GOOD PUBLIC GOVERNANCE: JAARRAPPORT VAN HET AUDITCOMITÉ 2011 WOORD VOORAF De RKW streeft de principes van een goed beheer na en wenst zijn legitimiteit en integriteit te maximaliseren. Daartoe heeft hij op vrijwillige basis en dus zonder enige wettelijke verplichting in 2007 een interne auditfunctie en in 2008 een Auditcomité gecreëerd. De auditfunctie analyseert op een onafhankelijke en systematische wijze en volgens internationaal erkende normen alle processen en werkmethodes van de RKW. Daarnaast evalueert de auditfunctie de interne en externe risico s die de interne werking van de RKW kunnen beïnvloeden. Tot slot formuleert de auditfunctie verbeteringsvoorstellen voor een betere beheersing van de risico s en voor een efficiëntere en effectievere uitvoering van de opdrachten van de RKW. 1 Het Auditcomité is verantwoordelijk voor de opvolging van de auditwerkzaamheden. Het onderzoekt de auditrapporten die door de auditfunctie opgesteld werden en analyseert de actieplannen die door de geauditeerde diensten geformuleerd werden om aan de verbeteringsvoorstellen tegemoet te komen. Het Auditcomité volgt ook de realisatie van die actieplannen stelselmatig op. Tot slot ziet het toe op de tijdige en correcte uitvoering van de jaarlijkse auditplannen. Een beschrijving van de auditwerkzaamheden en de werking van het Auditcomité in 2011 vindt u hierna terug in het jaarrapport van het Auditcomité.
SAMENSTELLING VAN HET AUDITCOMITÉ Conform zijn charter is het Auditcomité samengesteld uit 2 onafhankelijke experten, waarvan één met financiële expertise, en 3 leden van het Beheerscomité. Op 31 december 2011 was het Auditcomité samengesteld uit: De voorzitter: de heer Jean-Claude Daoust, afgevaardigd bestuurder van Daoust n.v. en erevoorzitter van het VBO. De expert met financiële expertise: professor dr. Johan Christiaens, docent bij de onderwijs- en onderzoeksgroep Accountancy en Bedrijfsfinanciering van de Universiteit van Gent. De leden van het Beheerscomité: mevrouw Esther Deman en de heren Luc Coulier en Daniel Van Daele, respectievelijk vertegenwoordigers van de gezins-, de werkgevers- en de werknemersorganisaties. De vergaderingen van het Auditcomité worden ook bijgewoond door de dagelijkse leiding van de Rijksdienst en door vertegenwoordigers van KPMG Advisory, de firma aan wie de interne auditfunctie uitbesteed is. 2 BEVOEGDHEDEN VAN HET AUDITCOMITÉ Het Beheerscomité heeft het Auditcomité gecreëerd om hem bij te staan in zijn toezichtsfunctie. Het Auditcomité werd belast met het nazicht op de kwaliteit en de betrouwbaarheid van de financiële en de beheersrapportering, op het systeem van interne controle, op de naleving van wetgeving, reglementering en gedragsregels en op de efficiëntie en effectiviteit van het auditproces. Het Auditcomité is ook bevoegd voor het valideren van auditverslagen, het formuleren van aanbevelingen, het opvolgen van actieplannen en voor de interne en externe evaluaties van de auditfunctie en van het Auditcomité.
UITOEFENING VAN DE BEVOEGDHEDEN Het Auditcomité heeft in 2011 vier keer vergaderd: op 15 februari, op 1 september, op 26 oktober en op 15 december. Tijdens deze vergaderingen besteedde het Auditcomité aandacht aan de uitvoering van de auditplannen van 2010 en 2011 en ging het akkoord met het nieuwe meerjarenauditplan 2011-2013. Tevens volgde het Auditcomité stelselmatig de realisatie van de actieplannen op en werkte het een kwaliteitsprogramma uit voor de opvolging van de auditwerkzaamheden. Tot slot onderzocht het Auditcomité de voorstellen voor de implementatie van een eigen Dienst Interne Audit bij de Rijksdienst en nam het uitgebreid kennis van de internationale auditnormen. Meerjarenauditplan 2008-2010 Uitvoering van het auditplan 2010 3 Op 15 februari 2011 valideerde het Auditcomité 3 auditrapporten van audits die tijdens het laatste trimester van 2010 uitgevoerd werden. In het rapport over het Sociaal toezicht concludeerde KPMG dat de belangrijkste doelstelling van het sociale toezicht, namelijk op het terrein toezien op de rechten van de sociaal verzekerden, bereikt werd. KPMG detecteerde 4 middelmatige en 2 lage risico s. In het rapport Evaluatie en promotie kwam KPMG tot de conclusie dat het promotieproces een uniforme en objectieve behandeling van de kandidaten garandeert en dat de evaluatie van nieuwe medewerkers op een correcte en systematische wijze plaatsvindt. Ook concludeerde KPMG dat weinig medewerkers regelmatig geëvalueerd worden. KPMG formuleerde 1 middelmatig en 1 laag risico.
Tijdens de IT-audit onderzocht KPMG de ontwerpversie van het business continuity & disaster recovery plan. KPMG beschreef 6 hoge en 2 middelmatige risico s. Het Auditcomité is van mening dat de onderzochte processen over het algemeen op een efficiënte en effectieve wijze uitgevoerd worden, maar dat er nog verbeteringen mogelijk zijn. Tevens concludeerde het Auditcomité dat de continuïteit een belangrijk aandachtspunt is, aangezien er niet steeds back-ups voorhanden zijn, de taken niet altijd in handleidingen of procedures beschreven zijn en sommige diensten geconfronteerd worden met pensioneringen. Uitvoering van het meerjarenauditplan 2008-2010 Op 15 februari 2011 deelde KPMG mee dat het driejarenauditplan 2008-2010 tijdig en volledig uitgevoerd werd en dat de implementatiegraad van de acties hoog is. In 2008 valideerde het Auditcomité 30 actieplannen. Van de 25 plannen met een verstreken deadline werden er 18 volledig uitgevoerd en werden er 7 gestart. Dit komt neer op een realisatiegraad van 72 %. 4 In 2009 ging het Auditcomité akkoord met 39 acties. Van de 33 acties met een verstreken deadline werden er 25 gerealiseerd, wat overeenkomt met 75 %. De implementatie van de overige 6 acties werd ook al aangevat. Het Auditcomité nam met genoegen akte van de opmerking van KPMG dat realisatiegraden van 70 à 75 % een groot succes genoemd kunnen worden. Veel andere organisaties, zowel private als publieke, kennen meestal veel lagere implementatiegraden.
Meerjarenauditplan 2011-2013 Opmaak van het meerjarenauditplan In 2011 ontwikkelde KPMG in verschillende stappen een nieuw meerjarenauditplan. Eerst werden de bestaande versies van het omgevingsmodel*, het audituniversum** en het risicoraamwerk*** geactualiseerd. Daarna werd een overzicht opgesteld van de strategische risico s van de Rijksdienst, van de wijzigingen en projecten van de voorbije drie jaren en van de toekomstige verwachtingen en projecten. Tot slot werd op basis van de verzamelde informatie een ontwerp van meerjarenauditplan opgesteld. Dit plan bevat zowel zekerheidsverstrekkende als opvolgings- en ad hoc audits. Het ontwerp van meerjarenplan werd door het Auditcomité van 1 september 2011 en door het Beheerscomité van 4 oktober 2011 goedgekeurd. In het auditplan 2011 zijn 5 audits opgenomen: 2 zekerheidsverstrekkende audits (Boordtabellen en Interne communicatie), 2 ad hoc audits (Hoofdelijke bijdragen en Uitbetaling van de kinderbijslag) en 1 opvolgingsaudit (Aankopen en contractbeheer). 5 Het auditplan 2012 bestaat uit 11 audits: 10 zekerheidsverstrekkende audits (Beleid van duurzaam energie- en milieubeheer, Opstellen en opvolgen van de jaarlijkse begroting, Cel Vorming, Toekennen en betalen in de nationale verdeling, Toekennen en betalen in de openbare sector, Beheer van de gebouwen, Continuïteit van de diensten en successieplanning, Quickscan van de nieuwe betalingstoepassing Itinera-I, Personeelsadministratie en master data en Migratiestrategie van Gweb naar Itinera-I) en 1 opvolgingsaudit (Gegevensfluxen).
Het auditplan 2013 bevat 9 audits: 5 zekerheidsverstrekkende audits (Waarden van de Rijksdienst, Toekennen en betalen in de nationale verdeling, Toekennen en betalen in de openbare sector, Cel Interne Controle en Beheer van de werkgevers) en 4 opvolgingsaudits (Bulkbetalingen, Mediatie en geschillenbeheer, Administratief toezicht en Financieel toezicht). Uitvoering van het auditplan 2011 Op 26 oktober 2011 heeft KPMG de eerste rapporten ter uitvoering van het auditplan 2011 aan het Auditcomité voorgelegd. In het rapport over de uitbetaling van de gezinsbijslagen concludeerde KPMG dat er voldoende controles zijn om een stipte uitbetaling te garanderen. KPMG detecteerde 1 middelmatig en 1 laag risico. Na de bespreking van het auditrapport verhoogde het Auditcomité het niveau van de risico s tot hoog en middelmatig, omdat de uitbetaling van gezinsbijslagen een kerntaak van de Rijksdienst is en het risico op onterechte wijzigingen aan rekeningnummers reëel is. Tevens vroeg het Auditcomité aan het Algemeen Bestuur om geïnformeerd te worden over het overleg met Febelfin, de Belgische federatie van de financiële sector, inzake de systematische controle van de titularissen van rekeningnummers. Tot slot verzocht het Auditcomité KPMG om na te gaan of de nieuwe betalingstoepassing Itinera-I, die nog in ontwikkeling is, controles voorziet voor wijzigingen aan rekeningnummers. 6 Op 15 december 2011 werd het Auditcomité ingelicht over de log van wijzigingen aan rekeningnummers die in Itinera-I voorzien is. Tevens ontving het Auditcomité informatie over de gegevensstroom waarmee de identiteit van de titularis van een bankrekening automatisch geverifieerd kan worden.
In het rapport Aankopen en contractbeheer kwam KPMG tot de conclusie dat de aankoopprocedure, die in 2010 na een eerste audit van dit onderwerp opgesteld werd, niet door alle diensten op een eenvormige manier opgevolgd wordt. KPMG beschreef 3 middelmatige en 1 laag risico. Na de bespreking van de auditresultaten vroeg het Auditcomité aan KPMG om een kostenbatenanalyse te maken van een efficiënter gebruik van SAP door de Rijksdienst. Op 15 december 2011 lichtte KPMG de kosten-batenanalyse toe aan het Auditcomité. Het Auditcomité vroeg vervolgens aan het Algemeen Bestuur om een rationalisering van de bestaande SAP-licenties door te voeren. In het rapport over de hoofdelijke bijdragen concludeerde KPMG dat de huidige controles geen redelijke zekerheid verschaffen over de volledigheid van de verschuldigde hoofdelijke bijdragen. KPMG formuleerde één hoog en één middelmatig risico. Naast de 3 audits waarover KPMG in 2011 aan het Auditcomité rapporteerde, begon KPMG eind 2011 ook met de laatste 2 audits van het auditplan 2011. Over deze audits, Interne communicatie en Boordtabellen, rapporteerde KPMG tijdens het Auditcomité van 16 maart 2012. 7 Opvolging van de auditwerkzaamheden Conform het Interne Auditcharter dient de Rijksdienst een programma voor kwaliteitsbewaking te ontwikkelen, dat onder meer supervisie, voortgezette professionele vorming, tevredenheidsbeoordelingen door de geauditeerden en een evaluatie van de uitgevoerde audits bevat.
Het Auditcomité heeft op 1 september 2011 een tevredenheidsenquête voor de evaluatie van de uitgevoerde auditopdrachten en kritische performantieindicatoren voor een systematische opvolging van de interne auditfunctie goedgekeurd. Vanaf die datum worden deze instrumenten systematisch toegepast voor elke uitgevoerde audit en worden de resultaten twee keer per jaar door het Auditcomité besproken en gerapporteerd aan het Beheerscomité. Verspreiding van informatie over de auditwerkzaamheden Conform het charter van het Auditcomité rapporteert de voorzitter aan het Beheerscomité over elke vergadering van het Auditcomité. Het Auditcomité heeft zijn praktijk bevestigd om enkel de notulen van zijn vergaderingen en niet alle besproken documenten aan de leden van het Beheerscomité en aan de regeringscommissarissen over te maken. Deze beslissing werd genomen omdat het Beheerscomité specifieke opdrachten aan het Auditcomité gedelegeerd heeft en de voorzitter systematisch aan het Beheerscomité rapporteert over de beraadslagingen binnen het Auditcomité. Het Auditcomité heeft besloten om de notulen ook te bezorgen aan de leden van de Directieraad, zodat zij een toenemend inzicht kunnen verwerven in de werkzaamheden en de toegevoegde waarde van de auditfunctie en geïnformeerd worden over de beslissingen van het Auditcomité. 8 Implementatie van een eigen Dienst Interne Audit Op 15 december 2011 besprak het Auditcomité een voorstel van het Algemeen Bestuur over de oprichting van een eigen dienst Interne Audit, die volgens artikel 26 van de bestuursovereenkomst tegen eind 2012 operationeel dient te zijn.
Dit voorstel gaat over de samenstelling van de auditdienst, de opname ervan in het personeelsplan 2012 en de functiebeschrijvingen en aanwerving van de auditoren. Het Auditcomité ging ermee akkoord om een auditdienst met 2 auditoren op te starten. Het Comité benadrukte daarbij de noodzaak aan voldoende vorming, aangezien de auditoren binnen de Rijksdienst aangeworven zullen worden. Het Auditcomité besliste ook om regelmatig de behoeften aan auditpersoneel te evalueren. Om de invoering van de auditdienst te concretiseren, vroeg het Auditcomité aan professor Christiaens en KPMG om een gefaseerde planning voor de invoering van de dienst uit te werken waarin onder meer rekening gehouden wordt met de optimale uitvoeringsfrequentie van de audits. Deze planning werd in 2012 aan het Auditcomité voorgelegd. Kennisvergaring Op 15 december 2011 verzorgde KPMG een uitgebreide presentatie over de professionele auditstandaarden. Tijdens de discussie ging het Auditcomité dieper in op de balans tussen zekerheidsverstrekkende en raadgevende opdrachten, op de waarde van communicatie en op de stakeholders van de interne auditfunctie. 9
TOEKOMST VAN DE INTERNE AUDITFUNCTIE Overdracht van de gezinsbijslagen Het Auditcomité heeft tijdens verschillende vergaderingen het onderwerp aangesneden van de overdracht van de gezinsbijslagen naar de gemeenschappen en de eventuele gevolgen ervan voor de Rijksdienst en zijn interne auditfunctie. Het Auditcomité kon de gevolgen echter niet in detail bestuderen, aangezien er op het politieke niveau nog geen beslissingen genomen zijn over de inhoud en de timing van de splitsing. Operationalisering van de interne auditfunctie in de socialezekerheidssector Tijdens meerdere vergaderingen werd het Auditcomité ingelicht over het auditproject dat binnen het College voor de socialezekerheidssector uitgewerkt werd. Het College heeft beslist om een interne auditfunctie en een Auditcomité te installeren binnen elke Openbare Instelling van de Sociale Zekerheid (OISZ). Het College heeft ook beslist om een permanente instantie, PLATINA (Platform Interne Audit) op te richten, die bestaat uit de hoofden van de auditdiensten van de OISZ. Die instantie zal belast worden met de coördinatie op methodologisch, conceptueel en inhoudelijk vlak bij de uitbouw van interne audit in de socialezekerheidssector. 10
APPRECIATIE VANWEGE HET AUDITCOMITÉ Het Auditcomité uit zijn tevredenheid over de kwalitatieve uitvoering van de audittaken en over de verdere professionalisering van de auditwerkzaamheden in 2011. Tevens neemt het met genoegen akte van de eerste stappen die de Rijksdienst gezet heeft voor de creatie van een eigen auditdienst. Tot slot wijst het Auditcomité erop dat het de gevolgen van de overdracht van de gezinsbijslagen naar de gemeenschappen en van het gemeenschappelijke auditproject binnen de socialezekerheidssector én de weerslag ervan op de kwaliteit van de interne auditfunctie van de Rijksdienst strikt zal opvolgen om te verzekeren dat de audittaken op een even efficiënte en kwalitatieve manier uitgevoerd zullen worden. Getekend te Brussel op 26 september 2012. 11