Rapport van bevindingen over de werking van het controlespoor binnen het Verscherpt Toezicht op de Belastingdienst

Rapport van bevindingen over de werking van het controlespoor binnen het Verscherpt Toezicht op de Belastingdienst

Colofon Titel Uitgebracht aan Rapport van bevindingen over de werking van het controlespoor binnen het Verscherpt Toezicht op de Belastingdienst [naam] hoofddirecteur Control en Financiën Datum 12 december 2018 Kenmerk 2018-0000219749 Inlichtingen Auditdienst Rijk 070-342 7700

Inhoud Aanleiding opdracht 4 1 Bevindingen inzake werking VT-controlespoor 5 1.1 Beschrijving VT-controlespoor 5 1.2 Bevindingen inzake volledigheid VT-controlespoor 5 1.2.1 Niet consistent vastleggen van verplichtingen bij de Belastingdienst 5 1.2.2 Verplichtingen boven 100.000 die met (meer dan) 100.000 worden verhoogd vallen buiten het VT-controlespoor 6 1.2.3 Volledigheid afhankelijk van zorgvuldigheid uitvoer handmatige acties VTcontrolespoor 6 1.2.4 Raamcontracten en NOK s niet in het VT-controlespoor 6 1.2.5 Controle op afhandeling verplichtingen gekoppeld aan andere dienstonderdelen geen onderdeel van VT-controlespoor 6 1.2.6 Controle op tijdigheid van VT-aanvragen geen onderdeel van VT-controlespoor 6 1.2.7 Controle op opknippen van VT-verplichtingen geen onderdeel van VTcontrolespoor 6 1.2.8 Beperkt aanwezige audit-trail 7 1.3 Bevindingen kritische deelwaarneming 7 1.3.1 Ten onrechte geen VT-aanvragen 7 1.3.2 Onzekerheden inzake juistheid géén VT-aanvraag 8 1.4 Overige uitkomsten onderzoek 8 1.4.1 De rapportage aan de VT-directeuren sluit aan met het Excel-bestand van DGBEL/Bedrijf 8 1.4.2 De cumulatie van verplichtingen op goedgekeurde VT-aanvragen wordt beoordeeld 8 2 Verantwoording onderzoek 9 2.1 Werkzaamheden en afbakening 9 2.2 Gehanteerde standaard 10 2.3 Verspreiding rapport 10 3 Ondertekening 11 Bijlage 1: Management response 12 Bijlage 2: Schematische weergave VT-controlespoor 16

Aanleiding opdracht Op de Belastingdienst (BD) is Verscherpt Toezicht (VT) van toepassing. Dit is in de Kamerbrief over het feitenrelaas vertrekregeling Belastingdienst d.d. 12 oktober 2016 aangekondigd. In de brief aan de Kamer is vermeld dat het VT betrekking heeft op: door de BD aan te gane verplichtingen boven een nader te bepalen ondergrens; alle interne en externe notities en brieven van de Belastingdienst met budgettaire gevolgen; door de Belastingdienst op te stellen kadernota ten behoeve van de begroting; de middelen voor de Investeringsagenda. Het VT is in het Integraal document verscherpt toezicht Belastingdienst van 8 juni 2017 nader uitgewerkt, en specifiek voor het eerste punt dat alle aan te gane verplichtingen vanaf 100.000 (inclusief BTW) door middel van een VT-aanvraag ter goedkeuring moeten worden voorgelegd aan de directies FEZ 1 en IRF 2. Pas na toestemming van FEZ en IRF is het toegestaan de verplichting daadwerkelijk aan te gaan. Om achteraf na te gaan dat alle verplichtingen vanaf 100.000 via een VTaanvraag ter goedkeuring zijn voorgelegd aan FEZ en IRF heeft de Belastingdienst het VT-controlespoor ingesteld. De ADR is gevraagd om middels een onderzoek bevindingen te verstrekken over de werking van het bovengenoemde VT-controlespoor om inzicht te krijgen in de volledigheid van de bij FEZ/IRF ingediende VT-aanvragen. Dit onderzoek behelst nadrukkelijk niet de werking van het volledige Verscherpt Toezicht. Volledigheidshalve zij vermeld dat het object van dit onderzoek de werking van het VT-controlespoor is. Dit betekent dat eventuele andere controles buiten het VTcontrolespoor en/of andere informatiestromen naar FEZ/IRF niet in dit onderzoek zijn meegenomen. Leeswijzer Zie voor een nadere toelichting op het VT-controlespoor paragraaf 1.1. Hieronder zijn de uitkomsten van het onderzoek samengevat. De detailbevindingen ten aanzien van de in de opdrachtbevestiging genoemde werkzaamheden zijn achtereenvolgens opgenomen in de andere paragrafen van hoofdstuk 1. Tenslotte is in hoofdstuk 2 de verantwoording van het onderzoek opgenomen, waaronder een toelichting op de opbouw van de kritische deelwaarneming. 1 FEZ = Hoofddirectie Financieel-Economische Zaken 2 IRF = Inspectie der Rijksfinanciën 4 van17 VT-controlespoor

1 Bevindingen inzake werking VT-controlespoor 1.1 Beschrijving VT-controlespoor In het Integraal document verscherpt toezicht Belastingdienst is het volgende uitgangspunt van het VT-controlespoor vastgelegd: Cluster Bedrijf (ook wel genoemd DGBEL/Bedrijf) toetst elk kwartaal of alle verplichtingen die onder het Verscherpt Toezicht vallen voorgelegd zijn aan FEZ en IRF en legt de resultaten vast in een notitie voor het VT-directeurenoverleg. In bovenstaand document is niet expliciet vastgelegd of de 100.000-grens geldt per dienstonderdeel of dat dit BD breed moet worden geïnterpreteerd. De huidige opzet van het proces is dat per BD-dienstonderdeel verplichtingen worden vergeleken met de 100.000-grens om te beoordelen of een VT-aanvraag nodig was, waardoor eventuele cumulaties over BD-dienstonderdelen heen niet in het VTcontrolespoor worden betrokken. Tevens is niet expliciet vastgelegd onder welke criteria bij een initiële verplichting onder de 100.000-grens en een uiteindelijke verplichting hoger dan 100.000 er alsnog een VT-aanvraag ingediend zou moeten worden. Een procedurebeschrijving van het VT-controlespoor met uit te voeren controles door DGBEL/Bedrijf en de BD-dienstonderdelen, inclusief het vastleggen van controleresultaten, heeft de ADR niet aangetroffen. Wel beschikbaar is een beschrijving van de werkzaamheden voor het maken van de query uit SAP ECC door de Unit Concerncontrol Administratie (UCA), de uitvraag van DGBEL/Bedrijf en een toelichting op het format VT-controlespoor. DGBEL/Bedrijf geeft aan dat er in 2017 drie concernbrede VT-overleggen zijn geweest tussen DGBEL/Bedrijf en bedrijfsvoeringsmedewerkers van de BD-dienstonderdelen. Hierin is gesproken over de inrichting van het VT-controlespoor en de uniformering van de werkwijze. Zie voor een schematische weergave van het VT-controlespoor, bijlage 2. 1.2 Bevindingen inzake volledigheid VT-controlespoor Door het VT-controlespoor zoals dat in 2017 heeft gewerkt zijn in totaal 1620 verplichtingen gegaan voor een totaalbedrag van 290 miljoen. Onderstaande bevindingen gebaseerd op de werkzaamheden zoals genoemd in paragraaf 2.1 veroorzaken onzekerheid over de vraag of alle verplichtingen groter dan 100.000 in het VT-controlespoor zijn betrokken en een aantal verplichtingen zijn aantoonbaar niet in het VT-controlespoor betrokken. 1.2.1 Niet consistent vastleggen van verplichtingen bij de Belastingdienst Uitgangspunt van het VT-controlespoor zijn de in SAP ECC geregistreerde verplichtingen. De registratie van verplichtingen vindt per dienstonderdeel op een andere wijze plaats 3. Dit betreft onder andere het moment van vastleggen. Ook wordt niet consistent omgegaan met het vastleggen van meerjarige verplichtingen. Conform regelgeving 4 dient de totale verplichting over de hele looptijd van het meerjarige contract (exclusief opties) te worden vastgelegd. Dit wordt niet altijd gedaan. 3 Opgemerkt zij dat de wijze van registratie van verplichtingen door de Belastingdienst in 2017 door de ADR is beoordeeld in het kader van de wettelijke controle. Zie in het bijzonder paragraaf 4.3.9 uit het Auditrapport 2017 Ministerie van Financiën en Nationale Schuld. 4 Het gaat om de comptabele regelgeving 5 van17 VT-controlespoor

1.2.2 Verplichtingen boven 100.000 die met (meer dan) 100.000 worden verhoogd vallen buiten het VT-controlespoor De opeenvolgende kwartaalbestanden worden door UCA met bestandsvergelijking tegen elkaar afgezet. Op basis van deze vergelijking, krijgen zij een JA (verplichtingen-nummer is al eerder voorgekomen) of een NEE (verplichtingennummer is nog niet eerder voorgekomen). DGBEL/Bedrijf neemt in zijn Excel-bestand alleen de verplichtingen op die de aanduiding NEE hebben. Dit betekent dat verplichtingen boven de 100.000, die op een later moment met meer dan 100.000 worden verhoogd voor wat betreft de verhoging niet in het VTcontrolespoor vallen. 1.2.3 Volledigheid afhankelijk van zorgvuldigheid uitvoer handmatige acties VTcontrolespoor Bij het aanmaken van het analysebestand vindt een aantal handmatige bewerkingen plaats, waarbij de uitkomst afhankelijk is van de zorgvuldigheid van de medewerker, onder andere bij het selecteren en de uitvoering van de draaitabellen. In het VT-controlespoor is geen activiteit voorzien die voorschrijft dat een aansluiting wordt gemaakt tussen het analysebestand van UCA en het Excel-bestand van DGBEL/Bedrijf. Bovenstaande handmatige acties betekenen dat het VT-controlespoor arbeidsintensief is en dat het risico op onvolledigheid groter is dan bij een geautomatiseerd proces. 1.2.4 Raamcontracten en NOK s niet in het VT-controlespoor Het Inkoopuitvoeringscentrum (IUC) van de BD gebruikt voor haar contractbeheer de module SRM van SAP. Hierin zijn raamcontracten 5 (ROK s) en Nadere Overeenkomsten (NOK s) opgenomen. Daarnaast wordt SAP ECC 6 gebruikt om verplichtingen (eventueel aangegaan onder een raamcontract of NOK) vast te leggen; de raamcontracten en NOK s worden niet in SAP ECC geregistreerd. Aangezien het VT-controlespoor gebaseerd is op een query van alle ingelegde verplichtingen in SAP ECC, zijn de ROK s en NOK s niet in het VT-controlespoor opgenomen op het moment van afsluiten. 1.2.5 Controle op afhandeling verplichtingen gekoppeld aan andere dienstonderdelen geen onderdeel van VT-controlespoor De ADR heeft geconstateerd dat in het Excel-bestand van DGBEL/Bedrijf verplichtingen staan, waarvoor het betreffende BD-dienstonderdeel aangeeft dat het een verplichting van een ander dienstonderdeel betreft. De ADR heeft vastgesteld dat in hetzelfde Excel-bestand deze verplichting niet bij dat andere BDdienstonderdeel voorkomt en dat in het VT-controlespoor hier niet expliciet op wordt gecontroleerd. Gevolg hiervan is dat de volledigheid van de beoordeling van de verplichtingen in het VT-controlespoor niet is gewaarborgd. 1.2.6 Controle op tijdigheid van VT-aanvragen geen onderdeel van VT-controlespoor Een toets op tijdigheid 7 maakt geen onderdeel uit van het VT-controlespoor. Het Excel-bestand van DGBEL/Bedrijf geeft geen inzicht in de tijdigheid van de indiening van de VT-aanvragen. Bij de uitvoering van de kritische deelwaarneming blijkt dat een aantal posten wel is opgenomen in het VT-controlespoor, maar de VT-aanvraag hiervoor pas is goedgekeurd ná het aangaan van de verplichting en daarmee niet tijdig. 1.2.7 Controle op opknippen van VT-verplichtingen geen onderdeel van VT-controlespoor De ADR heeft een aanvullende analyse gemaakt over 2017 door alle aangegane verplichtingen groter dan tienduizend euro te totaliseren per crediteur op BD-breed 5 Zowel met als zonder financieel belang 6 Module CO 7 Met tijdigheid wordt bedoeld dat voor het tekenen van een contract en dus het juridisch aangaan van een verplichting de VTaanvraag goedgekeurd is door FEZ en IRF. 6 van17 VT-controlespoor

niveau. Uit de vergelijking met het analysebestand komt naar voren dat de grootste verschillen zitten in personele kosten. Zo komen de afzonderlijke verplichtingen inzake inhuur externen niet terug in het VT-controlespoor omdat ze kleiner zijn dan 100.000. Voor inhuur externen geldt dat hiervoor een NOK is afgesloten. Voor de overige verschillen van de 100.000 grens per crediteur ontstaat het risico op opknippen en hiervoor is in het VT-controlespoor geen controle ingericht. 1.2.8 Beperkt aanwezige audit-trail in het VT-controlespoor De verschillende BD-dienstonderdelen analyseren de informatie over de verplichtingen uit het analysebestand en geven aan of er een VT-aanvraag is gedaan of waarom niet. Aan de onderbouwing van deze analyse zijn geen eisen gesteld en DGBEL/Bedrijf vraagt eventueel beschikbare onderbouwing niet standaard op. Daarnaast zijn de verplichtingen in het Excel-bestand van DGBEL/Bedrijf niet voorzien van een conclusie over het wel of niet correct indienen van een VTaanvraag en/of het een verplichting betreft die via de procedure Verplichting aangegaan buiten VT om is ingediend en goedgekeurd. De ADR heeft voor een aantal posten de door de BD voor het VT-controlespoor uitgevoerde analyse onderzocht. De conclusies uit het VT-controlespoor zijn niet eenvoudig te herleiden uit de door de BD uitgevoerde werkzaamheden. In een aantal gevallen ontbreekt een audit-trail, waardoor toetsing van de door de BDdienstonderdelen gegeven verklaring(en) niet mogelijk is. 1.3 Bevindingen kritische deelwaarneming Uit de door de ADR uitgevoerde kritische deelwaarneming (52 posten) van de in VTcontrolespoor betrokken verplichtingen is voor 5 verplichtingen geen VT-aanvraag gedaan en bestaat voor 3 verplichtingen onzekerheid over de vraag of terecht geen VT-aanvraag is gedaan. 1.3.1 Ten onrechte geen VT-aanvragen Voor 5 posten uit de kritische deelwaarneming zijn ten onrechte geen VT aanvragen ingediend. Dit betreft: Bij 4 posten is een verplichting in SAP ECC groter dan 100.000 vastgelegd en is er geen VT-aanvraag voorgelegd Uitgangspunt voor het VT-controlespoor en voor het ADR-onderzoek is de vastgelegde verplichting in SAP ECC. In vier gevallen is er een verplichting in SAP ECC vastgelegd voor meer dan 100.000, waarbij de realisatie op het moment van ons onderzoek minder was dan 100.000. Deze posten zouden het VTaanvraagproces wel hebben moeten doorlopen, omdat immers de in SAP geadministreerde verplichting meer was dan 100.000. Bij 1 post de kwalificatie Geen VT i.v.m. verplichting vóór 26 oktober 2016 niet terecht In de kritische deelwaarneming zitten 13 posten, die door de BD-dienstonderdelen gekwalificeerd zijn als 'Geen VT i.v.m. verplichting vóór 26 oktober 2016'. Eén post ( 187.000) heeft onterecht bovenstaande kwalificatie 8 en hiervoor is ten onrechte geen VT-aanvraag ingediend. Dit betrof een raamcontract van vóór 26 oktober 2016 zonder afnameverplichting. De onder het raamcontract aangegane individuele verplichting had ter goedkeuring aan het VT voorgelegd moeten geworden. In de eerdergenoemde rapportage aan de VT-directeuren (zie 1.5.1) staat: een onderdeel van het VT-controlespoor is een steekproef onder de verplichtingen met 8 De ADR heeft hierbij reeds ingezette inkooptrajecten van voor 26/10/2016 die pas na deze datum tot een definitief contract hebben geleid als terecht de kwalificatie Geen VT i.v.m. verplichting voor 26 oktober 2016 gerekend. 7 van17 VT-controlespoor

de kwalificatie 'Geen VT i.v.m. verplichting vóór 26 oktober 2016'. Een dergelijke steekproef is door DGBEL/Bedrijf niet uitgevoerd. 1.3.2 Onzekerheden inzake juistheid géén VT-aanvraag Er bestaat voor 3 posten onzekerheid of er terecht géén VT-aanvraag is ingediend. De verklaringen waarom een VT-aanvraag niet noodzakelijk is, is in het VTcontrolespoor niet expliciet getoetst door DGBEL/Bedrijf, terwijl deze verklaringen niet eenduidig zijn: bijvoorbeeld dubbele bestellingen, administratieve fouten of verplichting te hoog vastgelegd. De ADR heeft in het geval van deze 3 posten op basis van de geleverde informatie niet de juistheid van deze verklaringen van de BD-dienstonderdelen kunnen vaststellen. 1.4 Overige uitkomsten onderzoek 1.4.1 De rapportage aan de VT-directeuren sluit aan met het Excel-bestand van DGBEL/Bedrijf De tabellen in de rapportage aan de VT-directeuren van 23 april 2018 sluiten aan met het bijbehorende Excel-bestand van DGBEL/Bedrijf. De ADR heeft uit de kritische deelwaarneming van 52 posten drie verplichtingen gevonden die via de procedure Verplichting aangegaan buiten VT om zijn ingediend en goedgekeurd door FEZ en IRF, maar die niet expliciet zijn benoemd in de rapportage aan de VT-directeuren. 1.4.2 De cumulatie van verplichtingen op goedgekeurde VT-aanvragen wordt beoordeeld DGBEL/Bedrijf telt elk kwartaal alle verplichtingen uit SAP ECC die gekoppeld zijn aan dezelfde goedgekeurde VT-aanvraag bij elkaar op en beoordeelt of het totaalbedrag aan verplichtingen niet uitkomt boven het VT-bedrag. Een vastlegging van deze beoordeling ontbreekt. De ADR heeft over 2017 alle totaalbedragen van BD-verplichtingen die voldoen aan de VT-criteria kunnen aansluiten met de totaal bedragen behorende bij goedgekeurde VT-aanvragen. Daarnaast vullen de BD-dienstonderdelen handmatig het Excel-bestand van DGBEL/Bedrijf in (namelijk het bedrag van de VT-aanvraag en het DIGIDOCnummer). De ADR heeft vastgesteld dat de bedragen vanuit de VT-aanvraag niet altijd volledig en juist zijn opgenomen in het Excel-bestand van DGBEL/Bedrijf, waardoor de beoordeling in deze gevallen niet juist kan worden uitgevoerd. 8 van17 VT-controlespoor

2 Verantwoording onderzoek 2.1 Werkzaamheden en afbakening De werkzaamheden zijn uitgevoerd conform de beschrijving in de opdrachtbevestiging met kenmerk 2018-0000090536, waarbij de te onderzoeken periode het jaar 2017 betrof. Onderzoeksvraag 1: Het analyseren van de uitkomsten van de ADR controle 2017 met betrekking tot het verplichtingenbeheer bij de BD, voor zover relevant voor de werking van het VT-controlespoor. Indien er uitkomsten zijn die de beoogde uitvoering van het VT-controlespoor beïnvloeden, zullen deze worden gerapporteerd. Hiervoor is kennisgenomen van de bevindingen uit het ADR-dossier BD: Materiële uitgave 2017 en is gesproken met de verantwoordelijk ADR-projectleider. Onderzoeksvraag 2: Het onderzoeken van de werking van het VT-controlespoor over het jaar 2017 met betrekking tot: a. de aansluiting van de uitkomsten uit het analysebestand 2017 van de BD dat als basis dient voor het VT-controlespoor met de rapportage van DGBEL 9 /Bedrijf aan het VT-directeurenoverleg. b. de aansluiting van de in 2017 in SAP ECC vastgelegde verplichtingen met het door de BD bij het VT-spoor gehanteerde analysebestand. c. de samenvoeging van de aangegane verplichtingen kleiner dan 0,1 mln. d. de door de BD uitgevoerde analyse op de individuele aangegane verplichtingen uit het analysebestand. Hiervoor is de query op SAP ECC opnieuw gedraaid over 2017. Hierbij moet opgemerkt worden dat het nieuwe door de ADR gecreëerde analysebestand kan afwijken van de vier analysebestanden die gedurende 2017 gecreëerd zijn voor DGBEL/Bedrijf. Dit is mogelijk, omdat verplichtingen gedurende het jaar kunnen zijn gewijzigd. Ook zijn verschillende bestandsanalyses uitgevoerd en aansluitingen gemaakt. Daarnaast is een kritische deelwaarneming uitgevoerd. De kritische deelwaarneming is opgebouwd uit een select deel, waarin ieder dienstonderdeel en iedere soort verplichting zit (44 posten) en een aselect deel, namelijk een aselecte trekking met een vast interval (8 posten). Dit betekent dat geen statistische steekproef is getrokken en dat de uitkomsten van de kritische deelwaarneming niet geëxtrapoleerd mogen worden over de totale massa (1620 posten 10 ). De bevindingen uit de kritische deelwaarneming geven wel een beeld over de breedte van de volledige Belastingdienst-organisatie van de werking van het VTcontrolespoor. Tenslotte is gesproken met medewerkers van UCA en DGBEL/Bedrijf. 9 DGBEL = Directoraat-generaal Belastingdienst 10 Een post zijn de verplichtingen uit SAP ECC samengevoegd per verplichtingennummer met een waarde boven de 100.000 9 van17 VT-controlespoor

2.2 Gehanteerde standaard Deze opdracht is uitgevoerd overeenkomstig NOREA Richtlijn 4401 Opdrachten tot het verrichten van overeengekomen specifieke werkzaamheden met betrekking tot informatietechnologie. In dit rapport wordt geen zekerheid verschaft, omdat er geen assurance-opdracht is uitgevoerd. Indien aanvullende werkzaamheden zouden zijn verricht of indien er een assurance-opdracht zou zijn uitgevoerd, zouden wellicht andere onderwerpen zijn geconstateerd en gerapporteerd. 2.3 Verspreiding rapport De opdrachtgever, [naam], hoofddirecteur Control en Financiën, is eigenaar van dit rapport. De ADR is de interne auditdienst van het Rijk. Dit rapport is primair bestemd voor de opdrachtgever met wie wij deze opdracht zijn overeengekomen. In de ministerraad is besloten dat het opdrachtgevende ministerie waarvoor de ADR een rapport heeft geschreven, het rapport binnen zes weken op de website van de Rijksoverheid plaatst, tenzij daarvoor een uitzondering geldt. De minister van Financiën stuurt elk halfjaar een overzicht naar de Tweede Kamer met de titels van door de ADR uitgebrachte rapporten en plaatst dit overzicht op de website. 10 van17 VT-controlespoor

3 Ondertekening Den Haag, 12 december 2018 Auditmanager Auditdienst Rijk 11 van17 VT-controlespoor

Bijlage 1: Management response Op 13 oktober 2016 heeft de directeur-generaal Rijksbegroting Verscherpt Toezicht ingesteld op de Belastingdienst, specifiek op Artikel 1 van Hoofdstuk IX (Financiën) van de Rijksbegroting. Dit Verscherpt Toezicht is nader uitgewerkt in het Integraal Document Verscherpt Toezicht en bestaat uit vier onderdelen: 1) het aangaan van verplichtingen groter dan 100.000, 2) de interne en externe notities en brieven met budgettaire gevolgen, 3) de planning- en controlcyclus en 4) de Investeringsagenda. Aangaande het eerste onderdeel is vastgelegd dat iedere aan te gane verplichting ter goedkeuring voorgelegd dient te worden aan de Hoofddirectie Financieel-Economische Zaken (HDFEZ) en aan de Inspectie der Rijksfinanciën (IRF). Om te borgen dat zeker is dat alle door de Belastingdienst aangegane verplichtingen inderdaad eerst ter goedkeuring aan HDFEZ en IRF voorgelegd zijn is het zgn. VT-controlespoor ingericht. Het VT-controlespoor bestaat uit het naast elkaar leggen van de aangegane verplichtingen groter dan 100.000 en de administratie rond VT-aanvragen. Met de directeur IRF en de hoofddirecteur HDFEZ heb ik regulier overleg in het zgn. VT-directeurenoverleg. Gedrieën hebben wij de wens uitgesproken dat de ADR een onderzoek zou doen naar de werking van het eerdergenoemde VT-controlespoor over het jaar 2017. Hiertoe is door mij eerder dit jaar aan de ADR de opdracht verleend, en onlangs heeft u aan mij uw onderzoeksrapport met bevindingen opgeleverd. Ik heb kennisgenomen van uw bevindingen en ga daar onderstaand in de volgorde van uw rapport inhoudelijk op in. Daarbij geef ik aan welke maatregel ik genomen heb in reactie op uw bevindingen. Met het deze maatregelen bereik ik dat het VT-controlespoor toereikend is om met voldoende zekerheid vast te stellen dat in het kader van het Verscherpt Toezicht alle door de Belastingdienst aangegane verplichtingen boven de 100.000 inderdaad ter goedkeuring zijn voorgelegd aan de directies HDFEZ en IRF. Beschrijving van het VT-controlespoor In uw rapport stelt u dat u geen beschrijving van de opzet van het VT-controlespoor heeft aangetroffen. Ik herken deze bevinding in de zin dat er geen integrale beschrijving van het proces van het VT-controlespoor is wel zijn onderdelen beschreven. Door de Hoofddirectie Control & Financiën zal op korte termijn een integrale procesbeschrijving van het VT-controlespoor worden opgesteld. Daarin worden tevens de getroffen maatregelen betrokken, die ik in reactie op uw gedane bevindingen genomen heb. Na afstemming met HDFEZ en de IRF zal ik de procesbeschrijving aanbieden aan het VT-directeurenoverleg. Bij aanpassingen van het Integraal Document Verscherpt Toezicht en/of bij andere relevante besluitvorming (zoals bv. aanpassingen in organisatie- & mandaatbesluiten) zal de procesbeschrijving geactualiseerd worden. Niet consistent vastleggen verplichtingen door dienstonderdelen In het kader van de wettelijke controle heeft de ADR begin 2018 geconstateerd dat de huidige administratieve organisatie van de Belastingdienst rondom verplichtingen een aantal beperkingen kent. 11 In uw rapport stelt de ADR dat deze beperkingen de werking van het VT-controlespoor beïnvloeden. Uit de eerdere ADR-rapportage herken ik deze beperking; ook herken ik dat deze beperking van invloed is op het VT-controlespoor. Deze beperkingen zijn deels systeem-inherent. De maatregel die hierop reeds genomen is, is dat met behulp van een speciaal voor het Rijk 11 Zie Auditrapport 2017 Ministerie van Financiën en Nationale Schuld 12 van17 VT-controlespoor

ontwikkelde SAP-module (PSM) binnen de Belastingdienst gewerkt wordt aan het verbeteren van de verplichtingenadministratie. Deze SAP PSM module wordt in 2019 in gebruik genomen. Tevens zal in 2019 een concernbrede uniforme gebruikersinstructie vastgesteld en ingevoerd worden. Het is mijn verwachting dat dit het niet consistent vastleggen van verplichtingen door dienstonderdelen zal verminderen. Volledigheid van het VT-controlespoor In uw rapportage stelt u dat de volledigheid van de beoordeling van de verplichtingen in het VT-controlespoor niet altijd gewaarborgd is. U noemt daarbij drie specifieke punten: 1) verplichtingen die een ander dienstonderdeel betreffen dan het aangegeven dienstonderdeel; 2) eerder goedgekeurde verplichtingen die met meer dan 100.000 verhoogd worden; en 3) raamcontracten en nadere overeenkomsten (NOK s). Ik herken deze bevindingen, en heb daarop ten dele al maatregelen genomen: voor 1) abusievelijk verkeerd aangegeven dienstonderdelen en voor 2) verhogingen groter dan 100.000 geldt dat deze inmiddels onderdeel uitmaken van het VT-controlespoor. Wat betreft 3) geldt dat nieuw aan te gane raamcontracten en NOK s uiteraard ter goedkeuring worden voorgelegd aan HDFEZ en IRF en iedere individuele financiële verplichting aan te gaan onder een (al eerder goedgekeurd) raamcontract of NOK wordt eveneens ter goedkeuring voorgelegd aan HDFEZ en IRF. Er is derhalve sprake van een dubbel slot. De raamcontracten en NOK s worden geregistreerd in SAP SRM, de daar onder aangegane financiële verplichtingen in SAP ECC. De aldus geregistreerde financiële verplichting (groter dan 100.000) komt altijd terug in het VT-controlespoor. In aanvulling op deze bestaande borging zal ik nader laten onderzoeken of de query ten behoeve van het VT-controlespoor vervolledigd kan worden door daarin ook SAP SRM te betrekken. Controle op tijdigheid In uw rapport stelt de ADR dat binnen het VT-controlespoor geen toets op de tijdigheid is voorzien. Tijdigheid wordt daarbij gedefinieerd als dat voor het tekenen van een contract en dus het juridisch aangaan van een verplichting de VT-aanvraag goedgekeurd is door HDFEZ en IRF. Ik herken de bevinding wat betreft de werking van het VT-controlespoor; daarbij wil ik wel benadrukken dat bij het toetsen van een VT-aanvraag zelve uiteraard getoetst wordt of een contract al ondertekend is. In gevallen waarbij abusievelijk een contract al ondertekend is voor goedkeuring door HDFEZ en IRF dient de reeds langer bestaande procedure Verplichting aangegaan buiten VT om gevolgd te worden. Onderdeel van deze procedure is dat de directeur van het dienstonderdeel mij informeert over het feit dat abusievelijk een verplichting is aangegaan buiten het VT om en daarbij aangeeft welke beheersmaatregel de directeur getroffen heeft om dit in de toekomst te voorkomen. Daarnaast stelt het dienstonderdeel alsnog een VT-aanvraag op en wordt deze ter goedkeuring voorgelegd aan HDFEZ en de IRF. Aanvullend daarop zal ik een maatregel nemen om steekproefsgewijs op tijdigheid te controleren. Specifiek aangaande de bevinding over het VT-controlespoor herken ik uw bevinding dat handmatige acties een groter risico op onvolledigheid betekenen dan bij een geautomatiseerd proces. Zoals ik in eerdere contacten met de ADR heb aangegeven betrek ik in mijn risico-afweging tevens de materialiteit van het risico, de budgettaire beperkingen en de prioritering binnen het IV-portfolio en heb ik geconcludeerd dat gelet op bestaande systeem-inherente beperkingen en vanwege het tijdelijke karakter van het Verscherpt Toezicht het niet doelmatig is om het controlespoor volledig te automatiseren. Controle op opknippen als onderdeel van het VT-controlespoor In uw rapportage stelt u dat een controle op opknippen van verplichtingen geen onderdeel is van het VT-controlespoor, en u verwijst daarbij naar een door de ADR uitgevoerde nadere analyse. Op basis van die nadere analyse herken ik uw bevinding; in eerdere contacten met de ADR heb ik aangegeven dat door mij meermaals met HDFEZ en de IRF gesproken is over de systeem-inherente beperkingen van het VT-controlespoor specifiek op het punt van de inhuur van 13 van17 VT-controlespoor

externen. Hierbij dien ik ook een afweging te maken tussen de materialiteit van het risico, budgettaire beperkingen en prioritering binnen het IV-portfolio. Ik heb geconcludeerd dat bestaande budgettaire controles op de uitputting van aan de dienstonderdelen verstrekte middelen voldoende zijn. Beperkt aanwezig audittrail In uw rapport constateert u dat een beperkte audittrail aanwezig is. Ik herken uw bevinding in de zin dat gelet op het tijdelijk karakter van het Verscherpt Toezicht er geen geautomatiseerde registratie van relevante uitwisselingen van informatie gecreëerd is. Mailwisselingen tussen de Hoofddirectie C&F en de dienstonderdelen van de Belastingdienst beschouw ik als onderdeel van een audittrail; in het VTcontrolespoor is verbetering van de registratie van de audittrail mogelijk. Ik heb daarom de maatregelen genomen dat de conclusie(s) betreffende de verklaringen van dienstonderdelen inzake specifieke verplichtingen expliciet zullen worden vastgelegd in het controlebestand; daarnaast zullen deze verklaringen steekproefsgewijs worden gecontroleerd en zullen de uitkomsten van deze controles worden opgenomen in het controlebestand. Ten onrechte geen VT-aanvragen In uw rapport geeft u aan dat u binnen de kritische deelwaarneming vijf verplichtingen heeft aangetroffen die niet ter goedkeuring aan het Verscherpt Toezicht zijn voorgelegd. Ik herken uw bevindingen en zou daarbij de volgende observaties willen plaatsen. Voor vier van deze verplichtingen geldt dat de betreffende dienstonderdelen nog voor het aangaan van de verplichting de inschatting maakten dat de realisatie van de aan te gane verplichting onder de 100.000 zou blijven. Uit de ex-post realisatie blijkt ook dat deze ex-ante inschatting juist was. Feit is echter dat de in SAP ECC ingelegde verplichting groter was dan 100.000 en dat deze verplichtingen inderdaad ter goedkeuring aan het VT voorgelegd hadden moeten geworden. De vijfde verplichting betrof een individuele verplichting welke is aangegaan onder een eerder aan het VT voorgelegd en goedgekeurd raamcontract. Vanuit het eerder benoemde dubbel slot had de individuele verplichting onder dit raamcontract ook ter goedkeuring aan het VT voorgelegd moeten worden. In reactie op uw bevindingen heb ik reeds de dienstonderdelen nogmaals op de regel gewezen dat verplichtingen die worden ingelegd met een bedrag groter dan 100.000 altijd moeten worden aangemeld, ook al is er een gerede verwachting dat de uiteindelijke verplichting lager zal uitvallen; en idem dito voor aan te gane verplichtingen (groter dan 100.000) onder reeds eerder aangegane raamovereenkomsten. Volledigheidshalve hecht ik eraan te vermelden zoals u dat ook in uw rapport toelicht dat de kritische deelwaarneming geen statistische steekproef is getrokken en dat de uitkomsten van de kritische deelwaarneming niet geëxtrapoleerd mogen worden. Overigens doet het mij wel deugd dat uit de kritische deelwaarneming geen materieel grote posten gebleken zijn die niet ter goedkeuring voorgelegd zijn geweest aan de directies HDFEZ en IRF. Onzekerheden inzake juistheid In uw rapport geeft u aan dat gebleken is dat binnen het VT-controlespoor de verklaringen die dienstonderdelen geven voor het opvoeren van verplichtingen die niet zijn aangemeld niet expliciet worden getoetst. Een voorbeeld daarvan is een in SAP ECC abusievelijk geregistreerde dubbele bestelling die vervolgens gecorrigeerd wordt. Ik heb daarom de maatregel getroffen om deze controle steekproefsgewijs te doen, en deze toetsing is inmiddels onderdeel van het VT-controlespoor. De uitkomsten worden vastgelegd in het controlebestand. De rapportage aan de VT-directeuren In uw rapport geeft u aan dat de door de Hoofddirectie C&F opgestelde rapportages aan het VT-directeurenoverleg aansluiten bij de bevindingen in het VTcontrolespoor. Dat verheugt mij. Aanvullend merkt u op dat de zogenaamde verplichtingen aangegaan buiten het VT om, die alsnog ter goedkeuring zijn 14 van17 VT-controlespoor

voorgelegd aan HDFEZ en de IRF, niet volledig onderdeel uitmaken van de rapportage. Dit is al door mij aangepast, en deze maken inmiddels onderdeel uit van de rapportage aan het VT-directeurenoverleg. De cumulatie van verplichtingen In uw rapport constateert u dat door de Hoofddirectie C&F een controle wordt uitgevoerd op de cumulatie van aangegane verplichtingen, maar dat dit niet expliciet is vastgelegd. Ik herken dit en in aansluiting op de getroffen maatregelen aangaande het verbeteren van de audittrail zal dit hierin worden meegenomen. Hoofddirecteur Control en Financiën 15 van17 VT-controlespoor

Bijlage 2: Schematische weergave VTcontrolespoor 1. Dienstonderdelen leggen verplichtingen vast SAP ECC BD 2. Draaien query op verplichtingen Werkzaam -heden UCA 3. Uitkomst query + bestandsvergelijking met vorig kwartaal 4. Aanmaken Excel-bestand en opmaken rapportage Rapportage aan VTdirecteuren Werkzaamheden DG- BEL/Bedrijf 5. Check door DGBEL/Bedrijf of alle VT-aanvragen zijn gedaan Excel van DGBEL/Bedrijf 6. Check door dienstonderdelen of alle VT-aanvragen zijn gedaan Analysebestand Werkzaamheden BD dienstonderdelen 16 van17 VT-controlespoor

Auditdienst Rijk Postbus 20201 2500 EE Den Haag (070) 342 77 00