Bijlage 3 - Reactie college Accountantsverslag 2022

Accountantsverslag Deloitte 2022 - reactie van het college aan de raad

26 mei 2023 Concerncontrol

Inhoudsopgave 1.

2.

3.

Inleiding

3

1.1

3

Proces en conclusie

3

2.1

Samenstelproces jaarstukken 2022

3

2.2

Openstaande controledossier 2022

3

2.3

Controleverklaring 2022

4

Controlebevindingen

4

3.1

Grondexploitaties

4

3.2

Begrotingsrechtmatigheid

4

3.3

Fraude, integriteit, en naleving wet- en regelgeving

5

3.3.1

Wijzigingen in de controleverklaring

5

3.3.2

Frauderisicoanalyse

5

3.4

4.

Planning

Overige bevindingen

5

3.4.1

EU-aanbestedingen

5

3.4.2

Sociaal-domein Jeugd en Wmo

6

3.4.3

Kwaliteit en transparantie jaarstukken

6

Interne beheersing

7

4.1

7

Opvolging aandachtspunten managementletter 2022

2

1.

Inleiding In het kader van de verstrekte opdracht heeft Deloitte Accountants B.V. de jaarrekening 2022 van gemeente Zandvoort gecontroleerd. Dit is het derde achtereenvolgende controlejaar voor Deloitte. Na afronding van de controlewerkzaamheden brengt de accountant het verslag van bevindingen (hierna: accountantsverslag) uit. De accountant heeft de controlebevindingen afgestemd met het interne controleteam en het concept accountantsverslag op 25 mei j.l. besproken met de portefeuillehouder financiën en vertegenwoordigers van de ambtelijke top. Vooruitlopend hierop informeert het college in deze notitie de raad over de uitkomsten van de controle (hoofdstuk 2) en de controlebevindingen, inclusief de reactie op en beoogde opvolging van de aanbevelingen die zijn opgenomen in het concept accountantsverslag (hoofdstuk 3).

1.1 Planning De verdere procedure is dat de accountant haar controlebevindingen zal toelichten op 7 juni a.s. aan de accountantscommissieleden.

2.

Proces en conclusie 2.1 Samenstelproces jaarstukken 2022 Het opstellen van de concept jaarrekening 2022 is goed en conform de interne planning verlopen. Om de volledigheid van de cijfers in de jaarrekening te bewerkstelligen en alle afwijkingen van relevante omvang te beperken wordt in het samenstelproces de zogeheten “naposten” verwerkt in de jaarrekening. Het is het gebruikelijk dat er na het afsluiten van de financiële administratie naposten zijn en de oorzaak is tweeledig: 1) Naposten die afkomstig zijn van de vakafdelingen en de voorlopige interne audituitkomsten, en 2) Naposten die voortkomen uit het vervolg van de interne audits en controle door de accountant. Het is gebruikelijk dat er na het afsluiten van de financiële administratie gelegenheid is voor het verwerken van naposten om vervolgens te komen tot de definitieve jaarrekening. Dit jaar zijn er geen naposten vanuit de controle van de accountant wel een aantal presentatie correcties op de balans in de jaarrekening.

2.2 Openstaande controledossier 2022 De accountantscontrole is vergevorderd maar nog niet afgerond voor de onderdelen rechtmatigheid van de aanbestedingen, grondexploitaties, sociaal domein en de SiSa-bijlage in de jaarrekening.

3

2.3 Controleverklaring 2022 Door de accountant geconstateerde fouten en onzekerheden ten aanzien van de getrouwheid en rechtmatigheid zijn tot nu toe binnen de goedkeuringstolerantie zoals vastgestelde door de gemeenteraad. Ondanks dat de controle nog niet is afgerond is de accountant voornemens om een goedkeurende controleverklaring voor zowel de getrouwheid als rechtmatigheid bij de jaarrekening 2022 te verstrekken.

3.

Controlebevindingen Door de accountant geconstateerde fouten en onzekerheden ten aanzien van de getrouwheid en rechtmatigheid zijn tot nu toe binnen de vastgestelde goedkeuringstolerantie. Ondanks dat de controle nog niet is afgerond is de accountant voornemens om een goedkeurende controleverklaring voor zowel de getrouwheid als rechtmatigheid bij de jaarrekening 2022 te verstrekken.

3.1 Grondexploitaties Grondexploitatieberekeningen zijn onderhevig aan schattingen en zijn hebben daarom volop de aandacht tijdens de accountantscontrole. De accountant beoordeelt de door de gemeente gehanteerde veronderstellingen voor de actualisatie, opbrengstenstijging en de gehanteerde rekenrente. Daarnaast wordt een risicoanalyse uitgevoerd ter bepaling van het risicoprofiel van de individuele grondexploitaties. Op grond van deze analyse heeft de accountant geconcludeerd dat de grondexploitaties Badhuisplein en Entree Palaceplein de belangrijkste projecten binnen de gemeente zijn. De accountant heeft voor deze projecten de aannemelijkheid van de nog te realiseren kosten en opbrengsten getoetst en de getroffen verliesvoorziening of de verantwoorde (tussentijdse) winstneming gecontroleerd. De accountant heeft op basis van de uitgevoerde werkzaamheden inzake de waardering van de grondexploitaties vastgesteld dat: • De gemeente beschikt over actuele ramingen van de nog te realiseren baten en lasten; • De gemeente beschikt over een deugdelijke onderbouwing van de gehanteerde uitgangspunten in de grondexploitaties; • De gemeente zo nodig externe deskundigheid heeft ingeschakeld ter onderbouwing van de geraamde grondprijzen en grondopbrengsten; • De gemeente een niet onaannemelijk niveau heeft bepaald van de nog te maken plan- en civiele kosten.

Het college heeft met instemming kennisgenomen van deze voorlopige bevindingen. Hieruit volgen geen specifieke aanbevelingen.

3.2 Begrotingsrechtmatigheid De toe te passen normen voor het begrotingscriterium zijn gebaseerd op de Gemeentewet en de financiële verordening. De gemeenteraad heeft dit nader geconcretiseerd door het vaststellen van

4

een rapporteringsgrens van € 25.000 of hoger op de lasten per programma. Voor investeringskredieten geldt dat de raad altijd wordt geïnformeerd als er sprake is van een overschrijding van € 50.000 of meer ook al is dit minder dan 5% van het investeringskrediet. Ter beoordeling hiervan is de door de raad vastgestelde primaire begroting 2022 en de daaropvolgende begrotingswijzigingen gedurende het jaar de norm. Overschrijdingen van de begrote lasten zijn in basis onrechtmatig, maar wegen op basis van regelgeving en de rapporteringsgrens niet in alle gevallen mee in het accountantsoordeel. Deze kostenoverschrijdingen moeten dan wel goed herkenbaar in de jaarrekening zijn opgenomen. Op basis van de interne analyse is geen sprake van overschrijdingen op programmaniveau. Overschrijdingen van de begroting zijn altijd onrechtmatig, maar wegen niet in alle gevallen mee in het accountantsoordeel. Deze kostenoverschrijdingen moeten dan wel goed herkenbaar in de jaarrekening zijn opgenomen. Uit de interne controles is gebleken dat er geen sprake is van onrechtmatigheden die de rapporteringsgrens overschrijden voor zowel op de exploitatielasten als de investeringskredieten.

3.3 Fraude, integriteit, en naleving wet- en regelgeving 3.3.1 Wijzigingen in de controleverklaring Als gevolg van wijzigingen van de Nadere Voorschriften Controleen Overige Standaarden (de voorschriften voor het uitvoeren van een accountantscontrole) zal de accountant over het een uitgebreidere tekst in haar controleverklaring bij de jaarrekening 2022 opnemen. Dit betreft een paragraaf ‘Informatie ter ondersteuning van ons oordeel’ waarin aanvullend verslag wordt gedaan over de controleaanpak voor frauderisico’s, naleving van wet- en regelgeving, en de veronderstellingen inzake financiële risico’s in relatie tot de financiële positie. 3.3.2 Frauderisicoanalyse De frauderisicoanalyse is in 2022 geactualiseerd en besproken met de portefeuillehouder financiën en aangeboden ter bespreking in de accountantcommissie. De gemeente heeft opvolging gegeven aan de aanbevelingen 2021. Ten aanzien van fraude en integriteit rapporteert de accountant: Jaarlijks verkrijgen wij inzicht in de integriteitsmeldingen, die wij vervolgens doorspreken met uw medewerker integriteit. Wij hebben op basis van onze controle en de besprekingen geen fraudegevallen geconstateerd. Het college heeft met instemming kennisgenomen van deze bevindingen. Hieruit volgen geen specifieke aanbevelingen.

3.4 Overige bevindingen 3.4.1 EU-aanbestedingen De accountant concludeert dat vanaf 2021 diverse verbeteracties zijn ingezet gericht op de naleving van de Europese aanbestedingsrichtlijnen. Review op de door de interne controleteam uitgevoerde werkzaamheden leiden tot dezelfde conclusies dat er sprake is van een rechtmatigheidsfout van € 45k. De rechtmatigheidsfout in de EU-aanbestedingen is afgenomen ten opzichte van vorig jaar en er wordt blijvend aandacht gevraagd voor het monitoren van de effecten van de genomen verbetermaatregelen. De repressieve controle door zowel Financiën (tweede lijn) als het Audit Team (derde lijn) blijft van belang.

5

Het college kan zich vinden in de voorlopige constateringen van de accountant en dat de EUaanbestedingen blijvend aandacht verdienen. De spend-analyse en de repressieve controle door het interne auditteam zijn van belang en zullen in het kader van de rechtmatigheidsverantwoording gehandhaafd blijven. 3.4.2 Sociaal-domein Jeugd en Wmo Pgb bestedingen In 2022 is voor de verstrekte Pgb’s een onderzoek uitgevoerd door een extern bureau in de vorm van o.a. huisbezoeken voor (minimaal) de Wmo. Hierbij wordt nader inzicht verkregen in de rechtmatigheid van Pgb-bestedingen en de kwaliteit van de geleverde zorg. Op basis van de uitkomsten van het onderzoek kunnen (getrouw- en rechtmatigheids-)afwijkingen beter in beeld gebracht worden en wordt niet de gehele stroom Pgb-bestedingen als onzeker aangemerkt. De gemeente voert ook zelf uitgebreide controles uit en komt tot de conclusie dat met de huidige interne controlewerkzaamheden onzekerheden ten aanzien van prestatielevering resteren. Zorg in natura (ZiN) bestedingen Jeugd en Wmo Voor de bestedingen Jeugd en Wmo maakt de gemeente gebruik van de controleverklaringen met productieverantwoordingen van de zorgaanbieders. Voor de zorgaanbieders geldt overeenkomstig het landelijk controleprotocol dat zij geen accountantsverklaring hoeven aan te leveren ingeval de bestedingen lager zijn dan € 125.000.

Net als voorgaand jaar ontbreken de controleverklaringen bij productieverantwoordingen van de relatief kleinere zorgaanbieders. Voor deze groep geldt dat de prestatielevering niet vastgesteld kan worden en de bestedingen onzeker zijn. De tot nu toe geconstateerde fouten en onzekerheden blijven onder de tolerantiegrens en heeft geen impact op het oordeel. Het college kan zich vinden in de voorlopige constateringen. Het externe onderzoek naar de prestatielevering van de Pgb’s en de repressieve controle door het interne auditteam op de prestatielevering zijn van belang en zullen in het kader van de rechtmatigheidsverantwoording gehandhaafd blijven. 3.4.3 Kwaliteit en transparantie jaarstukken Ten aanzien van de kwaliteit en transparantie van de jaarstukken 2022 heeft de accountant vastgesteld dat: • De jaarstukken voldoen aan de vereisten aan de verslaggevingsregels, het Besluit Begroting en Verantwoording gemeenten en provincies (BBV); • Er is sprake van verenigbaarheid van het jaarverslag en de jaarrekening vanuit het belang en begrip van de gebruikers van de jaarstukken vooral gelet op de toegankelijkheid en begrijpelijkheid van de daarin opgenomen toelichtingen en analyses. • De gemeente geeft een inhoudelijke oorzaakanalyse bij ontstane afwijkingen, die antwoord geeft op de vragen: “Waardoor is de afwijking ontstaan en waardoor was de afwijking niet eerder te voorzien c.q.

rapporteren?” • Daarnaast heeft de gemeente aandacht voor verduidelijking van verschillen tussen primaire begroting, gewijzigde begroting en eindresultaat in de jaarrekening. Het college heeft met instemming kennisgenomen van deze constateringen. Hieruit volgen geen specifieke aanbevelingen.

6

4.

Interne beheersing In het najaar voert de accountant een tussentijdse (interim) controle uit. Deze controle is primair gericht op de opzet, het bestaan en de werking van maatregelen van administratieve organisatie en interne beheersing, voor zover van belang voor de controle op de betrouwbaarheid en rechtmatigheid van de in de jaarrekening opgenomen gegevens.

4.1 Opvolging aandachtspunten managementletter 2022 Na afronding van de interim-controle in november 2022 heeft de accountant de managementletter 2022 uitgebracht waarin aandachtspunten voor de jaarrekening 2022 zijn opgenomen. In het accountantsverslag komen deze punten, behoudens IT beknopt terug en geeft de accountant aan in hoeverre de gemeente hieraan opvolging heeft gegeven. Ten aanzien van IT rapporteert de accountant dat de bestaande tekortkomingen in de IT omgeving ertoe hebben geleid dat zij niet zonder meer kunnen steunen op de betrouwbaarheid en continuïteit van de geautomatiseerde gegevensverwerking. Dit heeft voor hun aanpak voor de accountantscontrole niet tot een wijziging geleid. Door het uitvoeren van meer gegevensgericht werk waaronder het uitvoeren van specifieke werkzaamheden om de betrouwbaarheid van data en lijstwerk vast te stellen is de accountant wel in staat geweest om voldoende en geschikte controle-informatie te verkrijgen voor het oordeel bij de jaarrekening. Opmerking van de accountant is wel dat er belangrijke nadelen zijn bij het feit dat onvoldoende opvolging en prioriteit is gegeven aan de eerdere aanbevelingen. De serviceorganisatie (gemeente Haarlem) heeft op basis van de onderwerpen en prioritering uit de managementletter de volgende aandachtspunten opgepakt.

Wij erkennen de zorgen met betrekking tot de betrouwbaarheid en continuïteit van onze informatievoorziening, inclusief cybersecurity. Het feit dat de bestaande tekortkomingen in de ITomgeving blijven voortbestaan, brengt risico's met zich mee voor de gemeente en haar gegevensverwerking. We begrijpen dat dit kan resulteren in niet-betrouwbare data en cijfers, en een grotere impact kan hebben in geval van cybersecurity-incidenten. De sturing op en uitvoeringskracht van de afdeling Informatievoorziening (IV)de afgelopen jaren is hier debet aan. Hier zijn maatregelen op genomen door het aanstellen van een nieuwe afdelingsmanager, drie teammanager en het vaststellen van een afdelingsplan. Daarnaast zijn twee virtuele beveiligingsteams ingesteld die op basis van een met de CISO afgestemde werkvoorraad verbeteringen doorvoeren. Het is tevens duidelijk dat de tekortkomingen in de IT-omgeving een negatieve invloed hebben op de efficiëntie van onze interne controles. Het niet zonder meer kunnen vertrouwen op geautomatiseerde gegevensverwerking bemoeilijkt het gebruik van data-analyses en belemmert daarmee de optimale uitvoering van de interne controles. Daarom zullen we actie ondernemen om de aanbevelingen met betrekking tot de betrouwbaarheid van de geautomatiseerde gegevensverwerking op te volgen.

7

De geconstateerde kwetsbaarheden kunnen grote gevolgen hebben voor de beschikbaarheid, betrouwbaarheid en vertrouwelijkheid van informatie. Het beperken van de risico’s vereist aandacht op meerdere vlakken - zowel technisch en organisatorisch als in bewust en zorgvuldig gedrag. Denk daarbij aan het continu up-to-date houden van IT-systemen, contracten en processen, naleven van wet- en regelgeving, op peil houden van kennis en vaardigheden en zorgvuldig omgaan met informatie. Ook het treffen van maatregelen voor continuïteit en het periodiek oefenen en testen draagt bij aan de weerbaarheid en continuïteit. We zijn daarom gestart met een pakket aan IT General Controls (ITGC) als beheersmaatregelen dat in de tijd geprioriteerd is maar allemaal de hoogste prioriteit en aandacht heeft: We zijn daarom gestart met een pakket aan IT General Controls (ITGC) als beheersmaatregelen dat in de tijd geprioriteerd is maar allemaal de hoogste prioriteit en aandacht heeft: •Detectie en respons: het herkennen en analyseren van incidenten, kunnen waarnemen of er een ongewenste bezoeker op ons netwerk binnen komt en daar op acteren. We doen dit door te investeren in Security Operations Center en Security Information & Event Management. •Herstel fase: het repareren van schade en doorvoeren van verbeteringen in de beveiliging. Dit doen we door de back-up in de cloud te doen.

•Preventie: Zowel technisch als door het vergroten van het beveiligingsbewustzijn van medewerkers. Tevens belangrijk in het licht van preventie is het op orde brengen van het beheer bij IV. Hier wordt een belangrijke verbeterslag gemaakt doordat wordt gewerkt met Life Cycle Management. Een systeem of applicatie wordt gedurende zijn levensloop gevolgd en als een update of vervanging nodig is kan dit tijdig worden gepland. • Toegangsbeheer als preventieve maatregel: Identity en Access Management, per 1 januari jl. is hier een programma voor gestart. Het programma start met de basis van ons toegangsbeheer. Daarmee verbeteren we de beveiliging door te bepalen en in te regelen wie wanneer toegang heeft tot welke informatie en welke applicaties. Een beperkende maatregel en daarom preventief.

8

Dit is een uitgave van gemeente Zandvoort, 26 mei 2023

Tekst: Concerncontrol, Fotografie: -, Ontwerp: -, Drukwerk: ________________________________ Postbus 2 2040 AA Zandvoort Tel. 14 023 zandvoort.nl

9