Interne Controleplan VRZL 2025

1.1 ALGEMEEN

De externe accountant geeft tot en met de jaarrekening 2022 een controleverklaring af omtrent getrouwheid en financiële rechtmatigheid. Vanaf jaarrekening 2023 geeft de externe accountant alleen nog een controleverklaring af omtrent getrouwheid.

Vanaf jaarrekening 2023 moet het Dagelijks Bestuur (DB) een financiële rechtmatigheidsverantwoording opnemen in de jaarrekening van de Veiligheidsregio Zuid Limburg. De rechtmatigheidsverantwoording maakt onderdeel uit van de jaarrekening (dus niet het jaarverslag). Een nadere toelichting op de rechtmatigheidsverantwoording zal worden opgenomen in de paragraaf bedrijfsvoering.

Het DB gaat daarmee verantwoording afleggen omtrent de financiële rechtmatigheid. Deze financiële rechtmatigheidsverantwoording wordt getoetst bij de jaarrekeningcontrole door de externe accountant. Om het DB de mogelijkheid te geven om deze financiële rechtmatigheidsverantwoording op te nemen in de jaarrekening dienen er interne controle (op basis van het intern controle plan) werkzaamheden te worden uitgevoerd.

In de financiële verordening staat in artikel 18 het volgende opgenomen:

Artikel 18. Interne controle en (financiële) rechtmatigheid

• 1.

  Het DB zorgt ten behoeve van het getrouwe beeld van de jaarrekening en de (financiële) rechtmatigheid van de baten en lasten en de balansmutaties voor de jaarlijkse interne toetsing van de getrouwheid van de informatieverstrekking en de (financiële) rechtmatigheid van de beheerhandelingen en rapporteert hier over. Bij afwijkingen neemt het DB maatregelen tot verbeteringen voor herstel van de tekortkomingen.

• 2.

  Het DB zorgt voor de systematische controle van de registratie en de ontwikkeling van de bezittingen en het financieel vermogen, een en ander in overeenstemming met een jaarlijks goed te keuren Interne Controleplan. Bij afwijkingen in de registratie neemt het DB maatregelen voor het herstel van de tekortkomingen.

• 3.

  Het DB zorgt voor een systematisch proces dat voorziet in de toetsing aan de criteria ten aanzien van de (financiële) rechtmatigheid.

Rechtmatigheidsverantwoording

Dit plan geeft aan op welke wijze getoetst en aangetoond kan worden in hoeverre ingerichte beheersingsmaatregelen op het gebied van de financiële rechtmatigheid in voldoende mate gewerkt hebben. Hiermee is leggen we de basis voor de financiële rechtmatigheidsverantwoording die zowel door de directie als het bestuur met ingang van boekjaar 2023 getekend dient te worden en als zodanig opgenomen dient te worden in de jaarrekening. Voor de financiële rechtmatigheidsverantwoording heeft de commissie Besluit Begroting en Verantwoording (BBV) hiervoor een standaard tekst opgesteld (zie bijlage 1).

Variant Rechtmatigheid

Voor de invulling van de rechtmatigheidsverantwoording zijn diverse varianten mogelijk. Het is mogelijk om door te groeien van een rechtmatigheidsverantwoording naar een ‘in control statement’ (ICS).

Figuur 1 de verschillende volwassenheid niveaus rechtmatigheidsverantwoording

Variant 1 Verantwoording gericht op financiële rechtmatigheid

In deze variant wordt een financiële rechtmatigheidsverantwoording verstrekt door het DB die alleen iets zegt over het naleven van wet- en regelgeving, die betrekking heeft op financiële beheerhandelingen. Dit is gelijk aan de reikwijdte in de huidige situatie, waar nu de accountant een oordeel over geeft en aansluit bij de wettelijke norm vanaf 2023.

Variant 2 Verantwoording gericht op financiële rechtmatigheid + aantal relevante processen/thema’s benoemen die aandacht krijgen

Het algemeen bestuur kan ook vragen andere elementen toe te voegen aan de financiële rechtmatigheidsverantwoording. Voordeel hiervan is dat het algemeen bestuur aanvullend geïnformeerd kan worden over belangrijke aandachtspunten binnen de bedrijfsvoering, die een plek krijgen in de bedrijfsvoering paragraaf. Dit kan leiden tot extra controle-inspanningen die van invloed zijn op de middelen en formatie binnen de organisatie.

Variant 3 Verantwoording gericht op de bredere bedrijfsvoering, zogenaamde In Control Statement

In de gedachte van een verdere optimalisatie van de bedrijfsvoering en interne beheersing kan het een logische stap zijn om over het gehele functioneren van de organisatie een “In Control Statement” af te geven. Dit gaat verder dan de financiële rechtmatigheidsverantwoording en zegt ook iets over het functioneren van de interne bedrijfsvoering en betrouwbaarheid van (risicomanagement)processen en ICT-systemen.

Ambitieniveau Veiligheidsregio Zuid Limburg (hierna ‘VRZL’):

Wij adviseren het bestuur om op dit moment in te stemmen met variant 1, waarmee aan de wettelijke norm wordt voldaan. Een mogelijke doorontwikkeling naar variant 2 en/of 3 kan in de toekomst vorm worden gegeven indien het DB dat wenselijk acht.

1.2 DOEL VAN HET PLAN

Het doel van het plan is het DB te faciliteren bij het opstellen van een financiële rechtmatigheidsverantwoording waarbij gesteund wordt op de IC werkzaamheden.

Deze IC werkzaamheden geven inzicht in de scope en de diepgang van de werkzaamheden. Daarnaast geeft het inzicht in welke processen en posten in de balans en de staat van baten en lasten onderdeel uitmaken van de IC. Het controleplan beschrijft de aanpak van IC en de doorontwikkeling hiervan. Om de IC op een gestructureerde en uniforme wijze uit te voeren wordt een werkprogramma opgesteld.

Een werkprogramma bestaat uit de volgende onderdelen:

• •

  De controledoelstelling

• •

  Wet en regelgeving die van toepassing is

• •

  Bevindingen en aanbevelingen uit voorgaande perioden

• •

  Een risicoanalyse om de risico’s en beheersmaatregelen te identificeren en te beoordelen

• •

  Beschrijving van de werkzaamheden

Van alle materiële processen zijn procesbeschrijvingen opgesteld inclusief processchema’s.

Deze procesbeschrijvingen worden jaarlijks geactualiseerd.

1.3 WAAROM INTERNE CONTROLE?

De IC heeft enerzijds een toezichtfunctie met als doel het tijdig opsporen en corrigeren van onvolkomenheden in de uitvoering van (financiële) processen. Anderzijds biedt de IC een kans op het treffen van preventieve maatregelen om onvolkomenheden in de toekomst te voorkomen. Hierbij gaat het om een doorontwikkeling waarbij processen voortdurend verbeteren.

2.1 WETTELIJK KADER

Tijdens de IC moet worden vastgesteld dat de baten, lasten en balansmutaties rechtmatig tot stand komen. Voor een goede uitvoering is het belangrijk dat de geldende wet- en regelgeving duidelijk vast ligt. Het wettelijke kader voor de IC is geregeld in zowel externe kaders als in het interne kader. Het interne kader betreft onder andere: de controleverordening, het controleprotocol en de financiële verordening. Naast het uitvoeren van de interne controle is het noodzakelijk dat periodiek de bestaande wet- en regelgeving (inclusief interne besluiten, mandaten, verordeningen, etc.) getoetst wordt. Met de screening wordt bewerkstelligd dat de interne regelingen en processen in overeenstemming zijn met de wetgeving en interne besluiten.

De betreffende afdelingshoofden zijn daarmee ook verantwoordelijk voor het (laten) aanpassen van regelingen en interne processen.

2.2 REIKWIJDTE VAN INTERNE CONTROLE

De interne controle ziet toe op de financiële rechtmatigheid van de baten, lasten en balansmutaties. Voor uitvoering van de controle wordt jaarlijks door de commissie BBV een kadernota rechtmatigheid uitgegeven. Hierin worden negen aspecten van rechtmatigheid onderscheiden. Zes criteria worden afgedekt door het getrouwe beeld en hoeven om deze reden niet afzonderlijk vermeld en getoetst te worden in de rechtmatigheidsverantwoording. De eerste zes criteria maken wel onderdeel uit van de reguliere jaarrekeningcontrole. Het onderstaande schema laat zien dat rechtmatigheid in essentie in 3 onderdelen uiteen valt (t.w. begrotingscriterium, voorwaardecriterium en misbruik en oneigenlijk gebruik):

2.3 CONTROLE KADERS

2.4 SAMENHANG EXTERNE ACCOUNTANTSCONTROLE

De uitkomsten van IC dienen als basis voor verdere doorontwikkeling van de bedrijfsvoering. Verder dienen deze uitkomsten als hulpmiddel voor de externe accountant bij de controle van de jaarrekening. Het concept van dit controleplan is daarom ook afgestemd met de accountant.

Om tot een beheerst (financieel) risicomanagementproces te komen, dient een aantal stappen gevolgd te worden. De eerste stap is het in kaart brengen van de risico’s die een directe financiële impact hebben op zowel de in- als uitgaande geldstromen als de daarmee samenhangende verantwoordingen. Hiervoor heeft in samenwerking met betrokken en verantwoordelijke medewerkers (de zogenaamde ‘risico-eigenaren’) een aantal sessies plaatsgevonden waarbij de risico’s zijn geïdentificeerd en geclassificeerd. Bij deze classificatie is met name gelet op de kans dat een risico zich voordoet en wat de potentiële impact is op de organisatie en het realiseren van de doelstellingen. Stap twee is het beoordelen in hoeverre bestaande beheersingsmaatregelen en bijbehorende processen deze risico’s verder mitigeren. Dit proces dient jaarlijks herhaald te worden (conform PDCA-cyclus) om te toetsen in hoeverre de risicoanalyse nog actueel is (bijvoorbeeld als gevolg van nieuwe/gewijzigde wet- en regelgeving en verordeningen).

3.1 RISICOBEREIDHEID

Het vaststellen en monitoren van de risicobereidheid stelt het DB in staat om op een verantwoorde en beheerste wijze risico’s te nemen. Voor het borgen van een integere en beheerste bedrijfsvoering is het van belang dat bij het nastreven van de doelstellingen de risicobereidheid niet wordt overschreden.

Het vaststellen van de risicobereidheid is een essentieel onderdeel van integraal risicomanagement. De risicobereidheid is het startpunt van het risicomanagement proces. Wanneer risico’s ingrijpende impact kunnen hebben en deze de risicobereidheid (dreigen te) overschrijden worden deze aangemerkt als een key risico (in onderstaande geclassificeerd als hoog).

Indien de risicobereidheid wordt overschreden, dan dient daarop adequaat te worden gereageerd. Concreet betekent dit, dat passende maatregelen worden genomen om de overschrijding ongedaan te maken. Ook betekent dit, dat maatregelen worden genomen om de kans op vergelijkbare overschrijdingen in de toekomst te beperken.

De risicobereidheid van een organisatie bestaat uit de risicofilosofie enerzijds en de risicovolwassenheid anderzijds. Dit beoordelen we aan de hand van financiële ratio’s.

Als afgeleide van de eerder genoemde normen onder risicobereidheid stelt de directie, in opdracht van het bestuur, normen op ter kwantificering van de kans en de impact (bruto risico score), dus vóór implementatie van beheersingsmaatregelen. Dit maakt de risicobereidheid uniform kwantificeerbaar en verlaagt de subjectieve component bij het bepalen van de classificatie.

De criteria op het gebied van de kans en impact (beide een score van 1 tot 5) die hiervoor worden gehanteerd, luiden als volgt:

Het bestuur heeft, als gevolg van een gewijzigde risicobereidheidsprofiel, de bevoegdheid de classificatie in relatie tot de risico score bij te stellen.

3.2 RISICOANALYSE

Voor een adequate beheersing van de risico’s is het gewenst dat jaarlijks een zogenaamde risicoanalyse plaats vindt. Deze analyse wordt voorbereid door de controller in samenwerking met de adviseur control en ter goedkeuring voorgelegd aan de directie als onderdeel van de reguliere P&C kalender.

Aspecten die verder worden meegenomen in de risicoanalyse zijn:

• •

  de al aanwezige risicoanalyses uit de huidige en nieuwe procesbeschrijvingen;

• •

  de risico’s die gesignaleerd worden tijdens de procesanalyse en bestaanscontrole van de processen;

• •

  de risico’s die ontstaan als gevolg van incidenten;

• •

  Aanbevelingen van de externe accountant in de Managementletter van het voorgaande;

• •

  Wijzigingen complexe wet- en regelgeving.

Alle risico’s worden gefilterd op overlapping en gewaardeerd op basis van de impact en waarschijnlijkheid (kans). De uitkomst van de waardering bij deze methode is ‘laag’, ‘midden’ of ‘hoog’. De inventarisatie van de financiële risico’s wordt per proces ondergebracht in een risicotabel. Daarna wordt nagegaan in hoeverre alle genoemde financiële risico’s worden afgedekt door de beheersingsmaatregelen in het proces. De beheersingsmaatregelen die de financiële risico’s met een grote impact afdekken (zogenaamde significante risico's) vormen de basis voor de inrichting van de werkprogramma’s. De controle op de werking van deze beheersingsmaatregelen worden per kwartaal gemonitord en gerapporteerd.

3.3 AANTAL DEELWAARNEMINGEN

Het aantal deelwaarnemingen wordt bepaald op basis van een risico gebaseerde benadering. De processen met het hoogste risico, zoals geïdentificeerd in de risicoanalyse, krijgen prioriteit. Hierbij wordt rekening gehouden met de materialiteit, de complexiteit van de regelgeving, en de potentiële impact van fouten. Het aantal steekproeven per proces varieert afhankelijk van deze factoren, waardoor de interne controle zich richt op de meest kritische gebieden.

3.4 UITVOERING INTERNE CONTROLE

De uitvoering van de interne controle is gebaseerd op een risico gebaseerde benadering. Deze benadering houdt rekening met de processen die de grootste risico's vormen voor de organisatie, zoals geïdentificeerd in de risicoanalyse. Hierbij wordt gekeken naar factoren zoals:

• •

  Materialiteit: De financiële impact van de processen. Hoe groter de impact, hoe meer aandacht er aan het proces wordt besteed.

• •

  Complexiteit van de wet- en regelgeving: Processen waarbij complexe wet- en regelgeving van toepassing is, hebben een hogere kans op afwijkingen en worden daarom vaker gecontroleerd.

• •

  Bevindingen uit eerdere jaren: Processen waarbij in het verleden fouten of afwijkingen zijn geconstateerd, krijgen extra aandacht in de controlecyclus.

• •

  Impact en waarschijnlijkheid van risico's: Processen die een hoge impact hebben op de financiële rechtmatigheid, of die vaker voorkomen, krijgen prioriteit bij het uitvoeren van de interne controle.

Risico gebaseerde steekproeven

Het aantal steekproeven per proces wordt bepaald op basis van het risicoprofiel van dat proces. Processen met een hoog risicoprofiel, bijvoorbeeld vanwege hun financiële omvang of complexiteit, worden intensiever gecontroleerd dan processen met een lager risicoprofiel. Deze flexibele aanpak zorgt ervoor dat de interne controle zich richt op de meest kritische gebieden en dat er efficiënt gebruik wordt gemaakt van de beschikbare controlecapaciteit.

Voor de uitvoering van de controle worden steekproeven genomen om vast te stellen of de beheersmaatregelen effectief werken. Indien uit de steekproeven blijkt dat de beheersing onvoldoende is, worden extra controlewerkzaamheden uitgevoerd om een beter beeld te krijgen van de aard en omvang van de afwijkingen.

Prioritering van processen

Op basis van de risicoanalyse is een aantal processen geselecteerd die als meest risicovol zijn aangemerkt. Deze processen worden jaarlijks gecontroleerd. Daarnaast worden ook andere processen op een roulerende basis gecontroleerd, waarbij elk proces minstens eens in de drie jaar wordt beoordeeld.

De volledige planning van de interne controles voor de geselecteerde processen is opgenomen in bijlage 2 van dit interne controleplan. In de planningstabel (bijlage 2) geven haakjes rondom een proces, zoals bij 'frauderisico’s', aan dat dit proces niet standaard elk kwartaal wordt gecontroleerd, maar afhankelijk is van specifieke signalen of bevindingen uit eerdere controles. Wanneer uit de risicoanalyse of uit eerdere controles verhoogde risico's naar voren komen, wordt dit proces alsnog meegenomen in de controle.

4.1 EVALUATIE

Tijdens de uitvoering van de IC kunnen verschillende bevindingen naar voren komen. Deze bevindingen worden besproken met de verantwoordelijke medewerkers en hun leidinggevende. Indien sprake is van een fout, dan wordt altijd onderzocht hoe deze fout is ontstaan. Bij fouten wordt beoordeeld of er sprake is van financiële of niet financiële fouten. Alle fouten, die uit de IC komen, worden gerapporteerd. Niet financiële fouten tellen niet mee in de foutenevaluatie. Daarnaast moet bij fouten worden nagegaan of sprake is van een incidentele of een structurele fout. Dit is van belang om na te gaan of aanpassingen in het proces moeten plaatsvinden, of dat maatregelen genomen moeten worden om de fout gedurende het jaar te herstellen. Indien sprake is van fouten, dan wordt, op basis van de risico’s, overwogen om de werkzaamheden uit te breiden. Dit om meer zekerheid te verkrijgen over de rechtmatigheid van het desbetreffende onderdeel. Mogelijk is de fout te isoleren tot een bepaald onderdeel. Indien dat het geval is zal alleen dit onderdeel nader onderzocht worden.

4.2 RAPPORTAGE

Gedurende het uitvoeren van de IC’s worden de bijzonderheden besproken met de medewerkers. Van de gecontroleerde processen wordt een rapportage opgesteld. De rapportage wordt per proces opgesteld. Een concept van dit rapport wordt afgestemd met de betreffende managers. De managers krijgen de mogelijkheid om een reactie te geven op het rapport.

Op basis van de verslagen wordt twee keer per jaar een rapportage opgesteld voor het Directieteam. Deze rapportages worden opgesteld voor de vergadering in juni en de vergadering in november. Na goedkeuring wordt de rapportage ter vaststelling aangeboden aan het DB. Dit als gevolg van de wetswijziging waarbij het DB verantwoordelijk is voor het afgeven van de rechtmatigheidsverantwoording. Het algemeen bestuur ontvangt de rapportages ter kennisname zodat zij vanuit hun toezichthoudende rol worden geïnformeerd.