Concern Interne Controleplan 2018

Transcriptie

1 December 2017 Bestuurlijk opdrachtgever Ambtelijk opdrachtnemer Uitvoering : Gedeputeerde Staten : Hoofd afdeling Financiële en Juridische Zaken : Bureau Kaderstelling en Controle (cluster AO/IC)

2 Inhoudsopgave 1 Inleiding Status van het Concern Interne Controleplan Doel van de interne controle Organisatie interne controle bij de provincie Zuid-Holland Ontwikkeling van de interne controle bij de provincie Zuid-Holland Terugblik Ontwikkelingen Kaders Interne Controle Wettelijke en provinciale kaders Risicoanalyse Planning en verantwoording Controleactiviteiten en planning Tot slot Bijlage: Jaarplanning Interne Controle activiteiten

3 1 Inleiding 1.1 Status van het Concern Interne Controleplan Voor u ligt het (CIC-plan) van de provincie Zuid-Holland. Met dit plan geven Gedeputeerde Staten invulling aan artikel 10 lid 1 en 2 van de verordening Financieel beleid, financieel beheer en financiële organisatie (28 mei 2014). In lid 1 is opgenomen dat Gedeputeerde Staten jaarlijks zorg dragen voor de interne controle (IC) op de getrouwheid van de informatieverstrekking en de (financiële) rechtmatigheid van de beheershandelingen. Lid 2 vermeldt dat Gedeputeerde Staten hiertoe een Concern Interne Controleplan vaststellen en ter kennisneming voorleggen aan de Statencommissie Onderzoek van de Rekening (COR). Het CIC-plan is een nota die de belangrijkste verbijzonderde IC-werkzaamheden voor 2018 weergeeft, inclusief een bijlage met de planning van deze werkzaamheden. Op basis van de aanbevelingen van de accountant naar aanleiding van zijn controle van de jaarrekening 2017 kan het CIC-plan door Gedeputeerde Staten worden gewijzigd. De wijzigingen worden dan ter kennisneming voorgelegd aan de Statencommissie Onderzoek van de Rekening (COR). In hoofdstuk 1 komen het doel en de organisatie van het IC-proces aan de orde. Hoofdstuk 2 geeft een terugblik op de interne controle 2017 en geeft de ontwikkelingen aan voor In hoofdstuk 3 worden de kaders geschetst voor de interne controle om vervolgens in hoofdstuk 4 de controleactiviteiten voor het controlejaar 2018 weer te geven. In bijlage 1 is de jaarplanning 2018 opgenomen. 1.2 Doel van de interne controle Het primaire doel van de verbijzonderde interne controle (VIC) is om de organisatie inzicht te verschaffen in de opzet, het bestaan en de werking van relevante beheersmaatregelen in de belangrijkste processen, zodat er tenminste een uitspraak kan worden gedaan over de aspecten getrouwheid en financiële rechtmatigheid. Met de bevindingen van de verbijzonderde interne controle worden risico s in het financiële beheer en de werking van de beheersmaatregelen hierop in kaart gebracht. Dit stelt het management in staat om op basis van die bevindingen en van de aanbevelingen daarover deze risico s te beperken en de beheersing van de bedrijfsprocessen verder te verbeteren. Daarnaast zijn de uitgevoerde verbijzonderde interne controles van belang voor de accountant. Voor de controle van de jaarrekening moet de accountant gebruik kunnen maken van, onder andere, deze verbijzonderde interne controles. 1.3 Organisatie interne controle bij de provincie Zuid-Holland Het cluster Administratieve Organisatie/Interne Controle (AO/IC) maakt deel uit van het bureau Kaderstelling en Controle van de afdeling Financiële en Juridische Zaken (Directie Concernzaken) van de provincie Zuid-Holland. Voor de uitvoering van de verbijzonderde interne 3

4 controles is het cluster ingedeeld op basis van de primaire en ondersteunende processen binnen de provincie. Elke AO/IC-medewerker is gekoppeld aan een aantal van deze processen. Per proces is een procesteam dat onder leiding staat van een procesteamleider. De teams verrichten de volgende IC-activiteiten: - plannen en voorbereiden van de uit te voeren controlewerkzaamheden, uitvoeren van de controle, opstellen rapportage met bevindingen en aanbevelingen naar aanleiding van de uitgevoerde interne controles in overeenstemming met het Concern Interne Controleplan, bewaken van de opvolging van de aanbevelingen n.a.v. de IC s; - kaders en werkprogramma s opstellen en evalueren ten behoeve van de IC s; - controlewerkzaamheden uitvoeren op de samengestelde dossiers voor de jaarrekening voordat deze aan de accountant worden aangeleverd; - uitvoeren van ad hoc onderzoeken op verzoek van het management en/of het bestuur. Bij de uitvoering van de interne controles zullen de onafhankelijkheid en de objectiviteit van AO/IC worden ondersteund door enerzijds de (interne) routing van de IC-rapportages (via hoofd afdeling Financiële en Juridische Zaken en Concerndirecteur naar het Directieteam) en anderzijds door de mogelijkheid tot escalatie vanuit AO/IC naar de provinciesecretaris en de gedeputeerde Middelen. Verder zal zorg gedragen worden voor voldoende vaktechnische bekwaamheid en deskundigheid bij de medewerkers van het cluster AO/IC, onder andere door middel van interne en externe opleidingen. Naast genoemde IC-activiteiten verrichten de AO/IC-medewerkers ook diverse werkzaamheden met betrekking tot de eigen kaderstellende verantwoordelijkheid op het gebied van de administratieve organisatie van de provincie. 4

5 2 Ontwikkeling van de interne controle bij de provincie Zuid-Holland 2.1 Terugblik 2017 Het jaar 2017 wordt, voor wat betreft de interne controle, gekenmerkt door een tweetal gebeurtenissen. In de eerste plaats de afronding van de controle van de provinciale jaarrekening 2016 door de nieuwe accountant en in de tweede plaats de afschaffing van de verplichte consultatielijst per 1 mei In juni 2016 is Deloitte door Provinciale Staten aangewezen als nieuwe huisaccountant van de Provincie Zuid-Holland. Met het uitvoeren van de controle van de jaarrekening 2016 heeft Deloitte een eerste beeld gekregen van de wijze waarop de interne beheersing binnen de provincie is vormgegeven. Naast het feit dat Deloitte bij genoemde jaarrekening een goedkeurende controleverklaring heeft afgegeven, heeft hij in zowel de Managementletter 2016 als in het Accountantsverslag 2016 aangegeven dat er geen significante leemtes aanwezig zijn in de interne beheersing van de provincie. Hiermee wordt aangegeven dat de interne beheersing voldoende op orde is, maar dat er natuurlijk altijd verbetering mogelijk is op onderdelen. In 2017 is deze positieve lijn, voor wat betreft de uitvoering van de interne controles, verder doorgezet. Daarnaast zijn verbeterpunten, in overleg met Deloitte, opgepakt en waar nodig geïmplementeerd in de bestaande interne controles. Deze verbeterpunten hebben vooral betrekking op verdere aanscherping van de uit te voeren controlehandelingen en -vastleggingen en het nog efficiënter en effectiever uitvoeren van de interne controles. Samen met Deloitte zullen in januari/februari 2018 de over het boekjaar 2017 uitgevoerde interne controles worden geëvalueerd, waarbij ook nagegaan zal worden of de verbeterpunten op afdoende wijze zijn doorgevoerd en hebben geleid tot een verdere verbetering van de interne controle. In het geval deze evaluatie leidt tot noodzakelijke wijziging(en) van het CIC-plan 2018 zullen deze ter vaststelling worden voorgelegd aan Gedeputeerde Staten (zie ook 1.1). Met ingang van mei 2017 is de verplichte consultatielijst niet meer operationeel. Deze consultatielijst gaf aan bij welke besluiten welke adviseurs geraadpleegd moesten worden door de behandelend ambtenaren. De op deze lijst beschreven casussen zijn benoemd met het oog op het zich voordoen van mogelijke financiële onrechtmatigheid bij onjuiste besluitvorming. Het vooraf (verplicht) betrekken van relevante adviseurs bij deze besluitvorming moet het risico op financieel onrechtmatige besluitvorming voorkomen. Het wegvallen van deze verplichte consultatielijst betekent dat de integraal manager, samen met de behandelend ambtenaar, (nog) meer aan de voorkant zal moeten aansturen op het zichtbaar en toetsbaar juist, volledig en tijdig toepassen en naleven van relevante wet- en regelgeving, besluiten en interne richtlijnen. Hierbij zullen keuzes gemaakt moeten worden wanneer welke adviseurs moeten worden ingezet om dit te realiseren. Het wegvallen van de verplichte consultatielijst betekent daarmee ook het wegvallen van een belangrijke actieve beheersmaatregel om onrechtmatige besluitvorming te voorkomen. Het cluster Administratieve Organisatie en Interne Controle is in 2017, in overleg met de accountant, gestart met het uitvoeren van een bijzonder onderzoek om te toetsen of onrechtmatige besluitvorming als gevolg van de afschaffing van de consultatielijst zich ook daadwerkelijk heeft voorgedaan in de periode na afschaffing hiervan. De resultaten van dit onderzoek zullen eind januari 2018 beschikbaar zijn. Reguliere interne controles 2017 In 2017 zijn, net als in voorgaande jaren, verbijzonderde interne controles uitgevoerd op die processen waarin materiële financiële beheershandelingen plaatsvinden. Deze processen zijn 5

6 door Provinciale Staten bepaald aan de hand van het, jaarlijks door haar vast te stellen, Normenkader Rechtmatigheid en afgestemd met de accountant. Deze processen zijn: a. Verwerven en aannemen b. Verstrekken en vaststellen subsidies c. Instandhouden bedrijfskapitaal (onderdeel: salarissen) d. Instandhouden bedrijfskapitaal (onderdeel: betalingsverkeer) e. Genereren van inkomsten (onderdeel: opbrengsten) f. Planning en control (onderdeel: begrotingsuitvoering en jaarrekening) Voor de uitvoering van deze verbijzonderde interne controles is gekozen voor een combinatie van gegevensgerichte, procesgerichte en systeemgerichte controleactiviteiten. In 2017 kon nog niet binnen alle processen volledig gebruik gemaakt worden van geautomatiseerde beheersmaatregelen. Hierdoor was het volledig systeemgericht uitvoeren van alle interne controles nog niet mogelijk. Daarnaast zijn binnen het proces Salarissen, als gevolg van reorganisaties, wijzigingen voorbereid in (deel)processen en personeelsbezetting. Implementatie van deze proceswijzigingen inclusief de passende interne beheersmaatregelen was nog niet (volledig) gerealiseerd waardoor de controlewerkzaamheden voor dit proces in 2017 op een gegevensgerichte wijze worden uitgevoerd. Jaarlijks zal, in overleg met de afdeling Informatisering & Automatisering, nagegaan worden of het mogelijk is één of meerdere nieuwe geautomatiseerde beheersmaatregelen op korte termijn beschikbaar te hebben voor de verbijzonderde interne controle. Dit om, bij de uitvoering van genoemde interne controles, zoveel mogelijk gebruik te kunnen maken van de automatisering binnen de provincie Zuid - Holland. Om een interne controle systeemgericht te kunnen uitvoeren moet gebruik gemaakt kunnen worden van de geautomatiseerde omgeving. Het is noodzakelijk om jaarlijks vast te stellen of de geautomatiseerde omgeving voldoende betrouwbaar en integer is. Tijdens dit onderzoek (de zogeheten EDP-audit) worden de opzet, het bestaan en de werking van verschillende beheersmaatregelen met betrekking tot deze geautomatiseerde omgeving beoordeeld. Ook in 2017 heeft het cluster AO/IC een aanzienlijk deel van dit onderzoek naar de betrouwbaarheid en integriteit van de geautomatiseerde omgeving van de provincie uitgevoerd. Het andere gedeelte is uitgevoerd door de EDP-auditors van de accountant. Ten tijde van het opstellen van het was deze EDP-audit nog niet afgerond. De uitkomsten van deze EDP-audit zullen door de accountant worden opgenomen in het accountantsverslag dat wordt opgesteld naar aanleiding van de jaarrekeningcontrole Als deze uitkomsten aanleiding geven tot aanpassing van het CIC-plan 2018 zal dat gecommuniceerd worden met Provinciale Staten. Aanvullende en nieuwe verbijzonderde interne controles Naast de reguliere verbijzonderde interne controles is in 2017 door AO/IC ook een aantal aanvullende en/of nieuwe verbijzonderde interne controles uitgevoerd. De stand van zaken met betrekking tot deze controles worden hierna verder toegelicht. Verbijzonderde interne controle in relatie tot fiscaliteiten In 2017 zijn door de afdeling Financieel Juridische Zaken (FJZ) een aantal interne controles uitgevoerd op de verwerking van de omzetbelasting in de inkoopfacturen. Het cluster AO/IC heeft de uitgevoerde controles beoordeeld en vastgesteld of de kwaliteit hiervan voldoet aan de door de Belastingdienst gestelde eisen. Ook voor wat betreft de loonbelasting zijn verschillende inhoudelijke controles uitgevoerd. Deze activiteiten zijn hoofdzakelijk uitgevoerd door de afdeling Personeel en Organisatie (P&O). De uitkomsten van deze controles zijn eind 2016 met de Belastingdienst besproken. Naar aanleiding hiervan heeft de Belastingdienst aangegeven 6

7 tevreden te zijn met de wijze waarop binnen de relevante processen de (materiele) fiscale risico s worden beheerst. Daarbij hebben zij ook vastgesteld dat de interne controles, die worden uitgevoerd om de werking van deze beheersmaatregelen te toetsen, op de juiste wijze worden uitgevoerd en niet hebben geleid tot materiele bevindingen. Naast omzetbelasting en loonbelasting heeft de provincie ook te maken met vennootschapsbelasting. Uit eerder onderzoek is gebleken dat de mate waarin de provincie zich bezighoudt met economische activiteiten beperkt is. In het kader van de controle van de jaarrekening 2016 is ook de accountant in 2017 nagegaan of de provincie op het gebied van de vennootschapsbelasting de fiscale wet- en regelgeving juist en volledig toepast. Deze analyse heeft niet geleid tot bevindingen. Eindconclusie van de Belastingdienst was dat hun positieve bevindingen aanleiding geven om de frequentie waarmee zij met de provincie overleg voert over de wijze waarop invulling wordt gegeven aan het Horizontaal Toezicht, teruggebracht kan worden naar ambtelijk één keer per jaar en bestuurlijk één keer in de vier jaar. Deze conclusie van de Belastingdienst geeft aan dat de Provincie Zuid-Holland op dit moment fiscaal voldoende in-control is. Verbijzonderde interne controle lonen en salarissen De afdeling P&O heeft in 2017 hard gewerkt aan het verbeteren en optimaliseren van bestaande processen met betrekking tot lonen en salarissen. Dit, mede naar aanleiding van de implementatie per 1 januari 2017 van een nieuw e-hrm systeem met betrekking tot de personeels- en salarisadministratie. Dit betekende niet alleen een technische verandering als gevolg van een nieuw systeem, maar had ook impact op de processen zelf die binnen P&O gebruikt worden. Beide ontwikkelingen hebben een grote impact op de afdeling P&O. Zowel op de inrichting van de processen, de gehanteerde automatisering en de door de medewerkers van P&O uit te voeren werkzaamheden. De gegevensgerichte controlewerkzaamheden van het cluster AO/IC hebben zich in 2017 vooral toegespitst op een aantal specifieke onderdelen binnen het salarisproces. Daar waar noodzakelijk is het cluster AO/IC betrokken geweest bij het (her)inrichten van de processen binnen P&O. Hierbij ging het voornamelijk om het benoemen van de financiële risico s en de bestaande/noodzakelijke beheersmaatregelen die hierop betrekking hebben en aanwezig moeten zijn in genoemde processen. De uitgevoerde controlewerkzaamheden hebben niet geleid tot materiele bevindingen. Wel is, mede door de accountant, geconstateerd dat het uitvoeren van een dergelijke gegevensgerichte controle niet de meest efficiënte vorm van interne controle is. De verwachting is dat begin 2018 alle activiteiten met betrekking tot verbetering/optimalisatie binnen het salarisproces zullen zijn afgerond waarna de doorontwikkeling van een gegevensgerichte naar de meer efficiënte procesgerichte interne controle van het salarisproces gerealiseerd kan worden. Aanvullende controles naar aanleiding van de eerste interim-controle 2016 Deloitte De accountant heeft in september 2016 het eerste deel van zijn interim-controle 2016 uitgevoerd. Hierbij heeft hij voornamelijk gekeken naar de opzet van de huidige processen binnen de provincie. De resultaten van deze analyse zijn weergegeven in de managementletter Het tweede deel van deze interim-controle is uitgevoerd in januari/februari Hierbij is door Deloitte ook specifiek gekeken naar de door AO/IC uitgevoerde verbijzonderde interne controles. Deze analyse en de uitkomsten daarvan hebben een aantal aandachtspunten opgeleverd waarmee in 2017 door het cluster AO/IC, voor zover mogelijk, rekening is gehouden bij de uitvoering van (aanvullende) interne controles. Deze aandachtspunten betreffen: 7

8 a. Volledigheid opbrengsten De accountant heeft in de managementletter 2016 aangegeven dat de regelgeving met betrekking tot het achteraf toetsbaar verantwoorden van de volledigheid van de opbrengsten door een organisatie is aangescherpt. Hierdoor heeft dit onderwerp, vanuit het oogpunt van de accountant, de bijzondere aandacht bij de controle van de jaarrekening van de provincie. Maar naast de accountant is ook de organisatie zelf van mening dat de volledigheid van de opbrengsten van de provincie in voldoende mate beheerst moet worden. AO/IC heeft in 2017 tweemaal een aanvullende controle uitgevoerd op de opbrengsten van de provincie. Hierbij is hoofdzakelijk gebruik gemaakt van een cijferbeoordeling, waarbij de realisatie van het lopende boekjaar, onder andere, vergeleken is met de begroting van dit boekjaar. Daarnaast is, in overleg met de accountant, gekeken hoe moet worden omgegaan met externe informatie van derden die bepalend is voor de volledigheid van een specifieke opbrengstencategorie (bijvoorbeeld Motorrijtuigenbelasting, leges). Concrete acties hiervoor zijn al in gang gezet voor de controle van de jaarrekening 2016 en zullen, indien nodig, verder vorm worden gegeven ten behoeve van de controle van de jaarrekening b. Aanbestedingswet In 2016 zijn de wet- en regelgeving met betrekking tot de Europese aanbestedingsregels gewijzigd. Een belangrijke wijziging heeft betrekking op het afschaffen van de zogeheten categorie 2B-diensten. Het niet juist hanteren van de gewijzigde wet- en regelgeving kan leiden tot financiële onrechtmatigheden. De accountant heeft specifiek de aandacht gevraagd voor het toetsen van een juiste en volledige toepassing van de nieuwe wet- en regelgeving, vooral binnen het proces Verwerven en Aannemen. Naast de reguliere interne controle op het proces Verwerven en Aannemen heeft het cluster AO/IC in 2017, net als in voorgaande jaren, een aantal aanvullende interne controles uitgevoerd die, onder andere, moeten vaststellen of geldende weten regelgeving met betrekking tot Europese aanbestedingen juist en volledig zijn toegepast door de provincie. c. Eigendom activa Door de accountant is vastgesteld dat de provincie geen periodieke analyse uitvoert om het eigendom van materiele en financiële vaste activa vast te stellen. Hierdoor bestaat het risico dat aanwezig geachte activa niet meer bestaat en daarom afgeboekt dient te worden. In overleg met Deloitte heeft het cluster AO/IC begin 2017, het kader van de controle op de jaarrekening 2016, een risicoanalyse uitgevoerd op genoemde vaste activa en aan de hand daarvan, detailcontroles uitgevoerd om het daadwerkelijk bestaan van deze eigendommen vast te stellen. Deze controle zal met ingang van 2018 als reguliere controle worden meegenomen bij het uitvoeren van de werkzaamheden in het kader van de jaarrekeningcontrole. 2.2 Ontwikkelingen 2018 Net als in 2017 zullen ook in 2018 de in 2.1 genoemde reguliere controles worden uitgevoerd. Naast de interne controles binnen de zes genoemde hoofdprocessen zijn ook de controle van de grondadministratie en de EDP-audit in 2018 als reguliere interne controle in de planning opgenomen. Hiernaast zullen in 2018 ook een aantal aanvullende interne controles worden uitgevoerd. Dit, naar aanleiding van interne ontwikkelingen en het eerste deel van de interimcontrole 2017 dat is uitgevoerd door de accountant. Deze aanvullende controles zullen hierna kort worden toegelicht. 8

9 Aanvullende onderzoeken in het kader van interne controle op financiële rechtmatigheid EDP-audit e-hrm systeem Per 1 januari 2017 is de provincie overgegaan op een nieuw personeels- en salarissysteem. De onderliggende processen binnen de afdeling P&O zullen begin 2018 hierop zijn aangepast. Hierbij is nadrukkelijk rekening gehouden met het opnemen van afdoende beheersmaatregelen die het zich voordoen van (financiële) risico s binnen deze processen zoveel als mogelijk moeten voorkomen. Zoals aangegeven bij 2.1 zal, na afronding van de verbetering/optimalisatie van de salarisprocessen een doorontwikkeling plaatsvinden van de huidige gegevensgerichte interne controle naar een procesgerichte interne controle van het salarisproces. Hierbij zal uitgebreid gebruik gemaakt worden van deze processen en hun beschrijvingen. Tegelijkertijd zal nagegaan worden in welke mate bij de uitvoering van de interne controle gebruik gemaakt kan worden van de nieuwe e-hrm-applicatie. Hiervoor zal het cluster AO/IC in 2018 inventariseren welke geautomatiseerde beheersmaatregelen met betrekking tot financiële risico s in deze nieuwe applicatie zijn opgenomen. Daarnaast zal zij het bestaan en de werking van de beheersmaatregelen binnen deze applicatie toetsen en in beperkte mate gegevensgerichte werkzaamheden uitvoeren om de juistheid en de volledigheid van de data te testen. Aan de hand hiervan kan bepaald worden welke handmatige controlehandelingen op de salarismutaties nog verricht moeten worden. Daarnaast zal AO/IC, in overleg/samenwerking met P&O, I&A en de accountant, een EDP-audit uitvoeren op deze nieuwe applicatie. Dit, om nog meer zekerheid te krijgen over de betrouwbaarheid van de werking hiervan. Deze activiteiten zullen in de eerste helft van 2018 starten en/of worden uitgevoerd. Gevolgen vervallen verplichte consultatielijst Zoals aangegeven betekent het wegvallen van de verplichte consultatielijst dat de integraal manager binnen de provincie, samen met de behandelend ambtenaar, (nog) meer aan de voorkant zal moeten aansturen op het zichtbaar en toetsbaar juist, volledig en tijdig toepassen en naleven van relevante wet- en regelgeving, besluiten en interne richtlijnen. Hierbij zullen keuzes gemaakt moeten worden wanneer welke adviseurs moeten worden ingezet om dit te realiseren. In het geval dit niet of niet consequent gedaan wordt is het risico op onrechtmatige besluitvorming nadrukkelijk aanwezig. Het cluster AO/IC zal, net als in 2017, gedurende 2018 aanvullende controles uitvoeren om te toetsen of zowel de integraal manager als de behandelend ambtenaar ook daadwerkelijk hun verantwoordelijkheid op dit gebied nemen en onrechtmatige besluitvorming als gevolg van het afschaffen van de verplichte consultatielijst zich niet heeft voorgedaan. Aanvullende controles naar aanleiding van de eerste interim-controle 2017 Deloitte De accountant heeft in september 2017 het eerste deel van zijn interim-controle 2017 uitgevoerd. Hierbij heeft hij voornamelijk gekeken naar de opzet van de huidige processen binnen de provincie. De resultaten van deze analyse zijn weergegeven in de managementletter 2017 die door Deloitte is opgesteld. Het tweede deel van deze interim-controle zal worden uitgevoerd in januari/februari Hierbij zal door Deloitte ook specifiek gekeken worden naar de door AO/IC uitgevoerde verbijzonderde interne controles. Ondanks dat deze analyse en de uitkomsten daarvan pas begin 2018 beschikbaar zullen zijn, levert genoemde managementletter een tweetal aandachtspunten op waarmee in 2018 rekening moet worden gehouden voor wat betreft de interne controles. 9

10 a. Subsidieverstrekkingen Met betrekking tot het proces Subsidieverstrekkingen heeft Deloitte aandacht gevraagd voor de volledigheid van het inzicht in de nog niet afgewikkelde subsidies; een strengere bewaking van de afgesproken subsidietermijnen en het doen van onderzoek naar de rechtmatigheid van subsidies die zijn verstrekt zonder betrokkenheid van Bureau Subsidies. Eind 2017 zijn door de afdeling Financieel Juridische Zaken (cluster AO/IC), in samenwerking met bureau Subsidies, een aantal acties in gang gezet, waaronder de actie om de volledigheid van het huidige inzicht in de nog niet afgewikkelde subsidies verder te verbeteren en te borgen. De verwachting is dat deze activiteiten in het eerste halfjaar van 2018 zullen zijn afgerond. Daarnaast wordt ook gekeken naar vervanging van de subsidieapplicatie BPMone. Verwachting is dat het hierop betrekking hebbende aanbestedingstraject in 2018 zal zijn afgerond. De door Deloitte genoemde aandachtspunten zullen in dat proces extra aandacht krijgen. b. Prestatieontvangstmelding De account heeft opgemerkt dat de praktische uitwerking van de prestatieontvangstmelding op onderdelen voor verbetering vatbaar is. Hierbij kunnen twee aspecten met betrekking tot de prestatieontvangstmelding specifiek genoemd worden. In de eerste plaats het toets- en zichtbaar vastleggen van documenten die gebruikt worden om de levering van een prestatie te onderbouwen. In de tweede plaats de inhoudelijke kwaliteit van de prestatieontvangstmelding zelf. Bij de uitvoering van interne controles in voorgaande jaren is gebleken dat regelmatig bewijsdocumentatie met betrekking tot geleverde prestaties niet of niet voldoende beschikbaar is. Op deze wijze is het lastig en vaak inefficiënt om achteraf vast te kunnen stellen of de betaling van een factuur rechtmatig heeft plaatsgevonden. Het cluster AO/IC zal in 2018, naast de aandacht die dit onderwerp krijgt in de reguliere interne controle op het proces Verwerven en aannemen, hieraan specifiek aandacht besteden door middel van het mede verzorgen van informatiesessies waarin dit onderwerp opnieuw onder de aandacht worden gebracht van de prestatieontvangstmelders. Tegelijkertijd zal daarin ook aandacht worden gevraagd voor de kwaliteit van de prestatieontvangstmelding. Als bewijsdocumentatie voorhanden is is deze niet in alle gevallen hard genoeg om een prestatie afdoende te onderbouwen. Dit vraagt om aanvullende acties van de prestatieontvangstmelder voordat een factuur daadwerkelijk betaald kan worden. In het geval de uitkomsten van de reguliere interne controle in 2018 op dit onderwerp geen verbetering laat zien zullen aanvullende controles door het cluster AO/IC worden uitgevoerd. 10

11 3 Kaders Interne Controle 3.1 Wettelijke en provinciale kaders Er zijn binnen de provincie diverse kaders aanwezig die (kwaliteits)eisen stellen aan de interne controle. Deze kaders zijn afgestemd met de accountant en uitgewerkt in de controleprogramma s die gebruikt worden voor het uitvoeren van de interne controles. Naast de provinciale kaders, is de wet- en regelgeving in de Provinciewet (artikel 216 en 217) van belang, waarin is geregeld dat Provinciale Staten bij verordening regels vaststellen voor de controle op het financiële beheer. Deze verordeningen waarborgen dat de rechtmatigheid van het financiële beheer en van de inrichting van de financiële organisatie getoetst worden. De volgende verordeningen zijn relevant: - Verordening Financieel beleid, financieel beheer en financiële organisatie (Besluit van Provinciale Staten van 28 mei 2014) - Controleverordening provincie Zuid-Holland 12 november 2003, gewijzigd 14 oktober 2015 (Besluit van Provinciale Staten van 14 oktober 2015, nr. 6829) - Organisatieregeling provincie Zuid-Holland 2017 Daarnaast is van toepassing het Besluit Begroting en Verantwoording provincies en gemeenten (BBV), de daarbij behorende vraag- en antwoordrubriek (houdende de voorschriften voor de begrotings- en verantwoordingsdocumenten, uitvoeringsinformatie en informatie voor derden van provincies en gemeenten) en de door de commissie BBV opgestelde Kadernota Rechtmatigheid. Een volledige opsomming van externe en interne wet- en regelgeving waaraan de medewerkers van AO/IC toetsen met betrekking tot de controle op de rechtmatigheid, is vastgelegd in het zogenaamde Normenkader rechtmatigheid. Op 28 november 2017 hebben Gedeputeerde Staten de meest recente versie van het Normenkader vastgesteld. 3.2 Risicoanalyse De inrichting van de werkprogramma s van de interne controles is gebaseerd op de risicoanalyses van de betrokken processen. Per proces worden de foutenmogelijkheden (risico's) ten aanzien van financiële getrouwheid en financiële rechtmatigheid onderkend, gewaardeerd en geëvalueerd. Voor de inventarisatie van de risico s wordt gebruik gemaakt van de volgende bronnen: de al aanwezige risicoanalyses uit de huidige en nieuwe procesbeschrijvingen; de risico s die gesignaleerd worden tijdens de procesanalyse en bestaanscontrole van de processen; de geconstateerde risico s uit eerdere IC-rapportages; de door de accountant benoemde risico s. Alle risico s worden gefilterd op overlapping en beoordeeld op het aspect of risico s die deel uitmaken van andere werkprocessen direct relevant zijn voor het controleobject of niet. De risico s worden gewaardeerd conform de methode voor risico-inventarisatie die bij de provincie Zuid- Holland wordt gehanteerd. In deze methode worden de risico s geschat op basis van de impact en waarschijnlijkheid (kans). De uitkomst van de waardering bij deze methode is laag, midden 11

12 of hoog. De inventarisatie van de financiële risico s wordt per proces ondergebracht in een risicotabel. Daarna wordt nagegaan in hoeverre alle genoemde financiële risico s worden afgedekt door de beheersmaatregelen in het proces. De beheersmaatregelen die de financiële risico s met een grote impact afdekken (zogenaamde keycontrols of significant controls) vormen de basis voor de inrichting van de werkprogramma s. De controle op de werking van deze beheersmaatregelen wordt getest met spreiding over het gehele jaar. 12

13 4 Planning en verantwoording 4.1 Controleactiviteiten en planning Gezien de grote aantallen transacties, omvang van de geldstromen en/of mate van risico op het gebied van rechtmatigheid en getrouwheid, worden in 2018 gegevens-, proces- en /of systeemgerichte controles verricht op de onderstaande onderwerpen. Hoofdproces Controle Uitvoering Frequentie Verwerven en aannemen Inkopen, aanbesteden en 3x per jaar prestatieleveringen Procesteam Inkopen Verstrekken subsidies Toekennen en vaststellen 3x per jaar subsidies Procesteam Subsidies Genereren van Inkomsten Opbrengsten Procesteam Subsidies 2x per jaar Instandhouden Salarissen 2x per jaar Bedrijfskapitaal Procesteam Salarissen Betalingsverkeer 2x per jaar Procesteam Betalingsverkeer Planning en Control Begrotingsuitvoering Procesteam Begrotingsuitvoering 2x per jaar Saldoverklaringen 2x per jaar (balansrekeningen en Procesteam Jaarrekening tussenrekeningen) Jaarrekeningcontrole 1x per jaar Procesteam Jaarrekening Electronic Data Processing Geautomatiseerde omgeving 2x per jaar PZH Procesteam Automatisering Fiscaliteiten Fiscale aspecten 3x per jaar Loonbelastingen, BTW en Vennootschapsbelasting Grondadministratie Juistheid/volledigheid mutaties 2x per jaar + juistheid waardering Jaarrekeningcontrole In januari 2018 worden door het cluster AO/IC de verbijzonderde interne controles over de laatste periode in 2017 uitgevoerd en afgerond. In februari en maart 2018 besteedt het cluster AO/IC het grootste deel van haar tijd aan het toetsen van de door de organisatie opgeleverde jaarrekeningstukken (jaarrekeningproces) alvorens deze aan de accountant worden aangeboden. De controles op onder andere de SiSa-regelingen (Single information, Single audit), de kapitaallasten, de reserves en voorzieningen, het boeken van de investeringen en de te verrekenen loonkosten zijn in het niet separaat opgenomen, omdat deze onderdeel uitmaken van de interne controles met betrekking tot de jaarrekening. In de bijlage bij dit plan (Jaarplanning Interne Controle Activiteiten 2018) zijn de geplande start- en einddata en doorlooptijden van de controles zichtbaar gemaakt. 13

14 5 Tot slot De accountant heeft in zijn managementletter 2017 aangegeven dat de door AO/IC uitgevoerde verbijzonderde interne controles in januari/februari 2018, tijdens het tweede deel van de interimcontrole 2017, zullen worden beoordeeld. Pas dan zal duidelijk worden of de kwaliteit van deze controles voldoet aan de norm van de accountant. Maar naast dit oordeel van de accountant en de mogelijke kwaliteitsverbeteringen die hiermee verband houden, heeft het cluster zelf ook voor 2018 de nodige ambities op het gebied van, bijvoorbeeld, efficiëntieverbetering. Hierbij zal nadrukkelijk gekeken gaan worden naar de (on)mogelijkheden om verbijzonderde interne controles, die nu nog gegevensgericht of procesgericht worden uitgevoerd, zoveel mogelijk systeemgericht te gaan uitvoeren. Evenwijdig hieraan zal samen met de accountant na worden gegaan in hoeverre het instrument data-analyse in 2018 kan worden ingezet bij de uitvoering van de verbijzonderde interne controles binnen de provincie. Beide ambities gaan uit van het zo optimaal mogelijk benutten van de geautomatiseerde omgeving van de organisatie. Ook in 2018 zijn er ontwikkelingen binnen de provincie die direct of indirect betrekking hebben op de interne controle. De belangrijkste daarbij is wel de wijze waarop het cluster AO/IC invulling gaat geven aan de nieuwe koers van de provincie. Deze koers, waarbij het opgavegericht werken centraal staat, houdt in dat veel van de verantwoordelijkheden met betrekking tot een concrete opdracht daadwerkelijk belegd wordt bij de behandelend ambtenaar. Het afschaffen van de verplichte consultatielijst maakt ook onderdeel uit van deze visie. De behandelend ambtenaar zelf is verantwoordelijk voor de keuze van adviseurs die noodzakelijk zijn om geraadpleegd te worden bij het realiseren van zijn opdracht. Deze koerswijziging biedt nieuwe kansen en uitdagingen voor iedereen binnen de provincie, maar levert tegelijkertijd ook mogelijke risico s op. Risico s op allerlei gebieden, maar zeker ook voor wat betreft de financiële rechtmatigheid van besluiten die worden genomen binnen deze nieuwe koers. Ongeacht welke koers de provincie ook kiest, besluitvorming van de provincie zal in alle gevallen moeten voldoen aan de geldende wet- en regelgeving. Het cluster AO/IC zal daarom ook in 2018 haar controlerende en toetsende rol voor wat betreft de financiële rechtmatigheid blijven vervullen. Tegelijkertijd zal het cluster, nog meer dan in het verleden, naast genoemde toetsende rol, ook een adviserende rol gaan vervullen. Juist daar, waar behandelend ambtenaren aan de voorkant het cluster vragen om mee te denken bij het vorm geven van een opdracht, daar waar het de aspecten betreft met betrekking tot de financiële rechtmatigheid. Dit vraagt iets van de behandelend ambtenaar, maar ook zeker van het cluster AO/IC zelf. In 2018 zal de zichtbaarheid van het cluster vergroot moeten worden, waardoor behandelend ambtenaren het cluster aan het begin van een opdracht al weet te vinden, niet alleen voor het uitvoeren van controlewerkzaamheden, maar ook voor het geven van adviezen daar waar, bijvoorbeeld, oorspronkelijke keuzes binnen een opdracht niet passen binnen wettelijke kaders en gezamenlijk gezocht moet worden naar werkbare alternatieven. Naast genoemde interne ontwikkelingen is op dit moment een externe ontwikkeling te onderkennen die in de komende jaren gevolgen zal hebben voor Gedeputeerde Staten. Met ingang van het boekjaar 2019 krijgen Gedeputeerde Staten te maken met de wettelijke plicht voor het opnemen van een rechtmatigheidsverklaring van Gedeputeerde Staten over de provinciale jaarrekening. Deze rechtmatigheidsverklaring wordt nu nog door de accountant afgegeven. In 2018 zal het cluster AO/IC Gedeputeerde Staten ondersteunen bij het in kaart brengen van de consequenties van deze wetswijziging en meedenken met Gedeputeerde Staten over de wijze waarop zij hieraan, met ingang van het boekjaar 2019, concreet invulling kunnen geven. Net als in voorgaande jaren blijft AO/IC ook in 2017 zowel de interne als de externe ontwikkelingen volgen die van invloed kunnen zijn op de financiële getrouwheid en 14

15 rechtmatigheid binnen de provincie. Indien noodzakelijk/gewenst worden eventuele aanvullende onderzoeken uitgevoerd om materiele financiële risico s te kunnen onderkennen en de werking van de al dan niet aanwezige beheersmaatregelen te beoordelen en waar nodig te laten verbeteren. 15