Hoogheemraadschap van Delfland

Transcriptie

1 Hoogheemraadschap van Delfland Managementletter 2016 Oktober 2016

2 Inhoudsopgave 1. Inleiding 2. Managementsamenvatting 3. Aard en reikwijdte van de werkzaamheden 4. Beheersing van de bedrijfsprocessen 5. Vooruitblik op de jaarrekening Geautomatiseerde gegevensverwerking Contactgegevens: drs. R. (Rik) Opendorp RA Accountantspartner M: E: M.A. (Mark) van Rooij RA Senior Manager M: E: 7. Overige aandachtspunten Kantoorgegevens: Baker Tilly Berk N.V. Bijster 55 Postbus DV BREDA T:

3 1. Inleiding 3 Vertrouwelijk Hoogheemraadschap van Delfland Aan het college van dijkgraaf en hoogheemraden Geachte heren, Voor u ligt de tussentijdse rapportage (managementletter) die wij hebben opgesteld op basis van de door ons tot nu toe uitgevoerde werkzaamheden in het kader van de controle van de jaarrekening 2016 van Hoogheemraadschap van Delfland. De (concept) managementletter is in oktober 2016 met de werkorganisatie besproken. In deze managementletter rapporteren wij over de door ons uitgevoerde analyse en evaluatie van de beheersing van de bedrijfsprocessen in het te controleren boekjaar. Hierbij besteden wij ook aandacht aan de geautomatiseerde gegevensverwerking. Tot slot gaan wij in op de aandachtspunten en ontwikkelingen die van invloed zijn op de controle van de jaarrekening over boekjaar Wij bedanken de medewerkers van Hoogheemraadschap Delfland voor de open en constructieve samenwerking bij het verrichten van onze controlewerkzaamheden en de totstandkoming van onze rapportage. Voor de volledigheid maken wij u er nog op attent dat deze managementletter is opgesteld ten behoeve van Hoogheemraadschap van Delfland en het niet is toegestaan de managementletter zonder onze voorafgaande instemming aan derden te verstrekken. Met vriendelijke groet, drs. R. Opendorp RA Accountantspartner Senior Manager M.A. van Rooij RA

4 2. Managementsamenvatting Beheersing van de bedrijfsprocessen Ten behoeve van de verkregen opdracht om de jaarrekening over boekjaar 2016 van Hoogheemraadschap van Delfland te controleren, hebben wij onderzoek verricht naar de interne beheersing binnen het waterschap. Wij zijn van mening dat de AO/IB van het waterschap voldoet aan de vereisten om te kunnen komen tot een goedkeurende controleverklaring, maar vragen uw aandacht voor de bevindingen in relatie tot het in control zijn op het gebied van de aanbestedingen. Naar onze mening is er sprake van twee geconstateerde bevindingen die de hoogste prioriteit van de organisatie moeten hebben voor opvolging en verbetering. Daarnaast hebben wij een aantal bevindingen van minder importantie opgenomen. In hoofdstuk 4 hebben wij de bevindingen, risico s en aanbevelingen nader toegelicht. De bevindingen met de hoogste prioriteit betreffen de volgende: Procedures voor aanbestedingen Opvolging Wet DBA (VAR) Betreffende onze werkzaamheden ten aanzien van de General IT Controls (GITC s) en de Application Controls (AC s) hebben wij één bevinding geconstateerd die de hoogste prioriteit moet hebben voor opvolging en verbetering. Ook ten aanzien van de GITC en de AC hebben we daarnaast een aantal bevindingen opgenomen van minder importantie. De bevinding met de hoogste prioriteit betreft de volgende: Logische toegangsbeveiliging netwerk 2.2 Vooruitblik op de jaarrekening In deze rapportage is ook een vooruitblik op de controle van de jaarrekening opgenomen. Hierbij zijn zowel de aandachtsgebieden van de accountantscontrole als de aandachtspunten voor de organisatie toegelicht. De belangrijkste punten zijn de volgende: Opvolging van de bevindingen inzake aanbestedingen (5.1) Uitvoeren van gegevensgerichte controles inzake projecten (5.2) Werkzaamheden inzake de bate uit de belastingheffing door RBG (5.3) Onderzoek naar de verwerking van de herfinanciering van de leaseconstructie met Delfluent (5.4) Overleg over financiële positie en weerstandsvermogen (5.5)

5 3. Aard en reikwijdte van de werkzaamheden Aard van de opdracht en werkzaamheden Wij hebben van uw Verenigde Vergadering de opdracht gekregen om de jaarrekening over boekjaar 2016 van Hoogheemraadschap van Delfland (hierna: HH Delfland ) te controleren. Als onderdeel van de controle van de jaarrekening 2016 van HH Delfland hebben wij de administratieve organisatie en de daarin opgenomen maatregelen van interne beheersing beoordeeld, teneinde onze controlewerkzaamheden in overeenstemming met Nederlands recht te kunnen bepalen. Onze bevindingen zijn gebaseerd op de normale werkzaamheden in het kader van de controle van de jaarrekening. Wij wijzen u er dan ook op, dat deze brief niet alle eventuele onvolkomenheden in uw organisatie weergeeft, die bij een uitgebreid en hierop specifiek gericht onderzoek naar voren zouden kunnen komen. Zoals u zult begrijpen, is de managementletter van nature kritisch. Wij rapporteren immers voornamelijk over de eventuele leemtes of mogelijkheden ter verbetering van de financiële en administratieve processen, de administratieve organisatie daarvan en de daarin opgenomen maatregelen van interne beheersing. Op uw verzoek geven wij in deze managementletter aan op welke wijze verbeteringen van de administratieve organisatie en de daarin opgenomen maatregelen van interne beheersing kunnen worden gerealiseerd. Wij zijn graag bereid u te ondersteunen in het uitwerken van beheersingsmaatregelen. De aanbevelingen en oplossingsrichtingen zoals beschreven in deze managementletter bieden u handvatten voor deze uitwerking. 3.2 Reikwijdte van de interim-controle De opzet, het bestaan en de werking van de processen inkoop (en betaling ), personeel en aanbesteding in uw organisatie zijn kritisch beoordeeld en getoetst, zodat we een oordeel kunnen geven over de betrouwbaarheid van de interne informatievoorziening en de jaarrekening. Hierbij hebben wij waar mogelijk gebruik gemaakt van de werkzaamheden van uw interne audit. Voor de overige processen ( projecten, en belastingen ) geldt dat wij de opzet van de interne beheersing hebben beoordeeld en het bestaan hebben vastgesteld. In onze controleaanpak is het efficiënter om de transacties in deze processen door gegevensgerichte werkzaamheden te controleren in plaats van door systeemgerichte werkzaamheden. Waar mogelijk hebben wij tijdens de interim-controle al een deel van deze gegevensgerichte werkzaamheden uitgevoerd voor de projecten en de personeelskosten. Verder merken wij op dat wij betreffende het proces belastingen zullen steunen op de werkzaamheden van de accountant van de Regionale Belasting Groep (hierna RBG ).

6 3. Aard en reikwijdte van de werkzaamheden Werkzaamheden door de interne audit In onze managementletter over voorgaand jaar hebben wij reeds toegelicht dat wij voor de interim-controle specifiek aandacht besteden aan de verbijzonderde interne controle die bij HH Delfland door de interne audit wordt uitgevoerd. De doelstelling hierbij is om vast te stellen in hoeverre wij voor de accountantscontrole van de jaarrekening kunnen steunen op de door deze afdeling verrichte werkzaamheden ten aanzien van de belangrijkste processen. Wij verrichten deze werkzaamheden mede in het kader van de aangescherpte regelgeving voor accountants omtrent het gebruik maken van de werkzaamheden van dergelijke afdelingen. Wij overwegen per proces in welke mate wij kunnen steunen op de werkzaamheden van de interne audit. Eventueel benodigde aanvullende werkzaamheden zullen wij bij de eindejaarscontrole uitvoeren, één en ander als resultante van onze risicobeoordeling voor de processen/posten en de reeds geplande systeemgerichte en gegevensgerichte werkzaamheden. Naar aanleiding van onze managementletter over voorgaand jaar is de beoordeling van de geautomatiseerde gegevensverwerking opgenomen in het interne controleplan van de interne audit. Voor onze werkzaamheden ten aanzien van de geautomatiseerde gegevensverwerking steunen wij waar mogelijk op de door de interne audit verrichte werkzaamheden. Voor boekjaar 2016 is onze aanpak verder ongewijzigd ten opzichte van voorgaand jaar: wij steunen op de werkzaamheden van de interne audit voor de processen inkoop (en betaling ) en aanbesteding. Daarbij voeren wij ten behoeve van onze zelfstandige oordeelsvorming ook waarnemingen uit buiten de waarnemingen van de interne audit.

7 4. Beheersing van de bedrijfsprocessen Aandachtspunten voor de bedrijfsprocessen Mede op basis van ons accountantsverslag over boekjaar 2015 hebben wij tijdens onze interim-controle gesprekken georganiseerd met diverse afdelingen om aandachtspunten, waarvan wij opvolging door de organisatie van belang achten, voor geselecteerde bedrijfsprocessen te bespreken. Een samenvatting van die aandachtspunten is hieronder opgenomen en komt ook tot uitdrukking in de matrix op pagina 11. Waar nodig of wenselijk zullen wij tijdens de eindejaarscontrole detailcontroles uitvoeren ten aanzien van deze aandachtspunten. 4.2 Grip op waterschapsbelastingen In relatie tot de waterschapsbelastingen hebben wij in ons accountantsverslag over boekjaar 2015 opgemerkt dat een tweetal zaken aandacht behoeven teneinde de beheersing rondom dit proces te vergroten: Het geleidelijk vervallen van de automatische kwijtschelding voor de zuiveringsheffing woonruimten hieruit volgt een groter risico op waardering van de openstaande belastingvorderingen waardoor de inschatting van het waterschap voor de voorziening oninbaarheid belangrijker wordt. De in het verleden geconstateerde afwijkingen tussen de prognose en de realisatie ten aanzien van de waterschapsbelastingen de RBG heeft in het verleden veelal een lagere prognose afgegeven dan het bedrag dat uiteindelijk aan belastingen gerealiseerd wordt. Hoewel het een meevaller betreft is het voor de beheersing en sturing en de politieke discussie over de belastingen van belang een realistische verwachting te formuleren inzake de verwachte belastingopbrengst. Met uw medewerkers hebben wij gesproken over bovenstaande situatie waarbij wij hebben vastgesteld dat voldoende aandacht bestaat voor deze aandachtspunten. Zo wordt ten aanzien van het eerste punt periodiek een analyse opgesteld van het vermoede bedrag van oninbaarheid, worden probleemgevallen gevolgd en worden vanaf 2016 ervaringscijfers inzake de realisatie van oninbaarheid opgebouwd. Met die ervaringscijfers zal de schatting omtrent de post voorziening oninbaarheid met steeds grotere nauwkeurigheid kunnen worden bepaald hoewel het percentage van de automatische kwijtschelding de komende jaren nog in beweging is (2016: 50% kwijtschelding, 2017: 0% kwijtschelding). In haar kwartaalrapportage heeft RBG overigens ook informatie opgenomen over de oninbaarheid van de waterschapsbelastingen. Bij onze eindejaarscontrole besteden wij specifieke aandacht aan de schattingen omtrent de voorziening oninbaarheid. Daarbij maken wij enerzijds gebruik van de werkzaamheden van de accountant van de RBG en anderzijds maken wij gebruik van de analyses die door HH Delfland worden gemaakt. In ons accountantsverslag rapporteren wij over de uitkomst van onze werkzaamheden.

8 4. Beheersing van de bedrijfsprocessen Grip op waterschapsbelastingen (vervolg) Betreffende het tweede punt (betrouwbaarheid prognoses) heeft u ons toegelicht dat de afwijkingen uit het verleden vooral verklaard worden door de interne controles die de RBG op haar bestanden heeft uitgevoerd. Uit de controles volgen correcties in de heffingen waardoor een hogere opbrengst is gerealiseerd. De RBG heeft de correcties uit het verleden toegelicht voor (een afvaardiging van) uw Verenigde Vergadering. Voor 2016 worden volgens uw toelichting geen (grote) correcties verwacht uit de genoemde interne controles omdat de bestanden nu toereikend zijn gecontroleerd. Verder geldt dat HH Delfland mede op verzoek van RBG een grotere rol heeft in het proces van oplegging van de belastingen, bijvoorbeeld door controle op de ontwikkelingen van de WOZ waarde, delen van informatie over ontwikkeling van wijken etc. Tot slot vindt periodiek overleg met (het bestuur van) RBG plaats en wordt ook het prestatiecontract met de RBG in oktober 2016 geactualiseerd. Eén en ander is mede de resultante van het intensiveren van het relatiebeheer met de RBG in Mochten er overigens wel belangrijke verschillen bestaan tussen de van RBG verkregen prognose en de realisatie dan achten wij het in het kader van de beheersing wenselijk dat HH Delfland in overleg met RBG tot een analyse van (de oorzaken van) deze verschillen komt. Naar onze mening leiden bovenstaande werkzaamheden tot een betere beheersing van het proces, hoewel wij onderkennen dat er afhankelijkheid blijft bestaan van de RBG ten aanzien van de betrouwbaarheid van de basisgegevens en daarmee van de prognoses. Wij achten het periodieke overleg met de RBG in dit kader daarom van groot belang. 4.3 Wet- en regelgeving in het personeelsproces De wet- en regelgeving betreffende het arbeidsrecht is sterk in beweging; de Wet Werk en Zekerheid is ingevoerd, de wet Deregulering Beoordeling Arbeidsrelaties is sinds 1 mei 2016 van toepassing en in voorgaand jaar (2015) was al sprake van verplichte invoering van de Werkkostenregeling Wet Werk en Zekerheid Tijdens de interim-controle hebben wij overleg gevoerd met medewerkers van uw afdeling Personeel & Organisatie (P&O) over bovengenoemde onderwerpen. Uit het gevoerde overleg concluderen wij dat bovengenoemde onderwerpen reeds voldoende de aandacht van uw organisatie hebben en dat u op dit onderdeel voldoende in control bent: De gevolgen van de WWZ worden geautomatiseerd gemonitord door een tool in de salarisadministratie. Er vindt een melding plaats bij bijvoorbeeld benadering van de aanzegtermijn of de maximale periode voor tijdelijke arbeidsovereenkomsten. Indien inhuur via een uitzendbureau plaatsvindt wordt ook van het uitzendbureau een melding ontvangen over bovengenoemde zaken. Daarnaast zijn bepalingen uit de WWZ overgenomen in de CAO voor waterschappen. Daarin is bijvoorbeeld een bepaling opgenomen omtrent de transitievergoeding in combinatie met een opleiding-/mobiliteitsbudget. Dossiervorming in relatie tot het ontslagrecht heeft voldoende de aandacht binnen uw organisatie. Vooraf wordt volgens uw inlichtingen voldoende aandacht besteed aan de aanstelling van medewerkers en tussentijdse begeleiding, maar indien outplacement of ontslag noodzakelijk is, is ook daarvoor een regeling aanwezig binnen het waterschap.

9 4. Beheersing van de bedrijfsprocessen Wet- en regelgeving in het personeelsproces (vervolg) Wet Deregulering Beoordeling Arbeidsrelaties (wet DBA) (VAR) Tot slot hebben wij met u gesproken over de ontwikkelingen inzake de DBA als opvolger van de VAR. In het verleden kon de opdrachtnemer (ZZP er) een Verklaring Arbeidsrelatie (VAR) aanvragen bij de Belastingdienst en die aan de opdrachtgever overleggen waarna de opdrachtgever in beginsel gevrijwaard was van het inhouden van loonheffing en sociale premies en daarvoor in beginsel ook niet aansprakelijk kon worden gesteld. Door de Wet DBA is de VAR per 1 mei 2016 vervallen en moeten opdrachtgever en opdrachtnemer actiever dan voorheen beoordelen of mogelijk sprake is van een arbeidsrelatie. Hiertoe kan eventueel gebruik worden gemaakt van een modelovereenkomst. Betreffende uw waterschap hebben wij geconstateerd dat er veelvuldig gebruik wordt gemaakt van de inhuur van arbeidskrachten waarmee een opdrachtgever-opdrachtnemer, en dus geen werkgever-werknemer, relatie wordt aangegaan. Voor deze inhuur is bovengenoemde wetswijziging van groot belang aangezien het risico groter is geworden dat het waterschap aansprakelijk kan worden gesteld voor betaling van loonheffing en sociale premies indien toch een arbeidsrelatie blijkt te bestaan. Daarbij heeft u ons toegelicht dat de meest gebruikelijke constructie is dat door HH Delfland via een tussenpersoon een relatie aangegaan wordt met een ZZP er welke al dan niet wordt vormgegeven door een modelovereenkomst en al dan niet binnen een raamovereenkomst wordt afgesloten. Betreffende de DBA (VAR) zien wij de hieronder opgenomen aandachtspunten. Wij geven u in overweging vast te (laten) stellen dat aan de genoemde punten is voldaan om een ongewenste arbeidsrelatie (en de eventueel daaruit voortkomende naheffingen) te voorkomen: Voor de beoordeling van het bestaan van een arbeidsrelatie zijn de volgende elementen van belang: a) persoonlijke verplichting om arbeid te verrichten onder, b) een gezagsverhouding met c) een verplichting van de opdrachtgever om loon te betalen. Indien één van deze elementen ontbreekt is er geen sprake van een arbeidsrelatie. Ten aanzien van bovenstaande merken wij op dat het voor de beoordeling van het bestaan van een arbeidsrelatie van belang is of er sprake is van een gezagsverhouding. Daarnaast kan bezien worden hoeveel opdrachtgevers de ingehuurde arbeidskracht daadwerkelijk heeft. Voor het volledige beoordelingskader verwijzen wij u naar de handreiking van de Belastingdienst. Voor de ZZP ers met wie u een directe opdrachtgever-zzp er relatie bent aangegaan is het van groot belang om inzichtelijk te maken met welke partijen een dergelijke verhouding bestaat en vervolgens vast te stellen of er daadwerkelijk sprake is van een opdrachtgever-zzp er relatie en dat er niet abusievelijk toch sprake is van een arbeidsrelatie. Wij zien hierin een verhoogd risico voor (een combinatie van de) volgende zaken: ZZP ers die feitelijk toch een gezagsverhouding hebben met HH Delfland ZZP ers die geen of zeer weinig andere opdrachtgevers hebben dan HH Delfland Gezien het belang van dit aandachtspunt (prioriteit hoog ) is dit punt tevens opgenomen in de matrix met aandachtspunten in relatie tot de beheersing van de bedrijfsprocessen op pagina 11.

10 4. Beheersing van de bedrijfsprocessen 10 De bevindingen over de beheersing van de bedrijfsprocessen worden toegelicht volgens onderstaande indeling. De paginatitel is een samenvatting van de geconstateerde bevinding. Constatering Onder constatering lichten wij onze bevinding toe. Deze bevinding is gebaseerd op de werkzaamheden die wij tijdens onze interim-controle hebben uitgevoerd waarbij kennis is genomen van de werkzaamheden door interne audit. Boven het blok constatering is de prioriteit van de bevinding toegevoegd: Risico Onder risico lichten wij het potentiële risico van onze bevinding voor uw organisatie toe. Voor de risico s geldt dat deze ook gerelateerd zijn aan de prioriteit van de bevinding: hoe groter het (financiële) risico voor uw organisatie hoe hoger de prioriteit voor de opvolging. Aanbeveling Onder de aanbeveling doen wij u een aanbeveling die erop gericht is de constatering en het daaruit volgende risico te ondervangen. Reactie management Onder de reactie management is de reactie van de (werk)organisatie op basis van de bespreking van de concept versie van de managementletter. Prioriteit: gemiddeld, hoog Gemiddeld Deze bevinding heeft een gemiddelde urgentie en financiële impact. Wij adviseren u onze aanbeveling op korte termijn op te volgen. Hoog Deze bevinding heeft een hoge urgentie en financiële impact en dient zo snel mogelijk opgevolgd te worden. Een dergelijke bevinding zou mogelijk gevolgen hebben voor de strekking van de verklaring (afhankelijk van de aard en het financiële belang van de geconstateerde bevinding).

11 4. Beheersing van de bedrijfsprocessen 11 In onderstaand overzicht hebben wij het belang van de hierna genoemde constateringen ten aanzien van de interne beheersing van de bedrijfsprocessen uiteengezet. Overzicht constateringen 4.3: Opvolging wet DBA (VAR) 4.4: Procedures voor aanbestedingen 4.5: Volledigheid prestatieverklaringen 4.6: Scope werkzaamheden afdeling IA Mate van Urgentie = nieuwe bevinding = bestaande bevinding Mate van Belangrijkheid = bevinding is afgehandeld

12 4.4 Procedures voor aanbestedingen 12 Prioriteit: Hoog Constatering In onze rapportages over voorgaand jaar en op basis van werkzaamheden in het huidige jaar hebben wij aandachtspunten ten aanzien van de procedures voor de aanbestedingen geïdentificeerd: Er is overwegend sprake van decentrale inkoop waarbij het risico bestaat dat op concernniveau ontoereikende procedures voor aanbesteding zijn gevolgd. Een interne spendanalyse is in 2016 nog niet structureel uitgevoerd hoewel deze inmiddels wel wordt geïmplementeerd. De wetgeving ten aanzien van de 2B-diensten is per april 2016 gewijzigd. HH Delfland maakt relatief veel gebruik van leveranciers van 2B-diensten. In 2015 zijn uit onze werkzaamheden geen rechtmatigheidsfouten gebleken, maar zijn wel aanbevelingen gedaan ten aanzien van het proces hieromtrent. Tot slot zijn bij de werkzaamheden van interne audit ook in boekjaar 2016 diverse (rechtmatigheids-)fouten geconstateerd die echter ofwel van gering belang zijn ofwel slechts afwijkingen van de interne procedures betreffen. Wij constateren derhalve dat dit proces nog niet volledig in control is en dat aandacht nodig is voor de beheersing in dit proces. Risico Het risico van het niet naleven van het vastgestelde inkoop- en aanbestedingsbeleid is dat inkopen/aanbestedingen op andere wijze plaatsvinden dan wenselijk of wellicht noodzakelijk is. De decentrale inkoop en de gewijzigde wetgeving (2B-diensten) maken dit proces bovendien complex. Verder kunnen tekortkomingen in deze procedures gevolgen hebben voor het oordeel inzake de rechtmatigheid van de betreffende verwervingen. Aanbeveling Op basis van de in dit hoofdstuk opgenomen bevindingen willen wij het belang van de interne beheersing rondom het voldoen aan de vereisten rondom inkopen/aanbesteden benadrukken. Om invulling te geven aan deze interne beheersing geven wij u het volgende in overweging: Het centraliseren van de verantwoordelijkheden in het proces van inkoop en aanbesteden bij de afdeling JVI (repressief) Het periodiek laten uitvoeren van een interne analyse op de uitgaven per leverancier om op deze wijze eventuele onrechtmatigheden tijdig te identificeren en waar mogelijk te corrigeren (detectief) U heeft aangegeven opvolging te geven aan het eerstgenoemde punt door de inkoop daadwerkelijk te centraliseren. U heeft verder aangegeven het laatstgenoemde punt op te zullen volgens door het periodiek uitvoeren van een spendanalyse. Ten behoeve van de accountantscontrole van de jaarrekening zullen wij kennis nemen van uw analyse van naleving van het inkoop en aanbestedingsbeleid uit de door u opgestelde (risicogerichte) spendanalyse.

13 4.5 Volledigheid prestatieverklaringen 13 Prioriteit: Gemiddeld Constatering Evenals in voorgaand jaar is een belangrijke bevinding naar aanleiding van de uitgevoerde werkzaamheden dat de prestatieverklaringen bij diensten of leveringen niet structureel in GIDS wordt gedocumenteerd. Hierdoor kan achteraf niet eenvoudig worden vastgesteld of de prestatie daadwerkelijk is geleverd en of autorisatie terecht heeft plaatsgevonden. Voor de accountantscontrole op de juistheid van de lasten achten wij deze prestatieverklaring eveneens van groot belang. Wij hebben vastgesteld dat de werkwijze omtrent documentatie van de prestatie in 2016 ongewijzigd is ten opzichte van voorgaand jaar. Een voorgestelde aanpassing in de procedure, waarbij de prestatieverklaring in DMS wordt gedocumenteerd en in GIDS een link naar het document in DMS wordt opgenomen, is uiteindelijk niet doorgevoerd. Risico Het risico van het ontbreken van de prestatieverklaringen is dat achteraf niet op objectieve wijze kan worden vastgesteld dat de prestatie is geleverd en dat de factuur behorende bij die prestatie terecht is geautoriseerd en betaald. Aanbeveling Wij geven u in overweging om te voorzien in een procedure waarbij prestatieverklaringen eveneens in GIDS/DMS worden opgenomen. De in 2016 voorgestelde procedure is niet ingevoerd omdat deze te bewerkelijk zou zijn. Om op pragmatische wijze recht te doen aan de wens tot verbetering van de documentatie van de prestatieverklaringen geven wij u in overweging om de procedure alsnog in te voeren, maar daarbij met een grensbedrag voor de documentatie in DMS en GIDS te werken. Het hierbij te hanteren grensbedrag is onderwerp van uw eigen oordeelsvorming omtrent de verhouding tussen de werklast en de toegevoegde waarde van de beheersing. U heeft ons overigens toegelicht dat de prestatieverklaringen wel toereikend zijn gedocumenteerd, en dat alleen de vastlegging in GIDS ontbreekt. Voor 2016 zullen wij nog een combinatie van systeemgerichte- en gegevensgerichte werkzaamheden uitvoeren ten aanzien van de goedkeuring van inkoopfacturen en het aanwezig zijn van de prestatieverklaringen.

14 5. Vooruitblik op de jaarrekening Opvolging bevindingen aanbestedingen In relatie tot de bevindingen zoals uiteengezet in hoofdstuk 4.1 van deze managementletter hebben wij aanbevelingen gedaan om de geconstateerde tekortkomingen in het volgen van de aanbestedingsprocedures ten behoeve van de accountantscontrole van de jaarrekening tijdig op te volgen. Wij hebben u hierbij in overweging gegeven om de naleving van het inkoop en aanbestedingsbeleid te toetsen, bijvoorbeeld door uitvoeren van de risico analytische spendanalyse. Voor onze controle van de jaarrekening zullen wij kennis nemen van de uitgevoerde analyse en indien nodig of wenselijk zelf aanvullende analyses en werkzaamheden verrichten om er zeker van te zijn dat er geen ontoereikendheden in de gevolgde aanbestedingsprocedures zijn. Wij maken u erop attent dat deze te verrichten werkzaamheden op toereikende wijze gedocumenteerd dienen te worden zodat wij hiervan kennis kunnen nemen ten behoeve van onze eigen werkzaamheden. Indien ontoereikende documentatie aanwezig is of indien wij zelf de aanvullende werkzaamheden dienen uit te voeren zullen wij met u in overleg treden over de gevolgen daarvan voor het overeengekomen honorarium aangezien deze werkzaamheden geen deel uitmaken van de door ons gedane aanbieding. Actiepunten voor u: Opstellen van een risicogerichte spendanalyse op de uitgaven 2016 Tijdig aanleveren van deze analyse zodat wij hieruit een selectie ter toetsing van uw analyse kunnen maken 5.2 Aanvullende detailcontroles Zoals wij in hoofdstuk 3.2 van deze managementletter hebben toegelicht hebben wij voor een aantal processen beperkte organisatiegerichte controles verricht en zullen wij aanvullende detailcontroles op transacties uitvoeren. Het betreffen met name transacties die voortkomen uit het proces projecten voor zover deze niet reeds gecontroleerd worden door interne audit. Tijdens de interim-controle hebben wij hiervan reeds het eerste deel gecontroleerd (activering tot het moment van de interim-controle) en bij de eindejaarscontrole zullen wij het resterende deel controleren. De door ons te verrichten werkzaamheden zullen gebaseerd zijn op een risico analytische controleaanpak waarbij wij de genoemde transacties door middel van data-analyse en deelwaarnemingen zullen controleren. Voorafgaand aan onze werkzaamheden zullen wij u verzoeken de informatie die hiertoe benodigd is voor ons te verzamelen. Actiepunten voor u: Tijdig aanleveren van bronbestanden ter selectie van posten waarop wij controles uitvoeren

15 5. Vooruitblik op de jaarrekening Opbrengsten belastingheffing (RBG) De heffing van de waterschapsbelastingen is door HH Delfland uitbesteed aan RBG. Aangezien de volledigheid van de opbrengsten uit de belastingheffing door ons is aangemerkt als algemeen frauderisico zullen wij hieromtrent uitgebreide werkzaamheden verrichten. Aan de accountant van RBG, Deloitte Accountants BV te Rotterdam, worden evenals in voorgaand jaar vooraf instructies verstrekt waarin door ons richting wordt gegeven aan de door hen te verrichten werkzaamheden betreffende de belastingheffing ten behoeve van HH Delfland. In de instructies wordt (onder andere) ingegaan op de volgende punten: Wijze waarop de volledigheid van de heffingen (objecten, tarieven) wordt gecontroleerd Wijze waarop de controle van de opgelegd en nog op te leggen belastingen wordt gecontroleerd Wijze waarop de kwijtscheldingen en vrijstellingen van waterschapsbelastingen wordt gecontroleerd Wijze waarop organisatiegericht is vastgesteld dat voldoende waarborgen voor de volledigheid van de belastingheffing bestaan (interne processen, automatisering, data-analyses, etc.) Specifieke aandacht voor de waardering van de belastingdebiteuren ( oninbare vorderingen ) in relatie tot het vervallen van de automatische kwijtschelding van de zuiveringsheffing Wij hebben Deloitte Accountants BV vooraf geïnstrueerd over de maximaal te hanteren materialiteit en tolerantie in samenhang met onze controle van de jaarrekening van HH Delfland. Aan de accountant van RBG is verder verzocht een controleverklaring bij de opgave belastingen voor HH Delfland te verstrekken en tevens is de accountant verzocht een overzicht van de belangrijkste bevindingen ter beschikking te stellen. Daarbij geldt dat wij het uitvoeren van een dossierreview op de uitgevoerde werkzaamheden in de instructies hebben opgenomen. Actiepunten voor u: Waarborgen tijdige ontvangst van opgave belastingen met verklaring Aansluiting opgave RBG met de FA vaststellen. Analyse uitvoeren op eventuele verschillen prognose-realisatie belastingen (4.2) Analyse uitvoeren op de benodigde voorziening voor oninbaarheid (4.2) Van uw organisatie verwachten wij dat u de aansluiting tussen de bate uit de waterschapsbelastingen en de balansposten inzake de nog op te leggen heffingen volgens de financiële administratie met de opgave van RBG vaststelt. Daarnaast verwachten wij een analyse van de verschillen tussen de begrote en werkelijk gerealiseerde belastingopbrengsten alsmede een analyse van de benodigde omvang van de post voorziening oninbaar (zie hoofdstuk 4.1.1). De aansluiting en analyses dienen toereikend gedocumenteerd te worden. Wij maken u erop attent dat het van groot belang is dat de verklaring en rapportages omtrent de opgave belastingen tijdig van Deloitte Accountants BV wordt ontvangen. Het belang van de bate uit de waterschapsbelastingen in de jaarrekening van HH Delfland is dermate groot dat wij niet tot afronding kunnen komen voordat voldoende en geschikte controle-informatie betreffende deze post is verkregen.

16 5. Vooruitblik op de jaarrekening Herfinanciering leaseconstructie met Delfluent In boekjaar 2016 heeft herfinanciering van de leaseconstructie met Delfluent plaatsgevonden. Wij hebben de relevante stukken inzake de herfinanciering reeds van u ontvangen en zullen deze ruim voor aanvang van de eindejaarscontrole beoordelen. Daarbij besteden wij uiteraard aandacht aan de administratieve verwerking van de herfinanciering (inclusief bepaling en verwerking van het bedrag van agio op de herfinanciering) alsmede de toelichting daarvan in de jaarrekening. Wij zullen eventuele bevindingen uit deze werkzaamheden tijdig met u bespreken om verrassingen tijdens de controle van de jaarrekening te voorkomen. Actiepunten voor u: Bezien noodzaak actualiseren Nota Risicomanagement Bezien noodzaak separate Nota Frauderisico s 5.5 Financiële positie en weerstandsvermogen In voorgaand jaar hebben wij diverse gesprekken met u gehad over de financiële positie en het weerstandsvermogen van het waterschap en de wijze waarop het duurzaam financieel beleid is ingericht. De accountant dient tevens de inhoud van de betreffende paragrafen in het jaarverslag te toetsen. Betreffende de financiële positie van het waterschap besteden wij onder andere aandacht aan de volgende punten: De samenhang tussen het exploitatieresultaat volgens de jaarrekening en het saldo van de vrije kasstromen. In 2015 hebben wij reeds met u geconstateerd dat hierin (omvangrijke) verschillen kunnen bestaan en dat het voor het juiste beeld van de jaarrekening wenselijk kan zijn om beide zoveel mogelijk met elkaar in overeenstemming te brengen. De uitkomsten van de afstemming tussen het college van dijkgraaf en hoogheemraden en de leden van de Verenigde Vergadering ten aanzien van de uiteindelijk gewenste solvabiliteit (verhouding eigen vermogen en vreemd vermogen) en beoordeling van de mate waarin de heffingscapaciteit van de belastingen voldoende ruimte laat om ook in de toekomst de schulden daadwerkelijk te kunnen aflossen vanuit de vrije kasstromen. Betreffende het weerstandsvermogen besteden wij onder andere aandacht aan de volgende punten: Voortdurende ontwikkeling van het risicomanagement binnen de organisatie, onder andere door middel van het periodiek actualiseren van de Nota Risicomanagement waarin tevens aandacht bestaat voor mogelijke frauderisico s. Wij zijn met u van mening dat een goede analyse van de risico s en hun kans op voorkomen, met name inzake verbonden partijen, garantiestellingen, aanbestedingen en renterisico s, wenselijk is om de benodigde omvang van het weerstandsvermogen te bepalen.

17 6. Geautomatiseerde gegevensverwerking Werkzaamheden Volgens wettelijke bepalingen dient de accountant verslag uit te brengen van de bevindingen over de betrouwbaarheid en continuïteit van de geautomatiseerde gegevensverwerking. Wij onderzoeken de geautomatiseerde gegevensverwerking voor zover wij dat noodzakelijk achten in het kader van de controle van de jaarrekening. De accountantscontrole kan daarom leiden tot andere constateringen dan wanneer een gericht onderzoek naar de betrouwbaarheid en continuïteit van de geautomatiseerde gegevensverwerking zou plaatsvinden. De door ons te verrichten werkzaamheden worden uitgevoerd met de diepgang die voor de controle van de jaarrekening 2016 noodzakelijk is. Wij hebben van u vernomen dat u voornemens bent om een nieuw financieel systeem te implementeren waardoor een audit met een diepgaandere reikwijdte dan voor de accountantscontrole van de jaarrekening van het huidige systeem niet wenselijk is. Betreffende het nieuwe financieel systeem achten wij een dergelijke diepgaande analyse, op bijvoorbeeld de inrichting van de functiescheidingen en de overige General IT Controls (GITC), wel wenselijk. Hierbij is het van belang om tijdig in overleg te treden met een IT Auditor in verband met de conversie tussen de applicaties en het inrichten van digitale processen met als doelstelling efficiencyvoordelen. 6.2 Bevindingen en conclusie Hieronder zijn de bevindingen opgenomen naar aanleiding van de door ons verrichte werkzaamheden ten aanzien van de GITC en de Application Controls (AC). Op de volgende pagina hebben wij de weging van de betreffende bevindingen opgenomen. De bevindingen zijn tot stand gekomen op basis van onze gesprekken met de hieronder opgenomen medewerkers. Van hen is tevens de voor de controle benodigde informatie verkregen, ofwel door aanlevering van die gegevens tijdens het gesprek ofwel door nazending van de benodigde informatie. Tom op den Kelder, Applicatiebeheerder GIDS Albert van Bergen, Coördinator informatisering & Functioneel beheer Dick Konings, Interim-manager ICT Marc van Uunen, I&A coördinator, cluster Automatisering

18 6. Geautomatiseerde gegevensverwerking 18 In onderstaand overzicht hebben wij het belang van de hierna genoemde constateringen ten aanzien van de interne beheersing van de bedrijfsprocessen uiteengezet. 6.7 Overzicht constateringen 6.3: Logische toegangsbeveiliging - netwerk 6.4: Logische toegangsbeveiliging applicatie 6.5: Autorisaties in GIDS en mandatering 6.6: Mutatie crediteurenstamgegevens 6.7: Windows XP als besturingssysteem Mate van Urgentie = nieuwe bevinding = bestaande bevinding Mate van Belangrijkheid = bevinding is afgehandeld

19 6. Geautomatiseerde gegevensverwerking Logische toegangsbeveiliging netwerk Toekennen bevoegdheden Volgens de formele procedure worden bevoegdheden tot het netwerk door de netwerkbeheerder uitsluitend toegekend op basis van een door het betreffende afdelingshoofd geautoriseerd verzoek. Bij onze controle hebben wij echter geen controle-informatie verkregen omtrent de aanwezigheid van deze autorisatie. Er moet derhalve nog worden vastgesteld of de genoemde autorisaties daadwerkelijk ten grondslag liggen aan de toegekende rechten tot het netwerk door beoordeling van de informatie die is opgenomen in TopDesk Vereisten aan wachtwoorden Op basis van een analyse van de gebruikers op het netwerk hebben wij vastgesteld dat er 167 persoonsgebonden gebruiker accounts zijn die niet periodiek het in gebruik zijnde wachtwoord hoeven te veranderen. Hiervan zijn er 22 accounts die sinds 2012 niet meer hebben ingelogd en zijn er 135 accounts die (onverplicht) hun wachtwoord in het laatste jaar toch hebben veranderd. Het merendeel van de genoemde accounts betreffen accounts van medewerkers van de Regionale Belasting Groep (RBG) die voorheen in dienst waren bij het waterschap en die via deze accounts hun personeelsadministratie kunnen inzien. Voor 10 accounts is er sprake van toegang tot het netwerk en toegang tot Oracle GIDS, maar is geen sprake van het periodiek veranderen van het wachtwoord. Dit is vanuit de kwaliteit van de informatiebeveiliging een ongewenste situatie en kan er zelfs toe leiden dat misbruik van de genoemde accounts plaatsvindt als het wachtwoord bekend wordt bij anderen Niet-persoonsgebonden accounts Op basis van de eerder genoemde analyse hebben wij vastgesteld dat er sprake is van 770 persoonsgebonden accounts, 156 service accounts en 422 niet-persoonsgebonden accounts. Voor 3 van deze niet-persoonsgebonden accounts is vastgesteld dat zij toegang tot het netwerk én de applicatie GIDS hebben waarmee hiervoor een hoger risico op onrechtmatig handelen bestaat. Volgens toelichting van de applicatiebeheerder zijn de betreffende accounts (EBS4APPS, SYSADMIN, TESTWAIS) bij zijn afdeling in beheer. Er moet nog worden vastgesteld welke handelingen met de genoemde accounts in GIDS zijn gemaakt of dit uitsluitend rechtmatige handelingen betreft Vergelijking toegangsrechten netwerk met personeelsinformatie Uit een door ons opgestelde vergelijking tussen de persoonsgebonden accounts met toegangsrechten tot het netwerk en de personeelsinformatie volgens de verzamelloonstaat blijkt dat er sprake is van 154 accounts van medewerkers die geen dienstverband (meer) hebben bij het waterschap, maar volgens uw toelichting in dienst zijn bij de RBG. Daarnaast zijn er 86 accounts die wel toegangsrechten tot het netwerk hebben, maar die niet herleidbaar zijn naar medewerkers op de. personeelslijst van het waterschap. Vooralsnog hebben wij van u geen analyse ontvangen van deze groep medewerkers en of het account terecht rechten op het netwerk heeft.

20 6. Geautomatiseerde gegevensverwerking Logische toegangsbeveiliging netwerk (vervolg) Accounts met hoge rechten Bij onze analyse van de rechten op het netwerk hebben wij vastgesteld dat er 35 accounts zijn met administrator rechten (zogenaamde hoge rechten op het netwerk). Van deze accounts is in 26 gevallen niet herleidbaar welke medewerker dit account beheerd. Van deze 26 accounts zijn er 8 generieke accounts en 18 service accounts die echter wel allemaal dezelfde hoge rechten hebben. De aanwezigheid van een veelvoud aan accounts met hoge rechten gecombineerd met het niet kunnen herleiden naar een natuurlijk persoon verhoogt het risico op onrechtmatig handelen met deze accounts en maakt de herleidbaarheid naar een natuurlijk persoon moeilijk Actiepunten voor de eindejaarscontrole Voor het waterschap zijn er op basis van de hierboven genoemde bevindingen de volgende actiepunten voor de jaarrekening: Herbeoordelen van de (documentatie omtrent de) procedure van toekennen van rechten op het netwerk Zorg dragen voor een toereikende procedure van periodiek veranderen van het wachtwoord voor alle medewerkers Uitvoeren van een analyse van de handelingen op het netwerk en in GIDS van de 10 accounts die niet periodiek hun wachtwoord hoeven te veranderen Uitvoeren van een analyse van de handelingen op het netwerk en in GIDS van de 3 niet-persoonsgebonden accounts Uitvoeren van een analyse van het terecht bestaan van de 86 accounts voor medewerkers die niet op de verzamelloonstaat zijn opgenomen Indien noodzakelijk het uitvoeren van een analyse van de handelingen op het netwerk en in GIDS van de eventueel niet terecht bestaande accounts voor medewerkers die niet op de personeelslijst zijn opgenomen Uitvoeren van een analyse van de handelingen op het netwerk en in GIDS van de 26 administrator accounts die niet herleidbaar zijn naar en/of niet in beheer zijn van een natuurlijk persoon.

21 6. Geautomatiseerde gegevensverwerking Logische toegangsbeveiliging applicatie Relevante bevindingen inzake logische toegangsbeveiliging netwerk De in hoofdstuk en genoemde bevindingen zijn eveneens van toepassing voor de logische toegangsbeveiliging voor de applicatie GIDS en zijn daarom hieronder niet nogmaals opgenomen. De bevindingen die specifiek voor de applicatie gelden zijn hieronder nader toegelicht Vergelijking toegangsrechten applicatie met personeelsinformatie In overeenstemming met de werkzaamheden die in hoofdstuk zijn beschreven hebben wij vastgesteld dat er sprake is van 699 accounts met toegang tot de applicatie die niet herleidbaar zijn naar medewerkers op de personeelslijst. U heeft ons toegelicht dat u het verwijderen van accounts van medewerkers die niet langer in dienst zijn niet wenselijk acht in verband met het behoud van de historie van de handelingen in GIDS. Daarnaast heeft u toegelicht dat u het risico op onrechtmatige handelingen beperkt acht omdat de toegang tot het netwerk (en vanwege de Single Sign On naar de applicatie) reeds beperkt is. Vooralsnog hebben wij van u geen analyse ontvangen van deze groep accounts, of deze accounts terecht rechten in de applicatie hebben en tot slot of deze accounts inderdaad geen handelingen in GIDS hebben verricht Actiepunten voor de eindejaarscontrole Voor het waterschap zijn er op basis van de hierboven genoemde bevindingen de volgende actiepunten voor de jaarrekening: Uitvoeren van een analyse van het terecht bestaan van de 699 accounts voor medewerkers die niet op de personeelslijst zijn opgenomen Uitvoeren van een analyse van de handelingen in GIDS van eventuele accounts die niet (meer) terecht bestaan 6.5 Autorisaties in GIDS en mandatering Wij hebben geconstateerd dat de secretaris-directeur volgens de richtlijnen inzake mandatering bevoegd is tot het autoriseren van inkoopfacturen tot een bedrag van De aan hem toegewezen mandatering in GIDS bedraagt echter en wijkt daarmee af van het mandaat volgens de formele regeling. U heeft ons toegelicht dat de formele mandaatregeling op dit punt niet in overeenstemming is met het gewenste mandaat voor de secretaris-directeur. Als gevolg van bovenstaande bevinding hebben wij van alle door de secretaris-directeur geautoriseerde inkoopfacturen boven zijn mandaat vastgesteld dat de kosten 1) worden onderbouwd met een factuur en 2) gerelateerd zijn aan activiteiten van het waterschap. Daaruit volgt dat het met name facturen van Delfluent B.V. betreft, maar uit onze werkzaamheden volgen geen onjuistheden of andere bevindingen.

22 6. Geautomatiseerde gegevensverwerking Mutatie crediteurenstamgegevens Bij onze werkzaamheden hebben wij vastgesteld welke medewerkers bevoegd zijn tot het muteren van de crediteurenstamgegevens en of deze medewerkers niet betrokken zijn bij het operationele inkoopproces. Daarbij hebben wij vastgesteld dat er voor twee medewerkers sprake is van een functievermenging: zij zijn gerechtigd tot zowel het muteren van crediteurenstamgegevens en ook hebben zij een andere rol in het inkoopproces. Hoewel de functievermenging vooral technisch van aard is en het risico beperkt is, zijn wij wel van mening dat er sprake is van een vermijdbare functievermenging. Wij geven u dan ook in overweging om de functievermenging op te lossen door een striktere scheiding aan te brengen in de autorisaties omtrent crediteurenstamgegevens en een rol in het inkoopproces. 6.7 Windows XP als besturingssysteem Door middel van inspectie van de active directory hebben wij vastgesteld dat er 291 machines geregistreerd zijn waar het besturingssysteem Windows XP Professional op draait. Microsoft is gestopt met het leveren van support op het besturingssysteem Windows XP. Om deze reden zijn de machines waar Windows XP Professional op geïnstalleerd staat extra kwetsbaar voor virussen en andere beveiligingsrisico's. Deze risico's doen zich met name voor wanneer de betreffende machines zijn aangesloten op het internet. Wij geven u in overweging om, indien mogelijk, het besturingssysteem van de betreffende machines te upgraden naar het besturingssysteem Windows 7 Professional (of een andere recente variant) om zodoende de betreffende machines weerbaar te maken tegen beveiligingsrisico's.

23 7. Overige aandachtspunten Fraude Bij de uitvoering van de controle hanteren wij onder andere de Nadere Voorschriften Controle- en Overige Standaarden (NV COS) 240 De verantwoordelijkheid van de accountant voor het onderkennen van het risico van fraude in het kader van de controle van financiële overzichten. Fraude kan volgens de definitie in NV COS 240 zowel onttrekking van middelen als verslaggevingsfraude betreffen. Het college van dijkgraaf en hoogheemraden is primair verantwoordelijk voor de preventie van fraude. Het college van dijkgraaf en hoogheemraden is verantwoordelijk voor een cultuur van eerlijkheid en ethisch verantwoordelijk gedrag. Zij dient zowel preventieve (voorkomende) als repressieve (ondervangende) beheersingsmaatregelen te nemen om de kans op fraude zo veel mogelijk te beperken, zodat de integriteit van de financiële verslaggeving is gewaarborgd. Tijdens de controle van de jaarrekening inventariseren wij de frauderisico s binnen uw organisatie en beoordelen wij de interne beheersingsmaatregelen die gericht zijn op het voorkomen en ontdekken van fraude. Hiervoor analyseren wij het frauderisico in relatie tot een drietal drijfveren voor frauduleus handelen: a) prikkel en/of druk, b) gelegenheid en c) rationalisatie. Naar aanleiding van deze analyse hebben we voor uw waterschap geen verhoogd risico voor frauduleus handelen geïdentificeerd. De belangrijkste reguliere frauderisico s die wij in het kader van de controle hebben geïdentificeerd zijn: Onvolledige verantwoording van de opbrengsten uit belastingen Onrechtmatige of onjuiste uitstroom van middelen Onrechtmatige of onjuiste toekenning van opdrachten aan leveranciers Tijdens de controle bleek ons dat binnen uw organisatie reeds de nodige aandacht wordt besteed aan de onderwerpen fraude en integriteit. U heeft aangegeven belang te hechten aan een adequate beheersing van frauderisico s. Hierover hebben wij gedurende de controle enkele malen overleg met u gehad waarbij geen nieuwe frauderisico s of relevante tekortkomingen in de beheersing of risicomanagement zijn geïdentificeerd. Naar aanleiding van onze werkzaamheden hebben wij geen fraude of onregelmatigheden geconstateerd. Volledigheidshalve wijzen wij erop dat onze controle niet specifiek gericht is op het ontdekken van fraude.