Waarop nadruk leggen en hoe verder?
Welke bouwstenen van interne beheersing zijn relevant in het kader van rechtmatigheid?
door drs Gerrit Goud RE RA
Vanaf het boekjaar 2021 zijn gemeenten zelf verantwoordelijk voor het afgeven van een rechtmatigheidsverklaring aan de gemeenteraad. Deze rechtmatigheidsverklaring dient ondertekend te worden door het college van B&W als onderdeel van de jaarlijkse verantwoording die de huisaccountant beoordeelt. Het boekjaar 2021 lijkt nog ver weg maar als je terug redeneert wat daarvoor nodig is, dan is er voor veel gemeenten werk aan de winkel. Niet voor niets dat de VNG het advies geeft nu al te starten met het treffen van voorbereidingen.
Vanuit Key2Control zijn we nadrukkelijk over dit thema in gesprek met diverse gemeenten. Menig concerncontroller is zich inmiddels aan het oriënteren om een beeld te krijgen van de impact van de rechtmatigheidsverklaring op de gemeentelijke organisatie. In een serie van 3 blogs delen wij graag onze visie en aanpak op hoofdlijnen over het borgen van rechtmatigheid. In de vorige blogs hebben we stilgestaan bij de afbakening van rechtmatigheid en zijn we nader ingegaan op de bouwstenen van interne beheersing in relatie tot rechtmatigheid. In de 3e en laatste blog gaan we nader in op de vraag waarop de nadruk moet worden gelegd in het kader van de voorbereiding op de rechtmatigheid.
Wat hebben we uit de vorige blogs geconstateerd?
Rechtmatigheid is een compliance vraagstuk op operationeel niveau waarbij een heldere rolverdeling in de governance nodig is gebaseerd op het principe van three line of defence (3LOD). Vanuit de governance komt de nadruk vooral te liggen op het actief betrekken van de 1e verdedigingslijn in het intern beheersingsproces. Daar ligt de verantwoordelijkheid voor het afgeven van een in control statement (ICS) en die verantwoordelijkheid ligt niet bij de concerncontroller en Verbijzonderde interne controle (VIC). Het afgeven van alleen een auditrapport VIC biedt onvoldoende basis voor het verstrekken van een rechtmatigheidsverklaring omdat responsibilty (ICS) en accountability (rechtmatigheidsverklaring) in elkaars verlengde behoren te liggen. De 1e verdedigingslijn zal dus echt in positie moeten worden gebracht.
De PDCA-cyclus is de drijvende kracht voor het kunnen verstrekken van een rechtmatigheidsverklaring en het plannen en bewaken van alle beheersactiviteiten die nodig zijn voor het jaarlijks opleveren van dit eindproduct. Het beheer van deze activiteiten ligt voornamelijk in de 2e verdedigingslijn.
Vanuit performance management speelt het doelstellingenmodel voor elk proces dat onder de rechtmatigheid valt een cruciale rol. Door periodiek te meten op beheersingsdoelstellingen ontstaat inzicht in normen waaraan niet of deels wordt voldaan en waarop verbeteracties in gang gezet kunnen worden in overleg met de verantwoordelijke manager. Normen waaraan wordt voldaan behoeven vanuit het principe van ‘management by exception’ geen verdere aandacht. Deze vorm van procesbeheersing speelt zich af in de 1e verdedigingslijn met ondersteuning vanuit de 2e verdedigingslijn en is de basis voor het kunnen afgeven van een in control statement (ICS).
De VIC kan eveneens gebruikmaken van de vastgestelde doelstellingenmodellen en bepaalt op basis daarvan welke beheersingsdoelstellingen in een boekjaar in aanmerking komen voor nader onderzoek (auditplan). Op deze wijze toetst de VIC achteraf de werking van de ingezette beheersmaatregelen in de 1e verdedigingslijn en rapporteert hierover in de vorm van een intern auditrapport. Dat rapport geeft eveneens input voor verbetering op operationeel niveau. Het hier geschetste samenspel van beheersactiviteiten is de basis voor een rechtmatigheidsverklaring waarbij de 2e verdedigingslijn een coördinerende en faciliterende rol vervult voor het tijdig en zorgvuldig opleveren van het eindproduct.
Hoe zit het dan met ethics & culture als onderdeel van interne beheersing?
Uiteraard speelt de ‘zachte kant’ van interne beheersing een belangrijke rol beginnend met de ‘tone at the top’. Dan gaat het om visie en ambitie op directie en bestuurlijk niveau. Maar de ‘zachte kant’ speelt eveneens een rol bij het actief betrekken van de 1e verdedigingslijn in het interne beheersingsproces. Te snel draaien aan deze knop voor het omhoog stuwen van het volwassenheidsniveau veroorzaakt vaak onomkeerbare ongewenste gevolgen. Zorgvuldigheid is dan ook geboden vanwege de impact op het DNA van de organisatie. De eerste stap in deze richting is te beginnen met een afgestemde dosis aan bewustwording.
Valkuilen
Zoals in de blog 1 is aangegeven zijn er gemeenten die vol gaan op risicomanagement (kans * impact). In blog 2 is beargumenteerd dat dit instrument meerwaarde heeft op tactisch en strategisch niveau. Op operationeel niveau waar rechtmatigheid zich afspeelt kan de inzet van risicomanagement (kans * impact) een averechtse werking hebben met als gevolg veel overhead en weinig resultaat. Een betere benadering voor grip op rechtmatigheid en dit aantoonbaar te maken is de inzet van een PDCA-cyclus in combinatie met performance management (meten is weten) gericht op borgen en continu verbeteren en optimaliseren. Deze cyclische benadering bevat voldoende afwegingsmomenten voor het bepalen van de juiste keuzes (= risicoanalyse) en bevordert de onderlinge samenwerking en afstemming tussen de verschillende verdedigingslijnen.
De nadruk leggen op de inrichting van de VIC is verleidelijk voor concerncontrollers. Immers dat ligt in de comfortzone en het gaat in de regel om hooguit 1 á 3 medewerkers die eenvoudig aangestuurd kunnen worden, echter daar zit doorgaans niet de pijn. Daarnaast is de bijdrage van VIC onvoldoende voor het afgeven van een rechtmatigheidsverklaring. De VIC geeft immers geen ICS af, maar een intern auditrapport dat weliswaar van belang is voor een rechtmatigheidsverklaring, maar niet geheel de lading dekt. En ook het VIC-deel kan altijd beter en is voor een concerncontroller eenvoudiger te regelen dan het activeren van de 1e verdedigingslijn waar de echte uitdaging voor de concerncontroller ligt.
Hoe nu verder?
De VNG geeft advies voor het treffen van voorbereidingen. Dat begint met het vormen van een eigen visie en ambitie en dit te borgen in beleid. Daarvoor is uiteraard tijd nodig, maar zorg ervoor dat dit beleid in 2019 geregeld is. Op basis van dit beleid kan voor 2020 een implementatieplan worden opgesteld voor het aanscherpen van het intern beheersingsproces zoals het actief betrekken van de 1e verdedigingslijn in dit proces. De inzet van de concerncontroller bij de implementatie als verbindende en coördinerende factor zal voor een groot deel bepalend zijn voor het succes.
GRC-oplossing als springplank naar succes
De omvang van interne beheersing en het managen van alle relevante beheersactiviteiten in een jaarlijks terugkomend cyclisch proces vereist een effectieve en efficiënte benadering waarbij de inzet van een professioneel geautomatiseerde GRC-oplossing met de juiste functionaliteit onvermijdelijk is. Er zijn simpelweg te veel beheersactiviteiten verdeeld over diverse medewerkers in de organisatie die gestroomlijnd behoren te worden en dan is werken in Excelachtige omgevingen ondoenlijk en kostenverhogend nog even los van het moeizaam combineren en delen van informatie.
Wij vanuit Key2Control bieden een zeer gebruikersvriendelijke GRC-oplossing en beschikken voor de 1e verdedigingslijn over doelstellingenmodellen (performance) voor gemeenten die vanuit een PDCA-engine gemanaged worden. Voor het sociaal domein zijn doelstellingenmodellen beschikbaar voor de WMO, Jeugdzorg, re-integratie en bijstand. En daarnaast zijn er doelstellingenmodellen beschikbaar voor subsidies, grondexploitaties, inkoop en aanbesteding, crediteuren en betalingen, verbonden partijen en personeel en salarissen en daarmee zijn de belangrijkste uitgaven van een gemeente afgedekt. Voor de komende tijd zal de inkomstenkant van gemeenten in beeld worden gebracht. Onze beheersingsdoelstellingen kunnen eveneens vanuit een auditmodule ingezet worden ter ondersteuning van de 3e verdedigingslijn. Het beheer van het hele PDCA-proces kan vanuit de 2e verdedigingslijn geregeld worden. Onze software biedt aldus een gestructureerde basis voor onderlinge samenwerking en afstemming tussen de 3 verdedigingslijnen en levert real time informatie op waaruit blijkt dat de organisatie aantoonbaar in control is.
Naast interne beheersing versus rechtmatigheid biedt onze GRC-oplossing een platform voor informatiebeveiliging (BIO), privacybescherming (AVG) en archiefbeheer (KIDO) volgens hetzelfde beheersingsprincipe en dat biedt mogelijkheden tot vergaande standaardisatie ofwel lagere beheerskosten tegen een hoger kwaliteitsniveau en wie wil dat nu niet!
Tot slot
In de serie van 3 blogs hebben wij een kader geschetst voor interne beheersing in relatie tot rechtmatigheid. Daarin zit de visie en aanpak die Key2Control hanteert en faciliteert via onze GRC-oplossing. Uiteraard is onze software een middel voor organisaties voor het op een effectieve en efficiënte wijze realiseren van haar doelen op het gebied van interne beheersing. Wij kunnen u daarbij met onze kennis en expertise begeleiden in het groeitempo dat u wenst.
Bent u geïnteresseerd in onze visie en aanpak en wilt u meer weten, bel dan gerust voor een afspraak. Wij zijn ervan overtuigd dat een persoonlijk gesprek direct toegevoegde waarde biedt.
