<b>Bijsluiter</b>. De hyperlink naar het originele document werkt niet meer. Daarom laat Woogle de tekst zien die in dat document stond. Deze tekst kan vreemde foutieve woorden of zinnen bevatten en de opmaak kan verdwenen of veranderd zijn. Dit komt door het zwartlakken van vertrouwelijke informatie of doordat de tekst niet digitaal beschikbaar was en dus ingescand en vervolgens via OCR weer ingelezen is. Voor het originele document, neem contact op met de Woo-contactpersoon van het bestuursorgaan.<br><br>====================================================================== Pagina 1 ======================================================================

<pre>Belangrijkste              Rapportage interim-bevindingen 2019
boodschappen
                           gemeente Leeuwarden
                           29 januari 2020
Evaluatie van uw interne
beheersing



Ontwikkelingen



Vooruitblik naar de
jaarrekeningcontrole



Bijlage




                                                                   Deze rapportage is
                                                                 interactief en gemaakt
                                                                   om te bekijken op:
</pre>

====================================================================== Einde pagina 1 =================================================================

<br><br>====================================================================== Pagina 2 ======================================================================

<pre>Belangrijkste              Gemeente Leeuwarden
boodschappen               Aan het college van burgemeester en wethouders
                           Postbus 21000
                           8900 JA LEEUWARDEN

Evaluatie van uw interne   29 januari 2020
beheersing
                           Referentie: HAVFPFZWQU4N-1708325835-224

                           Geacht college,
Ontwikkelingen
                           We hebben samen met gemeente Leeuwarden veel tijd                                                  Het rapport bestaat uit drie delen. Deel 1 geeft onze visie op
                           gestoken in het kennismaken met de organisatie, het uitvoeren                                      uw interne beheersing en onze bevindingen. Deel 2 beschrijft
                           van onze 30-dagenscan (‘de nulmeting’) en daarnaast het                                            de ontwikkelingen voor uw organisatie en uw status van
                           beoordelen van de opzet van processen en de interne                                                voorbereiding op deze ontwikkelingen. Deel 3 blikt vooruit op
Vooruitblik naar de        controles. Hierbij zijn veel gesprekken gevoerd, stukken                                           de jaareindecontrole en behandelt de meest relevante
jaarrekeningcontrole       doorgenomen en vragen gesteld en beantwoord. Op basis van                                          aandachtsgebieden.
                           deze werkzaamheden brengen wij nu onze rapportage uit over
                           de interne beheersing van gemeente Leeuwarden voor het                                             We hebben de inhoud van deze rapportage besproken met
                           boekjaar geëindigd op 31 december 2019.                                                            onder meer de concerncontroller, de gemeentesecretaris en
Bijlage                                                                                                                       de portefeuillehouder Financiën op 18 november 2019. Hebt u
                           We hebben onze werkzaamheden uitgevoerd in                                                         nog vragen, neemt u dan contact met ons op. Wij zijn uiteraard
                           overeenstemming met ons controleplan 2019.                                                         graag bereid om de inhoud van deze rapportage nader toe te
                           Onze gezamenlijke aanpak wordt op dit moment in de                                                 lichten.
                           startnotitie 2019 gebundeld. Onze zienswijzen, bevindingen en
                           aanbevelingen zijn open en constructief besproken met de                                           Hoogachtend,
                           ambtelijke organisatie.                                                                            PricewaterhouseCoopers Accountants N.V.

                           Onze tussentijdse bevindingen zijn gebaseerd op onze
                           werkzaamheden tot en met 31 oktober 2019. Indien er na deze                                        Origineel getekend door: drs. M.J.A. Koedijk RA RE
                           datum nieuwe bevindingen zijn met betrekking tot de interne
                           beheersing zullen wij dit met u delen in ons
                           accountantsverslag.
                           ‘PwC’ is het merk waaronder PricewaterhouseCoopers Accountants N.V. (KvK 34180285), PricewaterhouseCoopers Belastingadviseurs N.V. (KvK 34180284), PricewaterhouseCoopers Advisory N.V. (KvK
                           34180287), PricewaterhouseCoopers Compliance Services B.V. (KvK 51414406), PricewaterhouseCoopers Pensions, Actuarial & Insurance Services B.V. (KvK 54226368), PricewaterhouseCoopers B.V. (KvK
                           34180289) en andere vennootschappen handelen en diensten verlenen. Op deze diensten zijn algemene voorwaarden van toepassing, waarin onder meer aansprakelijkheidsvoorwaarden zijn opgenomen. Op
                           leveringen aan deze vennootschappen zijn algemene inkoopvoorwaarden van toepassing. Op www.pwc.nl treft u meer informatie over deze vennootschappen, waaronder deze algemene (inkoop)voorwaarden
                           die ook zijn gedeponeerd bij de Kamer van Koophandel te Amsterdam
</pre>

====================================================================== Einde pagina 2 =================================================================

<br><br>====================================================================== Pagina 3 ======================================================================

<pre>Belangrijkste
                           Onze belangrijkste boodschappen
boodschappen               1. De afgelopen maanden hebben in het teken gestaan van                proces in te richten. Inzake uw tweede lijn blijkt uit de
                              een uitgebreide kennismaking met de organisatie. In dit             richting die nu voor de toekomst van control wordt
                              rapport brengen wij op onderdelen verdieping aan op de              geschetst nog niet hoe de taken en verantwoordelijkheden
                              indrukken en aandachtspunten uit de 30-dagenscan en                 van elkaar worden onderscheiden; dit wordt nog nader
Evaluatie van uw interne      geven nog een aantal aanvullende bevindingen weer.                  uitgewerkt.
beheersing                    Overkoepelend zien we dat een aantal van onze eerste
                                                                                              5. Ten aanzien van uw (verbijzonderde) interne controle
                              waarnemingen wordt bevestigd. Samen met u bepalen wij
                                                                                                 (derde lijn) constateren wij een duidelijk verbeterpotentieel
                              het gezamenlijke groeipad voor de komende jaren met als
                                                                                                 ten opzichte van vergelijkbare gemeenten.
                              basis de door u vastgestelde ambities.
                                                                                                 Diverse aanscherpingen zijn nodig voor een meer
Ontwikkelingen             2. In 2019 bent u gestart met het verbeterprogramma                   consistente en risicogerichte aanpak.
                              bedrijfsvoering. Belangrijk streven van het programma is om
                                                                                              6. Voor het verantwoordingsproces sociaal domein heeft
                              de basis verder op orde te krijgen en een cultuur te creëren
                                                                                                 gemeente Leeuwarden een duidelijk plan van aanpak, dat
                              waarin continu wordt gekeken naar mogelijkheden om de
                                                                                                 nog veelal uitgaat van afhankelijkheden van derden achteraf
Vooruitblik naar de           bedrijfsvoering te verbeteren. Met focus op een aantal
                                                                                                 (zorg in natura en pgb). Binnen het sociaal domein steunt u
jaarrekeningcontrole          thema’s is in 2019 gewerkt aan verbeteracties. Daarnaast
                                                                                                 nog beperkt op eigen interne beheersing. Bij de inrichting
                              wordt actief geïnvesteerd in interne verbinding en
                                                                                                 van het verantwoordingsproces zien we dat de rollen en
                              bewustwording. Naar onze mening een positieve
                                                                                                 verantwoordelijkheden (proceseigenaar, control, VI- functie)
                              ontwikkeling.
                                                                                                 decentraal zijn verdeeld en meer in verbinding kunnen
Bijlage                    3. Als onderdeel van onze tussentijdse controle hebben wij de         worden gebracht.
                              kwaliteit van uw interne beheersing langs het three lines of
                                                                                              7. In 2018 is er voor een bedrag van €10,7 miljoen aan
                              defence-model beoordeeld, waarbij wij ons hebben
                                                                                                 onrechtmatigheden in Europese aanbestedingen
                              geconcentreerd op de interne beheersingsmaatregelen in
                                                                                                 gerapporteerd. Positief is dat u actie hebt ondernomen,
                              de eerste lijn. Een belangrijke constatering is dat er sprake
                                                                                                 maar door de bevindingen in het primaire proces geven wij
                              is van een wisselend beeld voor wat betreft de kwaliteit,
                                                                                                 een early warning af voor de omvang van de
                              aanpak en rolverdeling in uw gemeentelijke processen.
                                                                                                 onrechtmatigheden voor 2019. Uit de tussentijdse interne
                              Deze drie kenmerken zijn bepalend voor de controleaanpak
                                                                                                 controle voor het eerste halfjaar is een onrechtmatigheid
                              per proces die zal worden gehanteerd.
                                                                                                 van €1,5 miljoen geïdentificeerd (verwachting eind 2019:
                           4. Een belangrijk onderdeel van de controlvisie is een                €2,8 miljoen).
                              duidelijke inrichting van control volgens de three lines of
                                                                                              8. Uit de beoordeling van uw IT-omgeving blijkt dat het
                              defence. Onze eerste indruk is dat op dit moment achteraf
                                                                                                 volwassenheidsniveau van de IT-beheersingsprocessen
                              nog verschillende (verbijzonderde) interne controles worden
                                                                                                 nog niet in lijn is met het ambitieniveau van de gemeente
                              uitgevoerd om beheersingsrisico’s af te dekken. Het is een
                                                                                                 Leeuwarden. Bevindingen worden actief opgepakt mede in
                              belangrijke stap om controles nog meer in het primaire
                                                                                                 het kader van het verstrekken van een ISAE3402 type II-
                                                                                                 verklaring in 2020.
</pre>

====================================================================== Einde pagina 3 =================================================================

<br><br>====================================================================== Pagina 4 ======================================================================

<pre>        Belangrijkste
                                   Ons groeipad leidt tot een concrete ambitie voor 2020 en verder
        boodschappen               Het is nog maar enkele maanden geleden sinds onze start met
                                   het uitvoeren van de 30-dagenscan in de organisatie. In deze
                                   periode hebben wij elkaar goed leren kennen. Onze eerste
                                   indrukken en aandachtspunten per proces vanuit de 30-
        Evaluatie van uw interne   dagenscan zijn in het controleplan opgenomen en mondeling aan
        beheersing                 u teruggekoppeld. In dit rapport brengen wij op onderdelen
                                   verdieping aan en geven nog een aantal aanvullende bevindingen
                                   weer. Overkoepelend zien we dat een aantal van onze eerste
Bevindingen processen              waarnemingen wordt bevestigd. Zo is er op hoofdlijnen sprake
                                   van een wisselend beeld voor wat betreft de kwaliteit, aanpak en
Update frauderisico’s
                                   rolverdeling in uw gemeentelijke processen. Deze drie
                                   kenmerken zijn bepalend voor de controleaanpak per proces die
                                   zal worden gehanteerd.
        Ontwikkelingen                                                                                  In dit rapport leest u terug waar we organisatiegerichte
                                   De ambitie van gemeente Leeuwarden gaat uit van een                  controles gaan inzetten voor 2019. De resultaten van de
                                   organisatiegerichte controleaanpak waarbij de gemeente zoveel        organisatiegerichte controles die worden uitgevoerd nemen
                                   mogelijk steunt op de kwaliteit van de IT en de interne beheersing   we mee in ons accountantsverslag. Daar waar we geen
                                   in processen. Uiteindelijk is het ook één van uw doelen om in        organisatiegerichte controles inzetten voor 2019, op grond
        Vooruitblik naar de
                                   2021 door het college een rechtmatigheidsverklaring te kunnen        van bevindingen, hebben we in deze rapportage
        jaarrekeningcontrole
                                   laten afgeven en op langere termijn een in-control statement.        aangegeven welke aanscherpingen c.q. verbeteringen nog
                                                                                                        moeten worden opgevolgd. Hierbij passen we ook het three
                                   Graag gaan wij met u in gesprek over uw ambitie. Hierbij is het      lines of defence-model toe.
                                   naar onze mening van belang om een goede mix tussen
        Bijlage                    organisatiegerichte en gegevensgerichte controles na te streven.     Hiermee ontstaat voor de organisatie een goede basis om
                                   Soms kan een organisatiegerichte controle zorgen voor veel           de ambitie concreet te maken: welke structurele
                                   toegevoegde waarde voor de bedrijfsvoering, maar is het om           maatregelen gaan we nemen in de drie verdedigingslinies
                                   zekerheid te krijgen voor de jaarrekeningcontrole niet altijd het    om in 2020 (of komende jaren) mogelijk te komen tot een
                                   meest efficiënt. Juist in die gevallen is een bewuste keuze voor     meer organisatiegerichte controle?
                                   een gegevensgerichte controle soms effectiever.                      In de gezamenlijke startnotitie 2020 komt de ambitie tot
                                   Voor onze accountantscontrole streven we daarbij ook een zo          uiting. De ambitie en de aansluiting op de optimale
                                   goed mogelijke mix na (afhankelijk van geconstateerde                controleaanpak van gemeente Leeuwarden beschrijven we
                                   tekortkomingen, maar soms ook een keuze om te komen tot een          hierin per proces. Op deze wijze wordt duidelijk waar we
                                   zo efficiënt mogelijke aanpak).                                      willen uitkomen en wanneer we dit hebben bereikt. In onze
                                                                                                        rapportages staan we stil bij de resultaten van de stappen
                                   We hebben voor de processen gecontroleerd waar                       die we zetten in het gezamenlijke groeipad. Met als startpunt
                                   controlemaatregelen zijn ingericht en of deze ook daadwerkelijk      de eerste conclusies per proces in dit rapport.
                                   volgens de procedure, zichtbaar worden uitgevoerd (‘bestaan’).
</pre>

====================================================================== Einde pagina 4 =================================================================

<br><br>====================================================================== Pagina 5 ======================================================================

<pre>        Belangrijkste              Organisatie werkt met focus aan verbetering van bedrijfsvoering
        boodschappen
                                   Verbeterprogramma bedrijfsvoering in 2019 gestart                   Het is naar onze mening positief dat de gemeente op
                                   De organisatie is in 2019 gestart met het verbeterprogramma         deze wijze werkt aan het verbeteren van de
                                   bedrijfsvoering. In de afgelopen jaren is daarbij gebleken dat de   bedrijfsvoering. Het aanbrengen van focus en het gericht
        Evaluatie van uw interne
                                   eisen aan de bedrijfsvoering toenemen (bijvoorbeeld vanuit          zijn op snel te behalen resultaten kunnen hierbij
        beheersing
                                   maatschappelijk perspectief, IT-ontwikkelingen, maar ook            motiverend werken voor de rest van de organisatie.
                                   vanwege eisen vanuit de accountant). Vanuit de motivatie om
Bevindingen processen              gericht te werken aan verbetering van de bedrijfsvoering is         Eind 2019 zullen de resultaten van de focuspunten 2019
                                   hiervoor binnen gemeente Leeuwarden een programma                   duidelijk moeten zijn. Wij zullen gericht meekijken met
Update frauderisico’s              gestart.                                                            bepaalde genomen maatregelen en daar vanuit onze
                                                                                                       control als accountant (en onze natuurlijke adviesfunctie)
                                   Een belangrijk streven van het programma is om de basis             een terugkoppeling op geven. Het is daarbij aan te
        Ontwikkelingen             verder op orde te krijgen. Dit in een continu programma dat de      bevelen om de aandachtspunten in dit rapport ook te
                                   komende jaren naar verwachting blijft lopen. Voor 2019 is focus     betrekken in een duidelijke prioriteitsstelling. Het is
                                   aangebracht op vijf onderwerpen (waaronder inkoop en                daarbij belangrijk om de punten in het
                                   aanbesteding), waarin verbeteringen kunnen worden                   verbeterprogramma te integreren.
                                   doorgevoerd in de bedrijfsvoering. Juist door met focus in korte
        Vooruitblik naar de        tijd resultaten te boeken kan dit helpen om in de organisatie
        jaarrekeningcontrole       nieuwe initiatieven op dit vlak te stimuleren.

                                   Dit past ook in de tweede pijler van het programma, namelijk
                                   het creëren van een cultuur waarin continu samengewerkt
        Bijlage                    wordt aan het verbeteren van de kwaliteit van de
                                   bedrijfsvoering. Voor 2020 zullen weer enkele andere thema’s
                                   of onderwerpen op de agenda worden gezet die het komend
                                   jaar met focus opgepakt gaan worden.
</pre>

====================================================================== Einde pagina 5 =================================================================

<br><br>====================================================================== Pagina 6 ======================================================================

<pre>                                   Onze evaluatie van uw interne beheersing langs drie lijnen
        Belangrijkste
        boodschappen
                                   Gemeente Leeuwarden heeft het three lines of defence-model,        Wij raden aan om:
                                   verankerd in een controlevisie, opgesteld in 2016. In dit          • vanuit de directie vorm te geven aan de prioritering en de
                                   hoofdstuk koppelen wij onze bevindingen en aanbevelingen              fasering van procesverbeteringen;
        Evaluatie van uw interne   langs deze three lines of defence, waarbij we eerst ingaan op      • de voortgang van de procesverbeteringen te bewaken via
        beheersing                 het lijnmanagement en de bevindingen per proces en                    de reguliere P&C-cyclus;
                                   vervolgens de tweede lijn (controller/P&C-adviseurs) en daarna     • voor het proces een vast format te gebruiken waarin
                                   onze observaties over de VIC-functie met u delen.                     proceseigenaarschap, taken, verantwoordelijkheden en
Bevindingen processen
                                                                                                         bevoegdheden voldoende duidelijk zijn en waarin ook
Update frauderisico’s              Onze eerste indrukken van de processen van gemeente                   aandacht is voor risico’s en beheersingsmaatregelen.
                                   Leeuwarden geven een tweeledig beeld. We zien een
                                   organisatie die nadrukkelijk stuurt op het beheersen van           Een ander aandachtspunt is dat zowel de interne controle-
                                   belangrijke processen, waarbij interne controles binnen de lijn    medewerkers binnen de lijn, als de VIC-functie een organisatie-
        Ontwikkelingen             worden uitgevoerd.                                                 gerichte controleaanpak hanteren. U steunt op interne
                                                                                                      beheersingsmaatregelen (binnen en buiten een IT-systeem).
                                   Aan de andere kant hebben we binnen onderdelen van het             Hierbij merken we op dat gemeente Leeuwarden de IT-
                                   proces bevindingen die dermate van belang/kritisch zijn, dat wij   omgeving nog niet Leeuwarden zelfstandig beoordeelt (kan er
        Vooruitblik naar de        adviseren om hier zo snel mogelijk actie op te ondernemen. Dit     wel of niet op een IT-systeem worden gesteund, en zo niet:
        jaarrekeningcontrole       wil niet zeggen dat het gehele proces niet goed is opgezet of      welke aanvullende werkzaamheden zijn dan nog noodzakelijk).
                                   wordt uitgevoerd. Overkoepelend zien we nog een aantal             Ook worden niet alle interne beheersingsmaatregelen zichtbaar
                                   aandachtspunten die van belang zijn om het groeipad naar een       gedocumenteerd; dit is een belangrijke voorwaarde voor een
                                   meer organisatiegerichte controle verder vorm te geven.            organisatiegerichte aanpak.
        Bijlage
                                   Zo zijn ook een aantal basisbeheersingsmaatregelen, zoals het      Op de volgende pagina is zichtbaar welke processen in de
                                   actualiseren van procesbeschrijvingen, nog in ontwikkeling.        reikwijdte van de interim-controle zijn opgenomen.
                                   De aanwezigheid van (actuele) procesbeschrijvingen is een          Hierbij hebben we per proces op hoofdlijnen een conclusie
                                   belangrijke bouwsteen voor het structureel verankeren van de       getrokken.
                                   interne beheersing in deze processen. Het geeft de
                                   lijnmanagers houvast en structuur bij de aansturing en
                                   uitvoering van de primaire processen waar zij verantwoordelijk
                                   voor zijn.
</pre>

====================================================================== Einde pagina 6 =================================================================

<br><br>====================================================================== Pagina 7 ======================================================================

<pre>                                   Stand van zaken interne beheersing van uw processen
        Belangrijkste
                                                                                                                                                Organisatie- of
        boodschappen                                                                                                                           gegevensgerichte
                                   In de tabel hiernaast vindt u onze beoordeling
                                                                                                      Proces                           2019        controle
                                   van de interne beheersing van uw organisatie
                                   Klik op de processen voor onze detail-                                 Inkoop en betalen             
                                   bevindingen, waarbij wij ons hebben




                                                                                    BEDRIJFSVOERING
        Evaluatie van uw interne
                                   geconcentreerd op de interne beheersings-                              Aanbestedingen                
        beheersing
                                   maatregelen in de eerste lijn.                                         Salarissen                    
Bevindingen processen              Voor het proces gemeentelijke belastingen                              Treasury                      
                                   hebben we nog geen conclusie getrokken.
Update frauderisico’s              We hebben het IT-pakket nog niet beoordeeld.                           IT                            
                                   De afdeling maakt gebruik van veel IT-                                 Opbrengsten werken            
                                   afhankelijkheden in de interne controles.                              voor derden
                                   Indien gesteund kan worden op het IT-systeem
        Ontwikkelingen                                                                                    Financiële administratie      
                                   verwachten we hier een organisatiegerichte
                                   controle.

                                   Klik hier voor onze visie op uw tweede lijn.
        Vooruitblik naar de
                                   Klik hier voor onze visie op uw derde lijn.                            Grondexploitaties             
        jaarrekeningcontrole
                                                                                                          Materiële vaste activa         




                                                                                    FYSIEK
                                   Klik hier voor een toelichting op het lines of
                                   defence-model.                                                         Huuropbrengsten               

        Bijlage                                                                                           Gemeentelijke                n.n.b
                                   Legenda                                                                belastingen
                                    In opzet ontoereikend
                                    In opzet toereikend, maar één of
                                     meerdere beheersingsmaatregelen
                                                                                                          Jeugd                         
                                     bestaan in de praktijk niet of zijn niet
                                                                                    SOCIAAL


                                     zichtbaar.                                                           Wmo                           
                                    Proces is adequaat opgezet en
                                                                                                          Sociale uitkeringen (incl.    
                                     beheersingsmaatregelen bestaan                                       Participatiewet)
                                      Gegevensgerichte werkzaamheden
                                                                                                          Verstrekte subsidies          
                                      Organisatiegerichte werkzaamheden
</pre>

====================================================================== Einde pagina 7 =================================================================

<br><br>====================================================================== Pagina 8 ======================================================================

<pre>       Wat is het lines of defence-model?
                            Pyramid thinking titel algemeen beeld/ontwikkeling interne
Belangrijkste
                            beheersing
       Onze controleaanpak is,
boodschappen                                     volgens
                               naast het controleren           de lines
                                                     van de jaarrekening,     of op
                                                                          gericht defence
                                                                                    het verbeteren van uw bedrijfsvoering inclusief
       digitalisering hiervan. In onze controle hanteren wij daarvoor het three lines of defence-model. Dit model geeft handvatten om te
       beoordelen waar in de<Algemene         toelichtingrisico’s
                                   interne beheersing      opnemen   over ondervangen:
                                                                  worden    hoe de                          Proces                    Line of defence                       Tov
                                  gemeente/provincie   zich   ontwikkelt in het
       • In de eerste lijn: in het primaire proces, onder verantwoordelijkheid  lines of van de proceseigenaar.                                                            2017
                   internelijn: indefence  model. Hier hoef je geen toelichting op te                                                  1      2     3




                                                                                             BEDRIJFSVOERING
Evaluatie
       • van
          In deuwtweede             de ondersteunende      processen zoals Financiën en Control, waar checks and balances ingericht zijn om
beheersingfouten te signaleren.   nemen   op de inviduele   bevindingen,   deze  volgt
                                                                                                                Inkopen en betalingen                                    
                                  op de volgende pagina’s>.
       • In de derde lijn: in uw verbijzonderde interne controle (‘VIC’) achteraf.
                                                                                                                           Aanbestedingen                                
                                                                                                                           Salarissen                                   
Ontwikkelingen
                                        1e     lijn
                                     Lijnmanagement
                                                                                    2e      lijn
                                                                                 Ondersteuning
                                                                                                                                 3e subsidies
                                                                                                                           Inkomende lijn
                                                                                                                     Verbijzonderde Interne controle
                                                                                                                                                                         

                                                                                                                           IT                                           
                                         Afdelingen                 SSC/Control/P&C-medewerkers domeinen                         VIC-functie
Vooruitblik naar de
                    • Primair verantwoordelijk voor                  • Ondersteunt de afdelingen bij de           • De VIC voert interne controles uit op
               Gemeente




jaarrekeningcontrole                                                                                                                                                        Tov
                           getrouwheid en rechtmatigheid               uitvoering van de primaire processen         deProces
                                                                                                                       getrouwheid en rechtmatigheid Line of defence
                           transacties binnen eigen processen                                                                                                              2017
                                                                     • SSC voert bij de verwerking een aantal       van de financieel-kritische processen1   2     3
                          • Verantwoordelijk voor kwalitatieve         primaire controles uit op de eerste lijn   • Adviseert over verbetering in de




                                                                                             FYSIEK
                            analyse en toelichting P&C-producten                                                           Grondexploitatie
                                                                                                                    eerste en tweede lijn                                
Bijlage
                          • Adviseert (met de VIC) preventieve       • Adviseert preventieve interne                       Inkomende subsidies                          
                                                                                                                  • Adviseert/vervult klankbordrol om te
                            interne controlemaatregelen in het         controlemaatregelen in het                   komen Parkeren
                                                                                                                           tot een effectieve en efficiënte              
               PwC




                            primaire proces                            ondersteunende proces en de IT               controleaanpak
                          • Geeft feedback om leesbaarheid/          • Geeft adviezen om effectiviteit            • Maakt waar mogelijk gebruik van de
                            informatiewaarde P&C-documenten            controlwerkzaamheden te vergroten            werkzaamheden van de VIC
                            te verhogen                                                                                                                                     Tov
                                        Legenda                                                                       Proces                             Line of defence
                                                                                                                                                                           2017
                                         In opzet ontoereikend                                                                                           1    2      3
                                                                     Wij rapporteren via het push-leftprincipe
                                          In opzet toereikend, maar één of meerdere
                                                                                             SOCIAAL


                                Het push-leftprincipe  is erop gericht
                                            beheersmaatregelen              in de beheersing in de eerste en tweede lijnJeugd
                                                                       de interne
                                                                   bestaan                                                 te optimaliseren. Dit                         
                                vanuit het uitgangspunt
                                            praktijk niet dat fouten voorkomen beter is dan achteraf constateren. Indien  Wmoer tekortkomingen zijn                      
                                in de interne beheersing   in de eerste
                                          Proces is adequaat opgezet enen tweede   lijn, dan zullen wij deze daarom  rapporteren  als bevinding, ook
                                als deze in beheersmaatregelen
                                            de derde lijn door middel   van
                                                                   bestaan  verbijzonderde    interne controle ondervangenParticipatie
                                                                                                                            wordt.                                       
                                        ◆ Niet van toepassing                                                              Verstrekte subsidies                          
</pre>

====================================================================== Einde pagina 8 =================================================================

<br><br>====================================================================== Pagina 9 ======================================================================

<pre>      Toelichting bevindingen – inkoop en betalen
                                Pyramid thinking titel lines of defence
Belangrijkste                                                                                       Proces                                   Line of defence
       Bevinding 2019-1: de mandaatstructuur
boodschappen                                 en de budgethoudersregeling
                             <Algemene toelichting opnemen over hoe de zijn niet ingeregeld in Corsa
                                                                                                                                              1      2     3      Tov
                                 gemeente/provincie zich ontwikkelt in het lines




                                                                                      BEDRIJFSVOERING
        Risico                                                                                                           Managementreactie                       2017
                                 of defence
        Het risico dat hierdoor ontstaat     model.
                                         is dat      Hier hoef je geen en
                                                de inkoopopdrachten    toelichting op
                                                                          de ingeboekte  facturen niet door de juiste    Analyse/interpretatie: dit
        functionarissen worden te   nemen
                                 geautoriseerd,    wat tot gevolg kan hebben dat er onrechtmatige kosten ontstaanInkopen      enen
                                                                                                                         risico  betalingen    
                                                                                                                                   de bijbehorende              
Evaluatie van uw interne
        (formele onrechtmatigheid).                                                                                      mitigerende maatregel
                                                                                                                    Aanbestedingen             zijn al         
beheersing
                                                                                                                         onderdeel van de VIC,
        Aanbeveling                                                                                                      waarbij gebruik wordt
                                                                                                                    Salarissen                                 
        U hebt aangegeven dat u het gehele inkoopproces wilt gaan digitaliseren door middel van het invoeren             gemaakt van de IC door de
        van een bestelprocedure. Wanneer dit wordt geïmplementeerd zal de processtap ‘autorisatie van               Inkomende subsidies                        
                                                                                                                         afdeling F&A.
        facturen’
Ontwikkelingen     een minder belangrijke  rol krijgen doordat  de verantwoordelijkheid voor de gegevens   ligt bij
        degene die de bestelling plaatst. Tot die tijd moet u echter nog wel gaan vaststellen of de                 IT                                        
                                                                                                                         Jaareinde: uitvoering door
        geautoriseerde facturen door de juiste functionarissen zijn geautoriseerd conform de mandaatstructuur            F&A op basis van ICP F&A.
        en de budgethoudersregeling.
Vooruitblik naar deper jaareinde
        Opvolging                                                                                               Proces Procesverbetering: met  Linehet
                                                                                                                                                    of defence
jaarrekeningcontrole
        We verwachten dat de (V)IC-functie per jaareinde een steekproef uitvoert om vast te stellen of de                afdekken van dit risico1 wordt2    3     Tov
        gemaakte kosten aansluiten met uw mandaatregeling en de budgethoudersregeling.                                   rekening gehouden in de                 2017




                                                                                      SOCIAAL
                                                                                                                         voorziene opzet van de
        Prioriteit                                                                                                  Grondexploitatie           
                                                                                                                         bestel- en verplichtingen-             
                                                                                                                         administratie die we per
Bijlage Hoog                                                                                                        Inkomende subsidies                       
                                                                                                                         1 mei 2020 in gebruik willen
                                                                                                                         nemen.
                                                                                                                    Parkeren                                   



                                                                                                              Proces                          Line of defence
                                                                                                                                              1      2      3     Tov
                                                                                                                                                                 2017
                                                                                      FYSIEK

                                                                                                                   Jeugd                                       
                                                                                                                   Wmo                                         
                                                                                                                   Participatie                                
                                                                                                                   Verstrekte subsidies                        
</pre>

====================================================================== Einde pagina 9 =================================================================

<br><br>====================================================================== Pagina 10 ======================================================================

<pre>      Toelichting bevindingen – inkoop en betalen
                                Pyramid thinking titel lines of defence
Belangrijkste                                                                                     Proces                        Line of defence
       Bevinding 2019-2: betaalbestanden
boodschappen                             worden opgeslagen
                             <Algemene toelichting opnemen op netwerkschijf
                                                           over hoe de      waardoor ongeautoriseerde mutaties kunnen plaatsvinden
                                                                                                                                             1     2     3      Tov
                                 gemeente/provincie zich ontwikkelt in het lines




                                                                                     BEDRIJFSVOERING
        Risico                                                                                                                 Managementreactie               2017
                                 of defence model. Hier hoef je geen toelichting op
        De betaalbestanden worden opgeslagen op een netwerkschijf waartoe de medewerkers van CFA alleen                        Analyse/interpretatie:
                                 te nemen                                                                          Inkopen en betalingen                     
        leesrechten zouden
Evaluatie van uw interne      moeten  hebben. Dit is echter niet voor alle netwerkschijven goed ingericht. Hierbij wordt       eens.
        wel nog door de tweede fiatteur gecontroleerd of het controletotaal op de betaalopdracht matcht met het    Aanbestedingen                            
beheersing
        controletotaal in het bankpakket.                                                                                      Jaareinde: de
                                                                                                                   Salarissen voorgestelde                  
        Aanbeveling                                                                                                            (jaareinde)controle
        We bevelen aan dat de rechten op de netwerkschijf worden beperkt tot leesrechten.                          Inkomende subsidies                       
                                                                                                                               maakt al onderdeel
Ontwikkelingen                                                                                                                 uit van de op basis
        Opvolging per jaareinde                                                                                    IT                                       
        We verwachten dat de (V)IC-functie per jaareinde een steekproef uitvoert om vast te stellen of betalingen              van het Uitvoerings-
        conform de geautoriseerde betaallijst zijn uitbetaald (match met controletotaal).                                      plan VIC uit te voeren
                                                                                                                               werkzaamheden.
Vooruitblik naar de                                                                                          Proces                          Line of defence
        Prioriteit
jaarrekeningcontrole
        Hoog                                                                                                                   Procesverbetering:
                                                                                                                                              1      2    3     Tov
                                                                                                                               we gaan na of de                2017




                                                                                     SOCIAAL
                                                                                                                               toegangsrechten
                                                                                                                   Grondexploitatie           
                                                                                                                               goed zijn ingeregeld           
                                                                                                                               en passen deze
                                                                                                                   Inkomende subsidies         waar         
Bijlage
                                                                                                                               nodig aan.
                                                                                                                   Parkeren                                  



                                                                                                            Proces                          Line of defence
                                                                                                                                             1     2      3     Tov
                                                                                                                                                               2017
                                                                                     FYSIEK

                                                                                                                 Jeugd                                       
                                                                                                                 Wmo                                         
                                                                                                                 Participatie                                
                                                                                                                 Verstrekte subsidies                        
</pre>

====================================================================== Einde pagina 10 =================================================================

<br><br>====================================================================== Pagina 11 ======================================================================

<pre>      Toelichting bevindingen – inkoop en betalen
                               Pyramid thinking titel lines of defence
Belangrijkste                                                                                          Proces                               Line of defence
       Bevinding 2019-3: er wordt
boodschappen                      in het inkoopsysteem
                             <Algemene                   niet afgedwongen
                                           toelichting opnemen   over hoe dedat een verplichtingennummer wordt aangemaakt
                                                                                                                                             1     2      3      Tov
                                gemeente/provincie zich ontwikkelt in het lines




                                                                                  BEDRIJFSVOERING
       Risico                                                                                                 Managementreactie                                 2017
                                of defence model. Hier hoef je geen toelichting op
       Het risico bestaat dat er onvoldoende zicht is op de verplichtingen die gedurende het jaar worden      Analyse/interpretatie: eens dat het niet
                                te nemen                                                                        Inkopen en betalingen                         
       aangegaan.
Evaluatie           Dit heeft mogelijk gevolgen voor de volledigheid van de schulden, budgetten en
          van uw interne                                                                                      afgedwongen      wordt. Hoe we met het
       kredieten en aanbestedingen.                                                                           vastleggen     van verplichtingen
                                                                                                                Aanbestedingen                 omgaan
                                                                                                                                                               
beheersing
                                                                                                              is beschreven in de richtlijn
       Aanbeveling                                                                                              Salarissen
                                                                                                              verplichtingen.                 
                                                                                                                                 Voor verplichtingen          
       Vanuit Leeuwarden digitaal werkt de gemeente aan een verbetering van het inkoopproces.                 boven    €10k issubsidies
                                                                                                                                het verplicht een
       Met de nieuwe inrichting van de workflow van het inkoopproces wordt afgedwongen dat een                  Inkomende                      VPL   aan      
                                                                                                              te maken. Hierop bestaan echter wel
       verplichtingennummer moet worden aangemaakt.
Ontwikkelingen                                                                                                enkele   uitzonderingen, die ook
                                                                                                                IT                             in de         
       Opvolging per jaareinde                                                                                richtlijn zijn vermeld. Ten aanzien van
       We verwachten dat bij de (V)IC-werkzaamheden wordt beoordeeld of er inkopen hebben                     het vermelde risico is goed te
       plaatsgevonden zonder verplichtingennummer. Dit maakt al deel uit van uw controle op                   vermelden dat de een-op-eenrelatie met
Vooruitblik naar de                                                                                        Proces
                                                                                                              de genoemde gevolgen er niet   Linealtijd
                                                                                                                                                   of defence
                                                                                                                                                        is.
       aanbestedingen.
jaarrekeningcontrole                                                                                          We gebruiken de VPL’s bijvoorbeeld
                                                                                                                                               1      2     3    Tov
          Prioriteit                                                                                          niet om de verplichtingen per jaareinde           2017




                                                                                  SOCIAAL
          Hoog                                                                                                volledig op te nemen.
                                                                                                                Grondexploitatie                              
                                                                                                              Jaareinde:
                                                                                                                Inkomende   deze  check vindtmomenteel
                                                                                                                              subsidies                       
Bijlage
                                                                                                              nog niet centraal en/of integraal plaats.
                                                                                                                Parkeren
                                                                                                              Wel                             
                                                                                                                    zijn er decentraal controles               
                                                                                                              (uitvoering bij fysiek, sociaal en SSC).
                                                                                                              Hier wordt voor de relevante
                                                                                                              categorieën de mate van het gebruik
                                                                                                           Proces                             Line of defence
                                                                                                              gevolgd. Bij de VIC op aanbestedingen
                                                                                                              kan hiervan gebruik worden gemaakt.
                                                                                                                                             1      2     3      Tov
                                                                                                                                                                2017
                                                                                                              Procesverbetering: met de voorziene
                                                                                  FYSIEK

                                                                                                               Jeugd
                                                                                                              opzet                              
                                                                                                                     van de bestel- en verplichtingen-          
                                                                                                              administratie die we per 1 mei 2020 in
                                                                                                               Wmo                                            
                                                                                                              gebruik willen nemen zal de volledigheid
                                                                                                              van  verplichtingen nader worden
                                                                                                               Participatie                                   
                                                                                                              gestimuleerd, voor de uitgaven die via
                                                                                                               Verstrekte
                                                                                                              dit          subsidies
                                                                                                                  systeem lopen.                              
</pre>

====================================================================== Einde pagina 11 =================================================================

<br><br>====================================================================== Pagina 12 ======================================================================

<pre>      Toelichting bevindingen – inkoop en betalen
                                Pyramid thinking titel lines of defence
Belangrijkste                                                                                               Proces                          Line of defence
       Bevinding 2019-4: aanscherpingen
boodschappen                 <Algemene kaders   en zichtbaarheid
                                        toelichting opnemen over controle
                                                                  hoe de op prestatielevering
                                                                                                                                             1     2      3     Tov
                                 gemeente/provincie zich ontwikkelt in het lines




                                                                                     BEDRIJFSVOERING
       Risico                                                                                                            Managementreactie                     2017
                                 of defence model. Hier hoef je geen toelichting op
       Er zijn voldoende functiescheidingen ten aanzien van het akkoord verklaren van prestaties. Het is echter          Analyse/interpretatie: dit risico
                                 te nemen                                                                        Inkopen en
                                                                                                                         en de
                                                                                                                             betalingen                      
       niet in alle gevallen
Evaluatie van uw interne     zichtbaar  op grond van welke  controlemaatregelen/documentatie   de prestatielevering             bijbehorende
       wordt goedgekeurd.                                                                                                mitigerende maatregel
                                                                                                                 Aanbestedingen              zijn  al        
beheersing
                                                                                                                         onderdeel van de VIC, waarbij
       Aanbeveling                                                                                               Salarissen                 
                                                                                                                         gebruik wordt gemaakt      de 
                                                                                                                                                  van          
       Om dit risico te mitigeren, adviseren wij u om in de financiële administratie dusdanige waarborgen te             IC door  de afdeling
                                                                                                                 Inkomende
       treffen, dat het niet mogelijk is om een factuur te autoriseren indien geen (valide) document is toegevoegd           subsidies      F&A   (vorig     
                                                                                                                         jaar op basis van een
       waaruit de prestatielevering blijkt. We bevelen gemeente Leeuwarden aan om in het verbetertraject van het
Ontwikkelingen                                                                                                           steekproef door EY).
       inkoopproces aandacht te besteden aan kaders omtrent de prestatielevering (voor welke categorieën IT                                                 
       inkoop en boven welke grens worden welke onderbouwende documenten verwacht).                                      Jaareinde: uitvoering door
        Opvolging per jaareinde                                                                                           F&A op basis van ICP F&A.
Vooruitblik                                                                                             Proces            F&A doet zelf eenLine of defence
                                                                                                                                            steekproef
       We naar  de
            verwachten dat bij de (V)IC-werkzaamheden op inkoopfacturen de functiescheiding wordt getoetst ten
jaarrekeningcontrole
       aanzien van autorisatie en de prestatieakkoordverklaring. Voor de prestatieakkoordverklaring verwachten            na uitgevoerde data-analyse
                                                                                                                                            1      2    3       Tov
        we een aansluiting met onderbouwende documenten.                                                                  (ondersteuning door VIC).            2017




                                                                                     SOCIAAL
                                                                                                                          Procesverbetering:met het
                                                                                                                 Grondexploitatie                             
        Prioriteit
                                                                                                                          afdekken  van dit risico
                                                                                                                                              wordt           
Bijlage Hoog                                                                                                     Inkomende    subsidies                 
                                                                                                                          rekening gehouden in de
                                                                                                                 Parkerenvoorziene opzet van  de bestel-
                                                                                                                                                              
                                                                                                                          en verplichtingenadministratie
                                                                                                                          die we per 1 mei 2020 in
                                                                                                                          gebruik willen nemen.
                                                                                                             Proces       De kaders wordenLine of defence
                                                                                                                          opgenomen in de op dit
                                                                                                                                              1    2      3     Tov
                                                                                                                          moment onderhanden richtlijn         2017
                                                                                                                          prestatieleveringscontrole.
                                                                                     FYSIEK

                                                                                                                 Jeugd De invoering hiervan   is ook
                                                                                                                                                              
                                                                                                                          naar verwachting per 1 mei
                                                                                                                 Wmo                                         
                                                                                                                          2020 omdat het dan geborgd
                                                                                                                          kan worden in de nieuwe
                                                                                                                 Participatie                                
                                                                                                                          bestel- en verplichtingen-
                                                                                                                 Verstrekte  subsidies
                                                                                                                          administratie.                     
</pre>

====================================================================== Einde pagina 12 =================================================================

<br><br>====================================================================== Pagina 13 ======================================================================

<pre>      Toelichting bevindingen – aanbestedingen
                                Pyramid thinking titel lines of defence
Belangrijkste                                                                                         Proces                              Line of defence
       Bevinding 2019-5: het proces
boodschappen                        aanbestedingen
                              <Algemene  toelichting kent onvoldoende
                                                     opnemen   over hoewaarborgen
                                                                        de        dat alle inkopen rechtmatig worden aanbesteed
                                                                                                                                           1     2     3      Tov
                               gemeente/provincie zich ontwikkelt in het lines




                                                                                    BEDRIJFSVOERING
       Risico                                                                                                Managementreactie                               2017
                               of defence
       U loopt hiermee het risico          model. Hier
                                  dat niet voldaan     hoef
                                                   wordt aanjede
                                                               geen toelichting
                                                                 wet-           op
                                                                      en regelgeving rondom inkoop en        Analyse/interpretatie: eens met risico en
                               te nemen
       aanbesteding. De fouten en onzekerheden uit 2018 (€10,7 miljoen) en eerdere jaren tonen aan             Inkopen en betalingen
                                                                                                             aanbevelingen.                                
Evaluatie van uw interne
       dat de interne beheersing omtrent aanbestedingen niet op orde is. Daarnaast heeft het impact op         Aanbestedingen                              
beheersing
       de reputatie van de gemeente en maakt het de gemeente kwetsbaar voor claims van concurrent-           Jaareinde: er is inmiddels een gesprek
       leveranciers. Daarnaast leidt het ontbreken van adequate interne beheersingsmaatregelen tot                  VIC en PwC geweest
                                                                                                               Salarissen
                                                                                                             tussen                       over de          
       een verhoogd frauderisico.                                                                            spendanalyse en de controleaanpak
                                                                                                               Inkomende subsidies                         
                                                                                                             vanuit de VIC en de uitvoering hiervan
        Aanbeveling
Ontwikkelingen                                                                                               binnen
        Waarborg tijdige implementatie van verbetermaatregelen uit het verbeterprogramma                       IT de domeinen. De daar    besproken
                                                                                                                                                           
                                                                                                             aanpak zullen we in overleg met PwC
        bedrijfsvoering:                                                                                     waar nodig verder verfijnen.
        - kennis vergroten door opleidingspakket;
        - een centraal contractenregister;                                                                 Proces                          Line ofde
                                                                                                             Procesverbetering: wij herkennen      defence
Vooruitblik naar de
        - een centraal inkooppunt met aandacht voor specialisaties in soort inkopen (zoals zorg versus
jaarrekeningcontrole                                                                                         aanbevelingen en zien dat deze 1      2    3     Tov
           infrastructuur) en onderlinge samenwerking in de regio.                                           grotendeels al onderdeel zijn van de            2017




                                                                                    SOCIAAL
                                                                                                             acties in het bedrijfsvoeringsprogramma
        Verdere aanbevelingen:                                                                                 Grondexploitatie
                                                                                                             (deels                         en
                                                                                                                     met afronding eind 2019)      de        
        • Waarborg dat geen inkoop/verplichting mag worden aangemaakt in de administratie zonder             opzet van de bestel- en verplichtingen-
Bijlage    inkoopstartformulier (bijvoorbeeld: voeg referentienummer startformulier toe in boeking/label).     Inkomende subsidies                        
                                                                                                             administratie (invoering verwacht per
           Door middel van een query uit de administratie kan dit vervolgens worden gecontroleerd.           1 mei  2020).
                                                                                                               Parkeren                                    
        • De afdeling/IC kan meer betrokken worden bij de huidige intensieve, gegevensgerichte
           controle. Werklast/kennis ligt nu voornamelijk in de derde lijn (VIC-functie). Dit kunt u doen
           door per domein/afdeling inzicht te geven in tijdspad, controleaanpak en verzoeken voor
           voorbereidingen van controles (voorbeelden zijn: standpuntenmemo’s over voortgang
                                                                                                           Proces                          Line of defence
           bevindingen voor laten bereiden en delen inhoud checklist dossiervorming in Planplus).
                                                                                                                                           1     2     3      Tov
        Opvolging per jaareinde                                                                                                                              2017
        Er zijn geen zichtbare interne beheersingsmaatregelen in het aanbestedingsproces aanwezig.
                                                                                    FYSIEK

        Er wordt een gegevensgerichte controle uitgevoerd. We verwachten een gegevensgerichte                   Jeugd                                      
        steekproef waarbij ook opvolging wordt gegeven aan alle bevindingen uit vorige jaren en
                                                                                                                Wmo                                        
        standpuntenmemo’s worden geactualiseerd/opgesteld.
                                                                                                                Participatie                               
        Prioriteit
        Hoog                                                                                                    Verstrekte subsidies                       
</pre>

====================================================================== Einde pagina 13 =================================================================

<br><br>====================================================================== Pagina 14 ======================================================================

<pre>      Toelichting bevindingen – salarissen
                               Pyramid thinking titel lines of defence
Belangrijkste                                                                                         Proces                                Line of defence
       Bevinding 2019-6: er wordt
boodschappen                      geen vierogenprincipe
                             <Algemene                  afgedwongen
                                         toelichting opnemen over hoebij
                                                                      deinvoer mutaties in het systeem PIMS
                                                                                                                                             1       2   3     Tov
                                 gemeente/provincie zich ontwikkelt in het lines




                                                                                     BEDRIJFSVOERING
       Risico                                                                                          Managementreactie                                      2017
       Het risico dat ontstaat isofdat
                                    defence   model.
                                       niet alle     Hier hoef je geen
                                                 personeelsmutaties     toelichting
                                                                     juist           op worden
                                                                           en/of volledig              Analyse/interpretatie: eens, dit wordt niet
       verwerkt.                 te nemen                                                                        Inkopen
                                                                                                       afgedwongen     en iseneen bekende 
                                                                                                                               betalingen                    
Evaluatie van uw interne
                                                                                                       bevinding.Aanbestedingen
                                                                                                                   In samenspraak met de VIC-
                                                                                                                                                            
beheersing
       Aanbeveling                                                                                     functie wordt per kwartaal een interne
       Wij adviseren u om een adequate procedure in te richten waarbij in PIMS wordt                             Salarissen geïmplementeerd
                                                                                                       beheersingsmaatregel                                
       afgedwongen dat mutaties geautoriseerd moeten worden door een andere functionaris               (IBM), waarbij de kruislingse controle
       dan degene die de mutaties heeft ingevoerd. Wij hebben begrepen dat u ook in het                          Inkomende subsidies                        
                                                                                                       alsnog zichtbaar wordt uitgevoerd voor
       proces lonen en salarissen gebruik wilt gaan maken van data-analyse. Wanneer dit
Ontwikkelingen                                                                                         een geselecteerd    aantal mutaties. 
       geïmplementeerd is, kan de gemeente de werkzaamheden gaan inrichten op                                    IT                                         
       bijzonderheden in plaats van dat er een steekproef moet worden uitgevoerd om vast te            Jaareinde: al opgelost door middel van
       stellen of de ingevoerde mutaties juist zijn. Wij kunnen hier alleen gebruik van maken          een IBM.
       indien de IT General Controls van het salarispakket op orde zijn (zie ook de slides met               Proces                         Line of defence
Vooruitblik naar de
       betrekking tot IT).
jaarrekeningcontrole                                                                                   Procesverbetering: we zouden graag1          2    3     Tov
        Opvolging per jaareinde                                                                        een afgedwongen invoercontrole op                      2017




                                                                                     SOCIAAL
        We verwachten dat gemeente Leeuwarden ofwel aanvullende werkzaamheden verricht                 basis van het vierogenprincipe opnemen
        door middel van data-analyse (komt in verwerking en autorisatie dezelfde functionaris                    Grondexploitatie
                                                                                                       in onze werkwijze.                   
                                                                                                                             Helaas werken we                
                                                                                                       (tot en met uiterlijk 2021) nog met PIMS,
Bijlage voor) ofwel hierop een aanvullende steekproef verricht om vast te stellen of de                          Inkomende subsidies                       
        ingevoerde mutaties juist zijn aan de hand van de onderliggende controledocumentatie.          waarin dat niet mogelijk is. Voor nu
                                                                                                                   daarom werken op basis 
                                                                                                       blijven weParkeren                   van              
       Prioriteit                                                                                      de huidige systematiek. Voor de
       Hoog                                                                                            aankomende aanbesteding van een
                                                                                                       nieuw HR-systeem (vervanger van
                                                                                                       PIMS)   zal dit aspect worden
                                                                                                             Proces                         Line of defence
                                                                                                       meegenomen in het programma van
                                                                                                                                             1      2    3     Tov
                                                                                                       eisen.
                                                                                                                                                              2017
                                                                                     FYSIEK

                                                                                                                 Jeugd                                      
                                                                                                                 Wmo                                        
                                                                                                                 Participatie                               
                                                                                                                 Verstrekte subsidies                       
</pre>

====================================================================== Einde pagina 14 =================================================================

<br><br>====================================================================== Pagina 15 ======================================================================

<pre>      Toelichting bevindingen – treasury
                                  Pyramid thinking titel lines of defence
Belangrijkste                                                                                                Proces                         Line of defence
       Bevinding 2019-7: geen<Algemene
boodschappen                  sprake van toelichting
                                          een functionaris die isover
                                                     opnemen      belast
                                                                      hoemet
                                                                         de treasury
                                                                                                                                             1      2    3      Tov
                                 gemeente/provincie zich ontwikkelt in het lines




                                                                                       BEDRIJFSVOERING
       Risico                                                                                             Managementreactie                                    2017
       Treasury is belegd bij éénof defence  model.
                                    specifieke        Hier hoeferjevindt
                                                medewerker,         geendus
                                                                         toelichting op
                                                                             geen brede                   Analyse/interpretatie: verstrekte
                                 te nemen
       monitoring/toetsing plaats door een functie/afdeling (functiescheiding). Het risico dat hierbij            Inkopen
                                                                                                          garanties          en betalingen
                                                                                                                     of leningen               
                                                                                                                                  komen niet samen            
Evaluatie van uw interne
       ontstaat is dat niet volledig is vast te stellen welke garanties/geldleningen zijn verstrekt aan   in één functie/afdeling
                                                                                                                  Aanbestedingen   die het verstrekken
                                                                                                                                                             
beheersing
       derden en voor welke omvang. Bij het aantrekken en verstrekken van leningen zijn er                in de breedte kan monitoren. Verstrekte
       mitigerende maatregelen vanuit detecterende controles en bijvoorbeeld                                      Salarissen gaan altijd naarhet 
                                                                                                          garanties/leningen                                  
       bankbevoegdheden.                                                                                  college en lopen daarom wel altijd via
                                                                                                                  Inkomende subsidies                        
                                                                                                          afdeling Concern (in verband met
       Aanbeveling
Ontwikkelingen                                                                                            toetsingIT
                                                                                                                   B&W-stukken).
       Wij adviseren u de huidige procedure hier op aan te scherpen waardoor er bij het                                                                     
       verstrekken van leningen en/of garanties bredere monitoring/meer functiescheiding wordt            Jaareinde: de voorgestelde
       ingesteld in het primaire proces. Het proces rondom het verstrekken van geldleningen en            jaareindeactie nemen we over.
       garanties is namelijk niet vastgelegd in de financiële verordening dan wel in een                      Proces                         Line of defence
Vooruitblik naar de
       treasurystatuut.
jaarrekeningcontrole                                                                                      Procesverbetering: we willen voor de1      2    3     Tov
          Opvolging per jaareinde                                                                         korte termijn door middel van goede                  2017




                                                                                       SOCIAAL
          Per jaareinde zullen wij u vragen om een analyse op te stellen waaruit blijkt dat de in de      afstemming tussen Concern en de
          jaarrekening opgenomen versterkte garanties/geldleningen volledig zijn.                                   Grondexploitatie
                                                                                                          treasuryfunctionaris               
                                                                                                                                zorg gaan dragen              
                                                                                                          voor centraal inzicht. Verder gaan we 
Bijlage                                                                                                             Inkomende subsidies                       
          Prioriteit                                                                                      onderzoeken of het mogelijk is in het
          Laag                                                                                            zaaksysteem     een rechtstreekse 
                                                                                                                    Parkeren                                  
                                                                                                          koppeling met de treasuryfunctionaris te
                                                                                                          leggen, door automatische koppeling van
                                                                                                          gebruikte zaaktypen. Dit willen we
                                                                                                          uiterlijk
                                                                                                              Proceseind 2019 gedaan hebben.Line of defence
                                                                                                                                             1      2    3      Tov
                                                                                                                                                               2017
                                                                                       FYSIEK

                                                                                                                  Jeugd                                      
                                                                                                                  Wmo                                        
                                                                                                                  Participatie                               
                                                                                                                  Verstrekte subsidies                       
</pre>

====================================================================== Einde pagina 15 =================================================================

<br><br>====================================================================== Pagina 16 ======================================================================

<pre>      Toelichting bevindingen – IT
                              Pyramid thinking titel lines of defence
Belangrijkste                                                                                     Proces                             Line of defence
       Bevinding 2019-IT1: beheersingsmaatregelen
boodschappen                 <Algemene toelichtingLost Lemon
                                                  opnemen    (leverancier
                                                           over  hoe de Mens Centraal) zijn (nog) onvoldoende inzichtelijk
                                                                                                                                      1      2     3      Tov
                               gemeente/provincie zich ontwikkelt in het lines




                                                                                BEDRIJFSVOERING
       Bevinding                                                                                      Managementreactie                                  2017
                               of defence model. Hier hoef je geen toelichting op
       Gemeente Leeuwarden maakt voor de jeugdzorg en Wmo gebruik van de applicatie Mens              ISAE3402 type II: voor dit punt is er een
                               te nemen                                                                                                                
       Centraal
Evaluatie van uwdat  wordt beheerd (en gehost) door de leverancier Lost Lemon. Lost Lemon beschikt
                   interne                                                                            groteInkopen   en betalingen
                                                                                                             afhankelijkheid  van Lost Lemon en
       (nog) niet over een ISAE 3402 type II verklaring waarmee zekerheid kan worden verkregen        alle overige  gemeenten. Pas zodra
                                                                                                            Aanbestedingen               hier          
beheersing
       over de IT-beheersingsmaatregelen die zijn belegd bij de leverancier. Op interviewbasis        overeenstemming over is, kan de
       hebben we vastgesteld dat Lost Lemon van plan is over 2019 een ISAE3402 type II-verklaring           Salarissen
                                                                                                      ISAE3402                               
                                                                                                                  type II-verklaring aangevraagd        
       uit te brengen.                                                                                worden   en kan de
                                                                                                            Inkomende      bijbehorendeaudit 
                                                                                                                        subsidies                        
                                                                                                      gestart worden.
Ontwikkelingen
       Aanvullend is op interviewbasis vastgesteld dat zowel gemeente Leeuwarden als Lost Lemon             IT                                        
       niet in staat zijn om de wachtwoordeisen in Mens Centraal inzichtelijk te maken.               Wachtwoordeisen: karakters en
       Op interviewbasis hebben we vernomen dat een wachtwoord acht karakters lang moet zijn,         complexiteit zijn inzichtelijk gemaakt.
       aan complexiteitseisen moet voldoen, één keer per jaar moet worden gewijzigd en dat het        De ingerichte waarden en overige eisen
       account
Vooruitblik naarwordt
                  de geblokkeerd bij het tien keer invoeren van een verkeerd wachtwoord.              Proces wijzigen, lock-out) moeten
                                                                                                      (periodiek                       Line ofnog
                                                                                                                                               defence
jaarrekeningcontrole                                                                                  inzichtelijk worden gemaakt. 1           2    3     Tov
       Risico en aanbeveling                                                                          Het wachtwoordbeleid van Mens Centraal             2017




                                                                                SOCIAAL
        Het risico bestaat dat de integriteit en continuïteit van de data en gegevensverwerking       blijkt niet BIG-/BIO-compliant te zijn, we
        onvoldoende zijn gewaarborgd. Ook bestaat het risico dat wijzigingen de betrouwbaarheid van   gaanGrondexploitatie               te 
                                                                                                             de leverancier vragen dit aan               
        de gegevensverwerking en werking van geautomatiseerde controlemaatregelen kunnen              passen.
Bijlage beïnvloeden.                                                                                        Inkomende subsidies                       
                                                                                                          Parkeren                                     
       Wij adviseren de ISAE3402 type II-verklaring over 2019 (zodra deze beschikbaar is) te
       beoordelen en de impact van eventuele bevindingen op de gemeente te bepalen.
       Prioriteit
       Middel                                                                                         Proces                          Line of defence
                                                                                                                                      1      2      3     Tov
                                                                                                                                                         2017
                                                                                FYSIEK

                                                                                                           Jeugd                                       
                                                                                                           Wmo                                         
                                                                                                           Participatie                                
                                                                                                           Verstrekte subsidies                        
</pre>

====================================================================== Einde pagina 16 =================================================================

<br><br>====================================================================== Pagina 17 ======================================================================

<pre>      Toelichting bevindingen – IT
                                Pyramid thinking titel lines of defence
Belangrijkste                                                                                              Proces                          Line of defence
       Bevinding 2019-IT2: het<Algemene
boodschappen                   gebruikersbeheerproces  verdientover
                                         toelichting opnemen    uw aandacht
                                                                    hoe de
                                                                                                                                            1      2     3      Tov
                               gemeente/provincie zich ontwikkelt in het lines




                                                                                     BEDRIJFSVOERING
       Bevinding                                                                                           Managementreactie                                   2017
       Op interviewbasis hebbenof defence  model. Hier
                                  we het volgende       hoef je geen toelichting op
                                                    vastgesteld:                                           Periodieke (ist-soll)controles van accounts
                               te nemen
       • Door- en uitstroommeldingen worden niet altijd (tijdig) gemeld aan functioneel beheer.                 Inkopen enop
                                                                                                           en autorisaties:  betalingen      
                                                                                                                                 dit moment worden   er       
Evaluatie van uw interne
       • Er wordt geen gebruik gemaakt van autorisatiematrixen, met uitzondering van de                    inderdaad   nagenoeg geen periodieke
                                                                                                                Aanbestedingen                               
beheersing
          applicaties YouPP, Coda en Corsa. Autorisaties worden toegekend op basis van                     controles uitgevoerd op de kritische
          vergelijkbare rechten van een collega in dezelfde functie.                                            Salarissen
                                                                                                           applicaties                        Er iseen 
                                                                                                                        (details beschikbaar).                 
       • Er worden geen periodieke (ist-soll)controles uitgevoerd op de juistheid en geldigheid van        procesvoorstel opgesteld waarbij periodiek
                                                                                                                Inkomende subsidies                          
          accounts en autorisaties in (kritieke) applicaties met uitzondering van Coda en Corsa.           een gebruikerslijst met autorisaties/rechten
Ontwikkelingen                                                                                             van de
       Risico en aanbeveling                                                                                    IT kritische applicaties ter toetsing
                                                                                                                                                            
                                                                                                           naar afdelingen wordt gestuurd.
       Doordat functioneel beheerders niet altijd tijdig op de hoogte worden gesteld wanneer toegang       Dit procesvoorstel moet nog verder
       en autorisaties kunnen worden gewijzigd en ingetrokken en doordat autorisaties niet worden          uitgevoerd en geïmplementeerd worden.
       toegekend op basis van autorisatiematrixen bestaat het risico van ongeautoriseerde toegang          Proces
                                                                                                           De  verwachting is dat dit beginLine
                                                                                                                                              2020of defence
Vooruitblik naar de
       tot en doorbreking van functiescheiding in applicaties en data van de gemeente Leeuwarden.
jaarrekeningcontrole                                                                                       geregeld zal zijn. Hierin wordt 1         2    3     Tov
                                                                                                           meegenomen de beste manier waarop                   2017




                                                                                     SOCIAAL
        We bevelen aan het autorisatiebeheerproces te formaliseren en aan te scherpen bijvoorbeeld         rechten vastgelegd kunnen worden in een
        door middel van het inrichten van een workflow waarmee functioneel beheerders worden                    Grondexploitatie
                                                                                                           autorisatiematrix,  zodat deze kan worden
                                                                                                                                                              
        geïnformeerd over door- en uitstroommeldingen of het automatiseren van het proces.                 gebruikt voor toekenning van rechten      aan 
Bijlage Daarnaast adviseren wij voor alle kritische applicaties een periodieke controle in te richten op        Inkomende subsidies                          
                                                                                                           nieuwe gebruikers en de uitvoering van de
        juistheid en geldigheid van accounts en autorisaties, bijvoorbeeld op basis van een                periodieke
                                                                                                                Parkeren                     
                                                                                                                        controles op uitgegeven               
        autorisatiematrix.                                                                                 autorisaties. De kritieke applicaties
        Prioriteit                                                                                         betreffen in deze context wat ons betreft
        Middel                                                                                             YouPP, Coda, Corsa, Mens Centraal,
                                                                                                           Suite,
                                                                                                           ProcesPIMS, Stratech en Key2Belastingen.
                                                                                                                                             Line of defence
                                                                                                                                            1      2     3      Tov
                                                                                                                                                               2017
                                                                                     FYSIEK

                                                                                                                Jeugd                                        
                                                                                                                Wmo                                          
                                                                                                                Participatie                                 
                                                                                                                Verstrekte subsidies                         
</pre>

====================================================================== Einde pagina 17 =================================================================

<br><br>====================================================================== Pagina 18 ======================================================================

<pre>      Toelichting bevindingen – IT
                               Pyramid thinking titel lines of defence
Belangrijkste                                                                                        Proces                         Line of defence
       Bevinding 2019-IT3: medewerkers uit de gebruikersorganisatie beschikken over uitgebreide rechten binnen de applicaties Stratech, PIMS,
boodschappen                 <Algemene toelichting opnemen over hoe de
       YouPP en Corsa                                                                                                                           1      2     3      Tov
                                gemeente/provincie zich ontwikkelt in het lines




                                                                                   BEDRIJFSVOERING
                                                                                                                                                                   2017
        Bevinding               of defence model. Hier hoef je geen toelichting op                   Managementreactie
                                te nemen
        Op basis van interview en  inspectie hebben we vastgesteld dat medewerkers uit de                          Inkopen
                                                                                                     Stratech: de twee       en betalingen worden
                                                                                                                        (key-)useraccounts            
                                                                                                                                                      de           
Evaluatie van  uw   interne
        gebruikersorganisatie over uitgebreide rechten beschikken:                                   adminrechten ontnomen. De functioneel beheerder
beheersing                                                                                                         Aanbestedingen                                
        • Binnen Stratech wordt het functioneel beheer door middel van een generiek                  neemt enkele taken van hen over. Voor langere
           account uitgevoerd door een medewerker van de afdeling Informatiemanagement               termijn wordt de  applicatie wellicht op dit
                                                                                                                   Salarissen                    punt            
           (‘IM’) en twee medewerkers van de afdeling Strategie en Bedrijfsvoering Sociaal           aangepast, waardoor dit niet langer nodig is.
           Domein (‘SB’). Gemeente Leeuwarden heeft een memo opgesteld om deze                                     Inkomende subsidies                           
           autorisaties aan te passen en binnen de afdeling IM te beleggen.                          PIMS: serviceaccount is een vast account van de
Ontwikkelingen
        • Binnen PIMS beschikken drie accounts over uitgebreide rechten, dit betreffen een                                                       
                                                                                                     leverancier enITheeft per definitie uitgebreide             
           account van de functioneel beheerder, een serviceaccount en een account van               rechten.
           een salarisadministrateur. Het menu- en organisatieprofiel is superuser.
                                                                                                     Account salarisadministrateur: menu- en
        • Binnen YouPP beschikken vijf accounts over uitgebreide rechten, dit betreffen                       Proces wordt nader uitgezocht.
                                                                                                                                           Line of defence
Vooruitblik naar de                                                                                  organisatieprofiel
           een account van de functioneel beheerder, een technisch beheerder en drie
jaarrekeningcontrole
           accounts van salarisadministrateurs. Gebruikers die over de rol ‘beheer’                                                             1      2     3      Tov
                                                                                                     YouPP: de bevinding dat drie salarisadministrateurs           2017




                                                                                   SOCIAAL
           beschikken kunnen gedefinieerde rollen toewijzen/verwijderen. Met deze rechten            uitgebreide rechten hebben is niet correct, want dit
           kunnen autorisaties worden aangepast.                                                     betreft slechtsGrondexploitatie          ‘beheer’
                                                                                                                     het formulierbeheer. De rol                  
        • Binnen Corsa beschikken drie accounts over uitgebreide rechten, dit betreffen de           wordt nader uitgezocht.
Bijlage    accounts van een functioneel beheerder en twee medewerkers van de Financiële                             Inkomende subsidies                         
           administratie.                                                                            Corsa: voor het   functioneel beheer van Corsa
                                                                                                                     Parkeren                         is het     
                                                                                                     recht van de twee gebruikers per 1 januari 2020 tot
       Risico en aanbeveling                                                                         het gebruikersbeheer ontnomen en zijn deze
       Doordat medewerkers uit de gebruikersorganisatie over uitgebreide rechten                     rechten overgedragen naar de nieuwe functioneel
       beschikken in deze applicaties ontstaat het risico op functievermenging tussen de             beheerderProces
                                                                                                                  van Corsa, die per 1 januari 2020  is defence
       uitvoerende rol (als superuser) en de rol die deze gebruikers vanuit hun functie                                                         Line of
                                                                                                     gestart. Daarnaast zal Corsa in 2020 een
       hebben in de processen.                                                                                                                   1
                                                                                                     functionele update krijgen, waarbij de toegang      2     3    Tov
       Wij bevelen aan om de functioneel applicatiebeheerrol niet te beleggen bij                    uiteindelijk gekoppeld wordt aan de Windows Active            2017
                                                                                   FYSIEK

       medewerkers die betrokken zijn bij de uitvoering van de processen, zoals de                   Directory.      Jeugd                                       
       Personeels- en Salarisadministratie en de Financiële administratie. Indien dit niet
       mogelijk is adviseren wij om handelingen van dergelijke accounts te loggen en                 Key2Belastingen:
                                                                                                                    Wmo door omstandigheden  kan                 
       periodiek te beoordelen op juistheid.                                                         één gebruiker (key-user) meer dan nodig is.
                                                                                                                     voor deze key-user zullenkomend
                                                                                                     De autorisatiesParticipatie                                  
       Prioriteit                                                                                    jaar (2020) voor het eindesubsidies
                                                                                                                                 van het tweede
                                                                                                                    Verstrekte                kwartaal
                                                                                                                                                                  
       Hoog                                                                                          opnieuw ingericht worden.
</pre>

====================================================================== Einde pagina 18 =================================================================

<br><br>====================================================================== Pagina 19 ======================================================================

<pre>      Toelichting bevindingen – IT
                              Pyramid thinking titel lines of defence
Belangrijkste                                                                                     Proces                      Line of defence
       Bevinding 2019-IT4: generieke
boodschappen                         accounts
                             <Algemene         Oracle-databaseomgevingen
                                         toelichting opnemen over hoe de van Coda, Corsa, PIMS (en YouPP), Stratech en Suite4
       Werk&Inkomen, en functioneel   beheer beschikt                                                                                   1     2              3      Tov
                              gemeente/provincie  zichover uitgebreide
                                                       ontwikkelt  in hetrechten
                                                                           lines in applicatie en database




                                                                                  BEDRIJFSVOERING
                                                                                                                                                                   2017
       Bevinding              of defence model. Hier hoef je geen toelichting op                Managementreactie
                              te nemen
       Op basis van interview en inspectie hebben we vastgesteld dat technisch                                Inkopen
                                                                                                Generieke database    en betalingen
                                                                                                                   accounts:           
                                                                                                                             vanuit technisch                     
Evaluatie van uw interne
       beheerders hun werkzaamheden op de Oracle-databases van Coda, Corsa, PIMS                    perspectief lijkt Aanbestedingen
                                                                                                                       voor de op .NET gebaseerde                
beheersing
       (en YouPP), Stratech en Suite4 Werk&Inkomen door middel van generieke                        applicaties momenteel geen verbetering mogelijk.
       accounts uitvoeren.                                                                          Het gebruik vanSalarissen                     
                                                                                                                        één, niet-persoonsgebonden,              
       Aanvullend hebben we vastgesteld dat naast technisch applicatiebeheerders ook                Oracle-databaseaccount bij deze applicaties is door
                                                                                                                      Inkomende subsidies                        
       functioneel applicatie beheerders toegang hebben tot de Oracle-database-                     de softwareleverancier zo bedoeld (by design). Het
Ontwikkelingen
       omgevingen van Coda, Corsa, PIMS (en YouPP), Stratech en Suite4                              gaat hierbij de volgende     applicaties: Coda,Corsa,
                                                                                                                      IT                                         
       Werk&Inkomen. Dit zijn geen functioneel beheerders uit de gebruikersorganisatie              Suite, Stratech. Het generieke databaseaccount
       zoals benoemd in bevinding 2019-IT3.                                                         wordt (soms) ook voor het uitvoeren van beheer- en
                                                                                                    correctiewerkzaamheden gebruikt; we gaan
       Tot naar
Vooruitblik slot hebben
                  de    we vastgesteld dat er beperkte wachtwoordeisen worden gesteld               onderzoekenProces                            Line of defence
                                                                                                                   of hier persoonsgebonden accounts
       aan databaseaccounts, dergelijke wachtwoorden zijn onbeperkt geldig en er gelden
jaarrekeningcontrole                                                                                voor aangemaakt kunnen worden. Voor de1 overige      2    3     Tov
       geen complexiteitseisen.                                                                     applicaties weten we dat er wel persoonsgebonden               2017




                                                                                  SOCIAAL
                                                                                                    accounts aangemaakt kunnen worden voor
        Risico en aanbeveling                                                                       beheerdoeleinden.     Dit zijn: PIMS, YouPP,
                                                                                                                      Grondexploitatie                            
        Het risico bestaat dat ongewenste of ongeautoriseerde wijzigingen in de database            Key2Belastingen. Hier zal onderzoek naargedaan
Bijlage worden doorgevoerd die niet traceerbaar zijn doordat er gebruik wordt gemaakt van                             Inkomende subsidies                        
                                                                                                    moeten worden.
        generieke accounts. De integriteit van de data in deze Oracle databases
                                                                                                                      Parkeren                                   
        omgevingen van Coda, Corsa, PIMS (en YouPP), Stratech en Suite4                             Scheiden functierollen: we hebben een
        Werk&Inkomen, en de gegevens die hieraan worden onttrokken, loopt hiermee een               gecombineerde functie, namelijk functioneel
        risico.                                                                                     applicatiebeheerder, die naast de applicatielaag ook
                                                                                                    toegang totProces
                                                                                                                 de database nodig heeft voor Linede of defence
       Wij bevelen aan het aantal accounts met directe schrijfrechten terug te brengen tot          uitvoering van beheerwerkzaamheden.
       personen die deze rechten nodig hebben om hun werkzaamheden uit te kunnen                                                                   1
                                                                                                    Het scheiden van rollen is daarom niet zomaar door
                                                                                                                                                         2    3     Tov
       voeren en daarbij functiescheiding aan te brengen tussen functioneel en technisch                                                                           2017
                                                                                                    te voeren in onze afdeling.
                                                                                  FYSIEK
       beheer. Daarnaast raden wij aan gebruik te maken van persoonsgebonden
                                                                                                                      Jeugd                                      
       accounts zodat activiteiten van deze accounts kunnen worden getraceerd.
                                                                                                                    Wmo                                          
       Prioriteit
       Middel                                                                                                       Participatie                                 
                                                                                                                    Verstrekte subsidies                         
</pre>

====================================================================== Einde pagina 19 =================================================================

<br><br>====================================================================== Pagina 20 ======================================================================

<pre>      Toelichting bevindingen – IT
                                 Pyramid thinking titel lines of defence
Belangrijkste                                                                                     Proces                      Line of defence
       Bevinding 2019-IT4: generieke
boodschappen                         accounts
                             <Algemene         Oracle-databaseomgevingen
                                         toelichting opnemen over hoe de van Coda, Corsa, PIMS (en YouPP), Stratech en Suite4
          Werk&Inkomen, en functioneel beheer beschikt                                                                                          1      2     3      Tov
                               gemeente/provincie  zichover uitgebreide
                                                        ontwikkelt  in hetrechten
                                                                            lines in applicatie en database




                                                                                   BEDRIJFSVOERING
                                                                                                                                                                   2017
                               of defence model. Hier hoef je geen toelichting op                Managementreactie (vervolg)
                               te nemen                                                                        Inkopen en betalingen
                                                                                                 Complexiteit wachtwoorden                                       
Evaluatie van uw interne
                                                                                                     Algemeen: per Aanbestedingen
                                                                                                                   1 januari 2020 zal een                        
beheersing
                                                                                                     geldigheidsduur van maximaal drie maanden op de
                                                                                                                   Salarissen
                                                                                                     Oracle-databaseaccountwachtwoorden         
                                                                                                                                          toegepast               
                                                                                                     worden.
                                                                                                                   Inkomende subsidies                           
Ontwikkelingen                                                                                       Coda + Corsa: ITde complexiteit van het admi-
                                                                                                                                                                
                                                                                                     wachtwoord is momenteel inderdaad te laag.
                                                                                                     Afgesproken is dit aan te laten sluiten bij het beleid
                                                                                                     en aan de BIG/BIO.
Vooruitblik naar de                                                                                             Proces                           Line of defence
jaarrekeningcontrole                                                                                 PIMS/YouPP: de wachtwoorden voor de databases1      2    3     Tov
                                                                                                     zijn door de functioneel beheerder in gebruik,                2017




                                                                                   SOCIAAL
                                                                                                     bestaande uit meer dan tien tekens, waarbij
                                                                                                     gebruikgemaaktGrondexploitatie
                                                                                                                       wordt van hoofd- en kleine letters,
                                                                                                                                                                  
                                                                                                     leestekens en cijfers.
Bijlage                                                                                                              Inkomende subsidies                        
                                                                                                     Stratech: de complexiteit                   
                                                                                                                     Parkeren van het admin-wachtwoord            
                                                                                                     is momenteel inderdaad te laag. Afgesproken is dit
                                                                                                     aan te laten sluiten bij het beleid en aan de BIG/BIO.

                                                                                                     Suite4 Werk&Inkomen:
                                                                                                               Proces      het wachtwoord voor
                                                                                                                                           Linede
                                                                                                                                                of defence
                                                                                                     database voldoet aan de BIG/BIO.
                                                                                                                                                1      2      3     Tov
                                                                                                                                                                   2017
                                                                                   FYSIEK

                                                                                                                    Jeugd                                        
                                                                                                                    Wmo                                          
                                                                                                                    Participatie                                 
                                                                                                                    Verstrekte subsidies                         
</pre>

====================================================================== Einde pagina 20 =================================================================

<br><br>====================================================================== Pagina 21 ======================================================================

<pre>      Toelichting bevindingen – IT
                               Pyramid thinking titel lines of defence
Belangrijkste                                                                                    Proces                         Line of defence
boodschappen                <Algemene toelichting
     Bevinding 2019-IT5: wachtwoordinstellingen    opnemen
                                                PIMS        over
                                                     en Suite4   hoe de
                                                               Werk&Inkomen onvoldoende ingericht om op authenticiteit gebruikers te    1      2     3      Tov
                               gemeente/provincie zich ontwikkelt in het lines




                                                                                  BEDRIJFSVOERING
      waarborgen                                                                                                                                           2017
                               of defence model. Hier hoef je geen toelichting op
      Bevinding                te nemen                                                                Managementreactie
                                                                                                              Inkopen en betalingen                      
      Op interviewbasis
Evaluatie van uw interneis vastgesteld dat er geen eisen worden gesteld aan de                         PIMS kan geen wachtwoordeisen
      wachtwoordinstellingen binnen PIMS. Aanvullend is op basis van interview en inspectie
beheersing                                                                                                    Aanbestedingen
                                                                                                       afdwingen                          ook
                                                                                                                   en dit gaat de leverancier             
      vernomen dat de gemeente over een wachtwoordbeleid beschikt en dat de medewerkers                niet meer inbouwen. Om het risico van
                                                                                                              Salarissen                                
      conform dit beleid hun wachtwoord moeten inrichten. Aangezien dit niet kan worden                ongeautoriseerde toegang verder te
      afgedwongen binnen het systeem, kan niet worden vastgesteld in hoeverre dit beleid wordt         minimaliseren,
                                                                                                              Inkomendewillen            
                                                                                                                              we de volgende
                                                                                                                           subsidies                      
      nageleefd.                                                                                       acties doorvoeren: 1) direct bij de
Ontwikkelingen
      De eisen binnen het wachtwoordbeleid zijn wel van een voldoende niveau.                                 IT van PIMS een extra tekst
                                                                                                       autorisatie                                      
                                                                                                       opnemen waarin de wachtwoordvereisten
     Aanvullend is op basis van inspectie vastgesteld dat de functioneel beheerders van Suite4         van gemeente Leeuwarden staan; en 2) de
     Werk&Inkomen hun wachtwoord niet periodiek hoeven te wijzigen. Twee van de drie                   salarisadministrateurs (met mutatierecht)
Vooruitblik naar de                                                                                     Proces                           Line of defence
     beheerders   hebben hun wachtwoord voor het laatst gewijzigd in 2018 en de derde in 2014.         vragen om hun wachtwoord te wijzigen en
jaarrekeningcontrole                                                                                   deze te laten voldoen aan de       1      2    3     Tov
       Risico en aanbeveling                                                                           wachtwoordeisen.                                    2017




                                                                                  SOCIAAL
       Het risico ontstaat dat ongeautoriseerde toegang kan worden verkregen tot de applicaties
       PIMS en Suite4 Werk&Inkomen. Naast het feit dat de authenticiteit van gebruikers binnen               Grondexploitatie                            
                                                                                                       Suite4 Werk&Inkomen: we gaan het
       deze applicaties niet is gewaarborgd, ontstaat ook de kans dat er toegang wordt verkregen tot
Bijlagevertrouwelijke informatie.                                                                      periodiek           van het admin-
                                                                                                                 wijzigen subsidies
                                                                                                             Inkomende                                   
                                                                                                       wachtwoord instellen in de applicatie.
                                                                                                             Parkeren                                    
      Wij bevelen aan om de wachtwoordinstellingen aan te scherpen.
      Prioriteit
      Hoog
                                                                                                        Proces                          Line of defence
                                                                                                                                         1     2      3     Tov
                                                                                                                                                           2017
                                                                                  FYSIEK

                                                                                                             Jeugd                                       
                                                                                                             Wmo                                         
                                                                                                             Participatie                                
                                                                                                             Verstrekte subsidies                        
</pre>

====================================================================== Einde pagina 21 =================================================================

<br><br>====================================================================== Pagina 22 ======================================================================

<pre>      Toelichting bevindingen – IT
                                Pyramid thinking titel lines of defence
Belangrijkste                                                                                         Proces                         Line of defence
boodschappen                 <Algemene
     Bevinding 2019-IT6: persoonlijke    toelichting
                                      (actieve)      opnemen
                                                accounts       over
                                                         die hun    hoe de
                                                                 wachtwoord op de Active Directory niet periodiek hoeven te wijzigen en        1      2     3      Tov
                                 gemeente/provincie
                                       Active Directoryzich ontwikkelt in het lines




                                                                                    BEDRIJFSVOERING
      accountspecifieke instellingen                                                                                                                              2017
                                 of defence model. Hier hoef je geen toelichting op
      Bevinding                  te nemen                                                             Managementreactie
                                                                                                                     Inkopen en betalingen                      
      Er zijn
Evaluatie vanzes
               uwpersoonsgebonden
                   interne             (actieve) accounts op de Active Directory (‘AD’) die hun       Deze bevindingen herkennen wij vanuit de
      wachtwoord niet periodiek hoeven te wijzigen door de instelling ‘password never
beheersing                                                                                            bevindingen dieAanbestedingen                   
                                                                                                                        het Microsoft-securityassessment          
      expires’. Dit betreffen zes accounts waarvan drie administratoraccounts.                        op onze AD eerder dit jaar opgeleverd heeft.
                                                                                                                     Salarissen                                
                                                                                                      De acties hierop zijn:
      Aanvullend hebben we de volgende accountspecifieke instellingen vastgesteld:                    1) Waar mogelijk   de serviceaccounts
                                                                                                                     Inkomende                   
                                                                                                                                  subsidies omzetten             
      • Relatief veel (49) actieve accounts beschikken over administratorrechten, dit                 naar zogenaamde managed serviceaccounts
Ontwikkelingen
          betreffen 32 serviceaccounts, 2 generieke accounts en 15 gepersonaliseerde                  (‘MSA’). Hiermee
                                                                                                                     IT wordt voorkomen dat een                
          accounts.                                                                                   serviceaccount door een persoon gebruikt wordt
      • Serviceaccounts zijn niet opgenomen in een deny-to-logon locally policy en/of                 voor het verkrijgen van administratorrechten.
          deny-remote-logon policy die standaard in een AD aanwezig is. Hierdoor kan er op            Hiernaast is het wachtwoordmanagement voor dit
Vooruitblik naarwerkstations
                  de                                                                                            Proces                          Line of defence
          lokale              met deze accounts worden ingelogd.                                      type accounts volledig te automatiseren.
jaarrekeningcontrole
      • Gemeente Leeuwarden beschikt over 13 oude operatingsystemen. Dit betreffen                    2) Op de serviceaccounts die (nog) niet omgezet
                                                                                                                                                 1      2    3     Tov
          Windows 2003-servers en Windows XP.                                                         kunnen worden naar een MSA zullen deny logon                2017




                                                                                    SOCIAAL
                                                                                                      locally en deny remote logon policy’s toegepast
       Risico en aanbeveling                                                                                         Grondexploitatie                           
                                                                                                      worden. Hiermee wordt ook weer voorkomen dat
       Het risico ontstaat dat ongeautoriseerde toegang kan worden verkregen tot de AD.
BijlageDoor het gebruik van verouderde systemen en het niet opnemen van serviceaccounts               een persoon een    interactieve
                                                                                                                     Inkomende                    een
                                                                                                                                      sessie onder
                                                                                                                                  subsidies                      
                                                                                                      serviceaccount op kan zetten. Het toepassen van
       in een deny-to-logon locally policy en/of deny-remote-logon policy ontstaat ook een                             inmiddels in gang gezet.
                                                                                                                     Parkeren
                                                                                                      deze policy’s is                                           
       risico rondom informatiebeveiliging.                                                           3) Het terugbrengen van het aantal accounts met
                                                                                                      uitgebreide rechten is ook al gestart. Dit geldt voor
      Wij adviseren het aantal accounts met uitgebreide rechten tot een minimum te                    zowel de serviceaccounts als de
      beperken. Voor de generieke en serviceaccounts die noodzakelijk zijn voor de werking                      Proces
                                                                                                      persoonsgebonden                          Line of defence
                                                                                                                            accounts met uitgebreide
      van een systeem adviseren wij te voorkomen dat lokaal kan worden ingelogd met                   rechten.                                   1      2    3     Tov
      deze accounts (deny-to-logon-locally of deny-remote-logon policy) of de toegang tot             Het periodiek wijzigen van het wachtwoord op de             2017
      wachtwoorden enkel te beperken tot de medewerkers die voor hun functie gebruik
                                                                                    FYSIEK
                                                                                                      zes genoemde accounts is aangepast en de
      moeten maken van deze accounts. Ten aanzien van oude operatingsystemen                          password never Jeugd                             
                                                                                                                        expires-instelling komt inmiddels         
      adviseren wij om te onderzoeken of deze een risico vormen en deze waar mogelijk uit             bij geen enkelWmo
                                                                                                                      persoonsgebonden account
      te faseren.                                                                                                                                 meer          
                                                                                                      voor.
      Prioriteit                                                                                                     Participatie                               
      Hoog                                                                                                          Verstrekte subsidies                        
</pre>

====================================================================== Einde pagina 22 =================================================================

<br><br>====================================================================== Pagina 23 ======================================================================

<pre>      Toelichting bevindingen – IT
                               Pyramid thinking titel lines of defence
Belangrijkste                                                                                         Proces                                     Line of defence
boodschappen                 <Algemene
     Bevinding 2019-IT7: rapportages via toelichting
                                         Cognos (opopnemen
                                                     basis vanover hoe de zijn mogelijk niet betrouwbaar
                                                               PIMS-data)                                                                        1      2     3      Tov
                               gemeente/provincie zich ontwikkelt in het lines




                                                                                 BEDRIJFSVOERING
      Bevinding                                                                                    Managementreactie                                                2017
                               of defence model. Hier hoef je geen toelichting op
      Op interviewbasis hebbentewe  vastgesteld dat de gemeente Leeuwarden veel
                                  nemen                                                            Rapportages in bronapplicatie:   de standaard door
                                                                                                                       Inkopen en betalingen                      
      gebruikmaakt
Evaluatie            van de rapportagetool Cognos. Uit het interview komt naar voren
          van uw interne                                                                           Centric op het package gebouwde rapportages voldoen
      dat de interface tussen PIMS en Cognos niet altijd juiste/volledige gegevens
beheersing                                                                                                                 omdat packages soms
                                                                                                                       Aanbestedingen
                                                                                                   niet allemaal. Dit komt                               
                                                                                                                                                   relaties         
      verstrekt.                                                                                   tussen waarden en velden bevatten die niet kloppen,
                                                                                                                       Salarissen                                
                                                                                                   waardoor er te veel of foutieve informatie wordt
     Risico en aanbeveling                                                                         getoond. Als wij onvolkomenheden                geven
                                                                                                                                        constateren
                                                                                                                       Inkomende subsidies                         
     Doordat interfaces tussen PIMS en Cognos niet altijd juist werken ontstaat het                wij dit door aan de leverancier zodat dit opgelost wordt.
Ontwikkelingen
     risico dat rapportages niet de juiste informatie weergeven. Wij bevelen aan om                Het package bevat IT een framework waarmee de                 
     kritische rapportages waar mogelijk direct in de bronapplicatie te genereren dan              database wordt benaderd. Het package kan door ons
     wel zorg te dragen voor een betrouwbare interface tussen PIMS en Cognos.                      niet worden aangepast en is beveiligd met een
      Prioriteit                                                                                   wachtwoord door    de leverancier in verband met
                                                                                                                   Proces                        Linehet
                                                                                                                                                       of defence
Vooruitblik naar de                                                                                intellectueel eigendom van de databasestructuur.
      Hoog
jaarrekeningcontrole                                                                                                                               1
                                                                                                   Gezien het voorgaande maken we zelf ook rapportages    2    3     Tov
                                                                                                   op het package. Alle rapportages lopen (tot nu toe in            2017




                                                                                 SOCIAAL
                                                                                                   ieder geval) via hetGrondexploitatie
                                                                                                                        package, óók de standaard  door           
                                                                                                   Centric geleverde rapportages die je óók vanuit PIMS
Bijlage                                                                                            kunt draaien (maarInkomende
                                                                                                                        die dan welsubsidies      
                                                                                                                                    in Cognos getoond             
                                                                                                   worden). Als je wilt kun je technisch gezien direct op de
                                                                                                   database rapportagesParkeren                   
                                                                                                                           bouwen, maar de ingewikkelde            
                                                                                                   databasestructuur leent zich daar niet goed voor.
                                                                                                   Wellicht als we zelf een DWH gaan bouwen dat we dat
                                                                                                   rechtstreeks op de brondatabase zouden doen.
                                                                                                                   Proces                        Line of defence
                                                                                                   Betrouwbare interface: de ‘interface’ is wel betrouwbaar
                                                                                                                                                  1       2   3      Tov
                                                                                                   maar niet volledig. Het is een selectie van de data uit de       2017
                                                                                 FYSIEK
                                                                                                   brondatabase en dan op een logische manier (voor
                                                                                                                       Jeugd
                                                                                                   rapportages) gestructureerd.                    dit ook
                                                                                                                                  De leverancier zal               
                                                                                                   niet meer gaan uitbreiden
                                                                                                                       Wmo aangezien PIMS/YouPP        ui         
                                                                                                   gefaseerd wordt door de leverancier.
                                                                                                                       Participatie                               
                                                                                                                      Verstrekte subsidies                        
</pre>

====================================================================== Einde pagina 23 =================================================================

<br><br>====================================================================== Pagina 24 ======================================================================

<pre>      Toelichting bevindingen – IT
                               Pyramid thinking titel lines of defence
Belangrijkste                                                                                                        Proces                          Line of defence
                              <Algemene
      Bevinding 2019-IT8: er worden
boodschappen                        geentoelichting
                                         periodieke opnemen   overuitgevoerd
                                                    restoretesten  hoe de
                                                                                                                                                      1     2      3     Tov
                               gemeente/provincie zich ontwikkelt in het lines




                                                                                   BEDRIJFSVOERING
                                                                                                                                                                        2017
                               of defence model. Hier hoef je geen toelichting op
      Bevinding                                                                                      Managementreactie
                               te nemen                                                                                    Inkopen en betalingen                      
      Op van
Evaluatie interviewbasis
               uw internehebben wij vastgesteld dat de gemeente Leeuwarden geen                      Voor de systemen verbonden aan de volgende applicaties
      periodieke restoretesten uitvoert voor de systemen in scope van de
beheersing                                                                                           worden geen restoretesten                        
                                                                                                                                  uitgevoerd: Coda, Corsa,
                                                                                                                           Aanbestedingen                              
      jaarrekeningcontrole.                                                                          Mens Centraal, Suite, PIMS, YouPP, Stratech,
                                                                                                                           Salarissen
                                                                                                     Key2Belastingen. In het  huidige proces wordt elkhalfjaar
                                                                                                                                                                      
      Risico en aanbeveling                                                                          een willekeurige applicatie  gekozen  voor een restoretest.
      Het niet periodiek testen van de restorefunctionaliteit kan ervoor zorgen dat na                                     Inkomende    subsidies                     
                                                                                                     Vervolgens wordt dit getest door de functioneel beheerder
      een calamiteit het terugzetten van data van een back-up niet mogelijk is.
Ontwikkelingen                                                                                       om te bewijzen dat hetITproces werkt. Uiteraard worden
                                                                                                                                                             op      
      Hierdoor kan data geheel of gedeeltelijk verloren gaan.                                        dit moment geregeld databases uit de back-up gehaald om
      Wij bevelen aan periodiek de restorefunctionaliteit van het back-upsysteem te                  (meestal) terug te zetten richting de acceptatieomgeving.
      testen. Een restoretest van alle bedrijfskritische systemen en data moet                       Daarmee wordt het proces ook al getest.
      minimaal eenmaal per jaar plaatsvinden waarbij testresultaten worden                                            Proces                          Line of defence
Vooruitblik naar de
      gedocumenteerd.                                                                                Er zal per aangegeven applicatie worden onderzocht    of2 het 3
jaarrekeningcontrole                                                                                                                                  1                  Tov
       Prioriteit                                                                                    mogelijk is om een periodieke restore op te nemen in het           2017




                                                                                   SOCIAAL
       Laag                                                                                          huidige proces. Uitgangspunt van de aanpassing zal zijn
                                                                                                                                  van de aangegeven
                                                                                                                           Grondexploitatie
                                                                                                     dat elk halfjaar de database                                      

Bijlage                                                                                              applicaties vanuit de back-up
                                                                                                                           Inkomendewordt hersteld naar
                                                                                                                                       subsidies       de            
                                                                                                     acceptatie omgeving. Hierbij test de desbetreffende
                                                                                                     functioneel beheerderParkeren
                                                                                                                             van de applicatie:                       
                                                                                                     • het goed functioneren van de applicatie met de
                                                                                                        teruggezette back-up;
                                                                                                     • of mutaties die na de back-up zijn doorgevoerd
                                                                                                        inderdaad nietProces                         Line of defence
                                                                                                                        aanwezig zijn in de acceptatieomgeving,
                                                                                                        om te bewijzen dat inderdaad een restore heeft1      2     3     Tov
                                                                                   FYSIEK               plaatsgevonden.                                                 2017

                                                                                                     In het eerste kwartaalJeugd                      
                                                                                                                            van 2020 wordt hier onderzoek   
                                                                                                                                                            naar        
                                                                                                     gedaan en vervolgens wordt de huidige operationele taak
                                                                                                                           Wmo                                        
                                                                                                     uitgebreid met de applicaties waarbij deze werkwijze wordt
                                                                                                     toegepast om dit proces  te borgen. In de tweedehelft van
                                                                                                                           Participatie                                
                                                                                                     2020 zal dit proces dan (voor zover mogelijk) zijn
                                                                                                     aangepast.            Verstrekte subsidies                       
</pre>

====================================================================== Einde pagina 24 =================================================================

<br><br>====================================================================== Pagina 25 ======================================================================

<pre>      Toelichting bevindingen    – opbrengsten werk voor derden
                     Pyramid thinking titel lines of defence
Belangrijkste                                                                                       Proces                                 Line of defence
boodschappen                 <Algemene
     Bevinding 2019-8: geen formele     toelichting opnemen
                                    functiescheiding          over opbrengsten
                                                     in het proces hoe de      werk voor derden (SCC)                                       1       2    3     Tov
                                 gemeente/provincie zich ontwikkelt in het lines




                                                                                      BEDRIJFSVOERING
                                                                                                                                                              2017
                                 of defence model. Hier hoef je geen toelichting op
      Risico                     te nemen                                                               Managementreactie
                                                                                                                  Inkopen en betalingen                     
      Het van
Evaluatie risicouw
                 is interne
                     dat de opbrengsten werk voor derden niet juist en volledig is. Dit als gevolg      Analyse/interpretatie: zowel offertes
      van het feit dat zowel offertes als verkoopfacturen niet formeel geautoriseerd hoeven te
beheersing                                                                                              (managerAanbestedingen
                                                                                                                   SSC) als facturen                        
      worden.                                                                                           (afdelingsmanagers) worden
                                                                                                                  Salarissen                               
                                                                                                        geautoriseerd. We gaan kijken of en hoe
      Aanbeveling                                                                                       de vastlegging   van deze
                                                                                                                  Inkomende       autorisatie 
                                                                                                                              subsidies       kan            
      Wij hebben begrepen dat u het gehele proces vanaf conceptofferte tot goedkeuring van              worden verbeterd. Dat komt aan de orde
Ontwikkelingen
      conceptverkoopfacturen wilt gaan vastleggen in het systeem TOPdesk. Dit moet ervoor                         IT
                                                                                                        bij het opstellen van de afrekeningen              
      zorgen dat het voor bevoegde medewerkers inzichtelijk is welke offertes actief zijn en of er      over 2019.
      gefactureerd moet worden. Naar onze mening een positieve stap. Hierbij is het wel aan te
      bevelen dat maatregelen worden getroffen die de volledige verwerking via TOPdesk                  Jaareinde: bij het opstellen van de
      waarborgen
Vooruitblik naar de(zoals doorlopende nummering, niet kunnen verwijderen van aangemaakte                     Proces                         Line of defence
                                                                                                        eindafrekeningen over 2019 (begin 2020)
      conceptoffertes). Daarnaast willen wij u ook adviseren om de vastgestelde tarieven ook op
jaarrekeningcontrole                                                                                    zullen deze autorisaties zichtbaar worden
                                                                                                                                             1      2    3     Tov
      te nemen in Coda zodat de juiste tarieven gehanteerd worden (waarbij deze enkel na                vastgelegd, zodat de functiescheiding                 2017




                                                                                      SOCIAAL
      autorisatie kunnen worden gewijzigd).                                                             duidelijk blijkt.
                                                                                                                  Grondexploitatie                          
       Opvolging per jaareinde
BijlageWij verwachten dat gemeente Leeuwarden gegevensgerichte werkzaamheden zal                        Procesverbetering:
                                                                                                                 Inkomendewe   nemen de 
                                                                                                                             subsidies                      
       uitvoeren om vast te stellen dat de opbrengsten werk voor derden juist en volledig zijn.         suggesties voor het TOPdesk-systeem
                                                                                                        mee in deParkeren
                                                                                                                   ontwikkeling ervan.                      
       Dit onder meer door de verkoopfacturen aan te sluiten met onderliggende documentatie.
                                                                                                        Dit systeem wordt in januari/februari
      Prioriteit                                                                                        2020 in gebruik genomen.
      Laag
                                                                                                            Proces                         Line of defence
                                                                                                                                            1       2    3     Tov
                                                                                                                                                              2017
                                                                                      FYSIEK

                                                                                                                 Jeugd                                      
                                                                                                                 Wmo                                        
                                                                                                                 Participatie                               
                                                                                                                 Verstrekte subsidies                       
</pre>

====================================================================== Einde pagina 25 =================================================================

<br><br>====================================================================== Pagina 26 ======================================================================

<pre>      Toelichting bevindingen – financiële administratie
                                Pyramid thinking titel lines of defence
Belangrijkste                                                                                         Proces                         Line of defence
        Bevinding 2019-9: geen<Algemene
boodschappen                              toelichting
                               zichtbare controle     opnemen
                                                   op de inhoud over hoe de
                                                                van handmatige boekingen                                              1     2      3     Tov
                                  gemeente/provincie zich ontwikkelt in het lines




                                                                                    BEDRIJFSVOERING
                                                                                                                                                        2017
         Risico                   of defence model. Hier hoef je geen toelichting op                  Managementreactie
                                  tedat
         Het risico dat ontstaat is  nemen
                                        er onterechte of foutieve journaalposten in Coda worden       Analyse/interpretatie: we herkennen
                                                                                                            Inkopen en betalingen         de
                                                                                                                                                       
Evaluatieverantwoord.
           van uw interne                                                                             bevinding en het bijbehorende risico. Voor
beheersing                                                                                                  Aanbestedingen
                                                                                                      het invoeren                         
                                                                                                                     van een memoriaalboeking           
       Aanbeveling                                                                                    gelden   al beperkingen (wie magwat en
       Wij adviseren u functiescheiding in Coda te implementeren, waarbij functiescheiding ontstaat         Salarissen                                
                                                                                                      waar). In het ICP F&A hebben we al een
       tussen het invoeren en goedkeuren van handmatige journaalposten voordat de handmatige                Inkomende
                                                                                                      controle          subsidies
                                                                                                                opgenomen.                            
       journaalpost wordt geboekt. Daarnaast kunt u gebruikmaken van data-analyse, waarbij u de
Ontwikkelingen
       handmatige journaalposten nader analyseert, bijvoorbeeld de tijdstippen van de                       IT
                                                                                                      Jaareinde:  in het ICP F&A is de               
       journaalposten en de medewerkers die de jourbaalposten hebben gemaakt. Hierdoor verkrijgt      (gemeentebrede) controle op
       u inzicht in de risicovolle journaalposten. Deze risicovolle journaalposten kunt u als         memoriaalboekingen al opgenomen.
       uitgangspunt voor aanvullende interne controles gebruiken.                                     Deze   controle, bestaande uit een deel
Vooruitblik naar de                                                                                   Proces                          Line of defence
        Opvolging per jaareinde                                                                       data-analyse en een deel detailcontrole,
jaarrekeningcontrole                                                                                                                   1
                                                                                                      zal in afstemming met de VIC-functie    2    3     Tov
        Per jaareinde moet u een export van alle handmatige journaalposten in Coda aanleveren,
                                                                                                                                                        2017




                                                                                    SOCIAAL
        waarbij de journaalposten aan de hand van geformuleerde risicocriteria worden gesorteerd.     worden uitgevoerd.
        Voor alle handmatige journaalposten die aan de risicocriteria voldoen, moeten interne              Grondexploitatie                           
        controles worden verricht, waarbij de juistheid en rechtmatigheid van de journaalposten       Procesverbetering: we onderzoeken,
Bijlage worden vastgesteld.                                                                           medeInkomende   subsidies
                                                                                                            aan de hand                   van 
                                                                                                                          van de (uitkomsten            
                                                                                                      de) controles over 2019 wat de beste
                                                                                                           Parkeren                                   
        Prioriteit                                                                                    werkwijze voor 2020 en verder zal zijn.
        Laag

                                                                                                      Proces                         Line of defence
                                                                                                                                      1     2      3     Tov
                                                                                                                                                        2017
                                                                                    FYSIEK

                                                                                                           Jeugd                                      
                                                                                                           Wmo                                        
                                                                                                           Participatie                               
                                                                                                           Verstrekte subsidies                       
</pre>

====================================================================== Einde pagina 26 =================================================================

<br><br>====================================================================== Pagina 27 ======================================================================

<pre>      Toelichting bevindingen – financiële administratie – mandaat
                              Pyramid thinking titel lines of defence
Belangrijkste                                                                                     Proces                           Line of defence
boodschappen                 <Algemenesynergie
        Bevinding 2019-10: onvoldoende toelichting opnemen
                                               tussen       over hoe de
                                                      de functiebeschrijvingen van de medewerkers en het mandaat                    1      2     3      Tov
                                gemeente/provincie zich ontwikkelt in het lines




                                                                                BEDRIJFSVOERING
                                                                                                                                                       2017
         Bevinding              of defence model. Hier hoef je geen toelichting op                  Managementreactie
                                te nemen
         In uw personeelsadministratie  hebt u alle functiebenamingen conform het model HR21        Analyse/interpretatie: we onderkennen
                                                                                                         Inkopen en betalingen           dat         
Evaluatieingedeeld.
           van uw interne
                    Er bestaat geen consistentie tussen de functiebenamingen conform het model      de gemaakte keuzes ten aanzien van
beheersing
         HR21, de dagelijkse functiebenamingen en de gehanteerde termen in het mandaat.                  Aanbestedingen
                                                                                                    functies                         
                                                                                                             en benamingen bij invoering  
                                                                                                                                         van           
         Hierdoor bestaat een risico dat het mandaat in de praktijk niet wordt nageleefd; de        HR21Salarissen
                                                                                                           hebben geleid tot een complex
                                                                                                                                                    
         beheersing van het mandaat wordt hierdoor bemoeilijkt.                                     geheel.
                                                                                                         Inkomende
                                                                                                    We hebben                         op 
                                                                                                                      subsidies al actie
                                                                                                                 hier inmiddels                        
        Aanbeveling                                                                                 ondernomen.
Ontwikkelingen
        Wij adviseren u consistentie tussen de verschillende functiebenamingen aan te brengen,           IT                                         
        waardoor het naleven van het mandaat beter kan worden beheerst. Daarbij is het belangrijk   Jaareinde: dit document is al aangeleverd.
        dat interne controles worden ingericht om op centraal niveau vast te stellen dat de
        mandaatregeling wordt nageleefd. Door bijvoorbeeld het tussentijds uitvoeren van interne    Procesverbetering:   voor de korte  termijn
        controles
Vooruitblik       op de naleving kan gedurende het jaar nog worden bijgestuurd op eventuele
            naar de                                                                                 Proces                           Line of defence
                                                                                                    zorgen we ervoor dat de informatie-
        aandachtspunten.
jaarrekeningcontrole                                                                                voorziening verbetert, door een 1        2    3     Tov
                                                                                                                                                       2017




                                                                                SOCIAAL
        Opvolging per jaareinde                                                                     omnummertabel te publiceren (waarin de
        Voor de jaarrekeningcontrole ontvangen wij graag een document, waarbij per medewerker de    HR21-functienamen
                                                                                                          Grondexploitatieuit het mandaat-
                                                                                                                                                     
        functiebeschrijving conform het mandaat staat benoemd zodat het naleven van het mandaat     overzicht zijn voorzien van de
Bijlage kan worden vastgesteld.                                                                           Inkomende
                                                                                                    bijbehorende      subsidies
                                                                                                                    namen                  
                                                                                                                           van functionarissen).      
                                                                                                    Verder willen we begin 2020 de opzet en
                                                                                                          Parkeren                                   
        Prioriteit                                                                                  inhoud van het mandaatstatuut en het
        Laag                                                                                        mandaatoverzicht evalueren (om te kijken
                                                                                                    of dit wellicht anders kan) en ook de
                                                                                                    informatievoorziening voorgoed
                                                                                                     Proces                          Line of defence
                                                                                                    verbeteren door digitalisering van de
                                                                                                    mandaten en het eenvoudig toegankelijk
                                                                                                                                      1      2    3     Tov
                                                                                                    maken van de database voor                         2017
                                                                                FYSIEK
                                                                                                    medewerkers.
                                                                                                          Jeugd                                      
                                                                                                         Wmo                                         
                                                                                                         Participatie                                
                                                                                                         Verstrekte subsidies                        
</pre>

====================================================================== Einde pagina 27 =================================================================

<br><br>====================================================================== Pagina 28 ======================================================================

<pre>      Toelichting bevindingen – grondexploitaties
                               Pyramid thinking titel lines of defence
Belangrijkste                                                                                                       Proces                         Line of defence
     Bevinding 2019-11: geen<Algemene
boodschappen                 actualisatietoelichting opnemen over
                                          van grondexploitaties per hoe de
                                                                    balansdatum                                                                     1     2     3     Tov
                               gemeente/provincie zich ontwikkelt in het lines




                                                                                   BEDRIJFSVOERING
      Risico                                                                                         Managementreactie                                               2017
                               of defence model. Hier hoef je geen toelichting op
      Leeuwarden actualiseert te
                               overeenkomstig
                                  nemen         het BBV minimaal jaarlijks de                        Analyse/interpretatie:Inkopen
                                                                                                                             eens. en betalingen                   
      grondexploitaties.
Evaluatie van uw interneEr wordt echter geactualiseerd naar de stand per 1 januari
      (dus over 2019 naar de stand per 1 januari 2019). Om een betrouwbare
beheersing                                                                                           Jaareinde: wij voerenAanbestedingen                
                                                                                                                           de afspraken uit zoals gemaakt.           
      jaarrekening te kunnen opstellen is het essentieel dat een actueel inzicht van de
                                                                                                                         Salarissen                               
      waardering en risico’s van de grondexploitaties bestaat per balansdatum                        Procesverbetering: wij zijn van plan de uitvoering en
      (31 december 2019).                                                                            raadsbehandeling van   de hercalculaties
                                                                                                                         Inkomende                    te
                                                                                                                                              structureel
                                                                                                                                      subsidies                      
                                                                                                     vervroegen, zodat we altijd in het voorjaar beschikken
Ontwikkelingen
     Aanbeveling                                                                                                         IT
                                                                                                     over actuele hercalculaties, die we ook kunnen               
      Het verdient de aanbeveling om een update te verrichten van de hercalculaties                  gebruiken ter onderbouwing van de waardering van
      grondexploitaties (stand per 1 januari 2019) die eind oktober door het college                 de grondexploitaties in de jaarrekening.
      zijn vastgesteld. Door de boekwaarden en resultaten per grondexploitatie te
      actualiseren
Vooruitblik naar denaar de stand eind 2019, verschaft u per balansdatum het juiste                                  Proces                         Line of defence
      inzicht in de actuele waardering en risico’s.
jaarrekeningcontrole                                                                                                                                1     2     3     Tov
                                                                                                                                                                     2017




                                                                                   SOCIAAL
       Opvolging per jaareinde
       Wij zijn naar aanleiding van deze bevinding (zoals overigens ook al                                               Grondexploitatie                          
       gerapporteerd in onze 30-dagenscan) direct in gesprek gegaan met uw
Bijlageorganisatie om nadere afspraken te maken in het kader van de                                                      Inkomende subsidies                      
       jaarrekeningcontrole. Zo hebben wij de wederzijdse wens uitgesproken om in
                                                                                                                         Parkeren                                  
       een zo vroeg mogelijk stadium overeenstemming te hebben over de
       voorwaarden en uitgangspunten voor de waardering van uw grondexploitaties
       per balansdatum. In dat kader hebben wij afgesproken dat de gemeente
       Leeuwarden zo spoedig mogelijk, maar uiterlijk voor jaareinde, een
                                                                                                                     Proces                        Line of defence
       standpuntennotitie opstelt (een zgn. position paper) ter onderbouwing van de
       actualisatie per balansdatum. Hierin zal ook met name aandacht worden                                                                        1     2     3     Tov
       besteed aan de onderbouwing van de aanvullende beheersingsmaatregelen in                                                                                      2017
                                                                                   FYSIEK
       het kader van de overschrijding van de 10-jaarstermijn voor de looptijd van de
                                                                                                                         Jeugd                                     
       grex Zuidlanden. Uiterlijk eind januari bespreken wij onze bevindingen
       hieromtrent.                                                                                                      Wmo                                       

      Prioriteit                                                                                                         Participatie                              
      Hoog                                                                                                               Verstrekte subsidies                      
</pre>

====================================================================== Einde pagina 28 =================================================================

<br><br>====================================================================== Pagina 29 ======================================================================

<pre>      Toelichting bevindingen – materiële vaste activa
                               Pyramid thinking titel lines of defence
Belangrijkste                                                                                           Proces                                          Line of defence
boodschappen                <Algemene toelichting
     Bevinding 2019-12: de activa-administratie      opnemen
                                                is complex    over hoe
                                                           en bevat veeldehandmatige acties; hierdoor is het foutgevoelig                                1      2    3      Tov
                                gemeente/provincie zich ontwikkelt in het lines




                                                                                     BEDRIJFSVOERING
      Risico                                                                                           Managementreactie                                                   2017
                                of defence model. Hier hoef je geen toelichting op
      Er bestaat een risico dat te
                                denemen
                                    verantwoorde materiële vaste activa (inclusief                     Analyse/interpretatie: eens met en
                                                                                                                               Inkopen   de betalingen
                                                                                                                                            constatering en
                                                                                                                                                          het            
      het verloopoverzicht)
Evaluatie van uw interne niet juist en volledig zijn. Dit komt onder andere door de                    risico. Naar onze mening is een groot deel van het
      aansluiting met de projectenadministratie en doordat alle mutaties gedurende
beheersing                                                                                                                             door aanpassingen
                                                                                                                               Aanbestedingen
                                                                                                       vermelde risico weggenomen                          in de          
      het boekjaar in eerste instantie in één kolom in de activastaat worden                           werkwijze, onder meer doordat de kostenprojecten niet
                                                                                                                               Salarissen                               
      verantwoord.                                                                                     meer in de activaregistratie zitten.
                                                                                                                               Inkomende subsidies                       
     Aanbeveling                                                                                       Jaareinde: verbeterprogramma ingezet en heeft deels al
Ontwikkelingen
     Wij adviseren u de processen voor het verantwoorden van de mutaties in de                                                 IT
                                                                                                       tot verbetering geleid. Graag  nog vervolggesprek met            
     materiële vaste activa (o.a. projectadministratie en in de activastaat) te                        PwC zoals voorgesteld.
     herzien met als doel de complexiteit van de processen te verminderen.
      Opvolging per jaareinde                                                                          Procesverbetering:Proces
                                                                                                                          het vermelde advies is opgevolgd.
                                                                                                                                                      Line of defence
Vooruitblik naar de
      Gedurende het boekjaar 2019 bent u een verbeterprogramma voor de
jaarrekeningcontrole
      materiële vaste activa gestart. Hierbij hebt u onder andere onderscheid                                                                            1      2    3      Tov
                                                                                                                                                                           2017




                                                                                     SOCIAAL
       gemaakt tussen het administreren van investeringsprojecten en
       kostenprojecten. Op korte termijn hebben wij een afspraak om een plan van                                              Grondexploitatie                           
       aanpak voor de jaarrekeningcontrole met elkaar te bespreken. Belangrijke
Bijlageaandachtspunten zijn o.a.:                                                                                             Inkomende subsidies                       
       - negatieve boekwaarden als gevolg van kostenprojecten;                                                                Parkeren                                   
       - classificatie van investeringen, desinvesteringen en bijdragen van derden
          in het verloopoverzicht;
       - het onderscheid tussen vastgoed met een maatschappelijke en
          bedrijfseconomische functie in relatie tot de waardering.                                                      Proces                          Line of defence
      Prioriteit                                                                                                                                          1     2     3     Tov
      Hoog                                                                                                                                                                 2017
                                                                                     FYSIEK

                                                                                                                              Jeugd                                      
                                                                                                                              Wmo                                        
                                                                                                                              Participatie                               
                                                                                                                              Verstrekte subsidies                       
</pre>

====================================================================== Einde pagina 29 =================================================================

<br><br>====================================================================== Pagina 30 ======================================================================

<pre>      Toelichting bevindingen – materiële vaste activa
                               Pyramid thinking titel lines of defence
Belangrijkste                                                                                     Proces                                               Line of defence
boodschappen                 <Algemene
     Bevinding 2019-13: systematiek voortoelichting opnemen
                                         het berekenen       over
                                                        van de    hoe de voldoet niet aan het BBV
                                                               restwaarde                                                                               1     2      3     Tov
                                gemeente/provincie zich ontwikkelt in het lines




                                                                                     BEDRIJFSVOERING
      Bevinding                                                                                        Managementreactie                                                  2017
                                of defence model. Hier hoef je geen toelichting op
      In uw financiële verordening  staat de systematiek voor het berekenen van de
                                te nemen                                                               Analyse/interpretatie: we  hanteren
                                                                                                                               Inkopen     de 10% slechtsvoor 
                                                                                                                                        en betalingen                     
      restwaarde
Evaluatie van uw van   de activa vermeld. U hanteert 10% van de oorspronkelijke
                  interne                                                                              twee categorieën bedrijfsgebouwen en onder specifieke
      aanschafwaarde voor de bedrijfsgebouwen. In de notitie MVA van de
beheersing                                                                                                                         van de activa is de 
                                                                                                                               Aanbestedingen
                                                                                                       voorwaarden. Voor de rest                                         
      commissie BBV (2017) staat het volgende: ‘Het hanteren van een vast                              gehanteerde restwaarde nihil. Aan deze keuze ligt een
                                                                                                                               Salarissen                              
      percentage restwaarde doet onvoldoende recht aan de individuele                                  bedrijfseconomische afweging ten grondslag.
      kenmerken van de materiële vaste activa’. Mitigerende factor is dat de                                                   Inkomende subsidies                      
      materiële impact van deze bevinding beperkt lijkt.                                               Jaareinde: we zullen onderzoeken wat de eventuele
Ontwikkelingen
                                                                                                                               IT is op basis van de
                                                                                                       impact van deze bevinding                                       
      Aanbeveling                                                                                      jaarrekening 2019.
      Wij adviseren u uw systematiek voor het berekenen van de restwaarde te
      herzien en te waarborgen dat de systematiek overeenkomt met de                                   Procesverbetering:Proces
                                                                                                                           we willen de restwaardesystematiek
      voorschriften
Vooruitblik naar de van het BBV. Dit is een belangrijk aandachtspunt voor de                                                                            Line of defence
                                                                                                       in de volle breedte nog eens tegen het licht houden, ook
      jaarrekeningcontrole 2019.
jaarrekeningcontrole                                                                                   in het kader van het eventueel bijstellen van de 1       2    3     Tov
                                                                                                       financiële verordening op dit punt.                                2017




                                                                                     SOCIAAL
       Opvolging per jaareinde
       Ter voorbereiding van de jaarrekeningcontrole moet u voor alle materiële                                              Grondexploitatie                           
       vaste activa, indien van toepassing, de restwaarde conform de voorschriften
Bijlagevan het BBV berekenen, en bepalen in hoeverre dit leidt tot een materieel                                             Inkomende subsidies                       
       effect voor de jaarrekening 2019 (inclusief mogelijke aanpassingen).                                                  Parkeren                                   
      Prioriteit
      Middel
                                                                                                                         Proces                        Line of defence
                                                                                                                                                        1     2      3     Tov
                                                                                                                                                                          2017
                                                                                     FYSIEK

                                                                                                                             Jeugd                                      
                                                                                                                             Wmo                                        
                                                                                                                             Participatie                               
                                                                                                                             Verstrekte subsidies                       
</pre>

====================================================================== Einde pagina 30 =================================================================

<br><br>====================================================================== Pagina 31 ======================================================================

<pre>       Toelichting bevindingen – materiële vaste activa
                               Pyramid thinking titel lines of defence
Belangrijkste                                                                                                             Proces                          Line of defence
boodschappen                 <Algemene
     Bevinding 2019-14: er worden      toelichtingactiva-inventarisaties
                                  geen periodieke  opnemen over hoe deuitgevoerd
                                                                                                                                                           1      2    3     Tov
                                gemeente/provincie zich ontwikkelt in het lines




                                                                                     BEDRIJFSVOERING
      Risico                                                                                           Managementreactie                                                    2017
                                of defence model. Hier hoef je geen toelichting op
      Er bestaat een risico dat te
                                denemen
                                   verantwoorde materiële vaste activa niet meer                       Analyse/interpretatie: eens. Wij en
                                                                                                                               Inkopen  gaan  er op basis van
                                                                                                                                           betalingen                     
      bestaat
Evaluatie van en/of in eigendom van de gemeente zijn. Oftewel, dat de post
              uw interne                                                                               gesprekken met PwC vanuit dat het met name
      materiële vaste activa in de jaarrekening te hoog is verantwoord.
beheersing                                                                                                                     Aanbestedingen
                                                                                                       gebouwen en rollend materieel                        
                                                                                                                                        betreft waar dit risico            
                                                                                                       zich voordoet.
     Aanbeveling                                                                                                               Salarissen                                
     Wij adviseren u procedures in te richten, waarbij periodiek het bestaan en het                    Jaareinde: we willen het            en het bestaanvan 
                                                                                                                                 eigendomsubsidies
                                                                                                                              Inkomende                                     
     eigendom van alle materiële vaste activa wordt onderzocht. Een belangrijk                         gebouwen gaan controleren aan de hand van de WOZ-
Ontwikkelingen
     aandachtspunt hierbij betreft zichtbare vastlegging van de uitgevoerde                            aanslagen (en daarmeeITfeitelijk met het Kadaster                 
     procedures.                                                                                       aansluiten) en de (bedrijfs)auto’s met de RDW-
      Opvolging per jaareinde                                                                          gegevens inzake tenaamstelling.
      Ter voorbereiding op de jaarrekening moet u een analyse maken, waaruit                                            Proces                        Line of defence
Vooruitblik naar de                                                                                    Procesverbetering: de jaareindecheck zoals hiervoor
      blijkt in hoeverre een materieel risico ten aanzien van het bestaan en het
jaarrekeningcontrole
      eigendom van de verantwoorde materiële vaste activa in de jaarrekening                                                                           1
                                                                                                       beschreven nemen we ook op in het handboek kwaliteit   2    3         Tov
                                                                                                       jaarstukken, waarmee deze structureel wordt.                         2017




                                                                                     SOCIAAL
      bestaat.
                                                                                                                               Grondexploitatie                           
       Prioriteit
BijlageMiddel                                                                                                                  Inkomende subsidies                       
                                                                                                                               Parkeren                                   



                                                                                                                          Proces                          Line of defence
                                                                                                                                                           1      2    3     Tov
                                                                                                                                                                            2017
                                                                                     FYSIEK

                                                                                                                               Jeugd                                      
                                                                                                                               Wmo                                        
                                                                                                                               Participatie                               
                                                                                                                               Verstrekte subsidies                       
</pre>

====================================================================== Einde pagina 31 =================================================================

<br><br>====================================================================== Pagina 32 ======================================================================

<pre>      Toelichting bevindingen – huren en pachten
                                Pyramid thinking titel lines of defence
Belangrijkste                                                                                        Proces                       Line of defence
       Bevinding 2019-15: onvoldoende
boodschappen                 <Algemenebeheersingsmaatregelen  ter hoe
                                        toelichting opnemen over  waarborging
                                                                      de      van de juistheid en volledigheid van de huuropbrengsten
                                                                                                                                                        1     2        3    Tov
                                  gemeente/provincie zich ontwikkelt in het lines




                                                                                    BEDRIJFSVOERING
       Bevindingen                                                                                    Opvolging per jaareinde                                              2017
                                  of defence
       In het huurproces zijn meerdere        model. Hier hoef
                                            tekortkomingen     je interne
                                                           in de  geen toelichting op
                                                                          beheersing                  Om het bovenstaande risico te mitigeren, moet de gemeente
                                  te nemen
       geconstateerd, namelijk de volgende:                                                                                  Inkopenverrichten:
                                                                                                      de volgende werkzaamheden       en betalingen                      
Evaluatie van uw interne
       • geen centrale vastgoedadministratie inclusief een labeling van het bezit                     • interne controles tenAanbestedingen
                                                                                                                               aanzien van de juistheid en
                                                                                                                                                                         
beheersing
           (eigen gebruik, verhuur, leegstand etc.);                                                     rechtmatigheid van de verantwoorde huuropbrengsten;
       • niet uitvoeren van periodieke leegstandscontroles;                                           • opstellen van een totaaloverzicht
                                                                                                                             Salarissen voor het vastgoed               
       • onvoldoende beheersingsmaatregelen ter waarborging van een juiste en                            (inclusief een aansluiting met de activastaat, het Kadaster
                                                                                                                             Inkomende subsidies                         
           volledige huuradministratie (in Excel);                                                       of de belastingadministratie);
Ontwikkelingen
       • geen zichtbare vastlegging van de totstandkoming van de huurprijzen;                         • aansluiting tussen het
                                                                                                                             IT totaaloverzicht van de vastgoed
                                                                                                                                                               en       
       • geen functiescheiding tussen het onderhandelen over de huurprijs, het                           de verantwoorde huuropbrengsten inclusief het verklaren
           opstellen en ondertekenen van de huurovereenkomsten;                                          van de verschillen.
       • onvoldoende beheersingsmaatregelen ter waarborging van juiste, tijdige
Vooruitbliken  volledige
            naar  de     facturatie (inclusief het toepassen van indexaties).                         Prioriteit        Proces                         Line of defence
jaarrekeningcontrole                                                                                  Hoog                                              1     2        3    Tov
       Risico
                                                                                                                                                                           2017




                                                                                    SOCIAAL
        Er bestaat een risico ten aanzien van de juistheid, rechtmatigheid en
        volledigheid van de verantwoorde huuropbrengsten.                                                                    Grondexploitatie                            

Bijlage Aanbeveling                                                                                   Managementreactie Inkomende subsidies                             
        Wij bevelen u aan de opzet en het bestaan van het huurproces te herzien en                    Analyse/interpretatie: we erkennen dat er in dit proces meer
        beheeringsmaatregelen ter voorkoming van bovenstaande tekortkomingen                                                  Parkeren
                                                                                                      en beter zichtbare controlemaatregelen  nodig zijnen dater         
        te implementeren, bijvoorbeeld een centrale vastgoed- en huuradministratie.                   daarnaast verbeterslagen in het primaire proces mogelijk
        Uit de besprekingen blijkt dat de gemeente een nieuwe applicatie, Planon,                     zijn.
        gaat implementeren. Wij adviseren u vast te stellen dat bovenstaande
                                                                                                      Jaareinde: deze acties
                                                                                                                        Procesgaan we uitvoeren (IC doen  we;
                                                                                                                                                       Line of defence
        tekortkomingen door middel van de implementatie van Planon worden
                                                                                                      totaaloverzicht opstellen gaan we doen; aansluiting met FA
        opgelost.                                                                                                                                       1      2    3       Tov
                                                                                                      gebeurt).
                                                                                                                                                                           2017
                                                                                                      Procesverbetering: momenteel wordt gewerkt aan het vullen
                                                                                    FYSIEK

                                                                                                                              Jeugd
                                                                                                      en inrichten van de verhuuradministratie            We zijn
                                                                                                                                                in Planon.                
                                                                                                      van plan dit in de loop van 2020 af te ronden. Voor de
                                                                                                                              Wmo                                        
                                                                                                      overige bevindingen stellen wij een plan van aanpak op,
                                                                                                      waarmee we verwachten      dat de vermelde risico’s
                                                                                                                              Participatie               in 2020
                                                                                                                                                                          
                                                                                                      zullen zijn verholpen.
                                                                                                                              Verstrekte subsidies                       
</pre>

====================================================================== Einde pagina 32 =================================================================

<br><br>====================================================================== Pagina 33 ======================================================================

<pre>      Toelichting bevindingen – jeugd/Wmo
                               Pyramid thinking titel lines of defence
Belangrijkste                                                                                        Proces                       Line of defence
     Bevinding 2019-16: indien<Algemene
boodschappen                            toelichting
                               een aanvraag  door deopnemen over
                                                     gemeente    hoegetoetst,
                                                              wordt  de       bestaat geen functiescheiding tussen toetsen en beschikken             1     2      3     Tov
                               gemeente/provincie zich ontwikkelt in het lines




                                                                                  BEDRIJFSVOERING
      Risico                                                                                        Managementreactie                                                  2017
                               of defence model. Hier hoef je geen toelichting op
      Door het ontbreken van functiescheiding
                               te nemen       bestaat het risico dat ten onrechte of                Analyse/interpretatie: eens  met en
                                                                                                                            Inkopen   de betalingen
                                                                                                                                         bevinding en dat
                                                                                                                                                        een          
      dat een
Evaluatie van foutieve beschikking wordt afgegeven. Het bovenstaande risico geldt
              uw interne                                                                            aantal soft controls zichtbaar moet zijn. Wel zien we dat
      ook voor aanvragen waarbij van het advies van Stichting Amaryllis wordt
beheersing                                                                                                                  Aanbestedingen
                                                                                                    het aantal fouten marginaal  is. Zichtbaar en                    
      afgeweken.                                                                                    reproduceerbaar te maken zijn:
                                                                                                                            Salarissen                              
                                                                                                    • opleiding en themasessie (via agenda’s en
      Ook ontbreekt een controle op de registraties in Mens Centraal, waardoor                         jaarplanning);       Inkomende subsidies                      
      een risico op foutieve registraties bestaat.                                                  • op locatie bij wijkteam, is een telefonische helpdesk;
Ontwikkelingen
                                                                                                    • inwerkprogramma nieuweIT     medewerkers;                     
       Aanbeveling                                                                                  • wanneer er afgeweken wordt van het advies van de
       Een aanbeveling is het implementeren van een autorisatieslag in Mens                            sociaal werker, wordt de uitkomst van het gesprek
       Centraal, waarbij de aanvraag door een tweede medewerker wordt                                  met de sociaal Proces
                                                                                                                       werker vastgelegd in een apartLine of defence
       gecontroleerd
Vooruitblik  naar de voordag een beschikking wordt verstrekt. Dit geldt eveneens                       document dat wordt toegevoegd aan het
       voor aanvragen waarbij wordt afgeweken van het advies van
jaarrekeningcontrole                                                                                   zwaarwegende advies.                            1      2   3     Tov
       Stichting Amaryllis. Bij de implementatie is het belangrijk dat toetspunten                                                                                     2017




                                                                                  SOCIAAL
       (bijvoorbeeld de juistheid van de registraties in Mens Centraal) worden                      Jaareinde: per jaareinde   wordt een gegevensgerichte
       geformuleerd en dat de autorisatie zichtbaar wordt vastgelegd. Uit de                                                 Grondexploitatie                        
                                                                                                    controle uitgevoerd op het toetsen en beschikken).
       procesbesprekingen blijkt dat het ontbreken van deze controleslag een                        Per jaareinde is een overzicht      subsidiesvan de
                                                                                                                                    beschikbaar
                                                                                                                             Inkomende                               
Bijlage
       bewuste keuze is vanwege de aanwezigheid van soft controls. Op dit                           zichtbare soft controls.
       moment wordt de werking van de soft controls niet vastgesteld. Wij adviseren                                          Parkeren                                
       u te bepalen op welke wijze de werking en de effectiviteit van deze soft                     Procesverbetering: de bevinding en aanbevelingen zijn
       controls kan worden vastgesteld en hierop interne controles uit te voeren.                   intern besproken. We nemen deze mee als aanvulling
      Opvolging per jaareinde                                                                       op de eigen inventarisatie van mogelijke
                                                                                                                       Proces
                                                                                                    procesverbeteringen.                            Line of defence
                                                                                                                          Vanaf 2020 gaan we de volgende
      Op dit moment hebt u onvoldoende zichtbare beheersingsmaatregelen in het
      proces voor het toetsen van de aanvraag en het beschikken. Dit betekent dat                   controls zichtbaar vastleggen:                   1      2    3      Tov
      per jaareinde een gegevensgerichte controleaanpak wordt uitgevoerd.                           • steekproefsgewijze check op beschikkingen;                       2017
                                                                                                    • verslag van reflectie tijdens coachingsgesprek;
                                                                                  FYSIEK

                                                                                                                            Jeugd
                                                                                                    • verslagen casusoverleggen.                                     
      Prioriteit
      Laag                                                                                                                  Wmo                                      
                                                                                                                          Participatie                               
                                                                                                                          Verstrekte subsidies                       
</pre>

====================================================================== Einde pagina 33 =================================================================

<br><br>====================================================================== Pagina 34 ======================================================================

<pre>          Toelichting bevindingen – sociale uitkeringen (incl. Participatiewet)
                                      Pyramid thinking titel lines of defence
  Belangrijkste                                                                                        Proces                                                  Line of defence
         Bevinding 2019-17: geen
  boodschappen                   functiescheiding
                               <Algemene          tussen
                                           toelichting   het toetsen
                                                       opnemen  over van
                                                                     hoe de
                                                                         de aanvraag en het beschikken
                                                                                                                                                                1     2      3     Tov
                                 gemeente/provincie zich ontwikkelt in het lines




                                                                                               BEDRIJFSVOERING
         Risico                                                                                            Managementreactie                                                      2017
                                 of defence model. Hier hoef je geen toelichting op
         Er bestaat een risico dat ten onrechte een bijstandsuitkering of een                              Analyse/interpretatie: eens met de constatering en het
                                 te nemen                                                                                                                                       
         bijstandsuitkering
  Evaluatie van uw internemet een onjuiste norm wordt verstrekt.                                           risico. Alleen is hetInkopen    en beperkt
                                                                                                                                 risico zeer   betalingen
                                                                                                                                                        aanwezig door het
                                                                                                           kleine aantal foutenAanbestedingen
                                                                                                                                  tijdens de afgelopen jaren.  De extra
                                                                                                                                                                                 
   beheersing
            Aanbeveling                                                                                    inzet en de maatregelen c.q. de procesverbetering wegen
            Om het bovenstaande risico te mitigeren, adviseren wij functiescheiding tussen                                      Salarissen
                                                                                                           niet op tegen het beperkte                          van
                                                                                                                                           aantal. Bij aanpassing               
            het toetsen van de aanvraag, het controleren van het advies en het beschikken                  Suite Werk&Inkomen        wordt beoordeeld
            te implementeren. Hierbij is het belangrijk dat per stap toetspunten worden                                         Inkomende      subsidiesof de                   
                                                                                                           procesverbeteringen meegenomen worden. Dat er weinig
            geformuleerd en dat de functiescheiding zichtbaar is en wordt afgedwongen.
   Ontwikkelingen                                                                                          fouten worden gemaakt       blijkt behalve uit de interne
                                                                                                                                IT                                             
            Opvolging per jaareinde                                                                        controles van de afgelopen jaren ook uit een onderzoek
            Uit de interne
Bevinding 2019-X:           controlewerkzaamheden
                     Geen functiescheiding               over van
                                           tussen het toetsen  het de
                                                                   eerste   kwartaal
                                                                      aanvraag  en hetblijkt dat de
                                                                                        beschikken         dat een extern bureau in 2019 heeft gedaan naar de mate
Risico      gemeente een bijstandsuitkering met een verkeerde norm (niet toepassen van                     waarin voorliggende voorzieningen over het hoofd waren
Er Vooruitblik
   bestaat een   naardat
                risico deten onrechte een bijstandsuitkering  of door
                                                                 een bijstandsuitkering                    gezien.
                                                                                                              wordt De     Proces waren dat er weinig totLine
                                                                                                                        resultaten                             geenoffouten
                                                                                                                                                                      defence
            de schoolverlatersregeling)     heeft beschikt en         een handmatigemet      een onjuiste
                                                                                          wijziging een norm        verstrekt.
Managementreactie
   jaarrekeningcontrole
            te hoge uitkering heeft uitbetaald. We verwachten dat de gemeente opvolging                    werden gemaakt en er minder ‘fouten’ waren aangetroffen
                                                                                                                                                               1      2     3      Tov
<Tekst>     geeft aan de financiële impact van de bevindingen op de jaarrekening 2019, en                  dan verwacht.                                                          2017




                                                                                               SOCIAAL
Aanbeveling
            overweegt in hoeverre aanvullende interne controlewerkzaamheden moeten
Om bovenstaande risico te mitigeren, adviseren wij functiescheiding tussen het toetsen van de aanvraag, het controleren van het    advies en het beschikken teimplementeren.
                                                                                                           Jaareinde: n.v.t. Grondexploitatie                                    
            worden verricht.
Hierbij is het belangrijk dat per stap toetspunten worden geformuleerd en dat de functiescheiding zichtbaar is en wordt afgedwongen.
  Bijlage                                                                                                                              Inkomende subsidies                     
            Prioriteit                                                                                           Procesverbetering: enkele jaren geleden is er
            Hoog                                                                                                 weloverwogen voorParkeren                             
                                                                                                                                         gekozen deze strikte functiescheiding    
                                                                                                                 los te laten. Dit uit praktische overwegingen en omdat er
                                                                                                                 al vele jaren geen belangrijke bevindingen zijn.

                                                                                                                               Proces                          Line of defence
                                                                                                                                                                1     2      3     Tov
                                                                                                                                                                                  2017
                                                                                               FYSIEK

                                                                                                                                    Jeugd                                       
                                                                                                                                    Wmo                                         
                                                                                                                                    Participatie                                
                                                                                                                                    Verstrekte subsidies                        
</pre>

====================================================================== Einde pagina 34 =================================================================

<br><br>====================================================================== Pagina 35 ======================================================================

<pre>          Toelichting bevindingen – sociale uitkeringen (incl. Participatiewet)
                                       Pyramid thinking titel lines of defence
  Belangrijkste                                                                                        Proces                                                  Line of defence
         Bevinding 2019-18: onvoldoende
  boodschappen                 <Algemenecontrole op het
                                          toelichting   (handmatig)
                                                      opnemen       wijzigen
                                                              over hoe   de van bedragen in Suite 4 Inkomen
                                                                                                                                                                1      2      3      Tov
                                           gemeente/provincie zich ontwikkelt in het lines




                                                                                                  BEDRIJFSVOERING
             Risico                                                                                    Managementreactie                                                            2017
                                           of defence model. Hier hoef je geen toelichting op
             Er bestaat een risico dat de gemeente een te hoge bijstandsuitkering                      Analyse: zoals beschreven is deze bevinding vanuit
                                           te nemen                                                                                  Inkopen en betalingen                        
             verstrekt   en
   Evaluatie van uw interne  uitbetaalt.                                                               de VIC geconstateerd. In het controlememorandum
   beheersing                                                                                          VIC is verder vermeld dat hier   al actie op is
                                                                                                                                     Aanbestedingen                               
             Aanbeveling                                                                               genomen, en hiermee heeft opvolging (jaareinde-
             Wij adviseren interne beheersingsmaatregelen ten aanzien van                              actie) al plaatsgevonden. Salarissen                                      
             (handmatige) wijzigingen van bijstandsbedragen te implementeren,                                                        Inkomende subsidies                          
             bijvoorbeeld het autoriseren van de wijzigingen door een tweede                           Procesverbetering: er heeft al opvolging
   Ontwikkelingen
             medewerker.                                                                               plaatsgevonden waardoor geen  IT verdere actie nodig                      
                                                                                                       is.
             Opvolging per jaareinde
Bevinding 2019-X: Geen functiescheiding tussen het toetsen van de aanvraag en het beschikken
             Uit de interne controlewerkzaamheden over het eerste kwartaal blijkt
Risico
             dat de gemeente
Er Vooruitblik
                                   een bijstandsuitkering     met een verkeerde norm (niet                                       Proces                          Line of defence
                  naardat
   bestaat een risico    deten onrechte    een bijstandsuitkering of een bijstandsuitkering met een onjuiste norm wordt verstrekt.
             toepassen
Managementreactie          van  de  schoolverlatersregeling)     heeft  beschikt   en  door  een
   jaarrekeningcontrole                                                                                                                                           1      2     3     Tov
<Tekst>      handmatige wijziging een te hoge uitkering heeft uitbetaald.
                                                                                                                                                                                    2017




                                                                                                  SOCIAAL
Aanbeveling  We verwachten dat de gemeente opvolging geeft aan de financiële
Om bovenstaande
             impactrisico
                     van de te mitigeren, adviseren
                                bevindingen    op dewij functiescheiding
                                                      jaarrekening        tussen
                                                                      2019,       het toetsen in
                                                                              en overweegt    van de aanvraag, het controleren van het advies en het beschikken teimplementeren.
                                                                                                                                     Grondexploitatie                              
Hierbij is hethoeverre
               belangrijkaanvullende
                          dat per stap toetspunten   worden geformuleerd en dat
                                         interne controlewerkzaamheden              de functiescheiding
                                                                                moeten   worden         zichtbaar is en wordt afgedwongen.
   Bijlage verricht.                                                                                                                 Inkomende subsidies                         
                                                                                                                                 Parkeren                                         
           Prioriteit
           Hoog

                                                                                                                            Proces                             Line of defence
                                                                                                                                                                1      2      3      Tov
                                                                                                                                                                                    2017
                                                                                                  FYSIEK

                                                                                                                                 Jeugd                                            
                                                                                                                                 Wmo                                              
                                                                                                                                 Participatie                                     
                                                                                                                                 Verstrekte subsidies                             
</pre>

====================================================================== Einde pagina 35 =================================================================

<br><br>====================================================================== Pagina 36 ======================================================================

<pre>      Toelichting bevindingen – verstrekte subsidies
                               Pyramid thinking titel lines of defence
Belangrijkste                                                                                     Proces                                                   Line of defence
boodschappen                <Algemene toelichting
     Bevinding 2019-19: de subsidiebeschikkingen  opnemen
                                                 kunnen    oververstrekt
                                                        worden  hoe de voordat de volledige workflow in Stratech is afgerond
                                                                                                                                                            1     2     3     Tov
                                gemeente/provincie zich ontwikkelt in het lines




                                                                                     BEDRIJFSVOERING
      Risico                                                                                           Managementreactie                                                     2017
                                of defence model. Hier hoef je geen toelichting op
      Er bestaat een risico dat te
                                denemen
                                    gemeente ten onrechte toekennings- en                              Analyse: de bevinding en     het risico
                                                                                                                                 Inkopen       kloppen.
                                                                                                                                           en betalingen                   
      vaststellingsbeschikkingen
Evaluatie van uw interne           verstrekt.                                                          De workflow in Stratech is niet afgedwongen, waardoor
beheersing                                                                                                                                   dat de controles
                                                                                                                                 Aanbestedingen
                                                                                                       tegelijkertijd niet is afgedwongen                                   
     Aanbeveling                                                                                       daarin worden uitgevoerd. Wel gaan alle toekennings-
     Om het bovenstaande risico te mitigeren, adviseren we de interne                                                            Salarissen                               
                                                                                                       en vaststellingsbeschikkingen boven €250.000 naar het
     beheersing zodanig in te richten dat de volledige workflow in Stratech moet                       college; daardoor is hetInkomende
                                                                                                                                  risico er eigenlijk niet.
                                                                                                                                              subsidies                    
     worden afgerond, voordat een subsidiebeschikking wordt getekend en
Ontwikkelingen
     verstrekt. Hierbij zijn de rechten en bevoegdheden in Stratech een                                Jaareinde: per jaareinde IT zullen wij de aansluiting 
                                                                                                                                                             leggen        
     aandachtspunt. Momenteel kunnen verschillende stappen in de workflow                              tussen realisatie in Coda en subsidies in Stratech.
     door eenzelfde medewerker worden uitgevoerd, en zijn er superusers in                             Intern is afgesproken dat deze aansluiting met ingang
     Stratech. Wij adviseren de rechten en bevoegdheden te herzien.                                    van 2020 per kwartaal plaatsvindt. Daarnaast gaat de
Vooruitblik naar de                                                                                    controller tijdens het toetsen van B&W-behandel-
      Op het moment dat de interne beheersing voldoende kwaliteitscontroles en
jaarrekeningcontrole                                                                                   voorstellen controleren of het proces in Stratech wel is
       functiescheiding waarborgt, kunnen de verstrekte subsidies met een                              doorlopen.




                                                                                     SOCIAAL
       organisatiegerichte aanpak worden gecontroleerd. Hierbij is het belangrijk dat
       alle subsidies via Stratech worden verstrekt en vastgesteld. De gemeente                        Procesverbetering: de jaareindeactie willen we
       Leeuwarden heeft het afgelopen jaar stappen gezet door de subsidies van                         structureel opnemen in ons handboek kwaliteit
Bijlage
       het fysiek domein ook in Stratech te administreren.                                             jaarstukken, zodat dit jaarlijks wordt uitgevoerd en
      Opvolging per jaareinde                                                                          gedocumenteerd in het jaarrekeningdossier.
      We verwachten dat gemeente Leeuwarden per jaareinde de workflow in                               De subsidies fysiek domein per 1 januari 2020 zijn qua
      Stratech vergelijkt met de werkelijk beschikte/uitbetaalde subsidies.                            procesgang gelijkgetrokken aan het sociaal domein.
                                                                                                                          Proces                           Line of defence
      Prioriteit
      Middel                                                                                                                                                1     2     3     Tov
                                                                                                                                                                             2017
                                                                                     FYSIEK

                                                                                                                               Jeugd                                       
                                                                                                                               Wmo                                         
                                                                                                                               Participatie                                
                                                                                                                               Verstrekte subsidies                        
</pre>

====================================================================== Einde pagina 36 =================================================================

<br><br>====================================================================== Pagina 37 ======================================================================

<pre>        Belangrijkste
                                   Toekomst van control: maak rollen en verantwoordelijkheden control in
        boodschappen               de tweede lijn helder

                                   Volgens de controlvisie 2019 bestaat de huidige inrichting         •   Nu is de invulling van control met name gericht op de
        Evaluatie van uw interne                                                                  .
                                   van de tweede lijn uit drie controllers (per directie) en              financiële control. Bijvoorbeeld de onderdelen
        beheersing                                                                                        prestatiemanagement en risicomanagement zijn hierbij
                                   afzonderlijke P&C-adviseurs. Een belangrijke doelstelling
                                   voor de tweede lijn betreft de optimale borging van control            nog onvoldoende betrokken. In de doorontwikkeling van
                                   binnen de processen. Als randvoorwaarde voor deze                      de VIC-functie wordt een bredere focus beschreven dan
Bevindingen processen
                                   doelstelling ziet u dat de huidige P&C-medewerkers zich                financial audit. We zien in de praktijk dat een verbreding
Update frauderisico’s              verder moeten bekwamen in het controldeel van hun                      van control binnen de tweede lijn plaatsvindt. De VIC-
                                   taken en dat de controllers de lijnmanagers ondersteunen               functie kan hierop een toets uitvoeren.
                                   in de inrichting van audit-/IC-programma’s.                        •   De (V)IC-functie wordt ook betrokken bij het uitvoeren
                                                                                                          van tweedelijnscontroles c.q. het implementeren van
        Ontwikkelingen                                                                                    verbetermaatregelen in de organisatie. Hierdoor ontstaat
                                   Wij geven u de volgende observaties en aanbevelingen
                                   mee ten behoeve van een nadere uitwerking van de                       vermenging tussen de eerste, tweede en derde lijn. Het
                                   toekomst van control:                                                  is raadzaam om dit te scheiden of in ieder geval heel
                                   • De invulling van taken en verantwoordelijkheden van                  expliciet te maken wanneer sprake is van ondersteuning
        Vooruitblik naar de           P&C-medewerkers en controllers is op dit moment niet                in de tweede lijn.
        jaarrekeningcontrole          consistent en er vindt overlap plaats. In de richting die
                                      nu voor de toekomst van control wordt geschetst is
                                      nog niet uitgewerkt hoe deze taken en
                                      verantwoordelijkheden van elkaar worden
        Bijlage                       onderscheiden.
                                   • Inzake de ondersteuning van lijnmanagers door
                                      controllers bij de inrichting van audit-/IC-programma’s
                                      onderschrijven we uw doelstelling om controllers hier
                                      verder op voor te bereiden. We merken dat controllers
                                      betrokken zijn geweest bij gesprekken inzake de
                                      30-dagenscan, maar niet zozeer bij de inrichting van
                                      de audit, de afstemming en de opvolging van
                                      bevindingen (adviesrol).
</pre>

====================================================================== Einde pagina 37 =================================================================

<br><br>====================================================================== Pagina 38 ======================================================================

<pre>        Belangrijkste
                                   Uw (verbijzonderde) interne controle is in transformatie, de basis moet nog
        boodschappen               worden gelegd voor de nieuwe centrale rol en het in-control statement
                                   Doorontwikkeling van de VIC-functie                             Ontbreken van een risicoanalyse
        Evaluatie van uw interne   Voor de toekomst van control staat gemeente Leeuwarden          De gemeente heeft geen overkoepelende risicoanalyse.
        beheersing                 ook uitgebreid stil bij de evaluatie van de VIC-functie.        Wij adviseren u een risicoanalyse op te stellen en vanuit de
                                   Als belangrijkste aandachtspunten voor uw toekomstige           risicoanalyse actiepunten te formuleren. Hierbij is het
                                   ambitie neemt u uit deze evaluatie mee: meer ruimte voor een    implementeren van een proces omtrent de monitoring van de
Bevindingen processen              onafhankelijke rol, minder kwetsbaarheid (verbreden functie),   risicoanalyse een aandachtspunt. Wat is de gewenste
                                   minder doublures met de jaarrekeningcontrole en meer            risicobereidheid? Wie is verantwoordelijk voor het updaten
Update frauderisico’s              toegevoegde waarde voor gemeente Leeuwarden.                    van de risicoanalyse? Op welke wijze worden de actiepunten
                                   Naast deze ambities zal de VIC-functie de komende jaren ook     geformuleerd en gemonitord? Aan wie rapporteert u over de
                                   de voortrekker zijn bij de voorbereidingen en inrichting die    voortgang?
        Ontwikkelingen             noodzakelijk zijn voor de rechtmatigheidsverantwoording c.q.    De jaarrekeningposten in het VIC-plan worden momenteel
                                   de doorgroei naar het in-control statement.                     grotendeels op basis van financiële omvang geselecteerd.
                                                                                                   In de toekomst zou u hierbij een aansluiting met de
                                   Uit de beoordeling van uw interne controleplan, de              risicoanalyse kunnen maken.
                                   werkprogramma’s en de gesprekken met de medewerkers
        Vooruitblik naar de        komen enkele belangrijke aandachtspunten naar voren die         Stel een eenduidige norm op voor uw werkzaamheden
        jaarrekeningcontrole       invloed hebben op de doorontwikkeling van de VIC-functie (en    Uit de besprekingen blijkt dat de gemeente geen eenduidige
                                   de rechtmatigheidsverantwoording/het in-control statement).     normen voor het bepalen van de steekproefaantallen heeft.
                                   We hebben onderstaand onze aanbevelingen toegelicht:            Wij adviseren u onderscheid te maken tussen organisatie-
                                                                                                   gerichte en gegevensgerichte werkzaamheden en voor beide
        Bijlage                    Bundel de werkprogramma’s ter uitvoering van uw VIC-            type werkzaamheden een norm voor steekproefaantallen te
                                   plan                                                            bepalen. Hierbij moet u rekening houden met het risicoprofiel,
                                   De gemeente heeft een VIC-plan dat door de concern-             het verwachte aantal bevindingen en de financiële omvang.
                                   controller is vastgesteld. In het plan staan de
                                   jaarrekeningposten vermeld, waarvoor de VIC interne
                                   controlewerkzaamheden gaat uitvoeren. De inhoudelijke
                                   werkzaamheden zijn op hoofdlijnen in het uitvoeringsplan
                                   beschreven. Daarnaast bestaan er nog aparte documenten
                                   met een uitgebreide beschrijving van de werkzaamheden,
                                   zoals de pgb’s. Wij adviseren u de uitvoeringsplannen en
                                   losse controleplannen samen te voegen tot één centraal plan,
                                   waardoor de voortgang en consistentie beter kunnen worden
                                   gewaarborgd.
</pre>

====================================================================== Einde pagina 38 =================================================================

<br><br>====================================================================== Pagina 39 ======================================================================

<pre>        Belangrijkste              Uw (verbijzonderde) interne controle is in transformatie, de basis voor de
        boodschappen               nieuwe centrale rol en rechtmatigheidsverantwoording moet nog worden gelegd
                                   De betrouwbaarheid van steekproefbestanden wordt niet
                                   zichtbaar getoetst
        Evaluatie van uw interne
                                   Voor de bronbestanden is het maken van een zichtbare
        beheersing
                                   aansluiting met de financiële verantwoording een
                                   aandachtspunt. Dit is een belangrijke eerste stap om te
Bevindingen processen              waarborgen dat de werkzaamheden op de juiste bestanden
                                   worden uitgevoerd en er geen items buiten de selectie terecht
Update frauderisico’s              kunnen komen.

                                   Selectiemethode: risicogericht of steekproef?                       Uitbreiding van reikwijdte werkzaamheden (V)IC-functie
                                   Ten aanzien van de selectiemethode is het belangrijk dat de         Op dit moment verricht de VIC geen werkzaamheden ten
        Ontwikkelingen
                                   selectiemethode onafhankelijk wordt gemaakt en dat de               aanzien van balansposten, zoals materiële vaste activa,
                                   vastlegging dusdanig is dat een derde hetzelfde item zou            overhead en de grondexploitaties (wel IC-werkzaamheden).
                                   kunnen steken op basis van de vastlegging (reperformable).          Uitgaande van de complexiteit van deze jaarrekeningposten,
                                   Bij het maken van een selectie kunt u ook, voordat een              de financiële omvang en de recente wijzigingen in het BBV,
        Vooruitblik naar de        steekproef wordt gemaakt, op basis van geformuleerde criteria       adviseren wij u te overwegen om deze in het VIC-plan op te
        jaarrekeningcontrole       items selecteren, bijvoorbeeld vanwege de financiële omvang,        nemen. Dit was al een ambitie van de VIC-functie en een
                                   het risicoprofiel of de periode rondom de jaarafsluiting. De        aantal processen zullen in gezamenlijk overleg aan het VIC-
                                   risicoanalyse is hiervoor een geschikt uitgangspunt.                plan 2020 worden toegevoegd.

        Bijlage                    Tijdspad                                                            Maak impact van bevindingen op controleaanpak en
                                   Voor een aantal jaarrekeningposten hebt u al interne                jaarrekening inzichtelijk
                                   controlewerkzaamheden verricht, bijvoorbeeld Jeugd, Wmo en          De uitkomsten van de (V)IC-werkzaamheden, uw bevindingen
                                   verstrekte uitkeringen (PW). Het is positief dat u deze             en aanbevelingen, worden in een halfjaarlijkse rapportage
                                   controles per kwartaal en tijdig uitvoert. Voor andere              verwerkt. Er wordt in de rapportage nog niet weergegeven
                                   jaarrekeningposten bent u (o.a. door de wisseling van externe       welke impact een bevinding heeft op de controleaanpak van
                                   accountant) nog niet begonnen met de interne controles.             de (V)IC en of er sprake is van een materieel risico voor de
                                   Het is belangrijk dat controles, bijvoorbeeld organisatiegerichte   jaarrekening. Bijvoorbeeld in geval van een steekproef moet
                                   (tariefs)controles, tijdig worden uitgevoerd. Wij adviseren u       worden overwogen of de bevinding over de gehele populatie
                                   voor het boekjaar 2020 een tijdspad op te stellen, waarbij u de     moet worden geëxtrapoleerd. We bevelen gemeente
                                   werkzaamheden aan de juiste periode/frequentie koppelt.             Leeuwarden aan om dit, in samenwerking met de
                                   We gaan vervolgens uiteraard met gemeente Leeuwarden in             eerste/tweede lijn uit te voeren en dit op te nemen in de
                                   overleg over uw plan.                                               rapportage.
</pre>

====================================================================== Einde pagina 39 =================================================================

<br><br>====================================================================== Pagina 40 ======================================================================

<pre>        Belangrijkste              Update ten aanzien van de frauderisicoanalyse naar aanleiding van onze
        boodschappen               tussentijdse controle
                                   In ons controleplan hebben wij een initiële frauderisico-       Daarnaast hebben wij de opzet van de interne beheersing
                                   analyse opgenomen. Als onderdeel van onze tussentijdse          van uw belangrijkste financiële processen beoordeeld.
        Evaluatie van uw interne   controle hebben wij vastgesteld of beheersingsmaatregelen       Hieruit blijken geen aanvullende frauderisico’s ten opzichte
        beheersing                 zijn getroffen om deze frauderisico’s te ondervangen. Het       van ons controleplan. In onderstaande tabel hebben wij de
                                   gaat hierbij om landelijke aandachtspunten, en niet enkel van   uitkomsten voor u samengevat.
                                   toepassing voor gemeente Leeuwarden.
Bevindingen
Bevindingen processen
            processen

Update frauderisico’s
                                          Geconstateerd frauderisico               In opzet aanwezige beheersingsmaatregel om risico         Restrisico
                                                                                   te ondervangen

        Ontwikkelingen              1      Doorbreking interne beheersing          Handmatige boekingen worden opgesteld door het             Hoog
                                           door het management                     primaire proces. Op deze boekingen vindt geen
                                                                                   (zichtbare) autorisatie plaats en er worden geen
                                                                                   zichtbare controles uitgevoerd of de boeking verwerkt
                                                                                   is en of het onderliggende document aansluit op de
        Vooruitblik naar de                                                        aangeleverde boeking.
        jaarrekeningcontrole
                                    2      Inkopen en uitgaande betalingen         Een factuur moet geautoriseerd zijn voordat deze           Middel
                                           zijn niet onderbouwd met                betaald kan worden. Door het systeem wordt niet
                                           tegenprestaties                         afgedwongen dat controledocumentatie wordt
                                                                                   opgenomen voor de prestatieakkoordverklaring.
        Bijlage
                                    3      Gunning van (Europese)                  Voor grotere aanbestedingstrajecten wordt een              Middel
                                           aanbestedingen aan bevriende            projectgroep opgericht waarin onafhankelijke personen
                                           partijen (corruptie-/omkopingsrisico)   zitting nemen die vervolgens afzonderlijk van elkaar
                                                                                   een score geven op de door de gemeente opgestelde
                                                                                   criteria.
                                    4      Grondverkopen zijn niet gebaseerd       Gemeente Leeuwarden maakt voor de grondverkopen            Laag
                                           op zakelijke transacties                gebruik van (vaste) taxateurs om de marktconformiteit
                                                                                   van transacties te waarborgen.
</pre>

====================================================================== Einde pagina 40 =================================================================

<br><br>====================================================================== Pagina 41 ======================================================================

<pre>        Belangrijkste              Ons beeld van uw IT-omgeving
        boodschappen
                                   Wij hebben ons in de periode september tot en met november               geëvalueerd, omdat bepaalde handmatige beheersings-
                                   2019 een begrip gevormd van de belangrijkste IT-                         maatregelen en -rapportages afhankelijk zijn van informatie
                                   ontwikkelingen en de voor de jaarrekeningcontrole relevante              uit systemen. In onze controle noemen we dit IT-
        Evaluatie van uw interne   algemene IT-beheersingsmaatregelen (‘ITGC’s’) voor                       afhankelijkheden. We hebben onze controleaanpak bepaald
        beheersing                 onderstaande applicaties in opzet en bestaan getoetst bij de             op basis van het volwassenheidsniveau van de ITGC’s in
                                   gemeente Leeuwarden:                                                     combinatie met de IT-afhankelijkheden. Op basis van deze
                                   • Coda (financiële administratie);                                       werkzaamheden is in onderstaande tabel weergegeven in
                                   • Corsa (inkoopfactuurverwerking)                                        hoeverre we in onze controle gebruik kunnen maken van de
                                   • Mens Centraal (sociaal domein: jeugdzorg en Wmo);                      IT-afhankelijkheden in deze systemen. In het deel evaluatie
        Ontwikkelingen
                                   • Suite4 Werk&Inkomen (sociaal domein: werk & inkomen);                  van uw interne beheersing vindt u een overzicht van de
                                   • PIMS (personeels- en salarisadministratie);                            belangrijkste ITGC-bevindingen, risico’s en aanbevelingen.
                                   • YouPP (HR-mutaties);                                                   De afstemming hierover vindt nog plaats.
Stand van zaken IT
                                   • Stratech (subsidies).
                                                                                                                                              Legenda
Rechtmatigheidsverantwoording
                                   ITGC’s zijn de maatregelen en de procedures die worden                                                      Gebruikmaken niet
Nieuwe notitie grondexploitaties   gebruikt om de IT-omgeving en de IT-activiteiten te                                                          mogelijk
                                   beheersen en de continuïteit van de geautomatiseerde                                                        Gebruikmaken mogelijk
Ontwikkelingen WNT                 beheersingsmaatregelen die afhankelijk zijn van generieke IT-                                                met aanvullende
                                   processen te waarborgen. We hebben de ITGC’s ook                                                             werkzaamheden
                                                                                                                                               Gebruikmaken mogelijk
        Vooruitblik naar de                                                                           Applicaties
        jaarrekeningcontrole                                                                                                                  ◆ Afhankelijk van verklaring
                                                                                Coda   Corsa    Mens       Suite    PIMS &      Stratech        van derden
                                                                                               Centraal             YouPP
                                                         Standaardrapportages                   ◆                               
                                   IT-afhankelijkheden




        Bijlage                                          Maatwerkrapportages                    ◆                               

                                                         Geautomatiseerde                       ◆                               
                                                         controles en
                                                         berekeningen
                                                         Functiescheidingen                    ◆                               
</pre>

====================================================================== Einde pagina 41 =================================================================

<br><br>====================================================================== Pagina 42 ======================================================================

<pre>        Belangrijkste
                                   Volwassenheid IT-omgeving
        boodschappen
                                   Volwassenheid IT-beheersingsprocessen nog niet in lijn met ambitieniveau van gemeente Leeuwarden;
                                   bevindingen worden actief opgepakt mede in het kader van het verstrekken van een ISAE3402 type II-verklaring in
        Evaluatie van uw interne   2020
        beheersing                 Gemeente Leeuwarden heeft de ambitie toe te groeien naar          De gemeente onderzoekt momenteel de mogelijkheden om in
                                   een volwassenheidsniveau waarbij IT-beheersings-                  2020 een ISAE3402 type II-verklaring te verstrekken,
                                   maatregelen structureel en aantoonbaar worden uitgevoerd          waarmee de afnemende gemeenten (en hun accountants)
                                   en is hier actief mee bezig. Dit blijkt uit de gesprekken die wij inzicht en zekerheid kunnen verkrijgen over de opzet en de
                                   hebben gevoerd. Er wordt actief opvolging gegeven aan             werking van beheersingsmaatregelen. Deze mogelijkheden
        Ontwikkelingen
                                   bevindingen en aanbevelingen die voortkomen uit externe           worden onderzocht enerzijds op verzoek van de afnemende
                                   onderzoeken die zijn uitgevoerd rondom bijvoorbeeld               gemeenten (en hun accountants) en anderzijds vanuit het
                                   informatiebeveiliging.                                            oogpunt van de gemeente Leeuwarden zelf om aan overige
Stand van zaken IT
                                                                                                     stakeholders te laten zien dat de kwaliteit van het SSC op
                                   Het Shared Service Center (‘SSC’) ICT van de gemeente             orde is.
Rechtmatigheidsverantwoording
                                   Leeuwarden is verantwoordelijk voor het IT-beheer van de          Wij adviseren afhankelijk van de uitkomsten van dit onderzoek
Nieuwe notitie grondexploitaties   systemen van de gemeente. Vanuit de rol van de gemeente           de systemen (netwerk, applicaties, databases etc.) en
                                   als centrumgemeente voert het SSC ICT ook het IT-beheer           beheersingsmaatregelen in scope van een dergelijke
Ontwikkelingen WNT                 uit van de systemen van een aantal andere gemeenten in            verklaring op voorhand af te stemmen met de afnemende
                                   Friesland. Teneinde inzicht en zekerheid te verstrekken aan       gemeenten zodat deze verklaring in lijn ligt met hun
                                   deze gemeenten over de IT-beheersing heeft een externe            verwachtingen. We adviseren u in dit kader ook opvolging te
        Vooruitblik naar de        partij eind 2018 een third-partymededeling voor het SSC van       geven aan de ITGC-bevindingen en aanbevelingen zoals
        jaarrekeningcontrole       de gemeente Leeuwarden verstrekt. Dit betrof een                  toegelicht in deze rapportage.
                                   onderzoek naar de opzet en het bestaan van
                                   beheersingsmaatregelen gericht op informatiebeveiliging (op
                                   basis van de Baseline Informatiebeveiliging Gemeenten,
                                   ‘BIG’)).
        Bijlage
                                   In de verklaring zijn enkele afwijkingen gerapporteerd. We
                                   hebben begrepen dat de gemeente opvolging geeft aan deze
                                   bevindingen.
</pre>

====================================================================== Einde pagina 42 =================================================================

<br><br>====================================================================== Pagina 43 ======================================================================

<pre>        Belangrijkste
                                   Aandacht voor security en privacy
        boodschappen               In het kader van de jaarrekeningcontrole voeren wij geen diepgaande
                                   beoordeling uit om vast te stellen of gemeente Leeuwarden adequate
                                   maatregelen heeft getroffen om te voldoen aan de wet- en regelgeving rondom
                                   de beveiliging van persoonsgegevens.
        Evaluatie van uw interne
                                   Onze werkzaamheden beperken zich tot ons een beeld vormen van de
        beheersing
                                   maatregelen die de gemeente in dit kader in opzet heeft getroffen dan wel van
                                   plan is te treffen en hoe cybersecurity in opzet is ingebed in de organisatie. We
                                   hebben hiervoor gesproken met uw Chief Information Security Officer (CISO)
                                   en de functionaris gegevensbescherming .
        Ontwikkelingen
                                   De afgelopen jaren heeft gemeente Leeuwarden aandacht besteed aan het
                                   verbeteren en implementeren van beheersingsmaatregelen op het gebied van
Stand van zaken IT                 (cyber)security en privacy, zo hebben we het volgende begrepen:
                                   • De gemeente heeft in oktober 2018 een onafhankelijk onderzoek laten
Rechtmatigheidsverantwoording         uitvoeren naar de beheersingsmaatregelen gericht op informatiebeveiliging
                                      binnen het SSC. Hierbij zijn de grondslagen van het NOREA-framework en
Nieuwe notitie grondexploitaties      de kaders van de BIG gebruikt. De belangrijkste bevindingen vanuit dit
                                      onderzoek hebben betrekking op het ontbreken van formeel vastgestelde
Ontwikkelingen WNT
                                      procedures en het documenteren van beheersingsmaatregelen. Gemeente
                                      Leeuwarden heeft aan de hand van dit onderzoek een controleplan
                                      opgesteld om de aanbevelingen op te volgen.
        Vooruitblik naar de
                                   • Recentelijk heeft Microsoft een onderzoek uitgevoerd op de inrichting van
        jaarrekeningcontrole          het netwerk. Gemeente Leeuwarden is nog in afwachting van de resultaten.
                                   • Gemeente Leeuwarden beschikt over een informatiebeveiligingsbeleid en
                                      heeft een Information Security Management System (ISMS) aangeschaft dat
                                      aankomend jaar zal worden ingericht.
        Bijlage                    • Een werkgroep privacy is ingericht die maandelijks bijeenkomt om te
                                      sparren over privacythema’s.
                                   • In het kader van de Algemene verordening gegevensbescherming is een
                                      risicoanalyse uitgevoerd en is het volwassenheidsniveau in kaart is
                                      gebracht. Gemeente Leeuwarden scoort op veel punten nog een
                                      volwassenheidsniveau één en op een aantal onderdelen niveau twee, op
                                      een schaal van nul tot en met vijf. Een volwassenheidsniveau van drie geeft
                                      aan dat de processen gedefinieerd zijn en functioneren. De ambitie van de
                                      gemeente moet nog bepaald worden.
</pre>

====================================================================== Einde pagina 43 =================================================================

<br><br>====================================================================== Pagina 44 ======================================================================

<pre>        Belangrijkste
                                   Maak voorbereidingen rechtmatigheidsverantwoording een prioriteit
        boodschappen               Ligt u op schema?                                             Actuele status binnen uw organisatie
                                   In onze eerder rapportage hebben wij u geïnformeerd over de   In januari 2019 is de controlvisie geactualiseerd.
                                   voorgenomen invoering van de rechtmatigheids-                 Hierin beschrijft gemeente Leeuwarden dat een van de
                                   verantwoording per 2021. Naar verwachting wordt deze          uiteindelijke doelen bestaat uit het afgeven van een
        Evaluatie van uw interne   onderdeel van de jaarrekening en zal de commissie BBV een     rechtmatigheidsverantwoording door het college in 2021.
        beheersing                 format voor de tekst daarvan opstellen. Belangrijk is dat u   Gemeente Leeuwarden heeft daarnaast de ambitie
                                   voorbereidingen treft voor de onderbouwing van die            uitgesproken om op langere termijn toe te willen werken naar
                                   verantwoording. Wij hebben geadviseerd voor 2019 de           het in-control statement. Hier wordt (o.a. met de inrichting en
                                   volgende stappen te ondernemen:                               het verder professionaliseren van interne controles) naar toe
        Ontwikkelingen                                                                           gewerkt.
                                   Stap 1: Bepalen ambitie rechtmatigheidsverantwoording
                                   Stap 2: Opstellen plan van aanpak invoering                   De VIC-functie is hierbij aangewezen om de voortrekkersrol
Stand van zaken IT                         rechtmatigheidsverantwoording                         te vervullen voor het opstellen van het plan van aanpak met
                                   Stap 3: Inrichting van de sturing en governance rondom de     een duidelijke planning en duidelijke mijlpalen voor de
Rechtmatigheidsverantwoording              invoering van de rechtmatigheidsverantwoording        implementatie.
                                                                                                 Dit sluit aan met het landelijke beeld. De VIC-functie heeft het
Nieuwe notitie grondexploitaties                                                                 beste zicht op de inrichting en de kwaliteit van de huidige
                                                                                                 rechtmatigheidscontroles.
Ontwikkelingen WNT
                                                                                                 Graag gaan wij met u in gesprek over de te nemen stappen
                                                                                                 om te komen tot een concreet plan van aanpak.
        Vooruitblik naar de
        jaarrekeningcontrole



        Bijlage
</pre>

====================================================================== Einde pagina 44 =================================================================

<br><br>====================================================================== Pagina 45 ======================================================================

<pre>        Belangrijkste              Nieuwe notitie grondexploitaties gepubliceerd
        boodschappen               Ingangsdatum 2019
                                   In de zomer van 2019 is de nieuwe notitie grondexploitaties door de
                                   commissie BBV gepubliceerd. Deze nieuwe notitie vervangt alle voorgaande
                                   notities en vragen en antwoorden. De notitie treedt in werking vanaf
        Evaluatie van uw interne
                                   begrotingsjaar 2019.
        beheersing
                                   Nieuw hoofdstuk gericht op raadsleden
                                   In de nieuwe notitie is hoofdstuk 2 gewijd aan het belang van grondbeleid voor
                                   raadsleden. Dit hoofdstuk is vooral bedoeld als toelichting op de rol en de
        Ontwikkelingen             sturingsmogelijkheden die de raad in het grondexploitatieproces heeft.
                                   Wij adviseren de leden van het college en de raad kennis te nemen van dit
                                   hoofdstuk.
Stand van zaken IT
                                   In de notitie zijn 12 wijzigingen/verduidelijkingen opgenomen
Rechtmatigheidsverantwoording      Volgens de commissie kent de nieuwe notitie geen verzwaringen, maar zijn
                                   alleen nadere verduidelijkingen of kleine wijzigingen opgenomen.
Nieuwe notitie grondexploitaties   De belangrijkste hebben wij hier voor u samengevat:
                                   • Er is een nieuwe categorie ‘warme gronden’ onder de materiële vaste
Ontwikkelingen WNT
                                       activa opgenomen. Dit zijn gronden die zijn aangekocht met het voornemen
                                       deze te ontwikkelen. Hiervoor mag onder voorwaarden de marktwaarde
                                       bepaald worden op basis van de toekomstige bestemming (in plaats van de
        Vooruitblik naar de                                                                                         TIP
                                       huidige bestemming).
        jaarrekeningcontrole       • Majeure rechten en verplichtingen uit grondexploitaties moeten toegelicht      De commissie Bedrijfsvoering en
                                       worden onder de ‘niet uit de balans blijkende rechten en verplichtingen’.    Auditing Decentrale Overheden
                                   • Er zijn nieuwe presentatie- en toelichtingsvereisten faciliterend              (BADO) van het ministerie van BZK
                                       grondbeleid.                                                                 heeft begin september een notitie
        Bijlage                    • Advies om bepaalde uitgangspunten vast te leggen in bijvoorbeeld de            grondexploitaties uitgebracht die
                                       financiële verordening, te weten:                                            meer de nadruk legt op de
                                         • de keuze voor een voorziening tegen contante waarde of nominale          beheersing van grondexploitaties
                                           waarde voor verlieslatende grondexploitatie (gemeente Leeuwarden         en die het gehele proces van
                                           hanteert hiervoor overigens de contante-waardemethode);                  woningbehoefte tot het sluiten van
                                         • een uitwerking van de wijze waarop met conjuncturele risico’s en de      een grondexploitatie beschrijft.
                                           omvang van het weerstandsvermogen wordt omgegaan.                        PwC is één van de auteurs van de
                                                                                                                    notitie. U vindt de notitie hier.
                                   Wij zullen u in ons accountantsverslag rapporteren over de wijze waarop deze
                                   notitie is toegepast bij de totstandkoming van de jaarrekening 2019.
</pre>

====================================================================== Einde pagina 45 =================================================================

<br><br>====================================================================== Pagina 46 ======================================================================

<pre>        Belangrijkste
                                   Diverse ontwikkelingen in de WNT 2019
        boodschappen               Nieuwe WNT-norm 2019
                                   Het algemeen voltijds- en voljaarsbezoldigingsmaximum voor 2019 is met
                                   ingang van 1 januari 2019 verhoogd naar €194.000 (2018: €189.000).
        Evaluatie van uw interne   Hogere WNT-normen voor uw externe functionarissen
        beheersing                 Voor 2019 gelden voor externe topfunctionarissen hogere maxima dan voor
                                   2018. De maxima per maand waarin is gewerkt zijn:
                                   • voor de eerste zes maanden: €25.900 (2018: €25.300);
                                   • voor de tweede zes maanden: €19.600 (2018: €19.100);
        Ontwikkelingen             • met een maximum van €187 (2018: €182) per uur. Er wordt een gemiddelde
                                     uurnorm van tussen €182 en €187 berekend indien de periode betrekking
                                     heeft op zowel 2018 als 2019.
Stand van zaken IT
                                   Voor zover ons bekend is zijn er bij gemeente Leeuwarden geen externe
Rechtmatigheidsverantwoording      topfunctionarissen. Wel vragen we uw aandacht om tijdig te starten met uw
                                   concept van de WNT-verantwoording, omdat de functie van
Nieuwe notitie grondexploitaties   gemeentesecretaris in de loop van 2019 is gewijzigd.
Ontwikkelingen WNT
                                   De regels voor een niet-topfunctie na een topfunctie zijn conform 2018
                                   Het is niet langer noodzakelijk om niet-topfuncties van voormalig
                                   topfunctionarissen toe te lichten tenzij aan de onderstaande voorwaarden is
        Vooruitblik naar de        voldaan:
        jaarrekeningcontrole       • de topfunctionaris is gestart op of na 1 januari 2018; en
                                   • de functie is minimaal twaalf maanden vervuld; en
                                   • de topfunctionaris heeft een aansluitende niet-topfunctie bij de organisatie.

        Bijlage                    In dat geval moet de functionaris nog vier jaar als topfunctionaris worden
                                   toegelicht in de WNT-verantwoording. In andere gevallen gelden de algemene
                                   regels voor niet-topfunctionarissen (publicatie op functie indien bezoldiging
                                   hoger is dan het algemene bezoldigingsmaximum).

                                   De WNT-norm in 2020
                                   De normbedragen 2020 zijn bekendgemaakt en het maximum bedraagt
                                   €201.000. Voor verdere informatie zie www.topinkomens.nl.
</pre>

====================================================================== Einde pagina 46 =================================================================

<br><br>====================================================================== Pagina 47 ======================================================================

<pre>                                   In het verantwoordingsproces sociaal domein steunt u nog beperkt op eigen
        Belangrijkste
        boodschappen               interne beheersing
                                   We hebben met de organisatie op hoofdlijnen gesproken over        Uit de bespreking met SDF blijkt dat enkele contracten voor
                                   de aanpak voor het sociaal domein. In dit hoofdstuk delen wij     Wmo en jeugdzorg op outputfinanciering zijn gebaseerd.
                                   met u onze observaties over uw aanpak voor 2019 en verder         Hierbij bestaan de volgende aandachtspunten:
        Evaluatie van uw interne
                                   ten behoeve van het groeipad voor het sociaal domein.             • het bepalen van de voortgang van de trajecten per
        beheersing
                                                                                                        jaareinde ten behoeve van het toerekenen van de lasten
                                   Ter voorbereiding op de jaarrekeningcontrole 2019 hebt u een         aan een boekjaar en het bepalen van de balansposities; en
                                   plan van aanpak voor het sociaal domein opgesteld. Het is         • het kwantificeren van de overige contractbepalingen
                                   positief dat u tijdig een plan hebt opgesteld. De uitvoering en      waarover tussen de gemeenten en de zorgaanbieders
        Ontwikkelingen             aansturing van Wmo en jeugdzorg zijn binnen gemeente                 wordt afgerekend.
                                   Leeuwarden decentraal belegd. Als gevolg hiervan bestaat het
                                   plan van aanpak uit meerdere losse onderdelen.                    Persoonsgebonden budgetten
                                   Wij adviseren u dit samen te voegen tot één geheel. Uit onze      De verantwoording van de pgb-bestedingen wordt ontvangen
        Vooruitblik naar de        ervaring in de praktijk blijkt dat een overkoepelend plan van     van de Sociale Verzekeringsbank (‘SVB’). Voor 2019 zijn de
        jaarrekeningcontrole       aanpak (al of niet met vooruitblik en ambitie) dat wordt          volgende maatregelen getroffen om te waarborgen dat u tijdig
                                   afgestemd met het MT/de secretaris kan leiden tot een             de getrouwheid en rechtmatigheid van de pgb-bestedingen
                                   soepelere monitoring van het proces en verbetermaatregelen.       inzichtelijk hebt:
Sociaal domein                                                                                       • periodieke aansluiting tussen de pgb-budgetten in Mens
                                   Voor de jaarrekening 2019 gelden de volgende                         Centraal en de SVB-portal;
Signalen jaarrekening              uitgangspunten:                                                   • voortgangsgesprekken met cliënten met een pgb door de
                                                                                                        afdeling Handhaving ter waarborging van de
Terugkoppeling afspraken           Zorg in natura                                                       prestatielevering, kwaliteit van de zorg en de geschiktheid
                                   Voor de zorg in natura heeft het college er voor 2019 voor           van de indicaties;
                                   gekozen om de prestatielevering van de zorg vast te stellen       • interne controles ten aanzien van de toekenning van pgb’s.
        Bijlage                    op basis van de verantwoordingen van zorgaanbieders.
                                   Hierbij maakt u onderscheid tussen lokale zorg en regionale       Aandachtspunten bij de controle van de pgb-bestedingen zijn:
                                   zorg, waarbij de regionale zorg bij SDF is ondergebracht.         • het berekenen van de impact van het kasstelsel;
                                                                                                     • het opstellen van een analyse van de gecontroleerde pgb-
                                   Om het proces per jaareinde soepel te laten verlopen, hebt u        lasten door middel van voortgangsgesprekken in relatie tot
                                   in het najaar een overleg met alle betrokkenen van SDF              de totale pgb-lasten;
                                   (gemeenten, zorgaanbieders en externe accountants)                • maak aan de voorkant met de afdeling Handhaving
                                   gepland. Tijdens het overleg hebt u uw plan van aanpak en           afspraken over de documentatie van de prestatielevering
                                   het tijdspad nader toegelicht. Voor de controle van de lokale       en de selectie van de steekproef.
                                   zorg hebt u besloten uit efficiëntie-oogpunt bij de aanpak van
                                   SDF aan te sluiten.
</pre>

====================================================================== Einde pagina 47 =================================================================

<br><br>====================================================================== Pagina 48 ======================================================================

<pre>                                   De stap naar wat wel kan                                        Horizontaal toezicht
        Belangrijkste              We bevelen aan om in 2020 een plan van aanpak te                In de pilot horizontaal toezicht zet gemeente Leeuwarden
        boodschappen               ontwikkelen waarin u uitwerkt hoe de gemeente de juistheid      samen met een van de zorgaanbieders huishoudelijke hulp op
                                   en rechtmatigheid van ZIN in de eigen interne beheersing zal    korte termijn een belangrijke nieuwe stap. Er wordt namelijk
                                   gaan borgen (zoals u momenteel grotendeels al voor de pgb-      beoordeeld hoe het ingerichte controleframework daadwerkelijk
                                   bestedingen verricht). Dit helpt ook bij uw ambitie om de       werkt en of een ISAE3402-verklaring bij de beheersing kan
        Evaluatie van uw interne   jaarrekening vroegtijdig gereed te hebben.                      worden verstrekt.
        beheersing
                                   Als onderdeel van het groeipad naar een controle zonder
                                                                                                   In het gezamenlijke groeitraject hebben we aangegeven dat we
                                   afhankelijkheden van derden is het inrichten van adequate
                                                                                                   eveneens de ontwikkelingen van uw pilot horizontaal toezicht
                                   procedures, zoals het uitvoeren van huisbezoeken en
                                                                                                   volgen. Dit doen we de komende jaren parallel aan uw
                                   herindicaties, noodzakelijk. Aandachtspunten hierbij zijn:
        Ontwikkelingen             • Welke stromen selecteert u voor een pilot?
                                                                                                   verbetertraject interne beheersing sociaal domein. Voor 2019
                                                                                                   rapporteren we hierover voor het eerst in ons
                                   • In hoeverre sluit uw plan van aanpak voor de pilots aan
                                                                                                   accountantsverslag.
                                      met good practices vanuit I-sociaal domein, notitie SDO en
                                      andere gemeenten?                                            De komende tijd gaat een aantal gemeenten samen met
        Vooruitblik naar de        • Op welke wijze past dit binnen de samenwerking met SDF        aanbieders en accountants in het traject ‘Anders
        jaarrekeningcontrole          en Stichting Amaryllis?                                      verantwoorden’ de randvoorwaarden en de methodiek voor
                                   We gaan met u in overleg over uw eerste conceptplan van         horizontaal toezicht verder uitwerken. Een van onze teamleden
Sociaal domein                     aanpak om gezamenlijk uw stappen voor 2020 concreet te          sluit zich aan bij dit landelijke initiatief.
                                   maken.
Signalen jaarrekening

Terugkoppeling afspraken


        Bijlage
</pre>

====================================================================== Einde pagina 48 =================================================================

<br><br>====================================================================== Pagina 49 ======================================================================

<pre>        Belangrijkste
                                   Belangrijke signalen en/of aandachtspunten ten behoeve van de
        boodschappen               jaarrekening(controle)
                                   Early warning rechtmatigheid aanbestedingen                     Financiële verordening voldoet niet volledig aan eisen
                                   In 2018 is er voor een bedrag van €10,7 miljoen aan             van het BBV
        Evaluatie van uw interne   onrechtmatigheden in Europese aanbestedingen                    Met ingang van 1 januari 2017 is de Financiële verordening
        beheersing                 gerapporteerd. Positief is dat gemeente Leeuwarden actie        gemeente Leeuwarden 2017 in werking getreden. Wij hebben
                                   heeft ondernomen op de onrechtmatigheden van vorig jaar.        vastgesteld dat deze verordening ten aanzien van het
                                   Zo zijn er tussentijdse controles uitgevoerd om de actuele      tussentijds winstnemen uit grondexploitaties niet voldoet aan
                                   status te beoordelen. Echter, veel conclusies over              de in 2017 gewijzigde eisen van het BBV.
        Ontwikkelingen             aanbestedingen zijn n juni/juli getrokken, waardoor er          Daarnaast is in de financiële verordening opgenomen dat het
                                   onvoldoende tijd/ruimte in de overeenkomst of het lopende       college minimaal eens per vier jaar een nota grondbeleid
                                   project aanwezig is om op korte termijn een nieuwe              aanbiedt aan de raad met daarin de kaders en de
                                   aanbesteding uit te zetten. Voor een aantal leveranciers        strategische visie van het toekomstige grondbeleid van de
                                   zonder overeenkomst/contract is de dienstverlening (indien      gemeente Leeuwarden. Wij hebben vastgesteld dat de
        Vooruitblik naar de        gewenst) beëindigd.                                             huidige nota dateert uit 2012.
        jaarrekeningcontrole
                                   Daarnaast hebben we inzake aanbestedingen geconcludeerd         Omdat niet is voldaan aan de inhoudelijke bepaling van de
Sociaal domein                     dat het proces ook in 2019 nog onvoldoende waarborgen kent      financiële verordening, is sprake van een formele
                                   om de rechtmatigheid en juistheid van inkopen te                onrechtmatigheid. Daarom bevelen wij u aan om de nota
Signalen jaarrekening              waarborgen, waardoor het risico op nieuwe                       grondbeleid zo spoedig mogelijk aan de raad aan te bieden.
                                   onrechtmatigheden aanwezig is.                                  Hierbij kijken wij overigens graag mee in het kader van onze
Terugkoppeling afspraken                                                                           natuurlijke adviesfunctie.
                                   Uit de tussentijdse controle is voor het eerste halfjaar 2019
                                   een onrechtmatigheid van €1,5 miljoen geïdentificeerd.
        Bijlage                    De gemeente heeft voor deze inkopen vastgesteld dat de
                                   totale onrechtmatigheid voor 2019 op €2,8 miljoen zal
                                   uitkomen. We hebben met gemeente Leeuwarden
                                   afgesproken dat wij over deze bevindingen voor de start van
                                   de jaarrekeningcontrole een conclusie formuleren.
</pre>

====================================================================== Einde pagina 49 =================================================================

<br><br>====================================================================== Pagina 50 ======================================================================

<pre>        Belangrijkste
                                   Het controleproces en voorbereidingen op de jaareindecontrole
        boodschappen               Om het proces van de jaareindecontrole verder te verbeteren delen we onderstaand een aantal aandachtspunten.

                                    Onderwerp          Observatie

        Evaluatie van uw interne    Hoe we tijdens     Tijdens onze eerste controlemomenten hebben we een goede samenwerking met uw team ervaren.
        beheersing                  de eerste          Om een soepele en efficiënte controle te waarborgen hebben we duidelijke en heldere wederzijdse
                                    controleperiode    afspraken gemaakt. Een deel hiervan is in het controleplan 2019 weergegeven; overkoepelend worden
                                    hebben             onze afspraken in de startnotitie 2019 vastgelegd (medio november). Vooralsnog hebben wij geen
                                    samengewerkt       opmerkingen over onze samenwerking en worden afspraken nageleefd. We hebben veelvuldig contact
                                                       over onze samenwerking en afspraken met de organisatie en intern. We bevelen u aan ook na te gaan
        Ontwikkelingen                                 wie binnen de gemeente de afspraken in de startnotitie (en op welke wijze) borgt.
                                    Vooruitkijken      Ter ondersteuning van uw voorbereiding op onze jaareindecontrole zijn wij met u in gesprek over de
                                    naar de            lijst op te leveren specificaties, uw modulaire aanpak en de rolverdeling tussen het team jaarrekening
                                    jaareinde-         en de (V)IC-functie. Hierbij hebben we voor de onderwerpen met de meeste tijdsinzet, bevindingen en
        Vooruitblik naar de
                                    controle           complexiteit (materiële vaste activa, sociaal domein, grondexploitaties en aanbestedingen) aparte
        jaarrekeningcontrole
                                                       besprekingen gepland om de aanpak door te spreken.

Sociaal domein                                         Voor een verdere voorbereiding vragen wij gemeente Leeuwarden voor de volgende onderwerpen per
                                                       jaareinde een standpuntenmemo op te stellen:
Signalen jaarrekening                                  • effecten van BBV-wijzigingen op de jaarrekening 2019 (waaronder notitie incidentele baten en
                                                          lasten en grondexploitaties);
Terugkoppeling afspraken                               • aanbestedingen: actualiseren bevindingen vorige jaren en conclusie trekken over nieuwe mogelijke
                                                          bevindingen;
                                                       • overige onderwerpen waarbij sprake is van een schatting/overweging: bijvoorbeeld het wel of niet
        Bijlage                                           opnemen van een voorziening voor een mogelijk materiële claim en de governance van verbonden
                                                          partijen.
                                    Afhankelijkheid    Voor de verantwoording in uw administratie en de adequate werking van uitbestede
                                    derde partijen     beheersingsmaatregelen, bent u afhankelijk van de informatievoorziening vanuit (service)organisaties.
                                                       Voor gemeente Leeuwarden betreft dit het CAK, SVB, zorgaanbieders, SDF, Lost Lemon voor Mens
                                                       Centraal en Stichting Amaryllis. Wij vragen u tijdig contact te (laten) leggen met (de accountants van)
                                                       deze partijen zodat er goede afspraken worden gemaakt over de tijdigheid en toereikendheid van de
                                                       informatie. Dit is ook van toepassing op situaties waarin gemeente Leeuwarden optreedt als
                                                       centrumgemeente of taken worden uitbesteed aan de gemeente. Kleinere gemeenten maken hierbij
                                                       gebruik van de kennis/capaciteit van gemeente Leeuwarden. We bevelen aan om ook een actieve rol
                                                       te pakken in de afspraken die worden gemaakt over verantwoording van deze stromen/diensten.
</pre>

====================================================================== Einde pagina 50 =================================================================

<br><br>====================================================================== Pagina 51 ======================================================================

<pre>    Belangrijkste
                               Onze communicatie over de belangrijkste voorwaarden en aandachtspunten van
    boodschappen               de controle
                               Als PwC vinden wij het van belang om u te laten zien op welke           van de controle aan u rapporteren. Deze hebben we
    Evaluatie van uw interne   wijze wij de belangrijkste voorwaarden en aandachtspunten               opgenomen in onderstaande tabel.
    beheersing
                               Vereiste communicatie grond van controlestandaarden                                   Controleplan     Rapportage      Accountants-
                                                                                                                                        interim-        verslag
                                                                                                                                      bevindingen
    Ontwikkelingen
                               Mededeling over de verantwoordelijkheden van de accountant                                 

                               Bevestiging van de onafhankelijkheid van PwC                                                                               

                               Eventuele significante tekortkomingen in de interne controle                                                               
    Vooruitblik naar de
    jaarrekeningcontrole       Eventuele ontdekte of vermoede fraude                                                                                      

                               Niet-naleven van wet- en regelgeving                                                                                        

                               Schriftelijke bevestigingen gevraagd van het management                                                                     
     Bijlage                   Alle zaken die van invloed zijn op de vorm en inhoud van de controleverklaring                                              

                               Standpunt van de accountant over belangrijke kwalitatieve aspecten van de
                                                                                                                                                           
Communicatie                   verslaggeving door het college

                               Rapporteren over significante moeilijkheden, aangelegenheden en overige zaken die
                                                                                                                                                           
                               van belang zijn voor het toezicht op het financiële verslaggevingsproces

                               Niet-gecorrigeerde afwijkingen                                                                                              

                               Significante aangelegenheden die naar voren komen tijdens de controle in verband
                                                                                                                                                           
                               met verbonden partijen van de entiteit

                               Beschrijving van de reikwijdte en timing van de controle, waaronder significante
                                                                                                                                                          
                               risico’s
</pre>

====================================================================== Einde pagina 51 =================================================================

<br><br>