8a. PWC- Board letter gemeente Zwolle.pdf

Vooruitkijkend

Ontwikkelingen

Controlekader

Kernboodschappen

Inleiding

B0ardletter

7 januari 2021

PricewaterhouseCoopers Accountants N.V.

Gemeente Zwolle Boardletter 2020

Vooruitkijkend

drs. M.J.A. Koedijk RA RE partner

Hoogachtend, PricewaterhouseCoopers Accountants N.V.

We hebben de inhoud van dit verslag tijdens de auditcommissievergadering op 8 december 2020 besproken. Mocht u nog vragen hebben, aarzelt u dan niet om contact met ons op te nemen.

N.V. (KvK 34180284), PricewaterhouseCoopers Advisory N.V. (KvK 34180287), PricewaterhouseCoopers Compliance Services B.V. (KvK 51414406), PricewaterhouseCoopers Pensions, Actuarial & Insurance Services B.V. (KvK 54226368), PricewaterhouseCoopers B.V. (KvK 34180289) en andere vennootschappen handelen en diensten verlenen. Op deze diensten zijn algemene voorwaarden van toepassing, waarin onder meer aansprakelijkheidsvoorwaarden zijn opgenomen. Op leveringen aan deze vennootsch appen zijn algemene inkoopvoorwaarden van toepassing. Op www.pwc.nl treft u meer informatie over deze vennootschappen, waaronder deze algemene (inkoop)voorwaarden die ook zijn gedeponeerd bij de Kamer van Koophandel te Amsterdam.

PricewaterhouseCoopers Accountants N.V., Burgemeester Roelenweg 13G, 8021 EV Zwolle, Postbus 513, 8000 AM Zwolle. T: 088 792 00 38, F: 088 792 94 61, www.pwc.nl

Het rapport bestaat uit drie delen. Deel 1 geeft onze visie op uw interne beheersing en onze bevindingen. Deel 2 beschrijft de ontwikkelingen voor de organisatie en de status van voorbereiding op deze ontwikkelingen. Deel 3 blikt vooruit op de jaareindecontrole en behandelt de meest relevante aandachtsgebieden.

Hierbij ontvangt u onze bevindingen met betrekking tot onze tussentijdse controle van de jaarrekening van uw gemeente voor het boekjaar dat eindigt op 31 december 2020. We hebben onze werkzaamheden uitgevoerd in overeenstemming met ons controleplan en de startnotitie voor 2020. Onze zienswijzen, bevindingen en aanbevelingen zijn open en constructief besproken met de ambtelijke organisatie. We hebben de inhoud van dit verslag met onder meer met de concerncontroller en gemeentesecretaris in de MTZ-vergadering op 25 november 2020 besproken. Onze tussentijdse bevindingen zijn gebaseerd op onze werkzaamheden tot 1 november 2020. Indien er na deze datum nieuwe bevindingen zijn met betrekking tot de interne beheersing zullen wij die met u delen in ons accountantsverslag.

Geachte leden van de gemeenteraad,

Referentie: 4P6R4QMH7S3V-1262947295-54

7 januari 2021

Gemeente Zwolle Aan de gemeenteraad Postbus 10007 8000 GA ZWOLLE

Controlekader

Ontwikkelingen

Inleiding

Kernboodschappen

Inleiding

B0ardletter

Vooruitkijkend

4. inzake (EU-)aanbestedingen. De directie is in het voorjaar 2020 gestart met het doorvoeren van verbeteringen. We zien dat gemeente Zwolle stappen heeft gemaakt waaronder het bundelen van externe inhuurovereenkomsten via een HR-adviseur.

3. Gemeente Zwolle maakt voor de inrichting van control gebruik het 3. Ook wij beoordelen de kwaliteit van de interne beheersing langs deze lijnen en geven onze observaties hierover aan u terug. Wij zien op hoofdlijnen dat de checks and balances (aantoonbaarheid van bijvoorbeeld rechtmatigheid) vooral door de VIC-functie (derde lijn) worden uitgevoerd. Dit drukt op de capaciteit van uw derde lijn ook gezien ontwikkelingen zoals de rechtmatigheidsverantwoording.

2. Er is een beperkte vooruitgang in 2020 in de volwassenheid van de algemene IT-beheersmaatregelen. Wij zien dat de algemene IT-beheersmaatregelen grotendeels in lijn liggen met voorgaande jaren. Op basis van de gesprekken die wij hebben gevoerd lijkt dit te worden veroorzaakt door keuzes in prioriteit (andere prioriteiten). Daarnaast kan volgens gemeente Zwolle duidelijker worden benoemd wie verantwoordelijk is voor de opvolging.

gehad. In 2019 heeft gemeente Zwolle een externe partij de opdracht gegeven om het inkoop- en aanbestedingenproces te optimaliseren. In 2020 wordt door een externe partij de kaderstelling en inrichting van de prestatielevering inkopen opgepakt.

1. De algemene kwaliteit van de interne beheersing is in de basis op orde. Wij zien dat gemeente Zwolle met focus investeert in de bedrijfsvoering en bijvoorbeeld positieve stappen zet op het gebied van innovatie (robotisering van processen). Inzake de gerapporteerde tekortkomingen van voorgaande jaren zien we dat bepaalde punten zoals inkopen en

Controlekader

Ontwikkelingen

Kernboodschappen (1/2)

Kernboodschappen

Inleiding

B0ardletter

2

6. Vanaf 1 januari 2021 wordt de rechtmatigheidsverantwoording ingevoerd. Gemeente Zwolle heeft afgelopen jaren stappen gezet om rechtmatigheidstoetsen uit te voeren, met name door de VIC. In de basis is er sprake van een goed uitgangspunt om rechtmatigheidscontroles uit te voeren. De auditcommissie is onlangs geïnformeerd over een plan van aanpak inzake rechtmatigheidsverantwoording. Het valt ons op dat er in dit plan van aanpak nog openstaande punten staan. We bevelen aan om tijdig een goed en volledig plan van aanpak op te stellen.

5. In het najaar 2020 hebben wij kennisgenomen van twee incidenten bij twee verschillende auditcommissieleden. Gemeente Zwolle heeft direct opvolging gegeven door onder andere nader onderzoek en het instellen van kortetermijnverbeteracties. De impact van deze kwesties op onze controle is op grond van de controleregels tweeledig: we moeten vaststellen of het presidium adequaat op de incidenten gereageerd heeft (in dit stadium adequaat) en wij moeten vaststellen of de incidenten een materiële impact hebben op de controle en/of de jaarrekening. Voor 2020 zijn wij door de raad gevraagd om integriteit bij het aannameproces te onderzoeken als speerpunt voor de controle. Ook is aan ons de separate opdracht verstrekt om werkzaamheden te verrichten op de fractieverantwoordingen. Wij rapporteren de resultaten in een separaat rapport van feitelijke bevindingen.

We begrijpen dat gemeente Zwolle overweegt om het interne inkoopbeleid geen deel te laten uitmaken van het normenkader 2020. Dit kan gemeente Zwolle het komende jaar ondersteunen om eerst de focus te plaatsen op het versterken van de interne beheersing binnen het primaire proces (implementatie en borging versus oplossen achteraf).

Vooruitkijkend

Ontwikkelingen

Controlekader

Kernboodschappen

Inleiding

B0ardletter

9. Tot slot is de Tozo-regeling voor gemeente Zwolle een belangrijk aandachtspunt als gevolg van Covid-19. Over de Tozo-regelingen 1, 2 en 3 zal gemeente Zwolle voor 2020 via de SiSa-bijlage verantwoording gaan afleggen aan het ministerie. Inzake het verstrekken van uitkeringen voor zelfstandigen maakt gemeente Zwolle deel uit van het samenwerkingsverband RBZ waarin met elf andere omringende gemeenten wordt deelgenomen. Gemeente Zwolle maakt op dit moment met de betrokken partijen binnen het RBZ afspraken over de verantwoording van de verstrekte Tozo-uitkeringen; dit zal naar verwachting voor alle deelnemende gemeenten zelfstandig worden uitgevoerd in afstemming met het RBZ.

8. Bij het sociaal domein hebt u stappen gezet in de beheersing van de lasten via de hervormingsagenda, waarin de tekorten teruglopen. Er zijn aandachtspunten, waarbij de belangrijkste toezien op de prestatieCovid-19 op uw processen.

jaarrekeningposten een verdiepingsslag die wij aanbevelen. Let ook op besluiten voor de rechtmatigheid die vóór 1 januari genomen moeten worden.

7. Uw organisatie heeft aandacht voor de impact van Covid-19. Er is een uitgebreid overzicht opgesteld met de maatregelen en de gevolgen daarvan op het gebied van de organisatie, financiële effecten en rechtmatigheid. De verschillende beleidsterreinen komen hier goed in samen. Gemeente Zwolle kan hierdoor tijdig actie ondernemen naar aanleiding van de maatregelen, de juiste autorisaties laten plaatsvinden en een uniforme aanpak waarborgen. De volgende stap is hoe gemeente Zwolle rechtmatigheid kan aantonen, waaronder tijdens de jaarrekening-

Kernboodschappen (2/2)

2i

Vooruitkijkend

Ontwikkelingen

Onder handen 8

Opgevolgd 1

Het is de taak van de businesscontrollers en concernstaf als tweede lijn om het lijnmanagement te ondersteunen en te adviseren. We zien dat dit op onderdelen gebeurt, maar constateren dat hier per afdeling verschillend invulling aan wordt gegeven en rolvermenging kan ontstaan. De tweede lijn voor grondexploitaties is bijvoorbeeld duidelijk betrokken in het jaarrekeningproces.

De rol van de tweede lijn verschilt per afdeling

Nieuw 3

3

We zien dat de interne controleaanpak van afgelopen jaren op hoofdlijnen is voortgezet. Door bovengenoemde redenen is er beperkte tijd beschikbaar voor de VIC-functie om bijvoorbeeld zelf relevante vernieuwingen in de controle toe te passen (denk aan vlieguren maken met data-analysetools) en hierin ook de eerste en tweede lijn mee te nemen. We adviseren gemeente Zwolle om deze punten mee te nemen in gesprekken over uw ambities voor de VIC-functie op langere termijn.

Het algemene beeld van de VIC-functie is dat er sprake is van een goed kennisniveau en goede kwaliteit. Dit zorgt er in de praktijk ook voor dat de VIC-functie vaak de drijvende kracht is bij bepaalde grote externe ontwikkelingen (zoals rechtmatigheidsverantwoording en impact van Covid-19), maar ook bij het verbeteren (soms ook repareren) van de kwaliteit van de interne beheersing in de eerste en tweede lijn (bijvoorbeeld bij aanbestedingen). Belangrijke grote, nieuwe vraagstukken en de grote rol die de VIC-functie heeft als kwaliteitsambassadeur beïnvloeden de capaciteit van uw derde lijn. Om de kwetsbaarheid van de VIC-functie te verminderen, huurt gemeente Zwolle ook deels externe specialisten in. Inzake kennisoverdracht zorgt gemeente Zwolle ervoor dat op de uitbestede werkzaamheden de interne VIC-medewerkers voldoende aanhaken.

De derde lijn is in grote mate verantwoordelijk voor kwaliteit interne beheersing

Tijdens onze interim-controle hebben wij vastgesteld dat de belangrijkste processen op hoofdlijnen niet zijn gewijzigd ten opzichte van voorgaand jaar. Wij blijven van mening dat uw interne beheersing op voldoende niveau ligt om een betrouwbare gegevensverwerking te waarborgen. Wel zijn er enkele bevindingen geconstateerd, nieuw of al bekend vanuit voorgaande jaren (zie onderstaande figuur). Tevens zien wij dat er opvolging wordt gegeven aan enkele bevindingen bekend uit voorgaande jaren, zoals inkopen en aanbestedingen en IT-bevindingen. De effecten hiervan komen vooral vanaf 2021 tot uiting. Voor 2020 is daarom vooral nog sprake van een gegevensgerichte controle. Zie verder de status per proces.

Enkele tekortkomingen in uw primaire processen

De status per proces

Fraude en integriteit

hoofdlijnen als volgt:

Op basis van besprekingen met proceseigenaren en lijncontroles hebben wij inzicht verkregen in de opzet en het bestaan van beheersingsmaatregelen in

Controlekader

IT-omgeving

Vanuit grondexploitaties zijn in gesprekken en gedurende de controle alle drie de lijnen betrokken. Daarnaast wordt door de tweede lijn een zichtbare collegiale toets uitgevoerd op grondexploitaties. Positieve voorbeelden ter onderbouwing van onze overkoepelende aanbeveling om te overwegen om nader uit te werken welke taak bij welke lijn hoort (binnen de tweede lijn en overkoepelend).

Onze observaties bij uw interne beheersing

Kernboodschappen

Inleiding

B0ardletter

Vooruitkijkend

Ontwikkelingen

Wij stimuleren het gebruik van digitale technieken. Bij een juiste inrichting vermindert dit namelijk de kans op fouten en is het een goede beheersmaatregel in de eerste lijn. De techniek wordt momenteel voor twee processen ontwikkeld. De mogelijkheid bestaat dat in de toekomst vergelijkbare technieken worden uitgerold over meerdere processen. Wij adviseren gemeente Zwolle om bij het ontwikkelen van deze toepassingen de IT-randvoorwaarden ook op orde te brengen. Dit kan er in de toekomst toe leiden dat tijdrovende gegevensgerichte werkzaamheden voor de VIC en accountant kunnen worden verminderd.

Gemeente Zwolle heeft de mogelijkheid ontwikkeld om administratieve boekingen die nu nog handmatig plaatsvinden te laten uitvoeren door een robot. Dit zijn relatief eenvoudige en gestandaardiseerde processen waarop een robot goed kan worden toegepast. Dit project is momenteel nog in een testfase maar zal naar verwachting uiteindelijk tot een significante reductie in tijd resulteren.

Inzet van robots voor proces automatisering (RPA)

Het afgelopen jaar is de structuur van de ICT-organisatie gewijzigd. Dit heeft ertoe geleid dat ICT-gerelateerde onderdelen die voorheen verspreid waren over de organisatie zijn samengevoegd in de nieuwe IV-afdeling. Deze afdeling bestaat uit drie secties: Informatie Beleid & Strategie, Informatie Advies & Realisatie en Informatie Beheer & Ontwikkeling. Met deze reorganisatie wil de gemeente onder andere zorgen voor een betere onderlinge afstemming en processen op centraal niveau verder verbeteren.

De status per proces

Fraude en integriteit

Herstructurering van de ICT-organisatiestructuur

In dit hoofdstuk staan we stil bij de belangrijke ITvoor gemeente Zwolle.

Controlekader

IT-omgeving

IT-ontwikkelingen, IT-

Kernboodschappen

Inleiding

B0ardletter

4

Wij hebben begrepen dat vanwege de ontwikkelingen rondom Covid-19 een andere invulling wordt gegeven aan de visie. Waar de prioriteit in 2019 vooral lag op de thema's digitale bedrijfsvoering en digitale veiligheid, ligt deze in 2020 vooral op het mogelijk maken van digitaal werken. Zo wordt naast de versnelde implementatie van Office 365 momenteel gewerkt aan een methode voor digitaal ondertekenen. Andere initiatieven, zoals het gebruikmaken van sensordata, hebben een lagere prioriteit gekregen.

2) Digitale veiligheid, 3) Samen organiseren en 4) Informatiemaatschappij.

Gemeente Zwolle beschikt over een IT-Visie voor de periode 2020-2022.

Ongewijzigde IT-Visie, vanwege Covid-19 wel een andere invulling

Vooruitkijkend

Ontwikkelingen

Fraude en integriteit

De status per proces

IT-omgeving

Controlekader

Kernboodschappen

Inleiding

B0ardletter

maatregelen te treffen ter voorkoming van cyberincidenten en datalekken, maar u ook voor te bereiden op mogelijke aanvallen. Bijvoorbeeld door het periodiek uitvoeren van een digitale brandweeroefening.

Een goede beveiligingsstrategie verkleint het risico op incidenten. Wij adviseren u regelmatig een cybersecuritytest te

We hebben begrepen dat zich in 2020 geen grote cyberincidenten en datalekken hebben voorgedaan met impact op de jaarrekeningcontrole. We merken op dat we geen diepgaande beoordeling hebben uitgevoerd.

Wij hebben gesproken met de Chief Information Security Officer (CISO) en Functionaris Gegevensbescherming (FG) om ons begrip te actualiseren hoe gemeente Zwolle omgaat met cyber- en privacyrisico's en weerbaar blijft tegen cyberdreigingen. Hierbij hebben wij begrepen dat: ten aanzien van cybersecurity een risicoanalyse wordt uitgevoerd, waarbij alle processen, systemen en kwetsbaarheden in beeld worden gebracht; ten aanzien van cybersecurity een roadmap is opgesteld voor 2020-2023; het afgelopen jaar veel aandacht uit is gegaan naar het verhogen van het bewustzijn onder medewerkers ten aanzien van de onderwerpen security en privacy en dat dit volgens gemeente Zwolle verdere aandacht behoeft; het contractmanagement met externe partijen verder verbeterd kan worden. Enerzijds zouden externe partijen meer verantwoordelijkheid mogen nemen en anderzijds is het ook aan de gemeente om deze partijen op hun verantwoordelijkheden te wijzen. De gemeente is nog te weinig in control op dit vlak; een verdere scheiding heeft plaatsgevonden tussen de uitvoerende (privacy officer) en toezichthoudende rol (FG).

Het afgelopen jaar zijn er landelijk verschillende cyberincidenten geweest waarbij duidelijk is geworden wat de impact van een aanval of storing kan zijn op de continuïteit, financiën en reputatie van de getroffen organisatie. De toenemende digitalisering, mede door Covid-19, maakt dat uw organisatie nog afhankelijker is geworden van IT.

Digitale dreigingen binnen nemen toe, mede door digitalisering

4i

Voor gemeente Zwolle zijn bovenstaande punten al grotendeels van toepassing. De status is in de tekst hiernaast uitgewerkt.

Lessons learned ransomwareaanvallen Naar aanleiding van de cyberaanval eind december 2019 heeft Universiteit Maastricht de belangrijkste geleerde lessen gedeeld, aangevuld met eigen inzichten. Dit betreffen onder andere: Vergroot de awareness van medewerkers en de afhandeling van phishing mails. Richt technische maatregelen in als het periodiek updaten van software, het segmenteren van netwerken en het zorgen voor goede monitoring (via Security Information & Event Management (opgepakt door SSC ONS). Gebruik van accounts volgens het principe least privilege. Waarborg dat er dubbele back-ups zijn en zorg dat deze ook offline beschikbaar zijn. Maak een Incident Response-plan om snel en adequaat te kunnen reageren op een cyberincident.

Vooruitkijkend

Ontwikkelingen

Fraude en integriteit

De status per proces

Overkoepelend zien we dat er beperkte vooruitgang is gemaakt wat betreft de algemene IT-beheersingsmaatregelen. Als we nog iets verder terugkijken zien we de laatste jaren bij gemeente Zwolle wel diverse initiatieven om verbeteringen aan te brengen, maar hebben deze niet het gewenste resultaat opgeleverd. Op basis van onze gesprekken lijkt dit te worden veroorzaakt door keuzes in prioriteit (andere prioriteiten) en doordat de opvolging van bevindingen onvoldoende is toegewezen aan bepaalde personen, zodat onduidelijk is bij wie de verantwoordelijkheid ligt.

Onze controleaanpak ligt in lijn met voorgaande jaren, waarbij we een voornamelijk gegevensgerichte controle uitvoeren. Voor de authenticiteit van gebruikers in de financiële administratie en de interface tussen de financiële administratie en de BNG-bankapplicatie zijn we voornemens om te steunen op de IT-omgeving.

-systemen die relevant zijn voor de jaarrekeningcontrole. We hebben in april tot en met juni 2020 de opzet en het bestaan getoetst voor de applicaties inclusief onderliggende infrastructuur voor de applicaties die in de tabel rechts zijn weergegeven. Daarnaast is in deze tabel de status van de IT-beheersprocessen ten opzichte van vorig jaar weergegeven.

De algemene IT-beheersingsmaatregelen procedures die worden gebruikt om de IT-omgeving en de ITen de continuïteit van de gegevens te waarborgen. De algemene IT-beheersingsmaatregelen zijn ook belangrijk, omdat data-analyses, rapportages en bepaalde handmatige beheersingsmaatregelen afhankelijk zijn van informatie uit systemen. In onze controle noemen we dit IT-afhankelijkheden.

Beperkte vooruitgang in volwassenheid algemene IT-beheersingsmaatregelen

Controlekader

IT-omgeving

IT-beheersingsmaatregelen

Kernboodschappen

Inleiding

B0ardletter

zonder auditimpact

Observaties

Gidso Regie Sociale zaken, jeugd, Wmo

Gidso Financieel Overlopende passiva, debiteuren

Youforce HR-mutaties

Beaufort Personeelsadministratie

Suite4SD Sociaal domein

OneWorld Financiën

2020

2019

2020

2019

2020

2019

2020

2019

2020

2019

2020

2019

Geen uitzonderingen opgemerkt

met auditimpact

Bevindingen

Applicatie

Wijzigingsbeheer

Logische toegangsbeveiliging

4ii

Continuïteit van gegevensverwerking

Algemene IT-beheersingsmaatregelen

Vooruitkijkend

Ontwikkelingen

Fraude en integriteit

De status per proces

IT-omgeving

Controlekader

Kernboodschappen

Inleiding

B0ardletter

Niet van toepassing

Proces is adequaat opgezet en beheersmaatregelen bestaan

In opzet toereikend, maar één of meerdere beheersmaatregelen bestaan in de praktijk niet

FYSIEK

In opzet ontoereikend

Legenda

Hierbij wordt een vergelijking tussen het boekjaar 2019 en 2020 gemaakt. Klik hier voor een toelichting op het 3-lijnenmodel.

In de tabel vindt u onze beoordeling van de interne beheersing van uw organisatie per proces. De tabel geeft vooral aandachtspunten weer vanuit opzet en bestaan. In de rapportage interim-bevindingen 2020 zijn de bevindingen en aanbevelingen voor de organisatie in detail per proces toegelicht. Voor overkoepelende observaties ten aanzien van de 3-lijnen zie link.

De status per proces BEDRIJFSVOERING SOCIAAL

Verstrekte subsidies

Participatie

Wmo

Jeugd

Bouwleges

Parkeren

Huren & pachten

Grondexploitatie

IT

Inkomende subsidies

Vpb/btw

Aanbestedingen

Inkopen en betalingen

Proces

1

Lijn 2

3

T.o.v. 2019

5

B0ardletter

Gemeente PwC

lijn

Geeft adviezen om effectiviteit controlewerkzaamheden te vergroten.

Geeft feedback om leesbaarheid/ informatiewaarde P&C-documenten te verhogen.

Het push-leftprincipe is erop gericht de interne beheersing in de 1e en 2e lijn te optimaliseren. Dit vanuit het uitgangspunt dat fouten voorkomen beter is dan achteraf constateren. Indien er tekortkomingen zijn in de interne beheersing in de 1e en 2e lijn, dan zullen wij deze daarom rapporteren als bevinding, ook als deze in de 3e lijn met verbijzonderde interne controle ondervangen worden.

Wij rapporteren via het push-leftprincipe

Adviseert/klankbordt om te komen tot een effectieve en efficiënte controleaanpak.

Adviseert preventieve interne controlemaatregelen in het ondersteunende proces en de IT.

Adviseert (met de VIC) preventieve interne controlemaatregelen in het primaire process.

Maakt waar mogelijk gebruik van de werkzaamheden van de VIC.

Adviseert over verbetering in de 1e en 2e lijn.

De VIC voert interne controles uit op de getrouwheid en rechtmatigheid van de financieel-kritische processen.

VIC-functie

De administratie voert bij de verwerking een aantal primaire controles uit op de 1e lijn.

Ondersteunt de afdelingen bij de optimalisering van de primaire processen.

3e

Verbijzonderde Interne Controle

Verantwoordelijk voor kwalitatieve analyse en toelichting P&C-producten.

Primair verantwoordelijk voor getrouwheid en rechtmatigheid transacties binnen eigen processen.

Businesscontrollers en Concernstaf

lijn

Afdelingen

2e

Ondersteuning

lijn

Lijnmanagement

1e

Onze controleaanpak is naast het controleren van de jaarrekening gericht op het verbeteren van uw bedrijfsvoering inclusief digitalisering rne

Wat is het 3-lijnenmodel?

Vooruitkijkend

Ontwikkelingen

Fraude en integriteit

De status per proces

IT-omgeving

Er zijn buiten deze twee incidenten geen overige indicaties van fraude en/of niet-naleving van wet- en regelgeving geïdentificeerd.

Vervolgens hebben wij in september 2020 kennisgenomen van een ongeautoriseerde en ongewenste betaling uit de fractiekas door een ander auditcommissielid. Gemeente Zwolle heeft hierop direct actie ondernomen door een onderzoek in te stellen en er is aangifte gedaan. De onterecht bestede gelden zijn inmiddels ook weer terugbetaald aan de fractie. Ook deze betrokkene is geen lid meer van de gemeenteraad.

Gemeente Zwolle heeft direct opvolging gegeven aan deze zaak middels het opvragen van informatie bij de officier van justitie en een eigen onderzoek naar aanwijzingen voor eventuele misstanden/misbruik van machtspositie. Ook is onderzocht of hierbij mogelijk nog een ambtelijk medewerker bij betrokken is geweest. Uit dit onderzoek komen geen bijzonderheden naar voren. Het auditcommissielid heeft begin september 2020 zijn raadslidmaatschap opgezegd.

Allereerst hebben wij eind augustus 2020 kennisgenomen van een rechterlijke uitspraak inzake een onjuiste en onvolledige belastingaangifte door een auditcommissielid. Deze zaak is bij gemeente Zwolle niet vooraf gemeld. Vervolgens is in een krantenartikel gesproken over een gebeurtenis waarbij er indicaties zijn dat het auditcommissielid ook op andere wijze niet integer heeft gehandeld. Hierbij wordt een referentie gemaakt dat het auditcommissielid van plan was om ook een ambtenaar te betrekken bij de handeling.

We zijn door gemeente Zwolle ten tijde van de interim-controle geïnformeerd over een tweetal incidenten, beide met betrekking tot auditcommissieleden.

Twee aanwijzingen voor incidenten zijn door gemeente Zwolle opgevolgd

Controlekader

Gezien de rol en functie van de gemeenteraad en specifiek de auditcommissie zullen we onze conclusies op bovenstaande aandachtspunten gezamenlijk 7 met het fraudepanel van PwC vormen en daarna aan u terugkoppelen.

Wij moeten voor onze aanpak vaststellen of de gesignaleerde tekortkomingen zich ook in 2020 voorgedaan (kunnen) hebben en of dit een materieel risico (zowel kwantitatief als kwalitatief) voor de controle/ jaarrekening vormt.

Wij dienen een oordeel te hebben of het college adequaat op de fraudesignalen gereageerd heeft.

De impact op onze accountantscontrole is op grond van de controleregels tweeledig:

(raad en ambtelijk). Hierover rapporteren wij in een separaat rapport van feitelijke bevindingen.

Aan PwC is de opdracht verstrekt om specifiek overeengekomen werkzaamheden te verrichten op alle fractieverantwoordingen van het afgelopen jaar. Voor de betreffende fracties gerelateerd aan de incidenten ook het jaar daarvoor. Ook hebben wij vanuit de auditcommissie voor 2020

Organiseren van een themabijeenkomst voor de raad waarin integriteit en rol van de raad centraal staan.

Er wordt opvolging gegeven aan de aanbeveling om een gemeentebrede frauderisicoanalyse op te stellen, dit is reeds in de zomer (voor publicaties omtrent deze incidenten) in gang gezet.

Beoordelen en waar noodzakelijk aanscherpen van de Verordening ambtelijke bijstand en fractieondersteuning. De verordening en naleving wordt vervolgens in een bijeenkomst van de penningmeesters besproken.

Om het risico dat een dergelijke situatie zich in de toekomst opnieuw zou kunnen voordoen terug te dringen, zijn er daarnaast nog een aantal acties door gemeente Zwolle in gang gezet:

Observaties met betrekking tot fraude, integriteit en niet-naleving van wet- en regelgeving

Kernboodschappen

Inleiding

B0ardletter

Vooruitkijkend

Overige ontwikkelingen

Impact van Covid-19

Rechtmatigheid

Ontwikkelingen

Controlekader

Kernboodschappen

Inleiding

B0ardletter

Wij gaan in op de status van de invoering van de rechtmatigheidsverantwoording, de impact van Covid-19 voor de processen en verantwoording. Daarnaast geven wij een update inzake overige wijzigingen in de wet- en regelgeving.

Op basis van kennis van de algemene ontwikkelingen en de uitgevoerde werkzaamheden noteren wij de belangrijkste aandachtspunten voor uw gemeente.

Ontwikkelingen

8

Vooruitkijkend

Overige ontwikkelingen

Impact van Covid-19

Rechtmatigheid

Ontwikkelingen

De organisatie, en met name de VIC, heeft afgelopen jaren stappen gezet om rechtmatigheidsaspecten juist en volledig in controles op te nemen. Hierdoor is gemeente Zwolle goed opgelijnd om rechtmatigheidscontroles uit te voeren. Wel merken we op dat gemeente Zwolle de impact van de RV nog niet langs de lijn van het normenkader heeft uitgewerkt en er geen sprake is van pilots (proefdraaien). Wij adviseren de impact van de rechtmatigheidsverantwoording in detail te inventariseren, uit te werken en tijdig het plan van aanpak volledig af te ronden. We hebben hierbij de overweging meegegeven om de rollen en verantwoordelijkheden per verdedigingslinie op te nemen.

Het plan van aanpak bevat nog een aantal belangrijke openstaande punten. Een belangrijk openstaand punt betreft bijvoorbeeld dat de impact op de relevante verordeningen, VIC-jaarplan en rapportages en dossiervorming nog moet plaatsvinden. Een ander belangrijk punt is dat er nog besluiten genomen moeten worden ten aanzien van de verantwoordingscyclus. In gesprek met de gemeente Zwolle hebben wij begrepen dat er wel invulling voor deze openstaande punten is. Het is van belang om dit tijdig en volledig te delen. Wij kijken graag in een volledig plan van aanpak mee.

Er is stilgestaan bij de grens die het college met de raad moet bepalen waarboven het college rechtmatigheidsfouten en onduidelijkheden specifiek moet gaan melden in de verantwoording. Voor de bepaling van de hoogte is relevant welke informatie-positie de raad wil hebben en welke inspanningen de organisatie moet leveren om die informatie op te stellen en te onderbouwen. Er wordt door de organisatie een memo opgesteld waarin duidelijk wordt gemaakt wat de effecten zijn van de keuze van deze grens tussen de 1%-3% zodat de raad deze grens spoedig formeel kan vaststellen.

In onze eerdere rapportages hebben wij gemeente Zwolle geïnformeerd over de invoering van de rechtmatigheidsverantwoording (RV) per 2021. Wij hebben aandacht besteed aan de voorbereidingen. Inmiddels is het plan van aanpak aan de auditcommissie voorgelegd.

Controlekader

2020 (Q4)

2021 Q2 - 2022 Q1 2022 (Q2)

4: Uitvoering controles en tussentijdse info 5: Opstellen rechtmatigheidsverantwoording

2020 (Q4)

2: Voorbereiding benodigde besluitvorming 3: Inrichten verbijzonderde interne controle

2020 (Q2-Q3)

Uitvoering

1: Voorbereiding en plan van aanpak

Projectfase

Nog niet gestart

Nog niet gestart

In de basis op orde, impact nog nader uitwerken

Onderhanden

Onderhanden

Status

Kortom de basis van rechtmatigheidstoetsingen voor gemeente Zwolle is op orde, maar er zijn nog een aantal stappen te zetten om goed voorbereid te zijn.

Een goed plan van aanpak, inclusief een beschrijving van de huidige maatregelen in de bedrijfsvoering, helpen de organisatie om tijdig aan de rechtmatigheidsverantwoording te voldoen.

Inrichting rechtmatigheidsverantwoording in voorbereiding

Kernboodschappen

Inleiding

B0ardletter

9

Vooruitkijkend

Overige ontwikkelingen

Impact van Covid-19

Rechtmatigheid

Ontwikkelingen

Controlekader

Kernboodschappen

Inleiding

B0ardletter

verdiepingsslag die nog gemaakt moet worden. Hierbij valt te denken aan de waardering van vorderingen waaraan betalingsuitstel is verleend.

De volgende stap in de Covid-19-analyse is hoe de organisatie rechtmatigheid kan aantonen, waaronder tijdens de jaarrekeningcontrole. Ook is de

De VIC heeft, met de hulp van het Covid-19-team en de afdelingen, een uitgebreide risicoanalyse en controlframework opgesteld. Hierin staan onder andere de landelijke en uw eigen Covid-19-maatregelen en de invloed daarvan op de interne processen, de financiële effecten en de jaarrekening -19 onder schot. Onze indruk is dat er een goede integrale analyse is gemaakt, waarin ook rechtmatigheid aandacht heeft. Hierdoor kan uw organisatie tijdig actie ondernemen naar aanleiding van de maatregelen, de juiste autorisaties laten plaatsvinden en een uniforme aanpak waarborgen. De verschillende beleidsterreinen komen goed samen in dit Covid-19-overzicht. Belangrijk aandachtspunt is dat besluiten die van belang zijn voor rechtmatigheid vóór 1 januari worden genomen.

Afgelopen periode hebben we met uw organisatie gesproken over de gevolgen van Covid-19 voor uw jaarrekening(controle). Het MTZ heeft onlangs een rapportage met de actuele situatie voor gemeente Zwolle (inclusief geactualiseerde risicobeoordeling en een update van de financiële effecten) beoordeeld. Inmiddels heeft het college de raad verder geïnformeerd

Gevolgen van Covid-19 leiden tot aandachtspunten in de jaarrekening(controle) voor de gemeente

10

We hebben een procesbespreking gehouden waarin uw organisatie ons heeft meegenomen in de stappen die de gemeente heeft gezet om snel doch getrouw en rechtmatig Tozo-uitkeringen te verstrekken. Onze afdronk vanuit dit gesprek is dat de organisatie erg wendbaar is gebleken en dat tijdig de juiste stappen zijn gezet en de juiste procedures zijn ingericht. We zullen de getrouwheid (én rechtmatigheid) van de verstrekte uitkeringen controleren in de volgende controlemomenten. Het is belangrijk om met de gemeenten betrokken bij het RBZ af te stemmen hoe de rechtmatigheid van Tozoverstrekkingen worden aangetoond. Hierover is gemeente Zwolle in gesprek met de betreffende gemeenten.

Aanvragen werden al ingediend voordat het normenkader bekend was. Van belang is een goede vastlegging van de overwegingen binnen het normenkader wanneer een uitkering wordt toegekend en wanneer niet.

Tijdelijke overbruggingsregeling zelfstandige ondernemers (Tozo)

Wij vragen uw aandacht om veranderingen in de opzet van interne beheersingsmaatregelen te adresseren in uw werkprocessen, hier actief op te acteren en de maatregelen te monitoren. Wij ontvangen graag een analyse van het risico op fouten en fraude door gewijzigde interne beheersingsmaatregelen als gevolg van de maatregelen van Covid-19. We zijn hierover op dit moment in gesprek met uw organisatie.

Zowel de impact van a) het op-afstand-werken en b) de nieuwe of aangepaste baten- en lastenstromen leiden ertoe dat de interne beheersing verandert c.q. mee zou moeten veranderen. Dit kan betekenen dat beheersingsmaatregelen onbedoeld anders dan in opzet, niet tijdig of helemaal niet worden uitgevoerd. Hierdoor kan het risico op fouten en/of fraude groter worden.

Opzet, bestaan en werking van beheersingsmaatregelen

Impact van Covid-19 voor de jaarrekening(controle) 2020 (1/2)

Vooruitkijkend

Overige ontwikkelingen

Impact van Covid-19

Rechtmatigheid

Ontwikkelingen

Controlekader

Kernboodschappen

Inleiding

B0ardletter

Op dit moment is dit geen onderdeel van het Covid-19-overzicht van gemeente Zwolle. Wij hebben begrepen dat er wel degelijk aandacht is voor dit risico. Uw organisatie heeft risicogericht contracten van reguliere inkopen beoordeeld en hierbij vastgesteld dat er bij deze inkopen geen sprake is van risico op betalingen voor niet-geleverde prestaties. Dit risico is bij deze inkopen niet aanwezig omdat de betaling op basis van in contracten afgesproken aanneemsommen plaatsvindt en niet gerelateerd is aan de verrichte prestaties.

worden ten opzichte van de contractuele afspraken. Voorbeelden zijn beveiliging, catering en schoonmaak.

10i

-19 impact op het sociaal domein, bijvoorbeeld de continuïteitsbijdragen aan zorgaanbieders. Hier leest u daar meer over.

Afhankelijk van de omvang van een subsidie wordt veelal een subsidie verleend onder de voorwaarde van het uitvoeren van het beleid in overeenstemming met een begroting, budget of activiteitenplan. Als bepaalde activiteiten stil hebben gestaan (zoals een bibliotheek of een sportvereniging), dan zijn prestaties (deels) niet geleverd. Het college heeft een besluit genomen over de afrekening van subsidies. Subsidies waarbij de prestatielevering niet of deels kan worden behaald na 1 maart 2020 als gevolg van Covid-19 worden niet gekort. Indien er sprake is van een financieel voordeel zal gemeente Zwolle een beroep doen op de betreffende organisatie om alsnog op een ander moment de prestatie te leveren of het teveel ontvangen bedrag terug te storten naar de gemeente of dit bedrag te reserveren en te betrekken in hun volgende subsidieaanvraag. We bevelen gemeente Zwolle aan om de redelijkheid en billijkheid bij het toetsen van de verantwoordingen nader uit te werken in specifieke criteria.

Prestatielevering bij reguliere inkopen

Prestatielevering en continuïteit in sociaal domein

Prestatielevering bij uitgaande subsidies

Impact van Covid-19 voor de jaarrekening(controle) 2020 (2/2)

Het algemeen voltijds- en voljaarsbezoldigingsmaximum voor 2020 is met

Vooruitkijkend

Deze situatie is naar verwachting niet van toepassing op gemeente Zwolle voor 2020.

Indien u één of meer leidinggevende topfunctionarissen in dienstbetrekking hebt die ook bij een andere WNT-instelling een dienstbetrekking heeft als leidinggevende topfunctionaris, dan krijgt u te maken met de anticumulatieregeling van de WNT. Deze regeling, van kracht vanaf 2018, maximeert de totale bezoldiging uit meerdere dienstbetrekkingen bij meerdere WNTverlengd op of na 1 januari 2018.

Verantwoordingseisen met betrekking tot de anticumulatieregeling zijn uitgebreid

Deze situatie is naar verwachting niet van toepassing op gemeente Zwolle voor 2020.

Impact van Covid-19

Overige ontwikkelingen

Hogere WNT-normen voor uw externe functionarissen

Voor 2020 gelden voor externe topfunctionarissen hogere maxima dan voor 2019. De maxima per maand waarin is gewerkt zijn:

Rechtmatigheid

De notitie bevat een nieuw hoofdstuk voor de leden van de gemeenteraad, provinciale staten en algemeen besturen.

Ook zijn de gepubliceerde vragen uit de vraag-en-antwoordrubriek in de notitie verwerkt. Er zijn geen nieuwe stellige uitspraken of aanbevelingen in de notitie opgenomen.

Het doel van de notitie is het bevorderen van een eenduidige interpretatie en toepassing van de begroting en jaarstukken van gemeenten door het uitwerken van uitgangspunten en principes die belangrijk zijn bij het opstellen en inrichten van deze stukken en waarom. Daarbij beperkt het document zich tot de financiële informatie. Centraal daarbij staan de principes die ten grondslag liggen aan het begrotingsstelsel dat voor gemeenten is voorgeschreven in het BBV.

In de eerste helft van 2020 heeft de commissie BBV de geactualiseerde

Nieuwe WNT-norm 2020

Controlekader

Ontwikkelingen

Notitie Hoofdlijnen van het BBV

Overige ontwikkelingen

Kernboodschappen

Inleiding

B0ardletter

11

Controleproces

Vooruitkijkend is het daarnaast van belang om de impact van de Covid-19-maatregelen op de jaarrekening mee te nemen in de voorbereidingen van het jaarrekeningproces. Dit is reeds toegelicht in de paragraaf ontwikkelingen.

In deze paragraaf kijken we vooruit naar de jaareindecontrole van uw jaarrekening over 2020 en naar de aandachtspunten in het sociaal domein. Daarnaast evalueren we de samenwerking voor een zo soepel en efficiënt mogelijk proces.

Vooruitkijkend

Sociaal domein

Samen met u toewerken naar een efficiënte jaareindecontrole

Vooruitkijkend

Ontwikkelingen

Controlekader

Kernboodschappen

Inleiding

B0ardletter

12

Controleproces

Sociaal domein

Vooruitkijkend

Ontwikkelingen

Controlekader

Kernboodschappen

Inleiding

B0ardletter

Voor de zorg in natura heeft het college voor 2020 ervoor gekozen om de prestatielevering van de zorg vast te stellen op basis van de verantwoordingen van zorgaanbieders. Dit betekent voor onze controle dat onze controle op de prestatielevering van de zorg eind april voor het eerst kan plaatsvinden. Dit is overigens niet anders dan in eerdere jaren en daardoor verwachten wij dat afronding van de jaarrekening plaats kan vinden in mei 2021.

Zorg in natura

-domein. Uit besprekingen met de organisatie blijkt dat gemeente Zwolle actief contact heeft gezocht met de zorgleveranciers. Wij adviseren in aanvulling hierop over de afrekening van de continuïteitsbijdrage en mogelijke meerkosten afspraken te maken met de zorgleveranciers en deze ook schriftelijk vast te leggen.

Bepaalde takken van zorg (zoals hulp bij huishouden en dagopvang), zijn maandenlang dicht geweest. Ook zijn gevallen bekend waarbij zorgleveranciers niet welkom waren vanwege het risico van verspreidingsgevaar. In deze gevallen is zorg (deels) niet geleverd, maar wél doorbetaald. De VNG heeft een notitie uitgebracht met oplossingsrichtingen hoe onrechtmatigheden te voorkomen.

Prestatielevering bij zorginstellingen

Het proces sociaal domein wordt extra geraakt door Covid-19. Ondanks dat afgelopen jaar de juiste stappen gezet zijn in het proces, gelden er aandachtspunten voor de jaarrekeningcontrole 2020.

13

Periodiek heeft het SWT een afspraak met burgers die zorg krijgen. Hierbij wordt het bereiken van de doelen in het ondersteuningsplan geëvalueerd en indirect wordt de prestatielevering besproken. Deze evaluatie wordt op dit moment niet zichtbaar vastgelegd (zie paragraaf 8.3 in de SDO-notitie), omdat de gemeente de administratieve lasten weg wil nemen en bewaking van de zorgverlening diverse acties ondernomen, maar gemeente Zwolle kiest er bewust voor om deze acties niet te betrekken bij de rechtmatigheidscontroles en middels productieverantwoordingen de prestatielevering vast te stellen, wat conform de SDO-notitie een keuze is. We bevelen aan om deze rechtmatigheidscontroles te integreren in de eigen bedrijfsvoering door middel van toereikende vastleggingen, om richting de toekomst prestatielevering vast te stellen op basis van (interne) controles.

Zichtbaarheid vastlegging prestatielevering

maatregelen leiden ertoe dat het college verwacht om, net als voor de zorg in natura, een oordeel te kunnen geven over de pgb-bestedingen waardoor afronding van de jaarrekening in mei 2021 kan plaatsvinden.

De verantwoording van de pgb-bestedingen wordt ontvangen van de Sociale Verzekeringsbank (SVB). Voor 2020 zal net als in eerdere jaren een deelwaarneming worden verricht op een aantal cliënten, waarbij wordt vastgesteld dat de pgb-bestedingen getrouw en rechtmatig zijn. Op basis van ervaringen in de voorgaande jaren, verwachten we hierin wederom een hoog percentage op retourontvangen bevestigingen. Deze bevestigingen zien enkel toe op het beschermd wonen, waarbij de lasten uit de overige pgb-bestedingen niet bevestigd worden en hierin een bewuste keuze wordt gemaakt gezien de totale omvang van de overige pgb-bestedingen ten

Persoonsgebonden budgetten

Sociaal domein heeft aandachtspunten in de controle

Controleproces

Sociaal domein

Vooruitkijkend

Ontwikkelingen

Controlekader

Kernboodschappen

Inleiding

B0ardletter

Wij gaan, en hebben voor een deel al, vroegtijdige gegevensgerichte werkzaamheden verricht op onder andere aanbestedingen, grondtransacties en verstrekte subsidies. Op deze manier kunnen we de werkbelasting voor uw en ons team beter over de komende maanden verdelen.

Vroegtijdige toetsing (early testing)

Om u te ondersteunen bij uw voorbereidingen van de jaareindecontrole, krijgt u een gedetailleerde lijst van specificaties die in Client Connect moeten worden gezet. Een tijdige levering van alle items zoals afgesproken in de gezamenlijke tijdlijn is nodig voor een soepel controleproces en om overschrijdingen te voorkomen.

Client Connect

Vooruitkijkend hebben we een gezamenlijke tijdlijn opgesteld om het tijdspad van uw organisatie en onze werkzaamheden tijdens de jaarrekeningcontrole goed op elkaar aan te laten sluiten.

Gedurende onze interim-controle ondervonden we een goede samenwerking met uw team.

Onze samenwerking

De werkelijk gemaakte uren liggen per 1 november 2020 iets hoger dan de geplande uren. Het betreft vooralsnog aanvullende uren met betrekking tot de incidenten (zoals benoemd op deze pagina) en de impact van Covid-19. De omvang van de aanvullende werkzaamheden als gevolg van Covid-19 is op dit moment nog niet volledig duidelijk. Hierover maken we separate afspraken met de organisatie. Een specifiek voorbeeld betreft de Tozo-regeling voor gemeente Zwolle.

Huidige uren versus geplande uren

Om aan uw behoeften te kunnen voldoen en het proces voor de jaareindecontrole verder te kunnen verbeteren, vinden we het belangrijk om het proces periodiek te evalueren en onze bevindingen met u te delen.

Het controleproces en voorbereidingen voor de eindejaarscontrole

14

Eventuele ontdekte of vermoede fraude

Controleproces

Significante aangelegenheden die naar voren komen tijdens de controle in verband met verbonden partijen van de entiteit

Niet-gecorrigeerde afwijkingen

Rapporteren over significante moeilijkheden, aangelegenheden en overige zaken die van belang zijn voor het toezicht op het financiële verslaggevingsproces

Standpunt van de accountant over belangrijke kwalitatieve aspecten van de verslaggeving door het college

Alle zaken die van invloed zijn op de vorm en inhoud van de controleverklaring

Schriftelijke bevestigingen gevraagd van het management

Niet-naleven van wet- en regelgeving

Eventuele significante tekortkomingen in de interne controle

Bevestiging van de onafhankelijkheid van PwC

Mededeling over de verantwoordelijkheden van de accountant.

Vereiste communicatie op grond van controlestandaarden

Vereiste communicatie

Sociaal domein

Vooruitkijkend

Ontwikkelingen

Controlekader

Kernboodschappen

Inleiding

B0ardletter

Controleplan

Rapportage interimbevindingen

Accountantsverslag

15