Managementietter. interimcontro1e 2014

Transcriptie

1 Deloïtte Managementietter 1 /J I1 interimcontro1e 2014

2 Dei0 Ïtte. Deloitte Accountants B.V. Robonsbosweg MK Alkmaar Postbus AG Alkmaar Nederland Tel: Fax: www,deloitte.nl Aan het college van burgemeester en wethouders van de gemeente Hoorn Tav. de heer mr. F.G. Mencke Postbus AR HOORN Datum Behandeld door Ons kenmerk 1 december2014 P.S.N. Schouten MSc RA / /MB/ Onderwerp Interim-controle Bij lagen Bijlage 1 Bevindingen interim-controle 2014 Bijlage 2 Follow-up Geacht college, Wij hebben conform uw opdracht als onderdeel van de controle van de jaarrekening 2014, de interim-controle voor uw gemeente uitgevoerd. Deze controle is primair gericht op de analyse en evaluatie van de interne beheersingsomgeving en de daarin opgenomen maatregelen van interne controle. In onze managementletter zijn onze bevindingen en aanbevelingen terzake opgenomen. Tevens heeft deze controle als doelstelling om de aandachtspunten voor de jaarrekening 2014 te signaleren en onder uw aandacht te brengen. Volledigheidshalve merken wij op dat onze analyse en evaluatie is uitgevoerd in het kader van de door u verstrekte opdracht tot controle van de jaarrekening. De geselecteerde werkzaamheden zijn afhankelijk van de door de accountant toegepaste oordeelsvorming, met inbegrip van het inschatten van de risico s dat de jaarrekening een afwijking van materieel belang bevat als gevolg van fraude of fouten. Bij het maken van deze risico-inschattingen neemt de accountant de interne beheersing in aanmerking die relevant is voor het opmaken en het getrouwe beeld van de jaarrekening en de rechtmatige totstandkoming van de baten, lasten en balansmutaties, gericht op het opzetten van controlewerkzaamheden die passend zijn in de omstandigheden. Op alle opdrachten verricht door Deloitte zijnde Algemene Voorwaarden Dienstverlening Deloitte Nederland, januari 2014 gedeponeerd bij de Kamer van Koophandel onder nummer van toepassing. Deloitte Accountants BV. is ingeschreven in het handelsregister van de Kamer van Koophandel te Rotterdam onder nummer Member of Deloitte louche Tohmatsu Limited

3 De risico-inschattingen hebben echter niet tot doel een oordeel tot uitdrukking te brengen over de effectiviteit van de interne beheersing. Hierdoor is onze analyse en evaluatie beperkter dan dat deze zou zijn geweest in het kader van een opdracht tot het geven van een oordeel over de opzet, het bestaan, de effectiviteit en de efficiency van de interne beheersing als geheel en bestrijkt daarom niet noodzakelijkerwijze alle in de interne organisatie vervatte tekortkomingen. Wij merken op dat deze brief is opgesteld ten behoeve van het college en de auditcommissie van de gemeente Hoorn en niet zonder onze toestemming aan derden mag worden verstrekt. De bevindingen en aanbevelingen dienen te worden gelezen als constructieve aanwijzingen voor het college als onderdeel van het continue proces van het veranderen en verbeteren van de beheersing van de bedrijfsvoering en de kwaliteit van de jaarrekening. Graag willen wij deze rapportage en de daarin opgenomen bevindingen en aanbevelingen nader met u bespreken. Hoogachtend, Deloitte Accountants BV. /2 N.R. Fritz RA 1 december / /MB/

4 Deloitte. Inhoudsopgave Pag. 1. Inleiding 2. Managernentsarnenvatting 2.1. Uitkomsten van onze pre-auditmeeting Samenvattend beeld interne beheersing Bevindingen interim-controle Ontwikkelingen interne beheersing Fraude Bedrijfsvoering a. IT-audit b. Procesbevindingen 8 4. Onderzoeksvragen auditcornmissie Inleiding Naleving aanbestedingsbeleid Voorbereiding van de decentralisatie van rijkstaken (3D) Actualiteiten 5.1. Vennootschapsbelastingplicht overheidsondernemingen Wet markt en overheid Wijzigingen Besluit begroting en verantwoording provincies en gemeenten 1 7 Bijlage Detailbevindingen IT-audit

5 1. Inleiding Als voorbereiding op de controle van de jaarrekening 2014 hebben wij de interim-controle uitgevoerd. De uitkomsten van onze werkzaamheden zijn opgenomen in de voorliggende managementletter. De interim-controle is in hoofdzaak uitgevoerd om een oordeel te kunnen geven over de kwaliteit van de Administratieve Organisatie en Interne Beheersing (AOIIB) van de financiële processen van uw gemeente die van materiële betekenis zijn voor de kwaliteit van de informatievoorziening aan het managementteam, het college en de raad over de uitkomsten van de in de begroting en jaarrekening opgenomen programma s en paragrafen. Tevens leggen wij hiermee een basis voor ons oordeel over de getrouwheid en rechtmatigheid van de jaarrekening Verder besteden wij aandacht aan de planning- en controlcyclus binnen uw gemeente en voeren wij werkzaamheden uit ter voorbereiding op de jaarrekeningcontrole. Omdat de financiële processen van uw gemeente allen een weerslag vinden in de paragrafen die u bij de begroting en jaarrekening gebruikt, hebben wij onze rapportage ook langs de paragrafen ingericht. De interim-controle is vooral gericht op onderwerpen die van belang zijn voor een goede en betrouwbare jaarverslaggeving, mede rekening houdend met actuele ontwikkelingen. Het gaat hierbij vooral om bevindingen en actiepunten op het terrein van interne beheersing, rechtmatigheid en overige activiteiten die van belang zijn voor een kwalitatieve verbetering van de bedrijfsvoering. In dat verband hebben wij ook stilgestaan bij de follow-up die u aan de adviezen en bevindingen heeft gegeven en vragen zoals die door de auditcommissie zijn geformuleerd. In deze managementletter, die primair bestemd is voor het college en het managementteam, brengen wij de bevindingen onder uw aandacht die uit de interim-controle voortvloeien en adviseren u over mogelijke verbeterpunten in de AO/lB. 1 december / /MB/

6 2. Managementsamenvatting 21. Uitkomsten van onze pre-auditmeeting Ter voorbereiding op de interim-controle hebben wij een pre-auditmeeting gehad met zowel de auditcommissie (d.d. 24 september 2014) als met de medewerkers van bureau IM&C (d.d. 8 september 2014). In deze overleggen zijn de attentiepunten voor de controle 2014 besproken. Deze vooroverleggen dienen om accenten voor onze controle te leggen. In onze pre-auditmeeting heeft de auditcommissie de volgende onderwerpen in de vorm van aandachtspunten meegegeven: 1. Voortgang, afwaardering en risico s grondexploitatie 2. Voorbereiding van de decentralisatie van rijkstaken f3d) 3. Naleving aanbestedingsbeleid 4. Automatisering/opvolging adviezen IT (Digitale) verwerking inkooptacturen/controle levering 6. Huisvestingskosten basisonderwijs 7. Volledigheid reclamebelasting Deze onderwerpen hebben wij expliciet in onze controle betrokken. Daarnaast hebben wij aandacht besteed aan de volgende onderwerpen: Betalingsverkeer Volledigheid van opbrengsten Levering van diensten Schattingsproces meerjarige grondexploitatie projecten. De onderwerpen met betrekking tot de grondexploitatie, de huisvestingskosten onderwijs, naleving aanbestedingsbeleid en de volledigheid van de reclamebelasting hebben wij tijdens de interim nog niet in onze controle betrokken. Deze onderwerpen zullen wij bij de hardclose of de jaarrekeningcontrole oppakken en hierover rapporteren bij de jaarrekening of eerder als daartoe aanleiding is Samenvattend beeld interne beheersing 2014 In de hiernavolgende tabel geven wij u een samenvattend beeld van de kwaliteit van de (financiële) bedrijfsvoering en de informatievoorziening van de gemeente Hoorn. Dit beeld beslaat de eerste negen maanden van Wij voeren de werkzaamheden over het laatste kwartaal uit in december 2014/januari 2015 en hierover rapporteren wij in het rapport bij de jaarrekening of eerder als de uitkomsten hiervan dit noodzakelijk maken. 1 december / /MB/

7 Paragraaf Belangrjkstë bevindingen Paragraaf Lokale heffingen Ontbrekende interne controles zie paragraaf 3.3.b. Paragraaf Weerstandsvermogen en risicobeheersing Wij hebben tijdens de interim-controle geen aandacht besteed aan het weerstandsvermogen. In uw tussentijdse informatie wordt u op de hoogte gehouden van de risico s en het weerstandsvermogen. Bij de controle van de jaarrekening besteden wij aandacht aan het weerstandsvermogen en rapporteren wij daarover. Paragraaf Onderhoud kapitaalgoederen Tijdens deze interim hebben wij geen aandacht gehad voor het onderhoud kapitaalgoederen. Tijdens de hardclose betrekken wij de beheer- en onderhoudsplannen in onze controle. Tevens wijzen wij u nog op de aangepaste notitie riolering van de commissie BBV, zie paragraaf 5.3 Paragraaf Financiering Tijdens deze interim hebben wij geen aandacht gehad voor de financiering of het treasurybeleid. Dit maakt onderdeel uit van de hardclose waarin de financiële vaste activa en de langlopende schulden in betrokken worden. Paragraaf Bedrijfsvoering1 Diverse bevindingen zie 3.3. Paragraaf Verbonden partijen Tijdens deze interim hebben wij de verbonden met u auditcommissie besproken en hebben wij een inventarisatie gedaan of alle verbonden partijen onder uw aandacht zijn. De controle van transactiestromen met verbonden partijen maakt onderdeel uit van de jaarrekeningcontroles. Paragraaf Grondbeleid Tijdens deze interim-controle hebben wij de grondexploitatie nog niet betrokken in onze controle. Hiervoor zijn inmiddels afspraken gepland met verantwoordelijke medewerkers om de status van de grondexploitatie te bespreken en afspraken te maken ten behoeve van de jaarrekeningcontrole. Paragraaf Algemene uitkering In het proces is geen controle op de juistheid en volledigheid van de parameters in de specificatie van de algemene uitkering. 1 Onder de paragraaf Bedrijfsvoering hebben wij ook de bevindingen opgenomen die niet specifiek aan de overige paragrafen gekoppeld kunnen worden De onderwerpen die wij daarmee onder deze paragraaf scharen, zijn daarmee breder dan de definitie van deze paragraaf in aw begroting en jaarstukken. 1 december / /MB/

8 3. Bevindingen interim-controle 3.1. Ontwikkelingen interne beheersing In 2013 zijn de internationale controlestandaarden met betrekking tot de positionering en het functioneren van het Internal Audit Function aangescherpt. Deze wijzigingen zijn operationeel vanaf het controlejaar Bij het beoordelen van de verbijzonderde interne controles is het verplicht deze aangescherpte regelgeving te hanteren. Drie elementen zijn hierbij van belang: Objectiviteit: Staat de controlefunctionaris los van de Organisatie en rapporteert de controlefunctionaris direct aan de hoogste leiding binnen de Organisatie? Deskundigheid: Zijn functionarissen voldoende getraind, niet alleen op de inhoud van het proces, maar ook op de (ontwikkeling in) controletechnieken? Is er sprake van een systematische en gedisciplïneerde benadering met inbegrip van kwaliteitscontroles? Voldoet deze benadering aan COS 610? De verbijzonderde interne controle (VIC) van uw gemeente is zeer belangrijk voor de interne beheersing van de Organisatie en daarmee voor uw organisatie waardevol. De VIC voldoet op dit moment echter (nog) niet aan de hierboven genoemde eisen. Dit betekent dat wij de werkzaamheden van het bureau Planning & Control niet één op één over kunnen nemen, maar aanvullend controlewerkzaamheden moeten uitvoeren. Met uw directeur Bedrijfsvoering hebben wij het ambitieniveau voor de komende jaren ten aanzien van de groei van de uitgevoerde VIC-werkzaamheden naar een volwaardige Internal Audit Function besproken. Hierbij is de verwachting uitgesproken dat, bij de schaalgrootte van de gemeenten Hoorn, dit niet realistisch is. Dit sluit aan met ons beeld van uw gemeente en zien wij ook terug bij andere gemeenten van dezelfde omvang en kleiner. Zoals eerder aangegeven blijft VIC voor u een nuttig instrument. U geeft hiermee invulling aan artikel 14 van uw Financiële verordening en kunt hiermee sturen op de kwaliteit van uw processen, met als doel om als organisatie in control te zijn op de dagelijkse processen en het zo veel mogelijk waarborgen van de realisatie van de afgesproken doelen. Naar onze mening kunnen de interne controles op de volgende onderdelen nog verbeterd worden: 1 Opnemen van een adequate opzet (volgens de kenmerken van beheersing: wie doet wat, wanneer, waarom met welk doel en welke stukken) van het te controleren proces. Identificatie van de belangrijkste risico s en welk beheersmaatregelen zijn hiertegen getroffen. 2 De interne controles richten zich voornamelijk op juistheid. De volledigheid van de opbrengsten (bijvoorbeeld bij belasting opbrengsten) mag nog aanvullende aandacht krijgen. 1 december / MB

9 3 De vastleggingen geven nog onvoldoende blijk van de vaststelling of de populatie waaruit gestoken is volledig is. 4 De vastleggingen geven niet altijd voldoende blijk van de objectiviteit van de selectie. 5 Wij adviseren de VIC uit te breiden op de onderdelen waarbij u, als college, schattingselementen voor de jaarrekening heeft. Het gaat hier bijvoorbeeld om de waardering van de grondexploitaties en het toereikend zijn van getroffen voorzieningen (niet alleen grondexploitatie). In het verleden steunden wij op de door de gemeente uitgevoerde VIC en namen deze waar mogelijk over. Over 2014 hebben wij onze focus verlegd naar de onderliggende processen en daarin opgenomen controls. Dit vergt, met elkaar, een andere aanpak. 32. Fraude Hoorn heeft nog geen geïntegreerd systeem van frauderisico-identificatie, -analyse, -beheersing. Afgelopen jaar is wel aandacht besteed aan fraude. Zo heeft bureau lm&c een presentatie gegeven over het onderwerp fraude, misbruik en oneigenlijk gebruik aan de directie, het MT (afdelingshoofden) en elk afdelingsoverleg in het bijzijn van de afdelingshoofden, bureauhoofden en de risicocoördinatoren. Daarnaast heeft elke afdeling een Excel-overzicht ontvangen waarin een aantal risico s zijn opgenomen met het verzoek deze aan te vullen. Doelstelling van het verstrekken van deze lijsten was het vergroten van de bewustwording en het belang van het periodiek bespreken van het onderwerp fraude. Het is binnen uw gemeente niet dwingend voorgeschreven dat deze lijsten ingevuld moeten worden. U benadert niet actief de afdelingen om de Excel overzichten in te vullen en te retourneren. Vanzelfsprekend wordt ook bij het inrichten van processen wel nagedacht over frauderisico s, maar het frauderisicomanagement is binnen dat systeem van risicomanagement nog niet expliciet benoemd. Bestuurders (het college) en toezichthouders (de raad) zijn primair verantwoordelijk voor het voorkomen en ontdekken van fraude en het voldoen aan wet- en regelgeving. De maatschappij spreekt ze daar ook steeds vaker op aan. Het college kan invulling geven aan deze verantwoordelijkheid door de het maken van een frauderisicoanalyse. Hiermee illustreert het college welk belang zij hecht aan deze verantwoordelijkheid en op welke wijze zij daar invulling aan geeft. De frauderisicoanalyse geeft waardevolle inzichten in kwetsbare plekken bij uw gemeente en kan daarmee belangrijke input geven voor onze controle. Daarom ontvangen wij graag voor het einde van 2014 de frauderisicoanalyses van de afdelingen. 1 december / /MB/

10 Deloitte Bedrijfsvoering 3.3.a. IT-audit In het kader van de jaarrekeningcontrole heeft Deloiffe Risk Services (RS) een IT-audit uitgevoerd naar de algemene IT-beheersmaatregelen en het proces van digitale factuurverwerking bij Gemeente Hoorn. De IT-audit betreft een onderzoek naar de kwaliteit van de algemene IT-beheersmaatregelen met betrekking tot de onderdelen Key2Financiën, Windows, GWS, Datacenter & Network Operations en Oracle Database in opzet en bestaan. Tevens hebben wij gekeken naar de getroffen beheersmaatregelen in het proces van digitale factuurverwerking door middel van Key2Financien. De volgende gebieden zijn hierbij beoordeeld: Informatiebeveiliging Wijzigingsbeheer Back-up & recovery Autorisatiebeheer Logische Toegangsbeveiliging Beheersmaatregelen digitale factuur workflow. Onder opzet en bestaan wordt het volgende verstaan: Omschrijving Opzet Bestaan De opzet beschrijft op welke wijze de beheersmaatregelen zijn ingericht en in de applicatie zouden moeten werken. De opzet kan beschreven zijn in gebruikersdocumentatie en andere handboeken, procesbeschrijvingen, functionele/technische ontwerpen, et cetera. Indien deze beschrijvingen ontbreken of niet de gewenste diepgang bevatten, is tijdens de interviews met verantwoordelijke functionarissen de opzet geïnventariseerd en vastgelegd. Het bestaan betreft de geïmplementeerde beheersmaatregelen op een bepaald moment. Deze situatie kan afwijken van hetgeen in de beschrijvingen en plannen (de opzet) is beschreven. 1 december / /MB/

11 De beoordeling richt zich hierbij op de kwaliteitsaspecten integriteit, vertrouwelijkheid en beschikbaarheid. Onder deze kwaliteitsaspecten verstaan wij: Integriteit Vertrouwelijkheid Beschikbaarheid Het waarborgen van de correctheid en de volledigheid van informatie en computerprogrammatuur. Het beschermen van gevoelige informatie tegen ongeautoriseerde ken nisname. Zekerstellen dat informatie en essentiële diensten op de juiste momenten beschikbaar zijn voor gebruikers. In bijlage 1 van deze managementletter hebben wij de detailbevindingen per gebied van onderzoek de bevindingen. Hieronder volgen kort de belangrijkste bevindingen: Hoog aantal actieve administrators accounts met te ruime bevoegdheden, met een verhoogde kans op ongeautoriseerde handelingen. De gedefinieerde routes (437) in Key2Financien zijn niet voorzien van een procuratieschema met het risico dat facturen worden goedgekeurd door de onjuiste personen. De audittrail van het wijzigingsproces is niet zichtbaar, waardoor eventuele fouten niet geïdentificeerd kunnen worden. De logging van handelingen op de Oracle Database is niet aanwezig, waardoor wijzigingen niet te traceren zijn naar moment en gebruiker. In de detailbevindingen is de reactie van het management ten aanzien van de bevinding opgenomen. Bij enkele detailbevindingen zullen wij uw gemeente vragen de reactie aan te tonen door middel van controlestukken. 3.3.b. Procesbevindingen Proces Bevinding Risico Aanbeveling Inkopen goederen en diensten - Levering Binnen het proces van autoriseren van facturen is functiescheiding tussen akkoord levering en akkoord budget. De wijze waarop de medewerker de levering vaststelt, documenteert de betreffende medewerker niet. Er is geen vastgesteld beleid met betrekking tot het vaststellen van de levering van de goederen/diensten. Het risico bestaat dat de gemeente betaalt voor goederen of diensten die niet geleverd zijn aan de gemeente. Wij adviseren u om in het beleid op te nemen hoe de medewerker dient vast te stellen dat de levering heeft plaatsgevonden, aan de hand van bijvoorbeeld pakbonnen, urenbriefjes etc. Bewijsmateriaal kan mogelijk in het systeem opgenomen worden. 1 december / /MB/

12 Deloïtte Proces Bevinding Risico Aanbeveling Algemene uitkering - volledigheid parameters In het proces is geen controle op de juistheid en volledigheid van de parameters in de specificatie van de algemene uitkering Het risico dat de algemene uitkering niet juist of volledig is. Wij adviseren u van ten minste de parameters met het grootste financiële belang vast te stellen of de gehanteerde parameters aansluiten met uw eigen bronbestanden. Memoriaalboeking en - functiescheiding Gemeentelijke belastingen - controle tarieven Bij de memoriaalboekingen is geen zichtbare functiescheiding tussen degene die de memoriaalboeking opstelt en degene die de memoriaalboeking controleert. U heeft wel een mitigerende maatregel achteraf waarbij de budgetverantwoordelijke alle boekingsregels (dus inclusief de memoriaalboekingen) autoriseert. Na invoer van de nieuwe tarieven stelt de medewerker heffingen vast of de tarieven juist zijn ingevoerd. Deze controle is niet zichtbaar gemaakt. Overigens is deze controle door bureau lm&c alsnog uitgevoerd. Onrechtmatige mutaties. Onjuiste tarieven waardoor de belastingopbrengsten niet juist zijn. Wij adviseren u om zichtbare functiescheiding aan te brengen tussen de opsteller van de memoriaalboeking en de autorisatie van de memoriaalboeking. Bij de autorisatie dient dan vastgesteld te worden of de memoriaalboeking juist is en in voldoende mate onderbouwd. Wij adviseren u om de controle op de invoer van de tarieven in de lijn zichtbaar te maken. Voor het proces gemeentelijke belastingen is het onderdeel van het verwerken van de taxaties en de controles daarop nog onder handen. Mochten hieruit nog bevindingen naar voren komen, rapporteren wij hierover in ons rapport bij de jaarrekening, of voor zover eerder als daar aanleiding voor is. 1 december / MB

13 4. Onderzoeksvragen auditcommissie 4.1. Inleiding Zoals in paragraaf 2.1 is aangegeven hebben wij op 24 september ter voorbereiding van de interim-controle een pre-auditmeeting gehad waarin de accenten voor de controle zijn benoemd. Een aantal andere onderwerpen vormen onderdeel van onze reguliere controle en zijn elders in deze managementietter opgenomen. Dit betreffen: 1. Automatisering/opvolging adviezen IT 2013, zie hiervoor paragraaf 3.3.a. 2. (Digitale) verwerking nkoopfacturen/controle levering, zie hiervoor paragraaf 3.3.a en 3.3.b Naleving aanbestedingsbeleid In ons accountantsverslag 2013 rapporteerden wij over de rechtmatigheidsfout met betrekking tot Europese aanbesteding. Voor 2013 is voor een totaalbedrag van 1,324 miljoen aan rechtmatigheidsfouten geconstateerd op het gebied van Europese aanbestedingen. Bij de toetsing is bij acht aanbestedingen vastgesteld dat onterecht geen Europese aanbesteding heeft plaatsgevonden. Wij constateren bij de interim-controle dat bureau IM&C de rechtmatigheidsfouten die doorwerken in 2014 goed in beeld heeft. De geconstateerde rechtmatigheidsfouten 2013, die doorwerken in 2014 zijn: LeverancIer Bëtreft - Verschillende leveranciers Verschillende leveranciers Unica Telidus-lSlT De_lage_landen Drukwerk is niet Europees aanbesteed Dataverbindingen zijn niet Europees aanbesteed Levering Oostereiland Levering hardware Leasecontract netwerk_apparatuur Een casus is momenteel nog onder handen. Bovenstaande aanbestedingen hadden Europees aanbesteed moeten worden omdat de uitgaven voor deze inkopen hoger zijn dan de Europese aanbestedingsgrens. De rechtmatigheidsfout in 2013 is bepaald door bij de bestedingen rekening te houden met de contractduur. Voor de berekening in 2013 van de fout is de jaarschijf als fout meegenomen hierdoor heeft een aantal van deze rechtmatigheidsfouten hun doorwerking in Voorafgaand aan de jaarrekeningcontrole inventariseert bureau IM&C de totale omvang van de rechtmatigheidsfouten in Tot op dit moment heeft bureau lm&c geen nieuwe rechtmatigheidsafwijking geconstateerd. 1 december / /MB/

14 Net als voorgaand jaar voert bureau IM&C een nagenoeg integrale controle uit dien ten tijde van de interim-controle tot en met het tweede kwartaal nagenoeg was afgerond. Om vast te stellen dat de rechtmatigheidsfout ook in 2014 onder de materialiteitsgrens blijft is het noodzakelijk dat de controle over het gehele jaar is afgerond Voorbereiding van de decentralisatie van rijkstaken (30) A gemeen Met ingang van 1 januari 2015 is uw gemeente verantwoordelijk voor de uitvoering van de Wet op de Jeugdzorg, de Participatiewet, de Wet maatschappelijke ondersteuning (WMO) en een deel van de Algemene Wet Bijzondere Ziektekosten (AWBZ). De decentralisatie van deze regelingen naar gemeenten zorgt voor grote veranderingen binnen het sociale domein voor alle betrokken partijen, zoals gemeenten, zorgaanbieders en inwoners. Tevens gaan de decentralisaties gepaard met een (forse) taakstelling voor de gemeenten Het stelt gemeenten daarom voor de uitdaging het sociale domein opnieuw in te richten met scherpe budgetten. Voor gemeenten ontstaan meer en andere relaties met partijen, is sprake van nieuwe en complexe taken, nemen de (financiële) risico s en daarmee de druk op goed toezicht toe, et cetera. Van gemeenten wordt op het gebied van de drie decentralisaties een integrale aanpak verwacht, onder het motto 1 gezin, 1 plan, 1 regisseur. Het leggen van verbanden tussen de AWBZ/Wmo, jeugdzorg en participatie is daarbij van essentieel belang om op een zo efficiënt mogelijke wijze de juiste zorg en ondersteuning te verlenen tegen een zo laag mogelijke prijs. Transitie sociaa domein De omvang en complexiteit van de veranderingen in het sociaal domein maakt dit voor gemeenten een majeure transitie. Vele actoren binnen uw gemeente werken aan deze transitie, ieder vanuit zijn of haar perspectief. Uw gemeente heeft de beleidskaders helder en is nu druk bezig de inhoudelijke uitvoering vorm te geven. De voorbereidingen op de decentralisaties gaan gepaard met risico s. De gemeente Hoorn heeft deze risico s geïnventariseerd en beheersmaatregelen benoemd. Het risicobeheer is belegd bij de risicomanager van de gemeente. De voornaamste risico s die de gemeente heeft benoemd zijn: toename van de instroom; extra taken uitvoeren met minder budget; leveren zorgcontinuïteit voor bestaande cliënten; gemeente is verplicht de door de rechter, specialist of huisarts toegekende zorg te betalen, zonder zelf een keuze te kunnen maken; imagoschade als gevolg van incidenten. 1 december / /MB/

15 Deloitte Om de financiële risico s op te kunnen vangen, wordt een risicobudget aangehouden. Momenteel staat het inrichten en organiseren van de uitvoering bij uw gemeente op de agenda. Hierbij staan de volgende onderwerpen centraal: aanschrijven bestaande cliënten; afronden inkoop en contractering; afronden inrichten KCC, gebiedsteams (ook huisvesting) en backoffice; inrichten AO, facturatie, bezwaar en beroep en begroting 3D s; afstemming WerkSaam - gebiedsteams; privacy protocol, klachtenregelement, inspraakprocedure en calamiteitenregeling; aanpassen prestatieafspraken bestaande subsidies; resterende verordeningen vaststellen; vormgeven van samenwerkingsafspraken met partners en regiogemeenten (dienstverleningsovereenkomst); oplevering en testen lot-systemen; afronden werven en plaatsen personeel; opstellen normenkader; opstellen interne controle plannen; in- en externe communicatie. Voor de afwikkeling van hierboven genoemde acties is een planning opgesteld voorzien van einddatums. Aangegeven wordt dat de realisatie op onderdelen achterblijft bij de eigen ambities maar niet vergeleken met het landelijke beeld. Het college van burgemeester en wethouders is op 10 november jongstleden geïnformeerd over de stand van zaken met betrekking tot de transitie Sociaal Domein. Financiën en accountantscontrole Voor de nieuwe taken op het gebied zorg, jeugd en participatie is straks minder budget beschikbaar dan voorheen. Aan het Gemeentefonds wordt in ,3 miljard toegevoegd voor uitvoering van de gedecentraliseerde taken in het sociaal domein (zorg, jeugd en participatie). Minister Plasterk heeft het wetsvoorstel met een sociaal deelfonds binnen het Gemeentefonds ingetrokken. In de plaats hiervan worden de gelden door het Rijk verstrekt als integratie-uitkering. De consequentie hiervan is dat de middelen geheel vrij te besteden zijn voor gemeenten. Dit geeft gemeenten maximale vrijheid om, binnen de kaders van de wetgeving en gemeentelijk beleid, eigen afwegingen te maken. Het Rijk vraagt éénmalig aan gemeenten om een extra accountantscontrole uit te laten voeren op de lv3-informatie over het sociaal domein van gemeenten ten behoeve van het ministerie van BZK. In de septembercirculaire is nadere informatie opgenomen over deze controle (hoofdstuk 3, pagina s ). 1 december / /MB/

16 Er zal sprake zijn van horizontale verantwoording: het college legt met de jaarrekening verantwoording af over de besteding aan de gemeenteraad. Deze verantwoording wordt voor het eerst gedaan vanaf het verslagjaar Met ingang van de jaarrekeningcontrole 2015 zullen wij in het kader van en met de materialiteit van de controleopdracht voor de jaarrekening als geheel deze verantwoording controleren. De interne beheersing binnen uw gemeente moet al eerder op orde zijn, namelijk vanaf 1januari Wij geven u op deze plaats alvast een eerste beeld van enkele zaken die vanuit de interne beheersing en het accountantsperspectief van belang zijn met het oog op het opstel- en controleproces van de jaarrekening 2015: Toereikende interne beheersing en rapportering zodat de in- en externe controle effectief en efficiënt kan worden uitgevoerd. Hoe zijn de interne beheersingsmaatregelen inzake rechtmatigheid binnen de gemeente ingericht? Zijn de verordeningen vertaald naar het normenkader? Zijn de wetten meegenomen in het interne controleplan? Zijn er heldere financiële kaders en zijn de consequenties voor het meerjarenperspectief en de risicoparagraaf bekend? Aanbesteden of uitbesteden? Hoe heeft de gemeente de taken inzake de decentralisaties ingericht? Zelf uitvoeren of uitbesteden? Zijn alle contracten aanbesteed? Heeft de gemeente alle noodzakelijke contracten aanbesteed? Iedere gemeente maakt tariefberekeningen op basis waarvan het contract wordt aanbesteed; zijn nog aparte tariefafspraken gemaakt? Wie wordt de budgethouder en welke controles worden op binnenkomende facturen verricht (o.b.v. het contract)? Hoe is de planning en inhoud van de verantwoording van externe partijen aan de gemeente ingericht? Zorgaanbieders en centrumgemeenten/gemeenschappelijke regelingen vragen de gemeenten soms om op basis van een voorschotsysteem te werken. De gemeente betaalt dan vooraf een voorschot en de zorgverlener/zorgregisseur rekent dan achteraf met de gemeente af. Vanuit oogpunt van rechtmatigheid kan geen materieel deel van het zorgbudget als lasten in de programmarekening staan, zonder dat de gemeente hiervan heeft kunnen vaststellen dat de bestedingen rechtmatig zijn. Auditinstructies aan uitvoerders bij uitbesteding. Rechtmatige besteding is een belangrijk aandachtspunt voor de controle. De gemeente kan enerzijds zelf zorg inkopen of anders de taak uitbesteden aan een gemandateerde entiteit zoals een gemeenschappelijke regeling. Een belangrijk aspect hierbij is het vaststellen van de prestatielevering. Hoe stelt de gemeente vast dat de gefactureerde zorgovereenkomt met de volgens de indicatie ingekochte zorg én de feitelijk geleverde zorg? Hoe is de beveiliging van persoonsgegevens binnen en buiten de gemeente geregeld? Voor de gemeente is het bij uitbesteding van taken belangrijk dat zij met de uitvoerder toereikende afspraken maakt over de beveiliging van de persoonsgegevens waar de uitvoerder mee gaat werken. 1 december / /MB/

17 5. Actualiteiten 5.1. Vennootschapsb&astingplicht overh&dsondernemingen Vanaf 1januari 2016 worden publiekrechtelijke rechtspersonen vennootschapsbelastingplichtig indien en voor zover zij een onderneming drijven. De afbakening van de belastingplicht van publiekrechtelijke rechtspersonen wordt daarmee gelijk aan het systeem dat nu al geldt voor de gewone stichtingen en verenigingen. Daarnaast worden specifieke overheidsvrijstellingen geïntroduceerd. Voor bv s, nv s en coöperaties die volledig in handen zijn van een of meer publiekrechtelijke rechtspersonen gaan de gewone regels gelden. Dat houdt in, dat deze rechtspersonen integraal belastingplichtig worden (dus onafhankelijk van het antwoord op de vraag of een onderneming wordt gedreven), tenzij een algemeen geldende vrijstelling kan worden toegepast. Daarnaast kunnen deze rechtspersonen in aanmerking komen voor een specifieke overheidsvrijstelling. Ook voor de door publiekrechtelijke rechtspersonen beheerste stichtingen en verenigingen gaan de gewone regels gelden: belastingplicht indien en voor zover een onderneming wordt gedreven, tenzij een vrijstelling van toepassing is (een algemene vrijstelling of een specifieke overheidsvrijstelling). Op basis van het vorenstaande zijn twee vraagstukken relevant, te weten het begrip onderneming en de reikwijdte van de vrijstellingen. Het begrip onderneming Van een onderneming (in fiscale zin) is sprake als met een organisatie van arbeid en kapitaal met een winststreven wordt deelgenomen aan het economische verkeer. Als op basis van fiscale grondslagen doorlopend overschotten worden behaald, is sprake van een winststreven. Er is ook sprake van een winststreven als in (potentiële) concurrentie wordt getreden met ondernemingen van met name natuurlijke personen, bv s, nv s en coöperaties. Als sprake is van normaal vermogensbeheer (passieve exploitatie van vastgoed) is géén sprake van een onderneming. Ook structureel verlieslatende activiteiten - vanuit fiscaal perspectief bezien - vormen geen onderneming in fiscale zin. Op basis van de hiervoor genoemde criteria zullen veel door publiekrechtelijke lichamen ontplooide activiteiten kwalificeren als een ondernemingsactiviteit. Voorbeelden hiervan zijn afvalinzameling, betaald parkeren, het gemeentelijk grondbedrijf, dienstverlening in algemene zin aan burgers, bedrijfsleven en andere publiekrechtelijke rechtspersonen, de exploitatie van theaters, musea, sportaccommodaties, enzovoorts. Om te voorkomen dat de belastingplicht te ruim wordt, zijn specifieke overheidsvrijstellingen in het leven groepen. Die worden hierna kort toegelicht. Overheidsvrijstellingen Voor zowel de publiekrechtelijke rechtspersonen als de privaatrechtelijke overheidslichamen (zoals bv s en coöperaties waar alleen publiekrechtelijke rechtspersonen aandeelhouder respectievelijk lid van zijn) kunnen specifieke overheidsvrijstellingen gelden. 1 december / /MB/

18 Deze vrijstellingen stellen de winst vrij die wordt behaald met: 1. interne activiteiten binnen één publiekrechtelijk lichaam zelf (bijvoorbeeld DVO ICT gemeente X met gemeente Y); 2. activiteiten die kwalificeren als quasi-inbesteding (100% beheersing in privaatrechtelijk overheidslichaam); 3. activiteiten die kwalificeren als de uitoefening van een overheidstaak of publiekrechtelijke bevoegdheid (geen concurrentie met ondernemers, zoals brandpreventie); en 4. activiteiten die worden verricht in het kader van een kwalificerend samenwerkingsverband (bijvoorbeeld een GR). Fiscale winst Van belang is ten slotte dat het begrip fiscale winst afwijkt van de bekende winstbepalingsregels. Fiscaal worden bijvoorbeeld maatschappelijke invloeden voor de prijsbepaling geëlimineerd. Zo kan een subsidie om de exploitatie van een zwembad sluitend te krijgen fiscaal tot de winst behoren. Daarnaast moeten tussen gelieerde partijen in fiscaal opzicht zakelijke prijzen gehanteerd worden, hetgeen met name in een situatie van een samenwerkingsverband tussen publiekrechtelijke rechtspersonen praktijkvragen oproept. Acties 2014 Het wetsvoorstel is ingrijpend en veelomvattend. De publiekrechtelijke lichamen moeten aan de slag om tijdig klaar en voorbereid te zijn. Een specifiek en belangrijk aandachtspunt hierbij zijn de grondexploitaties. Uit het systeem van de Wet Vpb vloeit voort, dat de waardeontwikkelingen c.q. de vanaf 1 januari 2016 behaalde fiscale winst in de heffing wordt betrokken. Dit wordt vormgegeven door de waardering van vermogensbestanddelen (bezittingen én toerekenbare schulden) op de fiscale balans tegen de waarde in het economische verkeer per 1 januari Als in een grondexploitatie in de calculaties wordt uitgegaan van een stijgende prijsontwikkeling in de periode 1januari2016 tot verkoop grond, dan leidt dat in beginsel tot heffing van vennootschapsbelasting (op basis van wat tot op heden bekend is van de Wet Vpb). Deze vennootschapsbelasting moet wel in de grondexploitatie-opzet ingerekend worden. Als de wet op 1 januari 2015 formeel is aanvaard, dan kan dat dus al betekenis hebben voor de waardering van gronden in de jaarrekening over De eerst stap om te komen tot een implementatie bestaat enerzijds uit kennisvergaring (opleidingsplan) en anderzijds uit een inventarisatie van de ondernemingsactiviteiten. Deze inventarisatie kan zo veel mogelijk gekoppeld worden aan de in het kader van de Wet markt en overheid verrichte of te verrichten inventarisatie. In deze inventarisatie wordt per deelonderwerp niet alleen gekeken naar het nu, maar ook naar de toekomst (aangaan van samenwerkingsverbanden als gevolg van de drie decentralisaties, voorgenomen verwerving of juist verkoop van vastgoed et cetera). Dit blijkt niet direct uit bijvoorbeeld de jaarrekening. Juist hierdoor wordt het belang van de betrokkenheid van alle afdelingen onderstreept. Uit de inventarisatie dient vervolgens te blijken of een vrijstelling kan worden toegepast dan wel of nog risico s bestaan. Wij adviseren u de inventarisatie per deelactiviteit te documenteren, zodat deze eenvoudig kan worden getoetst. De rapportage die uit de inventarisatie voortvloeit, geeft vervolgens inzicht in de impact van de vennootschapsbelastingplicht. Deze rapportage vormt vervolgens de basis voor een verder implementatieplan en concrete besluitvorming. Wij adviseren u op korte termijn de inventarisatie uit te voeren en de uitkomsten intern te bediscussiëren en extern te laten toetsen. 1 december / /MB/

19 5.2. Wet markt en overheid Het doel van de Wet markt en overheid (hierna Wet M en 0) is oneerlijke concurrentie door overheidsorganisaties met marktpartijen te voorkomen en zo een gelijkwaardig speelveld in de markt te creëren. De Wet M en 0 is met ingang van 1 juli 2012 onder andere van toepassing voor gemeenten en gemeenschappelijke regelingen. Sinds 1juli 2014 is de vrijstelling voor de reeds per 1juli 2012 bestaande activiteiten vervallen. Gemeenten en gemeenschappelijke regelingen worden in de wet overheidsorganisaties genoemd. Aangezien de vrijstelling inmiddels vervallen is, brengen wij deze wet nogmaals onder uw aandacht om onbewuste overtreding van de Wet M en 0 te voorkomen. Indien uw gemeente in concurrentie treedt met marktpartijen (dus producten of diensten aanbiedt die ook door marktpartijen aangeboden worden) wordt dit in de Wet M en 0 als economische activiteit geduid. Praktijkvoorbeelden van economische activiteiten die door gemeenten aangeboden worden zijn: Kopen, verkopen en verpachten gronden Verhuur woningen en vastgoed Exploitatie van sportvoorzieningen (zwembad) Culturele voorzieningen Cursussen brandweer voor derden Dienstverlening burgerzaken (pasfoto, kopiëren). Als sprake is van economische activiteiten, dan moeten op basis van de Wet M en 0 de integrale kosten van deze producten en diensten worden doorberekend aan de afnemers. Dus niet alleen de direct gerelateerde kosten van de dienst, maar ook doorbelasting van personeelskosten, huisvestingskosten, et cetera. In de Wet M en 0 is de bepaling opgenomen dat organisaties een inventarisatie moeten maken van producten en diensten die kwalificeren als economische activiteiten en vervolgens een analyse verrichten op het aanbieden van producten en diensten in concurrentie met marktpartijen. Hierbij dienen zij tevens in kaart te brengen welke activiteiten de gemeente uitvoert voor het algemeen belang. Indien sprake is van algemeen belang, dan is de Wet M en 0 niet van toepassing. Het is aan de gemeenteraad om vast te stellen welke activiteiten de gemeente verricht voor het algemeen belang en derhalve als activiteiten van algemeen belang zijn aangemerkt. Voor de activiteiten die aangemerkt zijn als economische activiteiten en dus niet in het kader van het algemeen belang worden uitgevoerd, dient uw gemeente (onder andere) een integrale kostprijsberekening op te stellen die aansluit bij de bepalingen die opgenomen zijn in de Wet M en 0. Samengevat zijn de volgende bepalingen uit de Wet M en 0 zijn belang: De Wet M en 0 is externe regelgeving die al van kracht is. De gemeente dient deze wet op te nemen in het normenkader rechtmatigheid en de naleving ervan (= rechtmatigheid) te toetsen. 1 december / /MB/

20 Het is van belang dat de gemeente een analyse maakt of activiteiten als economische activiteiten of activiteiten in het algemeen kwalificeren. De gemeenteraad dient vervolgens het overzicht met de activiteiten in het algemeen belang vast te stellen. Dit kan ook nog plaatsvinden na 7juli 2014, voor zover geen bezwaren van ondernemers bekend zijn. Het niet naleven van de bepalingen van de Wet M en 0 valt op basis van de kadernota rechtmatigheid van de commissie BBV onder de categorie niet-financiële rechtmatigheid. Bij het niet naleven van de wet is dus sprake van een formele rechtmatigheidsfout. De Autoriteit Consument & Markt heeft de handreiking Als ambtenaren ondernemers worden opgesteld met praktijkvoorbeelden en nadere informatie. Wij adviseren hiervan kennis te nemen. Wij adviseren u om van bovenstaande bepalingen na te gaan in hoeverre u hieraan voldoet. 53. Wijzigingen Besluit begroting en verantwoording provincies en gemeenten Inleiding Op 25 juni en 13 december 2013 is een tweetal wijzigingen van het Besluit begroting en verantwoording provincies en gemeenten (BBV) gepubliceerd. De wijzigingen van het BBV houden verband met: 1. De wijziging van de Gemeente- en Provinciewet door het aanpassen van enkele bepalingen in het financieel toezicht op gemeenten en provincies zoals het wijzigen van de term in evenwicht door structureel en reëel in evenwicht. 2. De evaluatie van de financiële functie van gemeenten en provincies door het ministerie van Binnenlandse Zaken en Koninkrijkrelaties (BZK). 3. Een aantal kleinere, meertechnische aanpassingen. 4. Aanpassing notitie riolering per november 2014, ingangsdatum jaarrekening Hierna komen achtereenvolgens de belangrijkste inhoudelijke aanpassingen van het BBV aan bod. Structureel evenwicht Het bestaan van structureel evenwicht is vast te stellen als inzicht bestaat in het deel van de baten en lasten dat structureel respectievelijk incidenteel is. Om dit inzicht te verbeteren, is artikel 19 en 28 als volgt gewijzigd: Gemeenten dienen het voorgeschreven overzicht van incidentele baten en lasten voortaan op te nemen per programma, waarbij de gemeente per programma ten minste de belangrijkste posten afzonderlijk specificeert en de overige posten als een totaalbedrag kan opnemen. Er is een overzicht van de beoogde respectievelijk gerealiseerde structurele toevoegingen en onttrekkingen aan de reserves verplicht gesteld. 1 december / /MB/

21 Deloitte. Verduidelijking begrippen Paragraaf Weerstandsvermogen De paragraaf Weerstandsvermogen is verplicht gesteld in het BBV om te voorzien in de behoefte aan meer informatie over risico s die gemeenten lopen en de middelen en mogelijkheden die beschikbaar zijn om onverwachte tegenvallers op te vangen (= weerstandscapaciteit). Om het onderdeel risicobeheersing nog beter tot uitdrukking te brengen is in de artikelen 9 en 11 de naam van de paragraaf weerstandsvermogen aangepast in weerstandsvermogen en risicobeheersing. Het gaat bij de paragraaf Weerstandsvermogen en risicobeheersing dus nadrukkelijk niet alleen om een inventarisatie en beschrijving van risico s en de middelen en mogelijkheden van de gemeente om deze op te vangen, maar zeker ook om de wijze waarop en de processen en systemen waarmee de gemeente de risico s beheerst. Paragraaf verbonden partijen Gemeenten brengen taken onder bij verbonden partijen, zoals gemeenschappelijke regelingen. Voor het adequaat invullen van het toezicht door de gemeenteraad, is het van belang dat de begroting en jaarrekening inzicht geven in de verbonden partijen waar de gemeente in deelneemt, het belang dat de gemeente hierin heeft en in de financiële positie van de verbonden partijen. Met de wijziging van artikel 15 van het BBV zijn gemeenten verplicht deze informatie in de paragraaf verbonden partijen op te nemen. De verplichting in de artikelen 67 en 69 om de lijst met verbonden partijen op te nemen in de toelichting op de productenrealisatie is geschrapt. Programmarekening Om de relatie tussen de begroting en de jaarstukken te verduidelijken, is in artikel 24 het begrip programmarekening gewijzigd in het overzicht van baten en lasten in de jaarrekening. Na de wijziging van het BBV bestaan de begroting resp. de jaarstukken van een gemeente tenminste uit de volgende onderdelen: IF Jaatstukken Beleidsbegroting: Jaarverslag: Programmaplan. Programmaverantwoording. Paragrafen. Paragrafen. Financiële begroting: Jaarrekening: Overzicht van baten en lasten in de begroting en de toelichting, Overzicht van baten en lasten in de jaarrekening en de toelichting. Uiteenzetting financiële positie en de Balans en de toelichting. toelichting... Bijlage verantwoordingsinformatie specifieke.. uitkeringen (SiSa-bijlage). 1 december / /MB/

22 Deloitte. Resultaa tbestemmen Het BBV staat toe dat de raad al bij de begroting autoriseert dat toevoegingen en onttrekkingen aan bestemmingsreserves plaatsvinden. Feitelijk bestemt de raad hiermee gedurende het jaar al een deel van het verwachte resultaat bestemd. Om die reden kende het BBV tot de huidige wijziging de begrippen geraamd en gerealiseerd resultaat voor en na bestemmen. Het verschil tussen de genoemde geraamde respectievelijk gerealiseerde resultaten betreft het saldo van de geraamde respectievelijk gerealiseerde mutaties in reserves. Het begrip resultaatbestemmen kan verwarring geven. Om hierin meer duidelijkheid te geven, zijn de begrippen in de artikelen 17 en 27 van het BBV als volgt aangepast: V66r wijziging BBV Geraamd resultaat voor bestemmen Geraamd resultaat na bestemmen Gerealiseerd resultaat voor bestemmen Gerealiseerd resultaat na bestemmen Na wijziging BSV Geraamde totaal saldo van baten en lasten Geraamde resultaat Gerealiseerde totaal saldo van baten en lasten Gerealiseerde resultaat Technische aanpassingen Naast de hiervoor beschreven wijzigingen is in het kader van regulier onderhoud een aantal meer technische wijzigingen in het BBV doorgevoerd. Voorbeelden hiervan zijn het toevoegen van de balansposten uitzettingen in s Rijks schatkist met een rentetypische looptijd van één jaar of langer respectievelijk korter dan één jaar (in verband met de Wet Houdbare overheidsfinanciën) en het schrappen van de term girosaldi als onderdeel van de te presenteren liquide middelen. Notitie rio ering Tevens is de notitie riolering in november 2014 aangepast. In het Wijzigingsbesluit van 25juni 2013, van toepassing met ingang van begrotingsjaar 2014, is in artikel 44, lid d BBV een separate voorzieningscategorie geïntroduceerd voor vervangingsinvesteringen waarvoor een heffing wordt geheven. Deze aanpassing in combinatie met recente ontwikkelingen in de rechtspraak leiden in de praktijk tot vragen rondom de voorziening(en) voor riolering. Naar aanleiding van deze vele vragen heeft de Commissie BBV besloten de notitie riolering uit 2009 aan te passen om hiermee een bijdrage te leveren aan de concrete toepassing van dit in 2013 genomen Wijzigingsbesluit. Deze notitie is geldig voor begrotingsjaar 2014 en derhalve ook voor de jaarrekening Wij adviseren u deze notitie grondig door te nemen. 1 december / /MB/

23 Deloitte. BIJLAGE 1: DETAILBEVINDEN IT-AUDIT 1. Autorisatie Management; hoge rechten accounts Omgeving: Windows Active Directory, Key2Financien, Database Prioriteit: hoog Bevinding Wij hebben vastgesteld dat binnen de Windows Active Directory zeventien actieve Domain Administrators aanwezig zijn waarvan twaalf generieke accounts. Wij hebben begrepen dat tien van deze generieke accounts worden gebruikt voor service doeleinden. Drie accounts met domain administrator-rechten zijn toegekend aan medewerkers van een extern bedrijf. Daarnaast hebben wij vastgesteld dat alle actieve Windows Domain Administrator-accounts toegang hebben tot de back-up configuratie instellingen. Tevens hebben wij begrepen dat een periodieke controle wordt uitgevoerd op de gebruikers binnen de Windows Active Directory. Op het moment van testen was deze nog niet uitgevoerd. Binnen de applicatie Key2Financien zijn aan de applicatiebeheerders hoge rechten toegekend. Deze vier medewerkers zijn tevens aanwezig binnen de in Key2Financien aangebrachte routes. Wij hebben begrepen dat, als mitigerende controle, de afdeling Interne Beheersing van de gemeente Hoorn een controle uitvoert op goedgekeurde facturen. Daarbij wordt gekeken of facturen enkel door daartoe geautoriseerde medewerkers zijn goedgekeurd. Risico Door het hoge aantal actieve administrator accounts bestaat een verhoogd risico dat ongeautoriseerde handelingen kunnen worden uitgevoerd op de Active Directory. Leveranciers kunnen met behulp van de aan hun verstrekte administrator accounts te allen tijde op de Active Directory inloggen en wijzigingen aanbrengen. Gezien het feit dat de applicatiebeheerders onderdeel uit maken van het factuurproces kan dit ertoe leiden dat bepaalde deze personen facturen registreren, coderen en goedkeuren zonder dat er een juiste scheiding van rechten is ingesteld. Aanbeveling Het verdient de aanbeveling dat gemeente Hoorn nagaat of deze accounts nog regelmatig worden gebruikt, of het aantal actieve Administrator Accounts gerechtvaardigd is en of deze Administrator accounts daadwerkelijk nog actief dienen te zijn. Wij adviseren accounts van externe leveranciers te blokkeren en enkel te activeren indien nodig. Tevens verdient het de aanbeveling om een periodieke review uit te voeren op de gebruikers accounts in het Windows Active Directory en het akkoord of de resultaten hiervan te documenteren. Gebruikers met beheerrechten binnen Key2Financien dienen geen deel uit te maken van het factuurproces. Derhalve adviseren wij deze personen geen onderdeel uit te laten maken van een factuurroute. Management Commentaar De applicatiebeheerders hebben geen kredietbeheerderscodes en kunnen dus geen deel uitmaken van het factuurproces. De factuurbehandelaars van de boekhouding hebben ook geen kredietbeheerderscodes, maar kunnen wel via code midbetalingen deel uitmaken van het factuurproces. Dit moet ook want zij moeten facturen die door kredietbeheerders worden teruggestuurd naar de boekhouding opnieuw in de route kunnen zetten. Er wordt bekeken of de accounts van de externe leveranciers geblokkeerd kunnen worden. Er vindt een periodieke controle plaats op de Active Directory. Deze wordt vergeleken met het personeelsbestand (PIMS). Bijlage