<b>Bijsluiter</b>. De hyperlink naar het originele document werkt niet meer. Daarom laat Woogle de tekst zien die in dat document stond. Deze tekst kan vreemde foutieve woorden of zinnen bevatten en de opmaak kan verdwenen of veranderd zijn. Dit komt door het zwartlakken van vertrouwelijke informatie of doordat de tekst niet digitaal beschikbaar was en dus ingescand en vervolgens via OCR weer ingelezen is. Voor het originele document, neem contact op met de Woo-contactpersoon van het bestuursorgaan.<br><br>====================================================================== Pagina 1 ======================================================================

<pre>Gemeentelijk
Belastingkantoor Twente
Uitkomsten jaarrekeningcontrole
en overige informatie 2015



Rapportage aan het algemeen bestuur


d.d. 12 april 2016
</pre>

====================================================================== Einde pagina 1 =================================================================

<br><br>====================================================================== Pagina 2 ======================================================================

<pre>                     Ernst & Young Accountants LLP              Tel: +31 88 407 10 00
                     Zwartewaterallee 56                        Fax: +31 88 407 94 05
                     8031 DX Zwolle, Netherlands                ey.com
                     Postbus 634
                     8000 AP Zwolle, Netherlands




Het algemeen bestuur van de gemeenschappelijke
regeling Gemeentelijk Belastingkantoor Twente
T.a.v. de heer dr. R. Toet, directeur
Postbus 845
7550 AV HENGELO (OV)

Zwolle, … 2016                                                                                                                                                                                               KENMERK

Uitkomsten controle en overige informatie 2015

Geachte leden van het algemeen bestuur,

Het doet ons genoegen u verslag uit te brengen omtrent de uitkomsten van                Wij waarderen deze mogelijkheid om de inzichten die uit onze controle
onze accountantscontrole van de jaarrekening van de gemeenschappelijke                  voortkomen met u te kunnen delen.
regeling Gemeentelijk Belastingkantoor Twente (hierna: GBT). Wij willen u
over de volgende onderwerpen informeren:                                                Het concept van dit verslag is d.d. 12 april 2016 besproken met de
► uitkomsten jaarrekeningcontrole;                                                      stafadviseur Financiën. Daarnaast hebben wij dit verslag op 13 april 2016
► kwaliteit beheersorganisatie;                                                         mondeling toegelicht in de vergadering van het dagelijks bestuur.
► onafhankelijkheid en controleproces.
                                                                                        Wij stellen het op prijs een en ander persoonlijk toe te lichten of eventuele
Onze controle is gericht op het vormen van een oordeel omtrent de                       vragen omtrent deze of andere met de controle verband houdende zaken te
jaarrekening over 2015. Bij de uitvoering van onze controle ondervonden                 beantwoorden.
wij de volledige medewerking en ondersteuning van de medewerkers van
het GBT.                                                                                Hoogachtend,
                                                                                        Ernst & Young Accountants LLP
De mogelijkheid om een open en eerlijke dialoog met u als lid van het
algemeen bestuur te voeren, vormt een essentieel onderdeel van het
controleproces, evenals van de algehele corporate governance.
                                                                                        drs. J. Schuurkamp – Spijkerboer RA
                                                                                        Ernst & Young Accountants LLP is een limited liability partnership opgericht naar het recht van Engeland en Wales en geregistreerd bij
                                                                                        Companies House onder registratienummer OC335594. In relatie tot Ernst & Young Accountants LLP wordt de term partner gebruikt
                                                                                        voor een (vertegenwoordiger van een) vennoot van Ernst & Young Accountants LLP. Ernst & Young Accountants LLP is statutair
                                                                                        gevestigd te 6 More London Place, London, SE1 2DA, Verenigd Koninkrijk, heeft haar hoofdvestiging aan Boompjes 258, 3011 XZ
                                                                                        Rotterdam, Nederland en is geregistreerd bij de Kamer van Koophandel Rotterdam onder nummer 24432944. Op onze werkzaamheden
                                                                                        zijn algemene voorwaarden van toepassing, waarin een beperking van de aansprakelijkheid is opgenomen.
</pre>

====================================================================== Einde pagina 2 =================================================================

<br><br>====================================================================== Pagina 3 ======================================================================

<pre>                Kernpunten uit onze rapportage          4    Bijlagen                                    20
                                                                1 Onafhankelijkheid en controleproces
                Uitkomsten jaarrekeningcontrole         6
                                                                2 Automatisering en IT
                Controle belastingverantwoordingen 2015 13

                Kwaliteit beheersorganisatie           15    Totaal aantal pagina’s in dit rapport: 26

Inhoudsopgave
</pre>

====================================================================== Einde pagina 3 =================================================================

<br><br>====================================================================== Pagina 4 ======================================================================

<pre>Kernpunten
</pre>

====================================================================== Einde pagina 4 =================================================================

<br><br>====================================================================== Pagina 5 ======================================================================

<pre>Kernpunten uit onze rapportage



De kernpunten uit onze rapportage kunnen als volgt worden samengevat

Uitkomsten             Voornemen              Na afronding van de resterende werkzaamheden zijn wij voornemens om met betrekking tot de
jaarrekeningcontrole   verstrekken van        getrouwheid en rechtmatigheid een goedkeurende controleverklaring te verstrekken bij de jaarrekening
                       goedkeurende           2015 van het GBT. Er resteren geen ongecorrigeerde controleverschillen of materiële herrubriceringen.
                       controleverklaring


                       De jaarrekening is     Een goedkeurende verklaring met betrekking tot de getrouwheid betekent dat de jaarrekening 2015 is
                       getrouw                ingericht in overeenstemming met het Besluit Begroting en Verantwoording provincies en gemeenten
                                              (BBV) en dat de balans en het overzicht van baten en lasten, alsmede de toelichtingen daarop een
                                              getrouwe weergave zijn van de financiële positie, baten en lasten van het GBT.


                       De jaarrekening is     Een goedkeurende verklaring met betrekking tot de rechtmatigheid betekent dat de in de jaarrekening
                       rechtmatig             2015 verantwoorde baten, lasten en balansmutaties in overeenstemming met de door het algemeen
                                              bestuur vastgestelde begroting 2015 en met de relevante wet- en regelgeving tot stand zijn gekomen.


                       Geen bevindingen       Wij hebben de in de jaarrekening opgenomen verantwoording uit hoofde van de Wet normering bezoldiging
                       ten aanzien van        topfunctionarissen publieke en semipublieke sector (WNT) gecontroleerd met inachtneming van de
                       verantwoording WNT     Beleidsregels toepassing WNT 2015. Op basis van onze controle, waaraan het door het ministerie van BZK
                                              opgestelde Controleprotocol WNT ten grondslag ligt, hebben wij geen fouten en/of onzekerheden
                                              geconstateerd.


                       Automatisering en IT   Hoewel onze controle niet primair gericht was op het doen van een uitspraak omtrent de continuïteit en
                                              betrouwbaarheid van (delen van) de geautomatiseerde gegevensverwerking en wij hebben daartoe ook
                                              geen opdracht van het management ontvangen, hebben wij geen tekortkomingen in de continuïteit en
                                              betrouwbaarheid van de geautomatiseerde gegevensverwerking geconstateerd.



                                                                                                                                                Pagina 5
</pre>

====================================================================== Einde pagina 5 =================================================================

<br><br>====================================================================== Pagina 6 ======================================================================

<pre>Kernpunten uit onze rapportage



De kernpunten uit onze rapportage kunnen als volgt worden samengevat

Controle belasting-   Planning              Conform uw opdracht hebben wij accountantscontrole uitgevoerd op deze door het GBT opgestelde
verantwoordingen                            financiële overzichten over 2015. Daartoe hebben wij werkzaamheden uitgevoerd ter verkrijging van
2015                                        controle-informatie over de bedragen en de toelichtingen in de afzonderlijke belastingverantwoordingen.


                      Uitvoering            Wij hebben de interne beheersing van het GBT in aanmerking genomen die relevant is voor het opmaken
                                            van de belastingverantwoordingen. Wij hebben vastgesteld dat bij het GBT een deel van de
                                            randvoorwaarden die worden gesteld aan het geautomatiseerd systeem onvoldoende (of onvoldoende
                                            zichtbaar) is ingericht. Daarom konden wij niet steunen op de geïmplementeerde application controls en
                                            hebben wij een volledig gegevensgerichte controle uitgevoerd, bestaande uit gedetailleerde cijferanalyses
                                            en detailcontroles.

                                            Over de uitkomsten, detailbevindingen en conclusies van de door ons in het kader van onze controle op de
                                            belastingverantwoordingen verrichte IT-audit, rapporteren wij aan u via dit accountantsverslag.


                      Conclusie             Naar ons oordeel geven de afzonderlijke belastingverantwoordingen van het GBT ten behoeve van de zeven
                                            gedurende 2015 in de gemeenschappelijke regeling deelnemende gemeenten zowel de baten áls het
                                            daarmee samenhangende debiteurensaldo (per 31 december 2015) inzake de heffing en inning van de
                                            gemeentelijke belastingen en heffingen over het begrotingsjaar 2015 in alle van materieel belang zijnde
                                            aspecten juist, volledig en rechtmatig weer.


                      Rapportage            Over onze conclusies rapporteerden wij u door middel van separate controleverklaringen bij de financiële
                                            overzichten d.d. 25 februari 2016.




                                                                                                                                               Pagina 6
</pre>

====================================================================== Einde pagina 6 =================================================================

<br><br>====================================================================== Pagina 7 ======================================================================

<pre>         Uitkomsten
jaarrekeningcontrole
</pre>

====================================================================== Einde pagina 7 =================================================================

<br><br>====================================================================== Pagina 8 ======================================================================

<pre>Uitkomsten jaarrekeningcontrole
Onze analyse van het resultaat 2015



Voordelig resultaat nader besproken                                                   Het belangrijkste verschil op het programma wordt veroorzaakt door de
Het gerealiseerd resultaat 2015 volgend uit het overzicht van baten en                onderschrijding op het budget van de personele lasten (€ 210.000,-
lasten in de jaarrekening bedraagt € 103.700,- voordelig ten opzichte van             voordelig). Dit in verband met de in 2015 bestaande vacatureruimte binnen
een na wijziging begroot nihil-saldo. Om dit saldo te realiseren, waren               de eenheid Vastgoed en belastingen.
onttrekkingen aan de reserves ter grootte van € 140.000,- begroot.
Gedurende het boekjaar hebben, naast resultaatbestemming voorgaand                    Overige verschillen bestaan uit hoofde van onderschrijdingen op de
boekjaar (verwerkt via rechtstreekse vermogensmutatie), geen                          Deurwaarderskosten en Drukwerk. Overschrijdingen bestaan op de inhuur
reservemutaties plaatsgevonden.                                                       van Personeel van derden, alsmede de Uitbesteding van de behandeling van
                                                                                      bezwaren (per saldo € 34.000,- voordelig).
Het resultaat over 2015 ten opzichte van de gewijzigde begroting kan als
volgt worden weergegeven:                                                             Het dagelijks bestuur van het GBT stelt het algemeen bestuur voor de
                                                                                      jaarrekening vast te stellen en daarbij het positief resultaat ad € 104.000,-
 Bedragen x             Gewijzigde           Rekening 2015      Afwijking             toe te voegen aan een nieuw te vormen reserve ter dekking van de
 € 1.000                begroting                                                     toekomstige lasten samenhangend met de invoering van het Individueel
                                                                                      KeuzeBudget (IKB).
 Totale lasten                  -/- 9.716           -/- 9.452                 264
 Totale baten                        9.576            9.556                  -/- 20   Kwaliteit van het resultaat
                                                                                      Het gerealiseerd resultaat bedraagt € 104.000,- voordelig en wijkt
 Saldo van baten                  -/- 140               104                   244
                                                                                      daarmee af van de begroting na wijziging 2015, die laatstelijk op 9
 en lasten
                                                                                      december 2015 is gewijzigd door het algemeen bestuur.
 Mutaties in reserves                 140                  0                -/- 140
                                                                                      In de toelichting op het overzicht van baten en lasten analyseert het GBT
 Resultaat                              0               104                   104
                                                                                      het ontstaan van dit resultaat op een adequate wijze, door daarbij
                                                                                      onderscheid te maken naar verschillen die ontstaan uit hoofde van
                                                                                      incidentele en structurele baten. Toelichtingen op de verschillen per
Uw begrotingsbeheer op orde                                                           programma zijn daarbij opgenomen.
De afwijking van het resultaat over 2015 ter grootte van € 104.000,-
                                                                                      Er bestaat daarbij nog ruimte voor de verdere doorontwikkeling van deze
voordelig wordt voornamelijk verklaard door het saldo van de gerealiseerde
                                                                                      analyse van de kwaliteit het resultaat, door hierin ook de incidentele lasten
baten en lasten op het programma Vastgoed en belastingen ter grootte van
                                                                                      per programma te betrekken.
€ 222.800,- voordelig. Daarnaast is de begrote onttrekking aan de reserves
niet nodig gebleken.

                                                                                                                                                            Pagina 8
</pre>

====================================================================== Einde pagina 8 =================================================================

<br><br>====================================================================== Pagina 9 ======================================================================

<pre>Uitkomsten jaarrekeningcontrole
Onze analyse van de financiële positie



Analyse van de financiële positie                                             Financiële kengetallen
Eigen vermogen neemt toe                                                      Op 15 mei 2015 heeft de minister van Binnenlandse Zaken en
Het eigen vermogen, inclusief het gerealiseerd resultaat, bedraagt per        Koninkrijksrelaties een wijzigingsbesluit BBV vastgesteld. Dit besluit houdt
jaareinde 2015 volgens de jaarrekening € 777.000,- en heeft zich vanaf        de wijziging van het BBV in, betreffende het opnemen van kengetallen in de
2012 als volgt ontwikkeld:                                                    paragraaf Weerstandsvermogen en risicobeheersing.

          1.200.000                            Bedragen x € 1.000
                                                                              Als gevolg van dit wijzigingsbesluit, dient het GBT met ingang van de
          1.000.000                                                           Begroting 2016 een aantal verplichte ratio’s te vermelden en een
            800.000                                                           afzonderlijke toelichting per kengetal op te nemen. Deze ratio’s zijn in
            600.000                                                           onderstaande tabel weergegeven.
            400.000
                                                                              Aangezien een aantal kengetallen is gebaseerd op balansposities, betekent
            200.000
                                                                              dit dat publiekrechtelijke organisaties voor eigen gebruik een
                  0
                          2012      2013        2014      2015
                                                                              geprognosticeerde balans zullen moeten opstellen om de kengetallen voor
                                                                              de begroting te kunnen berekenen. Met de verdere vernieuwing van het
                      Bestemmingsreserves
                                                                              BBV vanaf 2017 zal een geprognosticeerde balans mogelijk een
                      Gerealiseerd resultaat
                                                                              voorgeschreven onderdeel van de begroting uitmaken.
De totale reserves van het GBT zijn ten opzichte van 2014 met € 189.000,-
toegenomen. Deze mutatie vloeit voort uit de verwerking van het besluit tot    Relevante financiële kengetallen
resultaatbestemming 2014, waarbij de resterende € 357.000,- is
                                                                                                                      2015           2015
terugbetaald aan de per ultimo 2014 in de gemeenschappelijke regeling          Ratio
                                                                                                                  Begroting      Realisatie
deelnemende gemeenten.
                                                                               Netto schuldquote
                                                                               (gecorrigeerd voor alle         niet vermeld           6,5%
Op grond van de door het algemeen bestuur d.d. 28 oktober 2009
                                                                               verstrekte leningen)
vastgestelde beleidsregels, mag het eigen vermogen van het GBT niet meer
bedragen dan 5% van het begrotingstotaal.                                      Solvabiliteitsratio                     idem         17,1%

Wij hebben vastgesteld dat de gevormde bestemmingsreserve met een              Structurele exploitatieruimte           Idem          -5,1%
stand van € 494.000,- deze norm per 31 december 2015 met € 9.000,-
overschrijdt. Door middel van resultaatbestemming 2015 zal aan het
algemeen bestuur een nadere bestemming van deze middelen worden               Voor het eerst in de jaarrekening 2015 heeft het GBT aan deze wijziging
voorgesteld.                                                                  van het BBV invulling gegeven.
                                                                                                                                                 Pagina 9
</pre>

====================================================================== Einde pagina 9 =================================================================

<br><br>====================================================================== Pagina 10 ======================================================================

<pre>Uitkomsten jaarrekeningcontrole
Ons oordeel bij uw jaarrekening



< vervolg van vorige pagina >                                                  Wet normering topinkomens (WNT)
Gezien het feit dat het GBT geen leningen heeft verstrekt, is de “netto        Op basis van deze wet is de bezoldiging van topfunctionarissen in de
schuldquote gecorrigeerd voor verstrekte leningen” gelijk aan de netto         publieke en semipublieke sector wettelijk gemaximeerd.
schuldquote.
                                                                               Voor de bezoldiging van topfunctionarissen geldt naast de maximering een
De solvabiliteitsratio geeft weer in hoeverre het GBT met het beschikbare      publicatieverplichting in de jaarrekening. Dit geldt eveneens voor
eigen vermogen aan haar verplichtingen kan voldoen.                            bezoldiging van niet-topfunctionarissen, indien zij de maximale bedragen
                                                                               van topfunctionarissen overschrijden.
Omdat het GBT in 2015 relatief veel incidentele baten heeft gerealiseerd, is
het kengetal dat de structurele exploitatieruimte uitdrukt, negatief. De       In het kader van de jaarrekening 2015 heeft u een analyse uitgevoerd van
structurele baten waren in 2015 te laag om alle structurele lasten te          de topfunctionarissen binnen uw organisatie. Tevens heeft u vastgesteld of
dekken.                                                                        er functionarissen zijn die een hogere bezoldiging dan de gestelde maxima
                                                                               kennen. Deze informatie heeft u opgenomen in de jaarrekening.
Een afzonderlijk kengetal zegt nog weinig over hoe de financiële positie
moet worden beoordeeld. De kengetallen zullen altijd in samenhang moeten       Wij hebben de in de jaarrekening opgenomen verantwoording uit hoofde
worden bezien, omdat ze alleen gezamenlijk en in hun onderlinge                van de Wet normering bezoldiging topfunctionarissen publieke en
verhouding een goed beeld geven van de financiële positie van het GBT.         semipublieke sector (WNT) gecontroleerd met inachtneming van de
                                                                               Beleidsregels toepassing WNT 2015. Op basis van onze controle, waaraan
Goedkeurende controleverklaring bij de jaarrekening 2015                       het door het ministerie van BZK opgestelde Controleprotocol WNT ten
Wij hebben geen ongecorrigeerde controleverschillen of herrubriceringen        grondslag ligt, hebben wij vastgesteld dat de WNT in 2015 is nageleefd en
geconstateerd die materieel zijn voor het inzicht van de jaarrekening.         dat de toelichting hierover in de jaarrekening geen fouten en/of
Daarom zijn wij na afronding van de resterende werkzaamheden                   onzekerheden bevat.
voornemens om met betrekking tot de getrouwheid en rechtmatigheid een
goedkeurende controleverklaring te verstrekken bij de jaarrekening 2015
van het GBT. Dit onder voorwaarde dat het algemeen bestuur van het GBT
de jaarrekening 2015 ongewijzigd vaststelt en haar besluit notuleert.




                                                                                                                                                Pagina 10
</pre>

====================================================================== Einde pagina 10 =================================================================

<br><br>====================================================================== Pagina 11 ======================================================================

<pre>Uitkomsten jaarrekeningcontrole
Rechtmatigheid



Rechtmatigheid                                                               Begrotingscriterium
Wij hebben bij de controle over 2015 de financiële rechtmatigheid getoetst   Wij beoordelen bij onze controle de overschrijdingen ten opzichte van de
conform de bepalingen van het Bado en het controleprotocol 2015 van het      begrote lasten per programma. Hierop wordt een beoordeling en
GBT, zoals dat op 9 december 2015 door het algemeen bestuur is               rapportering van de accountant gevraagd vanuit de Kadernota
vastgesteld. Op basis van onze controle hebben wij vastgesteld dat:          Rechtmatigheid. Lastenoverschrijdingen dienen echter niet in alle gevallen
► de verantwoorde baten, lasten en balansmutaties in overeenstemming
                                                                             te worden meegewogen in het accountantsoordeel. Voor een juiste
   met de relevante wet- en regelgeving tot stand zijn gekomen;              oordeelsvorming is van belang in hoeverre de begrotingsoverschrijding past
► de jaarrekening 2015 is ingericht in overeenstemming met het Besluit
                                                                             binnen het door het algemeen bestuur geformuleerde beleid, deze wordt
   Begroting en Verantwoording provincies en gemeenten (BBV);                gecompenseerd door hogere opbrengsten of kostenoverschrijdingen bij
► het budgetrecht van het algemeen bestuur is gerespecteerd;
                                                                             openeinderegelingen. Deze overschrijdingen dienen te worden
► gedurende het boekjaar geen sprake is geweest van misbruik en
                                                                             weergegeven in de jaarrekening en kunnen door het vaststellen van de
   oneigenlijk gebruik die invloed hebben op de rechtmatigheid van baten,    jaarrekening alsnog door het algemeen bestuur worden geautoriseerd.
   lasten en balansmutaties;
                                                                             In de toelichting op het overzicht van baten en lasten in de jaarrekening is
                                                                             door het dagelijks bestuur een analyse van de programmasaldi opgenomen.
                                                                             Lastenoverschrijdingen op programmaniveau ten opzichte van de begroting
                                                                             na wijziging 2015 zijn daarbij niet geconstateerd.

                                                                             Misbruik en oneigenlijk gebruik
                                                                             In de externe en interne regelgeving zijn diverse bepalingen opgenomen die
                                                                             erop zijn gericht om misbruik en oneigenlijk gebruik te voorkomen. Het GBT
                                                                             heeft beheersmaatregelen opgezet die fraudepreventie, handhaving en
                                                                             opsporing, alsmede de actualisatie van wet- en regelgeving en naleving
                                                                             daarvan ten doel hebben. De toets op het misbruik en oneigenlijk gebruik is
                                                                             onder andere neergelegd in interne controleplannen. De uitkomst van deze
                                                                             toets heeft niet geleid tot bevindingen die van invloed zijn op de
                                                                             rechtmatigheid van baten, lasten en balansmutaties.




                                                                                                                                               Pagina 11
</pre>

====================================================================== Einde pagina 11 =================================================================

<br><br>====================================================================== Pagina 12 ======================================================================

<pre>Uitkomsten jaarrekeningcontrole
Jaarverslag, grondslagen en gemaakte schattingen



Jaarverslag is verenigbaar met de jaarrekening                                 Schattingen van voldoende niveau
Voor zover wij dat kunnen beoordelen, hebben wij geconcludeerd dat het         Het dagelijks bestuur is verantwoordelijk voor het maken van schattingen
jaarverslag 2015, zoals dat op de pagina’s 7 tot en met 22 is opgenomen in     bij het opmaken van de jaarrekening. Zij is van mening dat de significante
de jaarstukken, verenigbaar is met de jaarrekening.                            veronderstellingen die zijn gehanteerd bij het maken van schattingen ten
                                                                               aanzien van de materiële vaste activa en de waardering van de vorderingen
Aanvaardbaarheid van de grondslagen van waardering en                          redelijk zijn. Als accountant van het algemeen bestuur beoordelen wij deze
resultaatbepaling                                                              door het dagelijks bestuur gemaakte schattingen.
Naar onze mening zijn de door het dagelijks bestuur gekozen
waarderingsgrondslagen aanvaardbaar en consistent toegepast met                Wij hebben hieronder een beschouwing ten aanzien van de belangrijkste
betrekking tot de significante jaarrekeningposten en bijzondere transacties.   schattingen opgenomen:
Dit geldt tevens voor het tijdstip waarop die transacties hebben
plaatsgevonden, de periode waarin zij zijn verantwoord en de
desbetreffende toelichtingen in de jaarrekening.


                     Belangrijkste schattingen                                 Beoordeling       Toelichting
                                                                               2015

                     Waardering van activa                                                       Wij zijn van mening dat er geen bijzondere waardeverminderingen
                                                                                                 dienen te worden doorgevoerd met betrekking tot vaste activa die in
                                                                                                 de balans zijn opgenomen.


                     Waardering van de debiteuren                                                Indien noodzakelijk heeft een afwaardering van openstaande
                                                                                                 vorderingen plaatsgevonden. Wij kunnen ons vinden in de wijze
                                                                                                 waarop dit bepaald is.




                                                                                                                                                          Pagina 12
</pre>

====================================================================== Einde pagina 12 =================================================================

<br><br>====================================================================== Pagina 13 ======================================================================

<pre>                       Controle
belastingverantwoordingen 2015
</pre>

====================================================================== Einde pagina 13 =================================================================

<br><br>====================================================================== Pagina 14 ======================================================================

<pre>Controle belastingverantwoordingen 2015
Financiële overzichten ten behoeve van de deelnemende gemeenten



Planning                                                                       Uitvoering
Het GBT verzorgt voor de gemeenten Almelo, Borne, Enschede,                    Op 16 oktober 2015 is er door de onafhankelijke auditor van de directie van
Haaksbergen, Hengelo, Losser en Oldenzaal de heffing en inning van de          GouwIT een assurance-rapport (Richtlijn 3000, type 1) uitgebracht,
gemeentelijke belastingen en heffingen. Met ingang van het boekjaar 2014       betreffende de inrichting van GouwBelastingen met als doelstelling een
legt het dagelijks bestuur van het GBT jaarlijks verantwoording af over de     oordeel te geven over de betrouwbaarheid van in de software opgenomen
gerealiseerde baten uit hoofde van gemeentelijke belastingen en heffingen,     controlemaatregelen die bijdragen aan de betrouwbare gegevens-
alsmede het daarmee samenhangende debiteurensaldo (ultimo boekjaar).           verwerking. Dit rapport beoordeelt in opzet en bestaan, met een redelijke
                                                                               mate van zekerheid, dat de beheersmaatregelen in GouwBelastingen
De belastingverantwoordingen over het begrotingsjaar 2015 zijn opgesteld       voldoen aan de gestelde normen, voor zover de software daar met de
voor de colleges van burgemeester en wethouders van voornoemde                 geïdentificeerde beheersmaatregelen een bijdrage aan kan leveren.
gemeenten met als doel het dagelijks bestuur van het GBT in staat te stellen
te voldoen aan de met de gemeenten gesloten overeenkomsten en                  Het rapport benadrukt dat de klantspecifieke inrichting voor een belangrijk
gemaakte afspraken.                                                            deel bepalend is voor de effectieve werking van deze software. De inrichting
                                                                               van GouwBelastingen bij het GBT valt buiten de reikwijdte van voornoemd
Conform uw opdracht hebben wij accountantscontrole uitgevoerd op deze          onderzoek. Wij hebben vastgesteld dat bij het GBT een deel van de
door het GBT opgestelde financiële overzichten over 2015. Daartoe hebben       randvoorwaarden niet voldoende is ingericht (zie hiervoor tevens hoofdstuk
wij werkzaamheden uitgevoerd ter verkrijging van controle-informatie over      Kwaliteit beheersorganisatie, onderdeel Automatisering en IT). Daarom
de bedragen en de toelichtingen in de afzonderlijke                            konden wij niet steunen op de geïmplementeerde application controls
belastingverantwoordingen. De geselecteerde werkzaamheden zijn                 (geautomatiseerde controles in het IT pakket) en hebben wij een volledig
afhankelijk van de door ons toegepaste oordeelsvorming, met inbegrip van       gegevensgerichte controle uitgevoerd, bestaande uit gedetailleerde
het inschatten van de risico's dat de belastingverantwoordingen geen           cijferanalyses en detailcontroles.
afwijkingen van materieel belang bevatten als gevolg van fraude of fouten.
                                                                               Conclusie
Bij het maken van onze risico-inschattingen hebben wij de interne              Naar ons oordeel geven de afzonderlijke belastingverantwoordingen van
beheersing in aanmerking genomen die relevant is voor het opmaken van          het GBT ten behoeve van voornoemde zeven gemeenten zowel de baten áls
de afzonderlijke belastingverantwoordingen, gericht op het opzetten van        het daarmee samenhangende debiteurensaldo (per 31 december 2015)
controlewerkzaamheden die passend zijn in de gegeven omstandigheden.           inzake de heffing en inning van de gemeentelijke belastingen en heffingen
                                                                               over het begrotingsjaar 2015 in alle van materieel belang zijnde aspecten
Rapportage                                                                     juist, volledig en rechtmatig weer in overeenstemming met het
Over onze conclusies rapporteerden wij u door middel van separate              gemodificeerd stelsel van baten en lasten en de vigerende gemeentelijke
controleverklaringen bij de financiële overzichten d.d. 25 februari 2016.      belastingverordeningen.

                                                                                                                                                 Pagina 14
</pre>

====================================================================== Einde pagina 14 =================================================================

<br><br>====================================================================== Pagina 15 ======================================================================

<pre>Kwaliteit beheersorganisatie
</pre>

====================================================================== Einde pagina 15 =================================================================

<br><br>====================================================================== Pagina 16 ======================================================================

<pre>Kwaliteit beheersorganisatie
Interne beheersmaatregelen



Algemeen
Bij de planning en uitvoering van de controle van de jaarrekening 2015 van
het GBT hebben wij de interne beheersmaatregelen, welke onderdeel
uitmaken van de administratieve organisatie, in onze overwegingen
betrokken. Wij hebben de opzet, het bestaan en de effectieve werking van
interne beheersmaatregelen onderzocht voor zover wij dit in het kader van
de jaarrekening noodzakelijk achten en niet met het doel om een oordeel
over de effectiviteit van de interne beheersing te geven.

Wij steunen voor de volgende processen op uw interne beheersing, hetgeen
van invloed is op zowel aard als omvang van de te plannen en uit te voeren
controlewerkzaamheden per jaareinde:
► Inkoop- en factuurverwerking;
► Betalingsverkeer.


Wij hebben geen onderzoek naar de effectiviteit van de interne beheersing
verricht, anders dan dat relevant is voor onze jaarrekeningcontrole.

Met betrekking tot de overige significante processen hebben wij een
volledig gegevensgerichte controle de voorkeur gegeven boven een
organisatiegerichte aanpak. De hieraan ten grondslag liggende
overwegingen worden onderbouwd door aard en omvang van de processen,
alsmede de beschikbaarheid van (overige) controle-informatie.

Wij concluderen dat de hierboven genoemde processen vanuit het
perspectief van de accountant van voldoende niveau zijn.




                                                                             Pagina 16
</pre>

====================================================================== Einde pagina 16 =================================================================

<br><br>====================================================================== Pagina 17 ======================================================================

<pre>Kwaliteit beheersorganisatie
Automatisering en IT



Automatisering                                                            Opschoning GouwBelastingen database en conversietraject
In het kader van de controleopdracht hebben wij de informatisering- en    GouwBelastingen is het primaire systeem voor het GBT. GouwBelastingen
automatiseringsomgeving van het Gemeentelijk Belastingkantoor Twente      ondersteunt het GBT onder meer bij uitvoering van de belastingprocessen
(hierna: GBT) beoordeeld. Hiertoe hebben wij onder meer de procedures     ‘heffen’ en ‘innen’. Sinds de oprichting van de gemeenschappelijke regeling
voor het wijzigingenbeheer en het beheer van logische toegangspaden tot   heeft het GBT data voor meerdere gemeenten door middel van een
de applicaties GouwBelastingen en Ortax, voor zover van belang voor       conversie samengevoegd in één database GouwBelastingen. Hierbij is
uitvoering van de controleopdracht, onderzocht en beoordeeld. Tevens      echter ‘veel’ dubbele en verouderde informatie in de database
hebben wij kennis genomen van de reeds uitgevoerde opschoonactie          aangetroffen. Het GBT heeft daarom in november 2014 besloten de
omtrent de GouwBelastingen database en het nog lopende conversietraject   database op te schonen. Deze opschoning heeft in het voorjaar van 2015
met betrekking tot nieuw toetredende gemeenten.                           plaatsgevonden.

In dit kader hebben wij een aantal aandachtspunten geformuleerd die u     U heeft aangegeven dat met de toetreding van nieuwe gemeenten in de
kunnen helpen uw ICT-omgeving naar een hoger beheerniveau te brengen.     toekomst wederom enkele conversies zullen worden uitgevoerd. Wij hebben
De (detail)bevindingen, risico’s en aanbevelingen rondom de IT-           vernomen dat het GBT reeds meerdere controles uitvoert ten behoeve van
beheerprocessen hebben wij opgenomen in bijlage 2 van dit                 een juiste en volledige dataconversie en dit in een conversiedossier
accountantsverslag.                                                       vastlegt. Wij bevelen u aan bij de uit te voeren dataconversies dit te blijven
                                                                          doen en in de toekomst rekening te houden met de aandachtspunten die
                                                                          door ons aan u zijn aangereikt.




                                                                                                                                              Pagina 17
</pre>

====================================================================== Einde pagina 17 =================================================================

<br><br>====================================================================== Pagina 18 ======================================================================

<pre>Kwaliteit beheersorganisatie
Automatisering en IT



Bevindingen IT-audit werkzaamheden                                              niet op een uniforme en gecontroleerde manier uitgevoerd. Tevens
Als onderdeel van onze werkzaamheden beoordelen wij de opzet, het               wordt er geen (zichtbare) periodieke controle uitgevoerd op de juistheid
bestaan en daar waar mogelijk de effectieve werking van de IT                   van de gebruikers en diens rechten en autorisaties in de applicaties.
beheerprocessen rondom en geprogrammeerde controles in de, voor                 Daarnaast hebben wij geconstateerd dat de wachtwoordeisen voor de
uitvoering van de controleopdracht relevante applicaties GouwBelastingen        applicaties GouwBelastingen en Ortax ontoereikend zijn. Tot slot hebben
en Ortax. Op basis van ons onderzoek hebben wij vastgesteld dat het             wij vastgesteld dat in de applicaties en op de databases van de
gewenste beheerniveau nog niet is bereikt.                                      betreffende applicaties gebruik wordt gemaakt van niet-
                                                                                persoonsgebonden gebruikersaccounts.
Onderstaand hebben wij onze observaties met betrekking tot de IT-              Continuïteitsbeheer: Het GBT heeft een deel van haar IT-
beheerprocessen samengevat weergegeven:                                         beheerprocessen op het gebied van continuïteit, waaronder back-up &
 Wijzigingenbeheer: Wij hebben vastgesteld dat voor de applicaties
                                                                                recovery, ondergebracht bij de gemeente Enschede. De met gemeente
  GouwBelastingen en Ortax een (concept)procesbeschrijving beschikbaar          Enschede gemaakte afspraken omtrent het (technisch) beheer van de
  is. Hierin is het wijzigingenbeheerproces door middel van een flowchart       ICT infrastructuur zijn opgenomen en overeengekomen in een
  weergegeven en zijn de activiteiten inclusief de betrokken                    samenwerkingsovereenkomst. Het GBT blijft echter te allen tijde zelf
  functionarissen per processtap nader gedefinieerd. Het GBT beschikt           verantwoordelijk voor haar data. Derhalve is de wijze waarop de
  echter nog niet over een gedocumenteerde wijzigingenbeheerprocedure,          gemeente Enschede u kan aantonen dat de kwaliteit van de
  waarin onder meer de taken, bevoegdheden en verantwoordelijkheden             dienstverlening voldoet aan de daaraan te stellen eisen een belangrijk
  per processtap zijn beschreven als onderdeel van het                          aandachtspunt. U kunt hierbij denken aan een ISAE3402-verklaring,
  wijzigingenbeheerproces. Wel hebben wij vastgesteld dat voor de               maar ook aan periodieke rapportages waarbij u zekerheid verkrijgt dat
  applicatie GouwBelastingen het wijzigingsbeheer in opzet en bestaan           data periodiek zeker is gesteld en zonder problemen teruggeplaatst kan
  voldoet aan de daaraan te stellen eisen. Wijzigingen worden                   worden. Wij bevelen u aan zelf ‘in control’ te blijven door het periodiek
  geautoriseerd, getest en bij akkoord in productie genomen. Hierbij is         beoordelen van de door de gemeente Enschede getroffen maatregelen
  functiescheiding in voldoende mate aanwezig. Voor de applicatie Ortax         omtrent de uitbestede IT-beheerprocessen.
  hebben wij echter vastgesteld dat de uitgevoerde processtappen (zoals
  testwerkzaamheden) niet altijd worden vastgelegd.                         In bijlage 2 van dit accountantsverslag gaan wij meer gedetailleerd in op
 Toegangsbeveiliging: Het GBT beschikt niet over een gedocumenteerde
                                                                            onze bevindingen, risico’s en daarbij horende aanbevelingen. Voor de
  procedure ten aanzien het toekennen, wijzigen en ontnemen van rechten     bevindingen hebben wij de impact hiervan op onze controleaanpak bepaald
  en autorisaties op applicatieniveau. Wij hebben vastgesteld dat           en daar waar noodzakelijk aanvullende werkzaamheden verricht, ten einde
  autorisatieaanvragen worden ingediend en geaccordeerd door een            voldoende zekerheid te verkrijgen over de betrouwbaarheid van de
  manager. Het wijzigen en het (tijdig) ontnemen van rechten wordt echter   financiële informatie ten behoeve van de uitvoering van de
                                                                            controleopdracht.

                                                                                                                                               Pagina 18
</pre>

====================================================================== Einde pagina 18 =================================================================

<br><br>====================================================================== Pagina 19 ======================================================================

<pre>Kwaliteit beheersorganisatie
Automatisering en IT



Conclusie
Onze controle was niet primair gericht op het doen van een uitspraak
omtrent de continuïteit en betrouwbaarheid van (delen van) de
geautomatiseerde gegevensverwerking en wij hebben daartoe ook geen
opdracht van het management ontvangen.

De jaarrekeningcontrole heeft geen tekortkomingen in de continuïteit en
betrouwbaarheid van de geautomatiseerde gegevensverwerking aan het
licht gebracht.




                                                                          Pagina 19
</pre>

====================================================================== Einde pagina 19 =================================================================

<br><br>====================================================================== Pagina 20 ======================================================================

<pre>Bijlagen
</pre>

====================================================================== Einde pagina 20 =================================================================

<br><br>====================================================================== Pagina 21 ======================================================================

<pre>Onafhankelijkheid en controleproces
Bijlage 1



Onafhankelijkheid                                                            Samenloop van dienstverlening
                                                                             Ten aanzien van OOB’s is de combinatie van wettelijke controles en overige
De onafhankelijkheid van de accountant behoort tot het fundament van zijn
                                                                             dienstverlening volledig verboden, met uitzondering van met name
beroep. In de maatschappelijke discussie over kwaliteitsverbetering van de
                                                                             genoemde overige assurancediensten. Voor niet-OOB’s is bepaald dat
controle speelt de onafhankelijkheid van accountants een belangrijke rol.
                                                                             samenloop is geoorloofd als de non-assurance dienst niet van materiële
Vanaf 1 januari 2014 is op alle assurance opdrachten onder Nederlands
                                                                             invloed is op het assurance-object. Als er wel materiële invloed is geldt in
recht de Verordening inzake Onafhankelijkheid (ViO) van toepassing. Een
                                                                             beginsel een verbod, behalve wanneer de non-assurancedienst niet:
aantal belangrijke punten uit de ViO die we hieronder hebben opgenomen,
                                                                             ► subjectief of niet-routinematig is; of
betreffen:
                                                                             ► een verwerkingswijze in het assurance-object ten gevolge heeft waarvan
► langdurige betrokkenheid
                                                                                het assurance team twijfelt of deze verwerkingswijze passend is; of
► samenloop van dienstverlening
                                                                             ► leidt tot een bedreiging uit hoofde van belangenbehartiging.
► geschenken en giften

                                                                             Geschenken en giften
Een strikte scheiding tussen controle- en adviesdiensten was al van kracht
                                                                             Zoals met u is overeengekomen, informeren wij u hierbij over de door ons
voor OOB’s vanaf 1 januari 2013 en kantoorroulatie is verplicht voor
                                                                             ontvangen respectievelijk verstrekte geschenken en persoonlijke uitingen
financiële jaren van OOB’s vanaf 2016. Daarnaast kent de Europese
                                                                             van gastvrijheid boven € 100,-. Wij hebben geen geschenken en/of
verordening vanaf controlejaar 2016 striktere onafhankelijkheidseisen,
                                                                             persoonlijke uitingen van gastvrijheid boven voornoemd bedrag verstrekt /
maar ook nadere bevestigingen over onafhankelijkheid ter communicatie
                                                                             ontvangen.
aan interne toezichthouders.

                                                                             Wij zijn onafhankelijk van het GBT
Impact nieuwe regels op relatie GBT en EY
                                                                             Wij hebben alle aspecten geanalyseerd die onze onafhankelijkheid
Langdurige betrokkenheid                                                     gedurende het jaar zouden kunnen bedreigen. Daar waar
Om alle schijn van afhankelijkheid te vermijden, kunnen de externe           onafhankelijkheidsregels dit vereisen, hebben wij aanvullende waarborgen
accountant en (senior) managers in het team maximaal zeven                   ingevoerd. Wij kunnen u bevestigen dat zowel als organisatie en als
achtereenvolgende jaren in het team actief zijn. Daarna zullen zij intern    controleteam onafhankelijk zijn van het GBT.
roteren. Onze betrokkenheid in jaren laat het volgende beeld zien:
► drs. J. Schuurkamp – Spijkerboer RA (extern accountant), met ingang
   van de jaarrekeningcontrole 2014;
► M.J. Klomps MSc EMA (manager), sinds jaarrekeningcontrole 2015.


Dit betekent dat geen van onze teamleden de termijn van zeven jaren
binnenkort zal overschrijden.
                                                                                                                                               Pagina 21
</pre>

====================================================================== Einde pagina 21 =================================================================

<br><br>====================================================================== Pagina 22 ======================================================================

<pre>Onafhankelijkheid en controleproces
Bijlage 1



Verantwoordelijkheid                                                          Deze goedkeuringstolerantie is een kwantitatief criterium. De uiteindelijke
Conform de aan ons verleende opdracht hebben wij de jaarrekening 2015         oordeelsvorming is echter altijd een combinatie van kwalitatieve en
van het GBT gecontroleerd. Deze jaarrekening is onder                         kwantitatieve afwegingen.
verantwoordelijkheid van het dagelijks bestuur opgesteld. Het is onze
verantwoordelijkheid een oordeel te geven over de jaarrekening, als           Het rapporteringsbedrag, de maatstaf die geldt voor het rapporteren van
bedoeld in artikel 213, derde lid, van de Gemeentewet.                        fouten en onzekerheden, is door het algemeen bestuur op gelijke hoogte
                                                                              van de geldende goedkeuringstolerantie bepaald.
Wij hebben onze controle verricht in overeenstemming met Nederlands
                                                                               Goedkeurings-     Goed-        Beperking      Oordeel-        Afkeurend
recht, waaronder het Besluit accountantscontrole decentrale overheden
                                                                               tolerantie        keurend                     onthouding
(Bado) en het door het algemeen bestuur vastgestelde controleprotocol.
                                                                               Fouten in de      < 1%         > 1 < 3%       -               > 3%
Dienovereenkomstig zijn wij verplicht te voldoen aan de voor ons geldende      jaarrekening
gedragsnormen en zijn wij gehouden onze controle zodanig te plannen en         (% lasten)
uit te voeren dat een redelijke mate van zekerheid wordt verkregen dat de
jaarrekening geen afwijkingen van materieel belang bevat.                      Onzekerheden in   < 3%         > 3 < 10%      > 10%           -
                                                                               de controle
                                                                               (% lasten)
De met u afgesproken goedkeurings- en
rapporteringstoleranties
Op grond van het Bado stelt het algemeen bestuur de
goedkeuringstolerantie vast die de accountant bij zijn jaarrekeningcontrole
dient te hanteren.

Op grond van de jaarrekening 2015 bedraagt de goedkeuringstolerantie
voor fouten afgerond € 94.500,- (1% van de lasten) en voor onzekerheden
€ 283.500,- (3% van de lasten). Als de goedkeuringstolerantie niet wordt
overschreden, kan een goedkeurende controleverklaring afgegeven
worden.




                                                                                                                                                    Pagina 22
</pre>

====================================================================== Einde pagina 22 =================================================================

<br><br>====================================================================== Pagina 23 ======================================================================

<pre>Automatisering en IT
Bijlage 2 - Gedetailleerde bevindingen en aanbevelingen



 Bevinding 1                            Processtappen omtrent het wijzigingenbeheer worden niet op uniforme wijze uitgevoerd en gedocumenteerd

 Jaar van constatering                  2015                                    Kans op voordoen risico                Middel

 Proces                                 IT - Wijzigingenbeheer                  Omvang risico                          Middel


Bevinding en/of constatering                                                    Advies
Voor de applicaties GouwBelastingen en Ortax hebben wij vastgesteld dat de      Wij bevelen u aan een (organisatie brede) procedurebeschrijving op te
gemeente niet beschikt over een gedocumenteerde procedure aangaande             stellen en binnen de organisatie in te bedden. Tevens bevelen wij u aan bij
het wijzigingenbeheer. Wij hebben vastgesteld dat voor de applicatie            het doorvoeren van wijzigingen de belangrijkste functionaliteiten binnen
GouwBelastingen het wijzigingsbeheer in opzet en bestaan voldoet aan de         applicaties te laten testen door key-users en vast te leggen, alvorens deze
daaraan te stellen eisen. Wijzigingen worden geautoriseerd, getest en bij       worden geïmplementeerd op de productieomgeving. Naast het testen van
akkoord in productie genomen. Hierbij is functiescheiding in voldoende mate
                                                                                wijzigingen binnen applicaties is het testen van de werking van onderlinge
aanwezig. Voor de applicatie Ortax hebben wij echter vastgesteld dat bij het
                                                                                systeemkoppelingen en interfaces ook van belang. Voorts bevelen wij u aan
doorvoeren van wijzigingen in Ortax, het niet altijd inzichtelijk is te maken
dat testwerkzaamheden zijn uitgevoerd en wijzigingen zijn geaccordeerd,         alle wijzigingen, voordat deze in gebruik worden genomen, te laten
alvorens deze in productie zijn genomen.                                        accorderen door de eindverantwoordelijke functionaris. Dit akkoord dient
                                                                                tevens te worden gedocumenteerd. Tot slot kan centrale en volledige
Risico/gevolg                                                                   vastlegging van uitgevoerde testwerkzaamheden in het geval van een
Door het ontbreken van uniforme en gedocumenteerde                              productieverstoring gebruikt worden om sneller tot een oplossing te komen.
wijzigingenbeheerprocedure rondom het autoriseren, testen en accorderen
van (software)wijzigingen, bestaat het risico dat wijzigingen met
onvoldoende diepgang wordt getest of zonder akkoord in productie worden
genomen. Hierdoor is het mogelijk dat cruciale onderdelen niet expliciet
worden getest hetgeen na in productie name voor onverwachte problemen
kan zorgen. Daarnaast kan een wijziging van invloed zijn op
systeemkoppelingen (interfaces) en bestaat het risico dat een in productie
genomen wijziging niet de beoogde functionaliteit levert of van de gewenste
kwaliteit is, hetgeen van invloed kan zijn op de betrouwbaarheid en
continuïteit van de gegevensverwerking.




                                                                                                                                                   Pagina 23
</pre>

====================================================================== Einde pagina 23 =================================================================

<br><br>====================================================================== Pagina 24 ======================================================================

<pre>Automatisering en IT
Bijlage 2 - Gedetailleerde bevindingen en aanbevelingen



 Bevinding 2                           Autorisatiemutaties worden niet altijd adequaat doorgevoerd en gedocumenteerd

 Jaar van constatering                 2015                                    Kans op voordoen risico                 Middel

 Proces                                IT - Autorisatiebeheer                  Omvang risico                           Middel


Bevinding en/of constatering                                                   Advies
Voor de applicaties GouwBelastingen en Ortax hebben wij vastgesteld dat de     Wij bevelen u aan het autorisatiebeheerproces voor de applicaties
gemeente niet beschikt over een gedocumenteerde procedure ten aanzien          GouwBelastingen en Ortax kritisch te beoordelen en op een uniforme wijze
het toekennen, wijzigen en ontnemen van rechten en autorisaties. Wij           voor alle applicaties (ook degene die niet door ons zijn beoordeeld) in te
hebben vastgesteld dat voor het toekennen van rechten gebruik wordt            richten binnen het GBT. Binnen dit proces is het van belang dat duidelijk
gemaakt van een autorisatieformulier, welke door de leidinggevende             beschreven is wie (welke functionaris) rechten heeft om (wijzigingen in)
ingediend en ondertekend dient te worden. Er is echter geen                    autorisaties aan te vragen, op welke wijze dit dient te gebeuren, over welke
autorisatiematrix aanwezig waar, op basis van de functie en afdeling van een   applicaties de gebruiker dient te beschikken en welke rechten een gebruiker
medewerker, de rechten worden toegekend. Verder hebben wij vastgesteld         nodig heeft. Daarnaast is het van belang de aanvragen met betrekking tot
dat het wijzigen en het (tijdig) ontnemen van rechten niet altijd op een       het muteren en verwijderen tijdig in te dienen. Hierbij dienen alle aanvragen
uniforme en gecontroleerde manier wordt uitgevoerd. Tot slot hebben wij        te worden gedocumenteerd en voor langere tijd te blijven bewaard. Voorts
vastgesteld dat er geen (zichtbare) periodieke controle wordt uitgevoerd op    bevelen wij u aan een autorisatiematrix op te stellen waarin per functie de
de gebruikersaccounts en de daaraan gekoppelde rechten in de applicaties.      rechten zijn opgenomen. Aan de hand van de autorisatiematrix kan op
                                                                               vooraf vastgestelde momenten (bijvoorbeeld halfjaarlijks) een controle
Risico/gevolg                                                                  worden uitgevoerd, ten einde vast te stellen dat alle gebruikers nog terecht
Het risico bestaat dat gebruikers ten onrechte toegang tot de applicaties      toegang hebben tot applicaties en beschikken over de juiste rechten zoals
hebben, of onjuiste rechten hebben binnen de applicatie als de procedures      opgenomen in de autorisatiematrix. Het startpunt van een dergelijke matrix,
rondom autorisatiebeheer niet juist is ingericht. Met eventueel onterecht      is het afstemmen en uniformeren van de organisatorische functies en
toegekende rechten kunnen ongeautoriseerde handelingen worden verricht.        hieraan gekoppelde taken, bevoegdheden en verantwoordlijkheden.
Doordat de gebruikers en diens rechten op applicatieniveau niet periodiek
worden beoordeeld wordt het risico op onterechte toegangsrechten
onvoldoende gemitigeerd.




                                                                                                                                                   Pagina 24
</pre>

====================================================================== Einde pagina 24 =================================================================

<br><br>====================================================================== Pagina 25 ======================================================================

<pre>Automatisering en IT
Bijlage 2 - Gedetailleerde bevindingen en aanbevelingen



 Bevinding 3                           Wachtwoordinstellingen op applicatieniveau zijn ontoereikend

 Jaar van constatering                 2015                                   Kans op voordoen risico               Middel

 Proces                                IT - Toegangsbeheer                    Omvang risico                         Middel


Bevinding en/of constatering                                                  Advies
Wij hebben geconstateerd dat de wachtwoordinstellingen op netwerkniveau       Wij bevelen u aan de wachtwoordinstellingen van GouwBelastingen en Ortax
toereikend zijn. Echter worden er onvoldoende eisen gesteld aan de            op korte termijn aan te scherpen om eventueel misbruik van
wachtwoorden op applicatieniveau. Wij hebben vastgesteld dat de               gebruikersaccounts te voorkomen. Hierbij dienen bepalingen te worden
wachtwoorden in Ortax minimaal 4 karakters lang moeten zijn. Echter           opgenomen met betrekking tot de wachtwoordlengte (bijvoorbeeld minimaal
worden er geen complexiteitseisen gesteld. Daarnaast is het verplicht         aantal karakters van acht), het gebruik van speciale tekens en symbolen in
periodiek wijzigen van de wachtwoorden niet aanwezig. Voor de applicatie
                                                                              de wachtwoorden en het verplicht periodiek wijzigen van het wachtwoord op
GouwBelastingen is het verplicht periodiek wijzigen van de wachtwoorden
                                                                              bijvoorbeeld kwartaalbasis. Wij hebben vernomen dat u tegen ‘technische
wel aanwezig. Er worden echter geen eisen gesteld aan de minimale lengte
en complexiteit van de wachtwoorden.                                          beperkingen’ aanloopt aangaande het aanscherpen van de wachtwoordeisen
                                                                              en derhalve de mogelijkheden onderzoekt voor het toepassen van Single
Risico/gevolg                                                                 Sign On.
Het risico bestaat dat wachtwoorden makkelijk te achterhalen zijn en elders
binnen de organisatie bekend raken. Uiteindelijk kan dit leiden tot
ongeautoriseerd gebruik van gebruikersaccounts en zijn handelingen niet
meer herleidbaar naar de betreffende personen die de acties hebben
uitgevoerd. Hiermee is de betrouwbaarheid van de financiële administratie
in het geding, tot het moment waarop het stringente wachtwoordbeleid is
ingesteld en geactiveerd.




                                                                                                                                               Pagina 25
</pre>

====================================================================== Einde pagina 25 =================================================================

<br><br>====================================================================== Pagina 26 ======================================================================

<pre>Automatisering en IT
Bijlage 2 - Gedetailleerde bevindingen en aanbevelingen



 Bevinding 4                           Accounts met hoge administratieve rechten

 Jaar van constatering                 2015                                  Kans op voordoen risico                 Middel

 Proces                                IT - Toegangsbeheer                   Omvang risico                           Middel


Bevinding en/of constatering                                                 Advies
Voor de applicatie Ortax en GouwBelastingen hebben wij tekortkomingen        Ten einde ervoor te zorgen dat alleen gebruikers, die uit hoofde van hun
geconstateerd ten aanzien van de accounts met hoge administratieve           functie hoge rechten nodig hebben, over deze rechten beschikken, bevelen
rechten. Wij hebben vastgesteld dat er in Ortax 9 accounts aanwezig zijn     wij u aan een beoordeling uit te voeren op de gebruikers met hoge rechten in
met de rol ‘applicatiebeheerder’. Tevens zijn een aantal van deze accounts   applicaties. Voorts bevelen wij u aan enkel gebruik te maken van
niet-persoonsgebonden. Voor GouwBelastingen zijn er 5 accounts aanwezig      persoonsgebonden accounts. Hierdoor zijn de verrichtte handelingen in de
met de rol ‘super-user’. Hiervan is 1 account niet-persoonsgebonden.
                                                                             applicaties en de database(s) te herleiden naar een natuurlijk persoon. In dit
Verder hebben wij vastgesteld dat op de database van GouwBelastingen en
                                                                             kader bevelen wij u tevens aan de meest kritieke handelingen en mutaties in
Ortax niet-persoonsgebonden accounts worden gebruikt waarvan de
wachtwoorden bekend zijn bij de applicatiebeheerders en externe              de applicatie welke zijn uitgevoerd door gebruikers met hoge rechten
leveranciers. Logging van de verrichtte activiteiten door middel van deze    periodiek te evalueren. Deze evaluatie dient bij te dragen aan het
accounts kon niet inzichtelijk worden gemaakt.                               identificeren van ongeautoriseerde handelingen en mutaties zodat hierop
                                                                             adequaat gereageerd kan worden. Een dergelijke periodieke evaluatie kan
Risico/gevolg                                                                ook preventief werken.
Door de aanwezigheid van accounts met hoge administratieve rechten wordt
functiescheiding in de organisatie mogelijk doorbroken. Door het gebruik
van niet-persoonsgebonden accounts zijn de verrichtte handelingen door
middel van deze accounts niet te herleiden naar een natuurlijk persoon.
Daarnaast is door het ontbreken van logging niet inzichtelijk welke
handelingen zijn uitgevoerd in de applicaties en de database(s).




                                                                                                                                                  Pagina 26
</pre>

====================================================================== Einde pagina 26 =================================================================

<br><br>