December 2016 Bestuurlijk opdrachtgever Ambtelijk opdrachtnemer Uitvoering : Gedeputeerde Staten : Hoofd afdeling Financiële en Juridische Zaken : Bureau Kaderstelling en Controle (cluster AO/IC)
Inhoudsopgave 1 Inleiding... 3 1.1 Status van het Concern Interne Controleplan... 3 1.2 Doel van de interne controle... 3 1.3 Organisatie interne controle bij de provincie Zuid-Holland... 4 2 Ontwikkeling van de interne controle bij de provincie Zuid-Holland... 5 2.1 Terugblik 2016... 5 2.2 Ontwikkelingen 2017... 8 3 Kaders Interne Controle... 11 3.1 Wettelijke en provinciale kaders... 11 3.2 Risicoanalyse... 11 4 Planning en verantwoording... 13 4.1 Controleactiviteiten en planning... 13 5 Tot slot... 14 Bijlage: Jaarplanning Interne Controle activiteiten 2017 2
1 Inleiding 1.1 Status van het Concern Interne Controleplan Voor u ligt het (CIC-plan) van de provincie Zuid-Holland. Met dit plan geven Gedeputeerde Staten invulling aan artikel 10 lid 1 en 2 van de verordening Financieel beleid, financieel beheer en financiële organisatie (9 november 2011). In lid 1 is opgenomen dat Gedeputeerde Staten jaarlijks zorg dragen voor de interne controle (IC) op de getrouwheid van de informatieverstrekking en de (financiële) rechtmatigheid van de beheershandelingen. Lid 2 vermeldt dat Gedeputeerde Staten hiertoe een Concern Interne Controleplan vaststellen en ter kennisneming voorleggen aan de Statencommissie Onderzoek van de Rekening (COR). Het CIC-plan is een kaderstellende nota die de belangrijkste verbijzonderde IC-werkzaamheden voor 2017 weergeeft, inclusief een bijlage met de planning van deze werkzaamheden. Op basis van de aanbevelingen van de accountant naar aanleiding van zijn controle van de jaarrekening 2016 kan het CIC-plan door Gedeputeerde Staten worden gewijzigd. De wijzigingen worden dan ter kennisneming voorgelegd aan de Statencommissie Onderzoek van de Rekening (COR). In hoofdstuk 1 komen het doel en de organisatie van het IC-proces aan de orde. Hoofdstuk 2 geeft een terugblik op de interne controle 2016 en geeft de ontwikkelingen aan voor 2017. In hoofdstuk 3 worden de kaders geschetst voor de interne controle om vervolgens in hoofdstuk 4 de controleactiviteiten voor het controlejaar 2017 weer te geven. In bijlage 1 is de jaarplanning 2017 opgenomen. 1.2 Doel van de interne controle Het primaire doel van de verbijzonderde interne controle (VIC) is om de organisatie inzicht te verschaffen in de opzet, het bestaan en de werking van relevante beheersmaatregelen in de belangrijkste processen, zodat er tenminste een uitspraak kan worden gedaan over de aspecten getrouwheid en financiële rechtmatigheid. Met de bevindingen van de verbijzonderde interne controle worden risico s in het financiële beheer en de werking van de beheersmaatregelen hierop in kaart gebracht. Dit stelt het management in staat om op basis van die bevindingen en van de aanbevelingen daarover deze risico s te beperken en de beheersing van de bedrijfsprocessen verder te verbeteren. Daarnaast zijn de uitgevoerde verbijzonderde interne controles van belang voor de accountant. Voor de controle van de jaarrekening moet de accountant kunnen steunen op, onder andere, deze verbijzonderde interne controles. 3
1.3 Organisatie interne controle bij de provincie Zuid-Holland Het cluster Administratieve Organisatie/Interne Controle (AO/IC) maakt deel uit van het bureau Kaderstelling en Controle van de afdeling Financiële en Juridische Zaken (Directie Concernzaken) van de provincie Zuid-Holland. Voor de uitvoering van de verbijzonderde interne controles is het cluster ingedeeld op basis van de primaire en ondersteunende processen binnen de provincie. Elke AO/IC-medewerker is gekoppeld aan een aantal van deze processen. Per proces is een procesteam dat onder leiding staat van een procesteamleider. De teams verrichten de volgende IC-activiteiten: - plannen en voorbereiden van de uit te voeren controlewerkzaamheden, uitvoeren van de controle, opstellen rapportage met bevindingen en aanbevelingen naar aanleiding van de uitgevoerde interne controles in overeenstemming met het Concern Interne Controleplan, bewaken van de opvolging van de aanbevelingen n.a.v. de IC s; - kaders en werkprogramma s opstellen en evalueren ten behoeve van de IC s; - controlewerkzaamheden uitvoeren op de samengestelde dossiers voor de jaarrekening voordat deze aan de accountant worden aangeleverd; - uitvoeren van ad hoc onderzoeken op verzoek van het management en/of het bestuur. Bij de uitvoering van de interne controles zullen de onafhankelijkheid en de objectiviteit van AO/IC worden ondersteund door enerzijds de (interne) routing van de IC-rapportages (via hoofd afdeling Financiële en Juridische Zaken en Concerncontroller naar het Directieteam) en anderzijds door de mogelijkheid tot escalatie vanuit AO/IC naar de provinciesecretaris en de gedeputeerde Middelen. Verder zal zorg gedragen worden voor voldoende vaktechnische bekwaamheid en deskundigheid bij de medewerkers van het cluster AO/IC, onder andere door middel van interne en externe opleidingen. Naast genoemde IC-activiteiten verrichten de AO/IC-medewerkers ook diverse werkzaamheden met betrekking tot de eigen kaderstellende verantwoordelijkheid op het gebied van de administratieve organisatie van de provincie. 4
2 Ontwikkeling van de interne controle bij de provincie Zuid-Holland 2.1 Terugblik 2016 Nieuwe accountant Op 29 juni 2016 hebben Provinciale Staten Deloitte als de nieuwe huisaccountant van de Provincie Zuid-Holland (PZH) aangewezen. Met ingang van augustus 2016 is Deloitte gestart met het uitvoeren van haar werkzaamheden. De accountant volgt hiermee PricewaterhouseCoopers op die in de afgelopen acht jaren de controle van de jaarrekening van de PZH heeft uitgevoerd. Een andere accountant betekent ook een andere manier van kijken naar de bestaande organisatie. De eerste werkzaamheden die de accountant uitvoert bij een nieuwe klant bestaan hoofdzakelijk uit het inhoudelijk kennismaken met de belangrijkste onderdelen en processen van de organisatie. Dit is dan ook de reden dat Deloitte in de maand september 2016 gestart is met het verzamelen en analyseren van relevante informatie die weergeeft hoe de opzet van de organisatie van de PZH is geregeld, wat daarbinnen de belangrijkste processen zijn en welke beheersmaatregelen aanwezig zijn binnen deze processen om de belangrijkste financiële risico's af te dekken. In de managementletter 2016, die door Deloitte in november 2016 is opgesteld, concludeert de accountant dat uit deze eerste beoordeling van de opzet van de processen geen significante leemtes in de interne beheersing zijn geconstateerd. Een meer gedetailleerde analyse hiervan zal door Deloitte begin 2017 (januari/februari) worden uitgevoerd. Hierbij zal vooral gekeken worden naar de door het cluster AO/IC uitgevoerde verbijzonderde interne controles en de werking van de in de provinciale organisatie ingerichte controls. In het geval deze analyse van de accountant leidt tot noodzakelijke wijziging(en) van het CIC-plan 2017 zullen deze ter vaststelling worden voorgelegd aan Gedeputeerde Staten (zie ook 1.1). Reguliere interne controles In 2016 zijn, net als in voorgaande jaren, verbijzonderde interne controles uitgevoerd op die processen waarin materiële financiële beheershandelingen plaatsvinden. Deze processen zijn door Provinciale Staten bepaald aan de hand van het, jaarlijks door haar vast te stellen, Normenkader Rechtmatigheid en afgestemd met de accountant. Deze processen zijn: a. Verwerven en aannemen b. Verstrekken en vaststellen subsidies c. Instandhouden bedrijfskapitaal (onderdeel: salarissen) d. Instandhouden bedrijfskapitaal (onderdeel: betalingsverkeer) e. Genereren van inkomsten (onderdeel: opbrengsten) f. Planning en control (onderdeel: begrotingsuitvoering en jaarrekening) Voor de uitvoering van deze verbijzonderde interne controles is gekozen voor een combinatie van gegevensgerichte, procesgerichte en systeemgerichte controleactiviteiten. In 2016 kon nog niet binnen alle processen volledig gebruik gemaakt worden van geautomatiseerde beheersmaatregelen. Hierdoor was het volledig systeemgericht uitvoeren van alle interne controles nog niet mogelijk. Daarnaast zijn in 2016 binnen het proces Salarissen, als gevolg van reorganisaties, wijzigingen voorbereid in (deel)processen en personeelsbezetting. Implementatie van deze proceswijzigingen inclusief de passende interne beheersmaatregelen was nog niet (volledig) gerealiseerd waardoor de controlewerkzaamheden voor dit proces in 2016 op een gegevensgerichte wijze worden uitgevoerd. Jaarlijks zal, in overleg met de afdeling 5
Informatisering & Automatisering, nagegaan worden of het mogelijk is één of meerdere nieuwe geautomatiseerde beheersmaatregelen op korte termijn beschikbaar te hebben voor de verbijzonderde interne controle. Dit om, bij de uitvoering van genoemde interne controles, zoveel mogelijk gebruik te kunnen maken van de automatisering binnen de provincie Zuid - Holland. Om een interne controle systeemgericht te kunnen uitvoeren moet gebruik gemaakt kunnen worden van de geautomatiseerde omgeving. Het is noodzakelijk om jaarlijks vast te stellen of de geautomatiseerde omgeving voldoende betrouwbaar en integer is. Tijdens dit onderzoek (de zogeheten EDP-audit) worden de opzet, het bestaan en de werking van verschillende beheersmaatregelen met betrekking tot deze geautomatiseerde omgeving beoordeeld. Ook in 2016 heeft het cluster AO/IC een aanzienlijk deel van dit onderzoek naar de betrouwbaarheid en integriteit van de geautomatiseerde omgeving van de provincie uitgevoerd. Het andere gedeelte is uitgevoerd door de EDP-auditors van de accountant. Ten tijde van het opstellen van het was deze EDP-audit nog niet afgerond. De eerste indrukken van dit onderzoek zijn echter positief. Deze bevindingen van de EDP-audit bevestigen dat de huidige geautomatiseerde omgeving van de provincie naar alle waarschijnlijkheid zal voldoen aan de vereisten voor een systeemgerichte controleaanpak. Met ingang van 2016 is deze EDPaudit geen bijzonder onderzoek meer, maar maakt het onderdeel uit van de jaarlijks terugkerende reguliere interne controles. Aanvullende en nieuwe verbijzonderde interne controles Naast de reguliere verbijzonderde interne controles is in 2016 door AO/IC ook een aantal aanvullende en/of nieuwe verbijzonderde interne controles uitgevoerd. De stand van zaken met betrekking tot deze controles worden hierna verder toegelicht. Verbijzonderde interne controle in relatie tot Horizontaal Toezicht In het Concern Interne Controleplan 2016 is aangegeven dat de werkzaamheden van het cluster AO/IC met betrekking tot Horizontaal Toezicht zich in 2016 vooral zullen richten op het leveren van een bijdrage aan de herinrichting van processen om deze beter aan te laten sluiten op de relevante fiscale wet- en regelgeving en op het uitvoeren van verbijzonderde interne controles op het gebied van omzetbelasting en loonbelasting. In 2016 is het proces van het in kaart brengen van de fiscale risico s voor wat betreft de omzetbelasting afgerond. Daarnaast is geïnventariseerd of er binnen de relevante processen voldoende beheersmaatregelen aanwezig zijn om deze fiscale risico s af te dekken. Waar nodig zijn nieuwe/aanvullende beheersmaatregelen geïmplementeerd. Deze werkzaamheden zijn in breder verband binnen de afdeling Financiële en Juridische Zaken uitgevoerd. In de eerste helft van 2016 is door het bureau Strategische Bedrijfsvoering (afdeling FJZ) een interne controle uitgevoerd op de verwerking van de omzetbelasting in de inkoopfacturen. Het cluster AO/IC heeft de uitgevoerde werkzaamheden beoordeeld en hierop een verbijzonderde interne controle uitgevoerd. De wijze waarop deze controles moeten worden uitgevoerd is begin 2016 afgestemd met de Belastingdienst. De uitkomsten van deze controle worden eind november 2016 met de Belastingdienst besproken. Ook voor wat betreft de loonbelasting zijn in 2016 verschillende werkzaamheden uitgevoerd. De relevante risico s zijn in kaart gebracht, de aanwezige beheersmaatregelen benoemd. En in overleg met de Belastingdienst worden in 2016 verschillende inhoudelijke controles uitgevoerd. Deze activiteiten worden hoofdzakelijk uitgevoerd door de afdeling Personeel en Organisatie (P&O). Bespreking van de uitkomsten van deze werkzaamheden met de Belastingdienst is gepland voor november/december 2016. 6
Naast omzetbelasting en loonbelasting heeft de provincie ook te maken met vennootschapsbelasting. Met ingang van 2016 is nieuwe wetgeving in werking getreden waarin wordt voorzien dat overheidsbedrijven die economische activiteiten ontplooien op dezelfde wijze aan de regels met betrekking tot de vennootschapsbelasting moeten worden onderworpen als private partijen. In 2016 heeft de afdeling Financiële en Juridische Zaken het onderzoek naar de mate waarin de provincie zich bezig houdt met economische activiteiten afgerond. De resultaten van dit onderzoek wijzen uit dat dit in beperkte mate het geval is. Afstemming met de Belastingdienst van de uitkomsten van dit onderzoek heeft plaatsgevonden. De Belastingdienst kon zich vinden in de conclusies van genoemd onderzoek. Mede op basis hiervan zal het cluster AO/IC eind 2016/begin 2017, in overleg met de accountant, controleactiviteiten verrichten om vast te stellen dat ook op het gebied van de vennootschapsbelasting de provincie de fiscale weten regelgeving juist en volledig toepast. Verbijzonderde interne controle: grondadministratie In 2015 is door de afdeling Ontwikkeling en Grondzaken een werkinstructie opgesteld die moet voorzien in een juiste, tijdige, volledige en rechtmatige verwerking van de grondmutaties. Deze instructie is met ingang van 2016 in gebruik genomen. In overleg met de accountant is besloten om de grondmutaties van 2016 integraal te controleren op de aspecten tijdigheid, juistheid, volledigheid en rechtmatigheid. Dit, vanwege het feit dat de omvang van het aantal mutaties beperkt is en het totaalbedrag dat betrekking heeft op deze mutaties materieel is. In afstemming met de accountant zal worden bekeken in hoeverre in 2017 de mutaties in de grondadministratie op een procesgerichte wijze kunnen worden uitgevoerd. Met ingang van het Concern Interne Controleplan 2017 wordt de verbijzonderde controle op de grondadministratie weergegeven als een reguliere interne controle. Lonen en salarissen Door diverse wijzigingen binnen de afdeling P&O, zowel in de structuur van de afdeling, in de managementaansturing, als in de processen die zich binnen de afdeling afspelen, waren de processen die binnen deze afdeling in gebruik waren, ook in 2016 niet of niet meer volledig in overeenstemming met de werkelijkheid. Hierdoor was het uitvoeren van een procesgerichte verbijzonderde interne controle op het proces Salarissen over het boekjaar 2016 niet mogelijk. Het cluster AO/IC heeft daarom besloten ook in het boekjaar 2016 deze interne controle opnieuw op een gegevensgerichte wijze uit te voeren. Deze controle-richting is ook afgestemd met Deloitte. In 2016 is door P&O veel aandacht besteed aan het verbeteren van genoemde processen. Zo is een projectleider ingezet om alle relevante processen te verbeteren en te optimaliseren. Verder zijn verschillende maatregelen genomen om de juistheid, volledigheid en de rechtmatigheid van de salarismutaties te waarborgen. Deze procesoptimalisatie wordt begin 2017 afgerond waarmee alle processen geactualiseerd en geïmplementeerd zullen zijn. Door middel van verschillende overleggen wordt het AO/IC betrokken bij de hiervoor genoemde ontwikkelingen. Wijzigingen in de processen zullen worden afgestemd met AO/IC en de verschillende controlewerkzaamheden die door P&O (lees: Interne Controle P&O) zelf worden uitgevoerd, worden, voor wat betreft de uitvoering en de uitkomsten, afgestemd met AO/IC. Gelet op deze ontwikkelingen is het de verwachting dat met ingang van het boekjaar 2017 de verbijzonderde interne controle op het proces Salarissen weer op een procesgerichte wijze kan worden uitgevoerd. Op 1 januari 2017 gaat de organisatie over op een nieuw personeels- en salarissysteem. Op basis van een uitgewerkt plan wordt gecontroleerd gewerkt aan de implementatie van en de 7
transitie naar deze nieuwe HRM-applicatie. De onderliggende processen binnen P&O worden hierop aangepast, waarbij nadrukkelijk rekening wordt gehouden met het opnemen van beheersmaatregelen in deze processen die noodzakelijk zijn om (financiële) risico s te voorkomen. AO/IC is in beperkte mate betrokken bij deze transitie. Zo zal AO/IC het bestaan en de werking van de beheersmaatregelen binnen de applicatie toetsen en in beperkte mate gegevensgerichte werkzaamheden uitvoeren om de juistheid en de volledigheid van de data te testen. Ook zal geïnventariseerd worden welke geautomatiseerde beheersmaatregelen met betrekking tot financiële risico s in dit nieuwe systeem zijn opgenomen. Aan de hand hiervan kan bepaald worden welke handmatige controlehandelingen op de salarismutaties met ingang van 1 januari 2017 nog verricht moeten worden door de medewerkers van P&O. Daarnaast zal AO/IC, in overleg met P&O, I&A en de accountant, nagaan in hoeverre het uitvoeren van een EDP-audit op dit nieuwe systeem noodzakelijk is. Dit, om nog meer zekerheid te verkrijgen over de betrouwbaarheid van dit systeem. Beide activiteiten zullen eind 2016/begin 2017 worden uitgevoerd. 2.2 Ontwikkelingen 2017 Net als in 2016 zullen ook in 2017 de in 2.1 genoemde reguliere controles worden uitgevoerd. Naast de interne controles binnen de zes genoemde hoofdprocessen zijn ook de controle van de grondadministratie en de EDP-audit in 2017 als reguliere interne controle in de planning opgenomen. Naast deze reguliere interne controles zullen in 2017 ook een aantal aanvullende en/of nieuwe interne controles worden uitgevoerd. Dit, naar aanleiding van interne ontwikkelingen en het eerste deel van de interim-controle 2016 dat is uitgevoerd door de accountant. Deze aanvullende/nieuwe controles zullen hierna kort worden toegelicht. Aanvullende en nieuwe verbijzonderde interne controles Verbijzonderde interne controle in relatie tot fiscaliteiten Naar verwachting zullen eind 2016 vrijwel alle relevante werkzaamheden zijn afgewikkeld die zorg moeten dragen voor een deugdelijke basis voor het Horizontaal Toezicht van de Belastingdienst op de provincie Zuid-Holland. Dit betekent dat relevante processen zijn geïnventariseerd, de (materiele) fiscale risico s zijn benoemd, de aanwezigheid van de hierbij behorende beheersmaatregelen is vastgesteld en de ontbrekende beheersmaatregelen zijn geïmplementeerd. Daarnaast is doormiddel van het uitvoeren van een interne controle vastgesteld of de provincie fiscaal gezien in voldoende mate in control is. Dit geldt zowel voor de omzetbelasting, de loonbelasting en de vennootschapsbelasting. Tussentijdse afstemming hierover met de Belastingdienst heeft in 2016 regelmatig plaatsgevonden. Het is de verwachting dat de Belastingdienst eind 2016 een positief oordeel geeft over de uitgevoerde werkzaamheden en dat de controle van de PZH door de Belastingdienst, met ingang van 2017, volgens het zogeheten verlichte regime zal gaan plaatsvinden. Een van de voordelen van een verlicht regime ten opzichte van een zwaarder regime is dat er minder detailcontroles hoeven te worden uitgevoerd. Nadat in 2016 door de Belastingdienst is vastgesteld dat de kwaliteit van de interne beheersing, voor wat de fiscale risico s betreft, voldoet, is het van belang dit met ingang van 2017 te consolideren. In de eerste plaats, omdat de organisatie zelf het belang onderkent om structureel fiscaal in-control te blijven. Daarnaast zal de Belastingdienst jaarlijks toetsen of de kwaliteit van deze interne beheersing nog steeds voldoet aan hun normen en of zodoende het verlichte regime gehandhaafd kan blijven. Om consolidatie van deze kwaliteit van het interne beheersing te monitoren wordt door het cluster AO/IC in 2017 een drietal verbijzonderde interne controles 8
uitgevoerd op de drie genoemde belastingcategorieën. Voor zover mogelijk zullen deze controles op een procesgerichte wijze worden uitgevoerd, waarbij zal worden gekeken naar opzet, bestaan en werking van de belangrijkste fiscale beheersmaatregelen binnen de verschillende processen. In het geval een procesgerichte controle niet mogelijk is zullen gegevensgerichte werkzaamheden worden uitgevoerd. Bij het uitvoeren van de werkzaamheden zal zoveel als mogelijk gebruik gemaakt worden van de reeds uitgevoerde interne controle werkzaamheden binnen de andere processen. Verbijzonderde interne controle lonen en salarissen Het uitvoeren van een verbijzonderde interne controle op de lonen en salarissen is niet nieuw en wordt jaarlijks meegenomen met de reguliere interne controles. Echter, de veranderingen in 2017 binnen de afdeling P&O en de bijbehorende processen en de impact daarvan op de door het cluster AO/IC uit te voeren interne controlewerkzaamheden zijn zodanig, dat een specifieke toelichting daarop in dit Concern Interne Controleplan op zijn plaats is. Zoals in 2.1 is aangegeven wordt door de afdeling P&O in 2016 hard gewerkt aan het verbeteren en optimaliseren van bestaande processen met betrekking tot lonen en salarissen. De verwachting is dat deze werkzaamheden begin 2017 zullen zijn afgerond. Daarnaast wordt met ingang van 1 januari 2017 gebruik gemaakt van een nieuw systeem met betrekking tot de personeels- en salarisadministratie. Dit betekent niet alleen een technische verandering als gevolg van een nieuw systeem, maar heeft ook impact op de processen zelf die binnen P&O gebruikt worden. Beide ontwikkelingen hebben een grote impact op de afdeling P&O. Zowel op de inrichting van de processen, de gehanteerde automatisering en de door de medewerkers van P&O uit te voeren werkzaamheden. De controlewerkzaamheden van het cluster AO/IC zal zich in 2017 toespitsen op een aantal specifieke onderdelen binnen het salarisproces. Daar waar noodzakelijk zal AO/IC betrokken worden bij het (her)inrichten van de processen binnen P&O. Hierbij zal het voornamelijk gaan om het benoemen van de financiële risico s en de bestaande/noodzakelijke beheersmaatregelen die hierop betrekking hebben en aanwezig moeten zijn in genoemde processen. Daarnaast zal AO/IC een onderzoek doen naar de betrouwbaarheid van het nieuwe systeem, rekening houdend met de testen die al zijn uitgevoerd door zowel interne medewerkers als externe partijen. Tenslotte zal AO/IC, in samenwerking met de afdeling P&O en gebaseerd op de vernieuwde processen en systemen binnen deze afdeling, de verbijzonderde interne controle van 2017 op de lonen en salarissen op een procesgerichte wijze gaan uitvoeren. Deze controle zal tweemaal per jaar plaatsvinden. Hierbij zullen de opzet, het bestaan en de werking van de (belangrijkste) beheersmaatregelen met betrekking tot de financiële risico s binnen het salarisproces aan de orde komen. Dit betekent dat in 2017 op het gebied van de interne controle binnen P&O een doorontwikkeling zal moeten plaatsvinden van een gegevensgerichte naar een procesgerichte controleaanpak. Deze werkzaamheden zullen in overleg met de medewerkers van de afdeling P&O worden uitgevoerd. Daarnaast zal de accountant worden betrokken bij dit proces, gelet op het belang van dit onderwerp voor de jaarrekening van de provincie. Aanvullende controles naar aanleiding van de eerste interim-controle 2016 Deloitte De accountant heeft in september 2016 het eerste deel van zijn interim-controle 2016 uitgevoerd. Hierbij heeft hij voornamelijk gekeken naar de opzet van de huidige processen binnen de provincie. De resultaten van deze analyse zijn weergegeven in de managementletter 2016 die door Deloitte is opgesteld. Het tweede deel van deze interim-controle zal worden uitgevoerd in januari/februari 2017. Hierbij zal door Deloitte ook specifiek gekeken worden naar de door AO/IC uitgevoerde verbijzonderde interne controles. Ondanks dat deze analyse en de uitkomsten 9
daarvan pas begin 2017 beschikbaar zullen zijn, levert genoemde managementletter een aantal aandachtspunten op waarmee in 2017 rekening moet worden gehouden voor wat betreft aanvullende interne controles. a. Volledigheid opbrengsten De accountant geeft in de managementletter 2016 aan dat de regelgeving met betrekking tot het achteraf toetsbaar verantwoorden van de volledigheid van de opbrengsten door een organisatie is aangescherpt. Dit betekent dat dit onderwerp, vanuit het oogpunt van de accountant, meer aandacht zal krijgen bij de controle van de jaarrekening van de provincie. Maar naast de accountant is ook de organisatie zelf van mening dat de volledigheid van de opbrengsten van de provincie in voldoende mate beheerst moet worden. AO/IC zal in 2017, in overleg met de accountant, tweemaal een aanvullende controle uitvoeren op de opbrengsten van de provincie. Hierbij zal zoveel als mogelijk rekening worden gehouden met die (interne) controles die op dat gebied al plaatsvinden binnen de provinciale organisatie. b. Aanbestedingswet In 2016 zijn de wet- en regelgeving met betrekking tot de Europese aanbestedingsregels gewijzigd. Een belangrijke wijziging heeft betrekking op het afschaffen van de zogeheten categorie 2B-diensten. Het niet juist hanteren van de gewijzigde wet- en regelgeving kan leiden tot financiële onrechtmatigheden. De accountant vraag specifiek de aandacht voor het toetsen van een juiste en volledige toepassing van de nieuwe wet- en regelgeving, vooral binnen het proces Verwerven en Aannemen. Net als in 2016 zal AO/IC in 2017,naast de reguliere interne controle op het proces Verwerven en Aannemen, een aantal aanvullende interne controles uitvoeren die, onder andere, moeten vast stellen of geldende wet- en regelgeving met betrekking tot Europese aanbestedingen juist en volledig zijn toegepast door de provincie. De wijze waarop deze controles zullen worden uitgevoerd zal vooraf worden afgestemd met de accountant. c. Eigendom activa Door de accountant is vastgesteld dat de provincie geen periodieke analyse uitvoert om het eigendom van materiele en financiële vaste activa vast te stellen. Hierdoor bestaat het risico dat aanwezig geachte activa niet meer bestaat en daarom afgeboekt dient te worden. In overleg met Deloitte zal AO/IC in 2017 een risicoanalyse uitvoeren op genoemde vaste activa en aan de hand daarvan, detailcontroles uitvoeren om zodoende het daadwerkelijk bestaan van deze eigendommen vast te stellen. 10
3 Kaders Interne Controle 3.1 Wettelijke en provinciale kaders Er zijn binnen de provincie diverse kaders aanwezig die (kwaliteits)eisen stellen aan de interne controle. Deze kaders zijn afgestemd met de accountant en uitgewerkt in de controleprogramma s die gebruikt worden voor het uitvoeren van de interne controles. Naast de provinciale kaders, is de wet- en regelgeving in de Provinciewet (artikel 216 en 217) van belang, waarin is geregeld dat Provinciale Staten bij verordening regels vaststellen voor de controle op het financiële beheer. Deze verordeningen waarborgen dat de rechtmatigheid van het financiële beheer en van de inrichting van de financiële organisatie getoetst worden. De volgende verordeningen zijn relevant: - Verordening Financieel beleid, financieel beheer en financiële organisatie (Besluit van Provinciale Staten van 9 november 2011) - Controleverordening provincie Zuid-Holland 12 november 2003, gewijzigd 14 oktober 2015 (Besluit van Provinciale Staten van 14 oktober 2015, nr. 6829) - Organisatieregeling provincie Zuid-Holland 2011 Daarnaast is van toepassing het Besluit Begroting en Verantwoording provincies en gemeenten (BBV), de daarbij behorende vraag- en antwoordrubriek (houdende de voorschriften voor de begrotings- en verantwoordingsdocumenten, uitvoeringsinformatie en informatie voor derden van provincies en gemeenten) en de door de commissie BBV opgestelde Kadernota Rechtmatigheid. Een volledige opsomming van externe en interne wet- en regelgeving waaraan de medewerkers van AO/IC toetsen met betrekking tot de controle op de rechtmatigheid, is vastgelegd in het zogenaamde Normenkader rechtmatigheid. Op 22 november 2016 hebben Gedeputeerde Staten de meest recente versie van het Normenkader vastgesteld. 3.2 Risicoanalyse De inrichting van de werkprogramma s van de interne controles is gebaseerd op de risicoanalyses van de betrokken processen. Per proces worden de foutenmogelijkheden (risico's) ten aanzien van financiële getrouwheid en financiële rechtmatigheid onderkend, gewaardeerd en geëvalueerd. Voor de inventarisatie van de risico s wordt gebruik gemaakt van de volgende bronnen: de al aanwezige risicoanalyses uit de huidige en nieuwe procesbeschrijvingen; de risico s die gesignaleerd worden tijdens de procesanalyse en bestaanscontrole van de processen; de geconstateerde risico s uit eerdere IC-rapportages; de door de accountant benoemde risico s. Alle risico s worden gefilterd op overlapping en beoordeeld op het aspect of risico s die deel uitmaken van andere werkprocessen direct relevant zijn voor het controleobject of niet. De risico s worden gewaardeerd conform de methode voor risico-inventarisatie die bij de provincie Zuid- Holland wordt gehanteerd. In deze methode worden de risico s geschat op basis van de impact en waarschijnlijkheid (kans). De uitkomst van de waardering bij deze methode is laag, midden of hoog. De inventarisatie van de financiële risico s wordt per proces ondergebracht in een risicotabel. Daarna wordt nagegaan in hoeverre alle genoemde financiële risico s worden 11
afgedekt door de beheersmaatregelen in het proces. De beheersmaatregelen die de financiële risico s met een grote impact afdekken (zogenaamde keycontrols of significant controls) vormen de basis voor de inrichting van de werkprogramma s. De controle op de werking van deze beheersmaatregelen wordt getest met spreiding over het gehele jaar. 12
4 Planning en verantwoording 4.1 Controleactiviteiten en planning Gezien de grote aantallen transacties, omvang van de geldstromen en/of mate van risico op het gebied van rechtmatigheid en getrouwheid, worden in 2017 gegevens-, proces- en /of systeemgerichte controles verricht op de onderstaande onderwerpen. Hoofdproces Controle Uitvoering Frequentie Verwerven en aannemen Inkopen, aanbesteden en 3x per jaar prestatieleveringen Procesteam Inkopen Verstrekken subsidies Toekennen en vaststellen 3x per jaar subsidies Procesteam Subsidies Genereren van Inkomsten Opbrengsten Procesteam Subsidies 2x per jaar Instandhouden Salarissen 2x per jaar Bedrijfskapitaal Procesteam Salarissen Betalingsverkeer 2x per jaar Procesteam Betalingsverkeer Planning en Control Begrotingsuitvoering Procesteam Begrotingsuitvoering 2x per jaar Saldoverklaringen 2x per jaar (balansrekeningen en Procesteam Jaarrekening tussenrekeningen) Jaarrekeningcontrole 1x per jaar Procesteam Jaarrekening Electronic Data Processing Geautomatiseerde omgeving 2x per jaar PZH Procesteam Automatisering Fiscaliteiten Fiscale aspecten 3x per jaar Loonbelastingen, BTW en Vennootschapsbelasting Grondadministratie Juistheid/volledigheid mutaties 2x per jaar + juistheid waardering Jaarrekeningcontrole In januari 2017 worden door het cluster AO/IC de verbijzonderde interne controles over de laatste periode in 2016 uitgevoerd en afgerond. In februari en maart 2017 besteedt het cluster AO/IC het grootste deel van haar tijd aan het toetsen van de door de organisatie opgeleverde jaarrekeningstukken (jaarrekeningproces) alvorens deze aan de accountant worden aangeboden. De controles op onder andere de SiSa-regelingen (Single information, Single audit), de kapitaallasten, de reserves en voorzieningen, het boeken van de investeringen en de te verrekenen loonkosten zijn in het niet separaat opgenomen, omdat deze onderdeel uitmaken van de interne controles met betrekking tot de jaarrekening. In de bijlage bij dit plan (Jaarplanning Interne Controle Activiteiten 2017) zijn de geplande start- en einddata en doorlooptijden van de controles zichtbaar gemaakt. 13
5 Tot slot De accountant heeft in zijn managementletter 2016 aangegeven dat de door AO/IC uitgevoerde verbijzonderde interne controles in januari/februari 2017, tijdens het tweede deel van de interimcontrole 2016, zullen worden beoordeeld. Pas dan zal duidelijk worden of de kwaliteit van deze controles voldoet aan de norm van de accountant. Maar naast dit oordeel van de accountant en de mogelijke kwaliteitsverbeteringen die hiermee verband houden, heeft het cluster zelf ook voor 2017 nog de nodige ambities op het gebied van, bijvoorbeeld, efficiëntieverbetering. Hierbij zal nadrukkelijk gekeken gaan worden naar de (on)mogelijkheden om verbijzonderde interne controles, die nu nog gegevensgericht of procesgericht worden uitgevoerd, zoveel mogelijk systeemgericht te gaan uitvoeren. Evenwijdig hieraan zal samen met de accountant na worden gegaan in hoeverre het instrument data-analyse in 2017 kan worden ingezet bij de uitvoering van de verbijzonderde interne controles binnen de provincie. Beide ambities gaan uit van het zo optimaal mogelijk benutten van de geautomatiseerde omgeving van de organisatie. Evenals in 2016 zijn er ook in 2017 een aantal ontwikkelingen binnen de provincie die direct of indirect betrekking hebben op de interne controle. Naast het verder doordenken en vormgeven van het programma Provincie van Waarde zijn het aantrekken van de concerncontroller en het verder vormgeven van het four-lines-of-defence model (stelsel van interne beheersmaatregelen) binnen de provinciale organisatie ontwikkelingen die ook betrekking hebben op de interne controlewerkzaamheden van het cluster. AO/IC zal in 2017, waar mogelijk, een constructieve bijdrage leveren aan de verdere vormgeving en ontwikkeling van genoemde onderwerpen, door de inzet van haar kennis en kunde op het gebied van processen en interne controle. Naast genoemde interne ontwikkelingen is op dit moment een externe ontwikkeling te onderkennen die in de komende jaren gevolgen zal hebben voor Gedeputeerde Staten. Met ingang van het boekjaar 2018 krijgen Gedeputeerde Staten te maken met de wettelijke plicht voor het opnemen van een rechtmatigheidsverklaring van Gedeputeerde Staten over de provinciale jaarrekening. Deze rechtmatigheidsverklaring wordt nu nog door de accountant afgegeven. In 2017 zal het cluster AO/IC Gedeputeerde Staten ondersteunen bij het in kaart brengen van de consequenties van deze wetswijziging en meedenken met Gedeputeerde Staten over de wijze waarop zij hieraan, met ingang van het boekjaar 2018, concreet invulling kunnen geven. Net als in voorgaande jaren blijft AO/IC ook in 2017 zowel de interne als de externe ontwikkelingen volgen die van invloed kunnen zijn op de financiële getrouwheid en rechtmatigheid binnen de provincie. Indien noodzakelijk/gewenst worden eventuele aanvullende onderzoeken uitgevoerd om materiele financiële risico s te kunnen onderkennen en de werking van de al dan niet aanwezige beheersmaatregelen te beoordelen en waar nodig te laten verbeteren. 14