Deloitte. (encc j1. Follow-up Voortgangsrapportage accountantscontrole c1ii g As al

Transcriptie

1 Deloitte Deloitte Accountants B.V. Orlyplein DP Amsterdam Postbus HC Amsterdam Nederland Tel: Fax: Follow-up Voortgangsrapportage accountantscontrole 2010 ) (encc j1 c1ii g As al I 2012

2 De IoItte. Deloitte Accountants B.V. Orlyplein DP Amsterdam Postbus HC Amsterdam Nederland Tel: Fax: Aan het dagelijks bestuur van de Gemeenschappelijke Regeling Reinigingsbedrijf Avalex t.a.v. de heer R. de Prez P/a Martinus Nijhofflaan ES DELFT Datum Behandeld door Ons kenmerk H.J. van Beelen MSc PS12-140/dt Onderwerp Voortgangsrapportage accountantscontrole 2010 Geacht bestuur, Op 21 november 2011 hebben wij uw dagelijks bestuur met onze voortgangsrapportage geinformeerd over de voortgang van de controle van de administratie en dejaarrekening 2010 van Avalex. Wij hebben u tevens geinformeerd over onze bevindingen en de opstaande punten. De controle 2010 kon op dat moment door ons niet worden afgerond. Op 9 januari 2012 hebben wij op uw verzoek de interim-controle 2011 gestart. Deze interim controle 2011 hebben wij eind februari 2012 afgerond. Met onze managementletter 2011 hebben wij Avalex geinformeerd over onze controlebevindingen uit de interim-controle Met de boardletter die wij in maart aan uw bestuur uitbrengen, informeren wij u over de hoofdlijnen van bevindingen uit de interim-controle. U bent van ons gewend dat wij naast de controlebevindingen van het desbetreffende jaar tevens informeren over de follow-up van onze bevindingen en adviezen van het voorgaande jaar. Het is van belang om goed overzicht te houden over de follow-up van bevindingen en adviezen uit 2010 en de (nieuwe) controlebevindingen uit Daarom hebben wij in overleg met Avalex de follow-up van onze bevindingen en adviezen uit 2010 niet verwerkt in de managementletter 2011, maar hebben wij de voortgangsrapportage van 21 november 2011 geactualiseerd naar de stand van zaken in maart Onze opmerkingen over de follow-up hebben wij hierna in blauw vermeld (ter illustratie: voorbeeld). Op ate opdrachten verricht door Deloitte zijn de Algemene Voorwaarden Dienstverlening Deloitte Nederland, november 2010 gedeponeerd bij de Kamer van Koophandel onder nummer van toepassing. Deloitte Accountants B.V. i ingeschreven in bet handeisregister van de Kamer van Koophandel te Rotterdam onder nummer Member of Deloitte Touche Tohmatsu Limited

3 2 PS12-140/dt Wij vertrouwen erop u met het uitbrengen van deze voortgangsrapportage van dienst te zijn. Hoogachtend, B.V. RA

4 3 PS12-140/dt Inhoud 1 Inleiding De opdracht die u ons heeft verstrekt Avalex in 2010 niet in control Tijdpad van de controle 8 2 Uw vermogen en resultaat Inleiding Algemeen Financiële weerstand Analyse resultaat 11 3 Controlebevindingen EDP-audit Doelstelling van de accountantscontrole in relatie tot de automatisering Scope van de opdracht Gevolgen bevindingen EDP-audit voor accountantscontrole Cloud computing 18 4 Controlebevindingen jaarrekening Waardering materiële vaste activa Vorderingen op openbare lichamen Toevoegingen algemene reserve en bestemmingsreserve beheerkosten inzamelmiddelen Voorziening over te nemen containers Uitbetalingen aan Stichting Kringloop Deift en B.V. Kringloopbedrijf Deift Investeringen Ryck Aansluiting financiële administratie (SAP) op jaarrekening Personeelskosten Autorisatie inkoopfacturen Memoriaalboekingen Afvalstoffenrapportage Interne controle op juiste en volledige doorbelastingen naar de deelnemende gemeenten Openstaande vragen naar aanleiding van controlebevindingen omzet Fiscaliteit Lopende geschillen Vaststelling gebeurtenissen na balansdatum 27 5 Frauderisico 28 6 Controle rechtmatigheid Jnterne controle op rechtmatigheid nog niet gereed Begrotingsrechtmatigheid 29

5 4 PS /dt Bijlage 1: Detailbevindingen interim-controle per 21 december 2010 Bijlage 2: Openstaande punten interim-controle per 21 december 2010

6 5 PS /dt 1 Inleiding 1.1 Dc opdradit tile u 0115 heeft verstrekt In het kader van de controle van uw jaarrekening worden elk jaar de onderlinge afspraken formeel bevestigd door middel van een opdrachtbevestiging. Met de opdrachtbevestiging van 1 december 2010 heeft u ons op meer gedetailleerde wijze opdracht gegeven tot het controleren van de jaarrekening Gezamenlijke nsicoanaiyse als basis Onze controle start met het maken van een analyse van de risico s waar u als bedrijf mee te maken heeft. Deze risicoanalyse zien wij als een gezamenlijke actie van ons controleteam en vertegenwoordigers van Avalex (de penningmeester, de directeur en de controller) en maakt deel uit van ons pre-auditgesprek. Het doel hiervan is op basis van gezamenlijke kennis van uw organisatie en uw omgeving en branche tot een zo volledig en bruikbaar mogelijke risicoanalyse te komen, die als basis voor verdere controlewerkzaamheden zal dienen. Het gaat hierbij om de externe risico s en de risico s in de bedrijfsvoering. Bij deze inventarisatie zal de focus liggen op de risico s in de voor dejaarrekening relevante processen. De uitkomsten van deze processen dienen te resulteren in verantwoorde transacties in de jaarrekening. Onze risicoanalyse en daarop gebaseerde controleaanpak richten zich niet uitsluitend op de jaarrekening zelf, maar ook op bet systeem van interne beheersing. Hoe beter dat systeem functioneert, hoe meer zekerheid er bestaat dat betrouwbare informatie wordt opgeleverd, zowel tussentijds als bij de jaarverantwoording. Omdat deze interne beheersing het gehele jaar goed dient te functioneren, hoeven wij met de aanvang van onze controle niet te wachten totdat de jaarrekening gereed is. Onze controle vindt daarom voor een belangrijk deel al in de tweede heift van het boekjaar plaats. Wij onderzoeken tijdens de interim-controle de proces- en programmarisico s, om te bepalen of hierin voldoende beheersmaatregelen (de AO/IC) zijn getroffen. Het product van deze fase van de controle is een managementletter. Bij de jaarrekeningcontrole gaan wij na of de jaarrekening is opgesteld volgens de geldende verslaggevingsvoorschriften (het Besluit begroting en verantwoording provincies en gemeenten, hierna: BBV), of de door u opgestelde jaarrekening een getrouw beeld geeft en of de baten en lasten en balansmutaties rechtmatig tot stand zijn gekomen. Ook gaan wij na of de posten in de jaarrekening adequaat zijn toegelicht. Onze controle houdt niet in dat wij alle posten controleren. Onze aanpak heeft als doel belangrijke onjuistheden en/of onrechtmatigheden te ontdekken, rekening houdend met de materialiteitsgrenzen zoals vastgelegd in bet Besluit accountantscontrole provincies en gemeenten (BAPG). Het product van dejaarrekeningcontrole is de controleverklaring bij dejaarrekening en het accountantsverslag.

7 6 PS /dt Avalex heeft nog geen definitievejaarrekening 2010 opgesteld. U heeft ons gevraagd om naar de stand van de controle op 18 november 2011 tussentijds inzicht te geven in de voortgang van de controle. De belangrijkste bevindingen en openstaande punten vanuit onze controle hebben wij in deze voortgangsrapportage opgenomen. Wij adviseren u om de follow-up van de openstaande punten en de bevindingen te bewaken. 1.2 Avalex in 2010 niet in control Om een kwalitatief goede bedrijfsvoering te kunnen waarborgen, waarbij betrouwbare managementinformatie bijdraagt aan het realiseren van de bedrijfsdoelstellingen, heeft Avalex besloten om een nieuw bedrijfsinformatiesysteem in te voeren. Zoals wij in ons rapport bij de jaarrekening 2009 aan uw bestuur hebben opgemerkt, is de invoering van een nieuw informatievoorzieningspakket een grote en complexe operatie. Op voorhand zijn niet alle aspecten te onderkennen die van invloed zullen zijn op het uiteindelijke resultaat. Begin 2011 hebben IT-auditors van Deloitte een EDP-onderzoek gedaan naar SAP. De onderzoeksvraag luidt: Avalex wil weten of er momenteel in het SA- systeem risico s zijn in bet kader van het gebruik en controlemaatregelen. Daarnaast wil Avalex graag vaststellen dat de technische werking van SAP ten aanzien van de vastlegging van (trans)acties met financiële impact in het grootboek juist verloopt. Verder wil Avalex inzicht hebben in de vraag of de gebruiksvriendelijkheid van het systeem en het opleidingsniveau van de gebruikers voldoende zijn.,, Op 28 februari 2011 hebben de IT-auditors gerapporteerd. Dit rapport is in onze aanwezigheid besproken met de heren Van Nieuwenhuizen, Oosting, Floor en Van Dijk. De conclusie van het onderzoek is dat Avalex onvoldoende zekerheid kan ontlenen aan de beheersmaatregelen in SAP en in Pfister. Tevens luidt de conclusie dat de accountant gezien de bevindingen niet voldoende zekerheid zal kunnen ontlenen aan de beheersmaatregelen in SAP en Pfister en dat het niet mogelijk is vanuit dat perspectief te steunen op de inteme beheersing. De accountant zal daarom een andere aanpak moeten kiezen om de benodigde zekerheid te verkrijgen. Dit heeft ertoe geleid dat wij onze organisatiegerichte controleaanpak hebben herzien en een gegevensgerichte controleaanpak volgen. Deze omstandigheid kan invloed hebben op ons accountantsoordeel over de jaarrekening van Avalex. Door belemmeringen in de interne beheersing is de managementinformatie in 2010 onvoldoende betrouwbaar. Dit is door Avalex onderkend in bet managementteam van 9 december Tevens is dit op 17 januari 2011 besproken in bet dagelijks bestuur.

8 7 Psi 2-140/dt Aan dit gebrek aan inteme beheersing liggen verschillende oorzaken ten grondsiag. Het EDP rapport geeft daarop een nadere toelichting. Tevens biedt naar mening van het management van Avalex de begroting 2010 onvoldoende basis voor om afwijkingen in de realisatie voldoende naar oorzaken te analyseren en is de inrichting van de administratie in SAP onvoldoende om betrouwbare managementinformatie te genereren. Overigens is de begroting geen object van onze accountantscontrole. In onze managementletter van 21 december 2010 hebben wij geconcludeerd dat Avalex over 2010 niet in control is. Er is sprake van in control indien een organisatie tijdig alle relevante fouten en onzekerheden zeif signaleert en corrigeert. Dit is van wezenlijk belang voor een betrouwbare tussentijdse informatievoorziening en jaarverslaggeving op grond waarvan u beleids- en beheersingsbeslissingen neemt. In onze managementletter van 21 december 2010 hebben wij opgemerkt dat bij Avalex eerst de basis op orde moet komen. Wij hebben daartoe aangegeven dat er een adequate risicoanalyse moet komen die de basis vormt voor de procesinrichting. Werkprocessen dienen te worden beschreven waarbij in het bijzonder aandacht wordt besteed aan risicomitigerende maatregelen. Dit zijn de zogenaamde key controls. Over het algemeen kennen processen (zoals inkoop, personele kosten, opbrengsten, betaalproces) niet meer dan drie tot vijf key controls per proces. Dit betekent dat het inventariseren van risico s en het definiëren van key controls geen tijdrovende exercitie hoeft te zijn. Vervolgens is het nodig om die interne controles te beschrijven en uit te voeren waarmee wordt vastgesteld dat de key controls in de praktijk worden nageleefd. Ook hebben wij opgemerkt dat in december 2010 afspraken zijn gemaakt met IT-auditors die ertoe moeten leiden dat door het uitvoeren van een nulmeting eenduidig wordt vastgesteld dat SAP zo is ingericht, dat de automatiseringsomgeving betrouwbare sturingsinformatie (waaronder kwalitatief goede analyses van verschillen tussen begroting en realisatie) oplevert. Tot slot hebben wij aangegeven dat het zaak is om de rapportages zo in te richten dat de informatie is afgestemd op de informatiebehoeften van de medewerkers, directie en bestuur en dat sturingsinformatie voldoende frequent beschikbaar is.

9 8 PS12-140/dt 1.3 Tijclpad van dc controle Op 24 augustus 2010 zijn wij de interim-controle gestart. Op 21 december 2010 hebben wij de concept managementletter aan de directie uitgebracht die wij op 7 j anuari 2011 hebben besproken met de directie en in aanwezigheid van de penningmeester. Op verzoek van de directie hebben wij deze managementletter niet definitief aan de directie uitgebracht. De directie heeft ons verzocht hiermee te wachten totdat de belangrijkste openstaande punten uit de interim-controle door Avalex zijn opgelost. Op 12 april 2011 heeft de directie ons gevraagd om de managementletter pas definitief te maken op het moment dat wij rapporteren over de uitkomst van de jaarrekeningcontrole. Op 16 mei 2011 hebben wij dejaarrekeningcontrole gestart. Deze is tot op heden niet afgerond. Diverse openstaande vragen over posten in de jaarrekening die van belang zijn om de controle te kunnen afronden, zijn tot op heden niet afdoende beantwoord. De bijiagen bij deze voortgangsrapportage geven inzicht in de bevindingen uit de interim-controle (bijiage 1) en de vragen uit de interim-controle die per heden nog openstaan (bijiage 2). Hieronder is een overzicht opgenomen van de belangrijkste data in het tijdpad van de accountants controle 2010: ;; 24 augustus 2010 Pre-auditmeeting auditteam en startgesprek Deloitte Accountants met Deloitte IT-audit 8 oktober 2010 en Pre-auditmeeting met controller en interim-assistent + vervoigmeeting 28 oktober november 2010 Pre-auditmeeting met penningmeester, directeur en controller 6 december 2010 Start interim-controle 21 december 2010 Concept managementletter uitgebracht aan directie 3 januari Bepalen scope EDP-audit met directie, controller en hoofd Middelen 7 januari Bespreken concept managementletter met directie en penningmeester 14, 21 en 28 januari Terugkomdagen afwikkeling openstaande punten interim-controle 24januari 2011 Start onderzoek SAP door Deloitte ERS 4 februari en 7 maart Terugkomdagen afwikkeling openstaande punten interim-controle 6 april 2011 Bespreken bevindingen EDP-audit met penningmeester, directie en hoofd Middelen

10 9 PS /dt 16 mei 2011 Start controlejaarrekening juli 2011 Vervolgopdrachtbevestiging aanvullend honorarium controle jaarrekening 2010 gericht aan Algemeen Bestuur 5 augustus 2011 Bespreken bevindingen en stand van zaken controlejaarrekening 2010 met directie en hoofd Middelen 22 augustus Bespreken bevindingen en stand van zaken controle jaarrekening 2010 met penningmeester 19 september Terugkomdagen afwikkeling openstaande punten interim- en jaarrekeningcontrole 6 oktober 2011 Bespreken bevindingen en stand van zaken controlejaarrekening 2010 met directie en hoofd Middelen en besluit om accountantscontrole voort te zetten op het moment dat de openstaande vragen zijn beantwoord.

11 10 PS /dt 2 Uw vermogen en resultaat 2.1 Inleiding In de volgende paragrafen geven wij een analyse van het resultaat en het vermogen van Avalex. Op de datum van deze voortgangsrapportage beschikken wij nog niet over een definitieve jaarrekening en definitiefjaarverslag. De hieronder vermelde cijfers zijn gebaseerd op de conceptj aarrekening 2010 vers ie 54 van november Wij merken op dat de accountantscontrole nog niet is afgerond. Op deze cijfers is geen accountantscontrole toegepast. Follow-up: WU beschikken niet over een door het bestuur opgemaakte definitievejaarrekening. 2.2 Algemeen Het BBV, de verslaggevingsregels voor gemeenten en gemeenschappelijke regelingen, maakt onderscheid tussen resultaatbepaling en resultaatbestemming. Alle baten en lasten dienen via de programmarekening te lopen. Er mogen geen baten of lasten rechtstreeks in het eigen vermogen worden gemuteerd. De mutaties in het eigen vermogen vinden plaats door middel van de resultaatbestemming. Het resultaat vóór bestemming bedraagt nadelig. Per saldo is in in de reserves gestort, zodat het uiteindelijke nog te bestemmen jaarresultaat nadelig is. Dit bedrag is afzonderlijk vermeld onder het eigen vermogen in de balans. De reserves van Avalex zijn in 2010 met van de reserves is als volgt: afgenomen. De specificatie van de afname Realisatie Resultaat voor bestemming -I- LOlO Uitkering van bet bovenmatige dee! van het eigen vermogen van Avalex op -I- 832 grond van artikel 33 en 36 van de Gemeenschappelijke Regeling aan de per eind 2009 deelnemende gemeenten Storting van gemeente Midden-Delfiand in verband met de toetreding tot de Gemeenschappelijke regeling in 2010 Totaal -I

12 11 PS /dt De uitkering van bet bovenmatige deel van het eigen vermogen en de storting van de gemeente Midden-Delfiand zijn naar analogie van dividend- en winstuitkeringen rechtstreeks in mindering gebracht op de algemene reserve. Er is namelijk geen sprake van een exploitatiebate of -last. De uitkering en de storting hebben betrekking op het resultaat 2009 in relatie tot het gewenste weerstandsvermogen. 2.3 Financiële weerstand De omvang van de reserves inclusief resultaat voor bestemming eind 2010 is 3,2 miljoen. Dit is 9% van het balanstotaal (2009: 20% van bet balanstotaal). De direct beschikbare weerstandscapaciteit van Avalex is in 2010 afgenomen. Op basis van de geinventariseerde risico s en de meerjarenbegroting heeft Avalex haar risicoprofiel in de categorie Gemiddeld ingedeeld. Dit resulteert in een benodigde omvang van bet weerstandsvermogen van 15% van de omzet. Het benodigde weerstandsvermogen eind 2010 is op basis van de omzet 2010 ( 33,9 miljoen) circa 4,6 miljoen. De totale omvang van de reserves van 3,2 miljoen is onder het gewenste niveau. 2.4 Analyse resultaat Hierna geven wij een overzicht van de ontwikkeling van het resultaat (vóór bestemming) van 2008 tot en met 2010: Resultaatontwikkeling (x 1.000)

13 12 PS12-140/dt De exploitatie over 2010 laat een negatief saldo van zien, ten opzichte van een voordelig saldo van over Onderstaand overzicht toont de belangrijkste verschillen tussen beide jaren: Realisatie in 2010 t.o.v Lagere bijdragen gemeenten (inclusief afvalbrengstations) Hogere omzetten bedrij yen -I Lagere overige baten -I- 23 Totaal lagere baten in 2010 t.o.v I- 422 Hogere directe bedrijfslasten -I- 886 Hogere indirecte bedrijfslasten -I Lagere verwerkingskosten Totaal hogere lasten in 2010 t.o.v I Hogere storting in reserve 2010 t.o.v I- 324 Totaal verschil -I Onderstaand overzicht toont de belangrijkste verschillen tussen de realisatie 2010 en de begroting 2010: Realisatie in 2010 t.o.v. begrotiiig Lagere bijdragen gemeenten (inclusief afvalbrengstations) Hogere omzetten bedrijven -/ Hogere overige baten Totaal hogere baten in 2010 t.o.v. begroting Hogere directe bedrijfslasten -I Hogere indirecte bedrijfslasten -I Lagere verwerkingskosten Totaal hogere lasten in 2010 t.o.v. begroting -I Hoger saldo storting in en onttrekkingen aan reserves I- 324 t.o.v. begroting Totaal verschil -I

14 13 PS /dt De afwijkingen in de realisatie 2010 ten opzichte van de begroting 2010 worden beinvloed door programma 3 Zakelijke dienstverlening. De begrote baten en lasten op dit programma zijn ná de begrotingswijziging op nihil gesteld, omdat de activiteiten in programma 3 zouden worden uitgevoerd door Avalex B.V. Uiteindelijk zijn in 2010 de activiteiten niet overgebracht van de Gemeenschappelijke regeling naar Avalex WV., omdat de B.V. nog niet voldoende was ingericht. De gerealiseerde baten en lasten volgens de conceptjaarrekening 2010 zijn respectievelijk 7,2 miljoen en 7,1 miljoen. Follow-up: WU zjn nagegaan of de verrekening van kosten met de aangesloten gemeenten volgens een bestendige gedragslijn en in overeenstemming met bestuursbesluiten tot stand is gekomen. Wi] informeren u als volgt: In de begroting 2009 zijn de te hanteren opsiagen ter dekking van de overheadkosten niet vermeld. In het accountantsverslag d.d. 16 juli 2010 hebben wij daarover opgenomen: Bij het bepalen van de opbrengsten van Avalex wordt ter dekking van de overheadkosten een aantal opsiagen in rekening gebracht bij de deelnemers. Deze opsiagen worden al enkele jaren gehanteerc4 maar ijn voor 2009 niet expliciet opgenomen in de hegroting, zoals wordt voorgeschreven in artikel van de mantelovereenkomst. De percentages zun overigens inmiddels wel opgenomen in de begroting Gezien de historie en de begroting 2011 zijn wij uitgegaan van dejuistheid van de percentages en hebben wij geconstateerd dat de percentages juist z&n toegepast. Voor de volledigheid hebben wlj hieronder de toegepaste percentages opgesomd. Opslagperceniage Berekend over 2% van de verwerkingskosten Totale verwerkingskosten 2% van de kapitaallasten Totale kapitaallasten 13% van de overige kosten De totale overige kosten (niet zijnde inzamelkosten, verwerkingskosten en kapitaallasten) 1% risico-opsiag De totale kosten (exclusiefde daarover berekende opsiagen) 1% winstopsiag De totale kosten (exclusiefde daarover berekende opsiagen) Op 14 februari 2012 ontvingen wij van Avalex het Excel-document programma2olo versie4o wijziging verdeling verlies GR en Opsiagen kap lasten anders. nov 2011.xlsx. Dit document is door Avalex onder andere gebruikt voor het (extracomptabel) opstellen en controleren van de programmarekening Het document bevat een export van de grootboekadministratie (SAP) sluitend met een negatiefjaarresultaat van Dit bedrag komt overeen met het resultaat volgens de conceptjaarrekening 2010 d.d. 2 januari 2012.

15 - kapitaallasten - verwerkingskosten - overige Deloitte. 14 PS12-140/dt Het Excel-document bevat tevens de controleberekeningen rondom de verantwoorde omzet c.q. deelnemersbijdragen Daartoe is per gemeente en per programma, een berekening gemaakt van de soll-positie van de opbrengsten. De soll-positie is afgezet tegen de ist-positie en de verschillen zijn geanalyseerd. Uit bovenstaande (controle)berekening kan het volgende worden opgemaakt: De fixed fee voor de inzamelkosten is overeenkomstig de DVO berekend; De gehanteerde opsiagen ter dekking van de overheadkosten zijn als volgt: 2% 2% kosten 13%; De opslag voor winst en risico bedraagt in totaal 2%; De beheerskostenvergoeding bedraagt 12 per aansluiting. Ten aanzien van de beheerskostenvergoeding ad kracht is vanaf het boekjaar per aansluiting merken wij op dat deze van Op 28 november 2011 heeft het Algemeen Bestuur een bestuursbesluit genomen over de wijze van afrekenen tussen Avalex en de deelnemende gemeenten. Volgens de inleiding bij het bestuursbesluit wordt de wijze van afrekenen tussen Avalex en de deelnemende gemeenten volgens de bestendige gedragslijn zoals deze sinds enkelejaren wordt gevolgd en waarvan het uitgangspunt is opgenomen in de vigerende mantelovereenkomst op deze wijze geformaliseerd. Als toelichting op het bestuursbesluit is vermeld dat bij de accountantscontrole over 2010 is vastgesteld dat ten aanzien van de wijze van afrekening met gemeenten en de verrekening van kosten nooit expliciet een besluit is genomen door het Algemeen Bestuur. In de mantelovereenkomst is slechts opgenomen dat Avalex zou afrekenen tegen werkelijke kosten. In het kader van het rechtmatigheidsbeginsel hebben wij geadviseerd om de in de jaarrekening 2010 verwerkte afrekensystematiek aisnog door het Algemeen Bestuur te laten bekrachtigen. Conclusie: de gehanteerde opslagpercentages, evenals berekeningssystematiek, voor de jaarrekening 2009, de programmarekening 2010 en de uitgangspunten zoals door het Algemeen Bestuur op 28 november 2011 is besloten stemmen overeen. Wij merken op dat de accountantscontrole op dejaarrekening 2010 nog niet is afgerond.

16 j Deloitte. 15 PS /dt 3 Controlebevindingen EDP-audit 3.1 I)oelstelling van de aecountantscontrole in relatie tot de autornatisering Onze j aarrekeningcontrole is gericht op het geven van een oordeel over de j aarrekening zeif en is niet primair gericht op het doen van uitspraken over de betrouwbaarheid en de continuiteit van de geautomatiseerde gegevensverwerking als geheel of van onderdelen daarvan. Onze bevindingen op dat gebied raken dan ook slechts die onderdelen die wij onderzocht hebben, wat wil zeggen dat wij ter zake geen volledigheid pretenderen. Hiervoor is een specifiek daarop gericht onderzoek noodzakelijk. 3.2 Scope van (IC opdraclit Op 3 januari 2011 hebben wij en onze IT-auditors met uw directie, controller en hoofd Middelen overlegd over de scope van de EDP-audit dat is gericht op SAP en Pfister. In dit overleg heeft Avalex aangegeven de aandachtsgebieden Beveiligingseisen, Toegangsrechten en functiescheidingen en Werkinstructies en trainingscriterium niet in de scope van de opdracht op te willen nemen. De reden hiervoor was dat dat deze gebieden (nog) niet volledig zijn ingericht en hiermee de uitkomsten van het onderzoek als bekend verondersteld mogen worden. Deze omstandigheid kan invloed hebben op ons accountantsoordeel over de jaarrekening van Avalex. De volgende onderzoeksvragen zijn wel onderdeel van de scope van de opdracht van de IT-auditors. Daarbij hebben wij tevens de uitkomsten opgenomen. Onderzoeksvraag Is de opzet van controlemaatregelen inzake de interfaces tussen SAP en Pfister in opzet effectief? Is de opzet van de rollen en toekenning van rechten in Pfister in opzet en bestaan effectief? Beantwoording onderzoeksvraag Deze interfaces bevatten geen structurele aansluitingen tussen het bron- en het doelsysteem. Daarnaast zijn in het automatische proces van informatieoverdracht onvoldoende waarborgen aangetroffen om te kunnen concluderen dat de overdracht juist en volledig plaatsvindt. De opzet van de rollen en toekenning van rechten in Pfister is niet effectief: Er zijn 3 gebruikersaccounts die niet persoonsgebonden zijn: test, super en weger. De gebruikersaccounts test en super hebben de rol Super en het gebruikersaccount weger heeft de rol Weger. Er zijn veel gebruikers met de rol Super in de applicatie actief. Tevens is het gebruikersaccount jverheul op lojanuari 2011 gebruikt terwiji deze medewerker uit dienst was op dat moment. Naast het feit dat de rechten niet effectief zijn ingericht, geldt ook

17 16 PS12-l4Ofdt nog dat er geen gebruikersrechtenmatrix beschikbaar is. Hierdoor kan niet gevalideerd worden of de rechten zijn toegekend conform de eisen en wensen van het management. Is de integriteit van kritische SAP rapportages rond de afvalstoffenbalans (DVO, LMA, CBS) in opzet en bestaan effectief? Is de opzet van de huidige inrichting van SAP waarbij aandacht is besteed aan: de gebruiksvriendelijkheid van SAP; de functionaliteit van SAP; een lijntest voor één order om inzicht te krijgen in de technische werking van de orderverwerking in SAP effectief? Is de opzet van de huidige en benodigde ervaring en opleiding van gebruikers van Pfister en SAP effectief? Voor LMA geldt dat de integriteit niet is gewaarborgd omdat niet kan worden aangetoond dat het automatisch gegenereerde rapport volledig getest is. Voor de overige rapporten geldt dat deze ten tijde van ons onderzoek handmatig gemaakt worden en dit proces van rapporteren ook niet gedocumenteerd is. De functionaliteit en gebruikersvriendelijkheid van SAP behoeven verbetering. Een samenvattend overzicht van bevindingen ten aanzien van de gebruiksvriendelijkheid, functionaliteit en de werking van SAP is uitgezet over de verschillende deelprocessen. Hiervoor verwij Zen wij naar pagina 11 van de uitgebrachte Rapportage van bevindingen van 28 februari Door middel van een lijntest hebben wij in opzet vastgesteld dat voor een (willekeurige) order de financiële transacties uit de (deels maatwerk) Waste module juist worden vastgelegd in het grootboek. Op basis van de review van testdocumentatie is er wel een constatering dat deze documentatie incompleet is, waardoor bet voor ons niet is vast te stellen of het systeem werkt conform de eisen en wensen van de organisatie. De gebruikers van Pfister en SAP in het logistieke proces (planning, uitvoering, naplanning) zijn niet voldoende in staat om effectief en efficient met het systeem te werken. Ten aanzien van trainingen is er onvoldoende materiaal beschikbaar zoals werkinstructies en zijn de trainingen niet gevolgd door het relevante personeel. Een samenvattend overzicht van ervaring, trainingsniveau en werkinstructies is uitgezet over de verschillende deelprocessen. Hiervoor verwijzen wij naar pagina 11 van de uitgebrachte Rapportage van bevindingen van 24 februari De Rapportage van bevindingen van 28 februari 2011 naar aanleiding van het EDP-onderzoek bevat diverse aanbevelingen voor de korte en langere termijn. Wij adviseren u deze aanbevelingen tijdig te implementeren en de opvolging te monitoren. Follow-up: In onze inanagementletter 2011 gaan wjj nader in op het lopende EDP onderzoek.

18 17 PS12-140/dt 3.3 Gevolgen bevindingen EDP-audit voor accollntantseontrole 2010 De beveiliging, de toegangsrechten en de functiescheidingen in SAP en in Pfister zijn niet goed geregeld. Tevens zijn onvoldoende waarborgen getroffen voor een juiste en volledige overdracht van gegevens tussen Pfister en SAP. Hierdoor kunnen wij niet steunen op de (application) controls binnen Pfister en SAP. Wij hebben daarom een gegevensgerichte controleaanpak uitgevoerd, om alsnog na te gaan of de informatie in SAP voldoende betrouwbaar is. Wij merken op dat een gegevensgerichte controleaanpak zeer tijdsintensief is. Immers, Avalex heeft de werkprocessen in hoge mate geautomatiseerd. Zo zijn onder meer de volgende activiteiten (in opzet) geautomatiseerd: 1. Het waarborgen van dejuistheid van de door de eindverwerker in rekening gebrachte verwerkingskosten. 2. Het waarborgen van de juiste verdeling van de verwerkingskosten over de deelnemende gemeenten. 3. Het waarborgen van de juiste en volledige doorbelasting aan de gemeenten van de aanvullende dienstverlening in programma Het waarborgen van de volledigheid van de omzet uit zakelijke dienstverlening (programma 3). Door veel extra inspanning van Avalex is de juistheid vastgesteld van de door de eindverwerker Twence aan Avalex in rekening gebrachte verwerkingskosten. Dit is een belangrijke constatering omdat de verwerkingskosten een grote kostenpost zijn voor Avalex en omdat de verwerkingskosten de basis zijn voor de doorbelasting aan de gemeenten. Op dit moment beschikt Avalex nog over onvoldoende controle-informatie om de juistheid en volledigheid van de mutaties zoals genoemd onder de punten 2, 3 en 4 vast te stellen. Deze omstandigheid kan invloed hebben op ons accountantsoordeel over dejaarrekening van Avalex. Follow-up: Avalex heeft voor het verkrijgen van aanvullende controle-inforinatie veel inspanningen verricht. De verwachting van Avalex is dat het niet mogeljjk is om extra controle informatie te verschaffen.

19 18 PS /dt 3.4 Cloud computing Wij hebben begrepen dat Avalex gebruikmaakt van cloud computing. Een deel van de software (waaronder SAP) is geplaatst in een cloud. Via een internetverbinding kan de software in de cloud worden benaderd. Op de datum van deze rapportage is voor Avalex onduidelijk op welke wijze de IT-security is ingericht en op welke wijze de betrouwbaarheid van de geautomatiseerde gegevensverwerking is gewaarborgd. Het is nodig om dit op korte termijn na te gaan. Vervolgens zullen wij nagaan welke aanvullende (interne en externe) controles gericht op het eventuele risico uitgevoerd dienen te worden. Follow-up: Onze EDP-auditors onderzoeken momenteel in hoeverre sprake is van cloud computing en wat de eventuele gevolgen zun voor de interne en externe controles. 4 Controlebevindingen jaarrekening Waardering niatericle vaste activa Ultimo 2010 is circa 3,5 miljoen geinvesteerd in de aanschaf en de inrichting van het softwarepakket SAP. Avalex heeft bevestigd dat alle investeringen nog steeds dienstbaar zijn aan de bedrijfsvoering. Wij zullen dit nog vaststellen. Indien bedragen zijn geinvesteerd in onderdelen van SAP die niet meer in gebruik zijn, heeft dit invloed op de juistheid van de waardering van de materiële vaste activa. Follow-up: In overleg met uw organisatie is besloten om voor deze bevinding de uitkomsten van het onderzoek van FDS afte wachten. 4.2 Vorderingen op openbare licharnen Op 22 juni 2011 heeft Avalex een vordering van op openbare lichamen. Hiervan heeft betrekking op de deelnemende gemeenten. Momenteel is Avalex in overleg met de deelnemende gemeenten over de gefactureerde bedragen. Avalex is van mening dat de vorderingen juist en volwaardig zijn. Om deze reden is ook geen voorziening voor oninbaarheid gevormd. Het is nodig om het overleg met de deelnemende gemeenten af te ronden, de uitkomsten te documenteren en indien nodig een voorziening te treffen. Follow-up: Er zijn mondelinge afspraken gemaakt met een deelnemende gemeente. Deze afspraken zijn nog niet schrzftelijk bevestigd. Eén vordering is uiteindeluk te hoog verantwoord voor een bedrag van

20 19 PS /dt 4.3 Toevoegingen algernene reserve en besterl serve heheerkosten inzarnelrniddelen Zoals vermeld in paragraaf 2.2. is in 2010 een bedrag van toegevoegd aan de algemene reserve in verband met de toetreding van gemeente Midden-Delfiand tot de gemeenschappelijke regeling in Per de datum van deze voortgangsrapportage hebben wij geen bestuursbesluit ontvangen waaruit de juistheid en volledigheid van deze toevoeging blijkt. Follow-up: Bestuursbesluit ontvangen waaruit dejuistheid en volledigheid van deze toevoeging blzjkt. Vanaf 2010 worden de beheerskosten voor containers (afschrijving, onderhoud, inspectie etc.) met een vast tarief van 12 per huisaansluiting bij de deelnemende gemeenten in rekening gebracht. Het verschil tussen het vaste tarief en de werkelijke kosten wordt ten gunste of ten taste van de bestemmingsreserve beheerskosten en inzamelmiddelen gebracht. In 2010 is een bedrag van circa toegevoegd aan de bestemmingsreserve. Per de datum van deze voortgangsrapportage hebben wij geen toereikende specificatie dan wel onderbouwing ontvangen van de toevoeging van Het is nodig om deze onderbouwing aisnog aan te leveren. Daarnaast is het nodig dat wij het bestuursbesluit ontvangen waaruit de juistheid van de vergoeding van 12 per huisaansluiting blijkt. Avalex heeft bevestigd dat het Dagelijks Bestuur dit besluit op 3 oktober 2011 heeft genomen en dat dit besluit op 28 november 2011 aan het Algemeen Bestuur wordt voorgelegd. Follow-up: Bestuursbesluit ontvangen waaruit het tarief van 12 per huisaansluiting bhjkt. De specificatie dan we! onderbouwing van de toevoeging van dienen wu nog te ontvangen. 4.4 Voorziening over te nernen containers Zoals in de vorige paragraaf vermeld, worden vanaf 2010 de beheerskosten voor containers met een vast tarief van 12 per huisaansluiting bij de deelnemende gemeenten in rekening gebracht. Avalex neemt de (ondergrondse) containers van de deelnemende gemeenten over tegen de boekwaarde in de administratie van de gemeenten op 1 januari Wij hebben begrepen dat hieraan een bestuursbesluit ten grondsiag ligt. Dit bestuursbesluit hebben wij nog niet ontvangen. Tevens bestaat onzekerheid over de boekwaarde en daarmee over de afschrijvingskosten van de containers.