strekking van de regeling (= oneigenlijk gebruik). Voorbeelden: subsidieregelingen, kwijtschelding en uitkeringen.

Pagina 23

Intern controle plan 2025