Reactie college accountantsverslag - 25 juni 2024

Accountantsverslag Deloitte 2023 - reactie van het college aan de raad

24 juni 2024 Concerncontrol

Inhoudsopgave 1.

Inleiding

3

2.

Proces en conclusie

3

2.1

Samenstelproces jaarstukken 2023

3

2.2

Controleverklaring 2023

4

3.

Wat is er nieuw in deze controle

4

4.

Speerpunten accountantscommissie

4

5.

Bevindingen jaarrekening

6

5.1

Financiële positie van de gemeente

6

5.2

Rechtmatigheidsverantwoording

6

5.3

Sociaal domein

7

5.4

Grondexploitaties

7

5.5

Fraude, integriteit, en naleving wet- en regelgeving

8

5.6

Interne beheersing

8

5.7 Betrouwbaarheid en continuïteit van de automatiseringsomgeving inclusief Cyber Security 9

2

1.

Inleiding In het kader van de opdracht die aan de accountant is verstrekt, heeft Deloitte het accountantsverslag 2023 uitgebracht. Deloitte heeft haar controlebevindingen besproken met de portefeuillehouder financiën en vertegenwoordigers van de ambtelijke organisatie. De jaarrekeningcontrole is voor de vierde keer uitgevoerd door Deloitte. In deze notitie informeert het college de raad over de uitkomsten van de controle (hoofdstuk 2) en de reactie op en beoogde opvolging van de aanbevelingen die zijn opgenomen in het rapport van bevindingen (hoofdstuk 3).

2.

Proces en conclusie 2.1 Samenstelproces jaarstukken 2023 Het opstellen van de jaarrekening 2023 is goed verlopen. De planning is eind vorig jaar gewijzigd, hier zat een omissie in. Ondanks deze omissie in de planning, is er door de flexibiliteit van beide organisaties voor gezorgd dat ook de planning gehaald kon worden. In totaal zijn twee rondes voor naposten (correcties) nodig geweest om tot de definitieve jaarrekening te komen. Voor de bijlagen bij de jaarrekening (Wet normering topinkomens, taakvelden, Single Information Single Audit1 (SiSa)) heeft Deloitte geen bevindingen geconstateerd. Het heeft dit jaar voor de controlewerkzaamheden van Deloitte heel erg geholpen dat het Auditteam op sterkte is gekomen in 2023. Hierdoor zijn onderwerpen vervroegd, bijvoorbeeld de SiSa controle kon al worden gedaan, terwijl in voorgaande jaren pas richting einde van de controle kon worden opgestart. De doorlooptijd van de controle is daardoor efficiënter uitgepakt. Dit geldt ook voor het beoordelen van de Grex’en. Door de korte lijnen met het Auditteam, heeft dat profijt opgeleverd in de samenwerking. Het controleproces is daardoor nog weer beter verlopen dan vorig jaar. Een belangrijk aandachtspunt wordt gezien in het verbeteren van de voorspellende waarde van de begroting en het daarmee samenhangende capaciteitsvraagstuk.

Ten opzichte van de primaire begroting bestaan relatief grote verschillen aan zowel de lasten- als de batenkant. Het spanningsveld tussen ambitie en realisatie blijft een aandachtspunt. Een ander belangrijk aandachtspunt voor het verantwoordingsjaar 2024 is het begrotingscriterium, als onderdeel van de Rechtmatigheidsverantwoording. ‘Het college betrekt de overschrijdingen van de lasten en investeringen ten opzichte van de begroting na wijziging en (bekende of bekend behoorden te zijn) afwijkende baten en

1

Gemeenten en provincies kunnen extra geld krijgen om specifiek beleid van de Rijksoverheid uit te voeren. Dit zijn specifieke uitkeringen. Gemeenten en provincies moeten elk jaar aan de Rijksoverheid melden of en hoe ze het geld hebben besteed. Dit doen zij via de methodiek SiSa: single information, single audit. Dit betekent eenmalige informatieverstrekking, eenmalige accountantscontrole. Deze verantwoording hoort als bijlage bij de jaarstukken die gemeenten en provincies maken.

3

onderschrijdingen van lasten en investeringen die niet tijdig tot een aanpassing van de begroting hebben geleid bij de fouten en onduidelijkheden in de rechtmatigheidsverantwoording.’ Dit betekent concreet dat de cijferanalyse van de laatste mogelijkheid tot bijstellen van de baten en de lasten van de begroting (Decemberrapportage), zal moeten worden verbeterd om de onrechtmatigheden in 2024 kleiner te laten zijn. Ten aanzien van de kwaliteit en transparantie van de jaarstukken zijn de volgende bevindingen in het rapport opgenomen: • De jaarstukken 2023 voldoen aan de vereisten uit het BBV; • Het jaarverslag is verenigbaar met de jaarrekening; • Er is opvolging gegeven aan de aanbeveling om de inhoudelijke oorzaakanalyse te verbeteren. • Er is aandacht voor verduidelijking van verschillen tussen primaire begroting, gewijzigde begroting en eindresultaat in de jaarrekening.

2.2 Controleverklaring 2023 Door de accountant geconstateerde fouten en onzekerheden ten aanzien van de getrouwheid zijn binnen de goedkeuringstolerantie zoals vastgestelde door de gemeenteraad. De accountant heeft een goedkeurende controleverklaring voor zowel de getrouwheid als rechtmatigheid bij de jaarrekening 2023 verstrekt.

3.

Wat is er nieuw in deze controle Dit verantwoordingsjaar is het onderdeel Rechtmatigheidsverantwoording nieuw. Nieuw in de zin dat er voorgaande jaren een pilot is opgenomen in de jaarstukken, en nieuw in de zin dat het vanaf dit verantwoordingsjaar een verplicht onderdeel vanuit de wet- en regelgeving is geworden. In vergelijking met vorig verantwoordingsjaar, zijn de spelregels door Ministerie van BZK – Commissie BBV ten aanzien van het begrotingscriterium gewijzigd. Op basis van de financiële verordening zou er geen sprake zijn van onrechtmatigheden op dit onderdeel. Vorig jaar was het de accountant die een oordeel moest geven over de rechtmatigheid. Voor de accountant was er vorig jaar nog de mogelijkheid om de begrotingsonderschrijdingen te betrekken bij de begrotingsoverschrijdingen, deze als acceptabel aan te merken en daardoor telden deze overschrijdingen niet mee. Dit jaar is dit in de gewijzigde setting niet meer mogelijk.

4.

Speerpunten accountantscommissie Door de accountantscommissie is een tweetal aanbevelingen meegegeven voor de controle van Deloitte. • De afspraken die de gemeente heeft gemaakt met parkeerservice over de wijze van afleggen van verantwoording door parkeerservice; • Inzicht in geplande versus gerealiseerde kosten en opbrengsten van de grondexploitaties, inclusief belangrijke wijzigingen ten opzichte van voorgaand jaar.

4

Ten aanzien van het speerpunt in verband met de gemaakte afspraken met parkeerservice en de verantwoording, heeft Deloitte geconstateerd dat de gemeente Zandvoort een uitvoeringsovereenkomst heeft waarin is opgenomen dat de gemeente maandelijks een rapportage ontvangt en dat er een dashboard is waar de accountantscommissie toegang tot heeft. Met betrekking tot de rapportage geeft Deloitte aan dat zij kennis hebben genomen van de maandrapportage van augustus 2023. Parkeerservice legt jaarlijks verantwoording af aan de hand van ”Rapportage Parkeeropbrengsten Zandvoort”, die door een externe account ook wordt voorzien van een rapport van bevindingen. In de controleverklaring die aan de gemeente Zandvoort wordt verstrekt door Parkeerservice, is als oordeel opgenomen dat de afdracht van parkeergelden aan de gemeente Zandvoort over 2023 in alle van materieel belang zijnde aspecten opgesteld in overeenstemming met de betalingen vanaf de bankrekening(en) van Stichting derdengelden Parkeerservice aan de gemeente Zandvoort. Voor het tweede speerpunt wordt verwezen naar de bevindingen in het accountantsverslag over dit onderdeel. Voor wat betreft de speerpunten van de accountantscommissie, kan het college zich vinden in de aanbevelingen die zijn opgenomen in het accountantsverslag.

5

5.

Bevindingen jaarrekening In deze paragraaf geeft het college op basis van de in het accountantsverslag van Deloitte opgenomen bevindingen haar reactie en beoogde opvolging. Naar aanleiding van de in 2023 uitgebrachte Management Letter is gestart met het opvolgen van de daarin opgenomen aanbevelingen. Naar aanleiding daarvan worden in het accountantsverslag verschillende verbeteringen opgemerkt waardoor niet voor alle onderwerpen in dit hoofdstuk concrete aanbevelingen worden gedaan.

5.1 Financiële positie van de gemeente In het kort zijn de conclusies dat de reservepositie ultimo 2023 is toegenomen ten opzichte van 2022 en dat de weerstandscapaciteit hoger is dan de door de gemeente Zandvoort onderkende en aanwezige risico’s. Het weerstandsvermogen is op basis hiervan toereikend. Het voordelige rekeningresultaat bedraagt € 8,9 miljoen. De begroting is voor de raad een belangrijk sturingsinstrument en is kaderstellend voor beleid en financiën. Voor het college het kader om het beleid en doelen te realiseren. Een belangrijk aandachtspunt is de investeringsbegroting en realisatie. De realisatie van investeringen blijft achter op wat is begroot. Daarnaast is er is een positief rekeningresultaat gerealiseerd, wat ook om aandacht vraagt. Deloitte geeft aan dat de investeringsbegroting een punt van aandacht blijft, vanwege de onderbesteding en adviseert bij de Voorjaarsnota 2024 een beschouwing te doen van de realisatiekracht. Het advies van Deloitte blijft van kracht om aandacht te hebben voor de balans tussen ambitie en capaciteit. Budgetten, capaciteit en taken dienen in samenhang te worden overwogen om een realistische begroting te kunnen opzetten. Een belangrijk aandachtspunt wordt gezien in het verbeteren van de voorspellende waarde van de begroting en het daarmee samenhangende capaciteitsvraagstuk.

Ten opzichte van de primaire begroting bestaan relatief grote verschillen aan zowel de lasten- als de batenkant. Het spanningsveld tussen ambitie en realisatie blijft een aandachtspunt. 5.1. Het college heeft met instemming kennisgenomen van deze bevindingen. Hieruit volgen specifieke aanbevelingen. - Het college is zich bewust van de realisatie opgaven in de investeringen en zal daar in de Programmabegroting 2025 aandacht aan geven, dat geldt ook voor het reëler ramen van de primaire begroting.

5.2 Rechtmatigheidsverantwoording Voor de jaarrekeningcontrole is door de afdeling Financiën een spendanalyse voorbereid, waarbij de organisatie op basis van de onderliggende contracten, in voorgaande jaren uitgevoerde controles en bij interne juristen ingewonnen adviezen is getoetst of over 2023 de Europese aanbestedingsrichtlijnen zijn nageleefd. Vervolgens heeft het Auditteam hierop een audit uitgevoerd. Op basis van de uitgevoerde controlewerkzaamheden door Deloitte, waarbij opgemerkt wordt door Deloitte dat zij de getrouwheid van de getrokken conclusies heeft vastgesteld, kan worden geconcludeerd dat op vanuit de interne controle over 2023 er sprake is van een aantal afwijkingen

6

van de aanbestedingsrichtlijnen voor een totaalbedrag van € 124.000. In 2022 bedroeg dit bedrag nog € 45.000. De afwijking bestaat voor een bedrag van € 57.500 uit doorwerkende rechtmatigheidsafwijkingen van vorig boekjaar en voor € 66.500 uit in 2023 nieuw geconstateerde Europese aanbestedingsafwijkingen. De conclusie is verder dat de fout in (beperkte mate) is toegenomen ten opzichte van vorig jaar en als gevolg van het aantal en de omvang van onrechtmatigheden een blijvend aandachtspunt vormt voor de interne beheersing. Deloitte adviseert om vast te stellen waar beïnvloeding en bijsturing mogelijk is en acties te nemen om doorwerking van onrechtmatigheden in de toekomstige jaren te voorkomen. Verder constateert Deloitte dat de Europese aanbestedingsafwijkingen veelal voortkomen uit het overschrijden van de contracttermijn en/of doelwaarde. Het adviespunt van Deloitte op dit onderdeel in de Management letter 2023 blijft daarmee van kracht. 5.2. Het college kan zich vinden in de constatering van Deloitte dat de (EU)-aanbestedingen blijvend aandacht verdienen. Ook dit jaar zal er extra aandacht worden besteed aan de bevindingen uit de interne controle door middel van het opstellen van een directienota waarin de individuele bevindingen zullen worden voorzien van passende acties.

5.3 Sociaal domein 5.3.1 Bijstelling lumpsum Jeugdzorg (Perceel 1) en finale kwijting Gedurende 2023 is periodiek (in regionaal verband) met de consortia gesproken over het definitieve lumpsum budget en de benutting daarvan. De overeenstemming over het definitieve lumpsum budget krijgt zijn weerslag in een wederzijds ondertekend document, waarin de financiële afspraken over het boekjaar definitief zijn vastgelegd en finale kwijting wordt verleend. Ten aanzien van het proces van het komen tot een definitieve afrekening met jeugdzorgaanbieders heeft Deloitte in de ML2023 geadviseerd aan het college tijdig dit proces op te starten. Deze aanbeveling blijft overeind in het accountantsverslag. 5.3.1. Het college kan zich vinden in de aanbevelingen die zijn opgenomen in het accountantsverslag en verzoekt de organisatie zorg te dragen voor het tijdig opstarten van dit proces in 2024. 5.3.2. Zorg in natura op basis van P*Q Er wordt conform de SDO notitie geëvalueerd en vanuit de eigen interne beheersing dat de prestatielevering voor zorgaanbieders met besteding groter dan € 100.000, waar de productieverantwoording een anders dan goedkeurende controleverklaring is afgegeven, als onzeker kwalificeren. 5.3.2. Het college heeft met instemming kennisgenomen van deze bevindingen. Hieruit volgen geen specifieke aanbevelingen.

5.4 Grondexploitaties Grondexploitatieberekeningen zijn onderhevig aan schattingen en hebben daarom volop de aandacht tijdens de accountantscontrole. De accountant beoordeelt de door de gemeente gehanteerde veronderstellingen voor de actualisatie, opbrengstenstijging en de gehanteerde rekenrente. Daarnaast wordt een risicoanalyse uitgevoerd ter bepaling van het risicoprofiel van de individuele grondexploitaties Op basis van het saldo en de gemaakte inschattingen zijn de

7

grondexploitaties onderdeel van de accountantscontrole. Voor de accountantscontrole zijn de Grondexploitaties relevant om twee redenen: 1. Door het saldo ultimo 2023 van € 13,8 miljoen, waarop een voorziening in mindering is gebracht van € 7,1 miljoen; 2. De schattingen die een rol spelen bij het ramen van de in 2024 e.v. nog te realiseren lasten van € 6,8 miljoen en baten € 13,3 miljoen. Als onderdeel van de controle van de waardering van de bouwgronden in exploitatie, heeft Deloitte een risicoanalyse uitgevoerd om de kans te bepalen of het risicoprofiel van de individuele grondexploitaties en de kans op een materiele fout in de waardering. Hierbij is de huidige boekwaarde betrokken, het geprognosticeerde resultaat en de aard en de omvang van de nog te realiseren baten en lasten. De uitgangspunten die in de grondexploitaties en dus in de jaarrekening 2023 zijn verwerkt, zijn door Deloitte getoetst en als aannemelijk aangemerkt. Schattingen met betrekking tot de grondexploitaties geven een betrouwbaar beeld van de waardering van de grondexploitaties. In het accountantsverslag worden geen specifieke verbeterpunten of aanbevelingen meegeven met betrekking tot de grondexploitaties. 5.4. Het college heeft met instemming kennisgenomen van deze bevindingen. Hieruit volgen geen specifieke aanbevelingen.

5.5 Fraude, integriteit, en naleving wet- en regelgeving In 2020 is voor het eerst de frauderisicoanalyse opgesteld. Dit document is in 2024 voor verantwoordingsjaar 2023 geactualiseerd en wordt nog besproken met de portefeuillehouder financiën en aangeboden ter bespreking in de auditcommissie. Vanuit de accountantscontrole 2023 zijn geen fraudegevallen geconstateerd. De conclusie is dat er op een adequate wijze opvolging wordt gegeven aan geïdentificeerde integriteitskwesties en dat tijdig in contact wordt getreden met Deloitte. 5.5. Het college heeft met instemming kennisgenomen van deze bevindingen. Hieruit volgen geen specifieke aanbevelingen.

5.6 Interne beheersing In de Management Letter 2023 is door Deloitte een aantal aandachtspunten voor het opstel- en controle proces benoemd. Naar aanleiding van de evaluatie “opstel- en controleproces” tussen Deloitte en de ambtelijke organisatie, hieronder de bevindingen: - Tijdens de controle is opgemerkt dat er meer onderling begrip is bij de uit te voeren werkzaamheden; - Het projectmanagement van de jaarrekeningcontrole van Deloitte is verder geïntegreerd met die van de gemeente; - Gedurende de controle is een wekelijks afstemmingsoverleg ingevoerd, wat prettig heeft gewerkt. -

5.6. Het college heeft met instemming kennisgenomen van deze bevindingen. Hieruit volgen geen specifieke aanbevelingen.

8

5.7 Betrouwbaarheid en continuïteit van de automatiseringsomgeving inclusief Cyber Security Ten aanzien van de betrouwbaarheid en continuïteit van de automatiseringsomgeving inclusief Cyber Security heeft Deloitte de volgende aanbevelingen gedaan: (Voor de detailaanbevelingen wordt verwezen naar de geheime bijlage die bij de Management Letter 2023 is toegestuurd, daarnaast behoeft dit onderdeel verdere aandacht.) - Er is een verhoogd risico op tekortkomingen in de geautomatiseerde gegevens verwerking die bijvoorbeeld kunnen resulteren in niet-betrouwbare data c.q. cijfers en een grote(re) impact kunnen hebben indien er sprake is van Cyber Security incidenten. - Als gevolg van het (vooralsnog) onvoldoende opvolgen van de aanbevelingen op dit gebied heeft Deloitte ook voor de jaarrekeningcontrole 2023 niet zonder meer kunnen steunen op de geautomatiseerde gegevensverwerking. Het gevolg van deze conclusie is dat Deloitte meer gegevensgericht werk heeft moeten verrichten, waaronder het uitvoeren van de specifieke werkzaamheden om de betrouwbaarheid van data en lijstwerk vast te stellen. o Wellicht ten overvloede, dit is net zoals voorgaande jaren, en speelt bij veel gemeenten.

- Deloitte benoemt ten aanzien van Cyber Security dat er inzicht en ambitie is in wat er moet gebeuren en er zijn diverse plannen / projecten om dit realiseren, maar de daadwerkelijke realisatie en het neerzetten van de basis door het implementeren van aanbevelingen en richtlijnen gaat nog niet op alle gebieden snel genoeg. - Deloitte verwijst tevens naar de aanbevelingen die zijn gedaan bij de Management letter 2023 (geheime bijlage). 5.7. Het college heeft met instemming kennisgenomen van deze bevindingen. Hieruit volgen specifieke aanbevelingen. General IT controls Het college herkent de constateringen en aanbevelingen die de accountant in het rapport van bevindingen noteert op het punt General IT controls/ betrouwbaarheid en continuïteit automatiseringsomgeving. Het college erkent dat de maatregelen die dit jaar uitgevoerd zouden worden om de risico’s op dit aspect te verkleinen, niet volledig tot uitvoering zijn gekomen. Er zijn weliswaar verbeteringen doorgevoerd in informatievoorziening rond privacy& security en er is voortgang geboekt op Identity & Access Management. Het vergroten van het bewustzijn van medewerkers voor Privacy & Security issues heeft permanente aandacht en ook voeren we updates en ‘beveiligingdspatches’ van applicaties steeds sneller uit. Ook de extra inspanningen rond Business Continuity leiden tot verbeteringen, zoals de accountant ook constateert.

Tegelijkertijd zien we dat een aantal fundamentele verbeteringen (visievorming ons IT-landschap, Lifecycle Management, kaderstelling rond bv Service Level Agreements en Disaster Recovery, ) in 2023 trager is verlopen dan was gepland. De oorzaak hiervoor is gelegen in een aantal zaken: de managementstructuur en daarmee de sturing van de afdeling IV was in 2023 nog in opbouw, de onderbezetting op die afdeling was enorm (16 vacatures op 78 fte in het 2e half jaar 2023) en er waren acute issues die voorrang kregen in de prioriteitsstelling (denk aan het operationeel houden van ons datacenter). Op dit moment heeft het doorvoeren van structurele verbeteringen in visievorming, kaderstelling en sturing en beheersing op I-processen de hoogste prioriteit, tot op niveau van de directie. Er is extra capaciteit ter beschikking gesteld in de CIO-rol, de bezetting bij IV is weer op orde en de organisatie van het I-domein (de organisatieonderdelen die zich met Informatievoorziening bezighouden) wordt tegen het licht gehouden. Er worden dus substantiële stappen in de goede

9

richting gezet, gestart in 2023 en doorgezet in 2024. Belangrijke general IT controls komen op orde en er zijn desondanks nog steeds veel stappen te zetten. Deloitte kan daardoor niet zondermeer steunen op de geautomatiseerde gegevensverwerking, hetgeen overigens voor veel gemeenten in Nederland geldt. Betrouwbaarheid en continuïteit automatiseringsomgeving NIS2/ Cyber Security: wij hebben als college tijdig onderkend dat vanuit Europa verzwaarde eisen gesteld gaan worden aan informatieveiligheid. Met NIS2 verschuift het accent van risico’s van impact op onze organisatie naar impact op de samenleving. Hoewel Nederland op rijks niveau vertraging heeft opgelopen met de vertaling van NIS2 naar nationale wetgeving, hebben wij vanuit de Europese wet- en regelgeving de betekenis in kaart gebracht. Een programmamanager is aangesteld om de implementatie van NIS2 voor te bereiden (fase 1) en daarna met onze organisatie daadwerkelijk te implementeren (fase2).

10

Dit is een uitgave van gemeente Zandvoort, 24 juni 2024

Tekst: Concerncontrol, Fotografie: -, Ontwerp: -, Drukwerk: ________________________________ Postbus 2 2040 AA Zandvoort Tel. 14 023 zandvoort.nl

11