De rechtmatigheidsverantwoording nieuwe stijl. Dit is waar je op moet letten.

Ongeacht wanneer het definitieve besluit over de invoering vanuit de overheid plaatsvindt, de verandering van de rechtmatigheidsverantwoording bij decentrale overheden (lees: gemeenten) komt er. Ondanks dat dit over normale bedrijfsvoering gaat, is de rechtmatigheidsverantwoording “nieuwe stijl” een grote uitdaging. In het bijzonder voor de internal auditors en/of controllers binnen deze decentrale overheden.

Rechtmatigheidsverantwoording: wat betekent dit voor gemeenten?

De rechtmatigheidsverantwoording valt op korte termijn onder de plicht van accountantscontrole. Dit betekent dat de externe accountant hierover een oordeel moet geven uitmondend in een controleverklaring. Op dit moment is het plan om 2 oordelen door de accountant af te laten geven:

  • één voor de getrouwheid van de jaarrekening
  • één voor de getrouwheid van de rechtmatigheidsverantwoording.

“Ik hoef niks te doen want ik heb een goede band met mijn accountant”. Daar kom je in dit geval zeker niet mee weg. Je zult altijd moeten aantonen dat de rechtmatigheid juist en volledig is en dus een getrouw beeld van de werkelijkheid geeft. De bewijslast hiervoor ligt bij de organisatie en niet bij de accountant. Dit is vergelijkbaar met de controleverklaring die wordt afgegeven over de getrouwheid van de jaarrekening.

Waar je je als interne auditor of controller voor moet behoeden is dat er bijvoorbeeld geen goedkeurende controleverklaring wordt afgegeven, maar een controleverklaring van oordeelonthouding, een controleverklaring met beperking of in het slechtste geval een afkeurende controleverklaring. Als dit zich zou voordoen is het jouw taak als internal auditor of controller om ervoor te zorgen dat de hele organisatie niet naar jou kijkt, maar dat het duidelijk is dat dit een verantwoordelijkheid is van de hele organisatie.

Kom niet voor verrassingen te staan, kies voor een risicogestuurde aanpak

Er wordt gesproken over een groeimodel voor de langere termijn voor gemeenten met betrekking tot controleverklaringen. Echter zit in het afgeven van een accountantsverklaring nog geen ruimte voor groei. De externe accountant kan in zijn/haar mogelijkheden (op korte termijn; jaarlijks) voor een af te geven controleverklaring alleen kiezen uit vaststaande controleverklaringen en moet zich daarbij houden aan strenge eisen voor afgifte. De hoge controlestandaarden van de accountant zijn gewoon van toepassing. Als je als organisatie dus in ontwikkeling bent, ontvang je wel jaarlijks het oordeel van de externe accountant. Daar zal je rekening mee moeten houden.

Het is hierbij belangrijk dat de interne specialisten de verwachtingen van het College van B&W (hierna College) en de rest van de organisatie goed managen. Daarnaast is het belangrijk dat tijdig duidelijk is naar welk soort accountantsverklaring de organisatie onderweg is. Zorg dat je hierover zo snel mogelijk duidelijkheid krijgt van de externe accountant. Zo voorkom je vervelende verrassingen.

De kern voor een accountantscontrole zal een risicogestuurde aanpak moeten zijn waarbij de organisatie alsmede het College van B&W stap voor stap steeds volwassener wordt. Het onafhankelijke oordeel van een accountant is daarbij dan zoals eerder gezegd het uiteindelijke jaarlijkse rapportcijfer. De rollen van internal audit / control, de kwaliteit van het 3-lines model, maar ook de tone at the top zijn hierbij cruciaal!

Kortom, begin op tijd! Waarom wachten op de wet om je bedrijfsvoering te verbeteren? Wat is er tegen proefdraaien? 

Graag informeren wij je in dit artikel over rechtmatigheidsverantwoording en de actuele status, zodat je gereed bent voor de invoering.

Wat is rechtmatigheid?

Rechtmatigheid is een juridische term waar je als internal auditor/controller veel mee te maken hebt. De term geeft aan dat een (voorgenomen) handelwijze in overeenstemming is met de geldende regels en besluiten. In de juridische wereld wordt de term in de breedste zin van het woord gebruikt, terwijl de term vooral in een financiële en of materiële context wordt gebruikt op overheidsniveau, dus ook bij gemeenten.

Een overheid, provincie of gemeente heeft als plicht om een begroting financieel rechtmatig op te stellen waarbij alleen de kosten en baten worden meegenomen die in overeenstemming zijn met wettelijke regelingen en verordeningen. Hieruit vloeit natuurlijk voort dat er ook rechtmatig moet worden gehandeld. Een mogelijke uitkomst hiervan kan zijn dat begrotingsoverschrijdingen als onrechtmatig worden aangemerkt. In deze context is er geen ruimte voor onzekerheden en dat is ook wat gemeenten binnenkort zeer waarschijnlijk te wachten staat.

Wat is een rechtmatigheidsverantwoording?

De rechtmatigheidsverantwoording is een rapportage die door het College jaarlijks wordt opgesteld voor de gemeenteraad om verantwoording af te leggen. Hiermee verantwoordt het College zich over de naleving van de regels die relevant zijn voor het financiële reilen en zeilen van de gemeente. Over de naleving van de voorwaarden van subsidies en Europese aanbestedingen bijvoorbeeld, maar ook over misbruik en oneigenlijk gebruik en lasten, waarvoor geen voorafgaande dekking opgenomen was in de begroting. Het college moet zorgen voor een zo betrouwbaar mogelijke rechtmatigheidsverantwoording waarbij de ingenomen standpunten en de financiële uitwerking daarvan met deugdelijk bewijs onderbouwd worden.

Let op: “misbruik” van onzekerheden kan hierbij zeer waarschijnlijk niet meer. De discussie hierover loopt nog wel.

Dit betekent een wezenlijke wijziging van de verantwoordelijkheid van het College!

Wat is een rechtmatigheidsverantwoording?

Voor gemeenten betekent dit dat er goed moet worden gekeken naar de kwaliteit, invulling en positionering van de VIC / auditfunctie maar ook naar de 2e lijn in relatie tot het interne beheersingskader. Het interne beheersingskader wordt meestal gevat in een intern gedragen Internal Control Framework waarin de processen, de risico’s per proces en de daaraan gekoppelde beheersmaatregelen zijn opgenomen welke periodiek moeten worden getoetst. Op basis van deze informatie kan er een goede rechtmatigheidsverantwoording worden afgegeven waarbij het College vanzelfsprekend de eindverantwoordelijke is. De VIC / auditfunctie mag hierbij niet (meer) worden uitbesteed aan de externe accountant.

Actuele ontwikkelingen op het gebeid van rechtmatigheid

Enkele actuele ontwikkelingen op dit moment zijn:

  • Het moment van definitieve invoering van de rechtmatigheidsverantwoording is nog niet bekend. Dit moet eerst nog langs de ministerraad en vervolgens nog langs de 2e kamer.
  • De NBA (Nederlandse Beroepsgroep voor Accountants) heeft een reactie gegeven op de tekst van de rechtmatigheidsverantwoording en de plek die dit moet hebben in de jaarrekening. De kernpunten van hun reactie zien toe op de rol en verantwoordelijkheid van het College van B&W en de vorm van de verantwoording. Zij staan niet achter de huidige vorm en inhoud. Hun voorstel is om de rechtmatigheidsverantwoording als specifiek onderdeel op te nemen in de jaarrekening na de waarderingsgrondslag en vóór de balans, het overzicht van baten en lasten en de toelichting daarop. Het wachten is ook op de nieuwe notitie van de commissie BBV. De verwachting is dat de commissie BBV eerst wacht op de nieuwe wetgeving. Zie voor nadere informatie de bijgevoegde documenten van de NBA.
  • Het ontwikkelen van een algemeen standaard Internal Control Framework decentrale overheden wordt binnenkort als opdracht door het ministerie van binnenlandse zaken in de markt uitgezet. Wanneer dit gereed zal zijn, is op dit moment onduidelijk.
  • Niet deugdelijk onderbouwde onzekerheden/onduidelijkheden in de rechtmatigheidsverantwoording zijn zeer waarschijnlijk niet meer mogelijk. Als de externe accountant op basis van de verstrekte informatie geen deugdelijk oordeel kan geven, zal zich dat uiten in de af te geven accountantsverklaring. Dat is ook logisch want bij de controle van de jaarrekening werkt dit precies hetzelfde.
  • De vraag of de aangehouden verantwoordingsgrens (tussen 1% en 3%) nog stand houdt in verband met de controletolerantie (laag, 1%) van de externe accountant is actueel. Waarom zou je hierin nog een bandbreedte willen aanbrengen?

Wat gaat er nu veranderen? 

Hieronder zijn de verschillen in de stappen naar de rechtmatigheidsverantwoording tussen nu en straks opgenomen. Hier gaat het vooral om de wijziging van rollen en verantwoordelijkheden.

Belangrijkste verschil tussen nu en straks 

In de toekomst zal het College het normenkader toetsen en rapporteren over de rechtmatigheidsverantwoording. De accountant geeft het oordeel en de Raad spreekt met het College van B&W over bevindingen met betrekking tot de rechtmatigheid. Daarvoor had de accountant in alle stappen een prominentere rol.

Het College moet zelf de rechtmatigheidsverantwoording opstellen die opgenomen wordt in de jaarrekening. Zij zijn daarvoor verantwoordelijk waarbij er weinig tot geen ruimte is voor onzekerheden. Het college moet zelf haar ingenomen standpunten met betrekking tot de rechtmatigheidsverantwoording onderbouwd kunnen uitleggen.

De intentie van deze wetswijziging is dat de rechtmatigheidsverantwoording een kwaliteitsimpuls gaat geven aan de processen en interne beheersing van de rechtmatigheid bij decentrale overheden.

Om te weten waar de organisatie staat in dit ontwikkelproces is het aan te bevelen een 0-meting te doen.

Rechtmatigheidscriteria en modellen

De belangrijke pijlers zijn:

  • De 9 rechtmatigheidscriteria die voor een deel (6 criteria) worden afgedekt door het getrouwe beeld zoals bij de jaarrekening (balans en overzicht van baten en lasten) wordt gecontroleerd en voor een deel (3 criteria) door de rechtmatigheidsverantwoording;
  • De organisatie-inrichting met kwalitatief goede uitvoering om te komen tot een adequate verantwoording

Er zijn verschillende modellen waarmee een goede opzet in kaart kan worden gebracht. Wij hanteren hier het model van de 3 verdedigingslinies (bronnen: Commissie BADO en IIA: Institute of Internal Auditors). 

Risicogestuurde aanpak; risicosturing rechtmatigheid en VIC

Een risicogerichte aanpak is nodig omdat niet alles volledig is dicht te timmeren met controles. Toch zijn er bepaalde risico’s in een proces als aanbesteding die geen aandacht behoeven. Het is wel belangrijk om vast te stellen welke processen binnen de eigen organisatie het meest risicovol zijn en welke belangrijke risico’s binnen die processen er zijn om te beheersen. Dit bepaalt welke en de hoeveelheid van controls / interne controles die uitgevoerd moeten worden. Het is hierbij belangrijk dat dit wel binnen de toleranties van de accountantscontrole ligt. Als dit niet zo is kan je voor verrassingen komen te staan bij de accountantscontrole.  

Let op dat een te hoge tolerantie (verantwoordingsgrens) leidt tot te weinig controls en bevindingen. Daarom vraagt dit wellicht een andere mindset en wellicht ook een andere inrichting en van de interne organisatie. De volwassenheid van de organisatie speelt hierbij een belangrijke rol. 

Volwassenheid rechtmatigheid of groeimodel

De invoering van een rechtmatigheidsverantwoording is niet zonder betekenis, maar de impact voor gemeenten moet ook niet worden overdreven. Voor veel gemeenten geldt dat er reeds is geïnvesteerd in de kwaliteit van de interne beheersing en de rechtmatigheid (verantwoording) al de vereiste aandacht krijgt. 

Van cruciaal belang is een betrouwbare rechtmatigheidsadministratie waaruit blijkt dat er rechtmatig wordt gehandeld. Vergelijk dit met een betrouwbare boekhouding voor de jaarrekening. Niet rechtmatig handelen zal gestructureerd en periodiek tot het College moeten komen. Een goede meldcultuur van issues (ook van near misses) helpt enorm om de focus op rechtmatig handelen te bevorderen. Zie voor enkele relevante kenmerken waaraan een rechtmatigheidsadministratie moet voldoen het onderdeel bouwblokken. 

Een andere mogelijkheid c.q. uitdaging is bijvoorbeeld: mocht de gemeente willen (bijvoorbeeld in het kader van efficiëntie) dat de externe accountant bij de controle van de jaarrekening steunt op de werkzaamheden van de interne auditfunctie, dan is dit aan zeer strenge eisen van de accountantsberoepsgroep onderworpen. Aan deze strenge eisen kan niet zomaar worden voldaan en je moet je afvragen of je dit als organisatie wel wilt. 

Voor de invulling van de rechtmatigheidsverantwoording binnen gemeenten zijn diverse varianten mogelijk welke zijn te plotten in een groeimodel (zie hieronder). Nummer 1 is wettelijk verplicht. Gemeenten kunnen ervoor kiezen om de verantwoording uit te breiden naar 2 en 3. Of je deze verantwoording wilt uitbreiden is afhankelijk van het ambitieniveau waarbij een In Control Statement het ultieme doel zou kunnen zijn. Het dringende advies van NARIS alsmede de NBA (Nederlandse Beroepsgroep voor Accountants) is om in eerste instantie alleen te focussen op nummer 1: de verantwoording gericht op de financiële rechtmatigheid en hantering van wettelijke normen. Dit is de wettelijke norm (minimum) en is al uitdaging genoeg. 

Om uiteindelijk te komen tot de meest complete verantwoording, de In Control Statement, zijn er verschillende mogelijkheden. Dit is te zien in het bovenstaande model. Afhankelijk van waar je staat als organisatie op het gebied van interne controle (in welke mate je interne controles doet op rechtmatigheid en AO/IB) kan je een route bepalen. 

Belangrijke kenmerken rechtmatigheidsadministratie 

Het is sterk aan te bevelen dat gemeenten een centrale registratie van alle (rechtmatigheids) bevindingen gedurende het jaar bijhouden. Zo kan gedurende het jaar het overzicht gehouden worden van bevindingen die mogelijk in een of meerdere boekjaren tot een onrechtmatigheid zullen leiden. Een centraal overzicht geeft tijdig inzicht in waar herstelacties en/of aanvullende werkzaamheden noodzakelijk zijn. Met het vastleggen van een centrale registratie kunnen de gemeente en de accountant daarnaast efficiënt steunen op (eerdere afgewikkelde) conclusies.  

In deze centrale registratie is het aan te bevelen onder meer de volgende kenmerken te documenteren voor de bevindingen: 

  • Uniek nummer/omschrijving van de bevinding; 
  • Proces en proceseigenaar;  
  • Details taakveld / grootboek / balanspost of bate / last; 
  • De omvang van de financiële onrechtmatigheid (waarschijnlijk/exact en/of maximaal) en de periode waar deze op betrekking heeft; 
  • Het totaal aan financiële onrechtmatigheden en impact op de rechtmatigheidsverantwoording; 
  • Aanbeveling en status opvolging;  
  • De keuze om wel of niet een herstelactie uit te voeren en status/tijdspad en impact voor het betreffende boekjaar; 
  • Of er sprake is van een bewuste keuze om af te wijken van wet- en regelgeving met verwijzing naar college/raadsbesluit.  

De accountant kan vervolgens op deze conclusies en overwegingen efficiënter een toets uitvoeren op de beweringen van het College van B&W inzake rechtmatigheid. 

Onderbouwing rechtmatigheidsverklaring

Gemeenten dienen een onderbouwing op te stellen voor de rechtmatigheidsverantwoording met als belangrijke basis de rechtmatigheidsadministratie zoals eerder genoemd. De onderbouwing van de rechtmatigheidsverantwoording kan bestaan uit de volgende werkzaamheden:

  • de uitkomsten van de interne controles,  
  • bevindingen n.a.v. gesprekken met management,  
  • bewuste keuzes om af te wijken van wet- en regelgeving (al heeft dit niet de voorkeur),  
  • fraudesignalen,  
  • uitgevoerde data-analyses etc.  

Vervolgens kan de interne controle worden onderbouwd door bijvoorbeeld: 

  • Risicoanalyse die alle financiële stromen afdekt; 
  • Kwaliteits- en risicobeoordeling van de interne processen en IT-systemen van de gemeente 
  • Plan van aanpak van de uitvoering van de interne controles 
  • Identificeren van de risicovolle stromen en de hoofdlijnen van de interne beheersing daarvan 
  • Bepalen van de omvang van de werkzaamheden (dit zal afhankelijk zijn van de hoogte van de verantwoordingsgrens die is overeengekomen met de gemeenteraad); 
  • Mix van werkzaamheden (controle testen, deelwaarnemingen, statistische steekproeven) 
  • Mogelijke inzet van data-analyse (randvoorwaarden); 
  • Verslag over de uitkomsten van de uitgevoerde interne controles. 

Zowel de accountant als de gemeente heeft een gezamenlijke verantwoordelijkheid om vroegtijdig afspraken te maken over de onderbouwing door de gemeente en controle door de accountant van de rechtmatigheidsverantwoording. 

Interne auditfunctie

Als gemeente is het belangrijk om een duidelijke keuze te maken welke en hoe de verdedigingslinies in te richten alsmede een keuze te maken in de positionering van de verdedigingslinies in de organisatie. Het inrichten van een interne auditfunctie (IAF) is bijv. geen vereiste voor een gemeente en komt dan ook vaker voor bij grotere gemeenten. Een optie kan bijvoorbeeld zijn om meer te investeren in de effectiviteit en de volwassenheid van de 2e lijn en te bepalen hoe sterk deze dan moet zijn. De interne invulling van de 3e lijn is ook belangrijk aangezien deze niet meer uitbesteed kan worden aan een eigen externe accountant. Het is dan belangrijk dat er voldoende mate van onafhankelijke toetsing in de organisatie aanwezig is. Dat betekent dat men hierin moet investeren door bijvoorbeeld het aannemen van een gekwalificeerde internal auditors met een onafhankelijke positie in de organisatie. Gebruikmaken van een Shared Service Center is eventueel een optie voor kleinere organisaties.

De praktijk is weerbarstig, de mogelijke dilemma’s van rechtmatigheidsverantwoording

De mogelijke dilemma’s waar men tegenaan loopt zijn onder andere:  

  • Een goede taakverdeling tussen de 1e, 2e en 3e lijn; 
  • Hoe vul je de 3e lijn in; 
  • Is de kwaliteit en kwantiteit van de werkzaamheden voldoende voor het interne oordeel maar zeker ook voor het oordeel van de externe accountant; 
  • De keuze voor een integrale aanpak (of niet); 
  • Bepalen welke beheersmaatregelen nodig zijn en welke toetsingswerkzaamheden moeten er worden uitgevoerd; 
  • Een goed Internal Control Framework ontwikkelen en gebruiken; 
  • In- en externe zaken rapporteren; 
  • Welke bewijzen / documentatie moet ik minimaal vastleggen voor alle betrokkenen en op welke manier; 
  • Is de afstemming met de externe accountant wel goed geregeld? 
  • Is de cultuur van de organisatie ondersteunend aan dit verbeterproces? 
  • etc. 

Advies als eerste stap

Maak een nulmeting en bespreek de uitkomsten alsmede de dillema’s, maak keuzes, werk deze keuzes uit, communiceer dit en maak hier duidelijke afspraken over. De stappen die minimaal in het gehele proces moet zitten en als leidraad gebruikt kan worden staat in het 10-stappen plan hieronder. 

Het 10-stappen plan 
De belangrijkste 10 stappen in de aanpak kunnen zijn: 

  1. Voer een nulmeting uit over waar de organisatie staat m.b.t. de relevante thema’s stel vast waar verbetering nodig is. Bespreek de uitkomsten alsmede de dillema’s, maak keuzes, werk dat uit, communiceer dit en maak hier duidelijke afspraken over. 
  2. Schep duidelijkheid over de organisatie-inrichting en verdeling van taken, verantwoordelijkheden en bevoegdheden. Kies hierbij voor een integrale aanpak zeker omdat de verantwoording ook integraal is voor zowel de jaarrekening als de rechtmatigheidsverantwoording. 
  3. Creëer draagvlak binnen de organisatie tot op het hoogste niveau (zij moeten immers de verantwoording afleggen), regel formeel commitment en doe dat bijvoorbeeld in het proces van de officiële besluitvorming 
  4. Ontwikkel een nieuwe of professionaliseer het reeds bestaande Internal Control Framework (ICF). Bepaal gelijktijdig hoe de rechtmatigheidsadministratie eruit moet komen te zien en hoe dit past binnen het ICF (wellicht kan hier gebruik worden gemaakt van het algemene ICF voor decentrale overheden dat binnenkort gemaakt gaat worden en de kenmerken die de NBA adviseert). 
  5. Stem het ICF (inclusief het interne controleplan) tijdig af met de externe accountant en maak afspraken over hoe de onafhankelijkheid in de interne controle het beste kan worden geborgd (bijv.: laat de externe accountant de selectie voor de steekproeven bepalen) 
  6. Voer het ICF in en verdeel de uit te voeren taken (beheersmaatregelen, interne controles etc.) over de 1e, 2e en 3e lijn. Denk hierbij aan de vaststelling van de opzet, bestaan en werking van een beheersmaatregel / interne controles. 
  7. Start tijdig met de uitvoering van de werkzaamheden zoals opgenomen in het controleplan. Idealiter is dit een doorlopend proces. 
  8. Zorg voor adequate vastlegging (dossiervorming) van de interne controles zodat er een toereikende audittrail ontstaat. Stem dit af met externe accountant of dit van voldoende niveau is. 
  9. Rapporteer periodiek over de bevindingen aan het College en andere relevante afdelingen. Ontwikkel hiervoor een adequate rapportage. 
  10. Zorg overkoepelend voor een zichtbaar en aantoonbaar proces van continue verbetering door middel van het continue oplossen van de meest relevante bevindingen. Maak de Plan DCheck Act cirkel af! 

Meer weten over de actuele ontwikkelingen op gebied van rechtmatigheidsverantwoordingen?

Er zijn veel documenten te vinden die over dit onderwerp gaanHierin staat belangrijke informatie en bevat zaken die je in de gaten moet houden. 

Externe accountants kunnen vanzelfsprekend terecht bij de NBA via de bekende kanalen. Mocht u als interne auditor of controller willen sparren over dit onderwerp of hulp kunnen gebruiken, neem dan gerust contact op met NARIS 

Voor de meeste vragen over de actuele ontwikkelingen kan je terecht bij: 

Over de auteur
Over de auteur

Robert ’t Hart is directeur van Naris. Hij is een veel gevraagde spreker op congressen vanwege zijn positieve kijk op het onderwerp risicomanagement. Daarnaast is hij een enthousiaste blogger over de nieuwste ontwikkelingen. Als docent is Robert verbonden aan de Universiteit Twente en Haagse Hogeschool en tevens is hij trainer aan de Naris Risk Academy. Hij is thuis op het gebied van governance en risicomanagement en helpt organisaties bij het daadwerkelijk implementeren daarvan. Risico-cultuur en het creëren van draagvlak behoort tot zijn expertise.

Meer artikelen: