Intern Controleplan 2026

Het dagelijks bestuur gemeenschappelijke regeling Veiligheidsregio Zuid-Holland Zuid (VRZHZ) is verplicht, conform de art. 212 en 213 van de Gemeentewet en de financiële verordening, zorg te dragen voor de interne toetsing van de getrouwheid en informatieverstrekking en de rechtmatigheid van de beheershandelingen (lijnproces). Om hier invulling aan te geven wordt conform de geldende financiële verordening jaarlijks een Intern Controleplan (ICP) opgesteld.

Een goed opgezette interne controle is een belangrijke pijler waar de VRZHZ in het kader van Planning & Control op moet kunnen steunen. Niet alleen voor wat betreft het controleren en signaleren van tekortkomingen in de uitvoering, maar zeker ook in voor het bijsturen en het afleggen van verantwoording. De uitkomsten van de interne controle vormen tevens een basis waarop de VRZHZ haar lerend vermogen kan vergroten en ontwikkelingen in administratieve organisatie en de interne beheersing verder vorm kan geven.

Interne controle richt zich primair op het verkrijgen van zekerheid over de betrouwbaarheid en rechtmatigheid van de financiële informatie en over de naleving van relevante wet- en regelgeving, (beleids)richtlijnen en procedures. Daarnaast heeft interne controle als doel om onvolkomenheden in de uitvoering tijdig op te sporen en te corrigeren. Tevens biedt interne controle de gelegenheid om preventieve maatregelen te nemen ter voorkoming van toekomstige onvolkomenheden. De informatie uit de interne controles plus de inbedding van de interne controlemaatregelen in de organisatie helpen om de kwaliteit van de bedrijfsvoering in alle opzichten te verbeteren.

Dit Intern Controleplan (ICP) 2026 beschrijft de wijze waarop de VRZHZ in 2026 haar verbijzonderde interne controle (VIC) organiseert, uitvoert en borgt. Het plan bouwt voort op het ICP 2025 en verwerkt alle relevante bevindingen uit de Managementletter 2025. Het vormt de basis onder de rechtmatigheidsverantwoording 2026 en de toezichtrelatie met accountant en algemeen bestuur.

Het ICP 2026 sluit aan op het BBV, het BADO en de Kadernota Rechtmatigheid (wijzigingen van toepassing vanaf verslagjaar 2025), waarbij de verantwoordingsgrens binnen 0–2% van de totale lasten exclusief toevoegingen aan reserves valt. De rapporteringstolerantie van de accountant blijft € 50.000 (conform controleprotocol), tenzij het controleprotocol 2026 anders bepaalt.

Het plan integreert tevens de eisen voor: (a) begrotingscriterium (voor- en najaarswijzigingen en nulproef), (b) naleving aanbestedingswet en interne inkoopkaders, (c) SiSa-bijlage en indicatoren, en (d) WNT/Wet DBA.

2.1 Three lines of defence model

Het three lines of defence model is een veel gebruikte methode om aantoonbaar in control te zijn en om inzichtelijk te maken dat de belangrijkste risico’s goed beheerst worden. De inrichting van het three lines of defence model verschilt per type organisatie en hangt vooral af van de grootte en complexiteit. Binnen de VRZHZ is de hieronder weergegeven inrichting van toepassing.

Figuur 1

2.2 Samenhang interne en externe controle (accountant)

Hoewel interne controle wordt uitgevoerd dóór de organisatie vóór de organisatie is een doelstelling van het intern controleplan toch ook de maximale aansluiting te zoeken tussen de uitgevoerde interne controle werkzaamheden en de door de accountant te verrichten (externe) werkzaamheden.

De accountant toetst jaarlijks de kwaliteit van de opzet, het bestaan en de werking van de belangrijkste interne controle maatregelen voor alle significante financiële processen. In de regel geldt dat hoe meer er door de accountant gesteund kan worden op een goed werkend proces, hoe minder er gegevensgericht hoeft te worden gecontroleerd. Dit vereenvoudigt en verkort uiteindelijk het proces van de controle door de accountant.

2.3 Rollen en verantwoordelijkheden

Algemeen bestuur

Op basis van de Gemeentewet en de vertaling daarvan in de verordening 212 (financieel beheer) is het dagelijks bestuur van de VRZHZ verantwoordelijk voor de getrouwheid en rechtmatigheid van de jaarrekening, en het daaraan ten grondslag liggende (financiële) beheer. Het dagelijks bestuur legt in de jaarrekening verantwoording af over de rechtmatigheid (rechtmatigheidsverantwoording) aan het algemeen bestuur. Het dagelijks bestuur dient zodanige maatregelen te treffen dat de rechtmatigheid van de algehele uitvoering gewaarborgd is. Eén van die maatregelen is opstellen van een intern controle plan.

Three lines model

De eerste lijn borgt procesbeheersing en voert lijncontroles uit. De tweede lijn (Control/HR/Financiën/I&A/Inkoop) voert interne controles uit en monitort de werking van maatregelen. De derde lijn (VIC) toetst onafhankelijk, gericht op rechtmatigheid, risicobeheersing en informatiebeveiliging. De concerncontroller coördineert de uitvoering van dit plan en is contactpersoon voor de accountant.

Accountant

De accountant dient zijn (interim) controle zodanig te plannen en uit te voeren dat een redelijke mate van zekerheid wordt verkregen dat de jaarrekening geen afwijkingen van materieel belang bevat. De werkzaamheden die de accountant voor de controle uitvoert zijn afhankelijk van de risico-inschattingen die hij maakt ten aanzien van de interne beheersing van de VRZHZ en de effectiviteit daarvan. Hoe beter de interne beheersing op orde is, hoe meer de accountant hierop kan steunen en des te efficiënter kan hij zijn controlewerkzaamheden uitvoeren.

Het toetsingskader omvat:

• •

  Koppeling tussen jaarrekeningposten/transactiestromen en normenkader (BBV/BADO, financiële verordening, aanbestedingsbeleid).

• •

  Begrotingscriterium: zichtbare aansluiting jaarrekening ↔ primaire begroting en begroting na wijzigingen (nulproef).

• •

  SiSa-bijlage: zichtbare onderbouwing, aansluitingen op grootboek/subadministraties en invulwijzer; dossiervorming per regeling.

• •

  Inkoop en rechtmatigheid: spendanalyse 2026, inkoopstartformulier, contractenregister en prestatieverklaring bij facturen.

• •

  WNT: interne toets op bezoldigingsmaxima en openbaarmaking (incl. waarnemers) en dossiervorming.

• •

  DBA/inhuur: toets uurtarief/maandplafond, gezagsverhouding/inbedding en aanbestedingsroute.

In de management letter 2025 ziet de accountant een aantal hoofdpunten op het gebied van de interne beheersing waarop de VRZHZ zich verder zou kunnen professionaliseren.

• •

  de VRZHZ kan het three lines of defense model verder implementeren en verbeteren. Maak hier een concreet plan van aanpak voor;

• •

  versterking van het interne controleplan door vooraf een goede risico-inschatting per proces te maken;

• •

  een hoger niveau van de procesbeschrijvingen en lijncontroles door zichtbare documentatie en verder uitwerken beheersmaatregelen;

• •

  Verbetering van de frauderisicoanalyse is het afgelopen jaar geactualiseerd. Er zijn nog enkele aanvullende verbeterpunten.

De risicogebieden met verhoogde aandacht in 2026 zijn (samenvatting):

• •

  Salarisadministratie: datakwaliteit en betrouwbaarheid basisgegevens/percentages; tussentijdse aansluiting FA–HRM; beperken handmatige mutaties en digitaliseren uitzonderingen.

• •

  Voorzieningen: groot onderhoud gebouwen (dotatie toereikend), groot onderhoud schuimblusvoertuigen (nieuwe vloot, levering uitgesteld), RVU en verlofsparen (actualiseren).

• •

  Inkoop en rechtmatigheid: afronden spendanalyse 2026 met zichtbare conclusies per crediteur/opdracht; preventieve borging prestatieverklaringen; volledigheid aanbestedingskalender en contractenregister.

• •

  IT & informatiebeveiliging: BIO-volwassenheid naar niveau 3; opvolging pentestbevindingen; periodieke autorisatiereviews en verdere professionalisering applicatielandschap; voorbereiding NIS2/Cyberbeveiligingswet.

• •

  SiSa: juiste en volledige invulling indicatoren en tijdige oplevering inclusief aansluitingen.

• •

  Follow-up eerdere bevindingen: batchbetalingen (controlegetal); crediteurenstamgegevens (functiescheiding of compenserende maatregelen); vrijwilligersvergoedingen (betrouwbare primaire registratie); overlopende posten.

De VIC-werkzaamheden richten zich risicogericht op de processen uit de IC-matrix (zie Bijlage 1). De tweede lijn voert gerichte interne controles uit op hoge-risico onderdelen. De derde lijn voert deelwaarnemingen uit conform materialiteit en tolerantie.

De gedetailleerde processen, normenkaders, key controls, eigenaarschap en frequenties zijn uitgewerkt in de IC‑matrix (Excel) “IC-plan 23022026 (1).xlsx”. Dit ICP verwijst naar die matrix als leidend overzicht. Aanpassingen in 2026 worden geversioneerd en in de MARAP gemeld.

Beoogd volwassenheidsniveau BIO: ≥ 3. Acties 2026: ISMS-selectie/implementatie (na BIO 2.0 nulmeting); periodieke RBAC-reviews (AFAS en keten); opvolging resterende pentestbevindingen; professionaliseren applicatielandschap (koppelingen, eigenaarschap, gegevensstromen); voorbereiding op de Cyberbeveiligingswet (implementatie NIS2, voorzien Q2 2026).

De FRA wordt geactualiseerd en op het juiste niveau geagendeerd (AB/DB). Maatregelen worden uitgewerkt volgens de 6W‑methodiek en zichtbaar getoetst. Specifieke thema’s: tankpasgebruik/rittenregistratie, handmatige betalingen, vrijwilligersvergoedingen, inkoopcorruptierisico’s en functiescheiding in de financiële keten.

Per VIC‑ronde wordt een kort controleverslag per proces opgesteld en besproken met de proceseigenaar. De voortgang op verbeteracties wordt tweemaal per jaar gerapporteerd in de MARAP en geborgd in het verbeteractieregister. Voor voorzieningen worden position papers opgesteld (met uitgangspunten, schattingsonzekerheden, back‑testing). Voor de jaarrekening 2026 wordt de nulproef uitgevoerd en worden zichtbare aansluitingen vastgelegd (jaarrekening ↔ FA ↔ subadmin ↔ begroting).

• •

  Salarisadministratie: extra datacontroles; periodieke FA–HRM aansluitingen (maandelijks/kwartaal); digitaliseren handmatige mutaties; jaarlijkse actualisatie procesbeschrijving lonen & salarissen (nieuw pakket).

• •

  Inkoop: prestatieverklaring verplicht vastleggen in systeem; volledigheid aanbestedingskalender; contractenregister periodiek actualiseren; spendanalyse uitbreiden met conclusiekolommen en contractwaarden.

• •

  Voorzieningen: doorrekenen dotatie groot onderhoud gebouwen; betrouwbare schatting schuimblusvoertuigen eindstand 31‑12‑2026; actualiseren RVU en verlofsparen.

• •

  IT/IB: periodieke rechten- en rollenreview (AFAS e.a.); ISMS-traject; opvolging pentest; r apporteren BIO-toprisico’s.

• •

  SiSa: tijdige en volledige oplevering regelingen inclusief aansluitingen en dossiervorming.

• •

  Financiële keten: controle controlegetal batchbetalingen vastleggen in FA; compenserende maatregelen bij crediteurenstamgegevens; interne controle op overlopende posten en administratieve afgrenzing.