Gemeente Zutphen - Board Letter-2025 concept dd 21-11-2025
Tekst van het document
Boardletter 2025 | Gemeente Zutphen |
CONCEPT
Inleiding
Inleiding
Boardletter 2025
Onze kernboodschappen
Onze kernboodschappen Visie op interne beheersing
Visie op interne beheersing
Gemeente Zutphen
Zeggen wat je ziet
Zeggen wat je ziet Frauderisicobeoordeling
Frauderisicobeoordeling IT-omgeving
PricewaterhouseCoopers Accountants N.V. 21 november 2025
IT-omgeving Overige onderwerpen
Overige onderwerpen Bijlagen
Bijlagen
•
https://achterhoek.nl/gemeente-zutphen
Boardletter 2025 | Gemeente Zutphen |
2
CONCEPT
Inleiding
Inleiding Onze kernboodschappen
Onze kernboodschappen Visie op interne beheersing
Visie op interne beheersing Zeggen wat je ziet
Zeggen wat je ziet Frauderisicobeoordeling
Inleiding Gemeente Zutphen t.a.v. de gemeenteraad Postbus 41 7200 AA Zutphen
Frauderisicobeoordeling 21 november 2025
IT-omgeving
IT-omgeving Overige onderwerpen
Overige onderwerpen Bijlagen
Bijlagen
Geachte leden van de raad, We waarderen het uw accountant te zijn. Een eerste jaar waarbij wij met een frisse blik naar de organisatie hebben gekeken. Graag presenteren we u onze eerste boardletter met de tussentijdse bevindingen die voortkomen uit de controle van de jaarrekening van gemeente Zutphen over het boekjaar eindigend op 31 december 2025. We hebben onze werkzaamheden uitgevoerd in overeenstemming met ons controleplan 2025. Onze zienswijzen en aandachtspunten zijn openlijk en constructief besproken met de ambtelijke organisatie, inclusief concerncontroller en de wethouder financiën. Onze tussentijdse bevindingen zijn gebaseerd op onze werkzaamheden tot en met 31 oktober 2025. Indien er na deze datum nieuwe bevindingen zijn met betrekking tot de interne beheersing, dan zullen wij dit met u delen in ons accountantsverslag.
Het rapport bestaat uit drie delen. In deel 1 staan wij stil bij de kernboodschappen, in deel 2 geven wij inzicht in onze visie op uw interne
beheersing. In deel 3 nemen wij de ontwikkelingen en onderwerpen op die spelen in de gemeente Zutphen en die relevant zijn voor de jaarrekeningcontrole. De bijlage bevat een overzicht van de geconstateerde bevindingen.
We hebben de Management Letter met meer details besproken in de Auditcommissie, tijdens de vergadering van 3 december 2025. Mocht u nog vragen hebben, aarzelt u dan niet om contact met ons op te nemen. Wij zijn uiteraard graag bereid om de inhoud van deze rapportage nader toe te lichten. Hoogachtend, PricewaterhouseCoopers Accountants N.V.
S.J. Dul MSc RA Senior director
PricewaterhouseCoopers Accountants N.V., Leonard Springerlaan 35, 9727 KB Groningen, Postbus 8060, 9702 KB Groningen T: 088 792 00 50, F: 088 792 96 24, www.pwc.nl PwC’ is het merk waaronder PricewaterhouseCoopers Accountants N.V. (KvK 34180285), PricewaterhouseCoopers Belastingadviseurs N.V. (KvK 34180284), PricewaterhouseCoopers Advisory N.V. (KvK 34180287), PricewaterhouseCoopers Compliance Services B.V. (KvK 51414406), PricewaterhouseCoopers Pensions, Actuarial & Insurance Services B.V. (KvK 54226368), PricewaterhouseCoopers B.V. (KvK 34180289) en andere vennootschappen handelen en diensten verlenen. Op www.pwc.nl treft u meer informatie over deze vennootschappen, waaronder deze algemene (inkoop) voorwaarden die ook zijn gedeponeerd bij de Kamer van Koophandel te Amsterdam.
Boardletter 2025 | Gemeente Zutphen |
3
CONCEPT
Inleiding
Inleiding Onze kernboodschappen
Onze kernboodschappen Visie op interne beheersing
Visie op interne beheersing Zeggen wat je ziet
Zeggen wat je ziet Frauderisicobeoordeling
Frauderisicobeoordeling IT-omgeving
IT-omgeving Overige onderwerpen
Overige onderwerpen Bijlagen
Bijlagen
Onze kernboodschappen Open houding en prettig ontvangst van ons als nieuwe accountant
Onze observaties met betrekking tot fraude en integriteit
Afgelopen maanden zijn wij gestart met het voeren van gesprekken om kennis te maken met uw organisatie. De samenwerking ervaren wij tot nu toe als prettig. We merken dat er een open cultuur heerst binnen de gemeente waarin medewerkers graag met ons het gesprek aan gaan en hierbij eerlijk zijn over risico’s, aandachtspunten en ambities om het proces te verbeteren.
De VIC-functie heeft het opstellen van de frauderisicoanalyse onderhanden waarbij op basis van besprekingen de directie en managementteams inclusief proceseigenaren worden betrokken bij het proces. Onze eerste indruk is dat de opzet van de frauderisicoanalyse voldoende inzicht geeft in de aanwezige frauderisico’s binnen uw gemeente. Verdere ontwikkeling kan plaatsvinden door het vaststellen of (voldoende) beheersmaatregelen bestaan en werken en het creëren van een grotere bewustwording ten aanzien van mogelijke frauderisico’s.
De interne beheersing moet worden verbeterd, er zijn bevindingen in de primaire processen en wij adviseren controles meer vooraf in te richten Wij hebben de processen in opzet en (gedeeltelijk) bestaan beoordeeld in lijn met ons controleplan. Zowel de organisatie als wij zijn van mening dat er verbetermogelijkheden zijn in de interne beheersing (in relatie tot de jaarrekening). Wij erkennen de verschillende initiatieven binnen de gemeente Zutphen om opvolging te geven aan de geconstateerde bevindingen. Wij adviseren om zorgvuldig af te wegen welke projecten prioriteit verdienen. Zo kunnen tijd en middelen effectief worden ingezet en kan focus aangebracht worden om projecten die enige tijd openstaan, af te ronden. Communicatie over en het opzetten van mijlpalen, kan bijdragen aan de sturing op realisatie. Het drie-lijnen-model is de basis van de begin 2025 vastgestelde visie op control. Het in de praktijk tot uiting laten komen van deze visie kent aandachtspunten. Ten aanzien van primaire processen zien we dat niet altijd een proces met controles is ingericht, of dat ingerichte processen niet altijd worden gevolgd. Daarnaast is verdere ontwikkeling en zichtbaarheid van de beheersmaatregelen in de 2e lijn benodigd om de interne beheersing te versterken. Verder heeft de VIC een controleplan.
De VIC kan zich verder ontwikkelen door haar onafhankelijke toetsende en controlerende rol meer in te vullen door bijv. bij aanbestedingen meer zichtbaar te toetsen en te verbreden (push-left principe). Dit met als doel verrassingen voortkomend uit bevindingen in de interne beheersing tijdens de jaarrekeningcontrole te voorkomen.
Aandacht voor uw IT-omgeving Uit de beoordeling van uw IT-omgeving blijken aandachtspunten waaronder informatiebeveiliging en gebruikersbeheer. Het is belangrijk dat de organisatie voor de controle van de jaarrekening actie onderneemt op deze onderwerpen, waaronder de beoordeling van uitgebreide rechten van een aantal kritieke systemen. Verder verstevigen van de interne controle op aanbestedingen is van belang De aanbestedingen inclusief de controle uitgevoerd door de VIC-functie zijn een belangrijk punt van aandacht. Ten aanzien van uitgaven voor Oekraïners, IT-contracten, onderhoudscontracten en inhuur van personeel zien wij rechtmatigheidsrisico’s. In overleg met uw organisatie sturen wij op het uitvoeren van tussentijdse werkzaamheden om de druk ten tijde van de jaarrekeningcontrole te verlagen. Vooruitkijkend naar de jaarrekeningcontrole Als onderdeel van onze interim-rapportage en op basis van de gesprekken met uw organisatie constateren wij verschillende aandachtspunten vooruitlopend op de jaarrekeningcontrole in het voorjaar van 2026.
Boardletter 2025 | Gemeente Zutphen |
4
CONCEPT
Inleiding
Inleiding Onze kernboodschappen
Onze kernboodschappen
Onze visie op de interne beheersing (1/2)
Visie op interne beheersing
Visie op interne beheersing Zeggen wat je ziet
Zeggen wat je ziet Frauderisicobeoordeling
Frauderisicobeoordeling IT-omgeving
IT-omgeving Overige onderwerpen
Overige onderwerpen Bijlagen
Bijlagen
Herijking van de visie op control moet tot uitvoering worden gebracht
Verdere ontwikkeling van de controleomgeving is benodigd om de interne beheersing van de gemeente Zutphen te versterken. In algemene zin zien wij dat er gemeentebreed aandacht besteed wordt aan het invullen van het drielijnen-model en het zogenoemde push-left principe. Om de controleomgeving van de gemeente Zutphen verder door te ontwikkelen is begin 2025 door concerncontrol de visie op control herijkt. Het drielijnenmodel vormt hierbij de basis. Het is positief dat Zutphen een beleid heeft over hoe de ontwikkeling van de interne beheersing verder kan worden gebracht. Wel bevelen wij aan de uitwerking van de visie meer organisatiebreed te doorleven, verantwoordelijkheden te beleggen en centrale regie daarop te voeren zodat dit ook in de praktijk kan worden gebracht. Dit geeft draagvlak dat benodigd is om de visie tot leven te laten komen. De inrichting van de primaire processen is een aandachtspunt Voor een goede beheersing is het van belang om de primaire processen structureel te verbeteren. Diverse processen zijn in een aantal gevallen onvoldoende beschreven en ingericht (bijvoorbeeld betalingen, de IT-omgeving, prestatielevering sociaal domein en huuropbrengsten). Medewerkers geven hierbij zelfstandig invulling aan processen op basis van hun eigen ervaring. Als procedures niet of nauwelijks zijn ingericht, worden de hieraan gerelateerde risico’s niet specifiek gemitigeerd.
Naast een risico met betrekking tot de interne beheersing kan dit ook resulteren in een mogelijk financieel effect. Voorbeeld hiervan is dat het ontbreken van een proces omtrent inkomende subsidies ervoor zorgt dat toegekende subsidies niet goed worden verantwoord, of dat mogelijk niet (volledig) aan de eisen van de subsidie wordt voldaan en daarmee geld wordt misgelopen.
Gemeente Zutphen erkent de genoemde risico’s en investeert in het opzetten van de processen waarbij ondersteuning wordt verkregen van een externe partij. In deze rapportage hebben wij diverse detailbevindingen gerapporteerd ten aanzien van de interne beheersing. Dit betreffen bevindingen die naast het ontbreken van procedures ontstaan uit het niet voldoende zichtbaar maken van beheersmaatregelen of het ontbreken van functiescheiding. De gemeente Zutphen is ook verantwoordelijk voor de betrouwbaarheid en continuïteit van de geautomatiseerde gegevensverwerking waarbij wij verschillende bevindingen in (niet) bestaande beheersmaatregelen hebben vastgesteld die verdere aandacht vragen. Heldere prioritering benodigd Uit de verschillende besprekingen blijkt dat het college en de organisatie graag investeren in het verder versterken van de interne beheersing. Het vaststellen van de visie op control en het beschrijven en inrichten van processen zijn hier voorbeelden van. Ook voelen we bij teams en individuele medewerkers een wil om het als gemeente goed te doen, te zorgen voor goede processen en het verbeteren. Tegelijkertijd constateren we dat deze initiatieven niet altijd leiden tot concrete verandering, mede doordat de veelheid aan projecten en initiatieven het risico met zich meebrengt dat de focus versnipperd raakt.
Wij adviseren daarom om zorgvuldig af te wegen welke projecten prioriteit verdienen, zodat beschikbare middelen en aandacht gericht kunnen worden ingezet voor maximaal effect. Daarmee kan gerichte sturing worden aangebracht. Bredere communicatie over de wijze waarop besluitvorming voor projecten tot stand is gekomen inclusief communicatie over de mate van prioriteit, kan het verdere draagvlak en focus voor het uitvoeren en afronden van projecten vergroten. Hierbij is het stellen van realistische doelen een aandachtspunt.
Boardletter 2025 | Gemeente Zutphen |
5
CONCEPT
Inleiding
Inleiding Onze kernboodschappen
Onze kernboodschappen
Onze visie op de interne beheersing (2/2)
Visie op interne beheersing
Visie op interne beheersing
Onvoldoende zichtbaarheid van de tweede lijn
Zeggen wat je ziet
Zeggen wat je ziet Frauderisicobeoordeling
Frauderisicobeoordeling IT-omgeving
IT-omgeving Overige onderwerpen
Overige onderwerpen Bijlagen
Bijlagen
Bij de gemeente Zutphen is de tweede lijn nog beperkt zichtbaar in het jaarrekeningproces. Uit de verschillende processen blijkt dat de toetsing door de tweede lijn niet altijd navolgbaar is. Vanuit de besprekingen komt naar voren dat het achteraf aantonen van de toetsing op de beheersmaatregelen in de processen zorgt voor inefficiënties gedurende het jaar. Er bestaan daarbij relatief veel handmatige en tijdsintensieve controles. Wij adviseren om in lijn met de opgestelde visie op control, de zichtbaarheid in tweede lijn te vergroten (al dan niet breed gedragen op basis van een directiebesluit) om hiermee ook voldoende kritische tegenwicht te bieden aan de gemeentelijke organisatie. De rol van de VIC kan nog verder groeien Tijdens de kennismakingen bij de gemeente Zutphen hebben wij een hoge betrokkenheid van de VIC-functie kunnen zien. Het is positief dat de te verrichten werkzaamheden jaarlijks worden vastgesteld in een controleplan. De werkzaamheden bestaan hierbij uit themacontroles en gegevensgerichte controles in kader van het jaarrekeningproces. Veel werkzaamheden worden uitgevoerd om tekortkomingen in de primaire processen of het ontbreken van vastleggingen in de 2 lijn op te volgen. Voorbeelden hiervan betreffen: werkzaamheden uitgevoerd op inkopen (inclusief aanbestedingen) en verstrekte subsidies.
Naast dat dit zorgt voor extra druk op de VIC, komt het de kwaliteit van de processen ten goede om beheersmaatregelen meer preventief in te regelen. Gevoelsmatig is de huidige verdeling van taken en verantwoordelijkheden in het jaarrekeningproces over de 3 lijnen niet het meest efficiënt. Daarnaast beperkt dit de VIC-functie in het functioneren vanuit een onafhankelijke controlerende en toetsende rol. e
Wij bevelen aan om (inclusief besluitvorming door de directie) per proces te bepalen of beheersmaatregelen belegd dienen te worden in het primaire proces of dat het achteraf controleren door middel van de VIC-functie de werkwijze is die de gemeente Zutphen wil blijven hanteren. Mede op basis van deze keuzes kan ook gericht worden gewerkt aan het herinrichten van controles in de organisatie. Wij adviseren hierbij om zoveel mogelijk controles in het primaire proces te organiseren. Daarnaast zijn er meerdere materiële processen die buiten de scope van werkzaamheden van de VIC vallen, terwijl er voor deze processen bevindingen in de primaire processen zijn geconstateerd. Voorbeelden hiervan zijn: huuropbrengsten, inkomende subsidies en betalingen. Hiertoe dienen in voor de jaarrekeningcontrole aanvullende controles te worden uitgevoerd om de getrouwheid (en mogelijk ook rechtmatigheid aan te tonen). Wij bevelen aan de betrokkenheid van de VIC-functie voor deze stromen te heroverwegen dan wel de interne controles bij andere organisatieonderdelen te beleggen. Dit om verrassingen ten tijde van de jaarrekeningcontrole te voorkomen.
Boardletter 2025 | Gemeente Zutphen |
6
CONCEPT
Inleiding
Inleiding Onze kernboodschappen
Onze kernboodschappen Visie op interne beheersing
Visie op interne beheersing Zeggen wat je ziet
Zeggen wat je ziet Frauderisicobeoordeling
Frauderisicobeoordeling IT-omgeving
IT-omgeving Overige onderwerpen
Overige onderwerpen Bijlagen
Bijlagen
Zeggen wat je ziet Dit is ons eerste jaar als controlerend accountant bij gemeente Zutphen. De mensen vormen de organisatie. Als de cultuur en het gedrag binnen de gemeente niet aansluiten bij de organisatiedoelen en kernwaarden kan dit negatieve effecten hebben. Als nieuwe accountant delen wij graag onze waarnemingen over de organisatie. Niet direct feiten of zaken die direct de jaarrekening raken. Wel zaken die opvallen en die wij graag met u delen. Het doel van het delen van deze observaties is dat de gemeente kan bepalen of dit overeenkomt met de eigen beelden en in hoeverre het gewenst is daar concreet mee aan de slag te gaan om de interne beheersing te verbeteren. Er is een transparante cultuur De cultuur binnen de gemeente Zutphen ervaren wij als open en transparant. Tijdens de besprekingen zijn medewerkers open over risico’s en aandachtspunten die zij zien. Dit draagt er positief aan bij om de beheersing daadwerkelijk te verbeteren. Van vertrouwen naar beheersing We hebben opgemerkt dat de cultuur binnen de gemeente Zutphen zich kenmerkt door een nadruk op vertrouwen, in lijn met de slogan “Bov’en (betrokken, vertrouwen en ondernemend) wij even”. Vertrouwen wordt veelvuldig genoemd in verschillende gesprekken.
Deze hoge mate van vertrouwen heeft een belangrijke uitwerking in de mate waarin beheersmaatregelen worden uitgevoerd (zoals een beperkte controle op de stamgegevens crediteuren). Ook leiden bevindingen in processen niet direct tot verbeteracties en concrete opvolging. Daarnaast worden gemaakte procesafspraken in de praktijk niet altijd gevolgd zoals bij het vaststellen van de prestatielevering van inkopen. De kwaliteit van de interne beheersing hangt af van de bereidheid van een ieder om de maatregelen te accepteren en uit te voeren. Van besluitvorming naar acties Er bestaan veel ideeën om de interne beheersing te versterken. Het omzetten van deze ideeën naar concrete acties en het daadwerkelijk uitvoeren ervan blijkt in de praktijk lastig. Zo bestaan er meerdere systemen die op dit moment niet optimaal ingezet worden voor het versterken van de interne beheersing.
Voorbeelden hiervan zijn: het inrichten van het proces omtrent autorisatie van memoriaalboekingen en het opzetten van een verplichtingenadministratie. Draagvlak, sturing en/of capaciteit ontbreekt voor de opvolging van deze initiatieven. Wij adviseren meer dat gesprek te voeren (al dan niet door de directie uitgedragen) over concrete verbeterstappen die gezet moeten worden en waar medewerkers aan kunnen worden toegewezen. Gezamenlijke verantwoordelijkheid
Naast de open en positieve cultuur van de gemeente zien wij ook dat er een organisatie staat waarbij teams en domeinen nog veel op zichzelf werken en de communicatie onderling meer versterkt kan worden (minder vanuit de ‘eilandjes’). Hierdoor ontstaat er bij ons soms een beeld dat een gezamenlijke verantwoordelijkheid beperkt wordt gevoeld. Hierbij zien wij dat er afhankelijkheid bestaat van een relatief beperkt aantal sleutelposities dat verbeteringen willen realiseren. Dit kan ervoor zorgen dat een beperkt aantal medewerkers zich verantwoordelijk voelt voor een taak. Hierbij adviseren wij om als organisatie breder met elkaar in gesprek te gaan over wederzijdse verwachtingen in een proces waarbij alle drie de lijnen worden betrokken. Het creëren van duidelijkheid van rollen, verantwoordelijkheden en eigenaarschap maakt het mogelijk (vanuit die soms te ‘lieve’ cultuur) om elkaar aan te spreken als niet aan verwachtingen wordt voldaan.
Boardletter 2025 | Gemeente Zutphen |
7
CONCEPT
Inleiding
Inleiding Onze kernboodschappen
Onze kernboodschappen
Onze observaties ten aanzien van het frauderisicobeheersingsproces
Visie op interne beheersing
Visie op interne beheersing Zeggen wat je ziet
Zeggen wat je ziet Frauderisicobeoordeling
Frauderisicobeoordeling IT-omgeving
IT-omgeving Overige onderwerpen
Overige onderwerpen Bijlagen
Bijlagen
Als uw accountant is het onze verantwoordelijkheid om onze controle te plannen en uit te voeren om een redelijke mate van zekerheid te verkrijgen dat de financiële overzichten als geheel geen afwijkingen van materieel belang bevatten, ongeacht of deze zijn veroorzaakt door fraude of fouten, rekening houdend met het toepasselijke wet en regelgevingskader. Vanwege de inherente beperkingen van een controle is er een onvermijdbaar risico dat bepaalde afwijkingen van materieel belang in de financiële overzichten niet worden ontdekt. Wij zullen rapporteren over de risico-inschatting, onze verrichte werkzaamheden en materiële bevindingen ten aanzien van fraude in onze controleverklaring zoals al via het controleplan gecommuniceerd. In de jaarstukken van 2024 wordt in beperkte mate gerapporteerd over het fraudepreventieprogramma. Wij adviseren het college om in de paragraaf bedrijfsvoering een sectie op te nemen over dit onderwerp zodat wij hier in onze controleverklaring naar kunnen verwijzen. Frauderisicoanalyse is in ontwikkeling
De primaire verantwoordelijkheid voor het voorkomen en detecteren van fraude en niet naleving van wet- en regelgeving ligt bij zowel de raad (als toezichthoudend orgaan) als het college (als bestuurlijk orgaan). De gemeente heeft het opstellen van een frauderisicoanalyse onderhanden en is voornemens deze begin 2026 af te ronden. Uit de besprekingen met uw organisatie blijkt dat het initiatief van de frauderisicoanalyse voornamelijk ligt bij de VIC waarbij de besprekingen met de directie en managementteams inclusief proceseigenaren de basis zijn van deze analyse. De VIC is hierbij voornemens de frauderisicoanalyse op te stellen op basis van geïdentificeerde frauderisicofactoren waarbij mogelijke (bruto) frauderisico’s in combinatie met bestaande beheersmaatregelen resulteren in een restrisico. Wij adviseren dit beleid door de directie en het college te laten vaststellen en fraudebeheersing periodiek te agenderen.
In opzet betreft dit de juiste wijze om inzicht te verkrijgen in (significante) restrisico’s. Verdere ontwikkeling kan plaatsvinden door: •
Het vaststellen of de beheersmaatregelen opgenomen in de frauderisicoanalyse in praktijk ook bestaan en werken;
•
Het vaststellen of voldoende beheersmaatregelen zijn getroffen om de (bruto)risico’s terug te brengen naar een aanvaardbaar niveau;
•
Het creëren van bewustwording binnen de organisatie en meldingsbereidheid omtrent mogelijke misstanden;
Wij adviseren daarnaast alert te blijven op zowel interne als externe frauderisico's en daarbij landelijke ontwikkelingen/casussen (ook met betrekking tot risico’s met AI) specifiek te betrekken, zoals fraude bij gunning van inkoopcontracten, prestatielevering en/ of facturatie van meerwerk, onrechtmatig gebruik van de BRP, CEO-fraude en zorgfraude. Daarnaast vragen wij aandacht voor nieuwe fraudevormen door middel van kunstmatige intelligentie, waardoor frauduleuze documenten, bonnen, facturen, prestatieverklaringen en schadeclaims realistischer kunnen lijken, hetgeen de kans op misleiding vergroot. Een actueel integriteitsbeleid is aanwezig Door middel van het jaarverslag klachten rapporteert de gemeente Zutphen over externe en interne meldingen. Ondersteunend aan het rapport bestaat een actueel integriteitsbeleid inclusief klokkenluidersregeling. Geen signalen van fraude of niet naleven wet- en regelgeving Wij hebben geen bevindingen met betrekking tot fraude geconstateerd (die naar verwachting kunnen leiden tot een materiële fraude in de jaarrekening). Wel merken wij op dat er bevindingen in de primaire processen bestaan waar ook frauderisico’s aan gerelateerd zijn, bijvoorbeeld ten aanzien van de prestatielevering van inkopen en uitgebreide rechten in systemen.
Boardletter 2025 | Gemeente Zutphen |
8
CONCEPT
Inleiding
Inleiding Onze kernboodschappen
Onze kernboodschappen
IT ontwikkelingen
Visie op interne beheersing
Visie op interne beheersing Zeggen wat je ziet
Zeggen wat je ziet
De Gemeente Zutphen gaat een periode van systeem vervangingen tegemoet in de beweging naar de cloud
Zutphen zelf worden uitgevoerd. Wij zullen met u in gesprek blijven over deze migraties en de werkzaamheden die nodig zijn in het jaar van migratie.
Door de sourcing strategie die de Gemeente Zutphen hanteert zullen steeds meer applicaties de komende jaren naar de Cloud worden gemigreerd. Zo zal ADP (salarisadministratie) in 2026 worden vervangen en staat het financiële systeem iFinanciën van PinkRoccade op de planning om aanbesteed te worden en hier zal in de loop van 2026 worden gestart met een plan van aanpak. De Suites van Centric worden voorlopig onderhands gegund en dit contract is daarmee onrechtmatig. Daarnaast zullen in 2025 en 2026 respectievelijk het integratieplatform (Enable U) en de enterprise servicebus (ESB) ‘De Makelaar’ worden vervangen. Gemeente Zutphen voornemens om meer data-gedreven te gaan werken en wordt een Azure dataplatform gebouwd.
Bij de overgang naar een nieuwe applicatie, wijzigen in veel gevallen ook de processen en interne (IT) beheersing (geautomatiseerde beheersmaatregelen, autorisaties en functiescheidingen, rapporten en algemene ITbeheersmaatregelen). Wij denken graag met u mee over de mogelijkheden om dit aan de voorkant zo goed mogelijk te beheersen.
Frauderisicobeoordeling
Frauderisicobeoordeling IT-omgeving
IT-omgeving Overige onderwerpen
Overige onderwerpen Bijlagen
Bijlagen
De beweging naar de cloud heeft een impact op de invulling van de ITorganisatie die beweegt naar een regie-organisatie. Daarbij neemt het belang van contract- en leveranciersmanagement toe en betekent het ook een wijziging van functies en competenties. Het is van belang daarbij voldoende aandacht aan deze ‘change’ te geven en medewerkers hier tijdig in mee te nemen. We adviseren daarnaast tijdens de selectietrajecten al aandacht te besteden aan de wijze waarop leveranciers inzicht en zekerheid kunnen bieden over de uitbestede IT-beheerprocessen (zoals middels een derdenverklaring). We hebben begrepen dat Gemeente Zutphen een onderzoek heeft laten uitvoeren door een externe partij om te onderzoeken wat wel en niet uitbesteed zal worden. Wij willen u erop wijzen dat de vervanging van systemen (in scope van onze controle) tevens impact hebben op onze controle. Daarbij zullen we zekerheid moeten verkrijgen over de juistheid en volledigheid van de gemigreerde data. We maken graag zoveel mogelijk gebruik van de controles die door de Gemeente
Stategie en I-visie 2024-2028 Gemeente Zutphen wil haar IT-organisatie de komende jaren transformeren naar een toekomstgerichte, betrouwbare en innovatieve organisatie die optimaal bijdraagt aan de maatschappelijke doelen. De visie is binnen vijf jaar alle informatie en data openbaar te maken, wat de transparantie en toegankelijkheid voor burgers vergroot. In 2026 wil de gemeente publieke waarden verankeren in IT-projecten en voldoen aan alle wettelijke eisen rondom informatiebeveiliging en privacy, zoals BIO, NIS2 en AVG. Daarnaast streeft Zutphen ernaar in 2027 jaar volledig case-gericht te werken, waarmee de digitale dienstverlening wordt gestroomlijnd en vereenvoudigd. In 2028 wil de organisatie een geïntegreerd klantbeeld realiseren, zodat medewerkers een volledig en actueel inzicht hebben in de situatie van inwoners, wat de dienstverlening zal verbeteren. Met deze ontwikkelingen is het waarborgen van de betrouwbaarheid en beveiliging van de IT-omgeving van groot belang, met speciale aandacht voor gegevensbescherming en wettelijke compliance. Naast het implementeren van robuust informatiebeheer is de opbouw van een professionele ITbeheerorganisatie essentieel.
Boardletter 2025 | Gemeente Zutphen |
CONCEPT
9
Inleiding
Inleiding Onze kernboodschappen
Onze kernboodschappen
IT-beheersing
Visie op interne beheersing
Visie op interne beheersing
De verbetering van algemene IT beheersmaatregelen verdient uw aandacht
Zeggen wat je ziet
Zeggen wat je ziet Frauderisicobeoordeling
Frauderisicobeoordeling IT-omgeving
IT-omgeving Overige onderwerpen
Overige onderwerpen
De Gemeente Zutphen is verantwoordelijk voor het waarborgen van de betrouwbaarheid en continuïteit van de geautomatiseerde gegevensverwerking. Wij hebben de opzet en deels het bestaan getoetst van voor de controle relevante algemene IT beheersmaatregelen (ITGC’s) voor de applicaties iFinanciën en Suites en deels voor het Zaaksysteem en de onderliggende infrastructuur. De ITGC’s beheersen de risico’s rondom third-party management, wijzigingsbeheer, autorisatiebeheer, logische toegangsbeveiliging en continuïteit. De belangrijkste bevindingen betreffen: •
Accounts met uitgebreide rechten zijn belegd bij medewerkers in de gebruikers organisatie voor Suites en het Zaaksysteem;
•
Testwerkzaamheden voor wijzigingen in iFinanciën worden niet uitgevoerd door de gemeente.
Bijlagen
Bijlagen
Cybersecurity Op basis van interview en documentatie hebben we ons een beeld gevormd van de wijze waarop de Gemeente Zutphen cybersecurity risico’s adresseert. Het is belangrijk te benadrukken dat onze analyse geen uitputtende beoordeling vormt om zekerheid te verkrijgen over de toereikendheid van de maatregelen om te voldoen aan de toepasselijke wet- en regelgeving. De belangrijkste aandachtspunten betreffen: •
Het opzetten van een cybersecuritybeleid inclusief maatregelen is onderhanden. Er zijn nog diversie aandachtspunten, zoals het uitvoeren van periodieke risicoanalyses, het verbeteren van detectie- en responsprocessen, en het testen van herstelmaatregelen.
•
Het wetsvoorstel voor de Cyberbeveiligingswet (Cbw), waarmee NIS2 in Nederland wordt geïmplementeerd, is op 4 juni 2025 ingediend bij de Tweede Kamer. De verwachting is nu dat de wet in het tweede kwartaal van 2026 in werking treedt, inclusief het Cyberbeveiligingsbesluit (AMvB) en sectorspecifieke ministeriële regelingen. De implementatie van NIS2 is meegenomen in het beleid van de gemeente Zutphen, maar inplementatie van maatregelen moet nog verder vorm krijgen, dit in combinatie met het verder professionaliseren van de IT-beveiliging zijn belangrijke aandachtspunten voor de komende periode.
Wij hebben daarnaast begrepen dat gedurende 2025 (tot 30 oktober 2025) zich geen cybersecurity incidenten hebben voorgedaan die hebben geleid tot materiële impact op de organisatie en de jaarrekeningcontrole.
Boardletter 2025 | Gemeente Zutphen |
10
CONCEPT
Inleiding
Inleiding Onze kernboodschappen
Onze kernboodschappen
Aandachtspunten voor de jaarrekeningcontrole (1/2)
Visie op interne beheersing
Visie op interne beheersing Zeggen wat je ziet
Zeggen wat je ziet Frauderisicobeoordeling
Frauderisicobeoordeling IT-omgeving
IT-omgeving
De procedures omtrent prestatielevering zijn niet toereikend en er is nog geen sprake van een centrale verplichtingenadministratie In het primaire proces van inkopen en aanbestedingen zien wij een aantal tekortkomingen: •
Overige onderwerpen
Overige onderwerpen
•
Bijlagen
Bijlagen
•
Het naleven van de juiste aanbestedingsprocedure wordt niet (vooraf) afgedwongen in het proces waardoor het risico op onrechtmatigheden van (EU-) aanbestedingen toeneemt.
De registratie en/of controle op de prestatielevering van inkopen wordt onvoldoende afgedwongen in het proces. Dit wordt ondervangen door middel van steekproeven achteraf door de VIC-functie. In opzet is er functiescheiding ingericht in het financiële systeem waarbij het accorderen van prestatieverplichtingen boven een drempelbedrag verplicht is gesteld. Dit is alleen niet systeemtechnisch afgedwongen. Uit besprekingen begrijpen wij dat facturen geaccordeerd worden, zonder dat prestatieleveringen vooraf zijn vastgesteld en gedocumenteerd. Uit onze werkzaamheden merken wij daarbij op dat de prestatielevering moeilijk aan te tonen is. Wij adviseren verdere bewustwording van de gemaakte werkafspraken en mogelijke risico’s voortkomend uit het niet volgen van deze werkafspraken te creëren. Ook moet er meer inzet gepleegd worden om de naleving van de afspraken te bewaken. Verder is er geen sprake van een (sluitende) centrale contracten- en verplichtingenadministratie, waardoor mogelijk niet alle verplichtingen (en rechten) geïdentificeerd worden. Dit komt de voorspelbaarheid van uitgaven en daarmee de financiële positie niet ten goede. Daarnaast kan dit impact hebben op de jaarrekening (niet volledige verantwoording van schulden en verplichtingen).
Bij team inkoop is het inrichten van een centrale contractenadministratie onderhanden waarbij een verplichtingenadministratie met betrekking tot inhuur is opgesteld. Het is daarbij belangrijk
dat uw medewerkers voor de jaarrekeningcontrole 2025 specifieke controles uitvoeren op de volledigheid van de schulden en verplichtingen •
Verder is het in de contractenmodule niet mogelijk de daadwerkelijke spend te koppelen aan de contracten waardoor overschrijdingen van raamcontracten (die kunnen leiden tot onrechtmatigheden op het gebied van aanbestedingen) niet ontdekt worden.
Het verstevigen van de (verbijzonderde) interne controle is van belang
Als onderdeel van de rechtmatigheidsverantwoording rapporteert de gemeente over eventuele onrechtmatigheden bij inkopen en aanbestedingen (o.a. het naleven van EU-aanbestedingen). Wij adviseren kritisch te kijken naar de controle waarbij verdere ontwikkeling op de volgende wijze kan plaatsvinden: •
De controle op aanbestedingen wordt jaarlijks achteraf uitgevoerd. Hierbij bevelen wij aan gedurende het jaar werkzaamheden uit te voeren en over te rapporteren zodat op eventuele onrechtmatigheden kan worden bijgestuurd;
•
Het opstellen van de spend-analyse is een handmatige en tijdrovende handeling die door de VIC wordt uitgevoerd. Wij adviseren kritisch naar dit proces en naar de totstandkoming van de spend-analyse te kijken. Hierbij vindt een inhoudelijke controle van contracten plaats, die beperkt wordt vastgelegd. Wij bevelen aan de spend-analyse verder aan te vullen met relevante datapunten zodat tijdig gesignaleerd kan worden of opnieuw aanbesteed moet worden of dat er sprake is van een onrechtmatigheid.
•
De controle van de VIC is voornamelijk ingericht op het vaststellen van de volledigheid van de aanbestedingen en toetst de aanbestedingen niet inhoudelijk qua rechtmatigheid van het proces. Inkoop stelt vast of de juiste stappen zijn gevolgd en of de aanbesteding rechtmatig is. Wij raden aan de werkzaamheden van de VIC verder te verbreden zodat er een onafhankelijk oordeel wordt gevormd over de uitgevoerde processtappen.
Boardletter 2025 | Gemeente Zutphen |
11
CONCEPT
Inleiding
Inleiding Onze kernboodschappen
Onze kernboodschappen
Aandachtspunten voor de jaarrekeningcontrole (2/2)
Visie op interne beheersing
Visie op interne beheersing Zeggen wat je ziet
Zeggen wat je ziet Frauderisicobeoordeling
Frauderisicobeoordeling
Vooruitblik op onze controle van de aanbestedingen De controle van de aanbestedingen is een tijdrovend en complex proces. Dit vraagt om een strak projectmanagement. In overleg met uw organisatie sturen wij op het verlagen van de piekbelasting tijdens de jaarrekeningcontrole, door werkzaamheden te verspreiden en gericht naar voren te halen.
Voor een breder leereffect en het daarmee geven van een impuls aan de interne beheersing is het aan te bevelen om de verantwoordelijkheid stapsgewijs meer te beleggen bij proceseigenaren. Ontwikkelingen binnen het fysiek domein hebben impact op het resultaat van uw grondexploitaties
IT-omgeving
IT-omgeving Overige onderwerpen
Overige onderwerpen Bijlagen
Bijlagen
Bij de aanbestedingscontrole 2025 zullen wij nadrukkelijk aandacht besteden aan de door de organisatie geïdentificeerde risicogebieden en/of onrechtmatigheden ten tijde van jaarrekeningcontrole 2024: IT-contracten, onderhoudscontracten en inhuur van personeel. Daarnaast zullen wij aandacht besteden aan inkopen die zijn gedaan voor de opvang van Oekraïense vluchtelingen. Verder zal er extra aandacht gevestigd worden aan het overschrijden van raamcontracten en het in rekening gebrachte meerwerk en de prestatielevering van dit meerwerk. Het is daarbij belangrijk dat er aandacht wordt besteed aan de naleving van de specifieke vereisten uit raamovereenkomsten. In de praktijk blijken landelijk vaak onrechtmatigheden doordat specifieke eisen van raamcontracten niet zijn nageleefd (bijvoorbeeld een contract voor inhuur van personeel tot schaal 10, terwijl medewerker wordt ingehuurd vanuit schaal 12). Aandachtspunten in de rechtmatigheidsverantwoording De raad stelt het normenkader voor de rechtmatigheid vast. Het is essentieel dat de elementen uit het normenkader worden geoperationaliseerd en worden opgenomen in een toetsingskader. Dit blijkt nu nog onvoldoende expliciet. In de gesprekken die wij hebben gevoerd blijkt dat de VIC-functie een belangrijke rol speelt in het opstellen van de rechtmatigheidsverantwoording en het identificeren van onrechtmatigheden.
In het controleplan van de VIC is aandacht besteed aan de te toetsen elementen waarop het voorwaardencriterium, M&O-criterium en het begrotingscriterium worden nageleefd.
De gemeente Zutphen staat de komende jaren voor een grote woningbouwopgave. In combinatie met de vraag naar bedrijventerreinen en schaarste in ruimte en nieuwbouwkavels, zorgt dit voor een uitdaging voor gemeente Zutphen. Daarbij zien we bij projecten dat er vertragingen optreden, o.a. door problemen met het stroomnetwerk (netcongestie), strengere milieueisen en de stikstofproblematiek. Voor de waardering van de grondexploitaties zijn dit belangrijke onzekerheden die richting de waardering in de jaarrekening 2025 nader moeten worden geconcretiseerd qua inschatting. Wij verzoeken u om per jaareinde een duidelijk standpunt hierover in te nemen, bijv. aan de hand van nadere uitwerking in een memo (onderbouwd met onderliggende documentatie). De belangrijkste wijzigingen in de programmering in 2025 betreft de aanpassingen van Noorderhaven Veld 18 (door aanpassing bouwlagen), dat heeft geresulteerd in een opbrengstverlaging. De huidige grondexploitaties bevinden zich voornamelijk in de afrondende fase waarbij enkele te realiseren grondverkopen resteren. Wij adviseren het college de risico’s en onzekerheden met betrekking tot de waardering van de grondexploitaties in de paragraaf grondbeleid van de jaarrekening toe te lichten.
Boardletter 2025 | Gemeente Zutphen |
12
CONCEPT
Inleiding
Inleiding Onze kernboodschappen
Onze kernboodschappen
Overige ontwikkelingen (1/2)
Visie op interne beheersing
Visie op interne beheersing Zeggen wat je ziet
Zeggen wat je ziet Frauderisicobeoordeling
Frauderisicobeoordeling IT-omgeving
IT-omgeving Overige onderwerpen
Overige onderwerpen Bijlagen
Bijlagen
Zorgkosten stijgen, investeren in voorspellend vermogen is belangrijk
Onzekerheden in de prestatielevering van zorgkosten vraagt aandacht
We zien landelijk een aanzienlijke stijging in de kosten van Wmo en Jeugd door stijgende prijzen, meer vraag naar (duurdere trajecten van) jeugdzorg en door vergrijzing van de inwoners. Om kosten te reduceren zet Zutphen actief in op preventie in de zorg om de zorgvraag in een later stadium te beperken. Op dit moment lijken daarmee de stijgende kosten relatief goed in de grip gehouden te kunnen worden.
Landelijk zien we onzekerheden in de prestatielevering rondom de geleverde zorg in natura. Zutphen monitort, waar mogelijk, actief de levering van zorg en vraagt middels cliëntervarings-onderzoeken de ervaring van de cliënt op rondom de kwaliteit van de geleverde zorg. Dit wordt periodiek besproken met de aanbieders en waar nodig wordt hierop bijgestuurd. Via de G7-regio heeft uw gemeente extra slagkracht in de discussies met zorgaanbieders rondom prestatielevering. Hierin merken we op dat de focus met name ligt op de kwaliteit van de zorg en het behalen van het beoogde doel, maar niet op de onderliggende prestatielevering van de in rekening gebrachte zorg. Vanuit het zorgperspectief is de focus op het beoogde zorgdoel begrijpelijk, maar vooruitkijkend naar de toenemende zorgvraag en –kosten en het door uw gemeente onderkende risico hierin, verdient dit extra aandacht. Hierbij bestaat de aanbeveling om aanvullend inzicht te verkrijgen in de onderliggende prestatieleveringen. Dit ook in het kader van het identificeren van (signalen van) mogelijke zorgfraude.
De samenwerking in de G7-regio helpt hierbij om efficiënter te zijn en kwaliteit te bieden. Een belangrijke ontwikkeling hierin is de afbouw van gesloten jeugdzorginstellingen. Hoewel dit past binnen de transformatie naar meer zorg in een open setting, brengt het voor de gemeente ook risico’s met zich mee. Het wegvallen van gesloten capaciteit betekent dat jongeren met zeer intensieve problematiek elders moeten worden geplaatst. Deze alternatieve voorzieningen zijn vaak duurder en minder voorspelbaar, waardoor het budget voor jeugdzorg onder druk komt. Een aandachtspunt is het voorspellend vermogen van uw gemeente ten aanzien van de lasten binnen het sociaal domein. We zien dat de meerjarenbegroting voornamelijk gebaseerd is op extrapolatie van het voorgaande jaar, in plaats van op de actuele ontwikkelingen. Het is belangrijk duidelijke en meetbare doelen en KPI’s te definiëren. Daarnaast bevelen wij aan middels voortgangsinformatie periodiek inzicht te verschaffen in de effectiviteit van maatregelen. Dit draagt bij aan de voorspelbaarheid van de kosten(ontwikkeling) inzake met name jeugdzorg. Ook is het belangrijk de raad tijdig te informeren over de ontwikkelingen.
Naar verwachting zullen (extra) werkzaamheden in het kader van de jaarrekeningcontrole 2025 benodigd zijn om de relatief hoge onzekerheden met betrekking tot het sociaal domein te minimaliseren naar een aanvaardbaar laag niveau. Aangezien dit niet te corrigeren bevindingen betreffen kan dit impact hebben op de strekking van ons oordeel in de controleverklaring. Het is daarom belangrijk op korte termijn een stevig plan van aanpak op prestatielevering op te stellen met werkzaamheden in eigen beheer in combinatie met het beoordelen van de ontvangen productieverantwoordingen van zorgaanbieders.
Boardletter 2025 | Gemeente Zutphen |
13
CONCEPT
Inleiding
Inleiding Onze kernboodschappen
Onze kernboodschappen
Overige ontwikkelingen (2/2)
Visie op interne beheersing
Visie op interne beheersing Zeggen wat je ziet
Zeggen wat je ziet Frauderisicobeoordeling
Frauderisicobeoordeling IT-omgeving
IT-omgeving
Klimaatrisico’s en duurzaamheidsrapportage Klimaatverandering en klimaatgerelateerde risico’s zijn ontwikkelingen die gemeenten steeds vaker direct financieel raken. De initiatieven die Zutphen heeft, evenals de stappen die gezet worden, zijn wijd verspreid over de directie en de beleidsdomeinen. Wij hebben de volgende opmerkingen: •
Wij adviseren om centrale monitoring plaats te laten vinden waardoor duidelijk regie gevoerd kan worden over geïdentificeerde klimaatrisico’s en kansen op het vlak van duurzaamheid.
•
Door de verschillende klimaatrisico's inzichtelijk te maken en per risico een impactanalyse uit te voeren, kan in de beleidskeuzes een prioriteitsstelling gemaakt worden.
•
Daarbij adviseren wij ook de effecten van klimaatrisico’s te betrekken in de bepaling van het (benodigd) weerstandsvermogen. Hierbij kan een onderscheid gemaakt worden tussen klimaatadaptie en klimaatmitigatie.
Overige onderwerpen
Overige onderwerpen Bijlagen
Bijlagen
•
Daarnaast bevelen wij aan om informatievoorziening met betrekking tot doelen en monitoring onderdeel te laten worden van de P&C-cyclus inclusief verantwoording in de jaarrekening.
EU- loontransparantie: Nederlandse implementatie uitgesteld Loontransparantie is in heel Europa een belangrijk thema voor werkgevers. Met de invoering van de EU-richtlijn loontransparantie ontstaan er rapportage verplichtingen voor werkgevers met 150 of meer werkwerknemers die voor het eerst gelden over het kalenderjaar 2027. Het belangrijkste doel van deze Richtlijn is om gelijke beloning voor gelijk of gelijkwaardig werk te bevorderen en de genderloonkloof te verkleinen. Het advies is om deze periode te gebruiken om eventuele loonverschillen te beoordelen en indien geïdentificeerd aan te pakken. Wij bevelen hierbij aan de impact van deze wetgeving inzichtelijk te maken en gericht acties uit te voeren.
Einde handhavingsmoratorium Wet DBA Per 1 januari 2025 is het handhavingsmoratorium Wet DBA (Wet deregulering beoordeling arbeidsrelaties) beëindigd. Dit betekent dat de Belastingdienst weer kan handhaven op schijnzelfstandigheid met terugwerkende kracht tot 1 januari 2025. In 2025 zal de Belastingdienst bij een correctie nog geen vergrijpof verzuimboete opleggen indien de gemeente Zutphen aantoonbaar stappen heeft ondernomen om schijnzelfstandigheid te voorkomen. Ook bestaat het risico op claims van zzp’ers die in dienst hadden moeten zijn bij uw gemeente in het kader van ‘misgelopen’ pensioenopbouw, vakantiegeld en individueel keuze budget. Gemeente Zutphen heeft concrete acties uitgevoerd om de risico’s inzichtelijk te maken. De volgende stap is het inrichten van beheersmaatregelen zodat aan de regelgeving kan worden voldaan. Verantwoord gebruikmaken van AI binnen uw gemeente Wij hebben begrepen dat Gemeente Zutphen nog weinig tot geen gebruik maakt van Artificial Intelligence (AI). Wel ziet de Gemeente Zutphen AI als een belangrijke technologische ontwikkeling die kansen biedt, maar ook risico’s en ethische vraagstukken met zich meebrengt. De gemeente wil AI op een verantwoorde manier inzetten en daaraan aandacht besteden in haar informatiebeleid. Het is belangrijk een AI-beleid over het verantwoord gebruik ervan te laten vaststellen. Dit beleid is er nog niet.
Wij raden u aan om in kaart te brengen wat de huidige en toekomstige AI-toepassingen op basis van een Algoritmeregister van de Nederlandse overheid zijn. Ook adviseren wij om bewustzijn te vergroten en vaardigheden te ontwikkelen bij medewerkers (vergrote AI-geletterdheid) en het implementeren van richtlijnen voor verantwoord AI-gebruik passend bij de regels opgenomen in de EU-AI Act. Naast deze regels zijn ook de voorwaarden die de Vereniging Nederlandse Gemeenten (VNG) is overeengekomen met Microsoft voor het gebruik van Microsoft applicaties van toepassing.
Boardletter 2025 | Gemeente Zutphen |
14
CONCEPT
Inleiding
Inleiding Onze kernboodschappen
Onze kernboodschappen
Actualiteiten (1/2)
Visie op interne beheersing
Visie op interne beheersing
Een aantal BBV notities is geactualiseerd
Zeggen wat je ziet
Zeggen wat je ziet Frauderisicobeoordeling
Frauderisicobeoordeling IT-omgeving
IT-omgeving Overige onderwerpen
Overige onderwerpen Bijlagen
Bijlagen
In dit begrotingsjaar is er sprake van een aantal geactualiseerde notities van de commissie BBV. Per juni 2025 is de notitie verbonden partijen geactualiseerd als gevolg van wijzigingen in de wet op de gemeenschappelijke regelingen (WGR). De wijziging biedt gemeenteraden meer instrumenten om te sturen op gemeenschappelijke regelingen. Ook zijn de wijzigingen uit de notitie grondbeleid 2023 voor het boekjaar 2025 van toepassing. Deze wijzigingen zien o.a. toe op de beslisboom rondom het kostenverhaal bij faciliterend grondbeleid, het nemen van tussentijdse winsten (alleen bij projecten met maximaal 10 jaar looptijd) en op de renteomslag naar grondexploitaties (die de begroting moet volgen). De notitie rente is eerder geactualiseerd, waarbij gemeenten Zutphen de keuze heeft gemaakt deze al in 2024 toe te passen. De wijzigingen in de notitie overhead zien toe op de omvang en samenstelling van overhead en de keuzes voor functies die zich in een grijs gebied bevinden voor de toerekening van overhead. Dit moet consistent worden toegerekend aan lokale heffingen. De impact van de gewijzigde notities op de jaarstukken heeft de gemeente Zutphen in kaart gebracht. Wij zullen tijdens de eindejaarscontrole aandacht besteden aan de opvolging hiervan.
Acties naar aanleiding van VNG-handreiking weerbaarheid noodzakelijk Gemeenten moeten hun burgers in crisissituaties goed informeren, ondersteunen en veiligheid waarborgen. De maatschappelijke weerbaarheid tegen toenemende dreigingen vraagt om versterking, omdat veel vitale voorzieningen verstoord kunnen raken (zoals water, energie, telecom en inkomen).
De VNG-handreiking biedt een raamwerk met zes pijlers: continuïteit van de organisatie, crisisorganisatie, vitale voorzieningen, sociaal weefsel, zelfredzaamheid van inwoners en bedrijven, en de samenleving als geheel. Het is een startpunt dat vraagt om verdere inventarisatie, analyse, samenwerking en training. Wij adviseren het college en de directie een inventarisatie van de weerbaarheid van de gemeente te maken en een overkoepelend plan op te stellen in lijn met de VNG-handreiking. Hanteer een consistent bestedingenbegrip bij de lastenneming van subsidies In de IBI-nieuwsbrief van deze zomer heeft het Ministerie van Binnenlandse zaken aandacht gevraagd voor de lastneming van verstrekte subsidies in de SiSa-bijlage. Hierbij is het aspect prestatielevering zeer relevant en bepalend voor het verantwoorden van de last in de SiSa-bijlage. In het huidige voorstel van het Ministerie ontstaat mogelijk een verschil tussen verwerking van de lasten in de jaarrekening en verwerking in de SiSa-bijlage. Dit lijkt niet gewenst. Derhalve vinden er landelijk nog diverse gesprekken plaats (o.a. tussen provincies en het Ministerie). Mogelijk vraagt de wijziging om een extra strakke sturing op vaststellen van de prestatielevering voor verstrekte subsidies.
Wij adviseren de landelijke ontwikkelingen goed te volgen, vooruitlopend daarop al te kijken naar de mogelijke impact voor Zutphen en hierbij ook reeds na te denken over mogelijke aanvullende acties die nodig zijn (bijv. opvragen van aanvullende informatie van subsidieontvangers die vanuit een SPUK zijn toegekend).
Boardletter 2025 | Gemeente Zutphen |
15
CONCEPT
Inleiding
Inleiding Onze kernboodschappen
Onze kernboodschappen
Actualiteiten (2/2)
Visie op interne beheersing
Visie op interne beheersing Zeggen wat je ziet
Zeggen wat je ziet Frauderisicobeoordeling
Frauderisicobeoordeling IT-omgeving
IT-omgeving Overige onderwerpen
Overige onderwerpen Bijlagen
Bijlagen
Arrest toekenning subsidies: (begrotings)subsidies vallen onder schaarse rechten; mededingingsruimte en transparantie worden verplicht Op 23 juli 2025 heeft de Raad van State uitspraak gedaan over het toekennen van een subsidie. De uitspraak is ook relevant voor begrotingssubsidies en heeft directe gevolgen voor de wijze waarop de gemeente Zutphen subsidies verstrekt aan maatschappelijke organisaties. Voorafgaand aan deze uitspraak werden begrotingssubsidies regelmatig zonder openbare procedure toegekend aan (de vaste) subsidierelaties, waarbij vermelding in de gemeentelijke begroting als voldoende grondslag werd beschouwd. De Raad van State heeft geoordeeld dat begrotingssubsidies voortaan moeten worden behandeld als schaarse rechten. Dit betekent dat de gemeente Zutphen niet zomaar subsidies mag toekennen aan vaste subsidierelaties. Als meerdere organisaties in aanmerking zouden kunnen komen voor een subsidie, moet de gemeente openlijk bekendmaken dat er een subsidie beschikbaar is. Andere partijen krijgen dan de kans om een voorstel in te dienen. Als bij voorbaat vaststaat of redelijkerwijs mag worden aangenomen dat op grond van objectieve, toetsbare en redelijke criteria slechts één serieuze gegadigde in aanmerking komt voor de subsidie, kan een subsidieverstrekker een begrotingssubsidie aan deze gegadigde partij verstrekken.
Onze adviezen aan gemeente Zutphen zijn : •
Herziening subsidiebeleid: Het huidige subsidieproces dient te worden aangepast om te voldoen aan de eisen van transparantie, objectieve criteria en gelijke behandeling. Dit vereist een herijking van de bestaande subsidierelaties en -procedures. Dit betekent mogelijk ook een aanpassing van de Algemene subsidieverordening.
•
Verantwoording en motivering: Indien de gemeente besluit een subsidie zonder openbare procedure toe te kennen, is het belangrijk dat dit voorafgaand aan de toekenning (minimaal acht weken ervoor) gemotiveerd en gepubliceerd wordt, inclusief een deugdelijke onderbouwing waarom slechts één partij in aanmerking komt.
•
Impact op prestatiegericht subsidiëren: De nadruk op objectieve criteria en transparantie versterkt de beweging richting prestatiegerichte subsidiëring. Dit vereist een heldere formulering van te leveren prestaties en meetbare doelstellingen in subsidiebeschikkingen.
•
Risico's en kansen: Deze ontwikkeling biedt kansen voor nieuwe partijen om zich aan te melden voor gemeentelijke subsidies. Tegelijkertijd vereist het zorgvuldige communicatie richting bestaande partners en adequate voorbereiding op mogelijke juridische procedures.
Het is verder belangrijk te beoordelen of er nog risico’s bestaan over de reeds beschikte subsidies (ofwel of er bezwaren zijn ingediend). Wij adviseren de organisatie daarnaast om in voorkomende gevallen goed te analyseren en te onderbouwen of er sprake is van een subsidierelatie of dat er in feite sprake is van een (verkapte) inkoop voor een gemeentelijke taak. Het opstellen van een duidelijk afwegingskader is aan te bevelen (ook i.v.m. het voorkomen van mogelijke fiscale discussies).
Boardletter 2025 | Gemeente Zutphen |
16
CONCEPT
Inleiding
Inleiding Onze kernboodschappen
Onze kernboodschappen Visie op interne beheersing
Visie op interne beheersing Zeggen wat je ziet
Zeggen wat je ziet Frauderisicobeoordeling
Frauderisicobeoordeling IT-omgeving
IT-omgeving Overige onderwerpen
Overige onderwerpen Bijlagen
Bijlagen Detailbevindingen
Detailbevindingen
Bijlagen Appendices In dit hoofdstuk hebben we een overzicht van onze detailbevindingen opgenomen met daarin onze detailbevindingen interne beheersing en detailbevindingen IT.
05 04
Boardletter 2025 | Gemeente Zutphen |
17
CONCEPT
Inleiding
Inleiding Onze kernboodschappen
Onze kernboodschappen Visie op interne beheersing
Visie op interne beheersing Zeggen wat je ziet
Zeggen wat je ziet Frauderisicobeoordeling
Frauderisicobeoordeling IT-omgeving
IT-omgeving Overige onderwerpen
Overige onderwerpen Bijlagen
Bijlagen Detailbevindingen
Detailbevindingen
Detailbevindingen
Onderstaande tabel bevat de detailbevindingen inclusief de prioriteit van de detailbevindingen. De prioriteit van een detailbevinding of een combinatie van detailbevindingen in de interne controle is niet alleen afhankelijk van het feit of er daadwerkelijk sprake was van een onjuistheid, maar ook van de waarschijnlijkheid dat een onjuistheid zou kunnen plaatsvinden en de potentiële omvang van de onjuistheid. # 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27
Detailbevinding Frauderisicoanalyse is in ontwikkeling Geen afgedwongen goedkeuring memoriaalboekingen Geen standaard controleprocedure bij wijziging crediteurenstamgegevens Prestatieverklaring wordt afgedwongen maar geen opvolging aan gegeven in het proces Contractenregister/ verplichtingenadministratie is nog niet volledig ingericht Superuser rechten voor SA-medewerkers in salarisadministratie Het proces rondom het volgen van de juiste aanbestedingsprocedure is niet voldoende ingericht Onvoldoende beheersing van het proces rondom prestatielevering en zorgfraude in het sociaal domein Geen formeel proces rondom inkomende subsidies Tekortkomingen omtrent naleving ASV bij uitgaande subsidies Mengpercentage btw niet periodiek herijkt Onvoldoende beheersing van huur- en pachtadministratie Medewerkers uit het primair proces met uitgebreide rechten in Suites en ontbrekende monitoring Medewerkers uit het primair proces met uitgebreide rechten in het Zaaksysteem en ontbrekende monitoring Groot aantal generieke admin accounts op de Active Directory en periodieke monitoring ontbreekt Testwerkzaamheden voor wijzigingen in iFinanciën worden niet uitgevoerd Backupbeleid is niet gedocumenteerd en restoretesten voor Suites worden niet uitgevoerd Control omtrent database toegang ontbreekt in de ISAE3402 verklaring van PinkRoccade Monitoring op accounts met schrijfrechten op de database onder
Suites wordt niet uitgevoerd en 1 account heeft een standaard wachtwoord Toekennen, verwijderen en het periodiek controleren van rechten in iFinanciën kan verbeterd worden Wachtwoordinstellingen voor toegang tot iFinanciën wijken af van het wachtwoordbeleid Preventieve controles ten aanzien van gebruikersbeheer in Suites kunnen verbeterd worden Wachtwoordinstellingen van Suites wijken af van het wachtwoordbeleid Assurance rapporten van IT service organisaties worden niet periodiek beoordeeld ITGCs worden niet periodiek getoetst Geen periodiek controle op fysieke toegang tot de serverruimte in het gemeentehuis Geen conflict-matrix aanwezig
Prioriteit Hoog Hoog Hoog Hoog Hoog Hoog Hoog Middel Middel Laag Laag Laag Hoog Hoog Hoog Hoog Hoog Hoog Hoog Middel Middel Middel Middel Middel Laag Laag Laag