2008-11-27 NOTA voor de provincieraad Voorwerp: rapport interne controlesysteem 2008 Redactie: Bruno Ravyts GEGEVEN De provinciegriffier heeft de decretale verplichting om jaarlijks aan de provincieraad te rapporteren over het systeem van interne controle van het provinciebestuur. In artikel 90 van het provinciedecreet is opgenomen dat de financieel beheerder in alle onafhankelijkheid instaat voor de voorafgaande krediet- en wetmatigheidcontrole van de beslissingen van de provincie met budgettaire en financiële impact. Op de 7de directie is er de dienst interne financiële controle die deze taken uitvoert onderleiding van de financieel beheerder. Deze dienst rapporteert zelf jaarlijks aan de provincieraad over zijn activiteiten en daarom worden deze controles niet vermeld in deze nota. BESPREKING 1. Het decretaal kader In artikel 95 van het provinciedecreet wordt het systeem van interne controle als volgt gedefinieerd: Interne controle is een geheel van maatregelen en procedures die ontworpen zijn om een redelijke zekerheid te verschaffen over: 1. het bereiken van doelstellingen 2. het naleven van wetgeving en procedures 3. de beschikbaarheid van betrouwbare financiële en beheersinformatie 4. het efficiënte en economische gebruik van middelen 5. de bescherming van activa 6. het voorkomen van fraude. In artikel 96 van hetzelfde decreet staat te lezen dat de provinciegriffier het interne controlesysteem vaststelt, na overleg met het managementteam. Het systeem van interne controle is onderworpen aan de goedkeuring van de provincieraad. Het interne controlesysteem bepaalt op welke wijze de interne controle wordt georganiseerd, met inbegrip van de te nemen controlemaatregelen en -procedures en de aanwijzing van de personeelsleden die ervoor verantwoordelijk zijn, en de rapporteringsverplichtingen van de personeelsleden die bij het systeem van interne controle betrokken zijn. Kenmerk 014.01.00/S2008N093967 Dossier 2008N028871 Bijlagen 1
Het interne controlesysteem beantwoordt minstens aan het principe van functiescheiding waar mogelijk en is verenigbaar met de continuïteit van de werking van de provinciale diensten. Tot slot wordt in artikel 97 beschreven dat de provinciegriffier verantwoordelijk is voor de organisatie en werking van het interne controlesysteem. Hij of zij moet daarover jaarlijks rapporteren aan de deputatie en aan de provincieraad. De provinciegriffier brengt het personeel op de hoogte van het interne controlesysteem, alsook van de wijzigingen ervan. 2. Het COSO-model Het systeem van interne controle geeft redelijke zekerheid dat de werking van het provinciebestuur onder controle is. Het systeem is geen repressief bewakingssysteem maar eerder een methode om na te gaan welke risico s verbonden zijn aan het bereiken van de doelstellingen van de organisatie en om die risico s dan op passende wijze in te dekken met efficiënte controlemaatregelen. Deze methode wordt uitvoerig gedefinieerd in het COSO raamwerk. Dit raamwerk is een internationaal raamwerk voor interne controle dat ook door de Vlaamse Overheid en de andere Vlaamse Provincies wordt gehanteerd als basismethodologie. Het kan als volgt visueel worden voorgesteld: Definitie Decreet COSO - Componenten Overal in de organisatie COSO stelt dat om te kunnen spreken van een goed uitgebouwd systeem van interne controle er vijf componenten zijn die overal in de organisatie aanwezig moeten zijn. Hierna wordt weergegeven wat de stand van zaken is op dit vlak bij het provinciebestuur Limburg. 2
3. Huidige stand van zaken met betrekking tot interne controle Samen met de andere Vlaamse provincies heeft het provinciebestuur Limburg actief deelgenomen aan een interprovinciaal project gecoördineerd door de VVP. Dit project had tot doel in de vijf provincies gelijktijdig werk te maken van de invoering van een systeem van interne controle. Dit hield in dat voor elk van de vijf componenten werd nagegaan op welke manier ze kunnen worden uitgerold binnen elk bestuur. Het project resulteerde in handleidingen die beschrijven op welke manier het bestuur dit kan aanpakken. De scope van het project werd beperkt tot de provinciale diensten en de IVA s. Interne controle en risicobeheer in relaties met EVA s, partners en leveranciers was tijdens het project nog niet aan de orde. Het project ging van start in september 2007 en eindigde in juni 2008. Hieronder wordt weergegeven welke eerste stappen werden gezet in het kader van dit project en welke stappen het provinciebestuur verder zal zetten om de vijf componenten verder uit te rollen. 3.1 Een controleomgeving 3.1.1 Definitie De controleomgeving is volgens COSO het fundament van elk goed systeem van interne controle. Het omvat de volledige organisatiecultuur en ook de normen en waarden die gelden binnen het provinciebestuur. 3.1.2 Welke acties werden afgelopen jaar ondernomen Inventarisatie van de verplichtingen van het provinciedecreet per artikel en toetsing De griffie maakte een lijst van alle verplichtingen van het provinciedecreet per artikel en ging na aan welke artikels reeds wordt voldaan en voor welke artikels nog verdere acties of projecten moeten worden ondernomen. Sensibilisering van de personeelsleden In het kader van het VVP project werden korte opleidingen georganiseerd die tot doel hadden de leidinggevenden te informeren over wat een systeem van interne controle zoal inhoudt. In het totaal namen 47 leidinggevenden deel aan deze opleidingen. Organisatiebrede acties In 2008 werden ook een aantal projecten gestart die elk hun bijdrage leveren binnen de controleomgeving: - Opmaak van een deontologische code voor het personeel (vervat in de rechtspositieregeling) - Focus@Limburg (het werken met doelstellingen) - Leading@Limburg (het uitwerken van persoonlijke ontwikkelingsplannen voor leidinggevenden) - Verbeterproject ontvangst nieuwe medewerkers - Achilles project vereenvoudiging procedures subsidies - Opleiding overheidsopdrachten en introductie van sleutelfiguren overheidsopdrachten Werken met doelstellingen In de periode 2008-2012 wordt de organisatie via een leertraject vertrouwd gemaakt met de methodiek van werken met doelstellingen. In 2008 werden organisatiebreed 71 strategische doelstellingen geformuleerd op basis van de legislatuurnota en voor de huidige legislatuur 2007-2012. Ze werden onderworpen aan een kwaliteitscontrole en de SMART-toets onder begeleiding van externe consultant Deloitte in het kader van het VVP project. 3.1.3 Geplande acties volgend jaar Organisatiebrede acties - Verdere permanente opvolging van de uitvoering van het decreet door de griffie - Focus@Limburg (het werken met doelstellingen) - Leading@Limburg (het uitwerken van persoonlijke ontwikkelingsplannen voor leidinggevenden) Sensibilisering van de personeelsleden Bij de functioneringsgesprekken en in de functiekaarten van de leidinggevenden zal ook aandacht besteed worden aan interne controle. Naar aanleiding van deze gesprekken zullen er concrete doelstellingen en acties worden geformuleerd in verband met de controleomgeving. 3
Werken met doelstellingen Na de formulering van 71 strategische doelstellingen werkt het managementteam daarnaast aan het opstellen van organisatiebrede strategische doelstellingen. De 71 strategische doelstellingen werden in een eerste oefening al vertaald naar een 350-tal operationele doelstellingen, die momenteel nog aan een SMART-kwaliteitscontrole (specifiek, meetbaar, acceptabel, realistisch en tijdsgebonden) onderworpen worden. De vertaling van alle strategische doelstellingen in operationele doelstellingen en concrete acties zal afgerond worden in 2009 en zullen in 2009 naar de organisatie gecommuniceerd worden. Voor het budgetjaar 2010 wordt ook de koppeling tussen beleids- en financiële cyclus gepland. 3.2 De risicobepaling 3.2.1 Definitie Het COSO raamwerk stelt dat de risicoanalyse aan de basis moet liggen van de definitie en uitvoering van controlemaatregelen. Het is immers enkel efficiënt en doeltreffend om controlemaatregelen uit te voeren die ook daadwerkelijk een bepaald risico inperken door de waarschijnlijkheid ervan te verminderen of door de impact ervan in te perken. Deze risicoanalyse moet worden ingebed in alle activiteiten die de provincie uitvoert. Concreet kan dit door reeds bij het bepalen van de doelstellingen na te gaan welke risico s er aan die specifieke doelstellingen verbonden zijn en door per proces een meer gedetailleerde risicoanalyse op te stellen. 3.2.2 Welke acties werden afgelopen jaar ondernomen Oefening risicobepaling als leerproces In het kader van het VVP-project werd kennisgemaakt met de techniek van risicoanalyse. De techniek werd uitgelegd en gedocumenteerd in een handboek aan de hand van twee concrete voorbeeldanalyses: - het proces centraal management van contracten op de griffie - het proces behandeling van subsidies die worden toegekend in het kader van het provinciaal subsidiereglement ter versterking van de lokale handelskernen in Limburg Ook in andere Vlaamse provincies werden zulke piloot risicoanalyses uitgevoerd. Ook de resultaten van deze analyses werden opgenomen in een handboek. Risicobepaling bij processen Vanaf het najaar 2008 zal er gestart worden met de risicobepaling van een aantal processen, waaronder overheidsopdrachten beneden 5 500 euro en kasontvangsten. Daarnaast zal ook aandacht besteed worden aan de koppeling tussen het visum en de agendering deputatie. Deze analyses zullen doorlopen in 2009. Ook werd gestart met het thematisch oplijsten van de processen. Jaarlijks zal het managementteam uit deze lijst een aantal processen selecteren waarop een risicoanalyse uitgevoerd zal worden. 3.2.3 Geplande acties volgend jaar Invoeren van de SMART toets voor doelstellingen Bij het formuleren van operationele doelstellingen zal een SMART toets moeten worden uitgevoerd. De R in dit letterwoord staat voor realistisch en duidt o.a. op het feit dat er geen onverantwoorde risico s verbonden zijn met het behalen van de doelstelling. De dienst zal bij de formulering van de doelstelling moeten evalueren welke risico s ermee verbonden zijn, wat de impact en de waarschijnlijkheid is van elk risico. Uitvoeren van verdere risicoanalyses op procesniveau - Opleiding risicobepaling bij processen voor leidinggevenden en medewerkers van de beheercellen - Risicoanalyse op alle nieuw te ontwikkelen processen - Verdere risicoanalyse op de bestaande processen: overheidsopdrachten tot 5500 euro, koppeling visum en agendering deputatie en kasontvangsten. Uitbreiden van de toepassing Ariadne met een luik risicobepaling op procesniveau De Ariadne toepassing (dossieropvolgingssysteem) zal worden uitgebreid met een luik risicobepaling zodat het mogelijk wordt de risicoanalyses op procesniveau te registreren. 4
3.3 Controlemaatregelen 3.3.1 Definitie Controlemaatregelen zijn acties die door de organisatie worden ondernomen om een risico te beperken. Het kan hierbij gaan om verzekeringen, toegangscontrole, wachtwoorden, nazicht of inspectie ter plaatse, nazicht van documenten, enz. 3.3.2 Welke acties werden afgelopen jaar ondernomen In het kader van het VVP project werd een handboek Controlemaatregelen opgesteld. Dit handboek kan worden gebruikt door diensten die werk willen maken van de verbetering van interne controle voor hun processen. 3.3.3 Geplande acties volgend jaar Op basis van de risicobepaling (3.2) en een risico-waarschijnlijkheid en risico-impactanalyse worden een aantal controlemaatregelen geïdentificeerd. Daarnaast ontvangt het provinciebestuur een aantal externe audit-rapporten en worden er interne of externe klachten gerapporteerd. Ook deze rapporten worden grondig bestudeerd en leiden tot een aantal controlemaatregelen. Volgende acties werden afgesproken: - Aanpassing van procedures: opvolging en registratie in Ariadne - Organisatiebrede aanpassing: opvolging door de kwaliteitscel en na oprichting, de dienst studie- en projectwerking 3.4 Rapportering en Communicatie 3.4.1 Definitie Rapportering en communicatie wordt door COSO zeer breed gedefinieerd als alle communicatie, intern en extern en alle beheers- en financiële rapporten. Omdat hiervoor reeds bestaande projecten, diensten en kanalen zijn, werd in het kader van het VVP-project de focus vooral gelegd op de communicatie en rapportering die moet tot stand komen over het systeem van interne controle zelf. 3.4.2 Welke acties werden afgelopen jaar ondernomen Dit rapport werd voorbereid door het managementteam en ter kennisgegeven aan de deputatie van 27 november 2008. De dienst interne financiële controle rapporteert zelf aan de provincieraad over zijn activiteiten. 3.4.3 Geplande acties volgend jaar Jaarlijks wordt gerapporteerd aan de provincieraad over de acties i.v.m. interne controle. Deze rapportering wordt voorbereid door het managementteam. Ook de deputatie zal van dit rapport in kennis gesteld worden. Via teamoverleg en de functioneringsgesprekken zal er op alle niveaus binnen de organisatie worden gecommuniceerd over interne controle. Op intranet wordt een webstek voorzien voor interne controle. Na elke risicoanalyse zullen de resultaten van deze analyse voorgelegd worden aan het management team en zal het management team een beslissing nemen betreffende de maatregelen die uitgevoerd dienen te worden. 3.5 Bewaking en sturing (monitoring) 3.5.1 Definitie COSO stelt dat de laatste component, in feite het sluitstuk, van elk systeem van interne controle de bewaking en monitoring is van het systeem. Dit is de verantwoordelijkheid van het management van de organisatie, dat zich hiervoor kan laten bijstaan door interne of externe auditors. 5
3.5.2 Welke acties werden afgelopen jaar ondernomen Binnen de kwaliteitcel heeft Bruno Ravyts de opdracht gekregen om het interne controle systeem (met uitzondering van de financiële interne controle) te coördineren. 3.5.3 Geplande acties volgend jaar De beheercellen binnen de directies zullen volgend jaar ook de opdracht krijgen om het interne controle systeem binnen hun directie mee op te volgen. VOORSTEL Aan de provincieraad wordt gevraagd om kennis te nemen van deze nota. Renata Camps provinciegriffier 6