07. 1612 Def concept Accountantsverslag 2023 Woudenberg d.d. 27 juni 2024 (geanonimiseerd).pdf

fraude. Wij

hebben op basis van onze controlewerkzaamheden de risicofactoren voor overtredingen van wet- en regelgeving en fraude geëvalueerd. Frauderisicofactoren kunnen voortvloeien uit bijvoorbeeld leveranciersselectie, (contant) geldverkeer en misbruik/oneigenlijk gebruik van bedrijfsmiddelen van de gemeente. Onze controle heeft geen afwijkingen van wet- en regelgeving of aanwijzingen voor fraude aan het licht gebracht.

Woudenberg heeft beleid dat gericht is op het systematisch identificeren en beheersen van deze risico’s. Wij constateren dat er in de bedrijfsvoering belangrijke maatregelen zijn getroffen om dergelijke risico’s te beheersen. Deze maatregelen bestaan hoofdzakelijk uit het toewijzen van taken en verantwoordelijkheden, het realiseren van functiescheiding, procedures, intern toezicht en externe controle. Naar onze mening wordt het risico van (materiële) fraude en overtreding van wet- en regelgeving hierdoor aanzienlijk teruggebracht. Wij adviseren hierbij nog wel om als onderdeel van het risicomanagementsysteem periodiek een separate risicoanalyse op deze thema’s uit te voeren en daarbij te evalueren of er voldoende beheersingsmaatregelen zijn getroffen. Wij verwijzen hiervoor naar onze bevindingen die wij in onze managementletter hebben gerapporteerd. Onze eigen controlewerkzaamheden hebben overigens geen relevante afwijkingen van wet- en regelgeving of aanwijzingen voor fraude aan het licht gebracht. Daarbij merken wij nog wel op dat van ons niet verwacht kan worden dat elke overtreding van wet- en regelgeving of fraude door ons ontdekt wordt. Dat heeft onder andere te maken met het

mogelijk opzettelijke karakter van dergelijke overtredingen en fraude. Ingevolge onze beroepsregels, in het bijzonder hoofdstuk 240 van de Controle- en Overige Standaarden, dient de accountant bij de controle van de jaarrekening een aantal specifiek genoemde procedures uit te voeren, gericht op het risico van fraude. Bij onze controle van de jaarrekening 2023 hebben wij geen aanwijzingen van fraude verkregen die wij op grond van deze regels aan u zouden moeten melden. In onze gesprekken met de organisatie is bevestigd dat er geen fraude heeft plaatsgevonden en ook geen vermoeden is van fraude.

CONCEPT Accountantsverslag 2023

Gemeente Woudenberg

Pagina 25

6. 2.

Verplichte rapportering fraude en continuïteit in onze controleverklaring De controle van de jaarrekening van Woudenberg is aan te merken als een wettelijke controleopdracht. Dit impliceert dat wij in onze controleverklaring bij de jaarrekening vanaf 2022 rapporteren over fraude- en continuïteitsrisico’s die relevant zijn geweest bij het plannen en uitvoeren van onze controlewerkzaamheden. Daarbij geven wij aan hoe wij op deze risico’s hebben ingespeeld. De rapportage van de accountant over fraude en continuïteit is in de basis geënt op de

verantwoording van frauderisicobeheersingsmaatregelen en de toelichting op de continuïteitsverwachtingen in het jaarverslag. Uiteraard dient de inhoud van het jaarverslag ook op deze thema’s proportioneel te zijn en een juiste en volledige voorstelling van zaken te geven. 6. 2. 1.

Fraude In de controleverklaring lichten wij toe dat Woudenberg niet beschikt over een actueel en geformaliseerd frauderisicoanalyse. Gemeente Woudenberg heeft wel een eerste opzet voor de frauderisicoanalyse opgesteld als onderdeel van de (verbijzonderde) interne controle. Dit betreft een eerste opzet betreft die verder moet worden (door)ontwikkeld. De raad heeft de verantwoordelijkheid om toezicht te houden op de fraudebeheersing.

Woudenberg heeft echter wel beleid en treft waarborgen gericht op ontdekken en beperken van frauderisico’s. Woudenberg beschikt niet over een overkoepelend M&Obeleid. Voor de komende periode is (door)ontwikkeling en formalisatie van deze frauderisicoanalyse en het M&O beleid nodig, evenals een nadrukkelijke verankering van de fraudepreventie in de (verbijzonderde) interne controle. Hiermee kunnen de belangrijkste frauderisico’s periodiek worden geïnventariseerd, geadresseerd en geëvalueerd. Wij adviseren om een risicobeheersingssysteem, inclusief schriftelijke (fraude)risicoanalyse, te implementeren. Wij benadrukken dat wij met onze aanbeveling vooral doelen op een praktische invulling en uitvoering, passend bij de grootte en de activiteiten van Woudenberg en passend binnen uw beschikbare capaciteit en middelen. Meer informatie hierover is te vinden in de NBA-Brochure Verplichte rapportage over fraude en continuïteit in de controleverklaring bij de jaarrekening; wat betekent dit voor u als klant. 6. 2. 2.

Continuïteit Naast rapportering over frauderisico’s is rapportering over continuïteitsrisico’s vanaf 2022 verplicht in de controleverklaring bij jaarrekening van gemeenten. Gemeente Woudenberg heeft in de jaarstukken inzicht gegeven in de toekomstsverwachting van de gemeente. Gemeenten kennen als overheidsorgaan feitelijk geen risico van discontinuïteit. Wel bestaat het risico dat gemeenten (tijdelijk) hun financiële zelfstandigheid verliezen en een zogenoemde artikel 12-status krijgen.

CONCEPT Accountantsverslag 2023

Gemeente Woudenberg

Pagina 26

De meerjarenbegroting 2024-2027 van de gemeente Woudenberg laat een structureel sluitend beeld zien voor de jaren 2024 en 2025. Er is sprake van grote onzekerheid over de hoogte van de algemene uitkering vanaf het boekjaar 2026 doordat het Rijk vanaf 2026 forse bezuinigingen inrekent op het gemeentefonds. Voor het begrotingsjaar 2026 is uw gemeente uitgegaan van een daling van de algemene uitkering. De meerjarenbegroting 2024-2027 toont voor 2026 een begrotingssaldo van € 1. 290. 000 (tekort) en voor 2027 een begrotingssaldo van € 1. 415. 000 (tekort). Het structurele begrotingssaldo bedraagt 2024-2027 2026 volgens de meerjarenbegroting voor € 1. 235. 000 (tekort) en voor 2027 € 1. 415. 000 (tekort). De provincie heeft regulier repressief (financieel) toezicht op gemeente Woudenberg en onderkent geen

continuïteitsrisico’s voor Woudenberg.

6. 3.

Onafhankelijkheid waken voor onze onafhankelijkheid is primair onze eigen (vaktechnische) verantwoordelijkheid. Daarvoor treffen wij – overeenkomstig onze standaarden en interne kwaliteitsprocedures – diverse maatregelen. Op basis van de uitvoering van deze maatregelen kunnen wij bevestigen dat wij de controleopdracht voor de jaarstukken van Woudenberg op onafhankelijke wijze hebben kunnen uitvoeren en afronden. Het

Aanvullend daarop rapporteren wij u jaarlijks – voor uw beoordeling van onze onafhankelijkheid – de werkzaamheden die door ons zijn verricht naast het controleren van financiële verantwoordingen en het uitoefenen van onze natuurlijke adviesfunctie. Met betrekking tot het verslagjaar 2023 hebben wij geen werkzaamheden verricht naast onze controlewerkzaamheden en de direct daaruit voortvloeiende ondersteuning en advisering over de invoering van de rechtmatigheidsverantwoording. Tot slot bevestigen wij dat geen sprake is van een langdurige betrokkenheid (zeven jaar

of meer) van één van de teamleden bij de controleopdracht voor de Woudenberg.

6. 4.

Duurzaamheid Wij hebben ons een beeld gevormd van de aandacht die Woudenberg heeft voor het verduurzamen van de bedrijfsvoering en de verantwoording daarover in het bestuursverslag of anderszins. Daarbij houden wij er rekening mee dat Woudenberg niet onder de verplichtingen vanuit de CSRD valt, maar wel te maken heeft en krijgt met verantwoordingsvereisten vanuit onder meer (lokale) overheden, zorgverzekeraars en banken. Zie ook onze managementletter hierover.

verdient aanbeveling om duurzaamheid nadrukkelijker te agenderen, zodat Woudenberg zelf ook de regie kan houden over de ontwikkelingen die vanuit wet- en regelgeving op de organisatie afkomen. Het voert voor dit accountantsverslag te ver om een volledig stappenplan uit te werken en tegelijkertijd onderkennen wij een risico dat te laat wordt gestart met voorbereidingen om tijdig te kunnen voldoen aan de verantwoordingsvereisten vanuit de CSRD die indirect op Woudenberg afkomen. Het

In dat kader adviseren wij om in ieder geval de volgende processtappen te agenderen en op te pakken:

CONCEPT Accountantsverslag 2023

Gemeente Woudenberg

Pagina 27

▪

Materialiteitsanalyse. Zie voor meer informatie over het bepalen van de materialiteit bijvoorbeeld het Stappenplan dubbele materialiteitsanalyse CSRD dat ontwikkeld is door de NBA. De materialiteitsanalyse geeft richting aan de focusgebieden voor verduurzaming en aan verantwoording daarover. Een goede materialiteitsanalyse motiveert ook waarom Woudenberg wel of niet werkt aan bepaalde duurzaamheidsdoelstellingen. Professionele adviesbureaus beschikken over software om de materialiteitsanalyse gestructureerd uit te voeren. Ons advies is om de materialiteitsanalyse medio 2024 gereed te hebben.

▪

Op Duurzaamheidsbeleid. basis van de materialiteitsanalyse kan het duurzaamheidsbeleid van Woudenberg herijkt worden en vertaald worden naar actiepunten die geadresseerd worden aan verantwoordelijke functionarissen, al dan niet ondersteund door externe deskundigen. Wij adviseren om het herijken van het duurzaamheidsbeleid te agenderen voor het derde kwartaal 2024. Hierbij merken wij nog op dat duurzaamheidsbeleid niet los is te zien van het meerjarenbeleid van organisaties en andersom ook niet. Dit impliceert dat het uitwerken van duurzaamheidsbeleid tot gevolg kan hebben dat het meerjarenbeleid op onderdelen bijgesteld moet worden.

▪

Voor organisaties zijn Verantwoordingsinformatie. CSRD-plichtige de verantwoordingsvereisten (in combinatie met de materialiteitsanalyse) inmiddels bekend. Voor niet-CSRD-plichtige organisaties zal er de komende tijd meer duidelijkheid komen over de verantwoordingsvereisten vanuit ketenpartners. Ongeacht de toepasselijkheid van de CSRD is het uitwerken van een duurzaamheidsverantwoording een omvangrijk proces. Wij adviseren om dit te agenderen voor het laatste kwartaal 2024 en daarbij in eerste instantie aansluiting te zoeken bij de ‘light’ versie van de CSRD: de EU Voluntary Sustainability Reporting Standard for non-listed SMEs that are outside the scope of CSRD. Desgewenst beschikken wij over een in het Nederlands vertaalde versie. Als aandachtspunt merken wij hierbij nog op dat het stelselmatig verantwoorden over duurzaamheid ook vraagt om een daarop afgestemde inrichting van registraties en informatiesystemen. Wij adviseren om hier aandacht voor te hebben.

CONCEPT Accountantsverslag 2023

Gemeente Woudenberg

Pagina 28

Van het in de vorige paragaaf geschetste, beschikken nog maar weinig organisaties over veel deskundigheid. In lijn met de CSRD adviseren wij om externe deskundigen in te schakelen om scherper zicht te krijgen op deze ontwikkelingen en een beeld te krijgen van wat dit concreet van Woudenberg zal vragen de komende jaren.

7. Slot Wij vertrouwen erop

met dit accountantsverslag voldoende te hebben geïnformeerd controlebevindingen en u van dienst te zijn geweest met de vermelde ontwikkelingen en aanbevelingen. over

u

onze

CONCEPT Accountantsverslag 2023

Gemeente Woudenberg

Pagina 29

Bijlage 1 – SiSa bijlage 2023 gemeente Woudenberg Nummer specifieke uitkering conform SiSa-bijlage 2023 A16 B2

C43 C55 C62

C92 C94

Specifieke uitkering

Bekostigingsregeling opvang ontheemden Oekraïne Regeling specifieke uitkering gemeentelijke hulp aan gedupeerden kinderopvangtoeslagproblematiek Regeling reductie energiegebruik woningen Aanpak energiearmoede Specifieke uitkering aan gemeenten voor de bekostiging van de kwijtschelding van gemeentelijke belastingen van gedupeerden door de toeslagenaffaire Regeling specifieke uitkering Informatiepunten Digitale Overheid Regeling houdende regels verstrekking specifieke uitkering aan gemeenten verduurzaming [. ] van eigenaars, woonverenigingen en wooncoöperaties Onderwijsachterstandenbeleid 20232026 (OAB) Regeling specifieke uitkering inhalen COVID-19 gerelateerde onderwijsvertragingen Subsidieregeling sanering verkeerslawaai Regeling stimulering verkeersmaatregelen 2020-2021 Tijdelijke impulsregeling klimaatadaptatie 2021-2027 (SiSa tussen medeoverheden) Regeling specifieke uitkering OVambassadeurprojecten 2022 Regeling stimulering verkeersveiligheidsmaatregelen 2022-2023 Tijdelijke regeling capaciteit decentrale overheden voor klimaat- en energiebeleid Gebundelde uitkering op grond van artikel 69 Participatiewet_gemeentedeel 2023 Besluit bijstandverlening zelfstandigen 2004 (uitsluitend kapitaalverstrekking)_gemeentedeel 2023

Fout of onzekerheid

Financiële omvang in euro’s

Toelichting Fout of onzekerheid

n. v. t.

n. v. t.

n. v. t.

n. v. t.

n. v. t.

n. v. t.

n. v. t.

n. v. t.

n. v. t.

n. v. t.

n. v. t.

n. v. t.

n. v. t.

n. v. t.

n. v. t.

n. v. t.

n. v. t.

n. v. t.

n. v. t.

n. v. t.

n. v. t.

n. v. t.

n. v. t.

n. v. t.

n. v. t.

n. v. t.

n. v. t.

n. v. t.

n. v. t.

n. v. t.

n. v. t.

n. v. t.

n. v. t.

n. v. t.

n. v. t.

n. v. t.

n. v. t.

n. v. t.

n. v. t.

n. v. t.

n. v. t.

n. v. t.

n. v. t.

n. v. t.

n. v. t.

n. v. t.

n. v. t.

n. v. t.

..

D8 D14

E3 E20 E44B

E81 E84 F28

G2

G3

CONCEPT Accountantsverslag 2023

Gemeente Woudenberg

Pagina 30

Nummer specifieke uitkering conform SiSa-bijlage 2023 G4

G10 G12

G13 H8 H12

H30

Specifieke uitkering

Tijdelijke overbruggingsregeling zelfstandig ondernemers (Tozo)_gemeentedeel 2023 Wet inburgering 2021_ gemeentedeel 2023 Kwijtschelden publieke schulden SZWdomein hersteloperatie kinderopvangtoeslagaffaire_gemeent edeel 2023 Onderwijsroute_ deel gemeente 2023 Regeling Sportakkoord 2020-2022 Regeling specifieke uitkering lokale preventieakkoorden of preventieaanpakken Specifieke uitkering versterking voor sport en bewegen, gezondheidsbevordering, cultuurparticipatie en de sociale basis 2023-2026

Fout of onzekerheid

Financiële omvang in euro’s

Toelichting Fout of onzekerheid

n. v. t.

n. v. t.

n. v. t.

n. v. t.

n. v. t

n. v. t.

n. v. t.

n. v. t.

n. v. t.

n. v. t.

n. v. t.

n. v. t.

n. v. t.

n. v. t.

n. v. t.

n. v. t.

n. v. t.

n. v. t.

n. v. t.

n. v. t.

n. v. t.

Rechtmatigheidsoordeel specifieke uitkeringen (zoals blijkt uit de controleverklaring): goedkeurend Strekking controleverklaring getrouwheid gehele jaarrekening: goedkeurend

CONCEPT Accountantsverslag 2023

Gemeente Woudenberg

Pagina 31

Bijlage 2 – Detailbevindingen geautomatiseerde gegevensverwerking (IT) In het kader van de jaarrekeningcontrole 2023 van Gemeente Woudenberg is door ons een onderzoek uitgevoerd naar de kwaliteit van de IT-organisatie, het IT-landschap en de beheersing daarvan. In de onderstaande tabel zijn, door middel van observaties en concrete acties, onze belangrijkste signaleringen,

bevindingen en daarbij horende aanbevelingen en adviezen weergegeven.

Identificatie en authenticatie (logische toegangsbeveiliging) Observaties

Risico(’s)

Identificatie en authenticatie vormen het fundament voor het geauthentiseerd toegang verlenen van gebruikers tot de IT-omgeving, en daarmee de (bedrijfskritieke en/of persoonsgerelateerde) data, van de Gemeente Woudenberg.

Een zwak identificatie- en

Wij hebben, aan de hand van enkele best practices (waaronder de NIST, CIS en de

authenticatiemechanisme vergroot de kans op het als ongeautoriseerde gebruiker toegang kunnen verschaffen tot de IT-omgeving, en daarmee de (bedrijfskritieke en/of persoonsgerelateerde) data, met mogelijk verlies dan wel manipulatie en/of andere beveiligingsincidenten tot gevolg.

Microsoft Security Baseline), vastgesteld dat voor de applicatie Youforce sprake is van onvoldoende ‘sterke’ wachtwoorden. Wij hebben niet (tijdig) over voldoende en

geschikte controle-informatie (waaronder langs het uitvoeren van een ‘AD-analyse’) kunnen beschikken teneinde, vaktechnisch verantwoord, te kunnen vaststellen of SSO voor (tenminste de voor de jaarrekeningcontrole

relevante) gebruikers consequent wordt afgedwongen (en, de betreffende, gebruikers daarmee op passende wijze worden geauthentiseerd) voor respectievelijk de (kern)applicaties Key2Burgerzaken, Centric Leefomgeving, Key2Belastingen, Key2Finance en het netwerk. Het hanteren van onvoldoende ‘sterke’

wachtwoorden herbergt een verhoogd risico on ongeoorloofde toegang tot de IT-omgeving, en daarmee de (bedrijfskritieke en/of

CONCEPT Accountantsverslag 2023

Gemeente Woudenberg

Pagina 32

persoonsgerelateerde) data, van de Gemeente Woudenberg en, daarmee, de betrouwbaarheid van de uit genoemde (kern)applicaties afkomstige data.

Aanbevelingen 1. 2. 3. 4. 5.

Professionaliseer het bestaande wachtwoordbeleid, bijvoorbeeld aan de hand van enkele best practices, zoals de NIST, CIS of de Microsoft Security Baseline, en stel deze formeel vast. Implementeer dit beleid binnen de voor de Gemeente Woudenberg relevante IT-omgeving(en). Configureer multi-factor-authentication, voor zowel in- als externe toegang, en dwing dit af voor alle gebruikers. Richt binnen de Active Directory zogeheten ‘event logs’ in waarmee een historie van wijzigingen rondom (wachtwoord)settings (per gebruiker) wordt opgebouwd. Stel, minimaal, jaarlijks vast of het wachtwoordbeleid nog passend is en breng, daar waar nodig, de noodzakelijke wijzigingen aan.

Autorisaties en autorisatiebeheer (logische toegangsbeveiliging) Observaties

Risico(’s)

Het risico op ongeoorloofde toegang kan, naast

Het onvoldoende, preventief, beheersen van de

identificatie en authenticatie, mede worden gemitigeerd door het definiëren en inrichten van functieprofielen met aanpalende rechten (autorisaties) waardoor de minimaal gewenste

minimaal gewenste functiescheiding vergroot de kans op het als ongeautoriseerde gebruiker toegang kunnen verschaffen tot de IT-omgeving, en daarmee de (bedrijfskritieke en/of

functiescheiding kan worden gewaarborgd binnen de IT-omgeving(en) van de Gemeente Woudenberg.

persoonsgerelateerde) data, met mogelijk verlies dan wel manipulatie en/of andere beveiligingsincidenten tot gevolg.

Naast inrichten is beheersen (autorisatiebeheer)

het kernwoord om, mits gedegen ingericht en frequent zichtbaar uitgevoerd, preventief ‘in control’ te komen en blijven.

Wij hebben vastgesteld dat de bestaande functieprofielen naar ‘eer en geweten’ zijn

ingericht, maar niet als zodanig een autorisatiematrix als uitgangspunt van de minimaal gewenste functiescheiding vormen.

CONCEPT Accountantsverslag 2023

Gemeente Woudenberg

Pagina 33

Daarnaast ontbreekt een procedure voor het

onder functiescheiding toekennen, wijzigen en intrekken van rechten binnen de IT-omgeving(en) van de Gemeente Woudenberg alsmede een passende oplossing waarin dergelijke aanvragen consequent worden geregistreerd.

Wij concluderen dat er onvoldoende sprake is van preventieve beheersing teneinde de minimaal gewenste functiescheiding te kunnen waarborgen

hetgeen, naast voornoemde, tevens wordt gevoed vanuit het ontbreken van een zogeheten ‘IST-SOLL-vergelijking’ waarbij de autorisatiestructuur (‘IST’) periodiek, doch minimaal jaarlijks, wordt afgezet tegen de autorisatiematrix (‘SOLL’) gevolgd door passende follow-up.

Aanbevelingen Definieer, in samenwerking met de business, ‘handelingen’ (op zowel applicatie- als applicatieoverstijgend niveau) welke niet door één gebruiker mogen worden uitgevoerd. 7. Vertaal deze handelingen naar de bestaande dan wel nog, deels, te definiëren rollen en rechten. Dit resulteert in een overzicht van de ‘ongewenste combinaties’ van rollen en rechten, welke niet door één gebruiker zouden mogen worden uitgevoerd. 8. Stel de ‘ongewenste combinaties’ formeel vast, zodat het een uitgangspunt vormt voor het toekennen, wijzigen en intrekken van rechten binnen de IT-omgeving(en). 9. Voer periodiek, zichtbaar, een vergelijking uit waarbij de autorisatiestructuur (‘IST’) wordt afgezet tegen de ‘ongewenste combinaties’ (‘SOLL’), zodat kan worden vastgesteld of de minimaal gewenste functiescheiding wordt gewaarborgd. 10. Geef zichtbaar invulling aan de follow-up, zodat een belangrijke stap wordt gezet naar (meer) preventieve beheersing. 6.

Change management Observaties

Risico(’s)

Applicaties in eigen beheer

Het onvoldoende, consequent, waarborgen van de continue werking van de minimaal, ter

Gemeente Woudenberg maakt gebruik van de

(kern)applicaties Key2Burgerzaken en Key2Finance welke, in de basis, zelfstandig worden beheerd.

CONCEPT Accountantsverslag 2023

ondersteuning van de bedrijfsvoering, van belang zijnde functionaliteit, waardoor de bedrijfsvoering kan stagneren en/of leidt tot een verhoogd risico in het kader van de

Gemeente Woudenberg

Pagina 34

Wij concluderen dat er, met betrekking tot de

(kern)applicaties Key2Burgerzaken en Key2Finance, sprake is van onvoldoende (preventieve) beheersing met betrekking tot het change

betrouwbaarheid van de langs deze functionaliteit gegenereerde data (o. a. a. g. v. ongeoorloofde toegang, foutieve berekeningen etc. )

management proces wegens het ontbreken van: •

Het, consequent, uitvoeren van een

impactanalyse waarmee de ‘impact’ van nieuwe/gewijzigde functionaliteit op de bestaande/gewenste functionaliteit wordt vastgesteld, hetgeen (mede) bepalend is voor het al dan niet uitvoeren van; • Acceptatietesting op basis van voorgedefinieerde testscenario’s waarbij de resultaten en follow-up consequent worden vastgesteld; en • Het ‘GO-NO-GO-live-besluit’, te nemen door de systeemeigenaar (bijvoorbeeld de directie), alsmede de hiermee gepaard gaande primaire registratie(s). SaaS-applicaties Ondanks de veelal primaire doelstelling van organisaties om met uitbesteding ontzorgd te worden, vervult het change management proces een belangrijke rol binnen de context van met name de betrouwbaarheid van de geautomatiseerde gegevensverwerking. Immers, de keuze voor standaard functionaliteit, welke SaaSoplossingen bieden, is een bewuste maar het blijft onverminderd van belang de aansluiting tussen de ‘gewenste’ (demand) en ‘geboden’ (supply) functionaliteit te waarborgen. Bovenstaande benadrukt het belang van proportionele IT-uitgangspunten, kpi’s alsook het definiëren en afstemmen van de, hiermee gepaard gaande, informatiebehoefte met, tenminste, de ITpartners Centric en Visma|Raet.

Wij concluderen dat de met voornoemde

onlosmakelijk verbonden IT-regiefunctie

CONCEPT Accountantsverslag 2023

Gemeente Woudenberg

Pagina 35

onvoldoende is geborgd binnen het Service Level Management.

Aanbevelingen Applicaties in eigen beheer 11.

Professionaliseer het change management proces met betrekking tot de (kern)applicaties Key2Burgerzaken en Key2Finance door de diverse stappen (hierna, deels, te benoemen) eenduidig en consequent vast te leggen waardoor, onder andere, de trace- en auditability toeneemt.

Denk na over de ‘toekomstvastheid’ van de (kern)applicaties Key2Burgerzaken en Key2Finance welke, in de basis, zelfstandig worden beheerd. 13. Verricht, in geval van een (major) change, consequent en zichtbaar een impactanalyse, zodat changes met (significante) impact tijdig worden gesignaleerd en geadresseerd. 14. Definieer passende testscenario’s, verricht consequent en zichtbaar testwerkzaamheden in een van de ontwikkel- en productieomgeving gescheiden testomgeving en leg de resultaten hiervan 12.

vast.

Waarborg het tijdig, juist en volledig afwikkelen van testincidenten en maak het ‘Go-No-Go-live’ besluit consequent zichtbaar. 16. Verricht onderzoek naar een passende IT-beheertool ter ondersteuning van de primaire registratie met betrekking tot het incident-, problem- en change management proces. 15.

SaaS-applicaties 17.

Neem, met betrekking tot de applicaties Centric Leefomgeving, Key2Belastingen en Youforce kennis van het change management proces van de IT-partners Gemeente Veenendaal, Centric en Visma|Raet (bijvoorbeeld door het raadplegen van diens ISAE 3402 en/of SOC 1/2/3 assurancerapport) en stel vast of dit proces (en de hierbinnen geïmplementeerde maatregelen) aansluit op de IT-uitgangspunten en risicobereidheid.

18.

Tref, op basis van voornoemd inzicht, passende (aanvullende) maatregelen, zodat de functionaliteit (‘supply’) blijft aansluiten op de wensen (‘demand’) van de business (en daarmee de strategie). 19. Betrek de ‘balans’ tussen de door de betreffende IT-partner getroffen maatregelen en de eigen, aanvullende, maatregelen in het Service Level Management proces.

Back-up en recovery Observaties

Risico(’s)

Het back-up en recovery proces van de Gemeente Woudenberg, met betrekking tot de door de

Het ontbreken van voldoende inzicht in de

Gemeente Veenendaal gehoste omgeving

(waarbinnen de (kern)applicaties Key2Burgerzaken, Key2Belastingen en

CONCEPT Accountantsverslag 2023

beschikbaarheid en/of bruikbaarheid van backups, waardoor de bedrijfsvoering, in geval van een calamiteit, kan stagneren en/of leidt tot een verhoogd risico in het kader van de

Gemeente Woudenberg

Pagina 36

Key2Finance draaien)), kent zowel een on- als

offsite oplossing.

bedrijfskritieke (waaronder persoonsgerelateerde) data

Voor, tenminste, de SaaS-applicaties Centric

Leefomgeving en Youforce geldt dat genoemd proces tot de operationele

taken, verantwoordelijkheden en bevoegdheden van de betreffende IT-partner behoort. In tegenstelling tot de inrichting van het back-up proces voor de door de Gemeente

Veenendaal gehoste omgeving, constateren wij onvoldoende preventieve beheersing voornamelijk uitmondend in het: •

•

Ontbreken van een passende ‘RTO’ (Recovery Time Objective) en ‘RPO’ (Recovery Point Objective) waarmee respectievelijk de/het geaccepteerde hersteltijd en dataverlies wordt geduid; en het Ontbreken van het periodiek (minimaal jaarlijks) zichtbaar uitvoeren en follow-up geven aan een representatieve restore test van een volledige back-up.

Dit betekent dat de Gemeente Woudenberg

preventief, onvoldoende inzicht heeft in zowel de beschikbaarheid als de bruikbaarheid van backups.

Wij constateren een vergelijkbare mate van preventieve beheersing in het kader van het back-

betrekking tot de (SaaS-)applicaties Centric Leefomgeving en Youforce, wegens het ontbreken van (voldoende) inzicht in de wijze waarop de betreffende ITpartner dit proces, al dan niet voldoende, beheerst. up en recovery proces met

In tegenstelling tot de beschikbaarheid, schort het de Gemeente Woudenberg aan voldoende

inzicht in de bruikbaarheid van back-ups.

CONCEPT Accountantsverslag 2023

Gemeente Woudenberg

Pagina 37

Aanbevelingen 20.

21. 22.

23.

24.

Stel in samenspraak met de business, op basis van de proportionele IT-uitgangspunten, risicobereidheid en de minimaal te treffen maatregelen, een passende ‘RTO’ (Recovery Time Objective) en ‘RPO’ (Recovery Point Objective) vast. Stem de ‘RTO’ en ‘RPO’ met de betreffende IT-partners af, stel vast in hoeverre deze gewaarborgd kan worden en tref, indien nodig, aanvullende maatregelen. Neem kennis van de bestaande ISO certificeringen en/of, bij voorkeur, assurancerapportages (ISAE 3402 en/of SOC 1/2/3) waaruit kan worden afgeleid in hoeverre de betreffende IT-partner ‘in control’ is. Waarborg dat, tenminste jaarlijks, een representatieve restore test wordt uitgevoerd van een volledige back-up, bij voorkeur, op basis van telkens wisselende scenario’s en geef zichtbaar follow-up aan het geconstateerde. Betrek de uitkomsten van tenminste de restore test in de jaarlijks opnieuw vast te stellen ‘RTO’ en ‘RPO’.

Service Level Management Observaties

Risico(’s)

De IT-omgeving van de Gemeente Woudenberg

Het, in geval van (een zekere mate van)

kent een hoge mate van afhankelijkheid van externe IT-partners en kent als zodanig de nodige uitdagingen om ‘in control’ te geraken en blijven (ofwel het uitoefenen van de regiefunctie).

uitbesteding van (IT-gerelateerde) diensten en/of producten, onvoldoende inrichten en, daarmee, beheersen van de regiefunctie, herbergt een vergroot risico op zowel de betrouwbaarheid als beschikbaarheid van respectievelijk de bedrijfskritieke (waaronder persoonsgerelateerde) data en/of de voor de

Echter om daar (‘in control’) te komen is ‘slechts’ het hebben van een overeenkomst, al dan niet in de vorm van een SLA, onvoldoende. Immers, dergelijke overeenkomsten zijn veelal geschreven vanuit het perspectief van de leverancier en sluiten, daarmee, niet aan op: 1.

De informatiebehoefte van de klant, laat staan;

2.

Perspectief bieden om hier zogeheten ‘kpi’s’ in onder te brengen waarlangs, onder andere, de kwaliteit van de dienst en/of het product kan worden gemeten.

bedrijfsvoering minimaal gewenste functionaliteit

Daarnaast wordt het op gedegen wijze kunnen

uitoefenen van de regiefunctie sterk beïnvloed door de mate waarin de betreffende IT-partner verantwoording kan afleggen over de kwaliteit

CONCEPT Accountantsverslag 2023

Gemeente Woudenberg

Pagina 38

van diens

dienst en/of product. Hierbij kan worden gedacht aan verantwoording langs passende: (ISO-)certificeringen (waaronder ISO 27001); en/of • Assurance-uitingen (met name in de vorm van ISAE 3402 en/of SOC 1/2/3, beiden type II). Wij concluderen op basis van: •

•

• •

Onvoldoende inzicht in de zogeheten ITketen bestaande uit hoofd- en onderaannemers (respectievelijk aanbieder applicatie en, bijvoorbeeld, het datacenter van waaruit de applicatie wordt gehost); Beperkte formalisatie van gemaakte afspraken; en Onvoldoende inzicht of, en zo ja in de mate waarin en waarlangs, IT-partners verantwoording kunnen afleggen over de kwaliteit van diens dienst en/of product,

dat de regiefunctie, als onderdeel van Service Level Management (en daarmee de ‘IT-functie’), de Gemeente Woudenberg onvoldoende is ingericht en daarmee als zodanig wordt beheerst. van

Aanbevelingen 25.

26.

27.

28.

29.

Breng de IT-keten (verder) in kaart resulterend in een overzicht (bij voorkeur gevisualiseerd) van

(uitbestede) processen, producten en/of diensten en diens leveranciers (zowel hoofd- als onderaannemers respectievelijk aanbieder applicatie en, bijvoorbeeld, het datacenter van waaruit de applicatie wordt gehost). Voer, op basis van inzicht in de volledige IT-keten, een risicoanalyse uit waarin de kwaliteitsaspecten beschikbaarheid, integriteit en vertrouwelijkheid centraal staan en schat de kans en/of impact van mogelijke incidenten in relatie tot genoemde kwaliteitsaspecten in, resulterend in een risicobereidheid. Tref, op basis van de risicobereidheid, passende maatregelen om de geïdentificeerde risico's tot een aanvaardbaar laag niveau te kunnen reduceren, zodat de ‘IT-functie’ van de Gemeente Woudenberg verder, gedegen kan worden ingericht. Vertaal, op basis van de IT-uitgangspunten en risicobereidheid, de minimaal te treffen maatregelen per IT-partner in zogeheten kpi’s en integreer deze in de op te stellen, dan wel aan te passen, overeenkomsten (al dan niet in de vorm van een SLA). Inventariseer, per IT-partner, diens beschikking over passende (ISO-)certificeringen, waaronder ISO 27001, maar ook assurance-uitingen in de vorm van ISAE 3402 en/of SOC 1/2/3 (beiden type II) en neem dit op in de informatiebehoefte.

CONCEPT Accountantsverslag 2023

Gemeente Woudenberg

Pagina 39

30. 31.

Stem de informatiebehoefte met de IT-partner af en kom, gezamenlijk, tot een passende rapportagevorm en -frequentie. Maak, met elke IT-partner, afspraken over periodieke afstemming over de (kwaliteit van de) dienstverlening, zodat verwachtingen ‘ongoing’ op elkaar blijven afgestemd en verrassingen

worden voorkomen. 32. Breng de (verschillende) informatiestromen bij elkaar en maak een gedegen afweging tussen hetgeen de, betreffende, IT-partner reeds beheerst (bijvoorbeeld langs passende ISOcertificeringen en/of assurancerapportages) en de maatregelen welke aanvullend getroffen zouden moeten worden om de risico’s in voldoende mate te kunnen beheersen. 33. Zorg dat het Service Level Management gepaste aandacht blijft krijgen door deze te integreren in een zogeheten ‘Plan-Do-Check-Act’ cycle (o. b. v. proportionaliteit).

CONCEPT Accountantsverslag 2023

Gemeente Woudenberg

Pagina 40