Bevindingen

In de Q2 rapportage wordt verantwoording afgelegd over doelen, prestaties en budgetten zoals vastgelegd in de verschillende programma's uit de MPB 2024. De paragraaf interne beheersing beoogt - conform de doelstelling uit de kadernota interne beheersing en rechtmatigheid uit 2023 - een doorontwikkeling van governance ('hoe bereikt de organisatie haar doelen') vast te stellen, risico's ('identificeren, beoordelen en beheersen') te managen, en complicance ('voldoen aan wet- en regelgeving') aan te tonen (via bijv. auditing). Daarmee is deze paragraaf een aanvulling op die verantwoording over doelen, prestaties en budgetten. Dat is nu nog geen uitgelijnd geheel.

Verbijzonderde interne controle
In de jaarrekening 2023 is een rechtmatigheidsverantwoording opgenomen. Dit in de vorm van een verklaring en een nadere toelichting in de paragraaf bedrijfsvoering. Het opstellen van de jaarrekening is de belangrijkste activiteit in de Q1-periode. De uitvoering van het werkplan 2024 van de vakgroep verbijzonderde interne controle start feitelijk pas mei (Q2). Daarom zijn er nu vrijwel geen actuele bevindingen.
In het boekjaar 2023 zijn onrechtmatigheden opgetekend betreffende (o.a.) aanbestedingen. De onrechtmatige bestedingen bedroegen € 8 miljoen. Bevindingen hadden betrekking op de procedure, contractwaarde, looptijd en/of feitelijke spend (bestedingen) van contracten. Deze bevindingen lopen mogelijk door in 2024. Daarom is het zaak dit te monitoren zodat actie wordt ondernomen. De VIC bespreekt de bevindingen actief met de inkoopadviseurs.
De onrechtmatige bevindingen zijn daarom t/m Q2 'doorgetrokken' naar 2024. Met als resultaat dat er nu voor € 1,7 miljoen aan onrechtmatige bestedingen is. Daarvan is eerder beoordeeld € 450.000 aan bestedingen 'gefixeerd' is en waarschijnlijk niet verder oploopt omdat geen kosten meer zijn geboekt of bijvoorbeeld het contract is beëindigd/vernieuwd. Voor het beëindigen/wijzigen van de overige bestedingen is actie van de vakafdeling nodig in samenwerking met de inkoopadviseurs. Het beëindigen/vernieuwen/wijzigen van contracten kost tijd en betekent dat kosten (in dit geval onrechtmatige bestedingen) oplopen. Voor bijvoorbeeld woningaanpassingen is onderkend dat een nieuwe aanbesteding nodig is, die naar verwachting eind 2024 gereed is. Tot die tijd zijn deze bestedingen - noodzakelijk geachte woningaanpassingen - onrechtmatig en kunnen mogelijk oplopen naar een bedrag tussen de € 400.000 en € 500.000. Dit is onderdeel van genoemde € 1,7 miljoen. Deze info is niet gewijzigd t.o.v. Q1.
Voor wat betreft nieuwe aanbestedingen 2024 zijn de werkzaamheden vanuit de VIC gestart na afronding van de accountantscontrole. Het is nog te vroeg voor concrete bevindingen. Indien nodig volgt een separate mededeling buiten de reguliere p&c-cyclus om.
De overige tot dusver verrichte en onderhanden werkzaamheden laten zich als volgt samenvatten:

1. Lasten Memorialen
   Het VIC-plan Memorialen 2024 is in concept gereed. De lijncontrole is onderhanden, en deels uitgevoerd. Afronding van de lijncontrole en het VIC-plan vinden in juli plaats.
   Het zwaartepunt van de werkzaamheden VIC-memorialen ligt bij de risico-analyse op basis waarvan een selectie van te toetsen memorialen wordt bepaald. De risico-analyse betreft het ‘afpellen’ van de geboekte memorialen op risicovolle niet-routinematige boekingen. De risico-analyse over het eerste half jaar van 2024 wordt in juli afgerond. Bij de analyse worden ook twee aanvullende criteria betrokken met het oog op de toetsing in kader van M&O-beleid.
2. Lasten Participatiewet
   Het VIC-plan PW 2024 is concept gereed (scoping en actualisatie normenkader relevante regelgeving). Het procesgesprek en VIC-plan wordt in juli afgerond.
   Er wordt in kader van de VIC-Participatiewet geen lijncontrole gedaan. De Participatiewet is voor de Gemeenten Apeldoorn, Brummen en Epe getoetst voor de maanden januari tot en met april, waarvan de rapportage per gemeente is voorgelegd aan de vakafdeling. De reactie van de vakafdeling op de controlebevindingen, indien van toepassing, is ontvangen. De toetsing van de maand mei voor genoemde gemeenten is onderhanden.
3. Balans Grondexploitatie
   Het procesgesprek VIC-grondexploitatie is gepland in juli. In voorbereiding hierop is de scoping reeds uitgevoerd. Daarnaast is informatie opgevraagd inzake de financiële omvang 2024 van het faciliterend grondbeleid om te bepalen of dit proces voor 2024 wel/niet een materiële omvang heeft. De daadwerkelijke toetsing grondaan- en verkopen over het eerste half jaar staat regulier gepland voor de zomerperiode. De selectie van de te toetsen dossiers is gemaakt en de onderliggende stukken zijn opgevraagd en ontvangen.
4. Balans Eigen vermogen
   Deze werkzaamheden vinden vooral plaats bij de jaarrekening en in de periode bij de derde kwartaalafsluiting. Onderdeel hiervan is de check op de besluitvorming van mutaties in de reserves.
5. Ontvangen subsidies (onderdeel SiSa)
   In het kader van de voorbereiding op SiSa 2024 is een notitie met een verbeter- en ontwikkelplan opgesteld gebaseerd op leerpunten 2023. Deze ligt momenteel ter afstemming voor binnen de afdeling Financiën en Control. Daarnaast heeft de inventarisatie plaatsgevonden van de actuele SiSa-regelingen 2024 inclusief de ambtelijke aanspreekpunten hiervoor.
6. Lasten Lonen en salarissen
   Lijncontrole en controle op salarismutaties over de eerste 4 maanden zijn afgerond. Hieruit zijn geen bevindingen gekomen. Het procesgesprek volgt na de zomervakantie. Dit heeft geen gevolgen voor de uitvoering van de planning met betrekking tot de controles.
7. Lasten Huren en pachten
   Deze controles starten volgens planning in Q3.

Dit 'inkijkje' in werkzaamheden is niet volledig. We werken toe naar een duidelijker planning en verantwoording zodat ook de leercyclus verbetert.

Informatiebeheer en informatievoorziening
Conform de verordening informatiebeheer wordt eens in de twee jaar verslag uitgebracht aan het college over het beheer van de archiefbewaarplaats en over het toezicht op de informatiehuishouding van de gemeente Apeldoorn. Het jaarverslag 2020-2021 werd in 2022 uitgebracht. Naar verwachting volgt een nieuw jaarverslag in 2024.
De Wet open overheid (Woo) kent een aantal verplichtingen:

• Actieve openbaarmakingsplicht: de overheid moet sommige informatie uit zichzelf  openbaar maken;
• Openbaarmakingsplicht op verzoek: de overheid maakt informatie openbaar als iemand erom vraagt;
• Informatiehuishoudingsplicht: overheidsinformatie moet goed te vinden zijn.

In 2023 is een plan opgesteld voor actieve openbaarmaking met diverse (in totaal 10) mijlpalen. De realisatie loopt in de pas met deze planning (mijlpalen). 7 van de 10 mijlpalen zijn bereikt.
In 2023 is het proces passieve openbaarmaking (openbaarmaking op verzoek) ingericht. In de kern is dat grotendeels gelijk aan de vroegere Wet openbaarheid van bestuur. De verdere voortgang zal ook hier gemonitord worden.

De Archiefwet en de Wet open overheid (Woo) stellen beiden dat de overheidsinformatie in goede, geordende en toegankelijke staat moet verkeren. Daarover zijn de volgende prestatieafspraken gemaakt:

1. Per proces is er een informatiebeheerplan waarin we aan de hand van de in het plan aangegeven normen onze verbetermaatregelen vastleggen en monitoren. De focus ligt op 12 kritieke processen en processen m.b.t. de Wet open overheid;
2. Er is geïnventariseerd welke beheershandelingen in het informatiebeheer verbetering behoeven;
3. Bekend is wat de ontwikkelbehoefte is van medewerkers om de digitale vaardigheid te vergroten;
4. de verbetermaatregelen zijn uitgevoerd, waaronder het inhalen van achterstand in de archivering.

Bij de implementatie van de Woo wordt in 2024 verder gewerkt aan realisatie van deze prestaties. De bevindingen zijn:

• er wordt nog niet gewerkt met informatiebeheerplannen;
• de inventarisatie van verbetering binnen werkprocessen loopt;
• voor de ontwikkelbehoefte en ondersteuning, wordt een ondersteuningseenheid ingericht;
• het wegwerken van achterstanden in de digitale archivering vindt nog niet overal plaats.

De risico’s van onvoldoende informatiebeheer blijven aanwezig, zolang er verbetermaatregelen nog niet volledig zijn doorgevoerd:

• verminderde betrouwbaarheid van informatie met kans op niet juiste beslissingen;
• de rechtspositie van gemeente, inwoners en bedrijven kan moeilijk worden geduid, omdat informatie niet goed toegankelijk en niet voor alle belanghebbenden direct beschikbaar is;
• datalekken als gevolg van onvoldoende informatiebeheer zijn mogelijk;
• de bedrijfsvoering frustreert door inefficiënt zoekwerk.

Begrotingsrechtmatigheid
Met betrekking tot de begrotingsrechtmatigheid spelen specifiek twee aandachtspunten: de aanpassing van de financiële verordening en een reflectie op de methodiek van begrotingswijzigingen. Deze lichten we hieronder toe. Deze aandachtspunten zijn mede opvolging van het advies van de accountant in het accountantsverslag bij de jaarrekening 2023.

Financiële verordening
De gemeente Apeldoorn heeft in voorbereiding op de rechtmatigheidsverantwoording relatief vroeg in 2023 de financiële verordening hierop aangepast. Als gevolg hiervan zijn de nadere specificeringen van de commissie BBV per november 2023 niet (expliciet) meegenomen in de verordening. Dit betreft specifiek de begrippen tijdig informeren en welke begrotingsonrechtmatigheden toch acceptabel zijn.  
De financiële verordening zal hierop in 2024 worden aangepast. Wij zullen dit doen, zodra de BBV en de notitie rechtmatigheidsverantwoording van de Commissie Bedrijfsvoering en Auditing Decentrale Overheden (Bado) definitief zijn aangepast. Wij verwachten de verordening in november / december aan de Raad voor te kunnen leggen.

Methodiek van begrotingswijzigingen
Gemeente Apeldoorn heeft ervoor gekozen om in beginsel het aantal begrotingswijzigingen te beperken, om op deze manier een zo goed mogelijk beeld te krijgen van afwijkingen ten opzichte van de primaire begroting.
De jaarrekening 2023 laat echter net als voorgaande jaren een groot positief saldo zien. Dit wordt veroorzaakt door met name incidentele gelden, waarbij moet worden gedacht aan de Algemene Uitkering en de vergoeding voor de opvang van ontheemde Oekraïners. Deze bedragen worden via het jaarrekeningresultaat toegevoegd aan de algemene reserve. Wij zijn voornemens om met ingang van 2024 deze ontvangen bedragen via tussentijdse begrotingswijzigingen, voor zover daar nog geen besteding voor is, toe te voegen aan de algemene reserve. Op deze manier voorkomen we dat deze grote, en soms laat in het jaar ontvangen, bedragen onevenredig het jaarrekeningresultaat bepalen.

Informatiebeveiliging
Alle rapporten en documenten in het kader van het verticale ENSIA-verantwoordingstraject zijn aangeboden aan de landelijke toezichthouders. Daarmee heeft de gemeente Apeldoorn voldaan aan de verplichting om uiterlijk 30 april de documenten over het jaar 2023 aan te leveren. Het betreft de verantwoording over de beveiliging en datakwaliteit van:

• De Basisregistratie Adressen en Gebouwen (BAG)
• De Basisregistratie Grootschalige Topografie (BGT)
• De Basisregistratie Ondergrond (BRO)
• De Basisregistratie Personen (BRP)
• Reisdocumenten
• De zes DigiD-aansluitingen die in gebruik zijn
• Het gebruik van Suwinet (een IT-voorziening waarmee het UWV, de SVB en gemeenten op een veilige en snelle manier gegevens met elkaar kunnen delen en van elkaar kunnen inzien).

Een totaal beeld van de uitkomsten van het ENSIA-verantwoordingstraject over 2023 is opgenomen in het ‘Jaarverslag Informatiebeveiliging 2023’. Dit jaarverslag is vastgesteld in het college(26 maart 2024) en is aangeboden aan en besproken in een PMA met de gemeenteraad. Dit jaarverslag heeft de status ‘niet openbaar’.
Uit het ENSIA-traject over 2023 zijn een aantal bevindingen gekomen waarmee we aan de slag gaan. Verder is een jaarplan informatiebeveiliging vastgesteld door het college (26 maart 2024). Deze heeft de status niet-openbaar. De vijf speerpunten dit jaar zijn de vijf modulen die de VNG/Informatiebeveiligingsdienst aanreikt om de digitale weerbaarheid van een gemeente te verhogen.
Het team van security officers is sinds augustus 2024 uitgebreid en nu compleet (5 fte). In de praktijk zien we dat de afdelingen veel beter ondersteund worden bij vraagstukken die beveiliging raken en dat we voor wat betreft bewustwording rond veilig werken nu toegroeien richting een meer volwassen jaarlijkse awarenesscampagne. Ook ontstaat er nu meer ruimte voor het opstellen van nog ontbrekende kaders.
We constateren dat jaarlijks de omvang van de verplichte controles en verantwoordingstrajecten toeneemt waar gemeenten mee te maken hebben, ook voor wat betreft beveiliging gerelateerde trajecten. Een substantieel deel van de capaciteit van het security team, maar ook van de betrokken medewerkers uit de organisatie is nodig om aan deze verplichte trajecten te kunnen voldoen. Dit is een zorgpunt, dat vanuit de Concern Information Security Officer (CISO) zowel binnen de organisatie gedeeld is, als ook extern gedeeld is met de VNG en BZK.

Privacy/gegevensbescherming
Inmiddels zijn voor de rol Privacy Officer en projectleider DPIA’s externen ingeschakeld. Voor de DPIA’s zijn de procedure en bijbehorende formats vastgesteld. Daarnaast zijn een aantal DPIA’s al opgestart, heeft de FG DPIA’s voorgelegd gekregen om te beoordelen en zijn diverse DPIA’s ingepland. Op het gebied DPIA’s is dan ook een zichtbare vooruitgang. Ook de Privacy Officers zijn zichtbaar bezig. De afgelopen periode is vooral veel tijd besteed aan het afhandelen van inzageverzoeken, dit heeft veel tijd gekost. Wat duidelijk maakt dat hierin een ander proces gevonden moet worden, waarbij de privacy officers meer in een adviserende functie komen in plaats van een uitvoerende. Ook zijn door de privacy officers twee workshops gegeven over het uitvoeren van DPIA’s. Een derde workshop is gepland.
Een aandachtspunt is de voortgang in het dossier Wpg. Naar aanleiding van de tegenvallende resultaten op de heraudit is een gesprek geweest met de Autoriteit Persoonsgegevens, waarin zij uitgesproken hebben dat zij verbetering verwachten te zien in de eerstvolgende audit. Dit is een dossier waarin nog veel verbeteracties uitgevoerd moeten worden, waarbij de ondersteuning vanuit privacy belangrijk is. Op dit moment kan deze niet geleverd worden en is besloten om extern een expert op het gebied van de Wpg in te huren. Een stuurgroep en werkgroep worden opgezet. De FG gaat toezicht houden op de voortgang van verbeteracties via de stuurgroep. In het derde kwartaal moeten hier zichtbare verbeteringen zijn.

Concerncontrol
In de Q2-periode is het onderzoek naar samenwerking op het gebied van Zorg & Veiligheid afgerond en door het college vastgesteld. Dit is een zogeheten 213a onderzoek (verordening doelmatigheid en doeltreffendheid). De raad is geïnformeerd via een raadsbrief waarin een reactie is gegeven op de aanbevelingen.