<b>Bijsluiter</b>. De hyperlink naar het originele document werkt niet meer. Daarom laat Woogle de tekst zien die in dat document stond. Deze tekst kan vreemde foutieve woorden of zinnen bevatten en de opmaak kan verdwenen of veranderd zijn. Dit komt door het zwartlakken van vertrouwelijke informatie of doordat de tekst niet digitaal beschikbaar was en dus ingescand en vervolgens via OCR weer ingelezen is. Voor het originele document, neem contact op met de Woo-contactpersoon van het bestuursorgaan.<br><br>====================================================================== Pagina 1 ======================================================================

<pre>Invoering
Rechtmatigheidsverantwoording
Adviezen en best practices
Handreiking van VNG en IPO in samenwerking met gemeenten Alkmaar,
Almere, Amersfoort en Utrecht en de provincies Flevoland en Utrecht
</pre>

====================================================================== Einde pagina 1 =================================================================

<br><br>====================================================================== Pagina 2 ======================================================================

<pre>    Colofon

    Auteurs
    Gemeente Alkmaar: drs. L.J. Braam- de Jong RA
    Gemeente Almere: J.J. van Tongeren RA
    Gemeente Amersfoort: F. Vaags
    Gemeente Utrecht: C. Staal
    Provincie Flevoland: B. Peters
    Provincie Utrecht: J. Luiks
    IPO: B.J. Jansen
    VNG: A. Dijke

    Dank aan alle meelezers voor hun input, in het bijzonder gemeente Leusden (G. Woltjer) voor een bijdrage aan
    de praktijkvoorbeelden.

    Redactie
    A. van den Berg

    Coverfoto
    Gemeente Goirle

    Vormgeving
    VNG: C.J.N. Koning




2   Vereniging van Nederlandse Gemeenten
</pre>

====================================================================== Einde pagina 2 =================================================================

<br><br>====================================================================== Pagina 3 ======================================================================

<pre>Inhoudsopgave
1 Inleiding                                                                                             4

2 Onderbouwing van de rechtmatigheidsverantwoording                                                     5
  2.1  Inleiding                                                                                        5
  2.2  Uitkomsten van interne controles                                                                 5
  2.3  Bevindingen naar aanleiding van gesprekken met management                                       11
  2.4  Bewuste keuzes om af te wijken van wet- en regelgeving                                          11
  2.5  Fraudesignalen                                                                                  11
  2.6  Data-analyses                                                                                   12

3 De rechtmatigheidsverantwoording                                                                     13
  3.1   Onderdeel van jaarrekening of jaarverslag                                                      13
  3.2   Minimale informatie in de rechtmatigheidsverantwoording                                        13
  3.3   Wat wordt opgenomen in de bedrijfsvoeringsparagraaf?                                           14

4 Mogelijke impact op uw organisatie                                                                   15
    4.1  Rechtmatigheidsverantwoording als groeimodel                                                  15
    4.2  Perspectieven voor kijken naar de invloed op uw organisatie                                   15
    4.3  Organisatie en besturing                                                                      16
    4.4  Mens en cultuur                                                                               17
    4.5  Processen en procedures                                                                       17
    4.6  Systemen                                                                                      18
			
Bijlagen                                                                                               19

A   Normenkader                                                                                        20
B   Interne controle bij de provincies Flevoland en Utrecht                                            21
C   Risicoanalyse gemeente Alkmaar                                                                     25
D   Control Framework gemeente Almere                                                                  26
E   Scoping gemeente Almere                                                                            27
F   Rechtmatigheid als onderdeel van risicomanagement (gemeente Amersfoort)                            28
G   Tekst rechtmatigheidsverantwoording commissie BBV                                                  31
H   Digitalisering van de audit                                                                        32




                                                                       Vereniging van Nederlandse Gemeenten   3
</pre>

====================================================================== Einde pagina 3 =================================================================

<br><br>====================================================================== Pagina 4 ======================================================================

<pre>       1 Inleiding
            Vanaf verslagjaar 2021 moeten gemeenten, provincies en gemeenschappelijke regelingen een recht-
            matigheidsverantwoording opnemen in de jaarrekening. Hiermee leggen zij verantwoording af over de
            naleving van de regels voor het financiële reilen en zeilen in de organisatie. Bijvoorbeeld over naleving
            van de voorwaarden voor subsidies en Europese aanbestedingen of van regels met betrekking tot las-
            ten waarvoor geen voorafgaande dekking opgenomen was in de begroting.

            Dit document is een handreiking voor de invoering van de rechtmatigheidsverantwoording en de
            onderbouwing daarvan in de jaarrekening. In de handreiking geven we een aantal voorbeelden vanuit
            decentrale overheden die al ver zijn in hun ontwikkeling van de rechtmatigheidsverantwoording. Ze zijn
            bedoeld ter informatie en inspiratie. Invoering en onderbouwing van de rechtmatigheidsverantwoor-
            ding zal uiteindelijk voor iedere gemeente en provincie op een andere manier tot stand komen.



    		 Voor wie is deze handreiking bedoeld?
       Deze handreiking is opgesteld door de gemeenten Alkmaar, Almere, Amersfoort en Utrecht en de pro-
       vincies Flevoland en Utrecht. Verder hebben enkele andere gemeenten ook praktijkvoorbeelden aan-
       geleverd. De handreiking is voor medewerkers bij gemeenten en provincies die – al dan niet binnen
       gemeenschappelijke regelingen – vorm en inhoud geven aan de invoering en onderbouwing van de
       rechtmatigheidsverantwoording. Invoering van de rechtmatigheidsverantwoording heeft uiteraard ook
       gevolgen voor bestuurders, volksvertegenwoordigers en controlerende accountants. Toch richten we
       ons in deze handreiking niet expliciet tot hen. De voorbeelden zijn vooral voor de uitvoerders in de
       praktijk.

            We spreken in de handreiking over gemeenten en de organen van de gemeenten. Hier kan ook steeds
            gelezen worden provincies of samenwerkingen binnen gemeenschappelijke regelingen. Daar waar we
            verwijzen naar het college van Burgemeester en Wethouders, kan dus ook gelezen worden het college
            van Gedeputeerde Staten of het Dagelijks Bestuur van een gemeenschappelijke regeling. Voor
            gemeenteraad kan gelezen worden Provinciale Staten of Algemeen Bestuur.



    		 Eerdere publicaties
       Zoals hierboven aangegeven is deze handreiking gericht op medewerkers die direct betrokken zijn bij
       de invoering van de rechtmatigheidsverantwoording. In de handreiking gaan we niet in op de model-
       tekst van de commissie BBV en geven we geen bredere uitleg over de rechtmatigheidsverantwoording
       en de cultuurverandering die hiermee samenhangt. Hiervoor verwijzen wij naar eerdere publicaties:
       • Commissie BBV-modeltekst van de rechtmatigheidsverantwoording
       • Commissie BADO-notitie over de rechtmatigheidsverantwoording
       • Commissie BADO-notitie over de verbijzonderde interne controle

            Op vng.nl vindt u meer berichten (zoek op de term rechtmatigheidsverantwoording).



    		Leeswijzer
      In hoofdstuk 2 gaan we in op de onderbouwing van de rechtmatigheidsverantwoording. In hoofdstuk 3
      lichten we de verschillen tussen de informatie in de rechtmatigheidsverantwoording en de informatie in
      de bedrijfsvoeringsparagraaf toe. In hoofdstuk 4 gaan we in op adviezen voor de implementatie van de
      rechtmatigheidsverantwoording in de organisatie.




4   Vereniging van Nederlandse Gemeenten
</pre>

====================================================================== Einde pagina 4 =================================================================

<br><br>====================================================================== Pagina 5 ======================================================================

<pre> 2 Onderbouwing van de recht-
   matigheidsverantwoording
 2.1 Inleiding
     Het college van Burgemeester en Wethouders (hierna college van B&W) is en blijft ook na 2020 verant-
     woordelijk voor de rechtmatigheid binnen de organisatie. In de huidige situatie vormt de accountant
     hierover een oordeel en brengt hij of zij er verslag over uit. Vanaf verslagjaar 2021 stelt het college van
     B&W deze verantwoording op. De commissie BBV heeft hiervoor een standaardtekst opgesteld. Uiter-
     aard is het publiceren van de verantwoordingstekst alleen niet voldoende. Er is in de gemeentelijke
     organisatie een duidelijke grondslag voor deze verantwoording nodig. Deze grondslag wordt de
     onderbouwing van de verantwoording genoemd. Doel is met een bepaalde mate van zekerheid vast te
     stellen dat de financiële handelingen hebben plaatsgevonden binnen de kaders van wet- en regelge-
     ving.

      Het kader van de (financiële) rechtmatigheidsverantwoording bestaat uit de volgende criteria:
      • begrotingscriterium
      • voorwaardencriterium
      • misbruik en oneigenlijk gebruik (M&O)

      In de notitie ‘Rechtmatigheidsverantwoording’ van 20 maart 2020 licht de commissie BADO deze crite-
      ria toe en heeft zij in hoofdlijnen uitgewerkt wat nodig is voor een goede onderbouwing.

      Bovenstaande criteria komen expliciet tot uitdrukking in de rechtmatigheidsverantwoording. Rechtma-
      tigheidscriteria die ook de getrouwheid raken zijn geen onderdeel van de rechtmatigheidsverantwoor-
      ding. Bijvoorbeeld: constatering van een verslaggevingsfout is geen onderdeel van de rechtmatig-
      heidsverantwoording. Ook de constatering dat een post in de jaarrekening niet voldoet aan de
      uitgangspunten van het BBV (Besluit Begroting en Verantwoording) hoeft niet opgenomen te worden
      in de rechtmatigheidsverantwoording.

      In dit hoofdstuk werken we de mogelijke elementen van een goede onderbouwing nader uit. Dit doen
      wij aan de hand van de aspecten zoals genoemd in de notitie “Rechtmatigheidsverantwoording” van
      de commissie BADO. Het gaat hier om:
      • uitkomsten van interne controles inclusief controle op de drie rechtmatigheidscriteria
      • bevindingen naar aanleiding van gesprekken met het management
      • bewuste keuzes om af te wijken van wet- en regelgeving
      • fraudesignalen
      • data-analyses



  2.2 Uitkomsten van interne controles
2.2.1 Organisatie van de interne controle
      Onderdeel van de onderbouwing van de rechtmatigheidsverantwoording zijn de uitkomsten van de
      interne controles die binnen de gemeente uitgevoerd worden om vast te stellen of wet- en regelgeving
      zijn nageleefd. Dit betekent dat de organisatie zelfstandig vaststelt of wordt voldaan aan het normen-
      kader waarin relevante wet- en regelgeving is opgenomen. In bijlage A staat een toelichting op het
      hanteren van een normenkader.

      Veelal worden interne controles uitgevoerd door een interne controlefunctie. De inrichting hiervan




                                                                          Vereniging van Nederlandse Gemeenten     5
</pre>

====================================================================== Einde pagina 5 =================================================================

<br><br>====================================================================== Pagina 6 ======================================================================

<pre>             verschilt per gemeente. Vaak is er sprake van een ‘three lines of defence’-model1. Ook in organisaties
             die niet met dit model werken, moet geborgd worden dat er functiescheiding is tussen de uitvoering
             van werkzaamheden en de controle daarop.

             Afhankelijk van het volwassenheidsniveau van de huidige interne controlefunctie en de mate van
             interne beheersing binnen de gemeente, zijn aanvullende of verbijzonderde controles nodig. Wanneer
             de gemeente beschikt over een interne controlefunctie en de interne beheersing van de gemeente is
             op orde, dan hoeft de gemeente weinig tot geen verbijzonderde controles uit te voeren. Wanneer de
             gemeente nog niet beschikt over een verbijzonderde interne controlefunctie kan zij deze alsnog creë-
             ren of de verbijzonderde interne controles uitbesteden aan een andere organisatie. De gemeente kan
             hiervoor ook een samenwerking aangaan met een andere gemeente die voor haar de verbijzonderde
             interne controles verzorgt. Dit kan zich bijvoorbeeld voordoen bij kleinere gemeenten.


               Praktijkvoorbeeld
               De gemeenten Bunschoten, Leusden, Nijkerk en Putten werken steeds meer samen in het ‘BLNP-verband’.
               Binnen dit samenwerkingsverband stellen de vier gemeenten sinds 2018 een gezamenlijk intern controleplan
               (ICP) op. Als onderdeel van de verbijzonderde interne controle reviewen VIC-medewerkers van de deelnemen-
               de gemeenten elkaars controlewerkzaamheden. Zo organiseren zij met elkaar een onafhankelijke review op de
               uitgevoerde werkzaamheden. Ook voeren de VIC-medewerkers in toenemende mate reguliere controlewerk-
               zaamheden voor elkaar uit.


             Wanneer de interne beheersing van een gemeente niet geheel op orde is, is het risico op rechtmatig-
             heidsfouten groter. In dat geval zijn diepgaandere controles nodig, specifiek op die onderdelen waar-
             bij de interne beheersing niet voldoende is. Daarbij blijft de organisatie zelf altijd verantwoordelijk voor
             de situaties waar niet rechtmatig is gehandeld.

             Voor meer informatie over de inrichting van de interne controlefunctie en het ‘three lines of defen-
             ce’-model verwijzen wij naar de notitie ‘De verbijzonderde interne controle bij decentrale overheden’
             van de commissie BADO van 14 februari 2019. In bijlage B vindt u een beschrijving van de manier
             waarop de verbijzonderde interne controle is ingebed bij de provincies Flevoland en Utrecht.

      2.2.2 Rechtsmatigheidscriteria als onderdeel van de controle
            Onderdeel van de interne controles is de controle op de eerder genoemde drie rechtmatigheidscrite-
            ria.
            1. Bij het begrotingscriterium gaat het om controle op overschrijdingen2 van de geautoriseerde
                 begroting na begrotingswijzigingen in het boekjaar. Onderdeel van de rechtmatigheidsonderbou-
                 wing is vaststellen of er sprake is van dit soort overschrijdingen en of ze passen binnen het gemeen-
                 telijk beleid en met reden zijn toegelicht in de jaarrrekening. Als de overschrijdingen zijn toegelicht
                 en de jaarrekening wordt vastgsteld door de raad, zijn deze overschrijdingen alsnog rechtmatig.
                 Alleen een begrotingsoverschrijding die onrechtmatig is, wordt vermeld in de rechtmatigheidsver-
                 antwoording.
            2. Bij het voorwaardencriterium wordt vooral gekeken of de financiële beheershandelingen binnen de
                 gemeente voldoen aan de voorwaarden zoals die gesteld zijn in de wet- en regelgeving. Denk hier-
                 bij aan de voorwaarden in de gemeentelijke verordeningen die in het normenkader zijn opgeno-
                 men. Dit zijn bijvoorbeeld voorwaarden met betrekking tot:
                 • de verstrekking aan de juiste doelgroep
                 • hantering van gestelde termijnen voor aanvragen en toekennen van verstrekkingen
                 • toepassen van afgesproken grondslagen
                 • gestelde eisen aan administratieve bepalingen
                 • hanteren van opgenomen normbedragen



         1   In de notitie van de Commissie BADO over de verbijzonderde interne controle staat meer informatie over de ‘three lines of defence’.
         2   Zie de Kadernota Rechtmatigheid van de commissie BBV: niet iedere overschrijding is een onrechtmatigheid.




6   Vereniging van Nederlandse Gemeenten
</pre>

====================================================================== Einde pagina 6 =================================================================

<br><br>====================================================================== Pagina 7 ======================================================================

<pre>         •   functiescheiding ten aanzien van bevoegdheden
         •   het aantoonbaar maken middels bewijsstukken
         •   toepassen van de criteria recht, hoogte en duur bij diverse verstrekkingen

      In de Kadernota Rechtmatigheid van de commissie BBV staan de minimale vereisten (recht, hoogte en
      duur) nader uitwerkt. Deze elementen (recht, hoogte en duur) zie je veelal bij subsidie- en uitkeringen-
      processen. Bij inkopen gaat het vaak om het volgen van de aanbestedingsrichtlijnen.

      In de rechtmatigheidsverantwoording is het van belang dat toereikend is vastgesteld dat binnen de
      gemeente aan deze voorwaarden is voldaan.

      3. Het derde criterium betreft misbruik en oneigenlijk gebruik. Hoewel een apart kader voor M&O-
         beleid niet verplicht is, adviseert de commissie BBV wel zo’n kader op te stellen. Veelal zie je dat
         M&O-beleid geintegreerd is binnen de gemeentelijke processen. Qua onderbouwing van de ver-
         antwoording op dit gebied kan daarom enerzijds gebruik worden gemaakt van de procescontroles
         die worden uitgevoerd om vast te stellen of voldaan is aan het voorwaardencriterium. Anderzijds
         gaat het bij misbruik en oneigenlijk gebruik ook over fraude- en integriteitsignalen. In de praktijk is
         het opstellen van frauderisicoanalyse mede een goede onderbouwing voor dit criterium.

       Praktijkvoorbeeld
       De provincie Flevoland stelt, nadat het Interne Controleplan (ICP) is vastgesteld, voor elk controleonderwerp
       een risicocontrolematrix op. In deze matrix worden per processtap de risico’s en beheersmaatregelen aangaan-
       de het begrotingscriterium, het voorwaardencriterium en het criterium controle op misbruik en oneigenlijk
       gebruik geïnventariseerd. Op basis van deze inventarisatie worden de controlemaatregelen voor de VIC
       bepaald om de gewenste zekerheid te kunnen geven over de rechtmatigheid. Deze controlemaatregelen
       worden vooraf met de controlerend accountant afgestemd.
       Naast de expliciete toetsing op de rechtmatigheidscriteria van de processen die met het ICP zijn geprogra-
       meerd vindt er een afzonderlijke controle plaats op het proces van begrotingswijzingen.


2.2.3 Inventarisatie financiële stromen
      Het is van belang om eerst te bepalen binnen welke financiële stromen zich materiële rechtmatigheids-
      afwijkingen kunnen voordoen. Het is aan te bevelen daarvoor de financiële stromen binnen de
      gemeente in financiële omvang in beeld te brengen. Het gaat hierbij om de stromen per proces, zoals
      uitkeringsproces, inkoopproces, subsidieverstrekking etc. Op basis van de verantwoordingsgrens
      wordt per stroom de diepgang van de controle bepaald (zie 2.2.5).

      Bij het opstellen van het controleplan kunnen de belangrijkste financiële stromen geïnventariseerd
      worden op basis van de begroting van dat begrotingsjaar of op basis van de werkelijke cijfers, wanneer
      controles jaarlijks achteraf plaatsvinden. Voor het vaststellen van deze stromen gebruikt een aantal
      gemeenten de Iv3-categorieën als basis.

      Aan het eind van het boekjaar is het aan te bevelen om deze ‘scoping’ nog een keer te doen met de
      cijfers van het gehele boekjaar. Dit om vast te stellen of er stromen bij zijn gekomen of in omvang
      gewijzigd. Deze inventarisatie wordt gedocumenteerd en is onderdeel van het controleplan.

       Praktijkvoorbeeld
       In het financieel pakket van de gemeente Almere is elke kostenplaats gelabeld aan een proces binnen de
       gemeente. Hierdoor kunnen zij op elk moment de scoping uitdraaien vanuit de financiële administratie.
       Daarmee is geborgd dat de hele administratie in de scoping is betrokken. Een voorbeeld van de output van
       deze scoping is opgenomen onder bijlage E. In het genoemde voorbeeld is zichtbaar of een proces wel of niet
       intern gecontroleerd wordt. Daarnaast wordt aangegeven met welke diepgang deze controles worden
       uitgevoerd (aantal deelwaarnemingen) om intern te kunnen vaststellen of een proces juist heeft gewerkt of niet.
       De gemeente zou zelfstandig tot een oordeel moeten komen of processen hebben gewerkt. Hierdoor wordt
       de rechtmatigheid van de betreffende uitgaven in deze processen geborgd.




                                                                               Vereniging van Nederlandse Gemeenten      7
</pre>

====================================================================== Einde pagina 7 =================================================================

<br><br>====================================================================== Pagina 8 ======================================================================

<pre>      2.2.4 Kwaliteits- en risicobeoordeling van interne processen en IT-systemen
            Na de inventarisatie van financiële stromen wordt een analyse gemaakt van de kwaliteit en de belang-
            rijkste risico’s van de bijbehorende interne processen en IT-systemen. Dit wordt ook wel een intern con-
            trol framework genoemd.

            Op basis van de kwaliteitsbeoordeling worden de processen geclassificeerd naar een hoog, middel en
            laag risico. Het is belangrijk dat deze risicosessies plaatsvinden met de betrokken medewerkers vanuit
            de hele organisatie. Aanbeveling is om de uitkomsten vast te leggen in het controleplan en/of het
            intern control framework per proces. Gemeenten die werken met digitale vastlegging van de interne
            controles in specifieke tools kunnen deze hiervoor gebruiken. Gemeenten die niet werken met speci-
            fieke tools, kunnen de uitkomsten vastleggen in een programma als Excel.

            Verder is het aan te bevelen het gesprek met de extern accountant hierover te voeren om vast te stel-
            len dat de uitkomsten van de interne analyse overeenkomen met de analyse die de accountant ver-
            wacht.


              Praktijkvoorbeeld
              De gemeente Alkmaar heeft de classificatie van risico’s en beheersmaatregelen uitgewerkt in het key control
              dashboard (KCD). Zie hiervoor bijlage C. De gemeente Almere heeft dit proces in een intern control framework
              in Excel verwerkt. Zie hiervoor bijlage D.



      2.2.5 Bepalen van omvang van de werkzaamheden
            De omvang van de uit te voeren werkzaamheden is afhankelijk van de verantwoordingsgrens die is
            overeengekomen met de gemeenteraad. Deze ligt tussen de 0% en 3% van de lasten. Als een
            gemeente kiest voor 0%, moet de gemeente elke rechtmatigheidsfout melden en dus van elke euro
            weten of die rechtmatig is uitgegeven. Dit is in de praktijk niet haalbaar, omdat het leidt tot onevenre-
            dig veel controlewerkzaamheden. In de huidige situatie is de grens voor de accountantscontrole 1%.
            Bij de keuze voor een verantwoordingsgrens van bijvoorbeeld 3% kan het zijn dat de raad minder
            inzicht heeft in het rechtmatig handelen binnen de gemeente dan in de huidige situatie.

            Er kan ook worden gekozen voor een groeimodel in de verantwoordingsgrens. Tijdens het gesprek
            over de invoering van de rechtmatigheidsverantwoording binnen de gemeente moet dan ook het
            gesprek over de hoogte van de verantwoordingsgrens plaatsvinden. Afhankelijk daarvan en van de
            kwaliteit en risico’s van de interne beheersing in de primaire processen wordt de omvang en de ‘con-
            trolemix’ van de interne controlewerkzaamheden bepaald. Deze zal per gemeente verschillen. Het is
            dan ook maatwerk per gemeente. Een lage verantwoordingsgrens gecombineerd met hoog risico bin-
            nen een proces zal leiden tot diepgaandere controlewerkzaamheden en meer detailwaarnemingen
            door de VIC dan waar een hogere verantwoordingsgrens en lage risico’s gelden.

              Praktijkvoorbeeld
              Aangezien de controle voor de getrouwheid op dit moment op 1% van de lasten ligt, is het aan te nemen dat
              de interne controle op een toereikend niveau is om de rechtmatigheidsverantwoording ook met 1% van de
              lasten te controleren. Gemeenten Alkmaar en Almere zijn voornemens om deze methodiek te gaan hanteren.
              Als de interne controle nu functioneert op 1% kan het wijzigen van de norm naar een hoger percentage zorgen
              voor meer accountantswerkzaamheden.

              Andere gemeenten overwegen de hantering van 2% om meer aansluiting te zoeken bij methodieken van de
              rijksoverheden.

              Ook een mogelijkheid is om te differentiëren. Bijv. de raad stelt de verantwoordingsgrens op 3%. De rapporta-
              ge aan de raad gaat dan ook over alle bevindingen vanaf de 3%. De gemeente kan de interne controle
              uiteraard wel op een lager percentage dan 3% uitvoeren.




8   Vereniging van Nederlandse Gemeenten
</pre>

====================================================================== Einde pagina 8 =================================================================

<br><br>====================================================================== Pagina 9 ======================================================================

<pre>2.2.6 Mix van werkzaamheden (controls testen, deelwaarnemingen, statistische steekproeven)
      De werkzaamheden in het controleplan bestaan uit de uitvoering van verschillende controlemethoden.
      Dit wordt ook wel de controlemix genoemd. Bij de samenstelling van de controlemix gaat het om de
      bepaling van aard, omvang en timing van de controlewerkzaamheden. Bij de samenstelling van de
      controlemix zijn de ingeschatte risico's leidend.
      De controlemix kan o.a. worden opgebouwd door:
      • Procesgerichte en gegevensgerichte werkzaamheden
      • A-selecte deelwaarnemingen
      • Risicogerichte deelwaarnemingen bijv. op basis van boekingen, omschrijvingen etc.
      • Toepassing van de 80/20 regel: 80% van de financiële omvang wordt veroorzaakt door 20% van de
          financiele transacties
      • Data-analyse (zie ook bijlage H).


        Praktijkvoorbeeld
       1. Voorbeeld 80/20 regel bij het subsidieproces
          Een gemeente kent jaarlijks 100 subsidies toe, waarvan 10 grote subsidies en 90 kleine subsidies (80/20
          regel). Met de controle van de 10 grote subsidies wordt een aanzienlijk deel van de verstrekte subsidieom-
          vang intern gecontroleerd. Vervolgens kan de gemeente de overige 90 subsidies middels een a-selecte
          deelwaarneming controleren. De deelwaarneming van deze 90 dossiers is naar verwachting beperkt van
          omvang.

       2. Voorbeeld gebruik van data-analyse bij het uitkeringsproces
          Binnen het uitkeringsproces gaat het veelal om maandelijks dezelfde bedragen die uitgekeerd worden.
          Afwijkende maandelijkse uitkeringen zijn risicovoller. Middels data-analyse kunnen deze afwijkende
          uitkeringen gesignaleerd worden. Vervolgens kan middels interne controle op dossierniveau de rechtma-
          tigheid worden vastgesteld.

       3. Voorbeeld a-selecte deelwaarnemingen bij inkoopproces (prestatielevering)
          Vanuit de administratie is een dump gedraaid van alle facturen. Voor het uitdraaien van de dump zijn de
          gehanteerde parameters vastgelegd, zodat deze lijst achteraf ook opnieuw te genereren is. In totaal zijn
          4.000 facturen over het boekjaar betaald. In de interne controle worden middels een deelwaarneming 90
          inkoopfacturen gecontroleerd om o.a. de prestatielevering vast te stellen. Deze controle wordt middels een
          a-selecte methodiek uitgevoerd. Dit betekent dat 4000/90 = 44,44 factuur willekeurig gestoken worden.
          Afgerond is dit elke 44e factuur. Voor de onderbouwing is het belangrijk dat de dump met facturen
          inclusief de gemaakte selectie wordt vastgelegd.


2.2.7 Opstellen en bespreken van controleplan
      De uitkomsten van de risicoinschatting en de kwaliteitsbeoordeling worden vastgelegd in een contro-
      leplan. Hierin wordt beschreven welke interne controlewerkzaamheden uitgevoerd worden, voor welke
      processen, met welk risicoprofiel en met welke diepgang. Dit plan geeft dus in hoofdlijnen de interne
      controlewerkzaamheden weer. Het plan is geschikt om met de directie en het college te bespreken.

      Vervolgens wordt, veelal door de verbijzonderde interne controle functie per proces een diepgaander
      controleplan opgesteld. Hierin kan meer aandacht worden geschonken aan de risico’s van het betref-
      fende proces, de mix van werkzaamheden die gehanteerd wordt bij de uitvoering, de diepgang van de
      controle en de aantallen deelwaarnemingen.

      Als gedurende het jaar belangrijke wijzigingen zich voordoen, moet bepaald worden wat het effect is
      op de controleaanpak. De wijzigingen kunnen leiden tot een bijstelling van het controleplan.

      Voor processen met een kleinere financiële impact kan ervoor gekozen worden om te werken met een
      roulatieschema (bijvoorbeeld 1x in de 3 jaar). Het is aan te raden het controleplan af te stemmen met
      de externe accountant.




                                                                              Vereniging van Nederlandse Gemeenten     9
</pre>

====================================================================== Einde pagina 9 =================================================================

<br><br>====================================================================== Pagina 10 ======================================================================

<pre>               Praktijkvoorbeeld
               De provicie Flevoland kent voor haar intern controleplan (ICP) drie dimensies en denkt hierbij aan onderstaan-
               de concept werkwijze.

               Als eerste wordt (voor ingang van de rechtmatigheidsverantwoording) het meerjarige VIC-beleid aan het
               college van Gedupteerde Staten voorgelegd ter vaststelling. In dit beleid staat onder andere waar de VIC staat
               in het ‘three lines of defence’-model, hoe de objectiviteit, kwaliteit en structuur van de VIC worden gewaar-
               borgd, hoe het ICP tot stand komt en hoe controles worden uitgevoerd, vastgelegd en gerapporteerd.

               Vervolgens wordt jaarlijks een ICP opgesteld als operationele planning voor de VIC (met een meerjarige
               doorkijk). Met het vaststellen van het ICP stemt het college in met de programmering van de controleonder-
               werpen van de VIC in het betreffende controlejaar.

               Tot slot wordt, zoals in het voorbeeld van paragaaf 2.2.2 benoemd, per controleonderwerp uit het ICP een
               risicocontrolematrix opgesteld. De risicocontrolematrix bevat een inventarisatie van de risico’s aangaande de
               rechtmatigheidscriteria, de daarop getroffen beheersmaatregelen en de omvang en mix van controlewerk-
               zaamheden. Deze risicocontrolematrix wordt met de accountant afgestemd. Gezien de detaillering van de
               matrix maakt dit geen onderdeel uit van het ICP dat aan het college wordt voorgelegd.


       2.2.8 Dossiervorming
             De werkzaamheden en bevindingen na de controlewerkzaamheden worden vastgelegd in een contro-
             ledossier. Voor deze dossiervorming zijn diverse tools op de markt. Een dossier kan ook vastgelegd
             worden in een eigen systeem, met behulp van Excel of Word.

             Uiteraard moet in het dossier op eenvoudige en heldere wijze blijken waarop de bevindingen zijn
             gebaseerd en op welke wijze de werkzaamheden hebben plaatsgevonden. Belangrijk is dat de zoge-
             naamde ‘audittrail’ gevolgd kan worden. Het is daarom van belang dat brondocumenten bewaard wor-
             den in het dossier, zodat de grondslag van de uitgevoerde controlewerkzaamheden onderbouwd is.
             Voorbeelden van brondocumenten zijn pdf-bestanden van lijstwerk, printscreens van de geselecteerde
             parametersfacturen, subsidiebeschikkingen etc.

       2.2.9 Verslag over uitkomsten van interne controles
             Per proces wordt, veelal door de verbijzonderde interne controle functie vervolgens een conclusie
             getrokken ten aanzien van de rechtmatigheid. Als er bevindingen zijn, wordt een afweging gemaakt of
             deze bevindingen geïsoleerd kunnen worden of dat de bevindingen leiden tot een uitbreiding van
             werkzaamheden. Periodiek worden de uitkomsten gerapporteerd aan management, college, raad en
             accountant.

             Uiteraard kan de rapportage per doelgroep van een andere diepgang zijn. Zo kan een gemeente
             besluiten om het management of misschien het college ook afwijkingen mee te geven die de rechtma-
             tigheid niet raken, maar voor een verdere organisatieverbetering wel van belang zijn.




10   Vereniging van Nederlandse Gemeenten
</pre>

====================================================================== Einde pagina 10 =================================================================

<br><br>====================================================================== Pagina 11 ======================================================================

<pre>      Praktijkvoorbeeld
      De gemeenten Bunschoten, Leusden, Nijkerk en Putten werken samen in het ‘BLNP-verband’.

      Per proces stellen zij werkprogramma’s op die (waar mogelijk) een systeem- en risicogerichte controle
      waarborgen in de toekomst. De werkprogramma’s per proces zijn voor de komende jaren het spoorboekje voor
      de controles, maar ook voor de doorontwikkeling van de procesbeheersing. Feitelijk is dit een gedeeld
      spoorboekje, waarbij de primaire verantwoordelijkheid bij de proceseigenaar ligt en de interne controlemede-
      werker toezicht uitoefent op de opvolging van het spoorboekje.

      Per werkprogramma/rapportage wordt inzicht gegeven in:
      • de geldende in- en externe wet- en regelgeving
      • een (beknopte) procesbeschrijving
      • de aan het proces verbonden risico’s
      • de beheersmaatregelen waarmee de risico’s zijn te voorkomen/reduceren
      • de uitgevoerde interne controlewerkzaamheden
      • de bevindingen en conclusies
      • de aanbevelingen die voortkomen uit de bevindingen en conclusies

      Het ingevulde werkprogramma/de rapportage dient als verslag van de interne controle. De bevindingen en
      eventuele aanbevelingen worden door de uitvoerder van de interne controle besproken met de proceseigenaar.



2.3 Bevindingen naar aanleiding van gesprekken met management
    Periodiek worden gesprekken gevoerd met het management. Deze gesprekken zijn erop gericht om
    zicht te houden op bijzonderheden, nieuwe ontwikkelingen en wijzigingen in processen. Ook de uit-
    komsten van interne controles kunnen dan worden gedeeld. Daarnaast kunnen in de periodieke
    gesprekken met het management signalen aan de orde komen die wijzen op tekortkomingen in de
    processen, waardoor zichtbaar rechtmatigheidsfouten ontstaan. Het is aan te bevelen om de uitkom-
    sten vast te leggen in een gespreksverslag.

      Praktijkvoorbeeld
      Bij de provincie Flevoland worden de gesprekken met het management tegelijk gevoerd met de voorbereiding
      van de interne controlewerkzaamheden.




2.4 Bewuste keuzes om af te wijken van wet- en regelgeving
    Voldoen aan wet-en regelgeving (het voorwaardencriterium) is een belangrijk uitgangspunt bij de
    rechtmatigheidsverantwoording. Het heeft niet de voorkeur om van deze wet- en regelgeving af te wij-
    ken. Toch kunnen er incidenteel (politieke) omstandigheden zijn waarbij wordt gekozen om in de orga-
    nisatie af te wijken van wet-en regelgeving, bijvoorbeeld wanneer de doelmatigheid zwaarder weegt
    dan de rechtmatigheid. Het is dan wel belangrijk dat deze keuze bewust wordt gemaakt en college en/
    of raad daarover expliciet een besluit neemt. Uiteraard dienen deze overwegingen goed gedocumen-
    teerd te worden.


      Praktijkvoorbeeld
      Afwijken van de wet- en regelgeving kan zich voordoen in het geval van een Europese aanbesteding. Er kan op
      zo’n moment ervoor worden gekozen om het contract bijvoorbeeld meervoudig onderhands aan te besteden
      in plaats van Europees. Bij deze keuze dient de politiek zich bewust te zijn van het feit dat er naast een
      rechtmatigheidsfout ook een claimrisico kan ontstaan.




2.5 Fraudesignalen
    In gesprekken met de organisatie kan worden ingegaan op fraudesignalen. Een best practice is om
    jaarlijks een frauderisicoanalyse op te stellen en deze te bespreken in de organisatie met directie, col-
    lege en rekening- of auditcommissie.
    Doel van de frauderisicoanalyse is te onderzoeken en toetsen of bestaande procedures ‘fraudeproof’




                                                                            Vereniging van Nederlandse Gemeenten     11
</pre>

====================================================================== Einde pagina 11 =================================================================

<br><br>====================================================================== Pagina 12 ======================================================================

<pre>             zijn. Verder wordt onderzocht hoe de mogelijke risico’s beperkt kunnen worden.

               Praktijkvoorbeeld
               Binnen de gemeente Alkmaar wordt een integrale frauderisicoanalyse uitgevoerd. Onderstaande elementen
               komen uit deze riscioanalyse.
               • De frauderisicoanalyse vindt plaats op basis van een overzicht van mogelijke risico’s die vanuit verschillende
                  invalshoeken zijn geïnventariseerd. Deze analyse wordt per proces uitgevoerd. Daarbij worden de drie
                  kenmerken van fraude – rationalisatie, druk en gelegenheid – afgezet tegen de kans en de impact van de
                  fraude. Voor de belangrijkste risico’s wordt bepaald welke beheersmaatregelen er zijn.
               • Belangrijke input voor de risicoanalyse zijn de periodieke gesprekken met management en directie over
                  fraude en integriteit.
               • Ook andere elementen kunnen meegenomen worden in de frauderisicoanalyse:
                  • cultuur
                  • strategie en risicomanagement
                  • beoordeling nevenfuncties van directie, college en management
                  • signalen uit notulen en persberichten
               • Met behulp van data-analyse kunnen omschrijvingen, boekingen door ongebruikelijke personen en
                  ongebruikelijke transacties worden beoordeeld.
               • Vervolgens wordt bepaald welke onderwerpen op basis van de eerste inventarisatie nader moeten worden
                  geanalyseerd.
               • De frauderisicoanalyse wordt afgesloten met een conclusie en aanbevelingen.




        2.6 Data-analyses
            Ook data-analyse kan een belangrijke rol spelen bij het verkrijgen van inzicht in de organisatie, het uit-
            voeren van risico-analyses en het evalueren van de opzet en werking van de interne beheersmaatrege-
            len. Het gebruik van data-analyse is uiteraard wel afhankelijk van de betrouwbaarheid van de data in de
            systemen. Overigens is data-analyse niet synoniem voor het gebruik van complexe sophisticated tools.
            Door eenvoudig te beginnen kunnen al concrete stappen worden gezet. Het (ogenschijnlijk) eenvou-
            dig koppelen in Excel van gegevens uit twee systemen kan al een groot effect hebben. Het onder-
            staande voorbeeld van de gemeente Utrecht laat dit zien. Door bestanden in Excel te importeren en
            deze aan elkaar te knopen, ontstaan er inzichten die effect hebben op de kwaliteit van de bedrijfsvoe-
            ring en ten goede komen aan rechtmatig handelen.


               Praktijkvoorbeeld
               In 2017 heeft concernaudit van de gemeente Utrecht de eerste stap gezet in het verbeteren van de spend
               analyse met het koppelen van informatie uit twee verschillende systemen. Hiervoor is contractinformatie in
               MUIS gekoppeld aan betalingsinformatie in SAP. Dit gaf een beeld van de betalingen van de gemeente die
               gedaan zijn op basis van een contract. Hiermee werd echter nog geen beeld gegeven van de rechtmatigheid
               van de betalingen. Daarvoor is een handmatige controle nodig geweest. Wel laat de digitale koppeling
               duidelijk zien waar extra inspanningen nodig zijn om het doel ‘rechtmatig handelen’ te benaderen. De
               resultaten uit de pilot laten zien dat er werk aan de winkel is.
               • Van slechts 13% van de leveranciers met een totale spend boven de aanbestedingsgrens waren alle
                   betalingen digitaal gekoppeld aan een contract of opdrachtbrief.
               • De spend van 21% van de leveranciers was administratief deels gekoppeld aan de contracten en dat was
                   deels terecht, omdat opdrachten aan deze crediteuren zijn verstrekt buiten het contract om. Deels ook leek
                   de spend betrekking te hebben op de afspraken in het contract, maar is administratieve koppeling
                   achterwege gebleven. Waarom dat zo was, is nog niet duidelijk. Mogelijk waren dit administratieve fouten.
               • Van 36% van de crediteuren ontbrak contractinformatie in de systemen. Met alle afdelingen is contact
                   opgenomen over de vraag wat de oorzaak daarvan is. Lang niet alle informatie kwam daarmee boven tafel,
                   maar wel is duidelijk geworden dat vooral in deze categorie betalingen te vinden waren die niet in overeen-
                   stemming waren met de uitgangspunten van het Utrechtse inkoopbeleid. Door hierover feedback te geven
                   aan het organisatieonderdeel, ontstaat een gedeeld beeld van de verbetermogelijkheden.
               • Met de overige crediteuren was recent een contract afgesloten en ontbrak de koppeling met betalingen of
                   hadden de uitgaven aan de crediteur niet te maken met inkopen.
               Doordat in de afgelopen jaren structureel gewerkt is aan de datakwaliteit van met name het contractmanage-
               mentsysteem, kon concernaudit de spend analyse over 2019 veel effectiever en meer op basis van risicoanalyse
               uitvoeren.


             Het voorbeeld laat slechts een eerste stap in data-analyse zien. Voor verdere inspiratie en informatie
             over de mogelijkheden voor digitalisering van de audit verwijzen wij naar bijlage H.


12   Vereniging van Nederlandse Gemeenten
</pre>

====================================================================== Einde pagina 12 =================================================================

<br><br>====================================================================== Pagina 13 ======================================================================

<pre>3 De rechtmatigheids-
  verantwoording
    Doelstelling van de rechtmatigheidsverantwoording is dat het college zelfstandig verantwoording
    aflegt in de jaarrekening over de naleving van de financiële rechtmatigheid in het boekjaar. In de prak-
    tijk zien we dat er veel vragen leven over wat nu precies in de rechtmatigheidsverantwoording wordt
    opgenomen en wat als mogelijke aanvullende informatie in de bedrijfsvoeringsparagraaf. In dit hoofd-
    stuk zullen we de verschillen tussen de informatie in deze twee onderdelen en de achtergrond hiervan
    toelichten.



3.1 Onderdeel van jaarrekening of jaarverslag
    De rechtmatigheidsverantwoording is een onderdeel van de jaarrekening. Aangezien de accountant
    van de raad de opdracht krijgt om de jaarrekening te controleren, betrekt de accountant ook de recht-
    matigheidsverantwoording in de oordeelsvorming. De accountant verklaart in de nieuwe situatie dat
    de jaarrekening getrouw is, dat wil zeggen een volledig en juist beeld geeft. Hiermee is ook verklaard
    dat de rechtmatigheidsverantwoording getrouw is. Deze uitspraak wordt gedaan aan de hand van
    vooraf gestelde normen. De accountant stelt vast of de rechtmatigheidsverantwoording is opgesteld
    op basis van het normenkader en de verantwoordingsgrens zoals vastgesteld door de raad.

    De bedrijfsvoeringsparagraaf is een onderdeel van het jaarverslag. De controlewerkzaamheden van
    de accountant zijn niet gericht op het vormen van een oordeel over de getrouwheid van het jaarver-
    slag. Wel dient de accountant op basis van regelgeving te toetsen of het jaarverslag overeenkomt met
    wat in de jaarrekening is opgenomen. Dit betekent dat hij of zij marginaal toetst of het jaarverslag geen
    tegenstrijdigheden bevat ten opzichte van de jaarrekening. Dit betekent ook dat hij of zij toetst of in de
    bedrijfsvoeringsparagraaf geen tegenstrijdige informatie is opgenomen ten opzichte van de rechtma-
    tigheidsverantwoording. Bijvoorbeeld: in de rechtmatigheidsverantwoording wordt verklaard dat er
    materiële fouten zijn met betrekking tot naleving van de Europese aanbestedingswet, terwijl in de
    bedrijfsvoeringsparagraaf staat dat de Europese aanbestedingswet is nageleefd en er geen bevindin-
    gen zijn. Dit zou tegenstrijdig zijn.



3.2 Minimale informatie in de rechtmatigheidsverantwoording
    Voor de rechtmatigheidsverantwoording heeft de commissie BBV een standaardtekst gepubliceerd
    (januari 2020). Deze tekst staat in bijlage G.

    De standaardtekst moet gehanteerd worden bij het afleggen van verantwoording door het college in
    de jaarrekening. Dit betekent het volgende:
    • Het college rapporteert dat de financiële transacties rechtmatig zijn en binnen de voorafgestelde
        verantwoordingsgrens door de raad, wanneer de bevindingen vanuit de ‘onderbouwing van de
        rechtmatigheidsverantwoording’ onder de gestelde verantwoordingsgrens blijven.
    • Het college rapporteert of en zo ja, welke financiële transacties niet (geheel) rechtmatig zijn en bin-
        nen de voorafgestelde verantwoordingsgrens door de raad, wanneer de bevindingen vanuit de
        ‘onderbouwing van de rechtmatigheidsverantwoording’ de verantwoordingsgrens overschrijden. In
        dat geval geeft het college aan waar de bevindingen/afwijkingen betrekking op hebben en voor
        welk bedrag. Dit wordt beschreven in het onderdeel Conclusie.
    In de rechtmatigheidsverantwoording wordt geen informatie opgenomen over de beheers-maatrege-
    len die de gemeente treft om afwijkingen in de rechtmatigheid (fouten of onduidelijkheden) te




                                                                        Vereniging van Nederlandse Gemeenten     13
</pre>

====================================================================== Einde pagina 13 =================================================================

<br><br>====================================================================== Pagina 14 ======================================================================

<pre>             voorkomen. Hiervoor is gekozen omdat de accountant deze toekomstige beheersmaatregelen niet kan
             controleren. Door de beheersmaatregelen hier op te nemen, zou de accountant geen uitspraak kun-
             nen doen over de rechtmatigheidsverantwoording als geheel en zou de gemeente geen goedkeu-
             rende controleverklaring kunnen krijgen.

             Ook bevindingen onder de vastgestelde verantwoordingsgrens worden niet opgenomen in de recht-
             matigheidsverantwoording. Het opnemen van dit soort bevindingen zou de accountantscontroles
             intensiever maken, omdat de rechtmatigheidsverantwoording valt onder de controle van de accoun-
             tant en de accountant dus moet vaststellen dat die bedragen getrouw zijn. Andere aspecten worden
             opgenomen in de bedrijfsvoeringsparagraaf.



        3.3 Wat wordt opgenomen in de bedrijfsvoeringsparagraaf?
            De commissie BBV zal (naar verwachting) een kader schrijven voor de aspecten die in de bedrijfsvoe-
            ringsparagraaf opgenomen moeten worden. Dit kader is nog niet bekend.

             Voor nu kunnen gemeenten denken aan de volgende aspecten voor de bedrijfsvoeringsparagraaf:
             • Beheersmaatregelen die zijn getroffen om in de toekomst tekortkomingen in de rechtmatigheid
                (fouten of onduidelijkheden in processen) te voorkomen.
             • Bevindingen die onder de verantwoordingsgrens voor de rechtmatigheidsverantwoording blijven,
                maar wel relevant zijn om de raad over te informeren. Denk bijvoorbeeld aan aanbestedingsfouten
                die van een redelijk omvang zijn, maar per saldo niet groter dan de verantwoordingsgrens.
             • Bevindingen die boven de rapporteringsgrens vallen die college en raad hebben afgesproken. De
                rapporteringsgrens is een afspraak, zoals de raad ook maakt met de externe accountant. Hierbij
                spreken raad en college af dat alle bevindingen die boven deze rapporteringsgrens vallen in de
                bedrijfsvoeringsparagraaf worden opgenomen.
             • Bewuste afwijkingen van wet- en regelgeving door bijzondere omstandigheden binnen de
                gemeente. Het is aan te bevelen om bewuste afwijkingen of afwijkingen die niet meer te herstellen
                zijn in het controlejaar bij te houden, zodat dit inzichtelijk is.
             • Andere zaken die het college relevant vindt om de raad nader over te informeren.




14   Vereniging van Nederlandse Gemeenten
</pre>

====================================================================== Einde pagina 14 =================================================================

<br><br>====================================================================== Pagina 15 ======================================================================

<pre>4 Mogelijke impact op uw
  organisatie
4.1 Rechtmatigheidsverantwoording als groeimodel
    De rechtmatigheidsverantwoording heeft als doel om de kwaliteit van de gemeentelijke bedrijfsvoe-
    ring te verbeteren. Vanaf controlejaar 2021 nemen gemeenten in de jaarrekening de rechtmatigheids-
    verantwoording op. Het staat de gemeente vrij om naast de rechtmatigheidsverantwoording zich bre-
    der te verantwoorden. Dit past in een internationale lijn die zich ontwikkelt naar een zogenaamd in
    control statement (ICS). Voor de invulling van de rechtmatigheidsverantwoording binnen gemeenten
    zijn diverse varianten mogelijk. Hieronder staan drie varianten genoemd. Deze varianten zijn zowel
    alternatieven als ambitieniveaus.




    Figuur 1: Drie varianten: van rechtmatigheidsverantwoording tot ICS (bron BADO notitie rechtmatig-
    heidsverantwoording)


      Praktijkvoorbeeld
      De gemeente Amersfoort kiest voor ambitieniveau 3. Daarbij heeft zij een groeipad naar dit niveau vastgesteld
      waarbij aansluiting wordt gezocht met de ontwikkelfases van de afdelingen en met blijvende betrokkenheid
      van het management (klankbordgroep, pilots etc.).

      De rechtmatigheidsverantwoording is onderdeel van het bestaande, brede risicomanagementraamwerk. Dit
      raamwerk draagt bij aan de realisatie van alle doelen. Voldoen aan de rechtmatigheidsvereisten is er één van.
      Onderdeel van dit raamwerk is dan ook dat het management zich over alle aspecten van de bedrijfsvoering
      verantwoordt. Op deze manier zijn de extern gestelde eisen aan de rechtmatigheidsverantwoording organisch
      in het brede risicomanagementraamwerk ingepast.

      In bijlage F is de Amersfoortse benadering verder uitgewerkt.




4.2 Perspectieven voor kijken naar de invloed op uw organisatie
    Met de rechtmatigheidsverantwoording legt het college verantwoording af over de mate waarin is vol-
    daan aan de eisen die in de wet- en regelgeving aan rechtmatigheid worden gesteld. Met andere




                                                                             Vereniging van Nederlandse Gemeenten     15
</pre>

====================================================================== Einde pagina 15 =================================================================

<br><br>====================================================================== Pagina 16 ======================================================================

<pre>             woorden: in hoeverre is de rechtmatigheidsdoelstelling van de gemeente bereikt? Dit is in principe
             niets nieuws onder de zon. De gemeente wil sowieso voldoen aan de wet- en regelgeving. Het expli-
             ciet verantwoorden over de mate waarin de doelstellingen zijn bereikt is hiervan een logisch onder-
             deel. De conclusie zou kunnen zijn dat de invloed van de invoering van de rechtmatigheidsverantwoor-
             ding op de gemeentelijke organisatie beperkt is.

             Toch is het raadzaam na te gaan waar potentiële veranderingen zich voor doen, wanneer de rechtma-
             tigheidsverantwoording verplicht is. Voor het in kaart brengen van mogelijke veranderingen en/of
             noodzakelijke maatregelen hanteert de gemeente Utrecht de vier perspectieven uit onderstaande
             figuur.




             Figuur 2: vier perspectieven die veranderen door de invoering van de rechtmatigheidsverantwoording

             Met deze perspectieven probeert de gemeente Utrecht een integraal en samenhangend beeld te bie-
             den, waarin zowel ‘harde’ als ‘zachte’ maatregelen aan bod komen. Uiteindelijk is het doel een stevig
             fundament te leggen waarop het college kan bouwen en vertrouwen bij het afgeven van de rechtma-
             tigheidsverantwoording.



        4.3 Organisatie en besturing
            Om te komen tot een rechtmatigheidsverantwoording is een heldere verantwoordelijkheids- en rolver-
            deling noodzakelijk. Het besef dat alle organisatieonderdelen verantwoordelijk zijn voor de rechtma-
            tigheidsverantwoording is cruciaal voor het realiseren van de noodzakelijke veranderingen in de orga-
            nisatie. Het voltallige college is verantwoordelijk voor het afgeven van de rechtmatigheidsverant-
            woording – het behoort niet tot de portefeuille van een enkele wethouder. De wethouders van finan-
            ciën en audit kunnen hierbij wel een coördinerende rol vervullen, maar de fouten of onduidelijkheden
            kunnen betrekking hebben op het beleidsterrein van de hele gemeente.
            Voor de ambtelijke organisatie geldt dit evenzeer – de rechtmatigheidsverantwoording is niet het
            ‘feestje’ van de concerncontroller, VIC of concernaudit. Het ‘three lines of defence’-model kan als
            handvat worden gebruikt om de rolverdeling nader in te vullen.

             De mate waarin een gemeente centraal of decentraal is georganiseerd is vanzelfsprekend van invloed
             op de rol- en verantwoordelijkheidsverdeling. Het is niet de bedoeling omwille van de rechtmatig-
             heids-verantwoording de leidende sturingsprincipes over boord te gooien. Beter is hierbij aan te




16   Vereniging van Nederlandse Gemeenten
</pre>

====================================================================== Einde pagina 16 =================================================================

<br><br>====================================================================== Pagina 17 ======================================================================

<pre>     sluiten. Met de huidige sturingsfilosofie als uitgangspunt is het nuttig om de onderstaande aandachts-
     punten uit te werken:
     • Inrichting en samenwerking tussen de ‘three lines of defence’ afstemmen, rol- en verantwoordelijk-
         heidsverdeling tussen de eerstelijns en tweedelijns vaststellen3
     • Verantwoordelijkheid beleggen voor sturing en monitoring van rechtmatigheids-verantwoording
         gedurende het boekjaar. Mogelijke aandachtspunten zijn:
         • de rolverdeling van concerncontrol en VIC/concernaudit
         • de positie en kritieke omvang van VIC als onderdeel van de tweede lijn
         • de functionele relatie tussen VIC-rollen (tweede lijn) en concernaudit (derde lijn)
         • afspraken over planning en review
         • afspraken over uitvoering en ondersteuning van werkzaamheden voor de tweede lijn
         • sturing en prioritering



4.4 Mens en cultuur
    Rechtmatig handelen is voor gemeenten zonder meer uitgangspunt en maakt deel uit van de cultuur.
    Een goed begrip van de rechtmatigheidsverantwoording en de implicaties van de invoering voor de
    gemeentelijke organisatie vraagt evenwel om bewustwording van de mogelijke gedragsveranderingen
    die ermee samenhangen. Rechtmatig handelen deden we altijd al, de vraag is echter: zijn het handelen
    en de daarbij gemaakte afwegingen voldoende zichtbaar en traceerbaar vastgelegd? Op veel punten zal
    dit prima voor elkaar zijn, op andere punten zal aanscherping nodig zijn. Mogelijk spelen er dilemma’s
    rond rechtmatigheid in relatie tot doelmatigheid en doeltreffendheid. Bijvoorbeeld snelheid en flexibili-
    teit in relatie tot de eisen vanuit de Aanbestedingswet 2012. Hoe ga je daar als gemeente mee om?

     Een aspect van andere orde is de vraag of de ambtelijke organisatie voldoende uitgerust is om de
     werkzaamheden die nodig zijn voor de rechtmatigheidsverantwoording adequaat uit te voeren. Voor
     een kwalitatief goede uitvoering dient de VIC-rol de benodigde capaciteit en het vereiste kennis- en
     ervaringsniveau te bepalen. Uitkomsten van deze stap kunnen zijn dat extra capaciteit geworven moet
     worden of dat medewerkers trainingen en opleidingen volgen om hun kennis verder uit te bouwen en
     te versterken. Mocht de uitkomst zijn dat de VIC-rol onvoldoende capaciteit of niveau heeft, dan kan
     uitbesteding van deze rol een optie zijn. De gemeente blijft verantwoordelijk voor de aansturing en
     monitoring, deze verantwoordelijkheid kan niet worden overgedragen.



4.5 Processen en procedures
    Het proces van totstandkoming van de rechtmatigheidsverantwoording kent de nodige uitdagingen,
    afhankelijk van de sturingsfilosofie en de positie van de VIC/concernaudit. Voor organisaties met een
    sterk decentrale structuur, waarbij de VIC-rol onderdeel is van de tweede lijn, zijn andere afspraken
    nodig dan voor organisaties met een centrale VIC/concernaudit. Thema’s die in het proces van tot-
    standkoming aan bod kunnen komen zijn:
    • kaderstelling voor het auditplan van de gemeente met bijbehorende controle- en testplannen en
        eisen waaraan deze producten moeten voldoen
    • bepaling van de tolerantiematerialiteit en uitvoeringsmaterialiteit
    • beschrijving van de werkzaamheden van de VIC-rol, concern control en concernaudit en review
        daarvan (bijvoorbeeld gemeentebreed en decentraal)
    • eventueel gebruik van selfassessments om de positie per organisatieonderdeel te bepalen
    • bevestiging van de rechtmatigheid per organisatieonderdeel (optioneel)
    • evaluatie van de bevindingen (fouten en onduidelijkheden)
    • opstelling van de rechtmatigheidsverantwoording
    • agendering van gesprekken met college en raad



 3   In de Commissie BADO-notitie over de verbijzonderde interne controle staat meer informatie over de ‘three lines of defence’ en ver-
     antwoordelijkheidsverdeling.




                                                                                         Vereniging van Nederlandse Gemeenten              17
</pre>

====================================================================== Einde pagina 17 =================================================================

<br><br>====================================================================== Pagina 18 ======================================================================

<pre>        4.6 Systemen
            In bijlage H gaan wij uitgebreid in op de mogelijkheden om de werkzaamheden voor de rechtmatig-
            heidsverantwoording te digitaliseren. Er wordt een schets gegeven van de tools die de huidige techno-
            logie biedt om de interne controle efficiënter en effectiever te maken.

             Bij dit aspect volstaan we hier met de opmerking dat de samenhang tussen rechtmatigheid en de
             betrouwbaarheid en beveiligingsaspecten (incl. privacy) van IT-systemen aandacht behoeft. Zeker daar
             waar voor data-analyse gebruik wordt gemaakt van data uit de primaire en financiële systemen, dient
             stil te worden gestaan bij de betrouwbaarheid en de kwaliteit van de data. Per 1 januari 2020 is de
             Baseline Informatiebeveiliging Overheid (BIO) van kracht. Een ambitie zou kunnen zijn om de acties
             voor het naleven van de BIO en de rechtmatigheidsverantwoording goed op elkaar af te stemmen.




18   Vereniging van Nederlandse Gemeenten
</pre>

====================================================================== Einde pagina 18 =================================================================

<br><br>====================================================================== Pagina 19 ======================================================================

<pre>		




		Bijlagen




             Vereniging van Nederlandse Gemeenten   19
</pre>

====================================================================== Einde pagina 19 =================================================================

<br><br>====================================================================== Pagina 20 ======================================================================

<pre>     A Normenkader
             Het normenkader voor een rechtmatigheidscontrole betreft de inventarisatie van de VIC relevante
             regelgeving van hogere overheden en de gemeente zelf. Dit is wet- en regelgeving die bepalingen
             bevat over financiële beheershandelingen en door de Raad of hogere overheden is vastgesteld en
             voorgeschreven. In dit onderdeel wordt ingegaan op de zaken die moeten worden geregeld.

     		 Wat staat er in het normenkader?
        Het normenkader is een inventarisatie van alle verordeningen die de gemeenteraad heeft vastgesteld.
        Er kan ervoor worden gekozen om Collegebesluiten (bijvoorbeeld het eigen inkoopbeleid) ook in het
        normenkader op te nemen, maar dat wordt niet aanbevolen. Daar waar het vanzelfsprekend is om in
        het normenkader de Aanbestedingswet 2012 op te nemen, kan de gemeente kiezen om de Gids Pro-
        portionaliteit wel of niet op te nemen.

             Bij opstelling van het normenkader is het van belang om te inventariseren welke nieuwe regelingen de
             afgelopen periode zijn vastgesteld, dan wel welke regelingen zijn ingetrokken. Met gebruik van web-
             sites als wetten.overheid.nl kan worden vastgesteld of alle regelingen die door de gemeente zijn vast-
             gesteld, ook in het normenkader zijn opgenomen.

             Gemeenten, provincies en waterschappen zijn verplicht om hun regelingen via Overheid.nl beschik-
             baar te stellen.

             In het normenkader is het mogelijk om bijvoorbeeld bepaalde subsidievoorwaarden (bijvoorbeeld
             recht, hoogte en duur) buiten het normenkader te houden. Als deze voorwaarden niet worden nage-
             leefd, leidt een fout niet direct tot een rechtmatigheidsfout, maar is er sprake van het niet naleven van
             een regel van interne orde. Dat kan overigens alleen als deze onderdelen niet verplicht voortvloeien uit
             hogere regelgeving.

             In een afzonderlijk toetsingskader kan apart worden opgenomen welke artikelen van de regelingen uit
             het normenkader worden betrokken in de rechtmatigheidscontrole. Dit kan ook in het normenkader
             worden opgenomen. Het toetsingskader (als dat dus gemaakt wordt) dient door het College te worden
             vastgesteld.

     		 Wie stelt het normenkader op?
        Ondanks het feit dat het kader iets juridisch lijkt te zijn en juristen wellicht wel betrokken zijn, dan wel
        geconsulteerd worden, is het logisch dat de VIC nauw betrokken is, dan wel verantwoordelijk is voor
        het opstellen van het normenkader. Dit normenkader bepaalt immers de reikwijdte van de rechtmatig-
        heidscontrole.

     		 Wie stelt het normenkader vast?
        Het normenkader moet minimaal door het College worden vastgesteld en vervolgens ter kennisname naar
        de Raad worden gestuurd. Het is ook mogelijk om de Raad het normenkader te laten vaststellen. Daar waar
        er financiële auditcommissies zijn ingesteld is dit een document dat daar besproken kan worden.

     		 Wanneer stellen we het normenkader vast?
        Het normenkader dient uiterlijk voor de aanvang van de jaarrekeningcontrole te zijn vastgesteld. Over-
        eenkomstig de kadernota rechtmatigheid is het normenkader rechtmatigheid namelijk een inventarisa-
        tie van de voor de accountantscontrole relevante regelgeving. Formeel kan de accountant zijn jaarre-
        keningcontrole niet beginnen voordat hij het vastgelegde normenkader heeft ontvangen.

             Link naar de kadernota rechtmatigheid 2018 (van de commissie BBV).


20   Vereniging van Nederlandse Gemeenten
</pre>

====================================================================== Einde pagina 20 =================================================================

<br><br>====================================================================== Pagina 21 ======================================================================

<pre>  B Interne controle bij de provin-
    cies Flevoland en Utrecht
Voorbeeld inrichting voor Rechtmatigheidsverantwoording
 Provincie Flevoland                                              Provincie Utrecht
Scope:                                                            Scope:
Vanuit de Verbijzonderde Interne Controle (later VIC) wil de      De provincie Utrecht (GS) heeft besloten om de VIC in te
ambtelijke organisatie het college op doelmatige en               richten als interne beheersingsmaatregel met als doel om
pragmatische wijze voorzien van voldoende zekerheid zodat         met een hoge mate van zekerheid te kunnen verklaren dat
het college zich over de rechtmatigheid kan verantwoorden.        de uitgaven rechtmatig zijn geweest en indien dit niet zo is,
                                                                  hoe groot de omvang van onrechtmatigheid is.
De VIC is ingericht als interne beheersingsmaatregel waarop
de accountant kan steunen bij zijn organisatiegerichte            De reden hiervan is dat de organisatie wil inzetten op een
werkzaamheden (3de categorie volgens de BADO-notitie              VIC die het verder ontwikkelen van de kwaliteit en het lerend
“De verbijzonderde interne controle bij decentrale overhe-        vermogen van de eigen organisatie ondersteunt. Dit sluit
den). Volgens de accountant is deze opzet van de VIC              aan op de geformuleerde ambitie zoals opgenomen in de
passend bij de omvang van de organisatie.                         jaarrekening 2017 en het coalitieakkoord 2019-2023 van de
                                                                  provincie Utrecht.
Het nasteven van het afgeven van een “In Control State-
ment” en /of de VIC uit te voeren van het het niveau van een      De reden dat niet voor het oprichten van een interne
interne auditfunctie (4de categorie volgens de BADO-notitie       auditfunctie is gekozen, is dat de kans reëel is dat de kosten
) is momenteel niet wenselijk. Om hieraan te voldoen moet         de baten zullen overstijgen. Om door de accountant als
namelijk volledig voldaan worden aan de accountantsricht-         interne auditfunctie (IAF) te kunnen worden gekwalificeerd
lijn “610 Gebruikmaken van de werkzaamheden van interne           stellen de accountants dusdanig hoge eisen aan de kwaliteit
auditors” welke vrij vertaald een interne accountantsdienst       van de IAF. Dit zou te vergelijken moeten zijn met het
voorschrijft. Dit is niet wenselijk gezien de huidige VIC-func-   kwaliteitsniveau dat ook voor de controlerend accountant
tie er niet enkel is om de accountant te bedienen maar            zelf geldt. Daarnaast komt het voor dat externe accountants
vooral om de organisatie te dienen. De VIC is namelijk ook        maar beperkt op kleine interne auditfuncties (minder dan
een instrument ter optimalisatie van de bedrijfsvoering. De       7.500 directe interne audituren) kunnen steunen. Dit omdat
rol die de VIC heeft in de optimalisatie van de bedrijfsvoe-      er sprake kan zijn van: beperkte objectiviteit door de
ring is onverenigbaar met de rol van een interne accountant       organisatorische positie, onvoldoende ervaring of kwalifica-
terwijl de dubbelrol (controleren en optimaliseren) van de        ties binnen de IAF en een beperkte reikwijdte waarbij de
VIC juist de meest toegevoegde waarde biedt in Flevoland.         scope van de externe controle afwijkt van die van de IAF
                                                                  (Notitie verbijzonderde interne controle bij decentrale
                                                                  overheden, BADO, 14 februari 2019). Als laatste bestaat het
                                                                  risico dat het in deze fase instellen van een IAF leidt tot
                                                                  meer controle in plaats van meer in control komen. Op dit
                                                                  moment is de provincie bezig om de AO, IC en VIC van
                                                                  bedrijfsvoeringsprocessen te verbeteren.
Organisatie:                                                      Organisatie:
Bij de provincie Flevoland is het de verantwoordelijkheid van     De eenheid concerncontrol van de provincie Utrecht is
de VIC om zich uit te spreken over de financiële rechtmatig-      momenteel bezig met het opstellen van een concept
heid en getrouwheid. In het verlengde van deze verantwoor-        procesbeschrijving voor de rechtmatigheidsverantwoording.
delijkheid heeft de VIC-functie de taak om de rechtmatig-
heidsverantwoording te introduceren.                              Vooralsnog laat deze de volgende uitgangspunten zien:
                                                                  Eerste lijn (het management): De administratieve organisatie
Om te komen tot een rechtmatigheidsverantwoording heeft           en interne controles (AO/IC) zijn de verantwoordelijkheid
de provincie Flevoland de “Three lines of defence” op de          van het management.
volgende wijze ingericht:
                                                                  Tweede lijn (bedrijfsvoering en business controllers): De
Eerste lijn: Dit is de AO/IC bij alle afdelingen en het           analyse m.b.t. het begrotingscriterium wordt aangeleverd
fundament van de interne beheersing.                              door het team Financiën in samenwerking met het verant-
                                                                  woordelijk management. De spendanalyse (aanbestedingen)
Tweede lijn: Dit is de ondersteuning en advisering voor alle      wordt aangeleverd door het team inkoop.
afdelingen. Denk hierbij aan de inkoopadviseurs, juridische
medewerkers, de fiscalist, de risicomanager, medewerkers
planning en control en de interne controles (later IC’s).




                                                                                       Vereniging van Nederlandse Gemeenten        21
</pre>

====================================================================== Einde pagina 21 =================================================================

<br><br>====================================================================== Pagina 22 ======================================================================

<pre>      Provincie Flevoland                                              Provincie Utrecht
     Organisatie:                                                      Organisatie:
     Derde lijn: Dit zijn de interne audits. Onderdeel hiervan is de   Derde lijn (concerncontrol): De eenheid concerncontrol,
     VIC die de architect is van de IC’s in de tweede lijn, een        onderdeel VIC, is verantwoordelijk voor het opstellen van
     repreformance uitvoert op de IC werkzaamheden en waar             een rechtmatigheidsverantwoording. Dit is een deels
     nodig aanvullend onderzoek verricht.                              uitvoerende en deels regievoerende taak. De integrale tekst
                                                                       van de rechtmatigheidsverantwoording wordt opgesteld
     Andere audits in de derde lijn zijn gericht op onder andere       door concerncontrol, onderdeel VIC. Concerncontrol,
     doelmatigheid & doeltreffendheid (Art 217a Provinciewet),         onderdeel VIC, velt mede op basis van de uitkomsten van de
     fiscale audits, audits naar informatieveiligheid en het           VIC het oordeel over de financiële rechtmatigheid (waaron-
     toezicht op het archief. Waar mogelijk worden de audits           der het voorwaardencriterium) en legt dat voor hoor en
     vanuit de verschillende disciplines samen opgezet en              wederhoor terug bij het verantwoordelijk management.
     uitgevoerd.                                                       Over het rapporteren i.v.m. M&O wordt nog nagedacht.

                                                                       Vervolg proces:
                                                                       De rechtmatigheidsverantwoording wordt aan het centraal
                                                                       managementteam (CMT) voorgelegd als onderdeel van de
                                                                       jaarstukken. Daarna gaat deze naar GS en PS.
     Risicoanalyse:                                                Risicoanalyse:
     Vanuit de VIC worden twee risicoanalyses opgesteld.           De VIC-functie wordt op dit moment verder opgebouwd.
                                                                   Hierbij is sprake van een groeimodel waarbij de VIC
     De eerste is een brede risicoanalyse welke de basis vormt     stapsgewijs groeit naar het gewenste ambitieniveau (zie
     voor het jaarlijkse interne controle plan (later ICP) met een scope). Gezien aankomende wetswijziging is het verbijzon-
     meerjarige doorkijk. Op basis van een dump uit de             derde interne controleplan in 2020 voor het eerst door GS
     financiële administratie wordt inzichtelijk gemaakt waar de   behandeld en vastgesteld. In het verleden werd het plan in
     grootste geldstromen plaatsvinden in de balans en             het MT behandeld.
     exploitatie. De grootste geldstromen komen in ieder geval     Afgelopen jaren zijn de processen inkoop, personeel en
     voort uit het proces van Inkoop & Aanbesteding, Subsidies     subsidie als belangrijkste processen aangemerkt. Vanuit dit
     en Personele Lasten. Deze processen zijn dan ook jaarlijks    vertrekpunt vindt in eerste instantie de uitvoering van de VIC
     onderwerp van IC en VIC (aangevuld met een IC en VIC op       plaats. In de komende periode zijn aanvullende onderwer-
     de begroting(swijzigingen) om een uitspraak te kunnen doen pen opgenomen die bijdragen aan de rechtmatigheids-ver-
     over de rechtmatigheid van het begrotingscriterium).          antwoording die GS zal afgeven.
     Andere materiele geldstromen worden vervolgens roulerend
     in het ICP geprogrammeerd en gecontroleerd door de VIC        In verband met de gezamenlijke opgave om de bedrijfsvoe-
     functie.                                                      ring te versterken wordt ook aansluiting gezocht met
                                                                   lopende verbeteracties. De ambitie is om in de toekomst
     De tweede variant zijn risicoanalyses op de onderwerpen       werkzaamheden te verschuiven van controle achteraf
     zoals in het ICP geprogrammeerd. Tot voorkort was het de      (gegevensgericht vanuit de uitkomsten) en naar controle
     directie die het ICP vaststelde, maar de provincie Flevoland tussentijds (procesgericht op beheersingsmaatregelen). De
     heeft het voornemen om met de komst van de rechtmatig-        focus komt daarmee te liggen op het eigenstandig toetsen
     heidsverantwoording het ICP aan het college voor te           van de interne beheersing in de processen.
     leggen.

     Nadat het college het ICP en daarmee de programmering
     van de onderzoeksobjecten heeft vastgesteld, wordt er per
     onderzoeksobject een risicoanalyse opgesteld in een
     risicocontrolematrix (zie bijgevoegd voorbeeld).
     Deze matrix heeft een tweeledig doel. Enerzijds als
     verantwoording naar de organisatie waarin is vastgelegd
     waarom er wat wordt onderzocht. Anderszijds om de aanpak
     en reikwijdte van de VIC met de accountant af te stemmen.




22   Vereniging van Nederlandse Gemeenten
</pre>

====================================================================== Einde pagina 22 =================================================================

<br><br>====================================================================== Pagina 23 ======================================================================

<pre>Provincie Flevoland                                                   Provincie Utrecht
De risicomatrix bestaat daarmee uit drie onderdelen.                 Voor de processen die onderdeel uitmaken van het VIC-plan
1 Inventarisatie.                                                    vinden eerst risicosessies plaats met de procesbetrokkenen.
  Allereerst wordt het proces in hoofdlijnen uitgewerkt. Bij         Deze sessies staan in het teken van het afstemmen van de
  elke processtap worden de risico’s op de verschillende             belangrijkste processtappen, de risico’s en de beheersmaat-
  getrouwheids- en rechtmatigheidscriteria benoemd,                  regelen (“de key controls”). De afgestemde procesbeschrij-
  gevolgd door de beheersmaatregelen die de organisatie              ving (inclusief risicoanalyse, beheersmaatregelen en
  heeft getroffen.                                                   VIC-werkzaamheden) worden vervolgens geactualiseerd in
  In dit onderdeel inventariseren we dus de processtappen,           de audittool van het Key Control Dashboard. In de risicoses-
  risico’s en beheersmaatregelen.                                    sies wordt ook afzonderlijk aandacht besteed aan de
2 Controle                                                           frauderisico’s.
  Voor de beheersmaatregelen, genoemd in de inventarisa-
  tie, die niet afdoende zijn, wordt er een controleactie            De risico’s, de toetspunten en de verwachte dossierinhoud
  uitgevoerd. Hierbij wordt vastgelegd wat met de controle           zijn afgestemd met de externe accountant. Met de externe
  (IC en/of VIC) moet worden vastgesteld, wat het kader is           accountant vindt periodiek overleg plaats over de wijze van
  voor de controle en tot slot waar deze controle een                selectie en de voortgang van de verbijzonderde interne
  oordeel over geeft. Bij de provincie Flevoland onderschei-         controlewerkzaamheden.
  den we in de VIC verschillende oordelen waaronder
  rechtmatigheid, getrouwheid, afwijkingen van het                   De risicoanalyse is het vertrekpunt voor de verdere
  provinciaal beleid maar ook administratieve afwijkingen.           uitvoering van de verbijzonderde interne controlewerkzaam-
  In dit onderdeel geven we daarmee weer, wat we                     heden. De risico’s zijn hierbij onderverdeeld in de getrouw-
  controleren, aan de hand van welk kader en als we een              heids- en rechtmatigheidscriteria.
  afwijking constateren wat het oordeel hierbij zou zijn
  (afwijking rechtmatigheid, getrouwheid, provinciaal beleid
  of administratieve afwijking).
3 Aanpak
  Tot slot de aanpak van de controle zoals hierboven
  gedefinieerd. Hierbij duiden we of het risico afwijkt van de
  algemene risico-inschatting van het proces1 en geven we
  aan hoe de controle wordt verricht (deelwaarneming,
  integrale beoordeling, data-analyse, etc.) met daarbij de
  omvang van de controle (scope analyse of aantal
  deelwaarnemingen).
Werkzaamheden:                                                       Werkzaamheden:
Op grond van de risicocontrolematrix (zoals hierboven                Voor het onderdeel aanbestedingen zijn afzonderlijke
genoemd) worden de werkzaamheden uitgevoerd.                         risicosessies belegd. Vanuit de regiefunctie vindt periodiek
Waar mogelijk wordt gebruik gemaakt van IC werkzaamhe-               afstemming met team inkoop plaats over de opvolging van
den waar de VIC gebruik van kan maken en anders voert de             verbetermaatregelen, het verloop van het proces en de
VIC hier zelf onderzoek naar uit.                                    uitkomsten van de door team inkoop uitgevoerde controles
                                                                     op de inkoopdossiers.
Vooralsnog worden de IC en VIC werkzaamheden in excel
vastgelegd gezien de flexibiliteit die dit biedt. In deze            Voor inkoop, personeel en subsidies is de afgestemde
excelbestanden is allereerst de opzet van de controle                risicoanalyse het vertrekpunt voor de uitvoering van de
beschreven om een lezer van het bestand wegwijs te maken             verbijzonderde interne controlewerkzaamheden. Met ingang
en de relevantie van alle tabbladen aan te tonen. Dit                van het boekjaar 2020 vindt de uitvoering van de gegevens-
bestand is rechtstreeks gelinkt aan de risicocontrolematrix          gerichte werkzaamheden van de VIC per kwartaal plaats
van het betreffende controleonderwerp om te voorkomen                voor de processen inkoop, personeel en subsidies. Indien
dat de controlewerkwaarheden te beperkt of te uitgebreid             op basis van de uitvoering nieuwe risico’s en of bevindingen
zijn. Alle controlewerkzaamheden zoals vastgelegd in het             worden geconstateerd wordt de controleaanpak hierop
excel bevatten een verwijzing naar onderliggende brondo-             aangepast.
cumentatie (uniek referentienummer in het documentma-
nagementsysteem) die is geraadpleegd en op basis waarvan
conclusies worden getrokken.
Deze excelbestanden (en onderliggende brondocumentatie)
worden integraal met de accountant gedeeld.




     1




 1   Per proces wordt het risico (laag, middel, hoog) in algemene zin geduid op basis van de financiële omvang, de complexiteit van de
     regelgeving, of het proces aan verandering onderhevig is, de kwaliteit en continuïteit van de medewerkers die bij het proces betrokken
     zijn en de ervaringen uit eerdere controles.




                                                                                             Vereniging van Nederlandse Gemeenten             23
</pre>

====================================================================== Einde pagina 23 =================================================================

<br><br>====================================================================== Pagina 24 ======================================================================

<pre>      Provincie Flevoland                                              Provincie Utrecht
     Rapporteren:                                                      Rapporteren:
     De uitkomsten van de controlewerkzaamheden worden in              De uitkomsten van de controlewerkzaamheden worden in
     een controleverslag samengevat.                                   een memorandum vastgelegd per proces. Deze worden
                                                                       afgestemd met de proceseigenaren.
     Gezien het karakter van de VIC waarbij zowel de accountant
     als de interne organisatie wordt bediend, kent de VIC ook         Tweemaal per jaar wordt een overkoepelend verslag
     een variatie aan bevindingen, te noemen; afwijkingen              opgesteld waarin de belangrijkste uitkomsten zijn weerge-
     rechtmatigheid, getrouw beeld, provinciaal beleid en              geven. De intentie is om het tussentijdse verslag te
     administratieve afwijkingen.                                      behandelen in het CMT en het eindverslag in GS.

     Bovengenoemde afwijkingen worden vooraf met de
     betrokken medewerkers en managers besproken in het
     kader van hoor en wederhoor. Elke bevinding in het
     controleverslag is daarbij opgebouwd uit vier onderdelen
     zoals hieronder weergegeven.


      Bevinding      Risico          Advies          Reactie
      Feitelijke     Mogelijk        Advies vanuit   Reactie van
      constatering   risico als      de VIC-func-    de verant-
                     gevolg van      tie om          woordelijke
                     de constate-    dergelijke      manager
                     ring            constatering    verkregen uit
                                     in de           het hoor en
                                     toekomst te     wederhoor.
                                     voorkomen.

     Naar hoor en wederhoor worden de bevindingen in de
     controleverslagen jaarlijks bij de directie aangeboden (wij
     zijn voornemens om vanaf 2020 deze verslagen ook bij het
     college aan te bieden).

     De directie wordt gevraagd kennis te nemen van de
     controleverslagen en de adviezen vast te stellen. De door de
     directie vastgestelde adviezen worden aangeboden bij de
     betreffende afdelingen met het verzoek op opvolging te
     geven aan deze aanbevelingen.

     In de voorgenomen aanpak wordt vanaf boekjaar 2020 een
     selectie van de bevindingen bij GS aangeboden. De reden
     dat het aantal bevindingen voor GS is beperkt, is omdat een
     deel van de bevindingen betrekking hebben op de
     bedrijfsvoering. De bedrijfsvoering is echter een aangele-
     genheid van de directie. De bevindingen die GS ontvangen
     zijn in eerste instantie de afwijkingen rechtmatigheid en de
     afwijkingen getrouw beeld. Deze bevindingen zijn voor GS
     relevant bij de verantwoording in de jaarrekening naar PS.
     Op basis van deze informatie kan GS zich in de jaarrekening
     over de rechtmatigheid verantwoorden.

     Daarnaast zijn we voornemens om GS afzonderlijk over de
     afwijkingen van het provinciaal beleid te rapporteren. Dit zijn
     namelijk die gevallen waarin de ambtelijke organisatie heeft
     afgeweken van de voorschriften van GS. Op deze wijze is GS
     in staat om bij te sturen of haar voorschriften te wijzigingen.

     Op grond van deze rapportagesystematiek wordt het
     management van de provincie gefaciliteerd in het continue
     optimaliseren van de bedrijfsvoering en is het college in
     staat om zich over de rechtmatigheid te verantwoorden en is
     de getrouwheid van deze verantwoording geborgd.




24   Vereniging van Nederlandse Gemeenten
</pre>

====================================================================== Einde pagina 24 =================================================================

<br><br>====================================================================== Pagina 25 ======================================================================

<pre>C Risicoanalyse gemeente
  Alkmaar




                    Vereniging van Nederlandse Gemeenten   25
</pre>

====================================================================== Einde pagina 25 =================================================================

<br><br>====================================================================== Pagina 26 ======================================================================

<pre>      D Control Framework gemeente
        Almere




26   Vereniging van Nederlandse Gemeenten
</pre>

====================================================================== Einde pagina 26 =================================================================

<br><br>====================================================================== Pagina 27 ======================================================================

<pre>E Scoping gemeente Almere
Scoping                                             LASTEN          BATEN         In scope VIC   Materieel
                                                   Realisatie     Realisatie
A01       Afvalopbrengsten                                 0      -3.864.138     ja              nee
B01       Belastingheffing                                 0     -87.404.088     ja              ja
B02       Belastinginvordering                        85.387       -923.773      nee             nee
B03       Belastingheffing overig                          0       -318.194      nee             nee
C01       Secretarieleges Burgerzaken                      0      -3.269.676     ja              nee
D01       Contractuele verhuur                             0     -12.979.883     ja              ja
D02       Grondverhuur                                     0      -2.484.651     nee             nee
D03       Medegebruik                                      0      -1.564.901     ja              nee
D04       Verhuur Sportaccommodaties                       0      -2.256.681     ja              nee
D05       Verhuur Overig                                   0      -2.699.402     nee             nee
E01       Grondverkoop - Niet GREX                         0       -323.847      nee             nee
E02       Kostenverhaal                                    0      -9.061.100     ja              ja
E03       Kadaster grondverkoop                            0       -126.919      nee             nee
E04       Anterieure overeenkomsten                        0              0      nee             nee
F01       Inkoop en aanbesteding Algemeen         181.362.786             0      ja              ja
F02       Belastingen - Lasten                      3.556.142             0      ja              nee
F03       Bijdragen Gemeenschappelijke Regeling    19.828.575      -145.318      ja              ja
F04       Bijdrage GR ACF                          26.158.516             0      ja              ja
F06J      Inkoop zorg Jeugd Stipter                29.743.298             0      ja              ja
F06JVJ    Inkoop zorg Jeugd Stipter VJ                -59.698             0      nee             nee
F06W      Inkoop zorg WMO Stipter                  25.141.450             0      ja              ja
F06WVJ    Inkoop zorg WMO Stipter VJ                  24.886              0      nee             nee
H01       Omgevingsvergunningen WABO                       0       -425.694      nee             nee
H02       Leges leidingen                                  0       -671.390      nee             nee
H03       Bouwleges                                        0      -8.900.565     ja              ja
H04       Marktgelden                                      0       -289.258      nee             nee
I02       Parkeeropbrengsten                               0     -14.852.051     ja              ja
I03       Parkeren Overig                                  0         -36.871     nee             nee
J01       Personeelskosten                        132.773.817        -69.890     ja              ja
J02       Ontvangen ZW gelden                        -741.642             0      nee             nee
J03       Opbrengst detachering                            0      -1.297.439     nee             nee
K01       Levensonderhoud GWS                      88.391.860    -90.058.029     ja              ja
K02       Participatie GWS                           773.579              0      ja              nee
L01       Algemene uitkering                               0    -404.747.860     nee             ja
L02       Subsidies - Baten                                0     -54.460.520     nee             ja
L03       Subsidies - Lasten                       69.006.017             0      ja              ja
L03E      Subsidies - Exploitatie                  13.880.084             0      ja              ja
L03NSUB Subsidies - Lasten niet SUBMOD              4.392.560             0      ja              nee
L03VJ     Subsidies - Lasten VJ                    -1.206.302             0      ja              nee
L03W      Subsidies - Woonlastenfonds                658.684              0      ja              nee




                                                                         Vereniging van Nederlandse Gemeenten   27
</pre>

====================================================================== Einde pagina 27 =================================================================

<br><br>====================================================================== Pagina 28 ======================================================================

<pre>       F Rechtmatigheid als onderdeel
         van risicomanagement
         (gemeente Amersfoort)
             De gemeente Amersfoort heeft bewust gekozen voor volwassenheidsniveau 3 bij de rechtmatigheids-
             verantwoording: een verantwoording gericht op de brede bedrijfsvoering. Zie paragraaf 4.1 ‘De recht-
             matigheidsverantwoording als groeimodel’.

             Deze bijlage gaat in op de Amersfoortse benadering: welke keuzes zijn gemaakt en welke lessen zijn te
             onderkennen?

     		 Eisen aan de interne organisatie
        Om intern tot een rechtmatigheidsverantwoording te komen, worden eisen aan de interne organisatie
        (administratieve organisatie en interne beheersing) gesteld. Hieronder is dit uitgewerkt volgens het
        PDCA-model.
              Fase                               Activiteit   Toelichting
              Doelen en normen expliciet maken   PLAN         Wat zijn de bronnen (welke wet- en regelgeving)? Wat zijn
                                                              de concrete vereisten (bepalingen)?
              Doorvertalen naar risico’s en      DO           Hoe kan vastgesteld worden dat voldaan is aan de
              beheersmaatregelen                              vereisten?
              Testen van de beheersmaatregelen   CHECK        Werken de beheersmaatregelen in de praktijk? Vast te
              (controls) door de gemeente zelf                stellen door 1e lijn (kwaliteitsmedewerkers), control (2e lijn)
                                                              en/of 3e lijn (Verbijzonderde Interne Controle).
              Over de uitkomsten rapporteren,    ACT          Wat zijn de resultaten uit de testfase? Hierover zelfstandig
              bijsturen en verantwoorden                      intern (namens management, directie, college) een oordeel
                                                              vormen. Moet bijgestuurd worden om aan de vereisten te
                                                              voldoen? Hoe ziet de verantwoording hierover eruit?

             Van belang is dat gemeenten expliciet aandacht besteden aan de inrichting van deze fasen voor zover
             die in de praktijk nog niet optimaal fungeert.

     		 Rechtmatigheidsverantwoording als opstap naar een breed risicomanagement raamwerk
        Bij veel gemeenten richt het risicomanagement zich alleen op het inventariseren van de financiële risi-
        co’s (weerstandsvermogen) en het op ad hoc basis uitvoeren van risicobeoordelingen van projecten
        of thema’s. De vereiste om door het college een rechtmatigheidsverantwoording op te laten stellen,
        kan helpen om binnen de gemeente aandacht te krijgen voor een bredere invulling en positionering
        van risicomanagement. Zoals gezegd hebben de managers een breed scala aan doelstellingen te reali-
        seren. Het brede risicomanagement raamwerk richt zich dan ook op al deze doelstellingen.
        Onder andere door (systematisch) voor alle afdelingen en projecten risicosessies uit te voeren voor alle
        type risico’s. Deze risicosessies leveren bouwstenen voor de door het management af te leggen verant-
        woordingen (waaronder rechtmatigheid). Oftewel: het management heeft inzicht in en verantwoordt
        zich over de mate waarin (alle) doelstellingen zijn gerealiseerd. Door dit ‘cascadegewijs’ in te richten
        kunnen ook de directie en college zich verantwoorden. Op deze manier sluit de rechtmatigheidsver-
        antwoording organisch aan op de inrichting van control en risicomanagement binnen de gemeente.

     		 Geleerde lessen breed risicomanagement raamwerk
        Voor de inrichting van het brede risicomanagement (control) raamwerk zijn bij het invullen en operatio-




28   Vereniging van Nederlandse Gemeenten
</pre>

====================================================================== Einde pagina 28 =================================================================

<br><br>====================================================================== Pagina 29 ======================================================================

<pre>        naliseren van de rechtmatigheidsverantwoording een aantal geleerde lessen te onderkennen.


         Onderwerp                            Geleerde lessen
        Breed risicomanagement raamwerk       • Leg expliciet in het (risicomanagement)beleid vast dat het manage-
        breed binnen de gemeente positio-       ment, directie en college zich verantwoorden over rechtmatigheid (en
        neren                                   andere doelstellingen)
                                              • Visualiseer de brede context van risicomanagement: relatie tussen
                                                type risico’s (onder andere rechtmatigheid) en organisatie-onderdelen
                                                (afdelingen en projecten). Gebruik dit als communicatiemiddel
                                                (‘praatplaat’) met managers en directie.
                                              • De collega’s van Financiën & Risk faciliteren pro actief het manage-
                                                ment, directie, college en raad om het beleid en dus ook de rechtma-
                                                tigheidsverantwoording te operationaliseren.
        Fase: Doelen en normen expliciet      • Koppel de jaarrekeningposten aan processen: maak de financiële
        maken                                   stromen inzichtelijk. Bepaal per financiële stroom de wettelijke
                                                vereisten (normen)
        Fase: Doorvertalen naar risico’s en   • Bepaal hoe de normen vertaald worden in de werkwijze/ processen.
        beheersmaatregelen                    • Formuleer de risico’s en beheersmaatregelen
        Fase: Testen van de beheersmaatre-    • Stem de aanpak van de verschillende testwerkzaamheden op elkaar
        gelen (controls) door de gemeente       af. Denk aan kwaliteitsmedewerkers (1e lijn) en Verbijzonderde Interne
        zelf                                    Controle (VIC).
                                              • Laat de VIC ook posten beoordelen die door de 1e lijn zijn getest. Dit
                                                draagt bij aan de kwaliteitsverbetering breed binnen de gemeente.
        Fase: Over de uitkomsten van het      • Gebruik voor het verantwoorden binnen de hele gemeente een voor
        testen rapporteren, bijsturen en        het management toegankelijk en herkenbaar format.
        verantwoorden                         • Betrek het management bij het bepalen van het format voor de
                                                rechtmatigheidsverantwoording. Bij voorkeur met managers die
                                                affiniteit hebben met control en dit intrinsiek belangrijk vinden. Deze
                                                managers zijn de ‘ambassadeurs’ en vertellen het de andere mana-
                                                gers. Werk het uit in pilotvorm.
                                              • Beperk de rechtmatigheidsverantwoording tot de kernrisico’s en
                                                kernbeheersmaatregelen.
                                              • Voorkom vaktechnisch (financieel/risk) jargon in de rechtmatigheids-
                                                verantwoording.
                                              • Bouw de rechtmatigheidsverantwoording door het college ‘cascade-
                                                gewijs’ op: als resultante van de individuele, onderliggende verant-
                                                woordingen per afdeling (door de managers). Overweeg of ook een
                                                verantwoording op directie/gemeentesecretaris-niveau relevant is.


		 Risicosessies: een belangrijke pijler van het brede risicomanagement
   Risicosessies zijn een belangrijke pijler van het beleid risicomanagement binnen de gemeente en een
   belangrijke bouwsteen voor de rechtmatigheidsverantwoording. Tijdens een risicosessie worden de
   belangrijkste risico’s voor een onderdeel (afdeling of project) geïnventariseerd en geprioriteerd.
   De deelnemers zijn in staat om de afdeling of project breed te spiegelen op alle type risico’s, waaron-
   der rechtmatigheid.

        Het uitgangspunt is dat alle afdelingen en projecten periodiek een risicosessie houden.

        De keuzes over frequentie, reikwijdte en type risicosessie zijn afhankelijk van de relevantie, de omvang
        en/of het risicoprofiel van de afdeling. Ook de keuze van de deelnemers en mate van documentatie
        van de uitkomsten kan verschillen. Eventueel kan worden volstaan met een korte actualisatie van het
        aanwezige risicoprofiel. Een andere optie is dat wordt volstaan met het bespreken van de risico’s
        (managementdialoog). De overwegingen die ten grondslag liggen aan de gemaakte keuzes dienen
        expliciet gemaakt te worden.

        De gemeente kiest bewust voor het begeleiden van de risicosessies door medewerkers breed binnen
        de gemeente. Hierdoor is bewustwording en kennis van risicomanagement breder binnen de
        gemeente verspreid. De risicosessies hebben een cyclisch karakter. Het uitgangspunt is om deze




                                                                                Vereniging van Nederlandse Gemeenten      29
</pre>

====================================================================== Einde pagina 29 =================================================================

<br><br>====================================================================== Pagina 30 ======================================================================

<pre>             minimaal eenmaal per jaar te houden. Ook binnen de directie en het college van B&W worden tenmin-
             ste jaarlijks een risicosessie gehouden. Deze hebben meer de insteek om te reflecteren op de effectivi-
             teit van het risicomanagement en stil te staan bij een overview van de gemeentelijke toprisico’s.

             Risicosessies dragen nadrukkelijk bij aan het lerend vermogen van de organisatie. De risicoprofielen en
             de geleerde lessen worden transparant en breed gecommuniceerd.

     		 Geleerde lessen risicosessies
              Onderwerp                             Geleerde lessen
              Risicosessies op de agenda van        • Sluit zo dicht mogelijk aan op de belevingswereld van de managers: welke risico’s
              management en directie                  kunnen het realiseren van – alle – doelstellingen (in de breedte) van de manager
                                                      negatief beïnvloeden?
                                                    • Neem het – dwingend – uitvoeren van risicosessies (voor elke afdeling en project)
                                                      op als pijler in het beleid risicomanagement.
                                                    • Laat managers met affiniteit met risicosessies fungeren als ‘ambassadeur’ in de
                                                      organisatie.
              Relevantie voor rechtmatigheidsver-   • Risicosessies creëren bewustzijn voor ‘in control’, dus ook voor de rechtmatig-
              antwoording                             heidsverantwoording.
                                                    • Koppel de uitkomsten van de risicosessies expliciet aan de andere elementen
                                                      (bronnen) van de rechtmatigheidsverantwoording.
                                                    • Tijdens een afdelingsbrede of projectbrede risicosessie zullen de belangrijkste
                                                      risico’s op tafel komen. Wees je bewust dat dit –waarschijnlijk- voor rechtmatigheid
                                                      maar een beperkt deel van de scope afdekt.
                                                    • In een risicosessie kan extra aandacht gevraagd worden voor het aspect rechtma-
                                                      tigheid, eventueel in de vorm van een ‘special’.
              Praktische uitvoering                 • Koppel het periodiek inventariseren van de financiële risico’s (weerstandsvermogen
                                                      voor Begroting en Jaarrekening) aan het uitvoeren van risicosessies.
                                                    • Zorg dat de deelnemers van de risicosessie de afdeling/project goed kunnen
                                                      spiegelen op alle type risico’s.




30   Vereniging van Nederlandse Gemeenten
</pre>

====================================================================== Einde pagina 30 =================================================================

<br><br>====================================================================== Pagina 31 ======================================================================

<pre>G Tekst rechtmatigheidsverant-
  woording commissie BBV




                     Vereniging van Nederlandse Gemeenten   31
</pre>

====================================================================== Einde pagina 31 =================================================================

<br><br>====================================================================== Pagina 32 ======================================================================

<pre>     H Digitalisering van de audit
             De technologische hulpmiddelen die door gemeenten gebruikt worden, hebben onder meer impact
             op de manier waarop (verbijzonderde) interne controles kunnen worden uitgevoerd. Het doel van de
             interne controle verandert niet, maar wel de samenstelling van de controlemiddelen. De rechtmatig-
             heidsverantwoording is een mooie kans om na te denken hoe met digitalisering de interne controle
             kan verbeteren. Met de introductie van de rechtmatigheidsverantwoording staat (verbijzonderde)
             interne controle meer dan ooit in de belangstelling. Digitalisering heeft als doel de interne controle
             efficiënter en effectiever te maken en bij de uitvoering ervan de organisatie zo min mogelijk te belas-
             ten. Even een waarschuwing vooraf, wie digitalisering alleen als kostenbesparing ziet, komt bedrogen
             uit. De inzet van technologische hulpmiddelen is relatief complex en vraagt tijd, aandacht en specifieke
             kennis, maar leidt wel tot een grotere toegevoegde waarde en daarmee een significante bijdrage aan
             de interne beheersing.

             Om niet te verdrinken in begrippen als data-analyse, tekst-mining, processmining en robotisering zijn
             een aantal stappen geformuleerd om met digitalisering van de interne controle aan de slag te gaan.
             Iedere lange mars begint met een eerste stap, daarin verschilt digitalisering niet van de interne con-
             trole. De gepresenteerde aanpak is mede gebaseerd op de ervaringen binnen de gemeente Utrecht.


              Stap                Toelichting
              Experimenteren en   Maak tijd en ruimte om te oriënteren en te verkennen welke technische hulpmiddelen
              oriënteren          allemaal beschikbaar zijn. Veel interne controle-afdelingen zullen een nieuwe wereld binnen
                                  gaan. Ook een wereld met een eigen jargon! Net als de wereld van audit een eigen jargon
                                  heeft. Het kost wat tijd om elkaars taal te leren en thuis te raken in de materie. Zonder
                                  volledig te zijn kan grofweg de volgende indeling aan tools worden gemaakt:
                                  • Risicomanagement: diverse tools zijn beschikbaar om het risicomanagementproces te
                                      ondersteunen. Veel gemeenten hebben bij het bepalen van het weerstandsvermogen al
                                      ervaring met risicomanagement opgedaan en daarbij gebruik gemaakt van tools. Op de
                                      markt zijn tools beschikbaar voor gedefinieerde (proces)risico’s en beheersmaatregelen.
                                      Dit voorkomt dat steeds het wiel opnieuw moet worden uitgevonden. Gemeenten hebben
                                      gelijksoortige processen en kunnen hier hun voordeel mee doen.
                                  • Data-analyse: Data-analyse kent inmiddels vele verschijningsvormen. De eenvoudigste is
                                      analyses uitgevoerd met Excel, die overigens zeer effectief kunnen zijn. Meer complexe
                                      tools zijn in staat analyses op (semi-)gestructureerde en ongestructureerde data uit te
                                      voeren. Een voorbeeld van semigestructureerde data zijn inkoopfacturen; op iedere
                                      factuur staat min of meer dezelfde informatie, alleen de lay-out verschilt. Verder zijn er
                                      tools die gestructureerde data (tabellen in database) en ongestructureerde data (tekst in
                                      Word, pdf, en fotomateriaal) met elkaar in verband brengen. Voor de ongestructureerde
                                      data wordt een ontologie gebaald, m.a.w. worden zoektermen (inclusief synoniemen)
                                      gedefinieerd om de analyse uit te voeren.
                                  • Processmining: Processmining houdt in dat de logbestanden van een informatiesysteem,
                                      bijvoorbeeld een zaaksysteem, geanalyseerd worden. Zo wordt inzichtelijk wie op welk
                                      moment handelingen heeft uitgevoerd. Dit geeft mogelijk een beeld in hoeverre interne
                                      controle maatregelen als functiescheidingen worden nageleefd en het voorkomen van
                                      afwijkingen in processen
                                  • Robotic Process Automation (RPA): Tijdens interne controles voeren auditors relatief
                                      veel eenvoudige maar tijdrovende (administratieve) handelingen uit. Te denken valt aan
                                      het documenteren van controlebevindingen. RPA kan worden toegepast op processen die
                                      altijd dezelfde set aan regels volgen, zogenoemde ‘‘rule-based processen’’. Op dit soort
                                      processen kan het ‘‘als-dan’’-principe worden toegepast: de robot weet hoe hij moet
                                      handelen in een bepaalde situatie. Kent hij de situatie niet dan kan hij ook niet handelen.
                                  • Audit ondersteunende tools: Tenslotte zijn er diverse tools beschikbaar om de interne
                                      controles te structureren en met de organisatie te delen. Koppelen van bevindingen aan
                                      risico’s en beheersmaatregelen geeft een goed beeld van wat er nog te doen is en waar
                                      prioriteiten moeten worden gelegd.




32   Vereniging van Nederlandse Gemeenten
</pre>

====================================================================== Einde pagina 32 =================================================================

<br><br>====================================================================== Pagina 33 ======================================================================

<pre>Stap                   Toelichting
                      Het inwinnen van advies en het brengen van bezoeken aan gemeenten die de eerste stappen
                      al hebben gezet, geeft een beeld van de (on)mogelijkheden en samen optrekken werkt
                      inspirerend. Ook het zelf experimenteren geeft zicht op wat er mogelijk is en wat de
                      toegevoegde waarde voor de gemeente kan zijn. Aan de slag gaan maakt het concreet en
                      geeft perspectief aan wat nodig is om de toepassing tot een succes te maken. En natuurlijk is
                      niets leuker dan een eerste succes te boeken!
                      Volledigheid van de havengelden. De gemeente Utrecht heeft de vijfde grootste binnenha-
                      ven van Nederland. In de havens voor zowel beroepsvaart als recreatievaart meren jaarlijks
                      vele duizenden schepen aan. Op bepaalde uren van de dag is liggeld verschuldigd.
                      Concernaudit was benieuwd of nagegaan kon worden of al het verschuldigde liggeld
                      daadwerkelijk betaald was. Zou er data beschikbaar zijn aan de hand waarvan dit gecontro-
                      leerd kon worden? Met deze vraag zijn we aan de slag gegaan en we hebben meerdere
                      websites gevonden waarop schepen gevolgd kunnen worden. We hebben data verkregen en
                      gekoppeld aan de gemeentelijke administratie. Dat was allemaal goed te doen en leverde
                      verrassende resultaten op. Was dit een trouvaille? Of is dit slechts het begin wat mogelijk is?
Structureren en aan Met een eerste succes ontstaat vanzelf het nodige enthousiasme om door te gaan. Toch is
de slag             het goed dan even pas op de plaats te maken om een plan van aanpak voor het vervolg op
                    te stellen. Een gestructureerde aanpak met kleine stappen leidt in het algemeen tot het
                    beste resultaat. Het voordeel van kleine stappen is dat het overzichtelijk blijft en bij succes is
                    ieder keer weer wat te vieren.

                      Maak in het plan van aanpak helder wat de doelen zijn en wat mag worden verwacht. Doelen
                      kunnen zijn:
                      • Efficiency vergroten: repeterend en tijdrovend werk wordt geautomatiseerd. Probeer in
                         te schatten wat de winst in het tijdsbeslag voor de controle is en wat de bijdrage aan
                         kwaliteitsverbetering verbetering is.
                      • Dekkingsgraad verhogen: een voordeel van 100% controles is dat alle fouten en
                         onzekerheden gezien worden. In plaats van een steekproef van bevindingen, wordt de
                         totale massa op een doelmatige manier in een controle betrokken. Bij de uitkomsten van
                         steekproeven is discussie over de betrouwbaarheid en bestaat de neiging zaken als
                         incident of toevalstreffer af te doen.
                      • Nauwkeurigheid verbeteren: bij het uitvoeren van interne controles behoren menselijke
                         fouten als leesfouten, schrijffouten, rekenfouten en subjectiviteit bij beoordelingen tot het
                         verleden. Na de ontwikkelfase van de software of analysetools, is er zekerheid over de
                         wijze waarop de beoordeling plaatsvindt.
                      • Single audit: waar digitale controles ingericht zijn, wordt slechts één controle uitgevoerd.
                         De resultaten, gebruikte software, koppelingen, methoden en technieken staan open voor
                         reviews van andere partijen die gebruik willen maken van de digitale controle-informatie.
                      Voorafgaand aan het bepalen van de reikwijdte van plan van aanpak is het raadzaam
                      randvoorwaarden (voor het toepassen van digitalisering te definiëren. Deze randvoorwaar-
                      den kunnen bijvoorbeeld zijn: juistheid en betrouwbaarheid van gebruikers (toegang) en de
                      aan hen toegekende rechten, bevoegdheden, autorisaties. Zo kunnen harde ingebouwde
                      functiescheidingen in systemen en applicaties worden gecontroleerd. Dit helpt bij het
                      prioriteren van interne controles die het eerste voor digitalisering in aanmerking komen.
                      Randvoorwaarden waaraan kan worden gedacht zijn:
                      • digitale opslag: toetsing van de normen moet in een digitaal systeem uitgevoerd kunnen
                         worden;
                      • uniformiteit: het is duidelijk welke aspecten getoetst moeten worden, waar die te vinden
                         zijn en op eenduidige wijze zijn vastgelegd;
                      • repeterend: terugkerende werkzaamheden.

                      In combinatie met een analyse van de omvang van de geldstromen kunnen keuzen worden
                      gemaakt en prioriteiten worden gesteld. Digitalisering is met name zinnig als sprake is van
                      een substantieel financieel belang en een groot aantal transacties.




                                                                            Vereniging van Nederlandse Gemeenten         33
</pre>

====================================================================== Einde pagina 33 =================================================================

<br><br>====================================================================== Pagina 34 ======================================================================

<pre>              Stap                 Toelichting
                                   Kies voor een aanpak en deelplan per financiële stroom, immers iedere geldstroom kent zijn
                                   eigen controledoelen, normenkader en uitgangspunten. Maatwerk voor elke geldstroom
                                   moet leiden tot de meest effectieve weg om de controledoelen te bereiken. Om controles te
                                   kunnen digitaliseren kunnen er koppelingen gemaakt worden tussen (delen van) informatie-
                                   systemen, ‘datalakes’ ingericht worden of analyses naar de informatiesystemen gebracht
                                   worden. En zoals eerder gezegd, definieer kleine stappen, het houdt het overzichtelijk en
                                   succes geeft energie. Bedenk bij het maatwerk goed aan welke fase van de interne controle
                                   de oplossing moet bijdragen. Hoewel NBA-handreiking 1141 ‘Data-analyse bij de controle:
                                   uitdagingen en vooral kansen’ voor accountants is geschreven laat het mooi zien hoe
                                   digitalisering en data-analyse kan worden ingebed in de planning, risico-analyse, de
                                   toepassing bij het toetsen van interne beheersmaatregelen en bij het doen van gegevensge-
                                   richte werkzaamheden.

                                   Bij ieder (deel)project is het besteden van aandacht aan informatiebeveiliging én privacy
                                   een ‘must’. Door van meet af aan de verantwoordelijke voor informatiebeveiliging te
                                   betrekken worden missers voorkomen. Realiseer dat in veel systemen privacygevoelige en
                                   vertrouwelijke data zijn opgeslagen. Direct hier de goede maatregelen nemen voorkomt
                                   teleurstelling als na een inspannende ontwikkelfase om deze redenen niet in productie kan
                                   worden gegaan. Door direct de goede maatregelen te nemen, voorkomt u teleurstelling. Het
                                   zou zonde zijn als de productie hierdoor niet door kan gaan na een inspannende ontwikkelfa-
                                   se.

                                   Tot slot, besteed aandacht aan een goede projectgovernance en zoek verbinding met de
                                   belangrijkste stakeholders.
              Evalueren en         Evalueren wat is bereikt, wat de knelpunten waren, wat nodig is om de vervolgstappen te
              continu verbeteren   zetten en wat de ontwikkelingen binnen en buiten de gemeente zijn. Het zijn de ingrediënten
                                   om periodiek (jaarlijks) het plan van aanpak bij te stellen en nieuwe doelen te formuleren.
                                   Door te weten wat er speelt en aansluiting bij nieuwe technologische ontwikkelingen binnen
                                   te zoeken kan met eisen en wensen uit oogpunt van digitalisering van de audit rekening
                                   worden gehouden.




34   Vereniging van Nederlandse Gemeenten
</pre>

====================================================================== Einde pagina 34 =================================================================

<br><br>====================================================================== Pagina 35 ======================================================================

<pre>Vereniging van Nederlandse Gemeenten   35
</pre>

====================================================================== Einde pagina 35 =================================================================

<br><br>====================================================================== Pagina 36 ======================================================================

<pre>         Vereniging van
Nederlandse Gemeenten

          Nassaulaan 12
      2514 JS Den Haag
        +31 70 373 83 93
             info@vng.nl

           oktober 2020



               vng.nl
</pre>

====================================================================== Einde pagina 36 =================================================================

<br><br>