RIB24.124 1-bijlage 1 Kadernota VIC 2024 - 2027

Kadernota Verbijzonderde Interne Controle Gemeente Zeist

Team Control Vastgesteld in het college van 10 september 2024

Inhoudsopgave 1 2

3

4

5

6

7

Inleiding

3

1.1

3

Leeswijzer

Doel en kader

4

2.1 2.2 2.3

4 4 5

Doelstelling Wettelijk kader Rechtmatigheid en Rechtmatigheidsverantwoording

Toleranties

8

3.1 3.2

8 8

Verantwoordingsgrens en rapportagegrens Nadere duiding soorten afwijkingen

Interne beheersomgeving

11

4.1 4.2 4.3 4.4

11 11 13 14

Interne beheersing en interne controle Drie lijnen model Inrichting VIC functie Control en samenwerking externe accountant

De controleaanpak op hoofdlijnen

15

5.1 5.2 5.3 5.4

15 16 17 18

Uitgangspunten Te controleren processen en controlefrequentie Overige verbijzonderde interne controle onderwerpen Uitvoering

Uitvoering (verbijzonderde) interne controle

19

6.1 6.2 6.3 6.4 6.5 6.6 6.7

19 19 20 20 21 21 21

Werkwijze Nadere toelichting controleaanpak Toetsingskader Uitvoering (verbijzonderde) interne controle Fouten en bevindingen Vastlegging controles Rapportering en monitoring

Planning in het boekjaar op hoofdlijnen

23

Bijlage 1: Modelverantwoording

24

Bijlage 2: Beslisboom getrouwheid- en rechtmatigheidsbevindingen

25

Bijlage 3: Schematische weergave afwegingskader misbruik en oneigenlijk gebruik

26

Kadernota Verbijzonderde Interne Controle Zeist

2/28

1

Inleiding

Afgelopen jaren stelde het team Control jaarlijks of voor twee jaar het Verbijzonderde Interne Controleplan op. In het vorige plan is al aangegeven te willen komen tot een kaderdocument voor meerdere jaren en een uitvoeringsplan per jaar waarin aanvullende accenten worden gelegd. Dit is mogelijk omdat de werkzaamheden die zowel voor de rechtmatigheid als de getrouwheid verricht dienen te worden niet wezenlijk per jaar veranderen. Nu de eerste Rechtmatigheidsverantwoording in de jaarrekening is opgesteld is duidelijk wat er qua werkzaamheden verwacht wordt. Hierdoor is het mogelijk een Kadernota Verbijzonderde Interne Controle op te stellen waarin de kaders voor de Verbijzonderde Interne Controle zijn vastgelegd. De verbijzonderde interne controle is een risico gestuurd instrument voor de interne beheersing van materiële processen1 voor de jaarrekeningcontrole. Met deze kadernota scheppen we de randvoorwaarden en kaders voor de door de gemeente uit te voeren (verbijzonderde) interne controlewerkzaamheden vooruitlopend op de jaarrekeningcontrole door de externe accountant. Omdat de raad, onder meer ondersteund door de externe accountant, controleert of het op een rechtmatige en getrouwe wijze de afspraken nakomt, versterkt deze nota tevens de controlerende rol van de raad.

Het uitvoeringsplan geeft daarnaast inzicht in de uit te voeren (verbijzonderde) interne controlewerkzaamheden binnen Zeist. We werken in Zeist vanuit de kernwaarden vertrouwen, nabijheid en kracht. We leggen verantwoordelijkheden laag in de organisatie neer en geven medewerkers hierdoor ruimte. Naarmate teams zelf meer beheersmaatregelen nemen ter borging van de kwaliteit, rechtmatigheid en betrouwbaarheid van hun werkzaamheden en daarover verantwoording afleggen, ontstaat meer ruimte voor medewerkers om zelf hun werk in te richten en te groeien. Het streven is maximaal vertrouwen, geborgd door (daar waar nodig en mogelijk is) systeemgerichte controles, softcontrols en minimale gegevensgerichte controles. Op dit moment worden de controles nog met name door team Control uitgevoerd en zijn voor de meeste materiële processen nog intensieve gegevensgerichte controles noodzakelijk om de rechtmatigheid en getrouwheid van de jaarrekening te borgen. Een verdere doorontwikkeling en borging van het drie lijnen model en datagedreven werken blijft nog steeds noodzakelijk om de organisatie zelf in control te laten zijn. Deze kadernota wordt vastgesteld door het college en ter kennisname voorgelegd aan de Auditcommissie.

Het team Control blijft met de directie en proceseigenaren in gesprek over de randvoorwaarden en uitvoering en borging van de (verbijzonderde) interne controle in de organisatie. Elke vier jaar, of eerder indien hier aanleiding toe is, wordt deze kadernota geactualiseerd.

1.1

Leeswijzer

In hoofdstuk 2 wordt ingegaan op het doel en de kaders voor de verbijzonderde interne controle. De toleranties worden beschreven in hoofdstuk 3. Vervolgens wordt in hoofdstuk 4 de interne beheersomgeving besproken. De controle aanpak op hoofdlijnen wordt beschreven in hoofdstuk 5 waarna in hoofdstuk 6 specifieker wordt ingegaan op de uitvoering van de (verbijzonderde) interne controle. In hoofdstuk 7 staat de planning van de verbijzonderde controle per boekjaar in hoofdlijnen beschreven.

1

De som van fouten in de jaarrekening mag niet boven de 1% komen ten aanzien van getrouwheid én rechtmatigheid. Alle processen waar meer dan 1% baten of lasten, inclusief dotaties aan reserves, omvatten worden gecontroleerd. Deze processen worden materiële processen genoemd. Zie verder hoofdstuk 3 ‘Toleranties’. Kadernota Verbijzonderde Interne Controle Zeist

3/28

2

Doel en kader

2.1

Doelstelling

Om een getrouwe en financieel rechtmatige verantwoording te kunnen garanderen is een goede interne beheersomgeving met daarin opgenomen maatregelen van interne controle noodzakelijk. De verbijzonderde interne controle (VIC) van Zeist is gericht op het verkrijgen van inzicht vanuit de eigen organisatie in de getrouwe en rechtmatige totstandkoming van baten, lasten en balansmutaties zoals deze in de jaarrekening tot uitdrukking komen. Hierbij wordt onder meer gekeken naar de opzet, het bestaan en de werking van relevante beheersmaatregelen, alsmede de (fraude)risico’s die aanwezig zijn ten aanzien van de getrouwheid en rechtmatigheid. Gelet op het drie lijnen model2 is de verbijzonderde interne controle een aanvulling op de reguliere interne controle omdat: • er een objectief oordeel gegeven wordt over de opzet, het bestaan en de werking van de interne controles en beheersmaatregelen die in de lijn uitgevoerd worden; • de focus ligt op de processen met de grootste (financiële) risico’s (materiële processen). Om dit mogelijk te maken is het van belang dat we als organisatie samenwerken en op alle niveaus verantwoordelijkheid nemen voor het bewaken van de kwaliteit en effectiviteit van de interne beheersing van de processen/ financiële stromen en zo nodig maatregelen treffen.

De verbijzonderde interne controle is dan ook een instrument om vast te stellen dat de interne beheersing van de belangrijkste financiële processen voldoet. De doelstelling van dit verbijzonderde interne controleplan is: op een gestructureerde en systematische wijze invulling te geven aan het uitvoeren van de verbijzonderde interne controles om primair de rechtmatigheid van de baten, lasten en balansmutaties vast te stellen en secundair risicogericht de getrouwheid hiervan te toetsen. De uitkomsten van de verbijzonderde interne controles vormen de bouwstenen van de in de jaarrekening op te nemen Rechtmatigheidsverantwoording door het college. Aan procesverantwoordelijken, managers en directie worden bevindingen en aanbevelingen gerapporteerd om, indien nodig, de interne beheersing te verbeteren. Deze aanbevelingen worden periodiek gemonitord. Hierdoor leveren wij een bijdrage aan het lerend vermogen van de organisatie volgens de ‘Plan-do-check-act’ cyclus. Tenslotte geeft de verbijzonderde interne controle een mogelijkheid voor de externe accountant om hiervan gebruik van te maken voor de eigen controlewerkzaamheden en oordeelsvorming van de getrouwheid van de jaarrekening als geheel.

2.2

Wettelijk kader

De grondslag van de (verbijzonderde) interne controle is gelegen in artikel 212 en 213 Gemeentewet, verder uitgewerkt in de Financiële verordening gemeente Zeist 2023 en de Verordening controle financiële beheer en organisatie (artikel 213 Gemeentewet) gemeente Zeist 2023. In artikel 26 ‘Interne controle’ van de Financiële verordening gemeente Zeist 2023 staat genoemd: 1. Het college draagt zorg voor de jaarlijkse interne toetsing van de getrouwheid van de informatieverstrekking en de rechtmatigheid van de beheershandelingen. Bij afwijkingen rapporteert het college daarover in de rechtmatigheidsverantwoording, als onderdeel van de paragraaf bedrijfsvoering van de jaarstukken. Daarnaast informeert het college de raad over genomen maatregelen tot herstel van de tekortkomingen. 2 Voor verdere uitleg zie hoofdstuk 4.2 ‘Drie lijnen model’.

Kadernota Verbijzonderde Interne Controle Zeist

4/28

2. Het college draagt zorg voor de borging van de objectiviteit, deskundigheid en kwaliteitsbeheersing van de interne controle. 3. Het college zorgt voor de systematische controle van de registratie en de ontwikkeling van de bezittingen en het financieel vermogen van de gemeente. Bij afwijkingen in de registratie neemt het college maatregelen voor herstel van de tekortkomingen. In artikel 5 lid 1, 6 en 7 van de ‘Verordening controle financiële beheer en organisatie (artikel 213 Gemeentewet) gemeente Zeist 2023’ staat: 1. Burgemeester en wethouders zijn verantwoordelijk voor de samenstelling van de jaarrekening, met de rechtmatigheidsverantwoording, conform de geldende interne- en externe wet- en regelgeving en overlegt deze aan de accountant voor de accountantscontrole. 6. De accountant maakt voor de controle van de in de jaarrekening opgenomen rechtmatigheidsverantwoording door burgemeester en wethouders zo veel mogelijk gebruik van het namens burgemeester en wethouders uitgevoerde onafhankelijke onderzoek. 7. De accountant maakt in de accountantscontrole zo veel mogelijk gebruik van de aanwezige interne beheersing van de werkzaamheden van de interne auditfunctie van de gemeente en stimuleert door een zo veel mogelijke organisatiegerichte accountantscontrole de verdere kwaliteitsverbetering en professionalisering.

2.3

Rechtmatigheid en Rechtmatigheidsverantwoording

2.3.1

Begrip rechtmatigheid

Het juridische begrip rechtmatigheid heeft betrekking op het voldoen aan wettelijke kaders en regelgeving. Hierbij gaat het niet om alleen om zogenaamde externe regelgeving, zoals Europese en nationale wetgeving, maar ook om eigen regels van de gemeente. Het begrip rechtmatigheid in het kader van de rechtmatigheidsverantwoording is een minder omvattend begrip. Bij rechtmatigheid in het kader van de rechtmatigheidsverantwoording bestaat er een duidelijke relatie met het financiële beheer. Er moet worden vastgesteld dat baten, lasten en balansmutaties rechtmatig tot stand zijn gekomen. Het gaat om de financiële beheershandelingen. Het gaat dan ook om financiële rechtmatigheid. Als de onrechtmatige beheershandeling geen mogelijke financiële gevolgen heeft spreken we over een formele rechtmatigheidsfout. Deze fout telt niet mee voor de Rechtmatigheidsverantwoording, maar dient mogelijke wel vermeld te worden in de paragraaf bedrijfsvoering van de jaarrekening. Deze fouten kunnen indirect echter wel financiële gevolgen hebben bijvoorbeeld door claims of boetes en dienen beheerst te worden door een systeem van risicomanagement. Zoals in de doelstelling is genoemd vormen de uitkomsten van de verbijzonderde interne controles de bouwstenen voor de op te stellen Rechtmatigheidsverantwoording door het college.

De Rechtmatigheidsverantwoording geeft aan in hoeverre de gemeente Zeist rechtmatig heeft gehandeld over het betreffende boekjaar en de baten, lasten en balansmutaties rechtmatig zijn verantwoord. De Rechtmatigheidsverantwoording wordt opgenomen in de jaarrekening. In bijlage 1 is de modelverantwoording van de rechtmatigheidsverantwoording opgenomen.

2.3.2

Normenkader rechtmatigheid

De voor de rechtmatigheidsverantwoording relevante wet- en regelgeving wordt vastgelegd in het zogenaamde normenkader. De basis voor het normenkader is de Financiële Verordening. In artikel 11 lid 2 van de Financiële verordening gemeente Zeist 2023 staat genoemd: Het college biedt de raad jaarlijks uiterlijk op 31 december ter vaststelling een normenkader rechtmatigheid aan. Dit kader bestaat uit alle relevante (interne) wet- en regelgeving waaruit financiële beheershandelingen kunnen Kadernota Verbijzonderde Interne Controle Zeist

5/28

voortvloeien. Het normenkader wordt opgesteld om het voorwaardencriterium te kunnen toetsen (zie hoofdstuk 2.3.3.1). Externe regelgeving bestaat uit: Algemeen verbindende voorschriften van de EU, zoals Europese aanbestedingsrichtlijnen, formele wetten; algemene Maatregelen van Bestuur; Ministeriële Regelingen en jurisprudentie. Interne regelgeving bestaat uit: verordeningen, richtlijnen en protocollen e.d. met een wettelijke grondslag (zoals verordeningen en formele beleidsregels) en de begroting. Conform de aanbeveling van de commissie BBV en de externe accountant nemen we door de raad gedelegeerde bevoegdheden aan het college niet op in het normenkader. Team Control stelt jaarlijks het geactualiseerde normenkader op, na uitvraag bij de teams. De wet- en regelgeving opgenomen in het normenkader wordt, zover het financiële beheershandelingen betreft, uitgewerkt in een toetsingskader voor de verbijzonderde interne controles. Dit gebeurt in de afzonderlijke checklists per proces.

2.3.3

Rechtmatigheidscriteria

In de jaarrekening legt het college verantwoording af over alle negen criteria van rechtmatigheid. De eerste zes criteria die betrekking hebben op de getrouwheid (en ook onderdeel zijn van de rechtmatigheid) komen tot uitdrukking in de balans en het overzicht van baten en lasten. Deze maken deel uit van de reguliere jaarrekeningcontrole. De accountant geeft hier een oordeel over in het kader van het getrouwe beeld. Er blijven hierdoor drie criteria over voor de Rechtmatigheidsverantwoording. Per gevonden fout dient dus gekeken te worden onder welk criteria het valt.

Bron: Kadernota Rechtmatigheid 2023 van het BBV

2.3.3.1 Begrotingscriterium Bij de rechtmatigheidsverantwoording vormt het begrotingscriterium een belangrijk toetsingscriterium. Hierbij gaat het om het budgetrecht van de raad. Financiële beheershandelingen, die ten grondslag liggen aan de baten en lasten, alsmede de balansposten, dienen tot stand te zijn gekomen binnen de grenzen van de geautoriseerde begroting en hiermee samenhangende programma’s (begrotingscriterium). Uitgangspunt is het niveau waarop de raad de budgetten in de begroting en bij investeringen geautoriseerd heeft. Dit houdt in dat de financiële beheershandelingen dienen te passen binnen de begroting, waarbij het juiste programma, de juiste investering, het toereikend zijn van het begrotingsbedrag, alsmede het begrotingsjaar van belang zijn. Als blijkt dat de gerealiseerde bedragen hoger zijn dan de, ook na de laatste begrotingswijziging, geraamde bedragen dan kan er sprake zijn van onrechtmatige uitgaven (begrotingsonrechtmatigheid) aangezien deze lasten buiten het budgetrecht van de raad tot stand zijn gekomen. Ook onderschrijding van de lasten en/of lagere of hogere baten kunnen onrechtmatig zijn als deze niet tijdig aan de raad zijn gemeld. In de Financiële verordening gemeente Zeist 2023 heeft de raad de kaders bepaald ten aanzien van de begrotingsrechtmatigheid.

Ook begrotingsonrechtmatigheden die binnen de beleidskaders van de raad passen moeten worden opgenomen in de Rechtmatigheidsverantwoording (voor zover de Kadernota Verbijzonderde Interne Controle Zeist

6/28

verantwoordingsgrens voor afzonderlijke fouten of onduidelijkheden is overschreden), maar worden niet nader toegelicht in de Rechtmatigheidsverantwoording. Zij worden als acceptabel bestempeld. 2.3.3.2 Voorwaardencriterium Het voorwaardencriterium heeft betrekking op de eisen die worden gesteld bij de uitvoering van de financiële beheershandelingen. De eisen/voorwaarden zijn afkomstig uit diverse wet- en regelgeving en hebben betrekking op aspecten als doelgroep, termijn, grondslag, administratieve bepalingen, normbedragen, bevoegdheden, bewijsstukken, recht, hoogte en duur. Kaders/voorwaarden die van invloed zijn op de verslaggeving vallen onder het getrouwe beeld en daardoor de reguliere accountantscontrole en worden niet opgenomen in de Rechtmatigheidsverantwoording. Voor de toetsing van het voorwaardencriterium wordt jaarlijks een Normenkader opgesteld (zie hoofdstuk 2.3.2). In bijlage 2 is de beslisboom voor getrouwheids- en rechtmatigheidsbevindingen van de commissie BBV opgenomen. 2.3.3.3 Misbruik en Oneigenlijk gebruik criterium De rechtmatigheidseis betreft ook de toetsing op juistheid en volledigheid van de gegevens, die door belanghebbenden zijn verstrekt om het voldoen aan voorwaarden aan te tonen. Dit ter voorkoming en bestrijding van misbruik en oneigenlijk gebruik van wet- en regelgeving (Misbruik en Oneigenlijk gebruik-criterium).

Onder misbruik wordt verstaan: het opzettelijk niet, niet tijdig, onjuist of onvolledig verstrekken van gegevens met als doel ten onrechte overheidssubsidies of -uitkeringen/bijdragen te verkrijgen, dan wel met het doel om voor een te laag bedrag aan heffingen aan de overheid te betalen. Misbruik van overheidsgelden kan gelijk worden gesteld met het plegen van fraude, om zich onrechtmatig overheidsgelden toe te eigenen. Bij fraude passen beheersmaatregelen zoals fraudepreventie, handhaving, fraudeopsporing en sancties. Onder oneigenlijk gebruik wordt verstaan: Het door het aangaan van rechtshandelingen, al dan niet gecombineerd met feitelijke handelingen, verkrijgen van overheidsbijdragen of het niet dan wel tot een te laag bedrag betalen van heffingen aan de overheid, in overeenstemming met de bewoordingen van de regelgeving maar in strijd met het doel en de strekking daarvan. De beheersmaatregelen die daarbij passen zijn: handhaving, voorlichting, analyse toepassen en actualisering wet- en regelgeving. Misbruik is onrechtmatig, oneigenlijk gebruik niet. Wanneer sprake is van misbruik moeten deze gelden worden teruggevorderd. Als dit niet wordt gedaan is sprake van een getrouw beeld fout die niet wordt opgenomen in de Rechtmatigheidsverantwoording. Als terugvordering wel heeft plaatsgevonden blijft vaststaan dat misbruik heeft plaatsgevonden.

Dit moet worden meegenomen in de Rechtmatigheidsverantwoording (als de verantwoordingsgrens is overschreden). In bijlage 3 is dit schematisch weergegeven. Het gaat er bij het Misbruik en Oneigenlijk gebruik criterium om dat in de organisatie effectieve maatregelen zijn getroffen om misbruik te voorkomen, dan wel op te sporen. Dat de vigerende wet- en regelgeving duidelijk is, aangepast is aan actuele omstandigheden en te handhaven is. Om dit te bewerkstellingen is een mix van maatregelen nodig. Een mogelijk uitgangspunt hiervoor is het opstellen van een nota Misbruik en Oneigenlijk gebruik. Het college van Zeist heeft op 21 november 2023 het Beleidskader Misbruik en Oneigenlijk gebruik vastgesteld. Dit beleidskader is opgesteld aan de hand van de aanbevelingen van de commissie BBV in de Kadernota rechtmatigheid 2023. Dit stuk is ook ter kennisname aangeboden aan de Auditcommissie en de Raad.

Kadernota Verbijzonderde Interne Controle Zeist

7/28

3

Toleranties

Tijdens de VIC wordt niet iedere euro gecontroleerd. De controles vinden plaats met in achtneming van bepaalde goedkeurings- en rapportagetoleranties. In dit hoofdstuk benoemen we de vastgestelde toleranties.

3.1

Nadere duiding soorten afwijkingen

In de Kadernota Rechtmatigheid 2023 beschrijft de commissie BBV dat binnen de Rechtsmatigheidsverantwoording onderscheid wordt gemaakt tussen afwijkingen, fouten en onduidelijkheden en begrotingsonrechtmatigheden. Deze begrippen zijn onderling niet uitwisselbaar al kan er wel sprake zijn van overlap. 1. Afwijkingen: posten die niet rechtmatig tot stand zijn gekomen (fouten) en posten, waarbij voor het college een onduidelijkheid bestaat over de rechtmatigheid. 2. Fouten: Rechtmatigheidsfouten treden op bij financiële beheershandelingen, waarbij de in het normenkader beschreven wet- en regelgeving niet is nageleefd. 3. Onduidelijkheden: Indien het college in het kader van de verslaggeving niet kan aangeven of er sprake is van een rechtmatigheidsfout of niet. 4. Begrotingsonrechtmatigheden: - Hiervan is sprake als het college bij de realisatie van doelen en het realiseren van activiteiten de door de gemeenteraad vastgestelde budgetten voor wat betreft de lasten of investeringsbudgetten overschrijdt (1), - toevoegingen en onttrekkingen aan de reserves die niet door de gemeenteraad zijn vastgesteld (2) - en als bij onderschrijdingen van lasten of investeringsbudgetten en/of lagere of hogere baten dan begroot de begroting niet tijdig met begrotingswijzigingen is aangepast (3).

Wat niet tijdig concreet betekent wordt bepaald door de ‘spelregels’ tussen de raad en het college over het informeren en vaststellen van begrotingswijzigingen bij onderschrijdingen van lasten of investeringsbudgetten en/of lagere of hogere baten dan begroot. Deze spelregels zijn in de Financiële verordening gemeente Zeist 2023 opgenomen.

Bron: Kadernota Rechtmatigheid 2023 commissie BBV

De term ‘onzekerheden’ komt voort uit de accountantscontrole en is van een andere aard dan onduidelijkheden.

3.2

Verantwoordingsgrens en rapportagegrens

In artikel 10 lid 2 en 3 van onze ‘Financiële verordening gemeente Zeist 2023’ staat genoemd: 2. In de rechtmatigheidsverantwoording bij de jaarrekening rapporteren burgemeester en wethouders aan de raad over afwijkingen met een verantwoordingsgrens van 1% van de totale lasten van de gemeente, inclusief de dotaties aan de reserves. Kadernota Verbijzonderde Interne Controle Zeist

8/28

3. In de paragraaf bedrijfsvoering worden de geconstateerde afwijkingen (fouten of onduidelijkheden) groter dan € 150.000 nader toegelicht. In de Rechtmatigheidsverantwoording geeft het college aan of al dan niet rechtmatig is gehandeld ten aanzien van de drie eerder genoemde rechtmatigheidscriteria (voorwaardencriterium, begrotingscriterium en misbruik en oneigenlijk gebruik criterium), dat wil zeggen binnen de door de raad vastgestelde verantwoordingsgrens. Blijven fouten en onduidelijkheden onder de verantwoordingsgrens van 1% dan is er gehandeld conform het kader van de raad en worden er geen afwijkingen opgenomen in de Rechtmatigheidsverantwoording. Fouten en onduidelijkheden boven de verantwoordingsgrens moeten wel opgenomen worden in de rechtmatigheidsverantwoording. Fouten en onduidelijkheden mogen daarbij niet bij elkaar opgeteld worden. Daarnaast is er sprake van een rapportagegrens. Wanneer de 1% aan fouten en/of onduidelijkheden is overschreden dienen alle afzonderlijke fouten en/of onduidelijkheden boven deze grens te worden toegelicht. De rapporteringstolerantie is de grens van mogelijke geconstateerde fouten en/of onduidelijkheden inzake de getrouw en rechtmatigheid waarover de raad geïnformeerd wenst te worden.

Bij de Rechtmatigheidsverantwoording wordt gebruik gemaakt van de rapporteringstolerantie voor afzonderlijke afwijkingen indien de verantwoordingsgrens wordt overschreden. De accountant rapporteert voor de getrouwheid over elke afwijking boven de rapportagegrens, ook als het een goedkeurende verklaring betreft. De verantwoordingsgrens en rapportagegrens zijn hiermee gelijk aan de criteria die ten aanzien van de getrouwheid door de accountant worden gebruikt. De goedkeuringstolerantie is het bedrag dat de som van fouten in de jaarrekening of onzekerheden in de controle aangeeft, die in een jaarrekening maximaal mogen voorkomen, zonder dat de bruikbaarheid van de jaarrekening voor de oordeelsvorming door de gebruikers kan worden beïnvloed. De goedkeuringstolerantie is bepalend voor de oordeelsvorming; de strekking van de af te geven controleverklaring. Strekking controleverklaring accountant: Goedkeuringstolerantie Goedkeurend Beperking Oordeelonthouding Afkeurend Fouten in de jaar≤ 1% >1% en <3% ≥ 3% rekening (% lasten) Onzekerheden in de ≤ 3% >3% en <10% ≥ 10% controle (% lasten) Dit is verder uitgewerkt in het door de raad vastgestelde Controleprotocol voor de accountant.

Het Ministerie van BZK is nog steeds voornemens de methodiek van een goedkeurende verklaring door de accountant gelijk te trekken ten opzichte van andere publieke organisaties, het Rijk en internationale standaarden. Dit zou betekenen dat er geen afzonderlijke percentages meer gehanteerd worden als goedkeuringstolerantie voor fouten en onzekerheden (nu respectievelijk 1% en 3%), maar een samengevoegd percentage van 2%. Ook worden de dotaties aan de reserve niet meer meegenomen als omvangsbasis, de materialiteit wordt hierdoor ook gewijzigd. Het is echter nog onduidelijk wanneer deze wijziging zal gaan plaatsvinden.

3.2.1

Single information Single audit (SiSa)

SiSa staat voor: Single information, Single audit (eenmalige informatieverstrekking, eenmalige accountantscontrole). SiSa is de manier waarop gemeenten zich per jaar verantwoorden over de besteding van specifieke (Rijks)uitkeringen en/of provinciale middelen. Via een aparte bijlage bij de jaarrekening wordt verantwoording afgelegd over een nader bepaald aantal specifieke uitkeringen. Het ministerie van BZK heeft voorgeschreven dat de getrouwheid en rechtmatigheid van deze bijlage met dezelfde toleranties gecontroleerd dient te worden als de Kadernota Verbijzonderde Interne Controle Zeist

9/28

jaarrekening, wel geldt een specifieke rapporteringstolerantie. De SiSa verantwoordingen blijven onderdeel uitmaken van de door de accountant te controleren jaarrekening. Voor deze verantwoordingen gelden veelal specifieke toetsingsvoorwaarden. De accountant stelt vast dat de besteding van specifieke uitkeringen conform deze voorwaarden plaatsvindt. Het betreft dus een specifieke rechtmatigheidscontrole. In het kader van de SiSa zijn door het ministerie van BZK de rapporteringstoleranties voorgeschreven ten aanzien van de geconstateerde fouten bij deze specifieke uitkeringen: Omvang specifieke uitkering ≤ € 125.000 > € 125.000 en ≤ € 1 miljoen > € 1 miljoen

Rapporteringstolerantie € 12.500 10% van de specifieke uitkering € 125.000

Bovenstaande betekent dat de accountant alle geconstateerde tekortkomingen en onzekerheden rapporteert die afzonderlijk op regeling niveau de bovenstaande rapporteringstolerantie overtreffen. In de accountantsverklaring wordt specifiek melding gemaakt over de getrouwheid van deze SiSa-tabel. Indien bij de controle materiële financiële onrechtmatigheden worden geconstateerd, worden deze ook in de rechtmatigheidsverantwoording meegenomen. Het team financiën stelt jaarlijks de SiSa verantwoording in concept op, de verbijzonderde interne controle hierop is een verantwoordelijkheid van control.

Kadernota Verbijzonderde Interne Controle Zeist

10/28

4

Interne beheersomgeving

4.1

Interne beheersing en interne controle

Interne beheersing is het geheel van maatregelen waarmee de organisatie wordt gestuurd, beheerst en informatie wordt gegenereerd gericht op het bereiken van organisatiedoelen (bestuurlijke informatievoorziening). Dit binnen de gestelde randvoorwaarden. De verantwoordelijkheid voor de interne beheersing ligt bij het college en de directie. Het ontwerpen van het intern beheerssysteem en het toezien van de werking daarop is de verantwoordelijkheid van de directie. Interne beheersing gaat daarmee verder dan interne controle. Interne controle is voornamelijk gericht op de betrouwbaarheid van de financiële informatievoorziening. Interne beheersing richt zich ook op het aansturen van primaire en ondersteunende processen. Interne beheersing omvat hierdoor de taakvelden administratieve organisatie én (verbijzonderde) interne controle. Een goede administratieve organisatie en interne beheersing beperkt het risico op onvolkomenheden in processen. Dat zijn controles die in de inrichting (opzet) van het primaire proces zijn ingebouwd. Denk hierbij aan zelfcontroles, het vier-ogen-principe, collegiale toetsen, functiescheidingen etc. Deze maatregelen zijn preventief van aard en komen tot uiting in duidelijke richtlijnen, heldere procedures, beschreven werkprocessen en het nakomen van afspraken. Het is een combinatie van hard- en softcontrols.

Dit kan al dan niet ingeregeld zijn in IT systemen. De proceseigenaar is hiervoor verantwoordelijk. De gemeente Zeist heeft in de afgelopen jaren fors geïnvesteerd in de verbetering van de interne beheersomgeving en de daarin opgenomen maatregelen van interne controle. Deze investeringen blijven ook in de toekomst noodzakelijk om een getrouwe en rechtmatige financiële verantwoording te kunnen garanderen. De accountant rapporteert jaarlijks zowel in de managementletter als in het accountantsverslag over de kwaliteit van de interne beheersomgeving. De controlewerkzaamheden die nu nog door team Control in de 3e lijn uitgevoerd worden, dienen opgepakt te worden door de 1e en 2e lijn zodat Control zich kan richten op de werking van het gehele stelsel. Deze bevinding past in de ontwikkeling om het drie lijnen model volledig in te voeren in Zeist en de verantwoordelijkheden voor de interne beheersing en (verbijzonderde) interne controle te beleggen op de plek waar ze horen.

4.2

Drie lijnen model

Interne controle is een veelomvattend begrip. Het is een hulpmiddel om inzicht te krijgen in de samenhang van controlewerkzaamheden, het zogenaamde drie lijnen model. Zeist wil de interne beheersomgeving verder versterken en verbeteren aan de hand van dit drie lijnen model opgesteld door The Institute of Internal Auditors. De inrichting volgens het drie lijnen model draagt bij aan het versterken van de interne beheersomgeving. Dit omdat er preventieve controles plaatsvinden in de eerste en tweede lijn, hierdoor worden fouten voorkomen. Constateringen leiden tot procesverbeteringen, waardoor de bedrijfsvoering efficiënter en effectiever wordt. De redenen van de inrichting van de interne beheersing langs dit model zijn: • De taken, verantwoordelijkheden en bevoegdheden zijn per lijn duidelijk geconcretiseerd. De 1e en 2e lijn vallen duidelijk onder verantwoordelijkheid van het management. De 2e lijn is concreter geformuleerd en dient als ondersteuning van de 1e lijn; • De genoemde lijnen zijn rollen binnen de organisatie en geen structuren. Dit maakt het model dynamisch en toepasbaar voor de hele organisatie. Zo kunnen ook lijnen/rollen zijn samengevoegd binnen 1 functie; • De benadering van dit model is volledig vanuit het brede begrip van governance, in plaats van het smallere risicomanagement.

Governance wordt in het model ingevuld door drie elementen zijnde verantwoording (1e lijn), acties (2e lijn) en toezicht en advies (3e lijn).

Kadernota Verbijzonderde Interne Controle Zeist

11/28

De toepasbaarheid van het model wordt vooral bereikt door de formulering van een duidelijke rolverdeling, coördinatie, communicatie en samenwerking tussen functies en professionals.

Bron: IIA

Schematisch ziet het bovenstaande er als volgt uit: Externe accountant Controle getrouwheid en rechtmatigheid. 3e lijn, Control Onafhankelijk van management. Repressieve controles en adviseren 1e en 2e lijn. 2e lijn, Onder meer kwaliteitsmedewerkers, team financiën, juridische zaken Ondersteuning en advisering bij uitvoering primaire proces. Primaire controles op de 1e lijn. 1e lijn, Proceseigenaar Borging getrouwheid en rechtmatigheid in het primaire proces.

4.2.1

Taken en verantwoordelijkheden volgens het drie lijnen model

De verantwoordelijkheid voor interne beheersing ligt bij het college en de directie. De uitvoering van de 1e lijnscontrole bij de teams, de 2e lijnscontrole zit verdeeld door de organisatie (bedrijfsvoering) en de 3e lijnscontrole bij team Control. Het intern beheerssysteem bestaat onder andere uit het toezien op functiescheiding, autorisaties en aansluitingen, het inrichten van processen en het uitvoeren van de (verbijzonderde) interne controle bestaande uit proces-, systeem- en gegevensgerichte controles. De 1e lijn (proceseigenaar): • Primair verantwoordelijk van de opzet van de processen en het afdekken van de getrouwheids- en rechtmatigheidsrisico’s door middel van controles die in het primaire proces zijn ingebouwd (zelfcontrole, vier-ogen principe, collegiale toets, functiescheiding etc.); • Interne beheersing op orde brengen of houden door middel van duidelijke richtlijnen, heldere processen, een beschrijving van de administratieve organisatie, het nakomen van afspraken en andere soft controls (dit kan ook zijn ingeregeld in de IT omgeving/systemen). Kadernota Verbijzonderde Interne Controle Zeist

12/28

• •

Verantwoordelijk voor kwalitatieve analyse en toelichting op de Planning en Control producten; Het implementeren van advies uit de 3e lijn en zorgen dat het proces in-control is en blijft.

De 2e lijn (Onder meer kwaliteitsmedewerkers, team Financiën, juridische zaken): • Ondersteunt de 1e lijn bij de opzet en controles van de primaire processen (procesbeheersing); • Verricht een lijncontrole (door middel van documentatie het bestaan van het proces aantonen); • Voert controles uit op de 1e lijn, onder regie van de 3e lijn. De 3e lijn (Control): • Opereert onafhankelijk en objectief; • Heeft een regierol op het hele proces inclusief de interne controles in de 1e en 2e lijn; • Voert (verbijzonderde) interne controles uit op de getrouwheid en rechtmatigheid van de financieel-kritische processen (de werking van het proces). Bij processen waarbij de 2e lijn is ingericht, wordt een review verricht op de door de 2e lijn verrichte interne controles; • Adviseert over verbetering in de 1e en 2e lijn en rapporteert richting directie en college; • Stelt de Rechtmatigheidsverantwoording op. Daarnaast bestaat er nog een 4e en 5e lijn voor de externe controle door de accountant en de toezichthouder (provincie Utrecht in dit geval). De bovenstaande opsomming geeft inzicht in de taken en verantwoordelijkheden per lijn. Op dit moment werken we nog niet (volledig) conform het drie lijnen model. De komende jaren wordt dit steeds verder vormgegeven.

4.2.2

Randvoorwaarden controleorganisatie

Naast de eerder genoemde specifieke taken zijn tevens acties nodig die niet specifiek per lijn te zijn benoemen maar de hele organisatie raken. Jaarlijks dienen de volgende proces-overstijgende activiteiten te worden uitgevoerd: • Actualisatie Normenkader rechtmatigheid (externe wetgeving en eigen regelgeving); • Aanpassen Controleprotocol; • Actualisatie Verbijzonderde Interne Controleplan en Uitvoeringsplan; • Actualisatie controle- en rapportage formats; • Afspraken maken met de externe accountant ten aanzien van de interim- en jaarrekening controle, waaronder de Lijst op te leveren stukken (LOTS). De verantwoordelijkheid voor de uitvoering van deze activiteiten is in handen van team Control.

4.3

Inrichting VIC functie

Team Control is verantwoordelijk voor de kaderstelling en het (laten) uitvoeren van de (verbijzonderde) interne controle. De strategisch controller is verantwoordelijk voor: • Het opstellen van het Verbijzonderde Interne Controleplan; • De monitoring hierop; • De onafhankelijke en zelfstandige review op de uitvoering van het Verbijzonderde Interne Controleplan en de rapportering hierover; • Het controleren van de afwijkingenadministratie (fouten en onduidelijkheden); • Het opstellen van de Rechtmatigheidsverantwoording en het schrijven van de toelichting voor de paragraaf bedrijfsvoering. Kadernota Verbijzonderde Interne Controle Zeist

13/28

De controller is verantwoordelijk voor: • De uitvoering van het Verbijzonderde Interne Controleplan; • De rapportering aan de lijn; • Het bijhouden van de afwijkingenadministratie (fouten en onduidelijkheden); • Het schrijven van toelichtingen op bevindingen uit de Verbijzonderde Interne Controle ter voorbereiding op de toelichting in de paragraaf bedrijfsvoering. De teams zijn verantwoordelijk voor: • Het tijdig en volledig aanleveren van de te controleren dossiers; • Uitvoeren van interne controles. De Kadernota Verbijzonderde Interne Controle en het Uitvoeringsplan worden vastgesteld door het college, afgestemd met de externe accountant en ter kennisname van de Auditcommissie gebracht.

4.4

Control en samenwerking externe accountant

Waar de accountant zich tot 2023 een oordeel vormde over de getrouwheid én rechtmatigheid van de jaarrekening, beperkt de accountant zich nu tot een oordeel over het getrouwe beeld van de jaarrekening (inclusief rechtmatigheidsverantwoording). Zoals eerder benoemd zijn de bevindingen een aanbevelingen in eerste instantie bedoeld voor de eigen organisatie. In tweede instantie dienen de bevindingen als input voor de externe accountant. Het streven is dat de externe accountant zoveel mogelijk gebruik kan maken van de door Zeist uitgevoerde werkzaamheden met team Control als onafhankelijke derde lijn. De eisen die een accountant hiervoor stelt aan team Control zijn: 1. Objectiviteit: er is een onafhankelijk team, de (strategisch) controllers rapporteren rechtstreeks aan de directie; 2. Deskundigheid: de (strategisch) controllers zijn vakbekwaam, niet alleen op de inhoud van het proces, maar ook op de (ontwikkelingen in) controletechniek; 3. Professionaliteit: de (strategisch) controllers hebben een ‘systematische en gedisciplineerde aanpak’, waaronder het toepassen van een systeem van kwaliteitsbeheersing. Onze externe accountant geeft in haar Managementletter van 2023 aan: Onze conclusie is dat de elementen van de controleomgeving gezamenlijk een juiste basis vormen voor de andere onderdelen van de interne controle.

Hiermee concluderen we dat de controleomgeving en de interne beheersing van voldoende niveau is om te komen tot een betrouwbare jaarrekening en rechtmatigheidsverantwoording. Maar zij geven ook aandachtspunten mee: Er is voldoende basis van interne beheersing aanwezig bij de gemeente Zeist, mede door de inzet van de derde lijn. De derde lijn, team Control, wordt gevormd door een onafhankelijk team dat objectief vaststelt of met de eerste twee lijnen de besturing, beheersing en verantwoording van het proces in opzet, bestaan en werking toereikend is. Op basis van de ambitie van de gemeente Zeist én op basis van onze bevindingen, is ons advies om bepaalde werkzaamheden meer te beleggen in de eerste en de tweede lijn. Tussen team Control en de externe accountant worden afspraken gemaakt over de te verrichten werkzaamheden en worden werkafspraken gemaakt om de samenwerking zo effectief en efficiënt mogelijk te laten verlopen. Daarnaast heeft de externe accountant ook een eigen verantwoordelijkheid. Dit betekent dat de externe accountant altijd zelf waarnemingen zal doen om de (verbijzonderde) interne controlewerkzaamheden van Zeist te beoordelen. Zij maken hiervoor onder meer gebruik van het jaarlijks door de raad vastgestelde Normenkader en het meerjarig Controleprotocol.

Kadernota Verbijzonderde Interne Controle Zeist

14/28

5

De controleaanpak op hoofdlijnen

In de vorige hoofdstukken is een uiteenzetting gegeven van het theoretisch kader met betrekking tot de Rechtmatigheidsverantwoording en een nadere duiding van het drie lijnen model. De uit te voeren werkzaamheden vinden op dit moment nog grotendeels plaats in de 3e lijn (verbijzonderde interne controle). Het uitgangspunt voor de verbijzonderde interne controle is de jaarrekening en de daarin opgenomen baten, lasten en balansmutaties. Hiervoor worden de volgende activiteiten verricht: • Het opstellen van zelfstandige risicoanalyses op processen en financiële stromen; • De beoordeling van de kwaliteit van de beheersmaatregelen in processen in relatie tot de risicoanalyse; • De uitvoering van controlewerkzaamheden om opzet/bestaan en zo mogelijk de werking van de beheersmaatregelen vast te stellen; • Het uitvoeren van deelwaarnemingen op financiële stromen en transacties; • Het rapporteren van bevindingen en aanbevelingen aan proceseigenaren; • Het monitoren van de opvolging van bevindingen en aanbevelingen; • Het rapporteren van afwijkingen en aanbevelingen voor de Rechtmatigheidsverantwoording.

5.1

Uitgangspunten

De activiteiten die worden uitgevoerd in het kader van de (verbijzonderde) interne controle zijn risicogestuurd, gericht op leren en efficiënt ingericht.

5.1.1

Risicogestuurd

De controleonderwerpen worden bepaald op basis van het materieel belang en een risicoanalyse. Daarnaast kan er aan overige onderwerpen aandacht worden gegeven omdat er bijvoorbeeld actuele relevante ontwikkelingen zijn (bijvoorbeeld nieuwe wet- of regelgeving) of die om een andere reden (extra) aandacht behoeven.

5.1.2

Gericht op leren

De (verbijzonderde) interne controle is gericht op het verder verbeteren van de (uitvoering) van processen. De organisatie bouwt hiervoor voort op bevindingen uit onder andere eerdere onderzoeken, controles en accountantsrapportages. Dit doen we onder meer door het monitoren van de opvolging van aanbevelingen, het stimuleren van verbeteringen en het geven van gevraagd en ongevraagd advies.

5.1.3

Efficiënt ingericht / controlemix

Het gaat om aanvullende controles en geen dubbele controles. Waar mogelijk maken we gebruik van elkaars werk. Dit kan systeemgericht (opzet, bestaan en werking proces) en gegevensgericht (op resultaten en producten). Ons doel is om steeds meer systeemgericht te kunnen controleren. Voor elk controleonderwerp wordt bepaald welke mix van controlewerkzaamheden in het controlejaar wordt uitgevoerd. Naast de controles gericht op rechtmatigheid en getrouwheid kunnen dit controles zijn gericht op: • Administratieve organisatie: Functiescheiding doorgevoerd, overdrachtsdocumenten in gebruik, mandaat vastgelegd en zichtbaar nageleefd, uniforme dossiervorming ingericht, procesbeschrijving vastgelegd en bekend. • Data-analyse: bestandsanalyses, verbandscontroles, afstemmen van registraties, controleregisters, cijferbeoordeling. • Kwaliteit: kwaliteitscontrole, procedurele controle, bevoegdheidscontrole, uitvoeringscontrole.

Kadernota Verbijzonderde Interne Controle Zeist

15/28

•

IT-controles: autorisatiematrix, beveiliging (o.a. wachtwoorden), functiescheiding, loggen, koppelingen, updates/wijzigingsbeheer.

5.2

Te controleren processen en controlefrequentie

5.2.1

Te controleren processen

In overeenstemming met de Nadere Voorschriften Controle- en Overige Standaarden (NV COS) dient een organisatie inzicht te verwerven in de, voor de controle, relevante interne beheersingsactiviteiten. Met andere woorden, beheersingsactiviteiten waarvan de interne auditfunctie van mening is dat het inzicht hierin noodzakelijk is. De reden voor deze noodzakelijkheid is dat de organisatie inzicht krijgt in de risico’s op een afwijking van materieel belang en op verdere controlewerkzaamheden die de ingeschatte risico’s verkleinen. Alle kosten- en batensoorten waarbij de omvang van het begrote bedrag groter is dan 1% van de totale lasten, inclusief dotaties aan de reserves, worden aangemerkt als materieel. De controletolerantie is hierbij gelijk aan de verantwoordingsgrens. Voor de controle per boekjaar is de omvang van de baten en of lasten (materialiteit) van het proces hierdoor bepalend voor de selectie van de te controleren processen. Fouten in deze materiële processen geven de grootste financiële impact. Jaarlijks zal op basis van de Iv33 van de primitieve begroting bepaald worden welke processen gecontroleerd dienen te worden. Dit wordt verwoord in een Uitvoeringsplan per jaar.

Gelet op voorgaande jaren zullen dit in ieder geval de volgende processen zijn: • Inkoop en aanbesteding (spendanalyse en factuurcontrole); • Salarissen; • Grondexploitatie; • Subsidieverstrekkingen; • Verhuuropbrengsten; • Subsidiebaten / specifieke uitkeringen (SiSa); • Leges begraven en cremeren; • Leges omgevingsvergunningen; • Jeugdwet; • Wmo; • Aan- en verkoop vastgoed.

5.2.2

Controlefrequentie

De controlefrequentie is mede afhankelijk van de geïdentificeerde risico’s en de geïdentificeerde omvang van zowel het risico als de financiële impact van de processen. Dit kan zowel gedurende het jaar zijn (per kwartaal of per half jaar) of alleen tijdens de jaarrekeningcontrole. Dit wordt vastgelegd in de Uitvoeringsplannen per jaar.

3 Gemeenten leggen op twee manieren verantwoording af aan het Rijk, via de methodiek Single information,

Single audit (SiSa) en via het systeem Informatie voor Derden (Iv3). Iv3 is een informatiesysteem waarin gegevens uit de begroting, kwartaalcijfers en de jaarrekening staan. De manier waarop is voor iedere gemeente gelijk. Kadernota Verbijzonderde Interne Controle Zeist

16/28

5.3

Overige verbijzonderde interne controle onderwerpen

De focus van de VIC ligt op de financieel materiële posten. Desondanks zijn er posten en processen die niet financieel materieel van aard zijn maar vanwege de risico inschatting wel gecontroleerd kunnen worden. Ook zijn er processen die niet direct uit (financiële) stromen volgen, maar wel belangrijk zijn voor de interne beheersing en de financiële verantwoording. Zoals bijvoorbeeld IT. Om het controleproces verder door te ontwikkelen en op termijn te komen tot een In Control Statement, dienen in de komende jaren meer niet materiële processen periodiek gecontroleerd te worden aan de hand van een meerjarenschema. Dit zal worden opgenomen in de Uitvoeringsplannen. Ook kan er voor gekozen worden op verzoek of uit eigen beweging themaonderzoeken uit te voeren of uit te laten voeren. Zo zijn er de afgelopen jaren diverse IT-audits uitgevoerd wanneer een kernapplicatie vervangen werd door een nieuwe applicatie of er een dusdanige update van dezelfde kernapplicatie plaatsvond waardoor het proces opnieuw ingericht moest worden. De uitkomsten hiervan worden gerapporteerd in een afzonderlijke rapportage. Ook formuleert de Auditcommissie per boekjaar maximaal drie aandachtspunten voor de externe accountant waarbij de organisatie zorgt voor de input van de gegevens en de voorbereiding van de werkzaamheden.

Het team Control coördineert deze werkzaamheden en zoekt verbinding met collega’s in de organisatie. De rapportering over deze uitkomsten van werkzaamheden vindt plaats binnen de reguliere cyclus van rapportering door de externe accountant.

5.3.1

Frauderisico-analyse

In onze Nota Risicomanagement en Beleidskader Misbruik en Oneigenlijk gebruik is op hoofdlijnen vastgelegd hoe we met frauderisico’s omgaan. Voor de beheersing van frauderisico’s zullen wij de volgende werkzaamheden uitvoeren: • Actualisatie van de Frauderisicoanalyse; • Controle op de werking van de fraudebeheersmaatregelen; • Rapportering over de uitkomsten.

5.3.2

IT en data-analyse

IT-audit is gericht op het vaststellen of de beheersing van de belangrijkste IT-applicaties binnen de gemeente toereikend is. Dit met als doel dat de gemeente kan steunen op de output die uit de belangrijkste applicaties komt en om opzet, bestaan en werking van de IT-voorziening te beoordelen. De IT-omgeving neemt een steeds belangrijkere positie in bij de gemeente. Dit brengt echter ook risico’s met zich mee in de vorm van privacy, toegankelijkheid, fraude, archivering, etc. In Zeist zijn binnen het team IV de Functionaris Gegevensbescherming (FG), de Chief Information Security Officer (CISO) en de Privacy Officer (PO) ondergebracht. Binnen team IV worden reeds diverse (verplichte) audits uitgevoerd. Een van de belangrijkste evaluaties is de jaarlijkse Eenduidige Normatiek Single Information Audit (ENSIA) gericht op informatieveiligheid gebaseerd op de Baseline Informatiebeveiliging Overheid (BIO). De BIO beschrijft de controls en maatregelen die minimaal benodigd zijn om beschikbaarheid, integriteit en vertrouwelijkheid van informatie(systemen) te waarborgen. De kritische informatiesystemen zijn hierbij het uitgangspunt. Team Control neemt kennis van de uitkomsten van deze audits en zal vanaf boekjaar 2024 naast de reguliere beheersmaatregelen in processen ook starten met een controle op de general IT controls.

Dit zal plaatsvinden op de applicaties de gebruikt worden voor de materiële processen. Ook hier maken we zoveel mogelijk gebruik van de audits die reeds uitgevoerd worden in de organisatie. Waar dit (nog) niet kan wordt een eigen toetsingskader uitgezet.

Kadernota Verbijzonderde Interne Controle Zeist

17/28

Het uiteindelijke doel is om met behulp van adequate beheersmaatregelen in IT systemen te komen tot een meer systeemgerichte controle. We willen gebruikmaken van zichtbaar werkende interne beheersmaatregelen in de processen in de systemen. Van belang hiervoor zijn bijvoorbeeld een adequate inrichting en bijvoorbeeld voldoende functiescheiding middels autorisatietabellen. Op dit moment wordt al gebruik gemaakt van verschillende vormen van data-analyse in verschillende stappen van het proces van de verbijzonderde interne controle. Ook kunnen we steeds meer gebruik maken van dashboards die in diverse systemen zijn gebouwd.

5.3.3

Verbonden partijen en uitbestede processen

Zeist participeert in verschillende verbonden partijen, gemeenschappelijke regelingen en samenwerkingsverbanden. Zowel in de begroting als jaarrekening is hiervan een overzicht opgenomen. Een deel hiervan voert uitbestede werkzaamheden uit. Belastingopbrengsten, Participatiewet en Parkeeropbrengsten hebben wel een (groot) materieel belang binnen de begroting. Deze processen voert respectievelijk de BghU, Regionale Sociale Dienst Kromme Rijn Heuvelrug en ParkeerService uit. De getrouwheid en rechtmatigheid van deze processen worden beoordeeld door de door BghU, Regionale Sociale Dienst Kromme Rijn Heuvelrug en ParkeerService en hun ingehuurde accountant en vallen hierdoor buiten de scope van onze VIC. Wel zal jaarlijks bekeken worden of hun verantwoordingen van invloed zijn op de Rechtmatigheidsverantwoording van Zeist. In de Kadernota rechtmatigheid van het BBV is hiervoor een afwegingskader beschikbaar.

5.4

Uitvoering

Team Control stelt jaarlijks een Uitvoeringsplan op met de planning voor de uitvoering van de verbijzonderde interne controle en andere (verbijzonderde) interne controle werkzaamheden. Hierin wordt zowel de getrouwheid als rechtmatigheid meegenomen. De primaire focus ligt op de werkzaamheden met betrekking tot de rechtmatigheid om zo de Rechtmatigheidsverantwoording te kunnen opstellen. Jaarlijks wordt op basis van de risicoanalyse en bevindingen uit voorgaande jaren bepaald welke aantallen nodig zijn voor de uitvoering van de verbijzonderde interne controle. Hierover vindt ook afstemming plaats met de externe accountant. Zo wordt voorkomen dat de organisatie dubbel wordt belast en dat onnodige werkzaamheden plaatsvinden.

Kadernota Verbijzonderde Interne Controle Zeist

18/28

6

Uitvoering (verbijzonderde) interne controle

De verbijzonderde interne controle is een risico gestuurd instrument voor de interne beheersing van materiële processen voor de jaarrekeningcontrole.

6.1

Werkwijze

De organisatie doorloopt in een boekjaar de volgende stappen ten aanzien van de uitvoering van de (verbijzonderde) interne controles. • Stap 0: Uitvoeren van de interne controlewerkzaamheden (hele jaar door) • Stap 1: Uitvoeren cijferbeoordeling voor het bepalen van de materiële processen • Stap 2: Uitvoeren risicoanalyse door het voeren van startgesprekken met proceseigenaren • Stap 3: Opstellen normenkader, actueel houden gedurende het jaar • Stap 4: Opstellen Uitvoeringsprogramma (verbijzonderde) interne controle • Stap 5: Uitvoeren (verbijzonderde) interne controle • Stap 6: Rapporteren bevindingen • Stap 7: Monitoring

6.2

Nadere toelichting controleaanpak

Zoals eerder beschreven in hoofdstuk 5.1 maken we het liefst gebruik van een controlemix voor de VIC. Dit is echter niet in alle gevallen mogelijk. De controleaanpak is afhankelijk van de kwaliteit van de interne beheersing. De controleaanpak is procesgericht, waarbij gekeken wordt naar de opzet, het bestaan en de werking van interne beheersmaatregelen. In vervolg op het vaststellen van de opzet en het bestaan van de interne beheersmaatregelen door een lijncontrole worden op basis van een steekproef, cijferanalyses en/of specifieke deelwaarnemingen detailcontroles uitgevoerd. De spendanalyse wordt bijvoorbeeld volledig gegevensgericht uitgevoerd.

6.2.1

Lijncontrole

Nadat de opzet van een proces in kaart is gebracht dient er vastgesteld te worden dat de opzet ook daadwerkelijk bestaat door het uitvoeren van een lijncontrole. Bij een lijncontrole wordt het gehele proces van het begin tot het einde doorlopen (bijvoorbeeld van aanvraag tot uitbetaling) waarbij gekeken wordt naar de key controls. Dit wordt voor elk proces één keer uitgevoerd.

6.2.2

Gegevensgerichte controle

Een gegevensgerichte controle is gericht op het toetsen van gegevens. In 2020 is gestart met het classificeren van de netto risico’s per proces. Een netto risico is het restrisico wat overblijft nadat we beheersmaatregelen hebben getroffen waarbij het risico niet verder te verlagen is. Van ieder proces worden de risico’s bepaald en middels een zogenaamde risicomatrix geclassificeerd van laag naar hoog. Op basis van deze risico’s worden beheersmaatregelen geformuleerd. Hierbij wordt opgemerkt dat de scope is beperkt tot risico’s die mogelijk een financiële impact hebben voor de organisatie. Het aantal te controleren dossiers is eveneens afhankelijk van het geclassificeerde risico. Per proces wordt op grond van onderstaande tabel het aantal te controleren dossiers bepaald.

Kadernota Verbijzonderde Interne Controle Zeist

19/28

Aantal te controleren dossiers, per controlepunt, gebaseerd op het geclassificeerde risico waarop het controlepunt toetst. Aantal deelwaarnemingen door VIC Frequentie van Geschatte Risicoprofiel Risicoprofiel Risicoprofiel handelingen populatie laag midden hoog Dagelijks >250 20 45 60 Wekelijks 52 5 10 15 Maandelijks 12 3 3 5 Per kwartaal 4 2 2 2 Jaarlijks 1 1 1 1

6.2.3

Steekproef

Een steekproef wordt genomen met als doel een grote massa efficiënt te controleren zonder dit integraal te doen. Hoe steekproeven worden genomen wordt in overleg met de externe accountant bepaald.

6.2.4

80/20 regel

Voor bepaalde processen is het mogelijk om met een beperkt aantal items toch een groot deel van de massa te controleren, dit noemen we de 80/20 regel. Dit passen we toe bij het proces van uitgaande subsidies. Hier selecteren we de grootste verstrekkingen die samen meer dan 80% van de massa vormen. Er kan daarnaast gekozen worden om aanvullend uit de 20% nog een kleine steekproef te trekken zodat ook zicht wordt gehouden op de werking van het proces van de kleinere subsidies.

6.2.5

Kritische deelwaarneming

Bij een kritische deelwaarneming gaat het om het selecteren van een item dat niet gebaseerd is op een steekproef. Bijvoorbeeld alles boven een bepaald bedrag of items om specifieke informatie te verkrijgen. Met uitkomsten van deelwaarnemingen kunnen geen uitspraken gedaan worden over de gehele massa.

6.3

Toetsingskader

Zoals besproken in hoofdstuk 2.3.2 wordt er jaarlijks een normenkader opgesteld. Dit normenkader wordt vervolgens vertaald in een toetsingskader voor het uitvoeren van de verbijzonderde interne controles. Dit doen wij in de vorm van checklists die in overeenstemming met de externe accountant worden opgesteld zodat zij zo optimaal mogelijk gebruik kunnen maken van onze werkzaamheden.

6.4

Uitvoering (verbijzonderde) interne controle

Gelet op het drie lijnen model (zie hoofdstuk 4.2) zijn er verschillende controles te onderscheiden.

6.4.1

Controle in het proces (de 1e lijn)

De proceseigenaar is verantwoordelijk voor het proces en draagt zorg voor een adequate controle op basis van wetgeving, gedelegeerde bevoegdheden, functiescheiding, vier-ogen-principe, raadsbesluiten e.d. om onvolkomenheden in de uitvoering van de bedrijfsvoering tijdig op te sporen en te herstellen. Als de controles op de beheershandelingen deel uitmaken van de procesbeschrijving en/of werkinstructie is het proces feitelijk geborgd. Ook de wijze van vastleggen (afvinken, paraferen, dossiervorming, e.d.) en het monitoren van de controles wordt geregeld binnen het proces van het team zelf.

6.4.2

Interne controles (2e lijn)

De interne controle in de 2e lijn kan worden beschouwd als een preventieve controle op de controlemomenten in het proces. Hierbij worden delen of het totale proces, beleid, budget en wet- en regelgeving onder de loep genomen. Interne controles worden uitgevoerd door iemand van het proces Kadernota Verbijzonderde Interne Controle Zeist

20/28

zoals de kwaliteitsmedewerkers, of bij voorkeur uitgevoerd door iemand van buiten het proces, door medewerkers van het team Financiën, team Juridische zaken en team Inkoop. Een interne controle heeft als doel eventuele verbeterpunten in het proces vroegtijdig en vooraf te signaleren om zo de kwaliteit, de getrouwheid en de rechtmatigheid van de bedrijfsvoering verder te verbeteren. De 2e lijn heeft naast een ondersteunende functie, met betrekking tot de risicobeheersing in het proces, ook een controlerende functie, in de vorm van financiële controles en gegevensgerichte controles. Zij ondersteunt en adviseert de 1e lijn bij de ”opzet” van het proces, toetst middels een “lijncontrole” het “bestaan” van het proces en verricht onder regie van de 3e lijn de interne controle aan de hand van steekproeven. De 2e lijn is nog in ontwikkeling, de daadwerkelijk uit te voeren controlemaatregelen worden op dit moment nog hoofdzakelijk door de 3e lijn uitgevoerd. Daar waar binnen de organisatie de 2e lijnsfunctie nog niet is ingericht, zal control deze functie tijdelijk overnemen.

6.4.3

Verbijzonderde interne controles (3e lijn)

De controle in de 3e lijn wordt achteraf verricht door team Control. Dit team opereert onafhankelijk en objectief van de eerste twee lijnen. De 3e lijn toetst de effectiviteit van de controles en het risicomanagement van de eerste twee lijnen, adviseert over te maken verbeteringen, rapporteert hierover richting de directie en het college en stelt de rechtmatigheidsverklaring op. Dit draagt bij aan de realisatie van de organisatiedoelstellingen en de verbetering van de kwaliteit van de bedrijfsvoering. Door deze werkwijze ontstaat een cyclisch proces van controle en bijsturing, waarbij de risico’s steeds verder worden teruggedrongen. Deze rol werd in het verleden hoofdzakelijk door de externe accountant uitgevoerd.

6.5

Fouten en bevindingen

Tijdens de uitvoering van de VIC kunnen fouten worden geconstateerd. Deze worden door hoor en wederhoor afgestemd met de proceseigenaar. Getrouwheidsfouten worden waar mogelijk hersteld, bij rechtmatigheidsfouten kan dit niet. Na het constateren van een fout wordt allereerst vastgesteld of het gaat om een financiële of niet financiële fout. Niet financiële fouten zijn wel aandachtspunten voor de VIC en worden gerapporteerd, maar worden niet meegenomen in de foutenevaluatie. Voor financiële fouten dient nagegaan te worden of er sprake is van een incident of dat er sprake is van een structurele (procedure) fout. Het aantal waarnemingen kan door het ontdekken van fouten worden verhoogd. Dit is afhankelijk van de aard van de fout. Alle fouten worden gerapporteerd en voorzien van een aanbeveling om het proces op dit punt aan te scherpen.

6.6

Vastlegging controles

De controles worden vastgelegd in standaard formats/checklists welke worden gefaciliteerd door team Control. Indien controles door de 2e lijn worden opgepakt is team Control verantwoordelijk voor de review op de uitgevoerde werkzaamheden. Daarna zal team Control de controlememorandums opstellen. De inhoud van deze memorandums wordt afgestemd met de proceseigenaren en functionarissen uit de 2e lijn.

6.7

Rapportering en monitoring

Na het uitvoeren van de verbijzonderde interne controle op een proces wordt een controlememorandum opgesteld waarmee de bevindingen en aanbevelingen aan de proceseigenaar (teammanager) worden gerapporteerd met een afschrift aan het betreffende directieteamlid. Hier is sprake van hoor en wederhoor. Daarna wordt het controlememorandum definitief.

Kadernota Verbijzonderde Interne Controle Zeist

21/28

Twee keer per jaar wordt gerapporteerd aan het directieteam, college en de auditcommissie. Dit gebeurt via het Interim Auditverslag (interne managementletter) en het Intern Auditverslag (jaarafsluiting). De raad wordt geïnformeerd middels de Auditcommissie en daarnaast middels een RIB naar aanleiding van het Interim Auditverslag en in de Jaarrekening door middel van de Rechtmatigheidsverantwoording en de paragraaf Bedrijfsvoering.

6.7.1. Interim Auditverslag Het interim Auditverslag (interne managementletter) geeft inzicht in de uitkomsten van de werkzaamheden inzake de opzet, het bestaan en de werking van de interne beheersingsmaatregelen van de belangrijkste processen, inclusief de geautomatiseerde gegevensverwerking. De bevindingen zijn gebaseerd op werkzaamheden door team Control en worden vooraf altijd afgestemd met verantwoordelijke lijnfunctionarissen. De bevindingen worden voorzien van aanbevelingen ter mogelijke verbetering en versterking van de interne beheersorganisatie. Deze aanbevelingen worden gemonitord en ook aangeboden aan directie, college en raad. Deze rapporteringswijze biedt handvatten voor de bewaking van de opvolging van de mogelijk geconstateerde tekortkomingen. Deze rapportage wordt voorafgaand aan de Management-/ boardletter van de accountant opgesteld.