Gemeente De Bilt Management letter

Transcriptie

1 Gemeente De Bilt Management letter Boekjaar november 2017 ~AKER TILLY BERK An independent member of Baker Tilly International

2 VERTROUWELIJK Aan het College van Burgemeester en Wethouders van de gemeente De Bilt Amsterdam, 28 november 2017 Geacht College, Voor u ligt onze managementletter naar aanleiding van de uitgevoerde werkzaamheden in het kader van de controle van de jaarrekening 2017 van de gemeente De Bilt. Wij brengen u hiermee verslag uit over de bevindingen naar aanleiding van de interim-controle. Bij de interim-controle richten wij ons voornamelijk op de kwaliteit van de bedrijfsvoering en de aanwezige beheersmaatregelen rondom belangrijkè financiële processen. Wij merken op dat de bevindingen zijn gebaseerd op onze werkzaamheden uitgevoerd in september Onze bevindingen hebben betrekking op de opzet, het bestaan en de werking van de administratieve organisatie en de daarin opgenomen maatregelen van interne beheersing. De managementletter is ambtelijk afgestemd en bestuurlijk besproken. In de brief komen 3 van de 5 aandachtspunten van de audit commissie aan de orde. De andere 2 aandachtspunten zullen terugkomen in ons accountantsverslag na afloop van de controle van de jaarrekening. Volledigheidshalve maken wij u erop attent dat het niet is toegestaan deze managementletter aan derden te verspreiden zonder onze voorafgaande schriftelijke toestemming. Wij bedanken de directie en de medewerkers van de gemeente De Bilt voor de open en constructieve samenwerking bij het verrichten van onze controlewerkzaamheden en de totstandkoming van onze rapportage. Tot het verstrekken van nadere toelichting zijn wij uiteraard graag bereid. Met vriendelijke groet, drs. E.C.J. Moens RA Partner

3 Inhoudsopgave 1. Interne beheersomgeving 4 2. Bevindingen en aanbevelingen naar aanleiding van de controle 7 3. Conclusies naar aanleiding van werkzaamheden Aandachtspunten Audit Commissie Sociaal Domein VPB-plicht Overige aandachtspunten 5.1 Ensia AVG (Algemene Verordening Gegevensbescherming) E-facturatie 17 Baker Tilly Berk contactpersonen: drs. E.C.J. Moens RA Partner e.moens@bakertillyberk.nl drs. F. L.A. Bosma RA Senior Manager f. bosma@ba kertillyberk. n I Kantoorgegevens: Baker Tilly Berk N.V. Entrada 303 Postbus GC AMSTERDAM

4 1. Interne beheersomgeving Inleiding Wij zijn met ingang van het boekjaar 2014 benoemd tot controlerend accountant van de gemeente De Bilt. Wij constateerden in de afgelopen jaren dat uw gemeente veel investeert in de verbetering van de interne beheersorganisatie. Bij de inrichting van de interne beheersorganisatie hanteert de gemeente De Bilt het volgende uitgangspunt: Beheersmaatregelen laag in de organisatie beleggen en op detailniveau uitwerken wat van de medewerkers wordt verwacht. De verbijzonderde interne controle stelt periodiek gedurende het jaar vast of de uitgevoerde handelingen van de medewerkers in overeenstemming zijn met hun taken en bevoegdheden. Wij zijn van mening dat de positionering van de beheersmaatregelen in uw organisatie een goede basis kan zijn om vanaf 2019 een "in control statement" te kunnen afgeven, maar hierbij is een adequate toetsing op de werking van de interne beheersorganisatie van belang. Deze toetsing vindt plaats door de verbijzonderde interne controle (hierna VIC). De VIC heeft als doel om na te gaan of de uitvoering van de werkzaamheden conform bestaande procedures plaatsvindt. De VIC toetst de opzet, het bestaan en de werking van de interne beheersmaatregelen die zijn opgenomen in de bedrijfsprocessen. Een effectieve werking van deze maatregelen moet een betrouwbare financiële verslaggeving garanderen en tevens waarborgen dat de gemeente rechtmatig heeft gehandeld conform de vigerende wet- en regelgeving. De uitkomsten uit de VIC kunnen mogelijke tekortkomingen in de interne beheersing detecteren c.q. aanleiding zijn om de interne beheersorganisatie verder te verbeteren. Wij hebben tijdens de interimcontrole boekjaar 2017 de effectieve werking van de interne beheersorganisatie van de gemeente De Bilt vastgesteld. De beheersmaatregelen zijn laag in de organisatie belegd en de VIC heeft de effectieve werking hiervan vastgesteld. Dientengevolge zijn onze bevindingen inzake de interne beheersomgeving beperkt. In het kader van het af te geven "in control statement" achten wij het echter raadzaam om verdere verbeteringen met betrekking tot hoofdzakelijk de VIC te rapporteren. Deze aanbevelingen doen geen afbreuk aan ons oordeel over de interne beheersorganisatie maar zijn geheel gericht op een verdere verbetering van de VIC. Deze mogelijke verbeteringen zullen uw gemeente beter in staat stellen om vanaf het boekjaar 2019 de toetsing op de rechtmatigheid zelf uit te voeren en het College van Burgemeester en Wethouders door middel van de afgifte van het "in control statement" hierover verantwoording af te leggen. Voor het goed kunnen functioneren van verbijzonderde interne controle is echter van belang de interne controle in de lijn adequaat te hebben ingericht. Dit volgt ook uit het bovengenoemde uitgangspunt in De Bilt om beheersmaatregelen in de organisatie zo laag mogelijk te beleggen met daarbij een toets via verbijzonderde interne controle op de naleving van interne procedures en beheershandelingen. 4

5 Bevindingen boekjaar 2017 De gemeente De Bilt heeft in 2017 een herzien intern controleplan opgesteld. Dit plan heeft tot doel vast te stellen in hoeverre interne procedures, werkprocessen en controles binnen de processen de juistheid en volledigheid van de verantwoorde gegevens borgen. Tevens is dit plan richtinggevend voor de aard, timing en omvang van de door de VIC uit te voeren werkzaamheden. Wij hebben geconstateerd dat dit intern controleplan een goede basis vormt voor de VIC, maar memoreren in dit kader: 1. Risico's per proces kunnen scherper en concreter worden gedefinieerd. 2. De IC-maatregelen per proces/risico zijn niet concreet geformuleerd. 3. Opnemen IT general controls in scope van VIC. 4. Bevindingen van de VIC per proces worden niet uniform opgenomen in een afsluitend memo en conclusies zoals het controleplan voorschrijft. 1. Risicoanalyse De risicoanalyse is in het controleplan opgenomen onder Bijlage 1 'Onderscheiden processen en Risico-inschatting'. De risico's zijn in dit kader vertaald als een verhoogde kans dat mogelijke {financiële) onrechtmatige handelingen plaatsvinden met een verhoogd risico op onbetrouwbare financiële verslaggeving. Wij stelden vast dat de risico's niet concreet per proces worden geformuleerd. Wij bevelen de gemeente aan om de risico's per proces specifieker te definiëren. De geformuleerde risico's kunnen zowel betrekking hebben op de getrouwheid als de rechtmatigheidsaspecten. In de formulering van het risico is het wellicht raadzaam om nog te refereren aan het betreffende getrouwheid- dan wel rechtmatigheidsaspect. 2. Formulering van interne beheersmaatregelen In bijlage 2 'IC-maatregelen' van het controleplan zijn de IC-maatregelen per proces opgenomen. Wij stelden vast dat deze duidelijker geformuleerd kunnen worden en adviseren u om de maatregelen concreter te formuleren op basis van de volgende '5W's': D Wat is de interne beheersingsmaatregel; D Wie voert de interne beheersingsmaatregel uit; D Wanneer wordt de interne beheersingsmaatregel uitgevoerd; D Op basis waarvan wordt de interne beheersingsmaatregel uitgevoerd; D Waarom wordt de interne beheersingsmaatregel uitgevoerd. Een formulering van een beheersmaatregel aan de hand van het bovenstaande stramien stelt VIC-medewerkers beter in staat om: Mogelijke tekortkomingen concreter te duiden; Adviezen ter verbetering te koppelen aan de tekortkoming; Monitoring van de voortgang. 5

6 3. Opnemen IT General Controls in scope VIC In de VIC wordt sterk gesteund op functiescheidingen en autorisaties binnen de processen. Gezien de verregaande automatisering binnen gemeenten, worden deze functiescheidingen en autorisaties veelal afgedwongen door IT-systemen. In de VIC wordt echter geen aandacht besteed aan de beoordeling van de IT general en application controls van deze IT-systemen. Een effectieve werking van de IT general controls is een voorwaarde om te kunnen steunen op functiescheidingen en autorisaties binnen IT-systemen. Zonder de beoordeling van de IT General controls kan in feite geen conclusie worden getrokken of de functiescheidingen en autorisaties juist zijn gewaarborgd binnen de IT-systemen. Derhalve adviseren om tevens de beoordeling van de IT general controls op te nemen in de scope van de verbijzonderde interne controle. 4. Uitwerkingen bevindingen VIC In het interne controleplan 2017 is opgenomen dat per proces een afsluitende memo met conclusie aanwezig dient te zijn. Gedurende de interim-controle hebben we vastgesteld dat de uitwerking van deze memo's voor de gecontroleerde processen beperkt is van opzet. Wij bevelen de gemeente aan om de volgende aspecten op te nemen in de memo: D Een overzicht waarin het proces is opgenomen, IC-functionaris, betrokken personen, de periode. D Korte beschrijving van de geïdentificeerde risico's en de aanwezige beheersmaatregelen. D Een overzicht van de uit te voeren werkzaamheden. D Een korte beschrijving van hoe de steekproef is geselecteerd D Een samenvatting van de bevindingen van de uitgevoerde werkzaamheden D Conclusie Naast de documentatie van de uitkomsten in een memo adviseren wij u tevens verbeteringen ten aanzien van eerder gesignaleerde tekortkomingen te bewaken. 6

7 2. Bevindingen en aanbevelingen naar aanleiding van de controle Naar aanleiding van ons onderzoek naar de interne beheersing van de bedrijfsprocessen zijn wij van mening dat deze voldoet aan de daaraan te stellen eisen. In deze paragraaf geven wij een korte samenvatting van onze algemene indruk over de kwaliteit van de interne beheersing. Onze bevindingen zijn gericht op een verdere verbetering van de organisatie en voornamelijk opbouwend van aard. In het kader van de controle van de jaarrekening controleren wij de opzet, het bestaan en de werking van de AO/IB van de processen die resulteren in posten in de jaarrekening. Onderstaand hebben wij ons totaalbeeld van de interne beheersing van de gemeente de Bilt per proces (voor zover gecontroleerd gedurende de interim-controle) weergegeven. Wij attenderen u daarbij op het feit dat dit beeld gebaseerd is op de beoordeling van de opzet, het bestaan en de werking van de beheersmaatregelen van de processen per heden. De beoordeling kan afwijken op het moment dat wij hebben beoordeeld of de beheersmaatregelen gedurende het gehele jaar hebben gewerkt. Proces Belastingproces (2.1) Inkoopproces (2.2) Legesopbrengsten (2.3) Grondexploitatie (3.1) Subsidieverstrekkingen Verstrekking van uitkeringen Aanbeveling met hoge prioriteit., Aanbeveling met lage of gemiddelde prioriteit.,., Geen aanbeveling/ conclusie.,., Volgt bij de jaarrekening., De aanbeveling met een hoge prioriteit moeten voor het einde van het boekjaar worden opgepakt om mogelijke consequenties voor de jaarrekening te voorkomen. Opmerkingen met een lagere prioriteit behoeven niet voor het einde van het boekjaar te worden opgepakt. 7

8 Gemeente De Bilt 2. Aanbevelingen naar aanleiding van de werkzaamheden (1/3) 2.1. Belastingopbrengsten Onderwerp: Tijdigheid van belastingopbrengsten Potentieel risico: Belastingopbrengsten zijn onjuist en onvolledig 8

9 Gemeente De Bilt 2. Aanbevelingen naar aanleiding van de werkzaamheden (2/3) 2.2. Inkoop en aanbesteding Onderwerp: vastlegging bevindingen Potentieel risico: Niet naleven van de Europese aanbestedingsrichtlijnen 9

10 Gemeente De Bilt 2. Aanbevelingen naar aanleiding van de werkzaamheden (3/3) 2.3 Legesopbrengsten Onderwerp: Onjuiste tarieven omgevingsvergunningen Potentieel risico: Legesopbrengsten zijn onjuist en onvolledig 10

11 Gemeente De Bilt 3. Conclusies naar aanleiding van de werkzaamheden 3.1 Grondexploitatie Onderwerp: informatievoorziening grondexploitatie Potentieel risico: Mogelijke tekorten worden niet tijdig voorzien. 11

12 Gemeente De Bilt 4. Aandachtspunten Audit Commissie (1/3) 12

15 Gemeente De Bilt 5. Overige aandachtspunten (1/3) NSIAI Ee,n 1,d u idli,g:,e No,rmatiie k Si1n1gle l1nf,01rmation Audi 15

16 Gemeente de Bilt 5. Overige aandachtspunten '(2/3) de AVG (Algemene Verordening Gegevensbescherming). Momenteel bevindt de betreffende wetgeving zich in een "implementatiefase". Hiermee hebben zowel bedrijven als gemeenten de mogelijkheid om zich voor te bereiden op de nieuwe wetgeving en de wetgeving in hun bedrijfsproces te borgen. Vanaf 25 mei 2018 is de AVG van toepassing, is de gemeente aanspreekbaar op naleving ervan en kunnen boetes worden opgelegd. Technologische ontwikkelingen hebben gemeentes de afgelopen jaren steeds meer mogelijkheid gegeven tot het verzamelen, verwerken en analyseren van steeds meer persoonsgegevens. Burgers worden daarentegen steeds veeleisender en stellen randvoorwaarden aan de bescherming van hun persoonsgegevens. Onderwerp Verhoogde boetes Functionaris Gegevens bescherming Omschrijving Organisaties die de AVG overtreden riskeren boetes tot een maximum bedrag van of 4% van de jaaromzet. Bij grootschalige verwerking van persoonsgegevens is de gemeente verplicht een functionaris voor de gegevensbescherming aan te stellen. Alsook dient de gemeente een Data Protection Impact e, UQOt"'t:l 16

17 Gemeente de Bilt 5. Overige aandachtspunten (3/3) 17

18