Realistisch vooruit Managementletter 17 november 2011
Gemeente Eindhoven College van Burgemeester en Wethouders T.a.v. de heer A. Verbakel Postbus 90150 5600 RB Eindhoven 17 november 2011 WO/e0230475/LH/SvD Geacht College, Zoals afgesproken in het dienstverleningsplan ontvangt u hierbij onze managementletter 2011. Het eerste deel van onze interim-werkzaamheden in het kader van onze controle 2011 is afgerond. Bij de controlewerkzaamheden zijn tot dusver geen wezenlijke tekortkomingen geconstateerd die direct gevolgen hebben voor onze controleverklaring. Wij hebben geconstateerd dat er veel veranderingen en ontwikkelingen in gang zijn gezet om in te kunnen spelen op de toekomst. Daarbij merken wij op dat ondanks de vele inspanningen, de resultaten van deze veranderingen en ontwikkelingen nog niet zichtbaar zijn. Deze managementletter heeft dan ook als titel meegekregen realistisch vooruit. In deze managementletter omschrijven c.q. volgen wij een aantal belangrijke ontwikkelingen en geven wij de belangrijkste aandachtspunten over uw interne beheersing aan u mee om uw organisatie nog verder te versterken. Wij danken u hartelijk voor de medewerking van u en uw collega s tijdens de uitvoering van onze werkzaamheden. Hoogachtend, PricewaterhouseCoopers Accountants N.V. W.J.J. Verdegaal-Ong RA T: 088-7925282 willeke.ong@nl.pwc.com PricewaterhouseCoopers Accountants N.V., Newtonlaan 205, 3584 BH Utrecht, Postbus 85096, 3508 AB Utrecht T: 088 792 00 30, F: 088 792 95 08, www.pwc.nl PwC is het merk waaronder PricewaterhouseCoopers Accountants N.V. (KvK 34180285), PricewaterhouseCoopers Belastingadviseurs N.V. (KvK 34180284), PricewaterhouseCoopers Advisory N.V. (KvK 34180287), PricewaterhouseCoopers Compliance Services B.V. (KvK 51414406), 14406), PricewaterhouseCoopers B.V. (KvK 34180289) en andere vennootschappen handelen en diensten verlenen. Op deze diensten zijn algemene voorwaarden van toepassing, waarin onder meer aansprakelijkheidsvoorwaarden zijn opgenomen. Op leveringen aan deze vennootschappen zijn algemene inkoopvoorwaarden van toepassing. Op www.pwc.nl treft u meer informatie over deze vennootschappen, waaronder deze algemene (inkoop)voorwaarden die ook zijn gedeponeerd bij de Kamer van Koophandel te Amsterdam
Inhoudsopgave 1 Inleiding- de reikwijdte van onze controlewerkzaamheden 4 2 Jaarrekeningcontrole 5 2.1 Onze rol als uw accountant 5 2.2 Wat is de impact tot op heden voor de jaarrekeningcontrole en controleverklaring? 7 2.2.1 Onrechtmatigheden in Europese aanbestedingen geconstateerd, nieuwe procedure biedt uitkomst 7 2.3 Welke bevindingen hebben alleen impact op uw interne beheersing? 7 2.3.1 Verhuur gemeentelijke gebouwen heeft uw aandacht nodig 7 2.3.2 Hit and run risicobetalingen 8 2.3.3 Aandachtspunten subsidieverstrekking gesignaleerd 8 2.4 Bevindingen voorgaand jaar opgepakt, effecten nog niet zichtbaar 8 2.5 Opvolging IT-bevindingen onder handen 8 2.6 Conclusie: uw interne beheersing is van voldoende niveau in het kader van de jaarrekeningcontrole 9 3 Onze visie op belangrijke thema s en ontwikkelingen 10 3.1 Planning & Control: digitalisering, werken met indicatoren en een resultaatgerichte cultuur zijn de toekomst 10 3.2 Koppel risicomanagement aan prestatiemanagement om bewustzijn vast te houden 11 3.3 Ontwikkeling sturing en beheersing IT-infrastructuur en applicatielandschap 12 3.3.1 Beveiligingsincidenten: passende maatregelen noodzakelijk 12 3.3.2 Beheer informatiesystemen niet eenduidig belegd, handboek biedt uitkomst 13 3.4 Sector control als het financieel geweten van gemeente Eindhoven 13 3.5 Liquiditeitssturing verankeren in reguliere P&C 13 3.6 Beheersing sector werk is effectief en kan mogelijk efficiënter 14 4 Doorkijk naar de jaarrekening 16 4.1 Inleiding 16 4.2 Voorzieningen cijfermatig onderbouwen in de jaarrekening 16 4.3 Tijdige besluitvorming voor reservemutaties en looptijd noodzakelijk 16 A Prioriteitstelling bevindingen & aanbevelingen 17 A.1 Samenvatting follow-up aanbevelingen 17 A.2 Follow-up bevindingen 2010 17 A.3 Belangrijkste bevindingen 2011 inclusief prioriteit 27 B P&C Discussiedocument 30 C Classificatie prioriteiten en status aanbevelingen 31 PwC Pagina 3
1 Inleiding- de reikwijdte van onze controlewerkzaamheden Het doel van onze jaarrekeningcontrole is het vormen van een oordeel over de getrouwheid en de rechtmatigheid van de jaarrekening als geheel, zoals bedoeld in het Besluit Accountantscontrole Decentrale Overheden (BADO). Het is niet de doelstelling van een jaarrekeningcontrole zekerheid te verschaffen over de kwaliteit van de interne organisatie. Onze controle van de jaarrekening bestaat uit een combinatie van controlewerkzaamheden, waaronder risicoanalyse, cijferbeoordelingen, beoordeling van de administratieve procedures en het daarmee samenhangende systeem van internecontrolemaatregelen en gegevensgerichte controlewerkzaamheden in zodanige samenstelling en omvang als wij noodzakelijk achten voor het verkrijgen van eerdergenoemd oordeel. Naast het oordeel over de getrouwheid dienen wij bij de jaarrekening een oordeel te geven over de rechtmatigheid van de baten, de lasten en de balansmutaties die in de jaarrekening zijn verantwoord. Deze managementletter is gebaseerd op de interim-werkzaamheden ten behoeve van het onderzoek van de jaarrekening 2011. Dit onderzoek strekt zich niet verder uit dan noodzakelijk is om tot een oordeel te komen over de jaarrekening 2011 en is daarom niet primair gericht op het onderkennen van alle aandachtspunten in de administratieve organisatie en de interne beheersing, inclusief die procedures die zijn gericht op de betrouwbaarheid en de continuïteit van de geautomatiseerde informatiesystemen. Verder is onze jaarrekeningcontrole niet specifiek gericht op het ontdekken van mogelijke onregelmatigheden, waaronder fraudes. Hadden wij een specifiek onderzoek ingesteld dan waren ons mogelijk aanvullende zaken ter kennis gekomen die wij zouden hebben gerapporteerd. In deze managementletter vindt u het verslag van onze interim-bevindingen en de bijbehorende aanbevelingen ten aanzien van de interne beheersing. De opgenomen aanbevelingen zijn in belangrijke mate gebaseerd op de uitgevoerde verbijzonderde interne controles tot en met juli/augustus en interviews gedurende onze interimcontrole. Wij hebben de door gemeente Eindhoven uitgevoerde internecontrolewerkzaamheden gereviewd en de opgestelde rapportages beoordeeld. In hoofdstuk 2 hebben wij de bevindingen ten aanzien van de interne beheersing opgenomen die direct voortvloeien uit onze beoordeling van de interne beheersing uit hoofde van de jaarrekeningcontrole. In hoofdstuk 3 geven wij onze mening c.q. visie over belangrijke thema s en ontwikkelingen die wij van groot belang vinden om uw organisatie toekomstbestendig en beheersbaar te maken. Daarnaast maken wij in hoofdstuk 4 een doorkijk naar de jaarrekeningcontrole. Er zullen de komende maanden en ook bij de eindejaarscontrole nog controlewerkzaamheden uitgevoerd worden. Indien hier nog relevante bevindingen uit voortvloeien, zullen wij dit in februari c.q. na afronding van de balanscontrole aan u en de directieraad (DR) rapporteren. De naar onze mening meest relevante bevindingen van de verbijzonderde interne controle hebben wij vertaald naar concernniveau en verwerkt in onze managementletter. Voor een nadere detaillering en de bevindingen per directie verwijzen wij u naar de afzonderlijke interne controlerapportages. Voor zover bestuurlijk relevant nemen wij onze bevindingen op in het rapport van bevindingen aan de gemeenteraad. Onze managementletter is uitsluitend opgesteld voor gebruik door de gemeente Eindhoven en is primair bedoeld voor u en de DR. U mag deze, zonder onze toestemming vooraf, niet aan derden verstrekken. Als gevolg hiervan accepteren wij geen aansprakelijkheid of verantwoordelijkheid tegenover enige andere persoon die dit verslag in handen of ter inzage krijgt. PwC Pagina 4
2 Jaarrekeningcontrole 2.1 Onze rol als uw accountant De raad heeft ons de opdracht tot controle van de jaarrekening gegeven. Wij steunen bij de controle van de jaarrekening zoveel mogelijk op de interne beheersmaatregelen van de gemeente Eindhoven. Uw afdeling internal control controleert deze interne beheersmaatregelen inclusief de IT-beheersmaatregelen van de belangrijkste financiële stromen van alle sectoren uitgezonderd de sector control. Wij beoordelen of de werkzaamheden door de afdeling internal control conform de gemaakte afspraken zijn uitgevoerd en voldoende basis vormen voor onze jaarrekeningcontrole. Op deze manier voorkomen wij dubbele controles en extra belasting van uw ambtelijke organisatie. Voor de sector control controleren wij de belangrijkste financiële stromen zonder voorbereiding door de internal controlafdeling omdat de afdeling onderdeel uitmaakt van control en niet volledig onafhankelijk controlewerkzaamheden kan uitvoeren. De rolverdeling is hieronder in een controlepiramide weergegeven vanaf de controlerende functie van de Raad. De rekenkamer is in dit geheel buiten beschouwing gelaten. Figuur 1: Piramide rollen jaarrekeningcontrole In dit hoofdstuk zullen wij de status van de werkzaamheden van de afdeling internal control en van ons als externe accountant als ook onze bevindingen ten aanzien van de interne beheersing weergeven voor de belangrijkste financiële processen in het kader van de jaarrekeningcontrole. Detailbevindingen zijn opgenomen in de rapportages van de afdeling internal control. Status van de internecontrolewerkzaamheden De afdeling internal control controleert op de sector control na alle processen. De afdeling heeft qua aanpak een sterke groei laten zien in vergelijking tot voorgaand jaar. De afdeling internal control heeft met ons een risico- gerichte controle-aanpak opgezet waarbij processen met lager risico cyclisch gecontroleerd worden. Op dit moment zijn veel meer processen gecontroleerd en afgerond in vergelijking met voorgaand jaar. De controle over het eerste halfjaar is nagenoeg afgerond. De controles over het tweede halfjaar worden nu gestart. De verbijzonderde interne controle is naar onze mening klaar voor een volgende stap in de doorontwikkeling van de interne controlefunctie. Dit houdt in een tijdige tussentijdse controle op kwartaal basis van processen zodanig dat bijsturing door de sectoren en de directie mogelijk is. PwC Pagina 5
Hieronder geven wij u een overzicht van de status van de werkzaamheden. Onder handen betekent dat er nog resterende controlewerkzaamheden ten aanzien van de werking van beheersmaatregelen door de afdeling internal control uitgevoerd moeten worden en vervolgens controle door PwC moeten plaatsvinden. Afgerond: er zijn geen bevindingen geïdentificeerd in het kader van de jaarrekeningcontrole - Salarisverwerking (P&O). - Legesheffing (VTH). - Beheer verbonden partijen (Control en diverse sectoren). - Planning & Control procedures (Control). - Juridische zaken (Interne dienstverlening). - Verhuur en kaartverkoop sportaccommodaties (S&B). - Treasury activiteiten (Instrumentarium). - Verstrekkingen van levensonderhoud, re-integratie en inburgering (Werk). - Belastingheffing (PUZA). - Kasprocedures (AIHD). - Mutatie crediteuren stamgegevens (AIHD). - Zorg en inkomen (Z&I). - Doorbelastingen (Instrumentarium, opzet van de procedures). Afgerond: er zijn enkele nieuwe aandachtspunten geïdentificeerd - Europese aanbestedingen (AIHD en sectoren). - Verhuur van gemeentelijke gebouwen (Grond en Vastgoed). - Betalingsverkeer (AIHD). - Subsidiestromen (diverse sectoren). Aan de bovenstaande geïdentificeerde bevindingen wordt in dit hoofdstuk verdere aandacht besteed. Opgeleverd door internal control ten tijde van de interim-controle, nog te reviewen door PwC - Onderhoudsvoorzieningen (Grond en Vastgoed). - Memoriaalboekingen (AIHD), nog conclusies te trekken samen met internal control. Onder handen, nog op te leveren door internal control - Inhuur derden Nétive toegangsrechten (P&O). - Onderwijshuisvesting (Grond en Vastgoed), de uitkomsten van het rekenkameronderzoek worden in eerste instantie afgewacht. - Aan- en verkopen gronden (Grond en Vastgoed, deadline 30 november 2011). - Totstandkoming Meerjarenperspectief Grondbedrijf (Grond en Vastgoed, deadline 30 november 2011). Op basis van de werkzaamheden uitgevoerd door de afdeling internal control waarvan wij kennis hebben genomen en onze eigen controlewerkzaamheden kunnen wij concluderen dat de interne beheersing voldoende is, maar met een bevinding die direct verband houdt met onze jaarrekeningcontrole en controleverklaring. De overige drie bevindingen hebben impact op uw interne beheersing. Wij geven de impact van de bevindingen tot op heden weer in onderstaande paragrafen. PwC Pagina 6
2.2 Wat is de impact tot op heden voor de jaarrekeningcontrole en controleverklaring? 2.2.1 Onrechtmatigheden in Europese aanbestedingen geconstateerd, nieuwe procedure biedt uitkomst In het kader van de jaarrekeningcontrole toetsen wij of gemeente Eindhoven voldoet aan de Europese aanbestedingsregels. Op basis van een steekproef van 59 dossiers ad circa 34 miljoen op de inkopen over het eerste halfjaar van 2011 is geconstateerd dat er voor 532.000 (1,5%) onrechtmatig is ingekocht. Dit betreft inkopen op contracten die voor 2011 zijn afgesloten binnen de sectoren Werk, zorg & inkomen, Grond & Vastgoed en Realisatie & Beheer. In 2011 geldt een nieuwe procedure waarbij de inkopende sectoren bij inkopen groter dan 75.000 de centrale inkoopafdeling verplicht dienen te raadplegen. De inkopen waarbij onrechtmatigheden zijn geconstateerd zijn nog niet onderhevig geweest aan deze nieuwe procedure. Deze nieuwe procedure draagt naar onze mening bij aan het voorkomen van onrechtmatige inkopen en het effect zal in volgende jaren meetbaar zijn. De impact is een onrechtmatigheid van 532.000. Aangezien het een steekproef over het eerste halfjaar betreft, kunnen wij het totale effect voor de jaarrekening nog niet in schatten. Een nadere analyse over het tweede halfjaar is noodzakelijk om de totale impact te bepalen. 2.3 Welke bevindingen hebben alleen impact op uw interne beheersing? 2.3.1 Verhuur gemeentelijke gebouwen heeft uw aandacht nodig De verhuuradministratie van gemeentelijke gebouwen in Planon geeft voor 52 locaties onvoldoende inzicht in de contractvoorwaarden met de huurders. Daarnaast bevat de verhuuradministratie verschillen met de financiële administratie door boekingsverschillen tussen Planon en Decade. De betekenis van boekingsverschillen komt voort uit de aansluiting tussen de verhuuropbrengsten in Decade en de verhuuropbrengsten in Planon. De verhuuropbrengsten volgens Decade zijn 1.287.000 hoger dan de opbrengst volgens de contracten in Planon. Een aantal boekingen in Decade hebben geen betrekking op een verhuuropbrengst. Wij adviseren u de verschillende nader te analyseren en de boekingen te corrigeren zodat er een zuivere aansluiting bestaat tussen Decade en Planon. Daarnaast is ons opgevallen dat een aantal objecten verhuurd worden om niet of tegen een gering bedrag en hiervoor is een verklaring gevraagd. De door de afdelingen verstrekte verklaringen zijn door ons gevalideerd en hierbij is het volgende geconstateerd: Voor een veertiental vrijetijdsaccommodaties overgenomen van de Lumensgroep per 1 januari 2008 is vastgesteld dat huuropbrengsten op basis van de begroting van de Lumensgroep worden voldaan. De Lumensgroep is een door de gemeente gesubsidieerde instelling. Wij hebben vernomen dat de huur- en subsidiestromen door het bestuur nogmaals onder de loep worden genomen. Voor de overige contracten vindt geen of beperkte facturering plaats. Wij bevelen u aan om gemaakte afspraken omtrent een verhuurcontract zichtbaar te onderbouwen in Planon waardoor het risico op een onvolledige opbrengstverantwoording wordt gemitigeerd. Het verbeterde inzicht in (verhuur)contracten leidt verder tot tijdige acties en/of bijsturing. Wij bevelen u aan de contractadministratie door te lichten en contracten te updaten. PwC Pagina 7
2.3.2 Hit and run risicobetalingen De afdeling internal control heeft de werking van de controlautorisatie van betalingen behorend tot de sector AIHD gecontroleerd. Wij hebben geconstateerd dat het betaalbestand door de medewerker bevoegd tot het plaatsen van de eerste autorisatie kan worden gemuteerd. Het risico bestaat dat na de autorisatie van betaallijsten nog (ongeautoriseerde) wijzigingen in de betaalbestanden kunnen plaatsvinden. Er zijn echter bij de uitgevoerde steekproef op de betalingen geen verschillen geïdentificeerd in de hash totals. Wij bevelen aan het technisch onmogelijk te maken de betaalbestanden buiten het systeem te kunnen muteren. Is dit niet mogelijk dan adviseren wij dat bij autorisatie van de betalingen en door afdeling internal control achteraf een aansluiting wordt gemaakt tussen het hash-totaal van de bankrekeningnummers op de verzamelopdracht en op de betaallijst. 2.3.3 Aandachtspunten subsidieverstrekking gesignaleerd Uit de internecontrolewerkzaamheden is gebleken dat sanctiebeleid op subsidies niet consequent nageleefd wordt. Daarnaast is in een steekproef naar voren gekomen dat voor wederkerende subsidies in 4 van de 25 gecontroleerde dossiers de voorschotbetaling aan de beschikking vooraf is gegaan. In principe geldt de richtlijn zonder besluit geen betaling. Normaal gesproken wordt dit tot uitdrukking gebracht in de vorm van een beschikking. In 3 van de 4 geconstateerde afwijkingen hebben wij vastgesteld dat de subsidie reeds in de begroting afzonderlijk is vermeld en daarmee goedgekeurd. Wij adviseren enkel te bevoorschotten op basis van een beschikking en na te gaan of het mogelijk is de bevoorschotting te blokkeren in de subsidie-applicatie ISA4All voordat de beschikking afgerond is. 2.4 Bevindingen voorgaand jaar opgepakt, effecten nog niet zichtbaar Naast de controlewerkzaamheden 2011 hebben wij aandacht besteed aan de opvolging van de openstaande bevindingen uit 2010. Uit de controlewerkzaamheden van internal control komen de volgende wederkerende bevindingen naar voren. Kostendeclaraties vinden via formulieren bij AIHD buiten Key2 plaats en autorisatie is niet in alle gevallen conform mandaat. De autorisatie van inkoopfacturen is niet in alle gevallen onderbouwd met prestatiedocumenten waaruit blijkt dat de dienst heeft plaatsgevonden. In bijlage 1A is de status van onze aanbevelingen uit 2010 op dit moment weergegeven. Een aantal initiatieven zijn gestart om hieraan opvolging te geven. Het is echter nog te vroeg om een conclusie te verbinden aan het effect van deze initiatieven. In de interne beheersing is dit voor 2011 over het algemeen nog niet zichtbaar. Wij adviseren u de voortgang van de initiatieven door internal control gedurende het jaar te monitoren. 2.5 Opvolging IT-bevindingen onder handen Als onderdeel van de jaarrekeningcontrole hebben wij in 2010 de opzet en het bestaan van de algemene ICTbeheersmaatregelen beoordeeld. Wij hebben dit uitgevoerd voor de systemen relevant voor de jaarrekeningcontrole van Gemeente Eindhoven, te weten GWS4all (sociale zaken), PIMS@all (personeelsadministratie) en Decade (financiële administratie). Hierbij hebben wij gekeken naar de volgende domeinen: program change & development; access to programs & data; computer operations. Uitgangspunt voor ons was de nulmeting IT-audit die in 2009/2010 is uitgevoerd door Sector Control van Gemeente Eindhoven. PwC Pagina 8
Op basis van deze werkzaamheden hebben wij in 2010 de detail bevindingen IT aan u gerapporteerd. Voor de jaarrekeningcontrole 2011 van Gemeente Eindhoven hebben wij deze bevindingen geüpdatet. Hiervoor hebben wij gesproken met medewerkers van de Sector I&B, alsmede Sector Control en hebben wij documentatie beoordeeld. In de tabel in bijlage 1a is de huidige status weergegeven van de in 2010 gerapporteerde ITbevindingen. Voor de beheersmaatregelen en procedures die zijn gericht op de betrouwbaarheid en de continuïteit van de geautomatiseerde informatiesystemen zullen wij in een later stadium nog testwerkzaamheden uitvoeren om het bestaan van deze maatregelen vast te stellen. Tevens dienen wij nog een aantal documenten te ontvangen en te beoordelen. 2.6 Conclusie: uw interne beheersing is van voldoende niveau in het kader van de jaarrekeningcontrole In 2010 hebben wij geconcludeerd dat uw interne beheersing van voldoende niveau is in het kader van de jaarrekeningcontrole. Wij hebben in onze managementletters van voorgaand jaar een heel aantal aanbevelingen opgenomen waarvan wij vinden dat u deze als organisatie dient op te pakken om naar een beter beheerste organisatie te komen. Op dit moment is de status van uw interne beheersing nagenoeg onveranderd. Er zijn voldoende initiatieven genomen verdere verbeteringen door te voeren, echter zijn de resultaten nog niet meetbaar. U moet keuzes maken en prioriteiten stellen, zo gaat u realistisch vooruit. De verbijzonderde interne controle is naar onze mening klaar voor een volgende stap in de doorontwikkeling van de interne controlefunctie. Dit houdt in tussentijdse controle op kwartaalbasis van processen gedurende het gehele jaar waarbij periodiek afstemming plaatsvindt met de sectoren en directie over de bevindingen. Hiermee worden aandachtsgebieden tijdig gesignaleerd en is bijsturing mogelijk. Daarnaast kan internal control een belangrijke bijdrage leveren aan het tussentijds monitoren van de voortgang van initiatieven voor verdere verbetering van de interne beheersing. PwC Pagina 9
3 Onze visie op belangrijke thema s en ontwikkelingen Wij denken met u mee op belangrijke thema s en ontwikkelingen vanuit onze natuurlijke adviesfunctie die raakvlakken hebben met de jaarrekeningcontrole. Deze onderwerpen hebben geen direct verband met onze jaarrekeningcontrole en daarbij behorende controleverklaring. Echter deze thema s vinden wij van groot belang om uw organisatie toekomstbestendig en beheersbaar te maken. Derhalve nemen wij de ontwikkelingen over deze onderwerpen op vanuit onze natuurlijke adviesfunctie en zijn van mening dat dit noodzakelijke aanbevelingen bevat om uw organisatie verder te versterken. 3.1 Planning & Control: digitalisering, werken met indicatoren en een resultaatgerichte cultuur zijn de toekomst Op het gebied van planning en control (P&C) is gemeente Eindhoven bezig met verdere verbeteringen. De belangrijkste ontwikkelingen zijn: Het ontwikkelen van een visiedocument voor de cyclische instrumenten. Het doel van dit document is in kaart brengen welke instrumenten noodzakelijk zijn en waaraan deze instrumenten dienen te voldoen om te komen tot effectieve sturings-, beheers- en verantwoordingsinstrumenten. Het inperken van de verantwoordingsdocumenten zoals de concernrekening waarbij het doel is concreter en bondiger. Het samen analyseren is geëvalueerd. Hieruit komt naar voren dat aanscherping nodig is om verdere kwaliteit en uniformering te bewerkstelligen. In onze managementletter 2010 hebben we aan de hand van het huis van P&C uw P&C-cyclus nader geanalyseerd. PwC heeft een tweetal workshops verzorgd in de accountantscommissie om samen met de raadsleden te peilen hoe de toekomst van de P&C-cyclus van gemeente Eindhoven eruitziet. Wij hebben een discussiedocument opgesteld waarin wij de hierboven genoemde sporen samen vertaald hebben in een ontwikkelrichting voor de gemeente Eindhoven. Wij hebben de leden van de accountantscommissie gevraagd een stip op de horizon uit te werken waar de P&C-cyclus naartoe gaat voor gemeente Eindhoven, dit is hierna figuurlijk weergegeven. PwC Pagina 10
Figuur 2: Ontwikkelproces P&C Bij quick wins denken wij aan de volgende voorbeelden: Kort en krachtige vastlegging. Communicatie over het proces (welke beleidsstukken komen eraan?). Jaarstukken beperken tot concernverslag en bijlagen. Beleidsvisies/nota s niet meer opnemen als resultaat. Samenvoegen begrotingswijzigingen. Hoofdboodschap van de verschillende teksten verwerken in de titels. Kerncijfers en indicatoren goed met de Raad afstemmen (begroting 2012). Voor de overige drie sporen hebben wij het discussiedocument in bijlage C opgenomen. Met de accountantscommissie is de afspraak gemaakt dat de wethouder financiën in het kader van het gemeentelijke programma verbeterplan P&C onze aanbevelingen tegen het licht zal houden. De voorzitter van de accountantscommissie en de wethouder zullen vervolgens samen bezien welk voorstel zij de accountantscommissie zullen voorleggen. 3.2 Koppel risicomanagement aan prestatiemanagement om bewustzijn vast te houden In navolging op de nota strategisch risicomanagement zijn er bij diverse sectoren workshops gehouden, presentaties gegeven en is er ondersteuning geboden bij diverse risicomanagement sessies. Het onderling bespreken en afwegen van risico s en maatregelen wordt als positief ervaren. De eerste stappen in het vergroten van het risicobewustzijn zijn hiermee gezet. Echter is ook gebleken dat ondanks het enthousiasme na een workshop het erg lastig blijkt om het risicobewustzijn vast te houden. In onze visie is risicomanagement geen losstaand element binnen de bedrijfsvoering maar dient het een onderdeel te zijn van de dagelijkse gang van zaken. Verankering in de reguliere P&C-cyclus is hierbij een vereiste. Onze ervaring leert dat het helpt om risicomanagement te koppelen aan prestatie- management.. Het koppelen van doelstellingen, prestaties en risico s heeft een positieve uitwerking op het risicobewust. PwC Pagina 11
Binnen de huidige P&C-cyclus van de gemeente Eindhoven bieden de managementcontracten een uitgelezen mogelijkheid om een dergelijk koppeling te realiseren. Wij geven u in overweging de volgende waterval te hanteren bij het formuleren van doelstellingen in de managementcontracten: Waar moet de sector in uitblinken om de strategische doelstellingen te realiseren? (Succesfactor) Hoe weten wij of wij hier inderdaad in uitblinken? (KPI). Hoe goed willen wij hierin zijn? (Target). Welke initiatieven moeten wij ontplooien om deze targets te behalen? (Initiatieven). Hoeveel willen wij investeren om deze targets te halen? (Budget). Wat zou deze KSF in de weg kunnen staan? (Risico s). Wat zijn indicatoren (kans, impact) die duiden op verandering en omvang van het risico? (KRI). Welke initiatieven moeten wij ontplooien om deze risico s te mitigeren? Hoeveel willen we investeren om dit risico te beperken? (Budget). In de tussentijdse evaluaties kan vervolgens worden ingegaan om de geleverde prestaties en beheersing van de daaraan gekoppelde risico s. 3.3 Ontwikkeling sturing en beheersing IT-infrastructuur en applicatielandschap De inzet van IT-toepassingen vormt een belangrijke schakel in de bedrijfsvoering van Gemeente Eindhoven. De beheersing van de informatievoorziening vormt daarmee een integraal onderdeel van de beheersing van de organisatie en wordt bepaald door: de kwaliteit van de informatiesystemen, geprogrammeerde controles binnen systemen en gebruikerscontroles; de beheersing van de IT-infrastructuur, waarop de systemen draaien; de beheersing van IT-risico s; de beheersing van IT-(veranderings)trajecten. 3.3.1 Beveiligingsincidenten: passende maatregelen noodzakelijk Hoe belangrijk de beheersing van IT voor Gemeente Eindhoven is, is onder meer gebleken tijdens de beveiligingsincidenten die zich zeer recentelijk hebben voorgedaan. Zo werd in de media genoemd dat: gegevens van ruim dertigduizend WMO-cliënten van de gemeente twee maanden lang op internet hebben gestaan; diverse websites van de gemeente niet voldoende beveiligd zijn, waaronder de digitale gemeentelijke Belastingbalie. Op dit moment is de gemeente druk met het analyseren van de incidenten, het opstellen van een plan van aanpak en het nemen van passende maatregelen. Zo loopt er een inventarisatie die inzicht moet verschaffen in alle sites die een sector in beheer en of in ontwikkeling heeft zodat de Sector I&B alle aanwezige sites kent en deze ook onder de gewenste beheersing kan laten vallen. In het kader van onze natuurlijke adviesfunctie hebben wij, met behulp van door PwC ontwikkelde tooling, snel een eerste indruk kunnen krijgen van een overzicht (niet limitatief) van websites die bij het domein eindhoven.nl horen (zogenoemde subdomeinen/subsites). Hierbij valt op dat er gebruik wordt gemaakt van verouderde software die bekende beveiligingsproblemen bevat (dit betreft Tomcat versie 5.5.23). Voorts lijken een aantal van deze subsites ogenschijnlijk qua naamgeving dezelfde functie te hebben (voor remote toegang). Verder is er een subsite bij die lijkt op een testomgeving, waar in de regel vaak wat minder goed naar beveiliging wordt gekeken. Door bovenstaande feiten is het risico op ongeautoriseerde toegang of openbaring van gegevens vergroot. Wij adviseren u om alle gemeente-sites aan een quickscan te onderwerpen om na te gaan of er geen grote problemen aanwezig zijn. Wij merken op dat wij geen integrale security scan van uw IT-omgeving hebben uitgevoerd en dat dit een momentopname is naar de laatste stand der techniek, door technologische ontwikkelingen kunnen risico's anders gaan wegen en/of achterhaald raken. PwC Pagina 12
3.3.2 Beheer informatiesystemen niet eenduidig belegd, handboek biedt uitkomst Tijdens onze werkzaamheden in het kader van de jaarrekeningcontrole hebben wij onder meer vastgesteld dat taken, verantwoordelijkheden en bevoegdheden voor het beheer van informatiesystemen op dit moment niet eenduidig belegd zijn. Zo is de sector I&B verantwoordelijk voor het technisch beheer van de applicaties Decade, GWS4all en PIMS@all. Het functioneel beheer van GWS4all valt sinds kort ook onder de verantwoordelijkheid van de sector I&B. Voor de applicaties PIMS@all en Decade is het functioneel beheer belegd bij de betreffende sector. Gemeente Eindhoven kent geen proces- en systeemeigenaren. Hierdoor is het niet duidelijk wie waarvoor verantwoordelijk is. De sector I&B heeft de eerste stappen gezet door handboeken op te (gaan) stellen voor technisch beheer, applicatiebeheer en functioneel beheer. Gemeente Eindhoven is voornemens om in 2012 deze werkwijze te implementeren in de organisatie en wil meetbaar gaan maken in hoeverre procedures nageleefd worden. Als dit voornemen wordt doorgezet, zal er meer duidelijkheid komen over de verschillende vormen van beheer en zullen er ook meer handvaten zijn om bijvoorbeeld het wijzigingsbeheer beter in te richten. Wij onderschrijven deze stappen en adviseren u om ook een overzicht op te stellen hoe taken, verantwoordelijkheden en bevoegdheden voor IT zijn belegd en dit overzicht breed binnen de organisatie te communiceren. Daarnaast adviseren wij om hier gemeentebreed afspraken over te maken en niet sectorspecifiek. 3.4 Sector control als het financieel geweten van gemeente Eindhoven In de begroting 2012 geeft uw initiatieven weer om de sector Control te ontvlechten. De sector control bevat naast de verbijzonderde interne controle ook een contollersfunctie en een aantal administratieve functies. Wat valt ons op aan de huidige situatie rondom control in relatie tot de administratie bij de gemeente Eindhoven? Functievermenging tussen de DR en concern control. Er is geen afzonderlijke concerncontroller. Deze functie is belegd bij één van de directieleden. De gedeconcentreerde adviseurs (lijncontrollers) worden aangestuurd door de controllers in de huidige sector control om uniform werken te stimuleren en het leervermogen van de gedeconcentreerde adviseurs te vergroten. De gedeconcentreerde adviseurs hebben door de vele concern brede vraagstukken minder tijd beschikbaar voor control in de lijn zoals het samen analyseren. De sector control omvat ook een aantal administratieve onderdelen zoals registraties rondom reserves, investeringskredieten. De verbijzonderde interne controle is onderdeel van de sector control. Om het risico op zelfcontrole binnen de sector control te mitigeren, worden er geen interne controles uitgevoerd op de administratieve taken binnen de sector control. De administratie is onderdeel van de sector Interne Dienstverlening en volledig dienstbaar aan de overige sectoren. M.a.w. zij voeren uit wat door de andere sectoren wordt opgelegd. Wij zijn met u in gesprek en ondersteunen c.q. adviseren u bij het vinden van een passende oplossing. 3.5 Liquiditeitssturing verankeren in reguliere P&C Verslechterde economische omstandigheden en tegenvallende resultaten uit het grondbedrijf leiden anno 2011 tot een verscherpte aandacht voor de liquiditeitspositie. Het kasgeldlimiet wordt meer dan eens (na afstemming met de Provincie Noord-Brabant) overschreden en sinds lange tijd heeft de Gemeente Eindhoven langlopende financieringen voor eigen gebruik aangetrokken: de liquiditeitspositie lijkt zich structureel in zwaar weer te bevinden. Een intern onderzoek naar de liquiditeitspositie heeft geleid tot een adviesrapport waarin is aangegeven wat het nut is van een goede liquiditeitsprognose, wat daarvoor nodig is en wat voor maatregelen hiervoor getroffen moeten worden binnen de Gemeente Eindhoven. PwC Pagina 13