Samenvattend auditrapport 2016 Ministerie van Algemene Zaken (iii)

Transcriptie

1

2

3 Samenvattend auditrapport 2016 Ministerie van Algemene Zaken (iii) 15 maart 2017 Kenmerk Inlichtingen Auditdienst Rijk Postbus EE Den Haag

4

5 Inhoud 1 Samenvatting 5 2 Goedkeurende controleverklaring Financiële overzichten akkoord bevonden Geen overschrijding van rapporteringstoleranties Contractovername door mobiliteitsbureaus niet opgenomen in de WNT-verantwoording 7 3 Financieel en materieelbeheer verder verbeteren door actualiseren en documenteren Bevindingen gelijk maar lager van impact Twee bevindingen uit 2015 opgelost Beheer materiële uitgaven: verbeteringen doorgevoerd, aandacht voor uitvoering Bevinding beheer Museale stukken opgelost Bevindingen in het beheer zijn licht qua impact Betalingsorganisatie: de opzet vraagt om actualisatie en uitbreiding Zicht op ICT middelen ontbreekt Wijzigingsbeheer CODA nog niet volledig gedocumenteerd Inkoopbeheer kent afhankelijkheden met derden Baseline Informatiebeveiliging Rijksdienst (BIR) in beeld bij AZ Meldplicht datalekken ingericht Vpb-plicht bij AZ niet waarschijnlijk maar nog niet helemaal duidelijk Agentschap Dienst Publiek en Communicatie (DPC) kent geen knelpunten 13 4 De totstandkoming bedrijfsvoeringsparagraaf niet helder onderbouwd 15 Bijlage Controleverklaring van de onafhankelijke accountant 17 Noten 20

6 1

7 1 Samenvatting Doel en doelgroepen In dit rapport doen wij verslag van de uitkomsten van onze wettelijke taak 1 over 2016 bij het ministerie van Algemene Zaken (AZ). Dit rapport is opgesteld voor de minister en de secretarisgeneraal en wordt tevens verstrekt aan de leden van het audit committee en de directeur Financieel-Economische Zaken van het ministerie van Algemene Zaken. Het rapport wordt verder toegezonden aan de minister van Financiën en de president van de Algemene Rekenkamer. Financiële overzichten Wij hebben een goedkeurende controleverklaring afgegeven bij het jaarverslag 2016 van het ministerie van Algemene Zaken (III). Dat houdt in dat de in dit jaarverslag opgenomen financiële overzichten een getrouw beeld geven van de uitkomsten van de begrotingsuitvoering. Financieel en materieelbeheer Wij hebben 3 bevindingen in het beheer. Dit is vergelijkbaar met vorig jaar, maar de impact van de bevindingen is lager. Het beheer kent hiermee een verbetering ten opzichte van voorgaande jaren. Bij het ministerie zijn verbeteringen mogelijk in de zichtbare uitvoering en ordelijke documentatie van een aantal processen in het financieel en materieelbeheer. Totstandkoming informatie over beleid en bedrijfsvoering De dossiervorming welke ten grondslag ligt aan de totstandkoming van de bedrijfsvoerings - paragraaf kan worden verbeterd. Het ontbreekt aan een procesbeschrijving en duidelijke afwegingen van gemaakte keuzes wat wel en wat niet op te nemen in de bedrijfsvoerings - paragraaf. Leeswijzer Dit rapport is als volgt ingedeeld: de controle van de financiële overzichten (hoofdstuk 2); het onderzoek naar het gevoerde financieel en materieelbeheer en de ten behoeve van dat beheer bijgehouden administraties (hoofdstuk 3); het onderzoek naar de totstandkoming van de informatie over het gevoerde beleid en de bedrijfsvoering (hoofdstuk 4); overige onderwerpen (hoofdstuk 5); de controleverklaring (bijlage). Openbaarmaking De ADR is de interne auditdienst van het Rijk. Onze rapporten zijn primair bestemd voor de opdrachtgevers met wie wij een opdracht zijn overeengekomen. De ministerraad heeft op 19 februari 2016 een beleidslijn vastgesteld voor het openbaar maken van rapporten van de ADR. Op grond daarvan zal de minister van Algemene Zaken dit samenvattende auditrapport op of na verantwoordingsdag, 17 mei 2017, plaatsen op de website van de Rijksoverheid ( 2 Samenvattend auditrapport 2016 Ministerie van Algemene Zaken (iii) 5

8 2

9 2 Goedkeurende controleverklaring Inleiding Als eerste onderdeel van onze wettelijke taak controleren wij of de in het jaarverslag opgenomen financiële overzichten een getrouw beeld geven van de uitkomsten van de begrotingsuitvoering en zijn opgesteld in overeenstemming met de geldende verslaggevingsvoorschriften. 3 De in 2016 gerealiseerde uitgaven bedroegen voor het ministerie van Algemene Zaken 55,7 mln. (2015: 57,0 mln), de aangegane verplichtingen 55,7 mln. (2015: 50,7 mln) en de ontvangsten 4,1 mln. (2015: 4,3 mln). De in 2016 gerealiseerde uitgaven en ontvangsten bedroegen voor het Kabinet van de Koning (KvdK) 2,4 mln (2015: 2,4 mln.). De gerealiseerde uitgaven voor de Commissie van Toezicht betreffende de Inlichtingen- en Veiligheidsdiensten (CTIVD) bedroegen 1,3 mln (2015: 1,3 mln) en de ontvangsten 0,02 mln (2015: 0,07 mln). Wij plannen en voeren onze controle zodanig uit dat wij een redelijke mate van zekerheid verkrijgen dat de financiële overzichten geen afwijkingen van materieel belang bevatten. Het materieel belang is bepalend voor de strekking van het oordeel in de controleverklaring. De materialiteit voor de verantwoordingsstaten en de saldibalans als geheel bedraagt 3% voor fouten en 3% voor onzekerheden. Wij zijn er bij onze controle van uitgegaan dat de voorgestelde wijzigingen in de slotwet de goedkeuring van de wetgever zullen krijgen. Voorts hebben wij onderzocht of de in het departementale jaarverslag opgenomen andere informatie (buiten de financiële overzichten) niet strijdig is met de in het jaarverslag opgenomen financiële overzichten en geen materiële afwijkingen bevat. Ook zijn wij nagegaan dat het jaarverslag alle voorgeschreven informatie bevat. Hieronder gaan wij in op de belangrijkste bevindingen van onze controle. 2.1 Financiële overzichten akkoord bevonden Wij hebben een goedkeurende controleverklaring afgegeven bij het jaarverslag 2016 van het ministerie van Algemene Zaken (III). Deze verklaring is opgenomen als bijlage in dit rapport. 2.2 Geen overschrijding van rapporteringstoleranties In de bedrijfsvoeringsparagraaf van het departementale jaarverslag rapporteert de minister over de comptabele rechtmatigheid van de uitkomsten van de begrotingsuitvoering over Omdat geen rapporteringstoleranties zijn overschreden is dit voor het ministerie van Algemene Zaken niet het geval. 2.3 Contractovername door mobiliteitsbureaus niet opgenomen in de WNT-verantwoording In de toelichting bij de WNT-verantwoording is uiteengezet dat volledige uitvoering van de openbaarmakingsplicht op grond van artikel 4.2 van de WNT ten aanzien van betalingen aan mobiliteitsbureaus over de verslagjaren tot en met 2016 niet mogelijk is. In de Beleidsregels WNT 2017 (Staatscourant 2016, nr ) is bepaald dat in dat geval geen toezicht op de naleving van deze openbaarmakingsverplichting zal worden uitgeoefend en evenmin hand - havend zal worden opgetreden bij niet-naleving van die verplichting. Daarom zijn de betreffende betalingen niet opgenomen in de WNT-verantwoording en zijn deze ook buiten de reikwijdte van onze controle gebleven. Samenvattend auditrapport 2016 Ministerie van Algemene Zaken (iii) 7

10 3

11

12

13 Uit onze werkzaamheden, gericht op de gesignaleerde risico s, zijn geen onterechte betalingen gebleken. Eén van de gesignaleerde risico s was de beperkte functiescheiding. Wij hebben de volgende bevindingen en aanbevelingen ten aanzien van het betalingsverkeer. De procedures voor het betalingsverkeer zijn beschreven in werkinstructies. Deze werk - instructies zijn na de overgang naar ING niet aangepast en daarmee niet meer actueel. De overall autorisatiematrix met functiescheidingen in het financiële systeem en ING betaalsoftware is niet actueel. Dit is nodig voor het kunnen beoordelen van verzoeken tot wijzigingen in de autorisaties. Twee medewerkers hebben in het ING pakket autorisaties voor het geven van de finale goedkeuring met daarnaast de beheerrol om autorisaties in het betaalpakket aan te passen. Wij vinden deze combinatie van autorisaties kwetsbaar en niet wenselijk. Wij adviseren om de beheerrol te beleggen bij medewerkers die niet in het operationele proces hun activiteiten uitvoeren, zodat een betere functiescheiding gecreëerd wordt Zicht op ICT middelen ontbreekt Met de invoering van een eigen Topdesk voor AZ is het de intentie ook de IT-middelen administratie in 2017 te verbeteren. Momenteel is sprake van administratie verspreid over diverse bronnen, zowel in Excel als in de CMDB (Configuration Management Database). Na invoering van Topdesk zal er sprake zijn van maar één bron: Topdesk. Het beheer van de ICT middelen is in 2016 tussen wal en schip gevallen. De CMDB is niet meer volledig geactualiseerd en in 2016 zijn de middelen niet geïnventariseerd. Hierdoor is het beeld van de in gebruik zijnde middelen niet meer volledig en dient voor de invoering van Topdesk een aanvullende inventarisatie plaats te vinden Wijzigingsbeheer CODA nog niet volledig gedocumenteerd Wij hebben in het kader van informatiebeveiliging van CODA de generieke procedures onderzocht. In het algemeen hebben wij weinig bevindingen. Alleen ten aanzien van het wijzigings - beheer CODA rapporteren wij over een risico dat al onderkend was door de organisatie zelf. De functioneel beheerders voeren wijzigingen door in de parameters van het financiële systeem. Dit gebeurt op verzoek van anderen. Deze incidentele verzoeken (goedkeuringen voor wijzigingen) en de doorgevoerde wijzigingen worden nu niet gedocumenteerd. Dit leidt tot het risico van ongeautoriseerde en ongewenste aanpassingen in de parameters van het financiële systeem. De organisatie onderkent dit risico en werkt aan een oplossing. Het is de bedoeling dat in de toekomst wijzigingen aan de functioneel beheerders worden gestuurd via het call tracking systeem waardoor de grondslag en goedkeuring van elke wijziging zichtbaar wordt gemaakt. Met behulp van wijzigingen ten opzichte van een baseline kunnen vervolgens mutaties in parameters inzichtelijk worden gemaakt. Zolang dit nog niet is geregeld adviseren wij tussentijds maatregelen te nemen zodat de (goedgekeurde) wijzigingen gedocumenteerd zijn. 3.4 Inkoopbeheer kent afhankelijkheden met derden Voor het controlejaar 2016 is afgesproken dat zowel de ADR als de Algemene Rekenkamer uitgaan van het afsprakenpakket over inkopen dat is vastgesteld door het SG-overleg. Zolang de Gids proportionaliteit niet is aangepast, is de grens waarboven de leveranciers selectie in het dossier moet worden gemotiveerd. 5 Voor Europese aanbestedingen geldt dat de vereenvoudigde procedure voor 2B-diensten 6 per 18 april 2016 is verdwenen, waardoor enkele voormalige 2B-diensten voortaan onder het algemene regime voor Europese aanbestedingen vallen. Voor sociale en andere specifieke diensten bestaat per 1 juli 2016 een bijzonder (verlicht) regime. 7 AZ koopt zelf in beperkte mate in. Voor inkopen boven de wordt zoveel mogelijk gebruik gemaakt van rijksbrede contracten en anders wordt voor de inkoop de inkoop - organisatie UBR/HIS (Haagse InkoopSamenwerking) ingeschakeld. Daarnaast lift AZ veelal mee met rijksbrede contracten afgesloten door andere organisatieonderdelen binnen het Rijk. De uitbesteding van inkoopprocessen neemt niet weg dat AZ uiteindelijk verantwoordelijk blijft voor eventuele rechtmatigheidsvraagstukken. Daarom is het van belang dat AZ aangesloten blijft bij het volledige inkooptraject, ook als er sprake is van uitbesteding van een deel van het proces. Samenvattend auditrapport 2016 Ministerie van Algemene Zaken (iii) 11

14 Sinds 2014 besteden wij in het kader van ons onderzoek naar het gevoerde financieel en materieelbeheer extra aandacht aan inkoop en rechtmatigheid. Wij hebben dat ook over 2016 gedaan. Wij hebben geen bijzondere risico s onderkend. 3.5 Baseline Informatiebeveiliging Rijksdienst (BIR) in beeld bij AZ Wij hebben rijksbreed onderzoek gedaan naar de implementatie van vijf thema s van de Baseline Informatiebeveiliging Rijksdienst (BIR). 8 Per ministerie zijn daarbij voor twee kritieke systemen de voor deze vijf thema s relevante maatregelen van de BIR getoetst. Dit betreft één systeem dat wij ook in 2015 hebben onderzocht en één systeem dat niet eerder is onderzocht. Daarnaast hebben wij rijksbreed bij alle ministeries onderzoek gedaan naar de sturing op informatie - beveiliging. Een managementsysteem voor informatiebeveiliging is een sluitend stelsel van processen waarmee volgens een eenduidige systematiek de informatiebeveiliging op basis van risico - beheer (departement)breed wordt geborgd. Dit managementsysteem wordt veelal ingedeeld naar de onderkende (P)lan, (D)o, (C)heck, (A)ct fasen. Voor een effectief managementsysteem is noodzakelijk dat alle fasen zijn ingericht en functioneren. Op basis van ons inventariserende onderzoek hebben wij geconstateerd dat het managementsysteem voor informatiebeveiliging is ingericht. Daarnaast zijn BIR maatregelen rond onderzochte systemen ingericht. 3.6 Meldplicht datalekken ingericht Op 1 januari 2016 is de meldplicht datalekken van toepassing geworden. De meldplicht houdt in dat organisaties die persoonsgegevens verwerken datalekken moeten melden aan de Autoriteit Persoonsgegevens en in bepaalde gevallen ook aan de betrokkene van wie persoonsgegevens zijn gelekt. Om aan deze meldplicht te voldoen is een stelsel van beheersmaatregelen noodzakelijk. Wij hebben bij alle ministeries onderzocht of hiervan sprake is. Dit geeft ons geen aanleiding tot het maken van opmerkingen. AZ start in het geval van een melding van een (potentieel) informatiebeveiligingsincident direct een onderzoek op om vast te stellen of er sprake is van een datalek. Deze werkwijze is volgens ons wenselijk om boetes door de Autoriteit Persoons - gegevens te voorkomen. 3.7 Vpb-plicht bij AZ niet waarschijnlijk maar nog niet helemaal duidelijk Per 1 januari 2016 is door modernisering van de Wet op de vennootschapsbelasting (Vpb) voor de overheid in bepaalde gevallen een Vpb-plicht ontstaan, met bijbehorende administratieen aangifteplicht. De toets of sprake is van een Vpb-plicht vindt plaats op het niveau van de activiteiten. AZ heeft de activiteiten, in het bijzonder van DPC, in beeld gebracht en gemotiveerd waarom zij van mening is dat zij niet Vpb-plichtig zijn. In 2016 heeft AZ een verzoek tot vooroverleg bij de Belastingdienst ingediend. Uit het antwoord van de belastingdienst blijkt dat het Ministerie AZ / DPC met de activiteit media-inkoop geen onderneming drijft in de zin van artikel 2, lid 2 Wet Vpb. Tevens geeft de inspecteur aan dat de vrijstelling van Vpb-plicht alleen geldt voor de media activteiten en niet voor clusterende activiteiten van AZ als geheel. Hoewel op basis van de overige omzetstromen het niet waarschijnlijk is dat er voor AZ een Vpb-plicht aanwezig is, geeft naar onze mening het antwoord van de inspecteur nog geen volledige duidelijkheid. Wij adviseren om nadere duidelijkheid over de overige activiteiten te verkrijgen. 12 Samenvattend auditrapport 2016 Ministerie van Algemene Zaken (iii)

15 3.8 Agentschap Dienst Publiek en Communicatie (DPC) kent geen knelpunten Het agentschap DPC ontvangt separaat een auditrapport en controleverklaring bij de verantwoording van het agentschap. De belangrijkste bevindingen in het auditrapport van DPC zijn: bij de interne jaarrekening van DPC is een goedkeurende controleverklaring verstrekt; DPC heeft een verlies van 0,4 mln geboekt. Het resultaat wordt verrekend met het eigen vermogen van DPC; in 2016 heeft DPC een stelselwijziging doorgevoerd voor de productgroep Media-inkoop. Het resultaat uit de productgroep Media-inkoop verloopt nu niet meer via het eigen vermogen van DPC. Eventuele financiële resultaten vanuit de productgroep Media-inkoop zullen vanaf nu worden verrekend met de opdrachtgevers. De inzichtelijkheid van de resultaat berekening is hiermee verbeterd; het contractenregister is in 2016 flink verbeterd. Contracten zijn beter terug te vinden en de motivatie van de objectieve leverancierskeuze heeft hier een plek gekregen voor inkopen boven de Samenvattend auditrapport 2016 Ministerie van Algemene Zaken (iii) 13

16 4

17 4 De totstandkoming bedrijfsvoeringsparagraaf niet helder onderbouwd Als derde onderdeel van onze wettelijke taak onderzoeken wij of geselecteerde processen gericht op de totstandkoming van informatie over het gevoerde beleid en de bedrijfsvoering voldoen aan de normen uit de comptabele wet- en regelgeving. Daartoe onderzoeken wij of deze niet-financiële verantwoordingsinformatie op een deugdelijke (dat wil zeggen ordelijke en controleerbare) wijze tot stand is gekomen. 9 De selectie van de te onderzoeken processen gericht op de totstandkoming van informatie over het gevoerde beleid en de bedrijfsvoering is afhankelijk van de omvang van de risico s die daarbij worden onderkend. Op basis daarvan hebben wij in 2016 de totstandkoming van de bedrijfsvoeringsparagrafen voor nader onderzoek geselecteerd. In het jaarverslag zijn bedrijfsvoeringsparagrafen van AZ, KvdK en de CTIVD opgenomen. Voor de beoordeling van de totstandkoming van de bedrijfsvoeringsparagrafen is het van belang dat deze onderbouwd is met voldoende onderliggende documentatie. Daarnaast is het aan te bevelen om in het onderliggende dossier een afweging op te nemen wat wel en wat uiteindelijk niet opgenomen wordt in deze paragrafen. Op beide punten is hierin verbetering mogelijk. Daarnaast adviseren wij een korte procesbeschrijving te maken zodat helder is wie verantwoordelijk is voor de opstelling en vaststelling van de bedrijfsvoeringsparagrafen en de oplevering van onderliggende documentatie. Samenvattend auditrapport 2016 Ministerie van Algemene Zaken (iii) 15

18 Bijlage

19 Bijlage Controleverklaring van de onafhankelijke accountant Aan: de minister van Algemene Zaken A Verklaring over de in het departementale jaarverslag 2016 opgenomen financiële overzichten Ons oordeel Wij hebben de financiële overzichten die deel uitmaken van het departementale jaarverslag 2016 van het ministerie van Algemene Zaken gecontroleerd. Naar ons oordeel geven deze financiële overzichten een getrouw beeld van de uitkomsten van de begrotingsuitvoering van het ministerie van Algemene Zaken over 2016 in overeenstemming met de verslaggevings - voorschriften die zijn opgenomen in de Comptabiliteitswet 2001 en de daaruit voortvloeiende regelgeving, waaronder de Regeling rijksbegrotingsvoorschriften De financiële overzichten bestaan uit: de departementale verantwoordingsstaat over 2016 met de financiële toelichtingen daarbij; de verantwoordingstaten van het Kabinet van de Koning en de Commissie van Toezicht betreffende de Inlichtingen- en Veiligheidsdiensten over 2016 met de financiële toelichtingen daarbij; de samenvattende verantwoordingsstaat over 2016 betreffende de baten-lasten - agentschappen met de toelichting daarbij; de departementale saldibalans per 31 december 2016 met de toelichting daarbij; de saldibalansen per 31 december 2016 van het Kabinet van de Koning en de Commissie van Toezicht betreffende de Inlichtingen- en Veiligheidsdiensten met de financiële toelichtingen daarbij; de in de bedrijfsvoeringsparagrafen van het ministerie van Algemene Zaken, het Kabinet van de Koning en de Commissie van Toezicht betreffende de Inlichtingen- en Veiligheidsdiensten opgenomen rapportage over de comptabele rechtmatigheid van de uitkomsten van de begrotingsuitvoering over 2016; de overzichten over 2016 met de gegevens als bedoeld in de artikelen 4.1 en 4.2 van de Wet normering bezoldiging topfunctionarissen publieke en semipublieke sector (WNT). De basis voor ons oordeel Wij hebben onze controle uitgevoerd volgens het Nederlands recht, waaronder ook de Nederlandse controlestandaarden en het Controleprotocol WNT vallen. Onze verantwoordelijkheden op grond hiervan zijn beschreven in de sectie Onze verantwoordelijkheden voor de controle van de financiële overzichten. Wij zijn onafhankelijk van het ministerie van Algemene Zaken zoals vereist in de Verordening inzake de onafhankelijkheid van accountants bij assurance-opdrachten (ViO) en andere voor de opdracht relevante onafhankelijkheidsregels in Nederland. Verder hebben wij voldaan aan de Verordening gedrags- en beroepsregels accountants (VGBA). Wij vinden dat de door ons verkregen controle-informatie voldoende en geschikt is als basis voor ons oordeel. Samenvattend auditrapport 2016 Ministerie van Algemene Zaken (iii) 17

20 B Verklaring over de in het departementale jaarverslag 2016 opgenomen andere informatie Naast de financiële overzichten omvat het departementale jaarverslag andere informatie, die bestaat uit: het deel algemeen (verzoek tot dechargeverlening en leeswijzer); de in het beleidsverslag opgenomen informatie over het gevoerde beleid en de bedrijfsvoering; de voorgeschreven bijlagen. Op grond van onderstaande werkzaamheden zijn wij van mening dat de andere informatie: niet strijdig is met de in het departementale jaarverslag opgenomen financiële overzichten en geen materiële afwijkingen bevat; alle informatie bevat die is vereist op grond van de verslaggevingsvoorschriften die zijn opgenomen in de Comptabiliteitswet 2001 en de daaruit voortvloeiende regelgeving, waaronder de Regeling rijksbegrotingsvoorschriften Wij hebben de andere informatie gelezen en hebben op basis van onze kennis en ons begrip, verkregen vanuit de controle van de financiële overzichten of anderszins, overwogen of de andere informatie materiële afwijkingen bevat. 10 Met onze werkzaamheden hebben wij voldaan aan de vereisten in artikel 66, zesde lid, onder d, van de Comptabiliteitswet 2001 en de Nederlandse Standaard 720. Deze werkzaamheden hebben niet dezelfde diepgang als onze controlewerkzaamheden bij de financiële overzichten. De minister is verantwoordelijk voor het opstellen van de andere informatie in overeen - stemming met de verslaggevingsvoorschriften die zijn opgenomen in de Comptabiliteitswet 2001 en de daaruit voortvloeiende regelgeving, waaronder de Regeling rijksbegrotings - voorschriften C Beschrijving van verantwoordelijkheden met betrekking tot de financiële overzichten Verantwoordelijkheden van de minister voor de financiële overzichten De minister is verantwoordelijk voor het opmaken van de financiële overzichten die de uitkomsten van de begrotingsuitvoering getrouw dienen weer te geven in overeenstemming met de verslaggevingsvoorschriften die zijn opgenomen in de Comptabiliteitswet 2001 en de daaruit voortvloeiende regelgeving, waaronder de Regeling rijksbegrotingsvoorschriften In dit kader is de minister verantwoordelijk voor een zodanige interne beheersing die de minister noodzakelijk acht om het opmaken van de financiële overzichten mogelijk te maken zonder afwijkingen van materieel belang als gevolg van fouten of fraude. Onze verantwoordelijkheden voor de controle van de financiële overzichten Onze verantwoordelijkheid is het zodanig plannen en uitvoeren van een controleopdracht dat wij daarmee voldoende en geschikte controle-informatie verkrijgen voor het door ons af te geven oordeel. Onze controle is uitgevoerd met een hoge mate maar geen absolute mate van zekerheid waardoor het mogelijk is dat wij tijdens onze controle niet alle materiële fouten en fraude ontdekken. Afwijkingen kunnen ontstaan als gevolg van fraude of fouten en zijn materieel indien redelijkerwijs kan worden verwacht dat deze, afzonderlijk of gezamenlijk, van invloed kunnen zijn op de beslissingen die gebruikers op basis van deze financiële overzichten nemen. De materialiteit beïnvloedt de aard, timing en omvang van onze controlewerkzaamheden en de evaluatie van het effect van onderkende afwijkingen op ons oordeel. 18 Samenvattend auditrapport 2016 Ministerie van Algemene Zaken (iii)

21 Wij hebben deze accountantscontrole professioneel kritisch uitgevoerd en hebben waar relevant professionele oordeelsvorming toegepast in overeenstemming met de Nederlandse controlestandaarden, ethische voorschriften en de onafhankelijkheidseisen. Onze controle bestond onder andere uit: het identificeren en inschatten van de risico s dat de financiële overzichten afwijkingen van materieel belang bevatten als gevolg van fouten of fraude, het in reactie op deze risico s bepalen en uitvoeren van controlewerkzaamheden en het verkrijgen van controle-informatie die voldoende en geschikt is als basis voor ons oordeel. Bij fraude is het risico dat een afwijking van materieel belang niet ontdekt wordt groter dan bij fouten. Bij fraude kan sprake zijn van samenspanning, valsheid in geschrifte, het opzettelijk nalaten transacties vast te leggen, het opzettelijk verkeerd voorstellen van zaken of het doorbreken van de interne beheersing; het verkrijgen van inzicht in de interne beheersing die relevant is voor de controle met als doel controlewerkzaamheden te selecteren die passend zijn in de omstandigheden. Deze werkzaamheden hebben niet als doel om een oordeel uit te spreken over de effectiviteit van de interne beheersing van het ministerie; 11 het evalueren van de geschiktheid van de gebruikte grondslagen voor financiële verslag - geving en het evalueren van de redelijkheid van schattingen door het ministerie en de toelichtingen die daarover bij de financiële overzichten zijn opgenomen; het evalueren van de presentatie, structuur en inhoud van de financiële overzichten en de daarbij opgenomen toelichtingen; en het evalueren of de financiële overzichten een getrouw beeld geven van de onderliggende transacties en gebeurtenissen. Wij communiceren met de leiding van het ministerie van Algemene Zaken onder andere over de geplande reikwijdte en timing van de controle en over de significante bevindingen die uit onze controle naar voren zijn gekomen, waaronder eventuele significante tekortkomingen in de interne beheersing. Den Haag, 15 maart 2017 Auditdienst Rijk auditrapport 2016 Ministerie van Algemene Zaken (iii) 19

22 Noten 1 De wettelijke taak is omschreven in artikel 66 van de Comptabiliteitswet De minister van Financiën stuurt elk halfjaar een overzicht naar de Tweede Kamer met de titels van de rapporten die de ADR heeft uitgebracht en plaatst dit overzicht op de website van de Rijksoverheid ( 3 De verslaggevingsvoorschriften zijn vastgelegd in de Comptabiliteitswet 2001 en de daaruit voortvloeiende regelgeving, waaronder de Regeling rijksbegrotingsvoorschriften Deze eisen zijn verder uitgewerkt en samengevat in de Baseline financieel en materieel beheer van het ministerie van Financiën. 5 Het overleg van secretarissen-generaal van de ministeries heeft op 16 november 2016 het afsprakenpakket over inkopen voor 2017 vastgesteld. Hiermee wordt beoogd de professionaliteit van het rijksinkoopbeleid te borgen. Dit betekent onder meer: dat het grensbedrag van voor de jaarlijkse analyse wordt verhoogd naar ; dat het grensbedrag van voor schriftelijke motivering in het dossier van de leveranciersselectie gehandhaafd blijft, totdat dit in de Gids proportionaliteit wordt verhoogd naar (streven is 1 juli 2017); dat elk ministerie op basis van een risicoprofiel een eigen beleid formuleert voor de objectieve keuze van de leverancier voor opdrachten tot ; de toereikendheid van dit beleid wordt getoetst door het ministerie voor Wonen en Rijksdienst en is vervolgens een gegeven voor de ADR en de Algemene Rekenkamer. De toetsing van de in het pakket genoemde beheersmaatregelen zal plaatsvinden nadat deze maatregelen zijn geïmplementeerd (vanaf 1 januari 2017). 6 Dit betreft diensten die geen bijdrage leveren aan de eenwording van de interne Europese markt, omdat deze diensten doorgaans door nationale dienstverleners worden uitgevoerd. Het gaat hierbij onder meer om maatschappelijke dienstverlening, gezondheidsdiensten, diensten op het gebied van cultuur, onderwijsdiensten en bepaalde juridische diensten. 7 In bijlage XIV van Richtlijn 2014/24/EU van het Europees Parlement en de Raad van de Europese Unie over het plaatsen van overheidsopdrachten (PB L 94 van 28 maart 2014, blz ) zijn alle diensten opgesomd die onder dit lichte regime vallen. 8 Dit zijn dezelfde vijf thema s die wij ook de afgelopen jaren hebben onderzocht: patchmanagement, beveiliging van externe koppelvlakken, beheer van medewerkers en toegang, PDCA-cyclus (Plan-Do-Check-Act), logging en monitoring. 9 Deze normen zijn verder uitgewerkt in de Regeling rijksbegrotingsvoorschriften Daarnaast behoort het tot onze wettelijke taak onderzoek te verrichten naar de totstand - koming van de informatie over het gevoerde beleid en de bedrijfsvoering, over de uitkomsten waarvan wij rapporteren in het samenvattende auditrapport. 11 Daarnaast behoort het tot onze wettelijke taak onderzoek te verrichten naar het gevoerde financieel en materieelbeheer en de ten behoeve van dat beheer bijgehouden administraties, over de uitkomsten waarvan wij rapporteren in het samenvattende auditrapport. 20 Samenvattend auditrapport 2016 Ministerie van Algemene Zaken (iii)

23

24