Partners in doelbewust management
I1I
JAA
R V E R S L A G VAN HE I N T E T AU D RN E A ITCO UD M IT
P TSCHA N E G T A AAMSE ADMINISTR E AT H L V IE N E I2 DE E IT A N 01 V 3
JAARVERSLAG VAN HET AUDITCOMITÉ EN HET AGENTSCHAP INTERNE AUDIT VAN DE VLAAMSE ADMINISTRATIE 2013
INTERNE AUDIT VAN DE VLAAMSE ADMINISTRATIE BOUDEWIJNGEBOUW, 5
BOUDEWIJNLAAN 30 1000 BRUSSEL
DE
VERDIEPING
Inhoudstafel INHOUDSTAFEL ...................................................................................................................................... 5 VOORWOORD ......................................................................................................................................... 8 HOOFDSTUK I: STRATEGISCHE BESCHOUWINGEN EN REFLECTIES VAN HET AUDITCOMITÉ VAN DE VLAAMSE ADMINISTRATIE .................................................................................................................... 11 1 HET UITGEBREIDE EN HETEROGENE AUDITUNIVERSUM VAN DE INTERNE AUDIT VAN DE VLAAMSE ADMINISTRATIE .................................................................................................................... 11 1.1
DE ORGANISATIESTRUCTUUR VAN DE VLAAMSE ADMINISTRATIE ......................................................... 11
1.2
HET AUDITUNIVERSUM VAN DE INTERNE AUDIT VAN DE VLAAMSE ADMINISTRATIE ................................ 11
1.3
DE IMPLEMENTATIE VAN DE ZESDE STAATSHERVORMING .................................................................... 13
2 DE UITBREIDING VAN HET AUDITUNIVERSUM MET DE LOKALE BESTUREN EN DE OMVORMING VAN HET AGENTSCHAP INTERNE AUDIT VAN DE VLAAMSE ADMINISTRATIE TOT HET AGENTSCHAP AUDIT VLAANDEREN .................................................................................................... 13 3 DE BELANGRIJKE ELEMENTEN VAN DE AUDITSTRATEGIE VAN DE INTERNE AUDIT VAN DE VLAAMSE ADMINISTRATIE .................................................................................................................... 15 3.1
DE ORGANISATIEBEHEERSING EN DE MATURITEITSINSCHATTINGEN IN DAT VERBAND ............................. 15
3.2
THEMA-AUDITS EN PROCESAUDITS .................................................................................................. 18
3.3
AD-HOCOPDRACHTEN, FORENSISCHE AUDITS EN DETECTIE-AUDITS ..................................................... 21
3.4
RISICOANALYSE EN RISICOMANAGEMENT .......................................................................................... 22
3.5
DE OPVOLGING VAN DE REALISATIE VAN DE AUDITAANBEVELINGEN .................................................... 24
3.6
DE BELEIDSGERICHTE RAPPORTEN .................................................................................................. 25
4
DE INVULLING VAN DE INTERNE AUDITFUNCTIE BINNEN DE VLAAMSE ADMINISTRATIE .... 26
4.1
BASISPRINCIPES VAN HET “HOLDINGMODEL” EN SAMENWERKINGS-PROTOCOLLEN ................................ 26
4.2
JAARLIJKSE OVERLEGVERGADERING MET DE VOORZITTERS VAN DE (DECENTRALE) AUDITCOMITÉS VAN DE PUBLIEKRECHTELIJK VORMGEGEVEN EXTERN VERZELFSTANDIGDE AGENTSCHAPPEN EN DE VRT ......................... 27 HOOFDSTUK II: ACTIVITEITENVERSLAG VAN HET AUDITCOMITÉ VAN DE VLAAMSE ADMINISTRATIE ............................................................................................................................................................... 29 1
SAMENSTELLING VAN HET AUDITCOMITÉ VAN DE VLAAMSE ADMINISTRATIE ...................... 29
1.1
REGLEMENTERING INZAKE DE SAMENSTELLING VAN HET AUDITCOMITÉ VAN DE VLAAMSE ADMINISTRATIE 29
1.2
LEDEN VAN HET AUDITCOMITÉ VAN DE VLAAMSE ADMINISTRATIE IN 2013 ........................................... 30
1.3
VERGOEDINGEN VAN DE LEDEN VAN HET AUDITCOMITÉ VAN DE VLAAMSE ADMINISTRATIE ..................... 31
1.4
ACTUELE SAMENSTELLING VAN HET AUDITCOMITÉ VAN DE VLAAMSE ADMINISTRATIE............................. 31 -5-
2
VERGADERINGEN VAN HET AUDITCOMITÉ VAN DE VLAAMSE ADMINISTRATIE .................... 32
2.1
VERGADERFREQUENTIE ................................................................................................................. 32
2.2
MEDEDELING VAN DE NOTULEN VAN DE VERGADERINGEN AAN DE VLAAMSE REGERING ........................ 32
3
OVERZICHT VAN DE BEHANDELDE AGENDAPUNTEN/ AANGELEGENHEDEN ........................ 33
3.1
ALGEMEEN OVERZICHT................................................................................................................... 33
3.2
OVERZICHT VAN DE BEHANDELDE AGENDAPUNTEN/ AANGELEGENHEDEN PER RUBRIEK ........................ 33 INTERNE EN EXTERNE WERKING VAN HET AUDITCOMITÉ VAN DE VLAAMSE ADMINISTRATIE ........................ 33
3.2.1. 3.2.2. UITBOUW EN INTERNE ORGANISATIE/WERKING VAN HET AGENTSCHAP INTERNE AUDIT VAN DE VLAAMSE ADMINISTRATIE/AUDIT VLAANDEREN ........................................................................................................... 35 3.2.3. AANSTURING, OPVOLGING EN FEEDBACK TEN AANZIEN VAN HET AGENTSCHAP IAVA, MET INBEGRIP VAN AUDITAANPAK EN -RAPPORTEN.................................................................................................................... 36 3.2.4. AUDITUNIVERSUM, CONTROLEOMGEVING, BELEIDSAANGELEGENHEDEN, -ADVIEZEN EN REFLECTIES ............. 38 4
OVERZICHT VAN DE RELEVANTE REGLEMENTERING .............................................................. 41
HOOFDSTUK III: ACTIVITEITENVERSLAG 2013 VAN HET AGENTSCHAP INTERNE AUDIT VAN DE VLAAMSE ADMINISTRATIE (IAVA)......................................................................................................... 42 1.
INLEIDING.................................................................................................................................... 42
1.1.
VOORWOORD VAN DE ADMINISTRATEUR-GENERAAL IAVA ................................................................ 42
1.2.
INTEGRATIE VAN HET ACTIVITEITENVERSLAG IN HET JAARVERSLAG VAN HET AUDITCOMITÉ .................... 43
2.
OPDRACHTFORMULERING VAN IAVA ....................................................................................... 44
2.1.
MISSIE EN VISIE VAN IAVA ............................................................................................................. 44
2.2.
OPDRACHT .................................................................................................................................. 44
2.3.
AUDITUNIVERSUM......................................................................................................................... 44
2.4.
BEHEERSOVEREENKOMST 2011- 2015 .............................................................................................. 44
2.5.
AUDITSTRATEGIE 2011- 2015 ......................................................................................................... 45
3.
BELEIDSGERICHTE RAPPORTEN ................................................................................................ 46
3.1.
MATURITEIT INZAKE ORGANISATIEBEHEERSING.................................................................................. 48
3.2.
OPVOLGING VAN DE AANBEVELINGEN .............................................................................................. 48
3.3.
RISICOMANAGEMENT ..................................................................................................................... 50
4.
AUDITOPDRACHTEN .................................................................................................................. 52
4.1.
4.1.1. 4.1.2. 4.1.3.
THEMA-AUDITS ............................................................................................................................. 52 THEMA-AUDIT INSPECTIE/HANDHAVING ............................................................................................ 52 THEMA-AUDIT ICT-CONTRACTBEWAKING .......................................................................................... 54 THEMA-AUDIT INFORMATIEVEILIGHEID .............................................................................................. 56
4.2.
PROCESAUDITS ............................................................................................................................. 56
4.3.
DETECTIE-AUDITS ......................................................................................................................... 57
-6-
4.4.
FORENSISCHE OPDRACHTEN ........................................................................................................... 57
5.
SINGLE AUDIT ............................................................................................................................. 58
5.1.
HOLDINGMODEL ........................................................................................................................... 58
5.2.
AFSPRAKENNOTA’S TUSSEN DE CONTROLEACTOREN ......................................................................... 58
5.3.
UITVOERINGSBESLUIT REKENDECREET............................................................................................. 59
6.
SENSIBILISEREN EN INFORMEREN ............................................................................................. 60
6.1.
UITBOUW KENNISDATABANK .......................................................................................................... 60
6.2.
DE WERKGROEP INTERNE CONTROLE EN DE TECHNISCHE WERKGROEP INTERNE CONTROLE (TWIC) .... 60
6.3.
HET BUREAU INTEGRITEIT ............................................................................................................. 61
6.4.
HET NETWERK ORGANISATIEBEHEERSING ........................................................................................ 62
6.5.
ANKERPUNTEN ............................................................................................................................. 63
6.6.
NIEUWSBRIEVEN ........................................................................................................................... 63
6.7.
VONET EN INTERNET ..................................................................................................................... 63
6.8.
SEMINARS EN TOELICHTINGEN......................................................................................................... 64
7.
OPTIMALISEREN VAN DE INTERNE WERKING .......................................................................... 65
7.1.
EFFICIËNTE EN EFFECTIEVE AUDITAANPAK (E2A) ............................................................................. 65 DE TIJDSBESTEDING AAN AUDITOPDRACHTEN .................................................................................... 65 DE REALISATIEGRAAD VAN AANBEVELINGEN....................................................................................... 67 DE BELEIDSGERICHTE RAPPORTEN ................................................................................................... 67
7.2.
PLANNING EN MIDDELEN ................................................................................................................ 68 REALISATIE PLANNING 2013 ............................................................................................................ 68 INZET VAN MENSEN ........................................................................................................................ 68
7.1.1. 7.1.2. 7.1.3. 7.2.1. 7.2.2. 8.
AUDIT VLAANDEREN.................................................................................................................. 71
8.1.
SITUERING TRAJECT EXTERNE AUDIT VOOR LOKALE BESTUREN .......................................................... 71
8.2.
HET AUDITDECREET VAN 5 JULI 2013 ............................................................................................. 71
8.3.
IAVA EN DE ORGANISATIE VAN AUDITS IN DE LOKALE BESTUREN ....................................................... 71
-7-
VOORWOORD - Dit is het twaalfde jaarverslag van de interne audit en het auditcomité van de Vlaamse administratie. Het is meteen ook het laatste jaarverslag dat onder die titel en met (enkel) de audit van de Vlaamse administratie als voorwerp zal gepubliceerd worden. Ingevolge het Auditdecreet van 5 juli 2013 en een besluit van de Vlaamse Regering van 18 oktober 2013 is immers, met ingang van 1 januari 2014, het werkterrein van het agentschap Interne Audit van de Vlaamse Administratie (IAVA) uitgebreid met de lokale besturen. Het agentschap IAVA zelf werd, eveneens met ingang van 1 januari 2014, uitgebreid en omgevormd tot het agentschap Audit Vlaanderen. De aansturing van en het toezicht op het agentschap Audit Vlaanderen gebeurt door twee auditcomités: het auditcomité van de Vlaamse administratie en het (nieuw opgerichte) auditcomité van de lokale besturen. In de loop van 2013 hebben het auditcomité en het management van IAVA hun actieve medewerking verleend aan de voorbereiding van deze belangrijke uitbreiding van het audituniversum, de omvorming van het agentschap en de nieuwe structuur voor de aansturing en het toezicht. - Het auditcomité heeft in 2013 ook, zoals voorheen, de nodige aandacht besteed aan de uitwerking, de optimalisering en de uitvoering van een auditstrategie die is aangepast aan het uitgebreide en heterogene audituniversum van de Vlaamse administratie. Een belangrijke verwezenlijking in 2013 was de oplevering, in december, van de beleidsgerichte rapporten aan de ministers van de Vlaamse Regering, ieder voor wat de entiteiten onder zijn/haar bevoegdheid betreft. De beleidsgerichte rapporten beogen, op overzichtelijke en synthetische wijze, inzicht te geven in de stand van zaken en de evolutie met betrekking tot de maturiteitsinschatting inzake organisatiebeheersing en de ondernomen acties ter zake, over de realisatiegraad van de auditaanbevelingen, en de uitbouw en de implementatie van een systeem van risicomanagement. Deze rapporten maakten het mogelijk, voor de eerste maal sinds de uitvoering van de validatieaudits betreffende de maturiteitsniveaus van de organisatiebeheersing per eind 2010, voor alle entiteiten een actualisatie te geven van de maturiteitsinschattingen en een beeld van de evolutie ervan over de periode van 2010 tot 2013. De conclusie is positief, vermits het maturiteitsniveau (gemiddelde waarden) van de organisatiebeheersing tussen einde 2010 (maturiteitsinschattingen via validatie-audits) en 2013 (maturiteitsinschattingen in de beleidsgerichte rapporten) gestegen is voor alle thema’s en doelstellingen. De audits van de organisatiebeheersing en de maturiteitsinschattingen in dat verband zullen ook in 2014 en volgende jaren een belangrijk onderdeel blijven vormen van de auditstrategie. - Sinds 2011 vindt jaarlijks een vergadering plaats van een delegatie van de Vlaamse Regering en haar secretaris met een delegatie van het auditcomité van de Vlaamse administratie en de administrateur-generaal van IAVA.
-8-
Deze vergaderingen resulteren in belangrijke afspraken en beslissingen, onder meer inzake de stimulering van de realisatie van de auditaanbevelingen. Zo moet, ingevolge een beslissing van de Vlaamse Regering van 30 maart 2012, iedere leidend ambtenaar in het kader van de jaarlijkse evaluatie aan zijn/haar functioneel bevoegde minister rapporteren over de wijze waarop werd omgegaan met de aanbevelingen uit de verschillende audits van IAVA; iedere leidend ambtenaar dient ook, in het kader van de jaarlijkse planning, aan te geven op welke wijze zal omgegaan worden met de aanbevelingen uit de verschillende audits van IAVA. Om dit te faciliteren moet IAVA, naast een jaarlijkse algemene rapportering (beleidsgerichte rapporten), elke stand van zaken die zij opmaakt inzake de uitvoering van de aanbevelingen ter informatie bezorgen aan de verschillende ministers (momenteel twee maal per jaar). In 2013 werd dan ook opnieuw veel aandacht besteed aan de systematische opvolging van de realisatie van de auditaanbevelingen en de rapportering daarover. De meest recente resultaten van de opvolging van de uitvoering van de auditaanbevelingen geven een gunstige evolutie aan. De globale realisatiegraad van alle tot eind 2013 opgevolgde auditaanbevelingen voor het geheel van de Vlaamse administratie steeg immers van 71% eind 2012 tot 82% eind 2013. - Wat de uitvoering van de auditaanbevelingen die werden geformuleerd in de thema-audits betreft, wordt evenwel een lage realisatiegraad vastgesteld. Een structureel probleem is het aanwijzen van een entiteit of orgaan die de verantwoordelijkheid opneemt voor de realisatie van de auditaanbevelingen wanneer het organisatiebrede aangelegenheden betreft. Nadat een entiteit of orgaan is aangewezen stelt zich dan nog het probleem dat deze op voldoende medewerking van de andere entiteiten of organen moet kunnen rekenen om de auditaanbevelingen te realiseren. Ook een gebrek aan politieke en ambtelijke gedragenheid, en traagheid door het ontbreken van en/of langdurig zoeken naar consensus om tot realisatie van de aanbevelingen te komen, zijn mogelijke oorzaken voor de lage realisatiegraad. Sinds 2012 wordt er naar gestreefd om nieuwe thema-audits te finaliseren vooraleer het jaarlijks overleg van een delegatie van het auditcomité met de kernministers van de Vlaamse Regering plaatsvindt; zodoende kan het nemen van beslissingen ter bespoediging van de realisatie van de auditaanbevelingen mede vanuit dit overleg gestimuleerd worden. Een verdere nauwgezette systematische opvolging van de realisatie van de auditaanbevelingen van de thema-audits wordt door het auditcomité noodzakelijk geacht, aangezien de (volledige) implementatie van alle aanbevelingen een langdurige en volgehouden inspanning zal vragen, zowel op het vlak van de voorbereiding, de draagvlakverwerving, de beslissingsbereidheid op beleidsniveau, als de concrete uitvoering op het terrein. - Vanaf 2012 werd meer ingezet op risicoanalyse en risicomanagement op entiteitsniveau en het zoeken naar een optimale aanpak voor de ondersteuning van het lijnmanagement op dat vlak. Voor de risicoanalyse en het stimuleren van de entiteiten inzake de uitbouw van risicomanagement wordt samengewerkt met de ankerpunten organisatiebeheersing en het lijnmanagement in de entiteiten. In de mate van het mogelijk worden ook andere controleactoren hierbij betrokken. Het lopend project risicomanagement beoogt het risicobewustzijn bij alle entiteiten te verhogen; het project wil hen ook stimuleren om zicht te krijgen op de belangrijkste risico’s die de realisatie van hun organisatiedoelstellingen bedreigen en de gepaste beheersmaatregelen te nemen ten einde die risico’s te beheersen.
-9-
Het project risicomanagement loopt over de periode 2013-2014 en voorziet ondersteuning van alle entiteiten op twee niveaus: * het verlenen van bilaterale ondersteuning door IAVA bij het doorlopen van de verschillende fases van risicomanagement, voor ten minste één door de entiteit zelf gekozen belangrijk proces; * het opzetten van een structuur met het oog op maximale onderlinge kennisdeling (via een leernetwerk risicomanagement met workshops), in samenwerking met de entiteiten, en met faciliterende ondersteuning. De aanpak inzake kennisdeling voorziet in de aanvangsperiode een inhoudelijke begeleiding en coördinatie door IAVA, die echter geleidelijk moet evolueren naar een zelfsturend leernetwerk. De beide ondersteuningstrajecten werden in de eerste maanden van 2013 opgestart en lopen nog door tot eind 2014. Het auditcomité en IAVA willen daarbij beklemtonen dat risico-identificatie en risicomanagement tot de verantwoordelijkheid van het lijnmanagement behoren, als onderdeel van de interne controle, zoals ook bepaald wordt in het besluit van de Vlaamse Regering van 7 september 2012 betreffende controle en single audit. - Naast de audits van de organisatiebeheersing en de maturiteitsinschattingen ter zake, de themaaudits, de systematische opvolging van de realisatie van de auditaanbevelingen, de beleidsgerichte rapporten, en de ondersteuning van het risicomanagement, maken ook de uitvoering van procesaudits, detectie-audits, forensische audits en ad-hocopdrachten deel uit van de auditstrategie. - IAVA en het auditcomité zetten zich loyaal in om met de beperkte budgettaire en personeelsmiddelen een maximum aan resultaat en rendement te behalen. Er blijft een spanningsveld bestaan, tussen een ideale situatie met een groter aantal personeelsleden die zou toelaten de zekerheidsverstrekkende functie uitgebreider in te vullen, en de reële situatie die rekening houdt met de begrotingsdoelstellingen en de beschikbare budgettaire middelen. Het aantal personeelsleden waarover IAVA beschikt, in verhouding tot het uitgebreide en heterogene audituniversum van de Vlaamse administratie, maken het voor het auditcomité en IAVA noodzakelijk om keuzes te maken die beogen te resulteren in een daarop afgestemde en aangepaste auditstrategie en wijze van afdekking van het audituniversum. In dit verband vormen ook de afstemming en de samenwerking met de andere controleactoren voor het auditcomité en IAVA een belangrijk en permanent aandachts- en actiepunt. - Vanaf 2014 en volgende jaren zal ook de nodige aandacht moeten worden besteed aan een evenwichtige en adequate verdeling van de werkzaamheden en middelen tussen de interne audit van de Vlaamse administratie en de externe audit van de lokale besturen, en aan de implicaties van de implementatie van de zesde staatshervorming op de interne audit van de Vlaamse administratie. - Het auditcomité heeft zijn opdracht met zin voor verantwoordelijkheid uitgevoerd en dankt de Vlaamse Regering voor het in haar gestelde vertrouwen. Het auditcomité dankt de administrateur-generaal en de medewerkers van het agentschap Interne Audit van de Vlaamse Administratie, alsook alle entiteiten van de Vlaamse administratie voor de geleverde inspanningen en de behaalde resultaten.
Martine Verluyten Voorzitter van het auditcomité van de Vlaamse administratie
- 10 -
HOOFDSTUK I: Strategische beschouwingen en reflecties van het auditcomité van de Vlaamse administratie 1 Het uitgebreide en heterogene audituniversum van de interne audit van de Vlaamse administratie Aangezien het uitgebreide en heterogene audituniversum van de interne audit van de Vlaamse administratie een belangrijke bepalende factor is voor de ontwikkelde auditstrategie, wordt vooreerst de nodige toelichting verstrekt over dit audituniversum.
1.1 De organisatiestructuur van de Vlaamse administratie Voor een goed inzicht in het audituniversum is het aangewezen om vooreerst in het kort de organisatiestructuur van de Vlaamse administratie, zoals die een aantal jaren geleden werd vernieuwd in het kader van de operatie “Beter Bestuurlijk Beleid”, te schetsen. Deze organisatiestructuur is gebaseerd op volgende krachtlijnen, die werden vastgelegd in het kaderdecreet bestuurlijk beleid van 18 juli 2003: de Vlaamse administratie wordt opgebouwd op basis van homogene beleidsdomeinen; per beleidsdomein wordt een Vlaams ministerie opgericht, dat bestaat uit een departement en intern verzelfstandigde agentschappen (IVA’s) zonder rechtspersoonlijkheid; in ieder beleidsdomein kunnen ook intern verzelfstandigde agentschappen (IVA’s) met rechtspersoonlijkheid worden opgericht; in ieder beleidsdomein kunnen ook publiekrechtelijk of privaatrechtelijk vormgegeven extern verzelfstandigde agentschappen (EVA’s) worden opgericht; kenmerkend voor deze agentschappen is dat zij elk worden bestuurd door een eigen raad van bestuur. Een besluit van de Vlaamse Regering van 3 juni 2005 met betrekking tot de organisatie van de Vlaamse administratie, deelde de structuur in op basis van 13 beleidsdomeinen, en richtte voor elk van deze beleidsdomeinen een departement op. De oprichting van de agentschappen gebeurt via specifieke oprichtings-/machtigingsdecreten of besluiten. De effectieve opstart en inwerkingtreding van de nieuwe beleidsdomeinen, departementen en (het merendeel van) de agentschappen vond grotendeels plaats in de loop van 2006. De organisatiestructuur van de Vlaamse administratie is geen statisch gegeven. Dit komt tot uiting in het feit dat soms nog nieuwe agentschappen worden opgericht of andere transformaties doorgaan.
1.2 Het audituniversum van de interne audit van de Vlaamse administratie In de voormelde organisatiestructuur van de Vlaamse administratie omvat het werkterrein van het agentschap Interne Audit van de Vlaamse Administratie (IAVA), overeenkomstig artikel 34 van het kaderdecreet bestuurlijk beleid van 18 juli 2003: - de departementen; - de intern verzelfstandigde agentschappen (IVA’s); - de publiekrechtelijk vormgegeven extern verzelfstandigde agentschappen (EVA’s).
- 11 -
Daarnaast omvat het werkterrein, ingevolge een specifieke bepaling in de decreten betreffende de radio-omroep en de televisie, ook de VRT. De privaatrechtelijk vormgegeven extern verzelfstandigde agentschappen maken geen deel uit van het werkterrein. De ruime omvang van het audituniversum kan worden geïllustreerd aan de hand van volgende indicatieve cijfers over het aantal entiteiten, het aantal personeelseffectieven en de financiële materialiteit: - het werkterrein zoals hogervermeld omvatte eind 2013 68 entiteiten, zijnde de 13 departementen (één in ieder beleidsdomein), 29 intern verzelfstandigde agentschappen zonder rechtspersoonlijkheid, 10 intern verzelfstandigde agentschappen met rechtspersoonlijkheid, 15 publiekrechtelijk vormgegeven extern verzelfstandigde agentschappen, en de VRT; in voormeld aantal is het agentschap IAVA zelf niet meegerekend, evenmin als 3 publiekrechtelijk vormgegeven extern verzelfstandigde agentschappen die in 2008 en 2009 bij decreet werden opgericht maar eind 2013 nog niet operationeel waren; - aantal personeelseffectieven: ongeveer 38.700; - financiële materialiteit: ruim 28,3 miljard euro. Bij decreet van 12 december 2008 werd een aanpassing van artikel 34 van het kaderdecreet bestuurlijk beleid van 18 juli 2003 doorgevoerd, waardoor ook de Vlaamse Openbare Instellingen van categorie A (zoals bedoeld in de wet van 16 maart 1954 betreffende de controle op sommige instellingen van openbaar nut) en de Eigen Vermogens formeel aan het werkterrein van IAVA werden toegevoegd. Dit gebeurde vanuit de vaststelling dat, onverminderd de vernieuwde organisatiestructuur van de Vlaamse administratie en de omschrijving van het werkterrein van IAVA zoals bepaald in het initiële artikel 34 van het kaderdecreet bestuurlijk beleid, de voornoemde categorieën van instellingen zijn blijven bestaan, en dat deze, hoewel zij over een eigen rechtspersoonlijkheid beschikken, toch in zeer nauwe samenhang met bepaalde van de entiteiten van het audituniversum functioneren. Door de nauwe verwevenheid werd het logisch geacht dat deze instellingen de facto, samen met het betrokken departement of agentschap, tot het werkterrein van IAVA behoren, en een decretale aanpassing doorgevoerd op basis waarvan het werkterrein van IAVA de jure in overeenstemming werd gebracht met de de facto situatie. Het betreft in totaal 13 Vlaamse Openbare Instellingen van categorie A, die fungeren als budgettaire beheersvorm, zonder eigen personeel, en 5 Eigen Vermogens. Betreffende het audituniversum dient voor de volledigheid ook vermeld dat in 2009 de taakstelling van IAVA werd uitgebreid met de uitvoering, zo nodig, van administratieve onderzoeken bij de kabinetten van de leden van de Vlaamse Regering; dergelijke onderzoeken kunnen worden uitgevoerd op vraag van de minister-president of op vraag van de Vlaamse Regering. In de loop van 2014 (stand van zaken tot eind april 2014) werden 3 intern verzelfstandigde agentschappen zonder rechtspersoonlijkheid uit 3 verschillende beleidsdomeinen geïntegreerd in de respectievelijke departementen van de desbetreffende beleidsdomeinen, zodat het aantal intern verzelfstandigde agentschappen zonder rechtspersoonlijkheid inmiddels verminderde tot 26 (het agentschap Audit Vlaanderen niet meegerekend). Anderzijds werd, met ingang van 1 januari 2014, een nieuw bijkomend publiekrechtelijk vormgegeven extern verzelfstandigd agentschap operationeel. Wat de heterogeniteit van het audituniversum betreft, kan verwezen worden naar de talrijke en zeer uiteenlopende bevoegdheden die door de Grondwet en de bijzondere wet van 8 augustus 1980 tot hervorming der instellingen aan de Gemeenschappen en Gewesten zijn toegewezen. De voormelde entiteiten binnen het werkterrein zijn belast met de uitvoering van de diverse beleidsondersteunende en beleidsuitvoerende taken inzake de aangelegenheden die tot de bevoegdheid van de Vlaamse Gemeenschap/het Vlaamse Gewest behoren.
- 12 -
1.3 De implementatie van de zesde staatshervorming In het kader van de zesde staatshervorming zullen, vanaf 1 juli 2014, belangrijke bevoegdheden worden overgedragen van het federale niveau naar de Gemeenschappen en Gewesten. Vanaf 2015 zullen ook de daarbijhorende financiële middelen en personeelsleden worden overgedragen. Dit zal een weerslag hebben op het werkterrein van de interne audit van de Vlaamse administratie, en de financiële materialiteit en het aantal personeelseffectieven van dat werkterrein. De overdracht van financiële middelen aan de Vlaamse Gemeenschap/het Vlaamse Gewest ingevolge de zesde staatshervorming wordt voor het jaar 2015 door het departement Financiën en Begroting geraamd op 9,2 miljard euro. Het aantal over te dragen personeelsleden wordt geraamd op ongeveer 2.300 VTE. Er is geen overheveling voorzien van financiële of personeelsmiddelen voor auditactiviteiten. Op de vergadering van 15 januari 2014 met de kernministers van de Vlaamse Regering heeft de delegatie van het auditcomité de aandacht gevestigd op de uitbreiding van het audituniversum ten gevolge van de overdracht van bevoegdheden in het kader van de zesde staatshervorming en de mogelijke impact hiervan op de capaciteit en mogelijkheden van het agentschap Audit Vlaanderen.
2 De uitbreiding van het audituniversum met de lokale besturen en de omvorming van het agentschap Interne Audit van de Vlaamse Administratie tot het agentschap Audit Vlaanderen Het Auditdecreet van 5 juli 2013 en het besluit van de Vlaamse Regering van 18 oktober 2013 tot oprichting van het intern verzelfstandigd agentschap Audit Vlaanderen en tot wijziging van diverse besluiten hebben, met ingang van 1 januari 2014, zeer substantiële implicaties voor het agentschap Interne Audit van de Vlaamse Administratie (IAVA). Het audituniversum, dat tot 31 december 2013 enkel de Vlaamse administratie omvatte (zie punt 1 Het uitgebreide en heterogene audituniversum van de interne audit van de Vlaamse administratie, p. 11), is vanaf 1 januari 2014 uitgebreid met: - de gemeenten; - de autonome gemeentebedrijven; - de openbare centra voor maatschappelijk welzijn (OCMW); - de verenigingen, vermeld in titel VIII, hoofdstuk I, van het decreet van 19 december 2008 betreffende de organisatie van de openbare centra voor maatschappelijk welzijn, met uitzondering van de verenigingen die een ziekenhuis beheren; - de provincies; - de autonome provinciebedrijven. De voormelde uitbreiding van het audituniversum omvat in totaal momenteel ongeveer 840 entiteiten. Ingevolge deze uitbreiding van het audituniversum is het agentschap Interne Audit van de Vlaamse Administratie (IAVA) uitgebreid en omgevormd, met ingang van 1 januari 2014, tot het agentschap Audit Vlaanderen. De aansturing van en het toezicht op het agentschap Audit Vlaanderen zal door twee auditcomités gebeuren, met name door het auditcomité van de Vlaamse administratie en door het (nieuw opgerichte) auditcomité van de lokale besturen.
- 13 -
Ter bevordering van de consistente en coherente uitoefening van de aansturing en het toezicht door deze twee auditcomités, is de voorzitter van het auditcomité van de Vlaamse administratie ook lid van het auditcomité van de lokale besturen en, andersom, de voorzitter van het auditcomité van de lokale besturen ook lid van het auditcomité van de Vlaamse administratie. De projectleider die belast was met de voorbereiding van de implementatie van de externe audit in de lokale besturen, was een personeelslid van het Agentschap voor Binnenlands Bestuur. In de loop van 2013 werd door deze projectleider regelmatig betreffende diverse aangelegenheden het advies en/of het standpunt ingewonnen van het auditcomité van de Vlaamse administratie. De externe audit van de lokale besturen zou moeten leiden tot een betere organisatiebeheersing bij de lokale besturen. Globale organisatie-audits zullen een algemene uitspraak doen over de uitbouw van de belangrijkste componenten van het systeem van interne controle op organisatieniveau; dit type van audits is vergelijkbaar met de audits van de organisatiebeheersing die IAVA uitvoert bij de entiteiten van de Vlaamse administratie. Zoals dit eerder ook gebeurde voor de Vlaamse administratie, werd in de loop van 2013 door de projectleider en een projectmedewerkster een leidraad interne controle/organisatiebeheersing voor de lokale besturen uitgewerkt. Deze leidraad is bedoeld als een door de lokale besturen gedragen referentiekader, op basis waarvan de externe audit het systeem van interne controle binnen de lokale besturen evalueert. De definitieve versie van de leidraad is beschikbaar en gepubliceerd sinds einde februari 2014; de leidraad kwam tot stand met ruime inbreng, betrokkenheid en consultatie van de lokale besturen, teneinde een zo groot mogelijke afstemming op de specifieke situatie van de lokale besturen en een zo groot mogelijke gedragenheid te bewerkstelligen. Naast organisatie-audits zullen ook thema-audits uitgevoerd worden, die zich toespitsen op een beperkt domein van de organisatie (bijvoorbeeld één of meerdere kernprocessen) en over een relatief groot aantal besturen kunnen herhaald worden. Verder is ook de uitvoering van forensische audits voorzien, bij indicaties van fraude, en adhocopdrachten. Medio 2013 werd een eerste procedure gestart voor de aanwerving van een aantal auditoren, en een manager-auditor voor de audit van de lokale besturen. Deze eerste wervingsronde leidde tot de selectie van 7 auditoren; ook de manager-auditor werd aangesteld. Begin 2014 werd een nieuwe wervingsronde gestart, met het oog op de aanwerving van een aantal bijkomende auditoren. De berekeningen voor de inschatting van de totale personeelsbehoeften zijn vervat in een nota met de principes van de externe audit voor de lokale besturen, de voorbereidende projectmatige aanpak en de financiering, waaraan de Vlaamse Regering op 16 december 2011, op voorstel van minister Geert Bourgeois, bevoegd voor de binnenlandse aangelegenheden, haar goedkeuring hechtte. Die berekeningen voor de inschatting van de personeelsbehoeften, op basis van een aantal uitgangspunten, resulteren in een behoefte op jaarbasis van 38 VTE-auditoren. Daarnaast worden nog 10 VTEauditoren voorzien voor ad-hocopdrachten en fraudeonderzoeken, en 10 VTE-personeelsleden voor overheadtaken zoals algemene leiding, studie en onderzoek, eigen interne organisatie, e.a. In totaal resulteert dit, op kruissnelheid, in een personeelsbehoefte voor de externe audit van de lokale besturen van 58 VTE-personeelsleden. Gerekend aan een kostprijs van gemiddeld 100.000 euro per VTE-personeelslid, is een jaarlijks budget vereist van 5.800.000 euro, op kruissnelheid in 2016. De uitbouw van de audit van de lokale besturen wordt geleidelijk gepland, met een budget van 580.000 euro in 2013, 1.740.000 euro in 2014, 3.480.000 euro in 2015 en, op kruissnelheid, 5.800.000 euro in 2016.
- 14 -
De lokale besturen staan in voor 50% van de financiering (recurrente afhouding van 45% van de financiering op het Gemeentefonds en van 5% op het Provinciefonds); de Vlaamse overheid staat in voor de overige 50% van de financiering (te compenseren deels op personeelskredieten van het beleidsdomein Bestuurszaken en deels op personeelskredieten van de andere beleidsdomeinen). De uitbreiding en omvorming van het agentschap Interne Audit van de Vlaamse Administratie (IAVA) tot het agentschap Audit Vlaanderen trad in werking op 1 januari 2014. De eerste vergadering van het auditcomité van de lokale besturen vond plaats op 21 januari 2014, onder voorzitterschap van Jean-Pierre Bostoen, onafhankelijk deskundige. Inmiddels zijn door Audit Vlaanderen de eerste audits bij de lokale besturen opgestart.
3 De belangrijke elementen van de auditstrategie van de interne audit van de Vlaamse administratie 3.1 De organisatiebeheersing en de maturiteitsinschattingen in dat verband - De uitgebreidheid en heterogeniteit van het audituniversum, versus het aantal personeelsleden waarover IAVA beschikt, hebben het auditcomité van de Vlaamse administratie er steeds toe gedwongen veel aandacht te besteden aan een aangepaste auditstrategie en bijzonder te waken over een efficiënte inzet van de middelen. Op 31 december 2013 telde IAVA 25 personeelsleden. In die auditstrategie spelen de audits van de organisatiebeheersing een belangrijke rol. In vorige jaarverslagen werden de historiek en de motieven voor het invoeren van de audits/sterkte-zwakteanalyses van de organisatiebeheersing als auditinstrument reeds uitgebreid toegelicht en in herinnering gebracht. In dit verband werd initieel door IAVA als referentiekader een leidraad “organisatiebeheersing/ interne controle” ontwikkeld. De werkzaamheden van een daartoe opgerichte werkgroep interne controle, waarin IAVA een belangrijk aandeel had, resulteerden in 2008 in een geoptimaliseerde versie van de initiële leidraad, met een bijhorend evaluatierooster geschikt voor maturiteitsinschatting via zelfevaluatie. Bij een audit van de organisatiebeheersing wordt aan de hand van het voormelde referentiekader geëvalueerd of het nodige globale stuur- en beheersinstrumentarium in de geauditeerde organisatie aanwezig is. De resultaten van de audits worden door IAVA gekwantificeerd door het toekennen van maturiteitsinschattingen. De betrokken auditrapporten bevatten ook auditaanbevelingen. Aan de hand van dit model gaat IAVA na of de beheersmaatregelen ingesteld zijn om de organisatiedoelstellingen op een effectieve, efficiënte, integere en kwaliteitsvolle manier te kunnen realiseren. Om de beheersmaatregelen systematisch in kaart te brengen, wordt de organisatie benaderd vanuit de 10 hiernavermelde thema’s: doelstellingen, procesen risicomanagement; belanghebbendenmanagement; monitoring; organisatiestructuur; human resources management; organisatiecultuur; informatie en communicatie; financieel management; facilitymanagement; informatie- en communicatietechnologie.
- 15 -
- De Vlaamse Regering onderkende meermaals het belang van de benadering en het ontwikkelde model om op een professionele en systematische wijze de organisatiebeheersing/interne controle binnen de Vlaamse overheid te verbeteren. Zo nam de Vlaamse Regering op 30 mei 2008 een aantal belangrijke richtinggevende beslissingen in verband met de uitbouw van de interne controle/organisatiebeheersing binnen de Vlaamse overheid. Deze impliceerden onder meer dat: • de leidraad interne controle/organisatiebeheersing als referentieraamwerk werd erkend voor het opzetten van de interne controle binnen de entiteiten van de Vlaamse overheid; • de entiteiten gelast werden tegen eind december 2010 een organisatiebeheersingssysteem op te zetten dat voldoet aan de toets in maturiteitsniveau 3 van het maturiteitsmodel bij de voor de organisatie relevante thema’s. - IAVA stond in voor de uitvoering van de validatieaudits betreffende het door de entiteiten tegen einde 2010 te bereiken maturiteitsniveau 3 inzake organisatiebeheersing. De validatieactiviteiten inzake de maturiteitsniveaus van de organisatiebeheersing resulteerden in 62 afzonderlijke auditrapporten voor de onderzochte departementen en agentschappen, opgeleverd in mei 2011, en een globaal overkoepelend rapport voor de Vlaamse administratie, opgeleverd in juni 2011. In de afzonderlijke auditrapporten per entiteit en in het globaal overkoepelend rapport voor de Vlaamse administratie werden ook aanbevelingen en verbetermaatregelen voorgesteld. Hiermee werd, voor de eerste maal sedert de interne audit in de Vlaamse administratie van start is gegaan, een stand van zaken gegeven van de graad van organisatiebeheersing voor (bijna) alle entiteiten van het audituniversum, gemeten op eenzelfde tijdstip, namelijk per einde 2010. Op basis van de resultaten van de audits werden onder meer de gemiddelde waarden van de maturiteitsniveaus voor elk van de 10 thema’s en de 4 doelstellingen per einde 2010 berekend. - Ingevolge de oplevering door IAVA, op 20 december 2013, van de beleidsgerichte rapporten (zie ook 3.6 De beleidsgerichte rapporten, p. 25), is het mogelijk voor de eerste maal een actualisatie van de maturiteitsinschattingen te geven en een beeld van de evolutie ervan over de periode van einde 2010 tot einde september 2013. Hierna worden de gemiddelde waarden weergegeven van de maturiteitsinschattingen, respectievelijk wat de 10 thema’s en de 4 doelstellingen betreft, per einde 2010 en per einde september 2013 (op een schaal gaande van 0 tot 5). *thema’s 1 Organisatiestructuur 2 Belanghebbendenmanagement Informatie en communicatie 4 Doelstellingen, proces- en risicomanagement 5 Human resources management Monitoring 7 ICT Facilitymanagement 9 Financieel management 10 Organisatiecultuur *doelstellingen 1 2 3 4
Kwaliteit Effectiviteit Integriteit Efficiëntie
2010
2013
2,9 2,8 2,8 2,7
1 Organisatiestructuur Informatie en communicatie Doelstellingen, proces-en risicomanagement 4 Belanghebbendenmanagement 5 Human resources management Monitoring 7 ICT Facilitymanagement Organisatiecultuur 10 Financieel management
2,5 2,5 2,4 2,4 2,3 2,2 2010
3,0 3,0 3,0 2,9 2,8 2,8 2,6 2,6 2,6 2,5 2013
2,6 2,4 2,2 2,0
1 2 3 4
- 16 -
Kwaliteit Effectiviteit Integriteit Efficiëntie
2,8 2,7 2,6 2,2
Onderstaand wordt de evolutie van de (gemiddelde waarden van de) maturiteitsinschattingen tussen einde 2010 en einde september 2013 grafisch geïllustreerd. De conclusie is positief, vermits het maturiteitsniveau van de organisatiebeheersing tussen einde 2010 (maturiteitsinschattingen via validatie-audits) en 2013 (maturiteitsinschattingen in de beleidsgerichte rapporten) gestegen is voor alle thema’s en doelstellingen. Hierbij dient er wel de aandacht op gevestigd dat er voor de maturiteitsinschattingen van de entiteiten in de beleidsgerichte rapporten enkel een actualisering is gebeurd voor thema’s/doelstellingen waarvoor auditaanbevelingen opgevolgd werden en/of een audit werd uitgevoerd; voor de thema’s/doelstellingen waarvoor dit niet het geval was, werd een status quo van de maturiteitsinschatting ten opzichte van 2010 verondersteld.
- 17 -
- Het behalen van een maturiteitsniveau 3 of hoger, en dit voor alle thema’s en doelstellingen, is wenselijk en dient dan ook voor alle entiteiten verder als streefdoel vooropgesteld. Een waarde 3 impliceert dat, voor de desbetreffende thema’s en doelstellingen, de entiteit over beheersmaatregelen beschikt die gestandaardiseerd, gedocumenteerd en gecommuniceerd zijn, en worden toegepast. - De (audits van de) organisatiebeheersing blijven ook in de toekomst een belangrijke plaats innemen in de auditstrategie. In dat verband heeft Audit Vlaanderen op de vergadering van het auditcomité van de Vlaamse administratie van 11 februari 2014 een nota voorgelegd inzake een meerjarenplanning voor de periode 2014-2018 van de validatie-audits van de maturiteitsinschattingen van de organisatiebeheersing; daarin worden zowel volledige validatieaudits voor het geheel van alle thema’s/doelstellingen vooropgesteld als gedeeltelijke validatieaudits voor één of meerdere of clusters van bepaalde thema’s/doelstellingen. Volgens de goedgekeurde auditplanning zullen in 2014 dergelijke volledige of gedeeltelijke validatie-audits worden uitgevoerd in 16 entiteiten van het audituniversum. Verder zal Audit Vlaanderen ook in de toekomst, in het kader van de systematische opvolging van de realisatie van de auditaanbevelingen, de realisatie van aanbevelingen blijven opvolgen die in de auditrapporten betreffende de maturiteitsinschattingen van de organisatiebeheersing werden geformuleerd. Op basis van de resultaten daarvan, en ook op basis van de resultaten van de uitvoering van procesaudits, forensische audits, thema-audits, e.a., beschikt Audit Vlaanderen over de permanente mogelijkheid tot aanpassing van de maturiteitsinschattingen voor één of meerdere thema’s en/of doelstellingen voor de desbetreffende entiteiten. In het kader van de realisatie van single audit, wordt ook beoogd de verslagen/vaststellingen van andere controleactoren zoals de decentrale interne auditdiensten, het Rekenhof en de revisoren te gebruiken als bijkomende informatiebron(nen) en deze te analyseren in functie van hun gebeurlijke relevantie voor de actualisering van de maturiteitsinschattingen voor de thema’s/doelstellingen van de organisatiebeheersing. - De werkgroep interne controle, waarvan IAVA deel uitmaakt, heeft in de loop van 2013 en begin 2014 een actualisatie van de leidraad “organisatiebeheersing/interne controle” voorbereid. De geactualiseerde leidraad zal, volgens de huidige planning, vanaf begin 2015 van toepassing worden.
3.2 Thema-audits en procesaudits - Ter optimalisering van de auditstrategie en om te vermijden dat de auditplanning relatief eenzijdig zou gericht zijn op de uitvoering van audits van de organisatiebeheersing, nam het auditcomité in 2006 de beslissing om te opteren voor een meer evenwichtige benadering, waarin de continuering van de audits van de organisatiebeheersing werd gecombineerd met de uitvoering van een aantal thema-audits en procesaudits. Sindsdien wordt in de auditjaarplanningen ook ruimte voorzien voor de uitvoering van thema- en procesaudits.
3.2.1 Thema-audits - Thema-audits hebben betrekking op belangrijke elementen van het systeem van organisatiebeheersing/ interne controle, waarvoor een evaluatie gebeurt voor het geheel van de entiteiten van het audituniversum. Een thema-audit kan desgevallend eveneens betrekking hebben op een deel van het audituniversum, en zich bijvoorbeeld situeren binnen een bepaald beleidsdomein. Hierna volgt een overzicht van de thema-audits die tot hiertoe, beleidsdomeinoverschrijdend binnen de Vlaamse administratie, werden uitgevoerd of nog in uitvoering zijn.
- 18 -
1) Bedrijfscontinuïteitsmanagement In de eerste thema-audit, die werd opgeleverd in 2008, werd het bedrijfscontinuïteitsmanagement als onderdeel van het systeem van organisatiebeheersing/interne controle doorgelicht. Naast het globale auditrapport werden ook een aantal rapporten afgeleverd met betrekking tot het bedrijfscontinuïteitsmanagement in bepaalde entiteiten. In 2010 werden voortgangscontroleaudits in verband met deze thema-audit uitgevoerd, die resulteerden in een globaal rapport en een aantal entiteitsspecifieke rapporten. 2) Organisatie en werking van de managementondersteunende dienstverlening (MOD) Het rapport van de thema-audit in zijn globaliteit, met de belangrijkste vaststellingen en aanbevelingen omtrent de managementondersteunende dienstverlening op het niveau van de ganse Vlaamse administratie, werd opgeleverd eind maart 2009. De rapporten per beleidsdomein werden daarop aansluitend opgeleverd. 3) ICT-netwerkinfrastructuur In 2009 werd een thema-audit opgestart met betrekking tot de ICT-netwerkinfrastructuur van de Vlaamse administratie. Het rapport over deze audit werd opgeleverd op 17 juni 2010. Deze audit bracht duidelijk de suboptimale inzet van netwerkinfrastructuur en middelen aan het licht, en toonde aan dat op dit gebied substantiële efficiëntiewinsten en besparingen mogelijk zijn. De thema-audits inzake de managementondersteunende dienstverlening en de ICTnetwerkinfrastructuur hebben geleid tot projecten in het kader van het “Meerjarenprogramma Slagkrachtige Overheid”. 4) Debiteurenbeheer In 2010 werd een thema-audit opgestart rond debiteurenbeheer, toegespitst op de niet-fiscale eigen ontvangsten. Een aantal entiteitsspecifieke rapporten werd opgeleverd vanaf september 2010. Het globaal rapport met betrekking tot het debiteurenbeheer binnen de Vlaamse administratie werd opgeleverd op 26 april 2011. Als belangrijkste bevinding gold dat de organisatie van de inningsprocessen op uiteenlopende wijze gebeurt; meestal ontbreken duidelijk uitgewerkte procedures en richtlijnen die gericht zijn op een efficiënte organisatie van het debiteurenbeheer. Openstaande vorderingen worden wel in mindere of meerdere mate opgevolgd, maar dit gebeurt vaak op een niet tijdige en ongestructureerde wijze, afhankelijk van de individuele gedrevenheid van de betrokken personeelsleden. 5) Inspectie/Handhaving In 2011 werd een ontwerp-controleprogramma ontwikkeld voor een thema-audit rond inspectieprocessen. Deze richtte zich op de evaluatie van de werking van een inspectiedienst/entiteit en wil nagaan in hoeverre de risico’s in het inspectieproces zijn afgedekt. In maart en april 2012 werden de auditrapporten voor twee pilootentiteiten ter zake opgeleverd. Na evaluatie en bijsturing van het ontwerp-controleprogramma, werd deze thema-audit in 2012 verder uitgevoerd bij een selectie van zeven inspectie/handhavingsdiensten of -entiteiten; vier rapporten werden opgeleverd in 2012, de drie overige in 2013. Op basis van de vaststellingen uit de verschillende individuele rapporten en een bevraging over het toezicht op de subsidieverlening, werd een synthese gemaakt met het oog op de identificatie van de belangrijkste verbeteropportuniteiten voor de uitoefening van de inspectie- en handhavingstaken op het niveau van de Vlaamse overheid. Deze bevindingen werden opgenomen in het globaal rapport betreffende de thema-audit Inspectie/Handhaving dat op 11 maart 2013 werd opgeleverd. 6) Bewaking van het gemeenschappelijk ICT-contract In de thema-audit ICT-contractbewaking evalueert IAVA de adequaatheid en de doeltreffendheid van de beheersmaatregelen die de bewaking van het gemeenschappelijk ICT contract 2008-2015 vorm geven.
- 19 -
De Vlaamse overheid heeft een groot deel van de ICT-diensten uitbesteed door middel van een gemeenschappelijk ICT-contract, afgesloten met een preferente ICT-dienstverlener waarvan de entiteiten vrij kunnen afnemen. In een eerste fase ging IAVA na hoe de entiteit e-government en ICT-beheer (e-IB) van het beleidsdomein Bestuurszaken invulling geeft aan haar rol als contractbeheerder en overkoepelend coördinator van de contractbewaking. Deze opdracht werd in december 2011 opgestart en het desbetreffende auditrapport werd opgeleverd op 5 juni 2012. In een tweede fase werd de opdracht uitgerold naar de klantzijde om de adequaatheid en doeltreffendheid te evalueren van de beheersmaatregelen die de verschillende klanten zelf ontwikkeld hebben om een degelijke contractbewaking te garanderen. Voor de uitvoering van deze tweede fase werden tien entiteiten geselecteerd. Voor één entiteit werd het auditrapport opgeleverd eind 2012; de auditrapporten voor de negen andere entiteiten werden in de loop van 2013 opgeleverd. De derde fase omvatte de opstelling van een globaal rapport over de thema-audit van de bewaking van het gemeenschappelijk ICT-contract. Dit globaal rapport werd opgeleverd op 30 september 2013. De geformuleerde aanbevelingen beogen niet alleen een verbetering van de bewaking van het lopende gemeenschappelijk ICT-contract, maar zijn ook gericht op het toekomstige gemeenschappelijke ICT-dienstverleningsaanbod dat vanaf 2015 zal verlopen middels de uitvoering van vier aparte raamovereenkomsten. 7) Informatieveiligheid Deze thema-audit is momenteel in uitvoering en is gericht op de bescherming van kritieke en vertrouwelijke informatie. Via deze thema-audit wordt nagegaan in welke mate de nodige beheersmaatregelen geïmplementeerd worden om de beschikbaarheid, integriteit en vertrouwelijkheid van informatie te garanderen en datalekken te voorkomen. De auditaanpak en het controleprogramma werden medio 2013 ontwikkeld. Deze thema-audit wordt uitgevoerd bij zes entiteiten. Voor één entiteit werd het auditrapport opgeleverd eind maart 2014; de auditrapporten voor de vijf andere entiteiten en het overkoepelend syntheserapport zullen in de loop van 2014 worden opgeleverd. - De realisatiegraad van de in het kader van de thema-audits geformuleerde aanbevelingen is laag. Een structureel probleem is het aanwijzen van een entiteit of orgaan die de verantwoordelijkheid opneemt voor de realisatie van de auditaanbevelingen wanneer het organisatiebrede aangelegenheden betreft. Nadat een entiteit of orgaan is aangewezen stelt zich dan nog het probleem dat deze op voldoende medewerking van de andere entiteiten of organen moet kunnen rekenen om de auditaanbevelingen te realiseren. Ook een gebrek aan politieke en ambtelijke gedragenheid, en traagheid door het ontbreken van en/of langdurig zoeken naar consensus om tot realisatie van de aanbevelingen te komen, zijn mogelijke oorzaken voor de lage realisatiegraad. Sinds 2012 wordt er naar gestreefd om nieuwe thema-audits te finaliseren vooraleer het jaarlijks overleg van een delegatie van het auditcomité met de kernministers van de Vlaamse Regering plaatsvindt; zodoende kan het nemen van beslissingen ter bespoediging van de realisatie van de auditaanbevelingen mede vanuit dit overleg gestimuleerd worden. Een verdere nauwgezette systematische opvolging van de realisatie van de auditaanbevelingen wordt door het auditcomité noodzakelijk geacht, aangezien de implementatie van alle aanbevelingen een langdurige en volgehouden inspanning vraagt, zowel op het vlak van de voorbereiding, de draagvlakverwerving, de beslissingsbereidheid op beleidsniveau, als de concrete uitvoering op het terrein. Wat de thema-audit Inspectie/Handhaving betreft, stelt zich bovendien de bijkomende moeilijkheid dat, gelet op de behandelde aangelegenheid, er in tegenstelling met andere thema-audits ditmaal geen bevoegde minister, noch een coördinerende entiteit of instantie is voor het geheel van deze aangelegenheid.
- 20 -
Op de vergadering van 9 januari 2013 van een delegatie van het auditcomité met de kernministers van de Vlaamse Regering werd inzake de thema-audits afgesproken dat de rapportering over de stand van zaken van de uitvoering van de auditaanbevelingen voortaan eenmaal per jaar het voorwerp zal uitmaken van een bespreking tijdens een vergadering van de kernministers van de Vlaamse Regering met een delegatie van het College van Ambtenaren-Generaal. Wat de thema-audit Inspectie/Handhaving betreft werd in het verslag van de voormelde vergadering opgenomen dat het aan het College van Ambtenaren-Generaal toekomt om hieromtrent opvolgingsvoorstellen te formuleren aan de Vlaamse Regering. In het algemeen is het auditcomité van oordeel dat het toebedelen van een substantiële rol en verantwoordelijkheid aan het College van Ambtenaren-Generaal voor de implementatie van de aanbevelingen van thema-audits de realisatiegraad kan bevorderen.
3.2.2 Procesaudits Door de grote capaciteitsinzet op de audits van de organisatiebeheersing en de thema-audits, was er in het verleden maar een beperkte capaciteit resterend voor de uitvoering van procesaudits. Dientengevolge werden in het verleden slechts een zeer beperkt aantal rapporten betreffende procesaudits opgeleverd. Met de positieve evolutie van de werkzaamheden en de resultaten van de entiteiten op het vlak van de organisatiebeheersing, en de optimalisering van de aanpak inzake de actualisatie van de maturiteitsinschattingen in dat verband, komt er thans meer auditcapaciteit beschikbaar voor de uitvoering van audits betreffende belangrijke processen. Zo zijn in 2013 drie auditrapporten opgeleverd betreffende uitgevoerde procesaudits. Voor drie andere procesaudits die werden opgestart in 2013, zijn de auditrapporten opgeleverd in februari 2014 en maart 2014.
3.3 Ad-hocopdrachten, forensische audits en detectie-audits In de auditstrategie wordt ook ruimte voorzien voor ad-hocopdrachten, forensische audits en detectieaudits. - Ad-hocopdrachten zijn niet opgenomen in de jaarplanning, maar worden uitgevoerd op aanvraag. De aanvragen kunnen uitgaan van de Vlaamse Regering, een Vlaams minister, een leidend ambtenaar van een entiteit van het werkterrein, de voorzitter van de raad van bestuur of de voorzitter van een auditcomité van een entiteit van het werkterrein. De aanvragen dienen te worden gericht aan de administrateur-generaal van IAVA, die over de (prioriteit van) uitvoering beslist op basis van criteria die door het auditcomité werden goedgekeurd. In januari 2013 is door IAVA een auditrapport opgeleverd betreffende een ad-hocopdracht ingevolge een aanvraag die werd ontvangen in mei 2012. - In geval zich ernstige indicaties van mogelijke onregelmatigheden voordoen, kan IAVA een forensische audit (administratief onderzoek) uitvoeren. Dit kan gebeuren op aanvraag (cf. supra), ingevolge een melding, of op eigen initiatief van IAVA al dan niet voortvloeiend uit zelf ontwikkelde detectietechnieken. Indien een forensische audit uitwijst dat er mogelijke misdrijven zijn gepleegd, wordt het desbetreffende auditrapport bezorgd aan de Centrale Dienst voor de Bestrijding van de Corruptie. In 2013 zijn door IAVA 3 rapporten betreffende forensische audits opgeleverd. - Bij een detectie-audit analyseert IAVA op basis van een aantal risicofactoren grote hoeveelheden gegevens aan de hand van data-analyse technieken, met als doel ongebruikelijke, afwijkende of merkwaardige gegevens of patronen aan de oppervlakte te brengen. Vervolgens wordt nagegaan of deze gegevens of patronen verklaarbaar zijn, dan wel symptomatisch zijn voor mogelijke fouten en/of onregelmatigheden binnen het onderzochte proces.
- 21 -
De eerste detectie-audits werden uitgevoerd in 2009 en 2010 en waren gericht op het proces van de gunning en de uitvoering van overheidsopdrachten; de door IAVA opgebouwde kennis wordt sinds begin 2011 voor overdracht aangeboden aan de relevante entiteiten die een significant aantal overheidsopdrachten gunnen. De detectie-audits die in 2011 werden opgestart hebben betrekking op onderdelen van de personeelsverloning, meer bepaald de extra-salariële verloningscomponenten (vergoedingen en toelagen). De drie auditrapporten in dit verband werden in 2012 opgeleverd. In 2012 hadden de detectie-audits het dossierbehandelingsproces voorafgaand aan de toekenning van vergunningen, subsidies of erkenningen tot voorwerp. Drie entiteiten werden geselecteerd. Het auditrapport betreffende een eerste entiteit werd opgeleverd in oktober 2012; de auditrapporten betreffende de twee andere entiteiten werden opgeleverd op 18 februari 2013 en op 15 mei 2013. De detectie-audits 2013-2014 zijn gericht op het vergelijken van betaalgegevens uit het boekhoudpakket Orafin met personeelsgegevens uit het personeelssysteem Vlimpers vanuit de invalshoek van mogelijke belangenvermenging. Bij twee entiteiten werden dergelijke detectie-audits opgestart in 2013; de desbetreffende auditrapporten werden opgeleverd op 20 januari 2014 en op 19 februari 2014. In 2014 worden nog gelijkaardige detectie-audits gepland bij vijf entiteiten en zal ook een overkoepelend syntheserapport betreffende deze detectie-audits worden opgesteld.
3.4 Risicoanalyse en risicomanagement In het kader van de “top-down”-benadering van de auditstrategie werd door het auditcomité in 2003 het principe van de getrapte risicoanalyse goedgekeurd. Daarbij werden drie niveaus van risicoanalyse onderscheiden: -
de risicoanalyse op macroniveau: deze heeft tot doel een rangschikking te maken van alle entiteiten uit het audituniversum (departementen en agentschappen), in functie van hun risicograad; voor het bepalen van de risicograad worden vier risicofactoren gehanteerd (“strategisch belang”, “controlerisico”, “wijzigingen” en “materialiteit”);
-
de risicoanalyse op mesoniveau: deze heeft tot doel een inschatting te maken van de graad van de organisatiebeheersing per entiteit; hieraan wordt invulling gegeven door de audits van de organisatiebeheersing, de validatieaudits en de bijhorende maturiteitsinschattingen per thema/doelstelling voor iedere entiteit, zoals vastgesteld in de individuele auditrapporten en het globale overkoepelend rapport, respectievelijk opgeleverd in mei 2011 en juni 2011, en zoals geactualiseerd in de beleidsgerichte rapporten die werden opgeleverd op 20 december 2013;
-
de risicoanalyse op microniveau: deze heeft tot doel elke entiteit op te delen in auditeerbare auditobjecten (processen) en deze, op basis van een aantal risicofactoren, te rangschikken volgens risicograad; per auditobject worden de mogelijke risico’s bepaald, de maatregelen vastgesteld welke reeds genomen werden om deze risico’s onder controle te houden, en de maatregelen voorgesteld die gebeurlijk bijkomend nog moeten worden genomen.
Wat betreft dit laatstvermelde niveau van risicoanalyse en risicomanagement op entiteitsniveau werd in de loop van 2011 een begin van aanpak ontwikkeld. Tevens werd door het auditcomité, in overleg met IAVA, op de vergadering van 8 november 2011 beslist om de inzet van capaciteit voor (de stimulering van) risicoanalyse en risicomanagement op entiteitsniveau in de periode 2012-2015 substantieel te verhogen.
- 22 -
Voor de risicoanalyse en het stimuleren van de entiteiten inzake de uitbouw van risicomanagement zal worden samengewerkt met de ankerpunten organisatiebeheersing in de entiteiten en zullen, zo mogelijk, ook andere controleactoren worden betrokken. Op voorstel van IAVA stemde het auditcomité op de vergadering van 11 december 2012 in met een wijziging in de initiële aanpak van het project risicomanagement, waarbij de werking via pilootentiteiten werd verlaten. In de gewijzigde aanpak krijgen alle entiteiten van het audituniversum eenzelfde aanbod van ondersteuning. Zo wordt vermeden dat entiteiten die niet als piloot-entiteit waren aangeduid ondertussen een afwachtende houding zouden aannemen en geen initiatieven inzake risicomanagement zouden ontwikkelen. Het lopend project risicomanagement beoogt het risicobewustzijn bij alle entiteiten te verhogen, en hen te stimuleren om zicht te krijgen op de belangrijkste risico’s die de realisatie van hun organisatiedoelstellingen bedreigen en de gepaste beheersmaatregelen te nemen ten einde die risico’s te beheersen. De resultaten van het project moeten ook toelaten om de planning van de werkzaamheden van de interne auditdiensten en van andere controleactoren af te stemmen op de belangrijkste risico’s en de prioritaire processen. Het project risicomanagement loopt over de periode 2013-2014 en voorziet ondersteuning van alle entiteiten op twee niveaus: - het verlenen van bilaterale ondersteuning door IAVA bij het doorlopen van de verschillende fases van risicomanagement (risico-identificatie, risicobeoordeling, in kaart brengen van beheersmaatregelen, risicobeheersing, e.a.), voor ten minste één door de entiteit zelf gekozen belangrijk proces; - het opzetten van een structuur met het oog op maximale onderlinge kennisdeling (via een leernetwerk risicomanagement met workshops), in samenwerking met de entiteiten, en met ondersteuning van het Agentschap voor Overheidspersoneel en een externe consultant als facilitator; de aanpak inzake kennisdeling voorziet in de aanvangsperiode een inhoudelijke begeleiding en coördinatie door IAVA, die echter geleidelijk moet evolueren naar een zelfsturend leernetwerk. IAVA hanteert in dit project geen opgelegde benadering op het vlak van methodiek/aanpak; de aangeboden ondersteuning is bovendien een aanbod en geen verplichting. De beide ondersteuningstrajecten werden in de eerste maanden van 2013 opgestart en lopen nog door tot eind 2014. De stand van zaken en de evolutie, zowel wat betreft de aangeboden bilaterale ondersteuning van de entiteiten als wat betreft de ondersteuning van de kennisdeling, en de beoordeling daarvan door IAVA, worden door het auditcomité systematisch opgevolgd. Belangrijke uitdagingen voor het welslagen van het project zijn onder meer het verkrijgen van het engagement en de betrokkenheid van het top- en middenmanagement, ook voor het vervolgtraject, en de ontwikkeling van een duidelijk en begrijpbaar methodologisch kader, waarin ook de samenhang met andere lopende initiatieven wordt aangetoond. Het is immers ook de bedoeling om in de volgende generatie van management- en beheersovereenkomsten (die in werking zouden treden vanaf het jaar 2016) te voorzien dat voor alle kernopdrachten/kernprocessen aangepaste risicobeheersmaatregelen worden uitgewerkt. Het auditcomité en IAVA willen daarbij beklemtonen dat risico-identificatie en risicomanagement tot de verantwoordelijkheid van het lijnmanagement behoren, als onderdeel van de interne controle, zoals ook bepaald wordt in het besluit van de Vlaamse Regering van 7 september 2012 betreffende controle en single audit.
- 23 -
IAVA wil in deze sensibiliserend en ondersteunend optreden, gelet op de actuele tekortkomingen op dit vlak, en de noodzaak om over een adequate risicoanalyse te beschikken ten behoeve van de (proces)auditplanning en de beleidsgerichte rapportering. Zelfs indien het welslagen van het project in het gedrang zou komen door een gebeurlijk gebrek aan volgehouden medewerking van de entiteiten, heeft IAVA voorzien dat op bilaterale basis in ieder geval voor elke entiteit een vijftal prioritaire kernopdrachten/kernprocessen zullen opgelijst worden en gerangschikt naar prioriteit in functie van bepaalde (nog verder te verfijnen) criteria. Hierop kan de (proces)auditplanning gebaseerd worden. Het voormelde besluit van de Vlaamse Regering van 7 september 2012 bepaalt inzake risicoanalyse en risicomanagement het volgende: • dat de leidend ambtenaar verantwoordelijk is voor de risicoanalyse en het risicomanagement op het niveau van de entiteit; • dat de controleactoren het door de entiteit geïnstalleerde risicomanagement evalueren, en de risicoanalyse van de entiteit in overleg met het Rekenhof opvolgen en aanvullen.
3.5 De opvolging van de realisatie van de auditaanbevelingen Omwille van efficiëntie- en effectiviteitsoverwegingen en gelet op de beschikbare auditcapaciteit, werd door IAVA in 2011 een nieuwe aanpak ingevoerd voor de opvolging van de realisatie van de auditaanbevelingen. Voorheen gebeurde de opvolging van de aanbevelingen door de uitvoering van een voortgangscontroleaudit, anderhalf tot twee jaar na de oplevering van het oorspronkelijk auditrapport. Deze voortgangscontroleaudits resulteerden in een formeel (voortgangscontrole)auditrapport. Vanaf 2011 werd overgestapt van de voormelde voortgangscontroleaudits naar een periodieke structurele en systematische administratieve opvolging van de auditaanbevelingen. Bij deze nieuwe werkwijze wordt uitgegaan van de streefdata die de entiteit voorzien heeft voor de realisatie van de haar toegewezen aanbevelingen. IAVA bezorgt aan de geauditeerde een overzicht van de aanbevelingen (die gekwalificeerd werden als zijnde van hoge prioriteit) die hun streefdatum hebben bereikt; de geauditeerde dient aan IAVA mede te delen welke acties werden ondernomen voor de realisatie van de aanbevelingen. Op basis van een analyse van de ontvangen informatie, eventuele aanvullende gesprekken en/of documentstudie maakt IAVA een rapportering op die de gevalideerde status van elke opgevolgde aanbeveling weergeeft en een overzicht verschaft van de globale realisatiegraad. Deze administratieve opvolging gebeurt periodiek. Tot eind 2012 waren er drie opvolgingsrondes per jaar; concreet impliceerde dit dat de openstaande aanbevelingen waarvan de vooropgestelde realisatiedatum ten laatste viel op respectievelijk 31 maart, 31 augustus en 31 december ter opvolging/actualisering aan de entiteiten werden toegestuurd. Op de vergadering van 7 december 2011 van een delegatie van het auditcomité met de kernministers van de Vlaamse Regering werd afgesproken dat IAVA drie maal per jaar de opgemaakte stand van zaken van de uitvoering van de auditaanbevelingen zou bezorgen aan de verschillende ministers. In aansluiting op de tijdens de voormelde vergadering gemaakte afspraken besliste de Vlaamse Regering op 30 maart 2012 dat iedere leidend ambtenaar in het kader van de jaarlijkse evaluatie aan zijn/haar functioneel bevoegde minister moet rapporteren over de wijze waarop werd omgegaan met de aanbevelingen uit de verschillende audits van IAVA, en dit vanaf de evaluatie over het werkjaar 2012; iedere leidend ambtenaar dient ook, in het kader van de jaarlijkse planning, aan te geven op welke wijze zal omgegaan worden met de aanbevelingen uit de verschillende audits van IAVA en dit vanaf de planning over het werkjaar 2012.
- 24 -
Op de vergadering van 9 januari 2013 van een delegatie van het auditcomité met de kernministers van de Vlaamse Regering werd afgesproken om de frequentie van de opvolging en de rapportering door IAVA over de uitvoering van de auditaanbevelingen terug te brengen van driemaal per jaar tot tweemaal per jaar. Hierdoor vinden vanaf 2013 nog twee opvolgingsrondes per jaar plaats. Een eerste opvolgingsronde vindt plaats in de maanden april/mei betreffende alle openstaande aanbevelingen met als uiterste streefdatum 31 maart; een tweede opvolgingsronde vindt plaats in de maanden oktober/november betreffende alle openstaande aanbevelingen met als uiterste streefdatum 30 september. De meest recente resultaten van de opvolging van de uitvoering van de auditaanbevelingen geven een gunstige evolutie aan. De globale realisatiegraad van alle tot eind 2013 opgevolgde auditaanbevelingen voor het geheel van de Vlaamse administratie steeg immers van 71% eind 2012 tot 82% eind 2013.
3.6 De beleidsgerichte rapporten Mede met het oog op het versterken van de adviserende rol van het auditcomité ten aanzien van de Vlaamse Regering werd in 2012, in overleg tussen IAVA en het auditcomité, het concept uitgewerkt van beleidsgerichte rapporten. In de loop van 2013 werden de rapporten inhoudelijk ingevuld en, ook wat de vormgeving betreft, definitief op punt gesteld en opgeleverd. Het concept voorziet dat deze beleidsgerichte rapporten worden aangemaakt per minister, en de afzonderlijke entiteiten omvatten waarvoor de desbetreffende minister bevoegd is. De rapporten beogen, op overzichtelijke en synthetische wijze, inzicht te geven in de stand van zaken en de evolutie met betrekking tot de maturiteitsinschatting inzake organisatiebeheersing en de ondernomen acties ter zake, over de realisatiegraad van de auditaanbevelingen, en de uitbouw en de implementatie van een systeem van risicomanagement. Met dit type van rapport wordt ook concreet invulling gegeven aan de afspraak die werd gemaakt op de vergadering van 7 december 2011 van een delegatie van het auditcomité met de kernministers van de Vlaamse Regering dat IAVA onder meer jaarlijks een globale rapportage (beleidsgerichte rapporten) aan de verschillende ministers zou overmaken, ter facilitering van de bespreking, in het kader van de jaarlijkse evaluatie van de leidend ambtenaar, met de minister over de evolutie van het maturiteitsniveau inzake interne controle/organisatiebeheersing en over de wijze waarop door de leidend ambtenaar werd omgegaan met de aanbevelingen uit de verschillende audits van IAVA (zoals bevestigd in de nota aan de Vlaamse Regering, horende bij de regeringsbeslissing van 30 maart 2012 betreffende de jaarlijkse evaluatie van de leidend ambtenaren). Er werd bijzondere aandacht besteed aan een doeltreffende en gebruiksvriendelijke uitwerking van het concept, zowel wat betreft de voorstellingswijze, de inhoudelijke structurering, als de vormgeving. De meest essentiële informatie voor de minister wordt synthetisch voorgesteld, op één pagina vooraan in het document, en de verdere onderbouwing daarvan gebeurt via de aansluitende meer gedetailleerde rapportering per entiteit op de volgende pagina’s van het rapport. Het concept van het rapport voorziet ook dat de ontwerpen worden voorgelegd aan de desbetreffende leidend ambtenaren waarbij hen de mogelijkheid wordt geboden om een managementreactie te laten opnemen. Teneinde het draagvlak te vergroten en eventuele bijkomende nuttige bemerkingen te bekomen, werd het concept ook voorgelegd aan de managementcomités van de beleidsdomeinen, het kabinet van de minister-president (bevoegd voor de interne audit), het Rekenhof en het College van AmbtenarenGeneraal.
- 25 -
Het concept van de beleidsgerichte rapporten werd goedgekeurd op de vergadering van 9 januari 2013 van een delegatie van het auditcomité met de kernministers van de Vlaamse Regering. Daarbij werd tevens beslist dat de eerste oplevering door IAVA van de beleidsgerichte rapporten per minister moet gebeuren tegen eind 2013, zodat deze in de evaluatiecyclus van de leidend ambtenaren als een bijkomend element kunnen gebruikt worden. De beleidsgerichte rapporten werden door IAVA opgeleverd op 20 december 2013. Aan ieder lid van de Vlaamse Regering werd een beleidsgericht rapport bezorgd, ieder voor wat de entiteiten onder zijn/haar bevoegdheid betreft. Deze rapporten bevatten onder meer, zoals vooropgesteld, voor iedere entiteit een actualisatie van de maturiteitsinschattingen voor elk van de tien thema’s en de vier doelstellingen van de organisatiebeheersing, op basis van vaststellingen tot 30 september 2013.
4 De invulling van de interne auditfunctie binnen de Vlaamse administratie 4.1 Basisprincipes van het “holdingmodel” en samenwerkingsprotocollen 1) Inzake de invulling van de interne auditfunctie binnen de Vlaamse administratie opteerde de Vlaamse Regering voor een model dat het midden houdt tussen een volledige centralisatie van de auditfunctie en een volledige decentralisatie. Hieraan werd de benaming “holdingmodel” gegeven. De belangrijke beslissingen ter zake werden door de Vlaamse Regering genomen op 17 februari 2006 en 30 maart 2007. Deze beslissingen hielden onder meer het volgende in (voor een integrale lezing wordt verwezen naar de betrokken regeringsdocumenten):
er is één centrale Interne Audit, het agentschap Interne Audit van de Vlaamse Administratie (IAVA); de publiekrechtelijk vormgegeven extern verzelfstandigde agentschappen (EVA’s) kunnen een eigen decentrale Interne Auditdienst oprichten; de raad van bestuur kan een auditcomité oprichten, dat samengesteld wordt uit leden van de raad van bestuur, met een meerderheid van onafhankelijke bestuurders (en een onafhankelijk bestuurder als voorzitter); de centrale Interne Audit behoudt ten volle de bevoegdheid om zelf audits uit te voeren bij alle entiteiten van het audituniversum (departementen, IVA’s en publiekrechtelijk vormgegeven EVA’s), ook bij de entiteiten die over een eigen decentrale Interne Auditdienst beschikken (bij deze laatste entiteiten wordt de planning van dergelijke audits opgesteld in samenspraak met het decentrale auditcomité); de centrale Interne Audit heeft de (exclusieve) bevoegdheid om administratieve onderzoeken uit te voeren; het centrale auditcomité (het auditcomité van de Vlaamse administratie) stuurt de centrale Interne Audit aan; indien een decentrale Interne Auditdienst aanwezig is wordt deze aangestuurd door het (decentrale) auditcomité in het betrokken EVA; het centrale auditcomité en de (decentrale) auditcomités in de EVA’s plegen overleg en informeren elkaar over de planning van hun auditactiviteiten; de centrale Interne Audit oefent kwaliteitstoezicht uit op de werking van de decentrale Interne Auditdiensten via het “audit op audit”-instrument; de centrale Interne Audit wordt betrokken bij de humanresourcesaangelegenheden die betrekking hebben op de decentrale Interne Auditdiensten.
In de betrokken regeringsdocumenten worden ook de rapporteringslijnen aangegeven die de centrale Interne Audit en de decentrale Interne Auditdiensten moeten hanteren bij de verspreiding van de rapporten. Tevens worden de gedragslijnen geschetst inzake de openbaarmaking van auditrapporten.
- 26 -
2) In uitvoering van voormelde regeringsbeslissingen stelde IAVA, in overleg met de vertegenwoordigers van elk van de betrokken publiekrechtelijk vormgegeven EVA’s (die over een eigen interne auditdienst beschikken) en van de VRT, een samenwerkingsprotocol op. Dit samenwerkingsprotocol vormt een vertaling van de principes van het door de regering goedgekeurde model in meer concrete en opvolgbare samenwerkingsafspraken. Eind 2007 en begin 2008 vond bilateraal, tussen IAVA en elk van de betrokken publiekrechtelijk vormgegeven EVA’s en de VRT, de ondertekening van het samenwerkingsprotocol plaats. Er werden aldus door IAVA samenwerkingsprotocollen afgesloten met de Vlaamse Dienst voor Arbeidsbemiddeling en Beroepsopleiding (VDAB), de nv Vlaamse Maatschappij voor Sociaal Wonen (VMSW), de nv De Scheepvaart, de nv Waterwegen en Zeekanaal, de Vlaamse Vervoermaatschappij-De Lijn, en de nv Vlaamse Radio- en Televisieomroep (VRT). In de loop van 2012 en 2013 vond een evaluatie plaats van de samenwerkingsprotocollen, die resulteerde in een aantal voorstellen voor aanpassing.
bestaande
De voorstellen voor aanpassing werden door IAVA bilateraal toegelicht op de vergaderingen van de desbetreffende decentrale auditcomités in de periode januari-april 2013. Een voorontwerp van het aangepaste samenwerkingsprotocol werd besproken op het overleg van IAVA met de hoofden van de decentrale interne auditdiensten van 26 april 2013. Vervolgens werd het ontwerp van aangepast samenwerkingsprotocol per e-mail van 6 mei 2013 door IAVA aan de voorzitters van de decentrale auditcomités bezorgd met het verzoek om gebeurlijke bemerkingen uiterlijk op 21 mei 2013 aan IAVA te bezorgen. Het aangepast ontwerp werd ook behandeld op de (jaarlijkse) overlegvergadering van 4 juni 2013 van het auditcomité van de Vlaamse administratie met de voorzitters van de (decentrale) auditcomités van de publiekrechtelijk vormgegeven EVA’s en de VRT. De vergadering concludeerde dat de procedure voor de ondertekening van het aangepaste samenwerkingsprotocol kon ingezet worden. Inmiddels zijn de aangepaste samenwerkingsprotocollen door elk van de voormelde entiteiten ondertekend en van toepassing geworden.
4.2 Jaarlijkse overlegvergadering met de voorzitters van de (decentrale) auditcomités van de publiekrechtelijk vormgegeven extern verzelfstandigde agentschappen en de VRT Op 4 juni 2013 vond de (jaarlijkse) overlegvergadering plaats van het auditcomité van de Vlaamse administratie met de voorzitters van de (decentrale) auditcomités van de publiekrechtelijk vormgegeven extern verzelfstandigde agentschappen (EVA’s) en de VRT. Tijdens deze vergadering kwamen volgende aangelegenheden aan bod: •
de stand van zaken betreffende de herziening van het samenwerkingsprotocol (zie ook hierboven bij 4.1 Basisprincipes van het “holdingmodel” en samenwerkingsprotocollen, sub 2);
•
de input van de decentrale interne auditdiensten in de beleidsgerichte rapporten;
•
een voorstel om te voorzien in een periodieke opvolgingsrapportering van de aanbevelingen die worden geformuleerd in de “audit-op-audit”-rapporten;
•
de stand van zaken betreffende het project risicomanagement en de belangrijke potentiële rol van de decentrale interne auditdiensten en de decentrale auditcomités hierin;
- 27 -
•
de evaluatie van de georganiseerde opleidingssessies voor de leden van de decentrale auditcomités en de hoofden van de decentrale interne auditdiensten, en de identificatie van toekomstige opleidingsbehoeften;
•
de stand van zaken betreffende het “permanent dossier” in uitvoering van het besluit van de Vlaamse Regering van 7 september 2012 betreffende controle en single audit;
•
de opvolging van de uitgevoerde thema-audits, en de lopende en geplande thema-audits.
- 28 -
HOOFDSTUK II: Activiteitenverslag van auditcomité van de Vlaamse administratie
het
1 Samenstelling van het auditcomité van de Vlaamse administratie 1.1 Reglementering inzake de samenstelling van het auditcomité van de Vlaamse administratie 1.1.1 Reglementering tot 31 december 2013 Tot 31 december 2013 was de wijze van samenstelling van het auditcomité geregeld in artikel 16 van het besluit van de Vlaamse Regering van 16 april 2004 tot oprichting van het intern verzelfstandigd agentschap Interne Audit van de Vlaamse Administratie en tot omvorming van het auditcomité van de Vlaamse Gemeenschap tot het Auditcomité van de Vlaamse Administratie. Dat artikel bepaalt het volgende: -
het auditcomité telt negen leden, de voorzitter inbegrepen, met een meerderheid van onafhankelijke deskundigen;
-
het is samengesteld uit: 1° twee leden van de Vlaamse Regering of de door hen aangeduide vertegenwoordigers; 2° vijf onafhankelijke deskundigen; 3° twee vertegenwoordigers van de beleidsdomeinen;
-
de onafhankelijke deskundigen worden, op voordracht van het auditcomité, aangeduid door de Vlaamse Regering voor een periode van vijf jaar die maximaal één maal hernieuwbaar is;
-
de Vlaamse Regering duidt onder de onafhankelijke deskundigen de voorzitter van het auditcomité aan;
-
de Vlaamse Regering duidt de vertegenwoordigers van de beleidsdomeinen aan.
1.1.2 Reglementering vanaf 1 januari 2014 Vanaf 1 januari 2014 is de samenstelling van het auditcomité geregeld door het Auditdecreet van 5 juli 2013 en door het besluit van de Vlaamse Regering van 18 oktober 2013 tot oprichting van het intern verzelfstandigd agentschap Audit Vlaanderen en tot wijziging van diverse besluiten: Artikel 19, eerste lid, van het Auditdecreet van 5 juli 2013 bepaalt het volgende: “Bij Audit Vlaanderen worden twee auditcomités opgericht, elk bestaande uit 7 leden: 1° het auditcomité van de Vlaamse administratie, bestaande uit 4 onafhankelijke deskundigen en 3 vertegenwoordigers van de Vlaamse Regering; 2° het auditcomité van de lokale besturen, bestaande uit 4 onafhankelijke deskundigen, 2 leden op voordracht van de Vereniging van Vlaamse Steden en Gemeenten en 1 lid op voordracht van de Vereniging van de Vlaamse Provincies. De minister bevoegd voor Binnenlands Bestuur of zijn vertegenwoordiger woont de vergadering van het auditcomité van de lokale besturen als waarnemer bij.”
- 29 -
Artikel 11, tweede lid, van het voormelde besluit van de Vlaamse Regering van 18 oktober 2013 bepaalt: “De onafhankelijke deskundigen worden, op voordracht van de auditcomités, aangeduid door de Vlaamse Regering voor een periode van vijf jaar die maximaal eenmaal hernieuwbaar is.” Artikel 11, vierde lid, van het besluit bepaalt: “De Vlaamse Regering duidt onder de onafhankelijke deskundigen de voorzitters van de auditcomités aan, op voordracht van de auditcomités.” Artikel 43 van het besluit bepaalt dat bij de oprichting van Audit Vlaanderen voor de eerste aanstelling van de onafhankelijke deskundigen bij de auditcomités kan afgeweken worden van artikel 11 voor wat betreft de duur van het mandaat en de aanduiding van de voorzitters.
1.2 Leden van het auditcomité van de Vlaamse administratie in 2013 Hierna is een overzicht opgenomen van de personen die in de loop van 2013 lid waren van het auditcomité van de Vlaamse administratie of erin vertegenwoordigd waren. De samenstelling van het auditcomité onderging in 2013 geen wijzigingen. Naast de leden van het auditcomité en de secretaris, nemen ook de personen die het management van het agentschap Interne Audit van de Vlaamse Administratie (vanaf 1 januari 2014: het agentschap Audit Vlaanderen) vormen deel aan de vergaderingen (met uitzondering van de agendapunten die het auditcomité wenst te behandelen zonder de aanwezigheid van de leden van het management). Zodoende wordt een verhoogde efficiëntie van de beraadslagingen en de besluitvorming, met inbegrip van de communicatie ter zake ten aanzien van het management, nagestreefd. Het management van het agentschap wordt gevormd door de administrateur-generaal en de manager-auditoren. Overzicht van de personen die in 2013 lid waren van het auditcomité van de Vlaamse administratie of erin vertegenwoordigd waren
Voorzitter
Martine Verluyten, onafhankelijk deskundige
Leden Vlaamse Regering
Ingrid Lieten, viceminister-president 2 Geert Bourgeois, viceminister-president
1
3
Onafhankelijke leden-deskundigen Jean-Pierre Bostoen, onafhankelijk deskundige Diane Breesch, onafhankelijk deskundige 4 Luc Discry, onafhankelijk deskundige 5 Saskia Van Uffelen, onafhankelijk deskundige
Vertegenwoordigers van de beleidsdomeinen
6
Martin Ruebens, departement Diensten voor het Algemeen Regeringsbeleid Erik Portugaels, nv De Scheepvaart 7
1
Verontschuldigd op de vergadering van 11 december 2013. Op de vergaderingen vertegenwoordigd door Helga Coppen, raadgever. Op de vergaderingen vertegenwoordigd door Bart Huybrechts, adjunct-kabinetschef. Verontschuldigd op de vergadering van 10 september 2013. 4 Lid van het auditcomité van de Vlaamse administratie tot 31 december 2013. Thans lid van het auditcomité van de lokale besturen 5 Verontschuldigd op de vergadering van 4 juni 2013 6 Verontschuldigd op de vergadering van 18 juni 2013 7 Lid van het auditcomité van de Vlaamse administratie tot 31 december 2013. 2 3
- 30 -
1.3 Vergoedingen van de leden van het auditcomité van de Vlaamse administratie Artikel 12, derde lid, van het besluit van de Vlaamse Regering van 18 oktober 2013 tot oprichting van het intern verzelfstandigd agentschap Audit Vlaanderen en tot wijziging van diverse besluiten, bepaalt dat het jaarverslag de vergoedingen vermeldt die per lid van het auditcomité uitbetaald zijn. In onderstaande tabel zijn de vergoedingen (nettobedragen) vermeld die aan de leden van het auditcomité van de Vlaamse administratie werden uitbetaald, ingevolge hun deelname aan de vergaderingen in 2013. naam Martine Verluyten (voorzitter) Jean-Pierre Bostoen Diane Breesch Luc Discry Saskia Van Uffelen Helga Coppen Bart Huybrechts Martin Ruebens Erik Portugaels
nettobedrag vergoeding 8 484,60 euro 6 834,66 euro 6 834,66 euro 6 375,24 euro 5 772,12 euro 6 834,66 euro 5 772,12 euro 6 834,66 euro 6 834,66 euro
1.4 Actuele samenstelling van het auditcomité van de Vlaamse administratie Rekening houdend met de wijziging van de reglementering inzake de samenstelling van het auditcomité (zie punt 1.1.2 Reglementering vanaf 1 januari 2014, p. 29) en de beslissing van de Vlaamse Regering van 8 november 2013 betreffende de aanduiding van de leden van de auditcomités, is het auditcomité van de Vlaamse administratie sedert 1 januari 2014 samengesteld zoals hierna vermeld. Samenstelling van het auditcomité van de Vlaamse administratie vanaf 1 januari 2014 8
Voorzitter
Martine Verluyten, onafhankelijk deskundige
Onafhankelijke leden-deskundigen
Jean-Pierre Bostoen, onafhankelijk deskundige 9 Luc Discry, onafhankelijk deskundige 10 Saskia Van Uffelen, onafhankelijk deskundige 11
Vertegenwoordigers van de Vlaamse Regering
Helga Coppen, raadgever van viceminister-president Ingrid Lieten Bart Huybrechts, adjunct-kabinetschef van viceministerpresident Geert Bourgeois Martin Ruebens, secretaris-generaal van het departement Diensten voor het Algemeen Regeringsbeleid
8
Het mandaat als onafhankelijk lid-deskundige loopt van 15 januari 2010 tot 14 januari 2015 (eerste termijn). Het mandaat als onafhankelijk lid-deskundige loopt van 15 januari 2010 tot 14 januari 2015 (eerste termijn). 10 Het mandaat als onafhankelijk lid-deskundige loopt van 23 februari 2011 tot 22 februari 2016 (eerste termijn). 11 Het mandaat als onafhankelijk lid-deskundige loopt van 27 april 2012 tot 26 april 2017 (eerste termijn). 9
- 31 -
Nemen eveneens deel aan de vergaderingen
Secretaris van het auditcomité
Guido Collin, adviseur, departement Diensten voor het Algemeen Regeringsbeleid
Management van het Agentschap Audit Vlaanderen
Eddy Guilliams, administrateur-generaal Mark Vandersmissen, manager-auditor Wim De Naeyer, manager-auditor Johan Fransen, manager-auditor Steven Van Roosbroek, manager-auditor (vanaf 2014)
2 Vergaderingen van het auditcomité van de Vlaamse administratie 2.1 Vergaderfrequentie Het auditcomité van de Vlaamse administratie vergaderde 7 maal in 2013, op de hierna vermelde data: - 13 februari 2013; - 15 april 2013; - 4 juni 2013 (overlegvergadering van het auditcomité met de voorzitters van de auditcomités van de publiekrechtelijk vormgegeven extern verzelfstandigde agentschappen en de VRT); - 18 juni 2013; - 10 september 2013; - 6 november 2013; - 11 december 2013. Op 9 januari 2013 vond, voor de tweede maal, een vergadering plaats van de kernministers van de Vlaamse Regering met een delegatie van het auditcomité van de Vlaamse administratie. De derde vergadering van de kernministers van de Vlaamse Regering met een delegatie van het auditcomité van de Vlaamse administratie vond plaats op 15 januari 2014.
2.2 Mededeling van de notulen van de vergaderingen aan de Vlaamse Regering Artikel 17 van het voormelde besluit van de Vlaamse Regering van 16 april 2004 bepaalt dat de notulen van de vergaderingen van het auditcomité van de Vlaamse administratie worden toegezonden aan de Vlaamse Regering. Om uitvoering te geven aan deze bepaling bezorgt de voorzitter van het auditcomité de goedgekeurde notulen van iedere vergadering aan de minister-president van de Vlaamse Regering, die deze vervolgens als mededeling aan de Vlaamse Regering voorlegt. De notulen van de vergaderingen van het auditcomité van de Vlaamse administratie in 2013 werden als mededeling aan de Vlaamse Regering voorgelegd als volgt: notulen auditcomité van 13 februari 2013: vergadering Vlaamse Regering van 19 april 2013 (mededeling 21); notulen auditcomité van 15 april 2013: vergadering Vlaamse Regering van 21 juni 2013 (mededeling 6);
- 32 -
notulen overlegvergadering van 4 juni 2013 van het auditcomité met de voorzitters van de auditcomités van de publiekrechtelijk vormgegeven extern verzelfstandigde agentschappen en de VRT: vergadering Vlaamse Regering van 6 september 2013 (mededeling 33); notulen auditcomité van 18 juni 2013: vergadering Vlaamse Regering van 6 september 2013 (mededeling 34); notulen auditcomité van 10 september 2013: vergadering Vlaamse Regering van 8 november 2013 (mededeling 5); notulen auditcomité van 6 november 2013: vergadering Vlaamse Regering van 20 december 2013 (mededeling 17); notulen auditcomité van 11 december 2013: vergadering Vlaamse Regering van 17 januari 2014 (mededeling 11).
Het voormelde besluit van de Vlaamse Regering van 16 april 2004 werd, met ingang van 1 januari 2014, opgeheven door het besluit van de Vlaamse Regering van 18 oktober 2013 tot oprichting van het intern verzelfstandigd agentschap Audit Vlaanderen en tot wijziging van diverse besluiten. Dit laatstvermelde besluit bevat een gelijkaardige bepaling, die erin voorziet dat de notulen van de vergaderingen van de auditcomités worden toegezonden aan de Vlaamse Regering (artikel 20, tweede lid).
3 Overzicht van aangelegenheden
de
behandelde
agendapunten/
3.1 Algemeen overzicht Het auditcomité van de Vlaamse administratie vergaderde 7 maal in 2013. Het betrof 6 gewone vergaderingen en één overlegvergadering met de voorzitters van de auditcomités bij de publiekrechtelijk vormgegeven extern verzelfstandigde agentschappen en de VRT. Gemiddeld werden per vergadering een 14-tal agendapunten behandeld. De agendapunten kunnen geclusterd worden in een aantal rubrieken, zoals dat ook in de vorige jaarverslagen gebeurde, volgens onderstaande indeling: interne en externe werking van het auditcomité; uitbouw en interne organisatie/werking van het agentschap Interne Audit van de Vlaamse Administratie (IAVA); aansturing, opvolging en feedback ten aanzien van het agentschap IAVA, m.i.v. auditaanpak en rapporten; audituniversum, controleomgeving, beleidsaangelegenheden, -adviezen en reflecties. Hierna volgt een (niet-exhaustief) overzicht van de behandelde agendapunten/aangelegenheden, ingedeeld volgens de voormelde rubrieken.
3.2 Overzicht van de behandelde aangelegenheden per rubriek
agendapunten/
3.2.1. Interne en externe werking van het auditcomité van de Vlaamse administratie - Een belangrijke aangelegenheid onder deze rubriek betreft de voorbereiding en goedkeuring van het jaarverslag van het auditcomité en het agentschap Interne Audit van de Vlaamse Administratie. De voorbereiding van het jaarverslag 2012 en de (voor)ontwerpteksten kwamen aan bod op de vergaderingen van het auditcomité van 13 februari 2013 en 15 april 2013.
- 33 -
Het jaarverslag 2012 werd eind april 2013 inhoudelijk gefinaliseerd. Begin juni 2013 was het jaarverslag 2012 ook wat de vormgeving en de lay-out betreft gefinaliseerd. De verspreiding gebeurt reeds sinds enkele jaren niet meer in gedrukte vorm, maar enkel nog in digitale vorm. Het jaarverslag 2012 is, zoals ook alle vorige jaarverslagen, terug te vinden op de website van het agentschap (www.auditvlaanderen.be). Het jaarverslag 2012 van het auditcomité en het agentschap Interne Audit van de Vlaamse Administratie werd formeel als mededeling aan de Vlaamse Regering voorgelegd op de vergadering van 28 juni 2013 (mededeling 8). Aansluitend op de mededeling aan de Vlaamse Regering, werd op 28 juni 2013 nog een communicatie over het jaarverslag gericht aan de personeelsleden van de Vlaamse administratie onder de vorm van een “snelinfo”, met verwijzing en link naar het jaarverslag 2012 op de website. - Op 9 januari 2013 vond de tweede vergadering plaats van een delegatie van het auditcomité met de kernministers van de Vlaamse Regering. De nodige afspraken en voorbereidende werkzaamheden in het vooruitzicht van deze vergadering werden door het auditcomité gemaakt en verricht op de vergaderingen van 11 september 2012 en 6 november 2012, en gefinaliseerd in aansluiting op de vergadering van 11 december 2012. Het verslag van de vergadering van 9 januari 2013 werd besproken op de vergadering van het auditcomité van 13 februari 2013. De derde vergadering van een delegatie van het auditcomité met de kernministers van de Vlaamse Regering vond plaats op 15 januari 2014. De nodige afspraken en voorbereidende werkzaamheden in het vooruitzicht van deze vergadering werden door het auditcomité gemaakt en verricht op de vergadering van 6 november 2013, en gefinaliseerd tijdens een daartoe specifiek georganiseerde bijeenkomst van de aangeduide delegatie van het auditcomité met het management van IAVA op 17 december 2013. Het verslag van de vergadering van 15 januari 2014 werd besproken op de vergadering van het auditcomité van 11 februari 2014. - Op 4 juni 2013 werd de (jaarlijkse) overlegvergadering georganiseerd van het auditcomité van de Vlaamse administratie met de voorzitters van de auditcomités van de publiekrechtelijk vormgegeven extern verzelfstandigde agentschappen en de VRT. Aan de voorbereiding en aan de evaluatie van deze overlegvergadering werd de nodige aandacht besteed respectievelijk tijdens de vergaderingen van het auditcomité van 15 april 2013 en 18 juni 2013. - Op vraag van minister-president Kris Peeters en minister bevoegd voor binnenlands bestuur Geert Bourgeois werd, met het oog op de voorbereiding van het opstarten van het agentschap Audit Vlaanderen en inzonderheid de samenstelling van de twee voorziene auditcomités, van het auditcomité van de Vlaamse administratie een formeel voorstel verwacht betreffende: • welke onafhankelijke deskundigen van het huidige auditcomité ook in het auditcomité van de lokale besturen zullen zetelen; • de reductie van vijf onafhankelijke deskundigen naar vier onafhankelijke deskundigen in het auditcomité van de Vlaamse administratie; • het voorzitterschap van beide auditcomités. Het auditcomité behandelde deze aangelegenheid op de vergadering van 18 juni 2013; het voorstel werd bij brief van 8 augustus 2013 van Martine Verluyten, voorzitter van het auditcomité, aan minister-president Kris Peeters bezorgd. - Ook werd de betrokkenheid van het auditcomité gevraagd bij de selectie voor de voordracht van een onafhankelijk deskundige voor het nog openstaande mandaat bij het auditcomité van de lokale besturen, en voor deelname aan de jury in het kader van de selectieprocedure voor de eerste wervingsronde van auditoren voor de audit van de lokale besturen. Het auditcomité duidde op 18 juni 2013 Jean-Pierre Bostoen aan als zijn vertegenwoordiger voor beide aangelegenheden.
- 34 -
- Ook de jaarlijkse zelfevaluatie van het auditcomité vormt een belangrijke aangelegenheid onder deze rubriek. De zelfevaluatie over het jaar 2013 werd behandeld op de vergadering van 11 december 2013. In het kader van deze zelfevaluatie werden volgende topics behandeld: • de communicatie en interactie met de Vlaamse Regering; • de adviesverlening aan de Vlaamse Regering; • de cofinanciering van IAVA (via de betalende auditopdrachten die boekhoudkundig worden verwerkt op de Dienst met Afzonderlijk Beheer); • de optimalisering van de vergaderingen van het auditcomité; • het verhogen van de interactie tussen het auditcomité en het werkterrein van IAVA; • risicoanalyse en risicomanagement; • de evolutie van het maturiteitsniveau inzake organisatiebeheersing; • de externe audit van de lokale besturen; • de gevolgen van de zesde staatshervorming voor de interne audit van de Vlaamse administratie. - Onder deze rubriek vallen ook jaarlijks recurrente en/of relatief punctuele aangelegenheden, zoals bijvoorbeeld de vergaderplanning en de mandaatverlening aan sommige leden om namens het auditcomité op te treden en te beslissen in het kader van de evaluatieprocedure van de administrateur-generaal van het agentschap.
3.2.2. Uitbouw en interne organisatie/werking van het agentschap Interne Audit van de Vlaamse Administratie/Audit Vlaanderen - Het project “externe audit van de lokale besturen”, aangestuurd door de minister bevoegd voor binnenlands bestuur, en waarvan de implementatie werd voorbereid door een projectleider van het Agentschap voor Binnenlands Bestuur, kwam aan bod op bijna elke vergadering van het auditcomité in 2013. Dit project had zeer substantiële implicaties voor het agentschap IAVA aangezien, met ingang van 1 januari 2014, het werkterrein werd uitgebreid met de lokale besturen en het agentschap IAVA werd omgevormd tot het agentschap Audit Vlaanderen (zie de uitgebreide toelichting onder hoofdstuk I, punt 2 De uitbreiding van het audituniversum met de lokale besturen en de omvorming van het agentschap Interne Audit van de Vlaamse administratie tot het agentschap Audit Vlaanderen, p. 13). In de loop van 2013 werd door de projectleider regelmatig betreffende diverse aangelegenheden het advies en/of het standpunt ingewonnen van het auditcomité van de Vlaamse administratie. - Onder deze rubriek vallen ook recurrente aangelegenheden die periodiek op de vergaderingen aan bod komen, zoals de budgetopvolging (beschikbare kredieten en actuele stand inzake de besteding daarvan) en de rapportering over de personeelstoestand en -bewegingen. Vanaf 2014 wordt bijzondere aandacht besteed aan het toezicht op een evenwichtige verdeling van de werkzaamheden en de financiële en personeelsmiddelen van het agentschap Audit Vlaanderen tussen enerzijds de interne audit van de Vlaamse administratie en anderzijds de externe audit van de lokale besturen. - Bij beslissing van 17 februari 2012 hechtte de Vlaamse Regering haar goedkeuring aan een voorstel waardoor IAVA een vergoeding kan aanrekenen voor de uitvoering van sommige audits, namelijk de audits op aanvraag en de forensische audits. Zoals de beslissing voorziet, dienen de verkregen middelen uit de betalende auditopdrachten aangewend te worden om de auditcapaciteit van IAVA uit te breiden, en zodoende een hogere risicoafdekking van het audituniversum te realiseren.
- 35 -
Voor de gewone auditopdrachten die op basis van een risicoanalyse zijn opgenomen in de jaarlijkse auditplanning van IAVA en die het merendeel vormen (ongeveer 75%) van alle audits, wordt geen vergoeding aangerekend. Voor de budgettair-technische uitvoering van de voormelde beslissing diende overgegaan tot de decretale oprichting van een Dienst met Afzonderlijk Beheer (DAB). De DAB IAVA werd opgericht bij decretale bepaling in het decreet van 13 juli 2012 houdende bepalingen tot begeleiding van de tweede aanpassing van de begroting 2012 (artikel 30). Het besluit betreffende het financiële en materiële beheer van de DAB IAVA werd door de Vlaamse Regering goedgekeurd op 7 september 2012. Vanaf het laatste kwartaal van 2012 werden in dit verband door IAVA de eerste vorderingen geboekt en ontvangsten verricht. Op de vergaderingen van het auditcomité van 13 februari 2013 en 18 juni 2013 werd door IAVA een overzicht voorgelegd van de auditopdrachten waarvoor een vergoeding werd aangerekend, met - per opdracht - het bedrag van de vordering en het (gebeurlijk) reeds ontvangen bedrag op de DAB; ook werd een overzicht verstrekt van de reeds op de DAB verrichte uitgaven. Op de vergadering van het auditcomité van 18 juni 2013 stelde het auditcomité vast dat de gerealiseerde uitgaven relatief beperkt waren in verhouding tot de gerealiseerde ontvangsten, wat resulteerde in een substantieel bedrag als beschikbaar saldo. Het auditcomité adviseerde IAVA om de beschikbare middelen tijdig en op een verantwoorde en efficiënte wijze in te zetten, teneinde de (audit)capaciteit te verhogen en zodoende aan het door IAVA gesignaleerde knelpunt inzake capaciteit te remediëren. - Op de vergadering van 15 april 2013 hechtte het auditcomité zijn goedkeuring aan een voorstel van IAVA inzake de afstemming van de timing van het auditplanningsproces op de verschuiving in het planningsproces bij het Rekenhof. - Op de vergadering van 15 april 2013 nam het auditcomité kennis van de machtiging die bij beraadslaging van 13 februari 2013 van de Vlaamse Toezichtcommissie voor het elektronische bestuurlijke gegevensverkeer aan IAVA werd verleend om de persoonsgegevens van entiteiten van de Vlaamse overheid binnen het werkterrein van IAVA te gebruiken in het kader van de auditopdrachten; het auditcomité hechtte tevens zijn goedkeuring aan de door IAVA geformuleerde voorstellen in verband met de toepassing van de machtiging.
3.2.3. Aansturing, opvolging en feedback ten aanzien van het agentschap IAVA, met inbegrip van auditaanpak en -rapporten - Belangrijke formele instrumenten voor de aansturing en opvolging beheersovereenkomst en het jaarlijks ondernemingsplan.
van IAVA zijn de
De beheersovereenkomst legt onder meer de strategische en operationele doelstellingen van IAVA vast, en geeft aan welke acties IAVA in dat verband zal ondernemen. Zij bepaalt tevens aan de hand van welke indicatoren de realisatie van de doelstellingen zal worden opgevolgd. De jaarlijkse ondernemingsplannen concretiseren dit verder. Na grondig voorbereidend werk en het doorlopen van de diverse stappen van het geëigende besluitvormingsproces werd op 22 februari 2011 de beheersovereenkomst 2011-2015 ondertekend, voor het auditcomité door de voorzitter en voor IAVA door de administrateur-generaal. Ingevolge de substantiële weerslag van de uitbreiding van het werkterrein met de lokale besturen en van de daarmee samengaande uitbreiding en omvorming van het Agentschap IAVA tot het Agentschap Audit Vlaanderen, werd op de vergaderingen van het auditcomité van 6 november 2013 en 11 december 2013 ingestemd met het voorstel om voor de resterende periode 2014-2015 een aangepaste beheersovereenkomst op te stellen.
- 36 -
Het ondernemingsplan en de rapportering over de werking van IAVA worden jaarlijks voorgelegd en opgevolgd; ze zijn gestructureerd op basis van de strategische doelstellingen en de daaronder ressorterende respectievelijke operationele doelstellingen en strategische projecten zoals die zijn opgenomen in de beheersovereenkomst. Het ondernemingsplan 2013 van IAVA werd goedgekeurd op de vergadering van het auditcomité van 13 februari 2013. Het auditcomité nam (tussentijds) kennis van de stand van zaken van de uitvoering van het ondernemingsplan 2013 op de vergadering van 18 juni 2013. Het voorstel van ondernemingsplan 2014 (deel IAVA) werd goedgekeurd op de vergadering van het auditcomité van 6 november 2013. Het ondernemingsplan 2014 van Audit Vlaanderen werd goedgekeurd op de vergadering van het auditcomité van 11 februari 2014. - In 2010 werd, voor de tweede maal, de voorziene vijfjaarlijkse externe evaluatie van IAVA uitgevoerd, onder de vorm van een “Quality Assurance Review”. Het eindrapport van 9 juni 2010 van KPMG Advisory (her)bevestigde dat de werking van IAVA in overeenstemming verloopt met de internationale standaarden voor de professionele werking van interne audit van het Instituut van Interne Auditors (IIA). Het auditcomité heeft aan IAVA gevraagd om halfjaarlijks te rapporteren over de implementatie van de aanbevelingen die in het rapport werden geformuleerd. Dientengevolge werden door IAVA in 2013 voortgangsrapporten ter zake voorgelegd op de vergaderingen van het auditcomité van 18 juni 2013 en van 6 november 2013. - Het auditcomité wordt ook - via beknopte (status)rapportering op de vergaderingen - op de hoogte gebracht van klachten en (mogelijke) onregelmatigheden die aan IAVA worden gemeld, en de wijze waarop IAVA hieraan gevolg geeft. - De aansturing en opvolging van IAVA krijgen verder ook concreet gestalte door de goedkeuring van de jaarplanning van de auditopdrachten, en de jaarlijkse goedkeuring van de planning en van de evaluatie van de administrateur-generaal van het agentschap. De auditplanning 2013 werd goedgekeurd op de vergadering van het auditcomité van 6 november 2012. Op de vergadering van het auditcomité van 13 februari 2013 werd, op voorstel van IAVA, een aanpassing van de auditplanning 2013 goedgekeurd. Bij de bespreking van de tussentijdse vooruitzichten inzake de realisatie van de auditplanning 2013 op de vergadering van het auditcomité van 18 juni 2013, heeft het auditcomité een hoge prioriteit gevraagd voor de kwaliteitsvolle en tijdige opstelling en oplevering van de beleidsgerichte rapporten. Het auditcomité nam verder ook nog (tussentijds) kennis van de stand van zaken van de uitvoering van de auditplanning 2013 op de vergadering van 10 september 2013. Een voorstel voor de aanpak en de timing van de opmaak van de auditplanning 2014 werd besproken en goedgekeurd op de vergadering van het auditcomité van 6 november 2013. Een eerste voorstel van auditplanning 2014 werd behandeld op de vergadering van het auditcomité van 11 december 2013 en de definitieve auditplanning 2014 werd goedgekeurd op de vergadering van het auditcomité van 11 februari 2014. - Onder deze rubriek hoort ook de inhoudelijke bespreking van de individuele auditrapporten.
- 37 -
3.2.4. Audituniversum, controleomgeving, adviezen en reflecties
beleidsaangelegenheden,
-
Onder deze rubriek ressorteren onder meer volgende aangelegenheden: - Zeer belangrijk, in het kader van de beleidsadvisering en de nagestreefde meer directe communicatie en interactie met de Vlaamse Regering, zijn de jaarlijkse vergaderingen van een delegatie van het auditcomité van de Vlaamse administratie met de kernministers van de Vlaamse Regering. De tweede jaarlijkse vergadering vond plaats op 9 januari 2013. Van regeringszijde waren minister-president Kris Peeters en de viceminister-presidenten Ingrid Lieten en Geert Bourgeois aanwezig. Kabinetschef Raf Suys van de minister-president, tevens secretaris van de Vlaamse Regering, was eveneens aanwezig. De delegatie van het auditcomité was samengesteld uit voorzitter Martine Verluyten, Jean-Pierre Bostoen en Luc Discry. Ook Eddy Guilliams, administrateur-generaal van IAVA, nam deel aan de vergadering. Het auditcomité behandelde op 13 februari 2013 het verslag van de voormelde vergadering. Op de vergadering van 9 januari 2013 werd onder meer het concept van de beleidsgerichte rapporten per minister goedgekeurd, en afgesproken dat deze rapporten door IAVA een eerste maal dienden te worden opgeleverd tegen einde 2013. Tevens werd beslist om de frequentie van de opvolging en de rapportering door IAVA over de uitvoering van de auditaanbevelingen terug te brengen van driemaal per jaar tot tweemaal per jaar. Pro memorie weze er in dit verband aan herinnerd dat de Vlaamse Regering op 30 maart 2012 besliste dat iedere leidend ambtenaar in het kader van de jaarlijkse evaluatie aan zijn/haar functioneel bevoegde minister moet rapporteren over de wijze waarop werd omgegaan met de aanbevelingen uit de verschillende audits van IAVA, en dit vanaf de evaluatie over het werkjaar 2012; iedere leidend ambtenaar dient ook, in het kader van de jaarlijkse planning, aan te geven op welke wijze zal omgegaan worden met de aanbevelingen uit de verschillende audits van IAVA en dit vanaf de planning over het werkjaar 2012. In de bijhorende regeringsnota is vermeld dat IAVA, om dit te faciliteren - naast een jaarlijkse algemene rapportering (beleidsgerichte rapporten) - elke stand van zaken die zij opmaakt inzake de uitvoering van de aanbevelingen ter informatie zal bezorgen aan de verschillende ministers. De Vlaamse Regering gaf hiermee uitdrukking aan de politieke gedragenheid van de auditwerkzaamheden en de auditaanbevelingen; deze politieke gedragenheid vormt een belangrijk signaal ten aanzien van de leidend ambtenaren en een belangrijke stimulans voor de realisatie van de auditaanbevelingen. - Terwijl er in het algemeen een gunstige evolutie wordt vastgesteld inzake de realisatiegraad van de auditaanbevelingen (zie hoofdstuk I, 3.5 De opvolging van de realisatie van de auditaanbevelingen, p. 24), is dit niet het geval voor de realisatiegraad voor de opgevolgde aanbevelingen van de thema-audits (zie hoofdstuk I, 3.2.1 Thema-audits, p. 18). Het auditcomité nam op de vergadering van 18 juni 2013 kennis van de brief van minister-president Kris Peeters van 9 april 2013 aan de voorzitter van het College van Ambtenaren-Generaal betreffende de opvolging van de aanbevelingen van de door IAVA uitgevoerde thema-audits. In de brief wordt voorgesteld dat, mede gelet op de relatief lage realisatiegraad van de aanbevelingen van de thema-audits, de rapportering over de stand van zaken voortaan eenmaal per jaar het voorwerp zou uitmaken van een bespreking in het periodiek overleg tussen de kernministers van de Vlaamse Regering en (een delegatie van) het College van AmbtenarenGeneraal. De brief bevat ook een concreet voorstel van tijdsschema en voorbereidende werkzaamheden ter zake.
- 38 -
De brief en de daarin vervatte voorstellen zijn een uitvloeisel van de afspraken die werden gemaakt op de vergadering van 9 januari 2013 van een delegatie van het auditcomité met de kernministers van de Vlaamse Regering. - Op de vergadering van het auditcomité van 18 juni 2013 werd de problematiek van de toegang van IAVA tot de gegevens van het ORAFIN-boekhoudsysteem behandeld. Uit de voorgelegde nota bleek dat aan een verzoek van IAVA om toegangsrechten tot inzage (zonder mogelijkheid tot wijziging) te verkrijgen van de boekhoudgegevens van de entiteiten uit het audituniversum die werken met het ORAFIN-boekhoudsysteem, pas na verloop van tijd gevolg werd gegeven. Het auditcomité onderschreef de door IAVA ontwikkelde argumentatie om, niet enkel voor de desbetreffende detectie-audit, maar in het algemeen voor de uitvoering van de auditopdrachten van IAVA, een structurele toegang te krijgen tot de ORAFIN-gegevens. Boekhoudkundige informatie moet door IAVA immers op regelmatige wijze worden geconsulteerd, bijvoorbeeld ook in het kader van de uitvoering van forensische auditopdrachten en de uitvoering van vooronderzoeken inzake ontvangen klachten. Aan IAVA werd in het verleden reeds een structurele toegang verleend tot verscheidene andere applicaties. Het auditcomité besliste om aangaande deze problematiek een brief te richten aan minister Philippe Muyters, bevoegd voor de financiën en de begrotingen, met een gemotiveerd verzoek om aan IAVA een structurele toegang te verlenen tot de ORAFIN-gegevens. De desbetreffende brief van 10 juli 2013 van de voorzitter van het auditcomité aan minister Philippe Muyters en de positieve reactie daarop van de minister werden besproken op de vergadering van het auditcomité van 10 september 2013. Een overlegvergadering werd georganiseerd met de diensten van het Agentschap Centrale Accounting, om de nodige afspraken te maken en resterende onduidelijkheden uit te klaren. Op de vergadering van 6 november 2013 werd het auditcomité door IAVA in kennis gesteld van een schriftelijke parlementaire vraag van 14 oktober 2013 ter zake aan minister Philippe Muyters, en het ontwerp van antwoord daarop zoals dat werd voorbereid door het Agentschap Centrale Accounting in overleg met IAVA. - Op de vergadering van 18 juni 2013 nam het auditcomité kennis van de omzendbrief 2013/06 van het Instituut van de Bedrijfsrevisoren van 17 april 2013 betreffende “Vlaams Rekendecreet steunen op de werkzaamheden van de andere controleactoren en het beroepsgeheim”. In deze omzendbrief wordt ingegaan op de invulling van het concept single audit en de implicaties hiervan voor de bedrijfsrevisoren in de entiteiten van de Vlaamse overheid, ingevolge het Rekendecreet van 8 juli 2011, het uitvoeringsbesluit van de Vlaamse Regering van 7 september 2012 betreffende controle en single audit, en de afsprakennota inzake de financiële audit in de Vlaamse overheid van 26 januari 2011 tussen het Instituut van de Bedrijfsrevisoren, het Rekenhof en IAVA. Tevens wordt ingegaan op het decreetsartikel, opgenomen in het decreet van 9 november 2012 houdende diverse bepalingen betreffende financiën en begroting tot wijziging van artikel 50 van het Rekendecreet om, eveneens in het kader van de realisatie van het single audit concept in de Vlaamse overheid, buiten de uitzonderingen op de geheimhoudingsplicht waarin artikel 79 van de wet van 22 juli 1953 houdende oprichting van een Instituut van de Bedrijfsrevisoren en organisatie van het publiek toezicht op het beroep van bedrijfsrevisor voorziet, een bijkomende uitzondering te voorzien waardoor deze geheimhoudingsplicht tevens niet geldt voor: • de informatie-uitwisseling over de auditstrategie en -planning, de monitoring en risicoanalyse, de controle en rapportering en de controlemethodieken door de bedrijfsrevisor aan het Rekenhof en aan IAVA inzake entiteiten van de Vlaamse overheid die zij gemeenschappelijk hebben als controledomein; • de overdracht aan het Rekenhof en aan IAVA van informatie uit werkdocumenten van de bedrijfsrevisor inzake entiteiten van de Vlaamse overheid die zij gemeenschappelijk hebben als controledomein.
- 39 -
- De stand van zaken en de voortgang van het strategisch project “risicomanagement” werd opgevolgd en besproken op de vergaderingen van het auditcomité van 13 februari 2013, 15 april 2013, 18 juni 2013, 10 september 2013 en 6 november 2013 (zie ook hoofdstuk I, 3.4 Risicoanalyse en risicomanagement, p. 22). - Op 4 juni 2013 werd, op initiatief van het auditcomité, de (jaarlijkse) overlegvergadering georganiseerd tussen het auditcomité en de voorzitters van de auditcomités van de publiekrechtelijk vormgegeven extern verzelfstandigde agentschappen (EVA’s) en de VRT; deze overlegvergadering werd georganiseerd mede in uitvoering van de beslissingen van de Vlaamse Regering van 17 februari 2006 en 30 maart 2007 betreffende de invulling van de interne auditfunctie in de Vlaamse administratie. Voor een overzicht van de op deze overlegvergadering behandelde aangelegenheden wordt verwezen naar hoofdstuk I, 4.2 Jaarlijkse overlegvergadering met de voorzitters van de (decentrale) auditcomités van de publiekrechtelijk vormgegeven extern verzelfstandigde agentschappen en de VRT, p. 27. Op deze vergadering gebeurde ook een korte evaluatie van de opleidingssessies die, op vraag van en in overleg met de voorzitters van de decentrale auditcomités, door IAVA werden georganiseerd. De twee opleidingssessies vonden plaats op 7 februari 2013 en 16 april 2013, telkens in de voormiddag. Zij stonden open voor zowel de leden van de decentrale auditcomités als de hoofden van de decentrale interne auditdiensten. De behandelde topics voor elk van beide opleidingssessies waren vooraf in overleg met de voorzitters van de decentrale auditcomités geselecteerd. - De toepassing van de regelgeving inzake openbaarheid van bestuur ten aanzien van de auditrapporten, en de standpunten en beslissingen van de Beroepsinstantie inzake openbaarheid van bestuur en hergebruik van overheidsinformatie kwamen aan bod op de vergaderingen van het auditcomité van 13 februari 2013, 15 april 2013 en 10 september 2013. - De kennisname - via de periodiek geagendeerde desbetreffende overzichten - van de onderwerpen van de (synthesenota’s van) auditrapporten die door IAVA werden ontvangen van decentrale auditdiensten in het kader van de rapportering overeenkomstig het “holdingmodel”. Vanaf de vergadering van 6 november 2013 worden, ingevolge een vraag van het auditcomité, de essentialia betreffende de ontvangen (synthesenota’s van) auditrapporten door IAVA bondig geresumeerd in een beknopt document dat aan het auditcomité wordt voorgelegd en toegelicht. - Op de vergadering van 6 november 2013 werd het auditcomité door IAVA in kennis gesteld van drie schriftelijke parlementaire vragen in verband met interne audit die in oktober 2013 aan ministerpresident Kris Peeters werden gesteld. Het ontwerp van antwoord op dergelijke vragen wordt door IAVA voorbereid; deze antwoorden worden aan het kabinet van de minister-president bezorgd en vervolgens door het kabinet, desgevallend na aanpassing, aan het Vlaams Parlement. Op dezelfde vergadering werd het auditcomité ook in kennis gesteld van het verslag (“parlementaire handelingen”) van de Commissie voor Algemeen Beleid, Financiën en Begroting van het Vlaams Parlement van 1 oktober 2013, naar aanleiding van een vraag om uitleg tot ministerpresident Kris Peeters over “de slagkracht van de Interne Audit van de Vlaamse Administratie (IAVA) en het jaarverslag 2012 van IAVA ter zake”. Mede in aansluiting op de bespreking in de voormelde Commissie van 1 oktober 2013, vond op 22 oktober 2013 in dezelfde Commissie een gedachtewisseling plaats met IAVA over zijn werking. De administrateur-generaal van IAVA gaf er een presentatie ten behoeve van de commissieleden en beantwoordde de door de commissieleden gestelde vragen. Uit de bespreking betreffende deze aangelegenheid op de vergadering van 6 november 2013 kwamen het auditcomité en het management van IAVA tot de conclusie dat er een spanningsveld blijft bestaan, tussen een ideale situatie met een groter aantal personeelsleden die zou toelaten de zekerheidsverstrekkende functie uitgebreider in te vullen, en de reële situatie die rekening houdt met de begrotingsdoelstellingen en de beschikbare budgettaire middelen, resulterend in een daarop afgestemde en aangepaste auditstrategie en wijze van afdekking van het audituniversum. - 40 -
4 Overzicht van de relevante reglementering Hierna volgt een overzicht van de relevante algemene reglementering betreffende het agentschap Interne Audit van de Vlaamse Administratie/het agentschap Audit Vlaanderen en het auditcomité van de Vlaamse administratie:
kaderdecreet bestuurlijk beleid van 18 juli 2003 (artikel 33 en 34);
Auditdecreet van 5 juli 2013;
besluit van de Vlaamse Regering van 16 april 2004 tot oprichting van het intern verzelfstandigd agentschap Interne Audit van de Vlaamse Administratie en tot omvorming van het auditcomité van de Vlaamse Gemeenschap tot het Auditcomité van de Vlaamse Administratie (p.m.: dit besluit was van toepassing tot 31 december 2013; het besluit is opgeheven met ingang van 1 januari 2014);
besluit van de Vlaamse Regering van 18 oktober 2013 tot oprichting van het intern verzelfstandigd agentschap Audit Vlaanderen en tot wijziging van diverse besluiten (dit besluit is volledig in werking getreden met ingang van 1 januari 2014);
p.m.: auditcharter van IAVA (geactualiseerde versie, goedgekeurd door het auditcomité op 11 september 2012); in de loop van 2014 werd het auditcharter van het agentschap Audit Vlaanderen goedgekeurd;
p.m.: huishoudelijk reglement van het auditcomité (goedgekeurd door het auditcomité op 24 april 2007); op 11 februari 2014 werd een nieuw huishoudelijk reglement van het auditcomité van de Vlaamse administratie goedgekeurd;
decreet van 13 juli 2012 houdende bepalingen tot begeleiding van de tweede aanpassing van de begroting 2012 (artikel 30, betreffende de oprichting van de DAB IAVA/Audit Vlaanderen);
besluit van de Vlaamse Regering van 7 september 2012 betreffende het financiële en materiële beheer van de DAB IAVA/Audit Vlaanderen);
decreet houdende regeling van de begroting, de boekhouding, de toekenning van subsidies en de controle op de aanwending ervan, en de controle door het Rekenhof van 8 juli 2011 (“Rekendecreet”) (artikel 50 en 67);
besluit van de Vlaamse Regering van 7 september 2012 betreffende controle en single audit.
- 41 -
Hoofdstuk III: Activiteitenverslag 2013 van het agentschap Interne Audit van de Vlaamse Administratie (IAVA) 1. Inleiding 1.1.
Voorwoord van de administrateur-generaal IAVA
Het klinkt vreemd, maar dit is het laatste jaarverslag van IAVA. Dit betekent echter niet dat IAVA zijn werkzaamheden stopzet, integendeel. IAVA wordt vanaf 1 januari 2014 opgenomen in het nieuwe en grotere agentschap Audit Vlaanderen. Dit agentschap zal, naast zijn opdracht binnen de diensten van de Vlaamse overheid, ook instaan voor audits in de lokale besturen (gemeentebesturen, OCMW’s, provincies, …). Het voorbije jaar 2013 bood IAVA alvast ondersteuning aan de medewerkers van het projectteam dat instond voor de voorbereiding van de opstart van het nieuwe agentschap. 2013 is het jaar van de eerste beleidsgerichte rapporten. Deze kwamen tot stand om het Auditcomité van de Vlaamse Administratie de mogelijkheid te bieden zijn adviesfunctie aan de Vlaamse Regering optimale invulling te geven. In de loop van het voorgaande jaar werd een concept van rapportering ontwikkeld waarin de belangrijkste aandachtspunten inzake organisatiebeheersing binnen de verschillende entiteiten op een overzichtelijke manier konden worden samengevat. Dit voorbereidende werk gebeurde in nauwe samenwerking met alle rechtstreeks betrokken belanghebbenden, zoals het Auditcomité en de geauditeerden. Op 9 januari 2013, naar aanleiding van het jaarlijkse overleg tussen een delegatie van de ministers van de Vlaamse Regering en een afvaardiging van het Auditcomité, werd het finale concept goedgekeurd. Tevens werd afgesproken dat IAVA elk jaar aan elke minister een beleidsgericht rapport zou bezorgen m.b.t. de entiteiten die tot zijn/haar bevoegdheid behoren. De eerste reeks rapporten werd eind december 2013 opgeleverd. Deze rapporten zijn temeer belangrijk omdat zij een rol spelen in de evaluatie van de leidend ambtenaren : de wijze waarop hij/zij het afgelopen werkjaar omging met de aanbevelingen uit de verschillende audits van IAVA, is een wezenlijk onderdeel in de globale beoordelingsprocedure. De beleidsgerichte rapporten zijn m.a.w. waardevolle instrumenten om de evoluties inzake organisatiebeheersing in kaart te brengen, zowel voor de leidend ambtenaren en als voor de politiek verantwoordelijken. Graag ontving IAVA, nu Audit Vlaanderen, dan ook de reacties van alle betrokkenen om hiermee de bruikbaarheid van het instrument in de toekomst te kunnen verhogen. Dit jaarverslag staat eveneens stil bij de bespreking van de diverse auditrapporten. In 2013 werden 24 thema-audits, procesaudits, detectie-audits en forensische opdrachten uitgevoerd. We zien dat de inzet op efficiëntie verhogende maatregelen binnen IAVA alvast heeft geloond. Er werden meer audits afgerond dan in 2012 en de tijdsbesteding in de rapporteringsfase kon worden ingekort. Verder verneemt de lezer de stand van zaken in de uitwerking van het concept single audit via het holdingmodel en de afsprakennota’s tussen de controleactoren. En tenslotte biedt dit jaarverslag ook een inzicht in de manier waarop IAVA investeerde in informatie en sensibilisering m.b.t. organisatiebeheersing. De groeiende databank Goede Praktijken en de druk bijgewoonde sessies van het Netwerk Organisatiebeheersing zijn hiervan een mooi bewijs. Ook aan de organisatiecultuur binnen de Vlaamse overheid werd bijzondere aandacht besteed. De medewerking van IAVA aan de oprichting van het Bureau Integriteit, met vertegenwoordigers van verschillende partners uit het integriteitswerkveld, verdient in dit verband vermelding. In 2013 werd alzo een uniek meldpunt voor velerlei integriteitskwesties gelanceerd.
- 42 -
Het laatste jaarverslag van IAVA dus… Na al die jaren werd een hele weg afgelegd op het vlak van organisatiebeheersing bij de Vlaamse administratie. Deze mooie resultaten kwamen tot stand dankzij de inspanningen van alle collega’s. Het past hier dan ook hen te danken voor de inzet en de loyale medewerking die ik de afgelopen jaren van hen heb mogen ontvangen. We hopen dat de bijdrage die IAVA al die tijd heeft kunnen leveren aan de optimalisatie van organisatiebeheersing binnen de Vlaamse administratie, ook bij de lokale besturen zal kunnen waargemaakt worden. In totaal beslaat het werkterrein van Audit Vlaanderen voortaan een 900-tal entiteiten, van allerlei aard en grootte. Een hele uitdaging voor het nieuwe agentschap ! Eddy Guilliams, Administrateur-generaal.
1.2. Integratie van het activiteitenverslag in het jaarverslag van het Auditcomité Dit activiteitenverslag is zoals gebruikelijk geïntegreerd in het jaarverslag van het Auditcomité, dat het - in het kader van zijn adviestaak - richt aan de Vlaamse Regering. Het is het twaalfde jaarverslag en handelt over de periode van 1 januari 2013 tot 31 december 2013.
- 43 -
2. Opdrachtformulering van IAVA 2.1. Missie en visie van IAVA IAVA wil: • een onafhankelijke, objectieve en bekwame partner zijn van het management, • bij het beheersen van zijn financiële, wettelijke en organisatorische risico’s, • om een toegevoegde waarde te creëren bij de uitbouw van een efficiënte, effectieve, kwaliteitsvolle en ethische organisatie.
2.2. Opdracht IAVA heeft als opdracht het interne controlesysteem/systeem van organisatiebeheersing van de Vlaamse administratie te evalueren en aanbevelingen hierover te formuleren. Bij het evalueren van de interne controle/organisatiebeheersing gaat de aandacht naar de beoordeling van: 1° het bereiken van de opgelegde doelstellingen en het effectief en efficiënt beheer van risico’s; 2° de naleving van regelgeving en procedures; 3° de betrouwbaarheid van de financiële en beheersrapportering; 4° de effectieve en efficiënte werking van de diensten en het efficiënt inzetten van middelen; 5° de bescherming van haar activa en de voorkoming van fraude.
2.3. Audituniversum Het audituniversum of werkterrein van IAVA is samengesteld uit: de dertien departementen, de intern verzelfstandigde agentschappen en de publiekrechtelijk vormgegeven extern verzelfstandigde agentschappen, de Eigen Vermogens met rechtspersoonlijkheid, de Vlaamse Openbare Instellingen type A, zoals bedoeld in de wet van 16 maart 1954 betreffende de controle op sommige instellingen van openbaar nut en de Vlaamse Radio- en Televisieomroep.
2.4. Beheersovereenkomst 2011- 2015 In de beheersovereenkomst 2011-2015 van IAVA zijn 4 strategische doelstellingen opgenomen: Strategische doelstelling 1- ‘Planning en uitvoering auditopdrachten’: IAVA draagt, via de uitvoering van risicogebaseerde en incidentgedreven (forensische onderzoeken) auditopdrachten bij tot het verhogen van de graad van risicobeheersing, zowel op beleids-, strategisch als operationeel niveau. Strategische doelstelling 2 - ‘Sensibiliseren, adviseren en ondersteunen van het management’: IAVA zal het management en het politieke niveau sensibiliseren, adviseren en ondersteunen bij de verdere opbouw van het systeem van organisatiebeheersing (interne controle, risicomanagement en deugdelijk overheidsbestuur). Strategische doelstelling 3 - ‘Single audit: optimalisatie van de controlecascade’: IAVA wil – in samenspraak met alle betrokken (controle)actoren – actief bijdragen tot het optimaliseren van de interne auditfunctie binnen de Vlaamse administratie en het verder ontwikkelen en implementeren van een single auditconcept in Vlaanderen.
- 44 -
Strategische doelstelling 4 ‘Interne werking’: Ter ondersteuning van de uitvoering van auditopdrachten en forensische onderzoeken worden de sturings- en managementprocessen verder geoptimaliseerd met het oog op, enerzijds, het behoud of de verhoging van de maturiteit van het systeem van organisatiebeheersing binnen IAVA, en anderzijds, een efficiënte en kwaliteitsvolle uitvoering van auditopdrachten en forensische onderzoeken.
2.5. Auditstrategie 2011- 2015 Op 8 november 2011 sprak het Auditcomité van de Vlaamse administratie zich uit over verfijningen en bijsturingen in de auditstrategie. Er werd geopteerd voor drie grote prioriteiten : 1. Bij de keuze van auditopdrachten moet de klemtoon liggen op de efficiënte en integere inzet van middelen. De aandacht gaat hierbij uit naar aangelegenheden die vele of alle entiteiten aanbelangen, zoals de thema-audits “Inspectie/Handhaving” en “ICT-contractbeheer”, met bijhorende outsourcingstrategie. Voorts wordt ook ingezet op de verdere opvolging van de eerdere thema-audits “Management Ondersteunende Diensten” en “ICT-netwerken”. Inzake integriteit wordt meer capaciteit voorzien voor forensische opdrachten (administratieve onderzoeken) en voor de uitvoering van detectie-audits. 2. Het lijnmanagement van de Vlaamse entiteiten krijgt verdere ondersteuning in de hem toegewezen verantwoordelijkheid m.b.t. interne controle/organisatiebeheersing. Daartoe moet ingezet worden op stimulering en uitbouw van risicoanalyse en -management bij alle entiteiten. Hierbij zal maximaal gebruik gemaakt worden van de hefbomen die binnen de betrokken organisaties beschikbaar zijn. De ankerpunten maar ook de andere controleactoren zijn in deze van primordiaal belang. 3. De nodige aandacht zal blijven uitgaan naar de verdere optimalisering van het systeem van organisatiebeheersing/interne controle en de evolutie hiervan, zoals weerspiegeld in de maturiteitsinschattingen. Deze inschattingen worden voor elke entiteit geactualiseerd, enerzijds door de uitvoering van validatie-audits bij een beperkt aantal geselecteerde entiteiten, anderzijds door de mogelijkheden die hiertoe geboden worden naar aanleiding van de uitgevoerde procesaudits, forensische audits, thema-audits e.a., en naar aanleiding van de opvolging van de realisatiegraad van de auditaanbevelingen.
- 45 -
3. Beleidsgerichte rapporten De beleidsgerichte rapporten beogen de versterking van: • de politieke draagkracht en de betrokkenheid van de leidend ambtenaren voor de realisatie van auditaanbevelingen en voor de verdere uitbouw van een systeem van organisatiebeheersing en risicobeheersing; • de functie van het Auditcomité als adviserend orgaan t.a.v. de Vlaamse Regering. In haar beslissing van 30 maart 2012 onderschreef de Vlaamse Regering reeds het belang van de opvolging van de door IAVA geformuleerde aanbevelingen. Dit betekende dat ieder leidend ambtenaar vanaf het werkjaar 2012, in het kader van de jaarlijkse evaluatie, aan zijn/haar functioneel bevoegde minister(s) moest rapporteren over de wijze waarop in zijn/haar entiteit het afgelopen werkjaar werd omgegaan met de aanbevelingen uit de verschillende audits van IAVA (zie verder onder hoofdstuk III, 3.2. Opvolging van de aanbevelingen, p. 48). Deze principes zouden opgenomen worden in de jaarlijkse evaluatie en planning van de leidend ambtenaren. Bij die gelegenheid zouden de leidend ambtenaren ook een rapportering terzake moeten kunnen voorleggen. In het kader van de adviserende rol van het Auditcomité ten aanzien van de Vlaamse Regering vond op 9 januari 2013 overleg plaats tussen delegaties van het Auditcomité van de Vlaamse Administratie en de ministers van de Vlaamse Regering. Hierbij werd afgesproken dat IAVA niet enkel een stand van zaken zou opmaken naar aanleiding van de opvolging van de realisatiegraad van de aanbevelingen in de loop van het werkingsjaar, maar ook een jaarlijkse algemene rapportering (beleidsgericht rapport) bezorgt aan de onderscheiden ministers. De beleidsgerichte rapporten moeten elke minister voor de totaliteit van alle departementen en/of agentschappen die onder zijn/haar bevoegdheid ressorteren inzicht geven in de stand van zaken of de evolutie met betrekking tot : - de maturiteitsinschatting inzake organisatiebeheersing en de ondernomen acties hierbij; - de realisatiegraad van de aanbevelingen; - de uitbouw en de implementatie van een systeem van risicomanagement. Het beleidsgericht rapport is opgebouwd uit een samenvattend overzicht van de genoemde componenten en een gedetailleerde onderbouwing van alle elementen. De verticale kolommen stellen hierbij de diverse departementen en/of agentschappen voor. Onderstaande figuur (fictief voorbeeld) geeft een beeld van het samenvattend gedeelte:
- 46 -
Legende:
Eind 2013 finaliseerde IAVA een eerste formele rapportering via deze beleidsgerichte rapporten t.a.v. de verschillende ministers zodanig dat deze informatie kon meegenomen worden in de evaluatiecyclus van de topambtenaren over het werkjaar 2013. Hierna volgt de globale inschatting van gans de Vlaamse administratie voor de drie onderdelen.
- 47 -
3.1. Maturiteit inzake organisatiebeheersing In 2013 werd een gedeelte van de maturiteitsinschattingen uit 2010 voor de eerste maal geactualiseerd. Bijgevoegde tabel geeft de globale evolutie van de maturiteit van 31/12/2010 t.e.m. 30/09/2013 weer voor alle entiteiten die behoren tot het audituniversum.
VO 2010 Med. Gem.
Med.
2013 Gem.
Inschatting doelstelling Effectiviteit Efficiëntie Kwaliteit Integriteit
2 2 3 2
2,4 2,0 2,6 2,2
3 2 3 3
2,7 2,2 2,8 2,6
Inschatting per thema Doelstellingen, PM, RM Belanghebbendenman. Monitoring Organisatiestructuur HRM Organisatiecultuur Inform. & Communic. Financieel management Facilitymanagement ICT
3 3 3 3 3 2 3 2 2 2
2,7 2,8 2,5 2,9 2,5 2,2 2,8 2,3 2,4 2,4
3 3 3 3 3 3 3 3 3 3
3,0 2,9 2,8 3,0 2,8 2,6 3,0 2,5 2,6 2,6
De aandacht wordt gevestigd op het feit dat bij de actualisatie van de maturiteitsinschattingen de klemtoon voornamelijk lag op dié thema’s van de leidraad, die in 2010 nog geen maturiteitsniveau 3 hadden en/of thema’s waar aanbevelingen nog niet gerealiseerd waren of auditopdrachten door IAVA werden uitgevoerd. De thema’s die in 2010 reeds een maturiteitsniveau 3 behaalden, bleven in globo constant. Vanaf 2014 zullen deze thema’s wel conform de prioriteiten van de auditstrategie, in een vijfjarig plan, steekproefsgewijs diepgaander worden geauditeerd. Ook de opname van de vaststellingen van andere controleactoren (Rekenhof, decentrale auditdiensten, bedrijfsrevisoren) bij de actualisatie van maturiteitsinschattingen is gepland in 2014. Overleg en afspraken hierover zullen op de stuurgroep Single Audit gemaakt worden. De evolutie inzake de maturiteitsinschattingen m.b.t. organisatiebeheersing dient dan ook met de nodige voorzichtigheid te worden geïnterpreteerd. Een aantal algemene trends zijn wel duidelijk: - Algemeen wordt een globale vooruitgang vastgesteld. Op alle thema’s van organisatiebeheersing en de 4 doelstellingen (Effectiviteit, Efficiëntie, Kwaliteit en Integriteit) is het gemiddelde t.o.v. de referentieperiode eind 2010 met een waarde variërend van 0,2 tot 0,4 gestegen. In het merendeel van de organisaties wordt organisatiebeheersing dan ook ernstig genomen. Bij 85% van de entiteiten werd t.o.v. 2010 een positieve evolutie inzake de maturiteit waargenomen. 68% van de entiteiten beschikt over een actieplan gericht op de verhoging van de maturiteit. De uitvoering van een periodieke zelfevaluatie is evenwel nog geen algemeen gangbare praktijk. Slechts 55 % van de entiteiten voerde recent een zelfevaluatie uit. - De belangrijkste toename inzake maturiteit situeert zich op het vlak van cultuur en integriteit (+0,4). 60% van de entiteiten bereikt een maturiteitsinschatting 3 of hoger, hetgeen impliceert dat deze entiteiten over de nodige cultuur- en integriteitsversterkende instrumenten beschikken die gestandaardiseerd, gedocumenteerd en gecommuniceerd zijn, én worden toegepast. - Wat opvalt is de algemeen lagere score voor de doelstelling ‘Efficiëntie’. Slechts 25% van de entiteiten beschikte eind 2013 over de gepaste instrumenten die toelaten efficiëntiewinsten aan te tonen. In elke beheersovereenkomst of managementovereenkomst werd nochtans aan elke entiteit gevraagd een verbetertraject op te zetten om meetbare efficiëntiewinsten te realiseren. Dit proces is bij de meeste van hen nog in volle ontwikkeling is, hetgeen een verklaring is voor de vastgestelde lagere maturiteit. Daarbij komt nog dat veel entiteiten nog bezig zijn met de verdere ontwikkeling van meetinstrumenten om de efficiëntiewinsten te objectiveren (o.a. analytische versleuteling).
3.2. Opvolging van de aanbevelingen In zijn streven naar een meer efficiënte aanwending van de auditcapaciteit stapte IAVA vanaf 2011 van de klassieke voortgangscontroleaudits 12 over naar een structurele en systematische opvolging van alle aanbevelingen van alle entiteiten die tot het audituniversum behoren. Bij deze nieuwe werkwijze wordt uitgegaan van streefdata die de entiteit vooropstelt voor de realisatie van de haar toegewezen aanbevelingen. 12
Via een voortgangscontroleaudit wordt de realisatie van de auditaanbevelingen van één welbepaalde auditopdracht opgevolgd. Dit gebeurt aan de hand van afzonderlijke auditopdrachten die hetzelfde procesverloop kennen als de voorafgaande oorspronkelijke auditopdrachten.
- 48 -
Aan elke entiteit wordt twee maal per jaar een overzicht gestuurd van de nog niet gerealiseerde aanbevelingen die de opgegeven streefdatum hebben bereikt. De geauditeerde dient vervolgens aan te geven welke status de betrokken aanbevelingen inmiddels hebben bereikt. Op basis van een analyse van de ontvangen informatie/motivatie, eventuele aanvullende gesprekken en/of documentstudie maakt IAVA een rapport op met de gevalideerde status van elke opgevolgde aanbeveling. Deze opvolging gebeurt periodiek. In uitvoering van de afspraken uit het overleg tussen de delegaties van het Auditcomité van de Vlaamse Administratie en van de Vlaamse Regering van 9 januari 2013, vinden vanaf 2013 per jaar twee opvolgingsrondes plaats: 1. De eerste opvolgingsronde in de maanden april/mei betreffende alle openstaande aanbevelingen met als uiterste streefdatum 31 maart; 2. De tweede opvolgingsronde in de maand oktober/november betreffende alle openstaande aanbevelingen met als uiterste streefdatum 30 september. Een globale rapportering over de bevindingen met betrekking tot de opvolging van de aanbevelingen in het betrokken jaar, is het tweede onderdeel van de beleidsgerichte rapporten, die eind december 2013 aan de bevoegde minister(s) werden opgeleverd. Het belang van de opvolging van de aanbevelingen werd onderschreven door de Vlaamse Regering in haar beslissing van 30 maart 2012. Hierbij werd gesteld de opvolging van de door IAVA geformuleerde aanbevelingen door de leidend ambtenaren op te nemen in hun jaarlijkse evaluatie en planning. Bij die gelegenheid moeten de leidend ambtenaren een rapportering terzake kunnen voorleggen. Rapportering over de uitvoeringsgraad van de aanbevelingen maakt ook onderwerp uit van het jaarlijkse overleg, gepland tussen een delegatie van het Auditcomité en een delegatie van de Vlaamse Regering. Het realisatiepercentage van de opgevolgde aanbevelingen 2013 gaf volgend beeld : Totaal aantal opgevolgde aanbevelingen 13
Gerealiseerde aanbevelingen
Realisatiegraad opgevolgde aanbevelingen eind 2013
221
101
45%
Het historische realisatiepercentage houdt rekening met het totaal aantal aanbevelingen dat IAVA sinds zijn oprichting formuleerde en geeft volgend beeld : Totaal opgevolgde aanbevelingen 14
Gerealiseerde aanbevelingen
Realisatiegraad eind 2013
Realisatiegraad eind 2012
1557
1277
82%
71%
De globale realisatiegraad van alle tot op 31 december 2013 opgevolgde aanbevelingen bij de Vlaamse administratie bedraagt 82%. Indien men zich zou beperken tot de realisatiegraad van de opgevolgde aanbevelingen tussen 1 januari 2009 en 31 december 2013 bedraagt dit 75%.
13
14
Dit zijn alle door IAVA opgevolgde aanbevelingen, behalve deze die • door het betrokken management niet aanvaard werden • of betrekking hebben op een risico dat door het betrokken management aanvaard werd maar die om gemotiveerde redenen niet werden uitgevoerd • of door gewijzigde omstandigheden niet meer van toepassing waren. Dit zijn alle door IAVA opgevolgde aanbevelingen, behalve deze die • door het betrokken management niet aanvaard werden • of betrekking hebben op een risico dat door het betrokken management aanvaard werd maar die om gemotiveerde redenen niet werden uitgevoerd • of door gewijzigde omstandigheden niet meer van toepassing waren.
- 49 -
Op 31 december 2012 bedroeg de realisatiegraad van alle opgevolgde aanbevelingen bij de Vlaamse administratie nog 71%. Een gunstige evolutie is merkbaar en kan wijzen op aangehouden inspanningen van de entiteiten om te werken aan de remediërende bevindingen uit voorbije audits. Regelmatige opvolging van de aanbevelingen vanuit IAVA en het toenemende belang dat het politieke niveau aan de resultaten hiervan hecht, verhoogt gestaag de gedragenheid bij alle betrokkenen. Thema-audit
Totaal opgevolgde aanbevelingen
Gerealiseerde aanbevelingen
Realisatiegraad eind 2012
Realisatiegraad eind 2013
Bedrijfscontinuïteitsmanagement (enkel situatie 2012)
19
1
5%
Managementondersteunende functies
7
1
0%
14%
ICT-netwerken
7
4
43%
57%
Debiteurenbeheer
2
0
0%
0%
De resultaten van de thema-audits volgen de positieve realisatietendens niet. Het verschil in resultaat bij dit type audits is terug te voeren tot de (manier van) toewijzing van de aanbevelingen van de thema-audits aan het overkoepelende CAG-niveau, dan wel aan de specifieke entiteiten. Het varieert ook sterk naargelang de thema-audit zelf. Nochtans is de impact hiervan belangrijk, aangezien het om organisatiebrede aangelegenheden gaat. Deze aangelegenheid werd dan ook besproken in het overleg dat een delegatie van het Auditcomité op 6 januari 2013 had met een delegatie van de Vlaamse Regering. Hierbij werd overeengekomen dat de rapportering over de stand van zaken van de themaaudits voortaan eenmaal per jaar het voorwerp uitmaken van een bespreking in het overleg van de delegatie van de Vlaamse Regering met het College van Ambtenaren-generaal (CAG). Met het oog op de betere opvolging van de aanbevelingen uit de thema-audits, zal het auditcomité trachten de banden met het CAG te versterken en project-verantwoordelijken uitnodigen zodat de problemen bij de realisatie van de aanbevelingen aan bod kunnen komen en beter geduid worden.
3.3. Risicomanagement Een effectief en efficiënt beheer van risico’s behoort, als onderdeel van interne controle/organisatiebeheersing, tot de verantwoordelijkheden van het lijnmanagement. Het strategisch project risicomanagement heeft tot doel elke entiteit van de Vlaamse overheid te sensibiliseren en te ondersteunen bij de afbakening van de belangrijkste risicovolle processen, projecten, organisatorische kwetsbaarheden en functies. De risicoanalyses in het werkterrein kunnen op die manier de basis vormen voor een onderbouwde planning van IAVA en/of van eventuele andere controleactoren. Ingevolge artikel 67 van het Rekendecreet zullen alle controleactoren immers hun planningen op elkaar afstemmen op basis van de gedeelde informatie over de risico’s en hun graad van afdekking binnen de verschillende entiteiten (zie ook onder hoofdstuk III, 5.3. Uitvoeringsbesluit Rekendecreet, p. 59). Gelet op de uitgestrektheid van het audituniversum werd dit project gefaseerd en op een kostenbaten verantwoorde wijze aangepakt. Deze aanpak, goedgekeurd door het Auditcomité in 2011, hield in dat in 2012 gestart zou worden met pilootprojecten. Veertien entiteiten, die het verst gevorderd waren op het vlak van risicomanagement, werden geselecteerd en in 2012 door IAVA ondersteund bij de verdere implementatie van risicomanagement op 2 niveaus: • strategisch niveau • operationeel niveau (kernopdrachten) Op basis van de bevindingen bij deze pilootprojecten werd de aanpak voor de verdere uitbouw van risicomanagement binnen het audituniversum bijgestuurd.
- 50 -
Vanaf 2013 werden alle entiteiten uit het werkterrein bij het project risicomanagement betrokken. Entiteiten die tot op dat ogenblik geen aanpak rond risicomanagement hadden opgestart of hiermee pas aan het begin van een traject stonden, werden uitgenodigd om een risicoanalyse uit te werken voor hun belangrijkste kerndoelstelling/-opdracht en daartoe een actieplan op te stellen en stapsgewijze in hun organisatie te implementeren. Na deze oefening zou elke entiteit de opgedane ervaringen moeten kunnen gebruiken voor de verdere implementatie van het risicomanagement op de resterende kerndoelstellingen of -opdrachten van hun lopende beheersovereenkomst. Het uiteindelijke doel is immers dat alle entiteiten komen tot een verworven, gedragen aanpak van risicomanagement met de eigen organisatiedoelstellingen als kader en vertrekbasis voor een strategische en operationele risicoanalyse. IAVA stelde zich in dit proces sensibiliserend op en nam initiatieven om de kennis van en gedragenheid voor risicomanagement binnen het werkterrein te verhogen o.a. via de oprichting van 5 lerende netwerken rond risicomanagement waaraan de ankerpunten konden deelnemen. Deze netwerken moeten op termijn volledig zelfsturend worden. Het gaat om volgende lerende netwerken: • departementen • subsidies • dienstverlening • inspectie/toezicht • vrije keuze In het beleidsgericht rapport beoordeelde IAVA de inspanningen die de entiteiten ondernomen hadden rond de uitbouw van een systeem van risicomanagement. Deze beoordeling was vooral gebaseerd op het engagement dat IAVA kon vaststellen bij de entiteiten om werk te maken van risicomanagement en van de opstart van een traject daartoe op basis van een degelijk plan van aanpak. Eind 2013 was alvast een meerderheid van de entiteiten gestart met het in kaart brengen van de risico’s voor 1 kernopdracht/kernproces om zo vertrouwd te worden met het denkproces en de aanpak inzake risicomanagement of bezig het bestaande systeem van risicomanagement te optimaliseren. In 2014 zal de evaluatie van risicomanagement resultaatgericht zijn: zijn de entiteiten effectief tot een aanpak gekomen vanuit hun actieplan en zijn de risico’s in kaart gebracht en de nodige beheersmaatregelen uitgewerkt om deze risico’s te beheersen. Eind 2014 moet het alleszins voldoende duidelijk zijn of de verschillende entiteiten een traject aangaan voor de verdere uitbouw van risicomanagement. In functie van het uiteindelijke streefdoel blijft de betrokkenheid en het engagement vanwege het management de belangrijkste succesfactor. Naarmate het risicomanagement binnen het werkterrein verder gestalte krijgt, kunnen de beleidsgerichte rapporten op termijn evolueren van de huidige, eerder kwantitatieve en procesmatige beoordeling van organisatiebeheersing naar een meer kwalitatieve en inhoudelijke beoordeling over de wijze waarop de verschillende risico’s beheerst worden. In combinatie met de verdere evoluties op het vlak van single audit (zie ook hoofdstuk III, 5. Single Audit, p. 59) is het dan ook de betrachting van IAVA dat deze beleidsgerichte rapporten op termijn inzicht geven in de globale risicoafdekking binnen het volledige auditwerkterrein en binnen het werkterrein ‘control statements’ op termijn gefaseerd kunnen worden geïmplementeerd
- 51 -
4. Auditopdrachten 4.1. Thema-audits Een thema-audit is een auditopdracht waarbij een horizontale 15 of transversale 16 materie (auditscope) wordt doorgelicht binnen meerdere (entiteiten van verschillende) beleidsdomeinen of binnen het volledige auditwerkterrein van IAVA (auditreikwijdte).
4.1.1.
Thema-audit Inspectie/handhaving
De thema-audit Inspectie/handhaving richtte zich op de evaluatie van de werking van een inspectiedienst/-entiteit en wilde nagaan in hoeverre de risico’s in het inspectieproces afgedekt zijn. Hiervoor werd in 2011 een ontwerp van controleprogramma ontwikkeld. Jaarlijks verstrekt de Vlaamse overheid € 18,6 miljard aan subsidies (of 69% van de Vlaamse begroting) aan allerlei begunstigden (welzijn, cultuur, …). Het is dus belangrijk dat er adequate en effectieve inspectie- en handhavingsinstrumenten bestaan om de doeltreffende aanwending hiervan op te volgen. Daarnaast bestaan er ook inspecties die, zonder dat er subsidies verstrekt worden, toezicht houden op de naleving en handhaving van wet- en regelgeving (milieu, wonen, …). In 2011 werd het controleprogramma getoetst bij 2 pilootentiteiten en verder verfijnd. In 2012 werd de thema-audit Inspectie/handhaving verder uitgerold bij een selectie van inspectie/handhavingsdiensten of –entiteiten. Bij de keuze van entiteiten werd afgestemd met het Rekenhof om overlappingen te vermijden. Voor meer details hieromtrent verwijzen wij naar ons jaarverslag 2012. Op basis van de vaststellingen uit de verschillende individuele rapporten en een bevraging over het toezicht op de subsidieverlening, werd een synthese gemaakt met het oog op de identificatie van de belangrijkste verbeteropportuniteiten voor de uitoefening van de inspectie- en handhavingstaken op het niveau van de Vlaamse overheid. Deze bevindingen werden opgenomen in een overkoepelend rapport dat op 11 maart 2013 gefinaliseerd werd. Globaal gezien voeren de meeste inspectiediensten/-cellen hun inspectietaken op een adequate en professionele wijze uit, maar een aantal tekortkomingen komen vaak voor: - Een controlestrategie op lange termijn die het kader vormt voor de jaarlijkse inspectieprioriteiten ontbreekt. Een onderbouwing van de inspectieplanning en -prioriteiten is veelal afwezig. - Er is nood aan een gedifferentieerd sanctie- en/of vervolgingsbeleid. Immers, het ontbreken van een gepast, gedifferentieerd handhavings- en sanctie-instrumentarium maakt evenredigheid tussen inbreuk of misdrijf en sanctie onmogelijk. - De inspectiediensten/-cellen worden te weinig op een systematische en structurele wijze betrokken bij de opmaak van/aanpassingen aan relevante wet- en regelgeving, waardoor de handhaafbaarheid ervan mogelijks gehypothekeerd wordt. - Een adequate rapportering omtrent de handhaafbaarheid van wet- en regelgeving ontbreekt veelal. Hierdoor blijven eventuele handhaafbaarheidsproblemen onbekend op het beleidsniveau.
15
Horizontale materies hebben een organisatiegericht en -breed karakter en moeten een goede werking bevorderen van iedere entiteit afzonderlijk en het Vlaams overheidsapparaat in haar totaliteit. Voorbeelden van horizontale materies zijn: financieel, personeels-, facility- en ICT-management maar ook algemene generieke managementprocessen zoals bvb processen in het kader van de beleidsvoorbereiding of beleidsevaluatie. 16 Transversale materies zijn voornamelijk maatschappelijke beleidsinitiatieven die één of meerdere homogene verticale beleidsdomeinen overschrijden. Voorbeelden hiervan zijn: wetsmatiging en administratieve vereenvoudiging, publiek-privatesamenwerking,…
- 52 -
-
De toewijzing en aanwending van de inspectiecapaciteit gebeurt vaak zonder adequate efficiëntieoverwegingen. Instrumenten om opvolging van en sturing op de efficiënte werking van de inspectiediensten/-cellen mogelijk te maken, zijn weinig of niet voorhanden. Structurele samenwerking en informatie-uitwisseling met andere controle-instanties, handhavingsactoren en functioneel bevoegde entiteiten moet worden versterkt m.h.o.o. een optimale en efficiënte inzet van de inspectiecapaciteit.
Specifiek voor wat betreft het toezicht op de aanwending van subsidies werd vastgesteld dat het accent van de toezichtsactiviteiten voornamelijk ligt op naleving van wet- en regelgeving, controle op de output en op de kwaliteit van de uitvoering. De efficiënte en integere aanwending van de ontvangen subsidies door de gesubsidieerden geniet daarentegen veel minder aandacht hoewel dit expliciete aandachtspunten in de beleidsnota Financiën en Begroting 2009-2014 zijn. Daarnaast bleek uit de bevraging dat 75% van de subsidiemassa op één of andere wijze (potentieel) het voorwerp uitmaakt van tweedelijnstoezicht. Voor 24% van de subsidiemassa is er geen tweedelijnstoezicht voorzien, voor de resterende 1% werd geen enkele vorm van toezicht (eerste- en tweedelijnstoezicht) uitgebouwd. Zowel uit de uitgevoerde auditopdrachten als uit de bevraging blijkt dat de inspectiediensten/-cellen sterk verschillen op het vlak van organisatie, bevoegdheden, opdrachten en toezichtsobjecten. Een zekere mate van diversiteit in het inspectielandschap en in de remediëring van de bovenstaande aandachtspunten is onvermijdelijk. Een te grote en niet-onderbouwde diversiteit kan echter leiden tot niet te verantwoorden verschillen inzake o.a. afdekkingsgraad, inspectie- en handhavingsaanpak, prioriteiten, inzet van de inspectiecapaciteit of gehanteerde instrumenten. Een overkoepelend Vlaams inspectie- en handhavingsbeleid, dat rekening houdt met de diversiteit, kan hieraan verhelpen. Onderwerpen die bij het uittekenen van dit beleid aan bod moeten komen, zijn: - Het differentiëren van het sanctie- en vervolgingsbeleid; - Het opstellen van een visie omtrent het toezicht op subsidies en subsidiestromen; - Het bepalen van een proactief openbaarheidsbeleid. De opvolging en bijsturing van een dergelijk beleid zal idealiter ingebed moeten worden in een coördinerende functie of instantie. Aanvullend kan deze instantie eveneens een rol vervullen op het vlak van: - Het versterken van de relatie tussen inspectie/handhaving en beleid m.h.o.o. het optimaliseren van de handhaafbaarheid van wet- en regelgeving; - De adviesverlening rond stroomlijning, samenwerking, pooling en/of integratie van inspectiediensten/-cellen/-taken of clustering van specifieke competenties (waar relevant); - Het bevorderen van informatie-uitwisseling met andere controle-instanties en met de functioneel bevoegde entiteiten die verantwoordelijk zijn voor de uitoefening van het eerstelijnstoezicht (‘single inspectie’); - Het bevorderen van een maximaal gemeenschappelijk gebruik van databanken; - Het gezamenlijk ontwikkelen van expertise en het onderling delen van kennis; - Het ontwikkelen van een dashboard dat moet toelaten op kernachtige wijze te rapporteren omtrent beleidsrelevante monitoringinformatie inzake inspectie/handhaving. De verdere operationalisering van de zesde staatshervorming met een overdracht van inspectietaken en -bevoegdheden van het federale naar het gewestelijke niveau en de mogelijke aanduiding van een ministeriële bevoegdheid ‘strafrechtelijk beleid’, zijn een opportuniteit om de knelpunten inzake de effectieve en efficiënte werking van de inspectiediensten/-cellen te remediëren en kunnen dus aangegrepen worden om een overkoepelend Vlaams inspectie- en handhavingsbeleid uit te tekenen. Alle aanbevelingen uit dit rapport mochten rekenen op een globale gedragenheid binnen het CAG en werden overgemaakt aan de Vlaamse minister, bevoegd voor bestuurszaken. Op dit ogenblik wordt ingezet op de realisatie van de aanbevelingen en een gemeenschappelijke visie omtrent deze problematiek op het niveau van de Vlaamse overheid wordt daarvoor uitgewerkt. De CAG-werkgroep beleidsdomeinoverschrijdend inspectiebeleid zal hiertoe voorstellen formuleren. Input hiervoor wordt gegeven vanuit het MOVI-netwerk-inspectie. - 53 -
4.1.2.
Thema-audit ICT-contractbewaking
In de thema-audit ICT-contractbewaking evalueerde IAVA de adequaatheid en de doeltreffendheid van de beheersmaatregelen die de bewaking van het gemeenschappelijk ICTcontract 2008-2015 vorm geven. Binnen de Vlaamse overheid is de bewaking van het ICT-contract opgezet als een gelaagd systeem: enerzijds zijn beheersmaatregelen uitgewerkt, die invulling krijgen op het coördinerend niveau. De verantwoordelijkheid voor deze beheersmaatregelen situeert zich bij de entiteit e-government en ICTbeheer (e-IB) van het Beleidsdomein Bestuurszaken. Anderzijds zijn er beheersmaatregelen die moeten worden uitgewerkt en ingevuld door de klanten omdat daarvoor een duidelijke nood bestaat aan een goede kennis van de kernactiviteiten, de werking en de structuur van de organisatie van de klant. Gelet op dit gelaagd systeem van contractbewaking binnen de Vlaamse overheid werd deze themaaudit gefaseerd aangepakt, gespreid over de periode 2011-2013. In 2013 werd het proces van contractbewaking geëvalueerd bij een selectie van entiteiten. Voor een gedetailleerde beschrijving van de verschillende fases en de keuze van entiteiten wordt verwezen naar het jaarverslag 2012. Het overkoepelend syntheserapport van deze thema-audit werd opgeleverd op 30 september 2013. De belangrijkste conclusies van dit rapport zijn dat de Vlaamse overheid via een ruime waaier aan beheersmaatregelen globaal gezien een redelijke risicoafdekking bereikt met betrekking tot de bewaking van het gemeenschappelijke ICT-contract. Op coördinerend niveau is een performantiebeheerssysteem uitgebouwd en wordt de marktconformiteit bewaakt. De contractueel voorziene controlemogelijkheden worden in de praktijk toegepast. Op klantniveau varieert de risicoafdekking. De auditwerkzaamheden brachten aan het licht dat de risico’s voor de contractbewaking dikwijls te relateren zijn aan het niveau van ICT-expertise waarover de geauditeerde entiteiten beschikken voor de aansturing en opvolging van de ICT-dienstverlener. De belangrijkste controlelacunes zijn terug te brengen tot de volgende 3 clusters:
1. Overkoepelende ICT-strategie voor de Vlaamse overheid De afwezigheid van een overkoepelende ICT-strategie voor de Vlaamse overheid bemoeilijkt de alignering tussen de wijze waarop het ICT-budget wordt besteed en de vooropgestelde business behoeften. Dergelijke ICT-strategie is onontbeerlijk als gemeenschappelijk referentiekader voor alle entiteiten om op niveau van de Vlaamse overheid de nodige garanties te bieden op het vlak van interoperabiliteit van systemen, maximaliseren van de kostenefficiëntie en optimaliseren van de meerwaarde van een gemeenschappelijk ICT-contract. In de overkoepelende ICT-strategie dienen de principes en krachtlijnen met betrekking tot het dienstverleningsmodel, het financieringsmodel en de leverancierskeuze te worden vastgelegd in een duidelijke globale sourcingfilosofie.
2. ICT-competenties en -capaciteit binnen de Vlaamse overheid IAVA stelde vast dat de ICT-competenties en -capaciteit bij de geauditeerde entiteiten uiteenlopend zijn. Hieraan liggen een aantal historische evoluties ten grondslag. Zo heeft de Vlaamse overheid naar aanleiding van de outsourcing in 1998 weinig aandacht besteed aan het behoud van de interne ICT-expertise die van belang is voor de ondersteuning van de vraagzijde.
- 54 -
In de context van de bewaking van het gemeenschappelijk ICT-contract uit deze problematiek zich hoofdzakelijk via de volgende knelpunten: o een tekort aan business-ICT brugfuncties, die voldoende functionele kennis van de business en competenties inzake inhoudelijk projectbeheer kunnen koppelen aan algemene ICT-kennis. Deze functies zijn onontbeerlijk om als evenwaardige gesprekspartner de ICT-dienstverlener te kunnen aansturen; o onvoldoende vertrouwdheid met de inhoud en betekenis van het gemeenschappelijk ICTcontract in het algemeen en de dienstentypes van de dienstencataloog in het bijzonder; o te weinig affiniteit met het uitschrijven van overheidsopdrachten voor ICT-dienstverlening; o onvoldoende inzicht in de afnamemogelijkheden en –modaliteiten van andere bestaande raamcontracten; o een beperkte bekendheid met de ondersteunende systemen om de ICT-dienstverlening van HP-Belgacom op te volgen; o een ontoereikende belangenbehartiging en ondersteuning door de e-IB relatiebeheerders; o een gebrekkig overzicht van de gebruikte en ontwikkelde toepassingen binnen de Vlaamse overheid alsook van de componenten die mogelijk in aanmerking komen voor hergebruik. De nood aan ICT-expertise en voldoende aandacht voor hergebruik van reeds ontwikkelde software zal nog toenemen wanneer het gemeenschappelijke ICT-raamcontract in 2015 wordt opgesplitst in 4 nieuwe, afzonderlijke raamovereenkomsten. De integratie van de diensten van verschillende ICT-dienstenleveranciers vergt immers bijkomende regiefuncties en misschien zelfs een coördinerend overkoepelend orgaan om verspilling van ICT-middelen zoveel mogelijk te vermijden.
3. De opzet en organisatorische invulling van het gelaagd systeem van contractbewaking Voor de bewaking van het gemeenschappelijk ICT-contract worden door de individuele entiteiten verschillende instrumenten ingezet en activiteiten ontplooid. Niet in het minst omwille van de tekortkomingen vermeld in voorgaande punten, bieden de geleverde inspanningen niet altijd de gewenste garanties dat de ICT-dienstverlening verloopt conform de gemaakte afspraken. De auditwerkzaamheden tonen aan dat er op het niveau van de klanten zowel m.b.t. de opzet van de beheersmaatregelen als m.b.t. de praktische toepassing verbetermogelijkheden zijn op vlak van: o het in kaart brengen, evalueren en vastleggen van de belangrijkste beheersmaatregelen voor contractbewaking; o de aflijning en toewijzing van de rollen en verantwoordelijkheden m.b.t. het gelaagde systeem van contractbewaking op de verschillende organisatieniveaus, zodat geen blinde vlekken en/of overlappingen optreden; o de samenwerking over de entiteiten heen rond contractbewaking in het algemeen en controle op het niveau van de werkaanvragen in het bijzonder; o het veralgemeende gebruik van het gemeenschappelijk systeem voor het indienen en bestellen van werkaanvragen bij de ICT-dienstverlener; o de professionele toepassing van de contractuele verplichtingen en afspraken; o het verder ontwikkelen van de prestatiemeting op het niveau van de klanten, een nauwgezetter nazicht op de prestatiestaten, meer aandacht voor de rapportering over de prestatie-indicatoren en een koppeling van de budgettaire opvolging aan de concrete voortgang en realisaties. Voor elk van bovenstaande cluster formuleerde IAVA een aanbeveling. Op 14 november 2013 lichtte IAVA de vaststellingen en aanbevelingen toe op de vergadering van het CAG. Het CAG onderschreef deze aanbevelingen. De invulling van deze aanbevelingen wordt gefaseerd aangepakt en geïncorporeerd in een aantal beslissingen die de Vlaamse Regering in 2013 nam rond o.a. de Vlaamse Vereniging voor ICT-personeel, de oprichting van een coördinatiecomité van de Vlaamse Diensten Integrator (VDI) en een optimalere organisatie van de Management Ondersteunende Diensten. - 55 -
4.1.3.
Thema-audit Informatieveiligheid
In 2013 startte de thema-audit rond informatieveiligheid op. De aanleiding voor deze themaaudit waren o.a. enkele datalekken van gegevens bij overheidsinstanties en het toenemende belang van privacygevoelige informatie. De doelstelling van deze auditopdracht is de evaluatie van de maatregelen die binnen de entiteiten van de Vlaamse Administratie genomen zijn om datalekken te voorkomen en om de beschikbaarheid, integriteit en vertrouwelijkheid van informatie te garanderen, alsmede de verhoging van het risicobewustzijn rond informatieveiligheid. Voor deze auditopdracht ontwikkelde IAVA een controleprogramma dat peilt naar de bescherming tegen kwetsbaarheden en bedreigingen inzake informatieveiligheid. Dit programma is gebaseerd op het Generiek ICT-Veiligheidsbeleid van de Vlaamse overheid, goedgekeurd door de Vlaamse Regering op 25 april 2003, en op de ISO/IEC 27002:2005 Informatietechnologie/Beveiligingstechnieken/Code voor informatiebeveiliging. Het auditprogramma zelf is opgebouwd rond een 20-tal thema’s zoals bvb veiligheidsbeleid en – organisatie, informatiearchitectuur, informatieclassificatie, audit en logging, netwerk- en systeembeveiliging,… Eind 2013 werd het controleprogramma uitgetest bij 2 entiteiten: Kind & Gezin en Wonen Vlaanderen. De afronding van deze opdrachten is voorzien in het eerste kwartaal van 2014. Nadien worden de aanpak en het controleprogramma geëvalueerd en indien nodig bijgestuurd. In 2014 wordt deze thema-audit verder uitgerold bij 4 entiteiten. Een overkoepelend syntheserapport is eind 2014 gepland.
4.2. Procesaudits Procesaudits beogen na te gaan in welke mate bedrijfsprocessen, activiteiten en controles erop gericht zijn de specifieke doelstellingen van de organisatie te bereiken met de nadruk op de effectiviteit en de efficiëntie. Hierbij wordt met effectiviteit de organisatorische- en niet de maatschappelijke effectiviteit bedoeld. In 2013 vonden procesaudits plaats in volgende agentschappen : - het Agentschap voor Hoger Onderwijs, Volwassenenonderwijs en Studietoelagen (AHOVOS) rond de toekenning van school- en studietoelagen; - het Agentschap voor Innovatie door Wetenschap en Technologie (IWT) rond de subsidieprocessen m.b.t. Strategisch Basisonderzoek en O&O-bedrijfsprojecten; - het Vlaams Infrastructuurfonds voor Persoonsgebonden Aangelegenheden (VIPA) rond de verstrekking van investeringssubsidies; - het Vlaams Agentschap voor Personen met een Handicap (VAPH) rond het erkennen-subsidiëren van (semi)-residentiële voorzieningen; - NV De Scheepvaart rond het risicomanagement m.b.t. grote infrastructuurwerken; - het Departement Landbouw en Visserij i.v.m. beleidsondersteuning; - het Agentschap Facilitair Management m.b.t. niet-raamcontracten.
- 56 -
4.3. Detectie-audits Bij een detectie-audit analyseert IAVA op basis van een aantal risicofactoren grote hoeveelheden gegevens aan de hand van moderne monitoringmechanismen met als doel ongebruikelijke, afwijkende of merkwaardige patronen aan de oppervlakte te brengen. Vervolgens wordt nagegaan of deze gegevens of patronen verklaarbaar, dan wel symptomatisch zijn voor mogelijke fouten en/of onregelmatigheden binnen het onderzochte proces. Elk jaar opnieuw bepaalt IAVA de focus voor een detectieopdracht en in functie hiervan worden telkens enkele entiteiten geselecteerd waarin deze audit zal worden uitgevoerd. Na afronding van deze opdrachten worden de technieken die IAVA hierbij gebruikte ter beschikking gesteld van andere geïnteresseerde entiteiten. In 2013 werden bij het Agentschap Ondernemen en het Agentschap voor Innovatie door Wetenschap en Technologie de eindrapporten opgeleverd van de detectie-audits over het dossierbehandelingsproces voorafgaand aan de toekenning van vergunningen, subsidies of erkenningen. Bij deze audits werden een aantal risicofactoren in kaart gebracht en werden verschillende data met elkaar gecombineerd. De uitgevoerde detectie-audits toonden aan dat o.b.v. weloverwogen risicofactoren inderdaad een aantal interessante patronen konden worden gerapporteerd. Eveneens in 2013 werden bij het agentschap Onroerend Erfgoed en het Instituut voor Natuur- en Bosonderzoek de eindrapporten opgeleverd van detectie-audits rond betalingsgegevens m.b.t. mogelijke belangenvermenging bij uitbesteding.
4.4. Forensische opdrachten Wanneer er ernstige indicaties van mogelijke onregelmatigheden zijn, kan IAVA een forensische audit uitvoeren. Dit kan op aanvraag, ingevolge een melding, of op eigen initiatief. Indien een forensische audit uitwijst dat er mogelijke misdrijven zijn gepleegd, wordt ook een exemplaar van het betrokken auditrapport bezorgd aan de Centrale Dienst voor de Bestrijding van de Corruptie (CDBC). In 2013 werden door IAVA 3 forensische auditrapporten opgeleverd, die allen eind 2012 al waren opgestart. In 2013 werden 15 nieuwe meldingen van mogelijke fraude ontvangen : • aan 9 meldingen werd geen verder gevolg gegeven (5 klachten zonder voorwerp, 4 meldingen niet onderzoekbaar wegens te weinig aanknopingspunten); • bij 1 melding werd overgegaan tot advisering van de entiteit; • 2 meldingen werden doorgegeven aan een andere integriteitsactor (preventie-adviseurs psychosociaal welzijn en coördinator integriteitszorg); • voor 1 melding werd informatie opgevraagd bij het betrokken agentschap. Het vooronderzoek resulteerde in een nota aan het agentschap met aandachtspunten voor de toekomst; • 1 melding is nog in vooronderzoek.
- 57 -
5. Single audit 5.1. Holdingmodel Het holdingmodel laat toe dat Extern Verzelfstandigde Agentschappen een eigen interne audit hebben en bepaalt de samenwerkingsmodaliteiten tussen IAVA en de Decentrale Interne Auditentiteiten (DIA’s) van deze Extern Verzelfstandigde Agentschappen en de VRT. In uitvoering van het holdingmodel werd in 2007 een uniform samenwerkingsprotocol ondertekend door IAVA en alle Extern Verzelfstandigde Agentschappen, die over een eigen interne auditfunctie beschikten, en de Vlaamse Radio- en Televisieomroep. In 2013 werd een herwerkte versie van dit samenwerkingsprotocol opgemaakt en ondertekend. Belangrijkste doelstelling blijft de verdere integratie van de werking in functie van de single auditgedachte. Dit vereist het ontgroeien van het “papieren (verplichte) cohabitatiemodel” naar een effectieve getrapte samenwerking. Dit houdt o.m. in dat: • de decentrale auditdiensten volledig instaan voor de auditrol met betrekking tot de strategische en operationele risico’s van hun organisatie; • IAVA instaat voor de kwaliteitsbewaking van de decentrale auditdiensten en de auditrol m.b.t. de organisatieoverschrijdende risico’s (beleidsdomein en/of Vlaams overheidsniveau via themaaudits); • IAVA zich verlaat op het auditwerk van de Decentrale Interne Auditentiteiten; • er meer gedacht en gewerkt wordt in functie van het grotere geheel van de Vlaamse overheid. Hiertoe moet onder meer werk gemaakt worden van: • de afstemming van de verschillende risicoanalyses. Uitgangspunt moeten de beleids- en strategische organisatiedoelstellingen zijn; • een verdere versterking en uitdieping van de professionele en persoonlijke relaties; o via overleg IAVA – DIA’s voor algemene aangelegenheden; o via geregeld bilateraal overleg voor entiteitsspecifieke aangelegenheden. De evaluatie van de goede werking van het holdingmodel wordt jaarlijks besproken in het overleg van het Auditcomité van de Vlaamse Administratie met de voorzitters van de auditcomités van de Extern Verzelfstandigde Agentschappen en de Vlaamse Radio- en Televisieomroep. Dit gebeurde op 4 juni 2013. In 2013 vond drie maal overleg plaats tussen IAVA en de verantwoordelijken van de Decentrale Interne Auditentiteiten: op 26 april, 20 september en 13 december 2013. In 2013 hebben de decentrale auditdiensten ook hun input gegeven voor de beleidsgerichte rapporten. De realisatiegraad van hun aanbevelingen en hun bevindingen m.b.t. het maturiteitsniveau maakte deel uit van de beleidsgerichte rapporten 2013.
5.2. Afsprakennota’s tussen de controleactoren Om de controle- en auditactiviteiten binnen de Vlaamse administratie waar mogelijk en opportuun te stroomlijnen, beschikt IAVA over 2 afsprakennota’s met andere controleactoren. Afsprakennota niet-financiële audit Op 9 april 2009 werd de afsprakennota tussen IAVA en het Rekenhof opgemaakt. In deze afsprakennota verbinden IAVA en het Rekenhof zich ertoe te streven naar een maximale afstemming en complementariteit van hun auditwerkzaamheden, met respect voor beider autonomie en verantwoordelijkheden. Concreet worden hierbij afspraken gemaakt rond informatie-uitwisseling inzake strategie en planning, monitoring en risicoanalyse, controlemethodieken en handleidingen en goede praktijken. Ook het aspect vertrouwelijkheid van informatie wordt behandeld in deze afsprakennota.
- 58 -
In 2013 vond twee maal een periodiek overleg plaats tussen IAVA en het Rekenhof waarbij o.a. de afspraken uit genoemde nota aan bod kwam. Afsprakennota financiële audit In 2010 werd het ontwerp van afsprakennota inzake financiële audit in de Vlaamse overheid gefinaliseerd, waarbij het Rekenhof, IAVA en het Instituut van de Bedrijfsrevisoren (IBR) ernaar streven hun auditwerkzaamheden maximaal op elkaar af te stemmen. Zij beogen dubbel werk te vermijden, de controlelast voor de geauditeerden te verminderen en de kostenefficiëntie van hun audits te verhogen. De afsprakennota werd ondertekend op 26 januari 2011. In deze context is in artikel 16 uit het decreet van 9 november 2012 houdende diverse bepalingen betreffende financiën en begroting (B.S. 26/11/2012) een bijkomende uitzondering op de geheimhoudingsplicht van de bedrijfsrevisoren opgenomen.
5.3. Uitvoeringsbesluit Rekendecreet Het Rekendecreet van 8 juli 2011 kwam tegemoet aan de bijzondere wet van 16 januari 1989 op de financiering van de Gemeenschappen en de Gewesten, die bepaalt dat de deelstaten eigen regels moeten opstellen voor hun begroting, boekhouding en controle. Het Rekendecreet actualiseert het Comptabiliteitsdecreet van 2004 en wil de basis leggen voor een werkbaar, modern financieel management van de Vlaamse overheid waarbij uitgegaan wordt van volgende grondbeginselen : 1) De invoering van een dubbele boekhouding met kostenanalytische component in de Vlaamse administraties; 2) Een moderne begroting gericht op prestaties en effecten in plaats van enkel op bestede middelen; 3) Een versterking van de verantwoording en rapportering aan beleidsmakers en het Vlaams Parlement; 4) Een efficiënte en effectieve aanpak van subsidieregelingen; 5) Bevestiging van het principe van de single audit. Bij de Vlaamse overheidsdiensten leeft reeds lang het gevoel dat er te veel controleorganismen zijn die dubbel werk leveren of in elkaars vaarwater opereren. Daarom werd in het Rekendecreet artikel 67 opgenomen, dat handelt over de samenwerking tussen de verschillende controleactoren. IAVA maakte actief deel uit van de werkgroep die het uitvoeringsbesluit voor artikel 67 van het Rekendecreet heeft voorbereid. Deze werkzaamheden leidden tot het besluit van de Vlaamse regering van 7 september 2012 betreffende controle en single audit. Dit besluit herneemt het principe van de single audit, waarbij controles niet langer overlappen, maar waarbij de diverse controleactoren elkaars ervaringen en informatie gebruiken en met respect voor elkaars opdrachten en bevoegdheden daarop voortbouwen. In essentie houdt dit uitvoeringsbesluit in dat de verantwoordelijkheid voor de risicoanalyse en het risicobeheer in eerste instantie bij het management van de organisatie ligt. De diverse betrokken controleactoren evalueren, vervolledigen en passen de resultaten van deze risicoanalyse desgevallend aan op basis van hun eigen specifieke ervaringen en werkzaamheden. Vervolgens stemmen zij hun planning hierop af, zodat blinde vlekken en overlappingen vermeden worden en de controlelast voor de gecontroleerden kan teruggedrongen worden in functie van hun niveau van risicobeheersing.
- 59 -
6. Sensibiliseren en informeren 6.1. Uitbouw kennisdatabank Ook in 2013 werkte IAVA aan de verdere uitbouw van een kennisdatabank op het vlak van interne controle, risicomanagement en deugdelijk overheidsbestuur met als doel de intern opgebouwde kennis ter beschikking te stellen van het management. Op basis van de uitgevoerde auditopdrachten wil IAVA per thema van het model van organisatiebeheersing mogelijke goede praktijken identificeren. Na validatie door de themaverantwoordelijke en het management van IAVA en mits akkoord van de betrokken organisatie, worden deze ter beschikking gesteld van alle entiteiten binnen het werkterrein van IAVA via de website van IAVA. Op die wijze wordt het lijnmanagement bijgestaan in het zoeken naar instrumenten om de organisatiebeheersing of het systeem van interne controle te optimaliseren. Dit was tevens een concrete verwachting van het lijnmanagement naar aanleiding van de verschillende contacten met IAVA. In het werkingsjaar 2013 werden 18 nieuwe goede praktijken opgenomen, hetgeen het totaal aan gepubliceerde goede praktijken op 31 december 2013 op 93 bracht : • Doelstellingen-, proces- en risicomanagement (13) • Belanghebbendenmanagement (7) • Monitoring (13) • Organisatiestructuur (5) • HRM (13) • Organisatiecultuur (12) • Informatie en communicatie (5) • Financieel management (3) • Facilitair management (8) • ICT(13) • Kwaliteit (1)
6.2. De Werkgroep Interne Controle Werkgroep Interne Controle (TWIC)
en
de
Technische
IAVA maakt deel uit van de werkgroep Interne Controle en zijn technische werkgroep. Deze werkgroep blijft verder instaan voor de coördinatie, evaluatie en bijsturing van de verschillende instrumenten voor interne controle/organisatiebeheersing. Hij moet onder meer een visie op organisatiebeheersing uitwerken voor de periode 2011 - 2015, de hulpinstrumenten voor interne controle valideren en actualiseren (vb. leidraad, handreikingen,…) en de webstek Organisatiebeheersing/interne controle onderhouden (http://www.bestuurszaken.be/organisatiebeheersinginterne-controle). Organisatiebeheersing kende de afgelopen jaren ruime ingang binnen de Vlaamse overheid. Met de verschillende regeringsbeslissingen en lopende initiatieven terzake, raakt organisatiebeheersing stilaan volledig ingebed in de werking van de Vlaamse overheid. De belangrijkste werkzaamheden van de technische werkgroep interne controle omvatten de herziening van de leidraad organisatiebeheersing voor de Vlaamse overheid. De leidraad organisatiebeheersing zoals deze nu bestaat, dateert van 2008 en heeft een grote verdienste gehad in de maturiteitsverhoging van de entiteiten van de Vlaamse overheid. Er was echter een nood aan actualisatie. De technische werkgroep interne controle heeft hierin het voortouw genomen.
- 60 -
Volgend traject werd hierbij doorlopen: • April 2013 : oproep naar alle ankerpunten in het voorjaar 2013 om deel te nemen aan focusgroepen rond de herwerking van de leidraad. 17 ankerpunten toonden hun interesse (komende uit 12 van de 13 beleidsdomeinen) waarvan finaal 11 ankerpunten (komende uit 8 van de 13 beleidsdomeinen) aan de overlegsessies deelnamen. • Mei – september 2013 : per thema van de leidraad werd een werkgroep ingericht. De ankerpunten uit de focusgroep konden ook deelnemen aan deze werkgroepen. Een aantal hebben dit gedaan. De thematische werkgroepen werden telkens als volgt samengesteld: o één of meerdere leden van de TWIC o een themaspecialist uit de Vlaamse overheid o een ankerpunt o de themaverantwoordelijke van IAVA • September – december 2013 : finale opmaak van de teksten door de TWIC: o een herwerkte leidraad organisatiebeheersing o een managementleidraad organisatiebeheersing Het traject loopt verder in 2014. Bedoeling is om de nieuwe leidraad organisatiebeheersing ingang te doen vinden tegen januari 2015.
6.3. Het Bureau Integriteit Op 13 juli 2011 keurde de Vlaamse minister, bevoegd voor bestuurszaken de nota goed met betrekking tot de oprichting, de opdrachten, de samenstelling en de werking van het virtueel Bureau Integriteit van de Vlaamse overheid. Het virtueel Bureau Integriteit brengt kerncompetenties samen die binnen de Vlaamse administratie aanwezig zijn met betrekking tot integriteitsaangelegenheden. Door de samenvoeging van deze competenties in een Bureau Integriteit delen de betrokken actoren kennis, werken ze samen aan de realisatie van gezamenlijke doelstellingen en vindt er een automatische kruisbestuiving plaats tussen de verschillende disciplines. De leden van het virtueel Bureau Integriteit zijn vertegenwoordigers van verschillende expertisedomeinen, relevant voor en verwant aan het integriteitswerkveld. Naast de coördinator Integriteitszorg, de preventie-adviseurs psychosociaal welzijn, de emancipatieambtenaar, de Sociale Dienst en het Agentschap voor Overheidspersoneel, speelt ook IAVA hierin een prominente rol. Het Bureau Integriteit heeft tot taak: • formuleren van integriteitsadvies; • meten en evalueren van het integriteitsbeleid; • ontwikkelen van integriteitsinstrumenten; • uitbouwen van een expertisecentrum op het vlak van integriteit; • voorbereiden van communicatie over het integriteitsbeleid. In 2013 vonden 6 vergaderingen plaats van het Bureau Integriteit. In 2013 werd het uniek meldpunt gelanceerd, een loket voor personeelsleden van de Vlaamse overheid die vragen en meldingen hebben over welzijn en integriteit op het werk, én voor burgers en bedrijven die integriteitskwesties bij de diensten van de Vlaamse overheid willen aankaarten. Het meldpunt werd in 2011 en 2012 in de steigers gezet maar ging in 2013 van start. Dat gebeurde in twee fasen. In januari startte de dienstverlening voor de personeelsleden van de Vlaamse overheid en in de zomer van 2013 startte het meldpunt met de dienstverlening aan burgers, bedrijven en verenigingen. Dat laatste gebeurde in samenwerking met 1700, het gratis nummer van de Vlaamse Infolijn.
- 61 -
In het kader van het project Bedrijfsinformatie Vlaamse overheid (BIVO) werkt het Bureau Integriteit aan een set indicatoren om het integriteitsbeleid van de Vlaamse overheid te kunnen opvolgen en de resultaten ervan te kunnen meten. In 2012 werden de processtromen van het integriteitsbeleid in detail uitgetekend met als hoofdprocesstappen: preventie, detectie, reactie, nazorg en evaluatie. Met het in kaart brengen van de processtromen en –stappen wordt nagegaan welke relevante gegevens verzameld kunnen worden, wie de gegevens kan bezorgen en hoe dit vertaald kan worden naar pragmatische beleidsvoorstellen. In 2013 werd in dit verband volop ingezet op het uniek meldpunt, dat een belangrijke bron van informatie en cijfergegevens is over het welzijns- en integriteitsbeleid en de praktische inzet daarvan. Verder was er in 2013 verkennend onderzoek naar een efficiënt registratie- en opvolgsysteem waarin centrale en decentrale welzijns- en integriteitsactoren hun dossiers met de nodige beveiliging kunnen bewaren en beheren en waaruit rapporten op maat kunnen worden getrokken. Het vervolg van dit project is een van de hoofdopdrachten van het bureau in 2014. Nadat een werkgroep in 2012 de nieuwe code ‘Integer omgaan met ICT-middelen’ voorbereidde, startte in 2013 het validatietraject van de ICT-code. De verschillende werkgroepleden, het Strategisch Overleg Orgaan Personeel & Organisatie (SOPO) en het College van AmbtenarenGeneraal (CAG) bogen zich over de ontwerpomzendbrief met de nieuwe ICT-code. Na verwerking van de feedback werd de omzendbrief begin 2014 geagendeerd op het vakbondsoverleg. Definitieve goedkeuring door de Vlaamse Regering van de omzendbrief is begin 2014 gepland.
6.4. Het Netwerk Organisatiebeheersing Vanuit verschillende entiteiten groeide in de loop der jaren de vraag naar uitwisseling van ervaringen over het opzetten van een systeem van interne controle/organisatiebeheersing. Om een wildgroei aan initiatieven te vermijden besloten het agentschap Interne Audit van de Vlaamse Administratie, het Departement Bestuurszaken, MOVI, het Agentschap voor Overheidspersoneel en het Departement Financiën en Begroting in 2008 de handen in elkaar te slaan en een Netwerk Organisatiebeheersing te starten. Dit netwerk is een forum voor de uitwisseling van inspirerende concepten, aangepaste methodieken, bruikbare instrumenten en concrete Vlaamse praktijkervaringen, ter ondersteuning van de entiteiten bij de uitbouw van een gedocumenteerd systeem van interne controle/organisatiebeheersing (= het behalen van maturiteitsniveau 3 voor alle thema’s uit de leidraad interne controle/organisatiebeheersing). In 2013 vonden volgende 4 sessies plaats: Datum
Onderwerp
24/01/2013
Risicomanagement (sessie voor de ankerpunten): informatie over opzet en verwachtingen afstemmen
21/03/2013
Informatieveiligheid en beheersmaatregelen om datalekken te vermijden
13/06/2013
Risicomanagement (sessie voor de ankerpunten): begeleiding
26/09/2013
De innovatieve arbeidsorganisatie (IAO)
Meer informatie over het Netwerk Organisatiebeheersing en de verschillende netwerksessies is te vinden op http://www.bestuurszaken.be/netwerk-organisatiebeheersing .
- 62 -
6.5. Ankerpunten Per entiteit (departement, agentschap, …) is er minstens één vast aanspreekpunt tot wie IAVA zich kan richten voor de uitbouw van een degelijk systeem van interne controle / organisatiebeheersing, de zogenaamde ankerpunten organisatiebeheersing. Uiteraard kunnen ankerpunten ook te allen tijde bij de betrokken beleidsdomeinverantwoordelijke van IAVA terecht met hun vragen. Contacten tussen IAVA en de diverse ankerpunten worden actief onderhouden en alle ankerpunten worden steeds uitgenodigd op de sessies van het Netwerk Organisatiebeheersing.
6.6. Nieuwsbrieven In 2013 verschenen 4 elektronische nieuwsbrieven van IAVA waarbij o.a. volgende thema’s aan bod kwamen: het jaarverslag 2012, het auditplan 2013, de thema-audit Inspectie/Handhaving, de themaaudit ICT-contractbewaking, de thema-audit Informatieveiligheid, de goede praktijken, het netwerk Organisatiebeheersing, het project Risicomanagement, de opvolging van de aanbevelingen, de beleidsgerichte rapporten en de oprichting van het agentschap Audit Vlaanderen. Collega’s van de Vlaamse overheid kunnen zich hierop abonneren via
[email protected].
6.7. VOnet en internet IAVA ziet zijn sites op het VOnet en het internet als een kenniscentrum, waarop relevante informatie beschikbaar wordt gesteld en aan geïnteresseerden de mogelijkheid wordt geboden nuttige bijdragen te leveren in de ondersteuning van de organisatiebeheersing. In 2013 bezochten 6.481 bezoekers de website. De bezoekers lazen vooral de pagina’s over de methodologie, de klokkenluiders, het Auditcomité, het charter, de gedragscode, de jaarverslagen en ‘wie is wie’. De meeste pagina’s werden, gelet op het Nederlandstalige aanbod, logischerwijze bezocht door bezoekers uit België. De rest van de top 10 oogt als volgt : Nationaliteit bezoekers Land
Pageviews
Nederland
1.024
Verenigde Staten
719
Verenigd Koninkrijk
304
Canada
250
Duitsland
117
Frankrijk
65
Suriname
42
Nederlandse Antillen
34
Indië
22
Oostenrijk
13
- 63 -
6.8. Seminars en toelichtingen In -
2013 gaf IAVA een presentatie bij volgende evenementen : Seminarie “Detection audits in public procurement” (Berlijn – 22/2) “Werking IAVA m.b.t. klokkenluidersmeldingen” – infosessie uniek meldpunt (26/2) “Forensische werking IAVA” – presentatie ISW Limits (26/3) Seminarie “Performance audit in the public sector” (Berlijn – 8/4) Studiedag IBR-IIA “De controleactoren in de overheidssector: ontwikkelingen, uitdagingen en toekomstvisie” (06/11) Vormingsdag “Performantie Audits” IBR (20/11) “Forensisch onderzoek naar integriteitsschendingen en de klokkenluidersregeling in de Vlaamse overheid” (UGent – 29/11) Seminarie “Performance audit in the public sector” (Berlijn – 29/11) Opleiding Antwerp Management School: “Organisatiebeheersing” (9/12) Gedachtewisseling Commissie Algemeen Beleid – Vlaams Parlement (17/12)
- 64 -
7. Optimaliseren van de interne werking Reeds van bij zijn oprichting heeft IAVA bijzondere aandacht besteed aan de efficiëntie en de effectiviteit van zijn werking. De jaarlijkse zelfevaluatie van het Auditcomité en de resultaten van de klantenbevraging geven aanzetten tot optimalisatie van de dienstverlening. Via het project Efficiënte en Effectieve AuditAanpak (E2A) gaat IAVA ook zélf na in welke mate zijn efficiëntie en effectiviteit kan worden verhoogd. Deze efficiëntieoefeningen sluiten aan bij de missie van IAVA, waar de nadruk ligt op effectiviteit, efficiëntie, kwaliteit en ethiek. Tevens wil de beoogde efficiëntiewinst tegemoet komen aan één van de verzuchtingen van de geauditeerden, namelijk de inkorting van de tijd tussen de afronding van het terreinwerk en de oplevering van de rapporten.
7.1.
Efficiënte en Effectieve Auditaanpak (E2A)
Binnen het E2A-verbetertraject werden efficiëntie- en effectiviteitswinsten nagestreefd op 3 vlakken: 1. De tijdsbesteding aan auditopdrachten. 2. De opvolging van de realisatiegraad van aanbevelingen (zie ook hoofdstuk III, 3.2 Opvolging van de aanbevelingen, p. 48) 3. De opmaak van beleidsgerichte rapporten (zie ook hoofdstuk III, 3. Beleidsgerichte rapporten, p. 46)
7.1.1.
De tijdsbesteding aan auditopdrachten
Basisprincipes Het efficiëntietraject E2A bevat 3 grote principes inzake de uitvoering van auditopdrachten: • Eén auditor per opdracht, behalve in geval van gemotiveerde afwijkingen (stagiairs, ontwikkeling van een nieuw controleprogramma, pilootopdrachten, cruciale interviews,…); • Een E2A-norm voor de totale tijdsbesteding (exclusief voor forensische audits); • Een E2A-norm voor de rapporteringstijd (inclusief voor forensische audits). Methodologie Concreet houdt de efficiëntiemeting in dat per auditopdracht opgevolgd wordt hoeveel tijd IAVA besteedt aan de diverse stappen van het auditproces (voorbereiding, terreinwerk, rapportering, supervisie en nazorg). Deze resultaten worden vergeleken met 3 standaarden: 1. de historische norm (HN 2007-2011): het gemiddelde metingsresultaat gebaseerd op de resultaten van de eerste 5 metingsjaren (= vast gegeven); 2. de aangepaste historisch norm (HN 2008-2012): het gemiddelde metingsresultaat gebaseerd op de afgelopen 5 metingsjaren (= variabel gegeven); 3. de E2A-norm. Gelet op bovenstaande principes baseert de E2A-analyse zich enkel op de audits uitgevoerd door 1 auditor. Globale rapporten van een reeks thema-audits werden ook niet opgenomen.
- 65 -
E2A 2013
A. 1 auditor per opdracht In 2013 werden in totaal 22 auditopdrachten 17 afgerond. 15 opdrachten hiervan werden afgerond door 1 auditor. De overige 7 opdrachten werden uitgevoerd door 2 auditoren om volgende redenen: - De samenwerking met een externe bureau (PWC) voor 2 audits; - De complexiteit van de materie bij 3 administratieve onderzoeken (1 forensische audit en 2 detectie-audits); - 2 audits maakten deel uit van het opleidingstraject van een nieuwe auditor. Hierbij wordt steeds begeleiding voorzien door een senior auditor. 2012
2013
20
22
6
7
14
15
Aantal audits Aantal audits met 2 auditoren Aantal audits met 1 auditor
De verdere analyse is dus gebaseerd op 15 auditopdrachten.
B. Totale tijdsbesteding Zoals reeds vermeld, is er voor de forensische audits geen norm opgelegd inzake de totale tijdsbesteding. Voor de totale tijdsbesteding werden dus 13 reguliere audits geanalyseerd. 2012
2013
14
15
2
2
12
13
Aantal audits met 1 auditor Aantal forensische audits met 1 auditor Aantal reguliere audits met 1 auditor
De 3 standaarden waarmee de tijdsbesteding vergeleken werd, vind je hieronder: E2A-Norm
HN 2007-2011
AHN 2008-2012
-
129
118
60
63
61
110
138
130
Operationele audit
85
110
109
SZA
85
94
91
Thema-audit
60
103
100
FA A-o-A Detectie-audit
De 13 reguliere audits uitgevoerd door slechts 1 auditor werden vergeleken met bovenstaande standaarden: - Alle 13 resultaten waren beter dan de historische norm 2007-2011 (100%). - 12 resultaten waren beter dan de aangepaste historische norm 2008-2012 (92%). - 10 resultaten waren beter dan de E2A-norm (77%). De doelstelling van IAVA – om efficiëntiewinst te boeken door het behalen van een vooropgelegde norm – werd in 2013 voor 77% van de auditopdrachten bereikt. 17 De 2 globale rapporten van de thema-audits ICT-Contractbewaking en Inspectie-handhaving werden niet opgenomen in de analyse.
- 66 -
C. Tijdsbesteding aan rapportage Om de tijdsbesteding in de rapporteringsfase in te korten werd voor alle audittypes (inclusief de forensische auditopdrachten) eenzelfde norm opgelegd, namelijk 15 dagen. De 3 standaarden voor rapporteringstijd vind je hieronder: E2A-Norm
HN 2007-2011
AHN 2008-2012
FA
15
36
33
A-o-A
15
22
24
Detectie-audit
15
40
36
Operationele audit
15
33
31
SZA
15
32
32
Thema-audit
15
32
30
De 15 audits die in 2013 afgerond werden met slechts 1 auditor werden vergeleken met de 3 standaarden: - Alle 15 resultaten waren beter dan de historische norm 2007-2011 (100%). - 14 resultaten waren beter dan de aangepaste historische norm 2008-2012 (93%). - 9 resultaten waren beter dan de E2A-norm (60%). Uit de registratieresultaten bleek dat er op het vlak van rapportering nog wat werk is: 60% van de audits bleven onder de vooropgestelde norm. Bovenop de 3 principes van het E2A-traject rond tijdsbesteding aan auditopdrachten 18 zal in 2014 ook de doorlooptijd tussen de exitmeeting en de oplevering van het definitieve rapport opgevolgd worden.
7.1.2.
De realisatiegraad van aanbevelingen
De efficiëntiewinsten in de opvolging van de aanbevelingen situeert zich in het aantal aanbevelingen dat jaarlijks wordt opgevolgd en de toegewezen tijdsbesteding. In vorige jaren werd gemiddeld 15% van de audittijd ingezet op opvolging maar dit telkens beperkt tot een geselecteerd aantal opvolgingsaudits. Sinds de implementatie van de nieuwe procedure voor opvolging van aanbevelingen is de ingezette tijd gereduceerd tot 9% maar werden wel àlle relevante aanbevelingen van àlle entiteiten uit het audituniversum geëvalueerd. Tegelijkertijd werd op het vlak van effectiviteit een belangrijke stap gezet, zoals blijkt uit de toegenomen realisatiegraad van de door IAVA geformuleerde aanbevelingen (zie hoofdstuk III, 3.2 Opvolging van de aanbevelingen, p. 48).
7.1.3.
De beleidsgerichte rapporten
De activiteiten van IAVA leidden ook tot verhoogde effectiviteit met het aanbod van de eerste beleidsgerichte rapporten (zie ook hoofdstuk III, 3. Beleidsgerichte rapporten, p. 46) die op 20 december 2013 aan de respectieve ministers werden overgemaakt. Voor de aanmaak van deze rapporten werd in 2013 een netto tijdsinzet van 5,5% genoteerd. Dit percentage geldt als nulmeting voor de monitoring in de volgende jaren. 18
1 auditor per auditopdracht, een norm voor totale tijdsbesteding en een norm voor de tijdsbesteding aan rapportering.
- 67 -
7.2. Planning en middelen 7.2.1.
Realisatie planning 2013
In de hiernavolgende tabel wordt een vergelijkend overzicht gegeven tussen het aantal geplande en het aantal gerealiseerde auditopdrachten per type opdracht, zoals voorzien in het auditplan 2013. Planning #
Totaal
tering Rapp or
inwer T erre
Voorb ereidi
Afgewerkt
k
In uitvoering
ng
Type opdracht
Status realisatiegraad (toestand 31/12/2013)
Afwerking 2012 TA Beleidsondersteun.
1
1
1
TA ICT contractbewak.
6
6
6
TA Inspec/handhaving
4
4
4
Ad hoc
1
1
1
Forensische audit
3
3
3
Detectieaudit
2
2
2
TA ICT contractbewak.
4
4
4
TA Informatieveiligheid
2
Procesaudits
5
Detectie
2
Validatie-audit
2
Planning 2013 2 2 1
2 3
5
2
2
1
2 0
Totaal
32
24
1
2
5
32
Uit dit overzicht blijkt dat 17 auditopdrachten, die werden opgestart in 2012 maar niet in dat jaar werden opgeleverd, werden gefinaliseerd in 2013. Van de 15 nieuw geplande auditopdrachten voor 2013 werden 7 eindrapporten daadwerkelijk opgeleverd (= 46,5%). Indien men echter ook rekening houdt met de in het betrokken werkingsjaar aangemaakte ontwerprapporten, stijgt de realisatiegraad naar 80 %.
7.2.2. Inzet van mensen Met het oog op de rapportering aan het Auditcomité en om de activiteiten binnen IAVA te monitoren, registreren alle medewerkers van IAVA individueel hun tijdsbesteding in tijdsblokken van vijftien minuten op basis van een aantal vooraf vastgelegde activiteiten, gekoppeld aan de strategische en
- 68 -
operationele doelstellingen. Hiervan worden overzichten gemaakt ten behoeve van de directieraden, maar ook op adhoc-verzoeken van het management. Op basis van het aantal werkdagen en het aantal personeelsleden wordt het theoretisch beschikbare aantal uren berekend. Vervolgens wordt het werkelijk in rekening gebrachte aantal uren weergegeven. Verminderd met de afwezigheden door verloven en ziekte geeft dat dan de netto ingezette dagen. De hiernavolgende tabel geeft, voor resp. de auditoren en de manager-auditoren, de percentages tijdsinzet voor auditopdrachten en vorming, zoals afgezet tegen de genoemde netto ingezette dagen. Timesheets 2013 - werkjaar (01/01/2013 t.e.m. 31/12/2013) Auditcapaciteit
Norm
Totaal
Netto inzet auditoren
3090,5
Auditdagen auditoren
2318,0
- detectie-activiteiten - vooronderzoek klachten
alternat.
75%
75,0%
66,0
2,1%
17,4
0,6%
201,4
6,5%
1817,0
58,8%
216,2
7,0%
391,7
12,7%
* opvolging aanbevelingen
301,5
9,8%
Netto inzet management
671,5
Auditdagen management
268,4
- beleidsgericht rapport - uitvoering geplande audits - uitvoering niet-geplande audits waarvan: * risicomanagement
- detectie-activiteiten - vooronderzoek klachten - beleidsgericht rapport - uitvoering geplande audits
50%
40,0%
8,5
1,3%
10,7
1,6%
27,3
4,1%
204,5
30,5%
17,3
2,6%
47,0
7,0%
- uitvoering niet-geplande audits waarvan: * risicomanagement * opvolging aanbevelingen
35,0
Vorming
Totaal
Vormingsdagen auditors
92,3
- Competentiemanagement - gevolgde vorming
42,7
- Competentiemanagement - zelfontwikkeling
49,6
Vormingsdagen management
10,0
- Competentiemanagement - gevolgde vorming
10,0
- Competentiemanagement - zelfontwikkeling Vormingsdagen ondersteuning
5,2% Norm 5%
3,0%
5%
1,5%
5%
2,4%
0,0 15,5
- Competentiemanagement - gevolgde vorming
9,1
- Competentiemanagement - zelfontwikkeling
6,4
Op 31 december 2013 kende het personeelsbestand van IAVA 25 personen: • 1 administrateur-generaal; • 3 manager-auditoren;
- 69 -
• 1 staflid; • 16 senior auditoren; • 1 (junior) auditor; • 3 ondersteunende medewerkers. Los van alle specifieke competenties die de auditoren van IAVA moeten bezitten om de auditopdrachten op een kwaliteitsvolle wijze uit te voeren, geeft onderstaande lijst een beeld van alle certificaten op het vlak van audit en public management die door de auditoren van IAVA behaald werden en tevens door het Auditcomité erkend worden als wervingsvoorwaarden voor managerauditor: • Certified Internal Auditor (CIA): 5 auditoren (waarvan 2 lopend) • Master in Internal Auditing (MIA): 3 auditoren • Expert/master in Forensic Auditing (MFA): 4 auditoren • Master in Public Management (MPM): 3 auditoren • Master in ICT-audit: 1 auditor • Certified Fraud Examiner (CFE): 4 auditoren • Registered Forensic Auditor (RFA): 5 auditoren Eén auditor beschikt eveneens over het certificaat Internal Quality Assessment/Validation.
- 70 -
8.
Audit Vlaanderen
Sinds 1 januari 2014 is IAVA geïntegreerd in het agentschap Audit Vlaanderen. Ook de taken zijn overgedragen aan dit agentschap. Audit Vlaanderen voert naast audits binnen de Vlaamse administratie ook audits uit bij de lokale besturen.
8.1.
Situering traject externe audit voor lokale besturen
Het traject om te komen tot een agentschap dat ook audits uitvoert bij de lokale besturen vangt aan met de bepalingen in het Gemeente-, OCMW- en Provinciedecreet rond ‘externe audit’. Oorspronkelijk was gepland dat die ‘externe audit’ een brede waaier aan taken op zich zou nemen. De oorspronkelijke bepalingen uit de decreten zijn echter nooit in de praktijk omgezet. In de Beleidsnota Binnenlands Bestuur (2009-2014) werd bepaald dat de decretale bepalingen geëvalueerd en zo nodig bijgestuurd zouden worden. Na een advies van de Vlaamse Adviesraad voor Bestuurszaken en de Commissie efficiëntiewinst lokale besturen besliste de Vlaamse Regering in 2011 dat de focus van de audits in de lokale besturen zou liggen op de evaluatie van het systeem van interne controle en de uitvoering van forensische audits.
8.2.
Het Auditdecreet van 5 juli 2013
Met het Auditdecreet van 5 juli 2013 volgde de decreetgever de visie van de Vlaamse Regering m.b.t. de focus van de audits in de lokale besturen. Bovendien bepaalde het decreet dat de audits in de Vlaamse administratie én in de lokale besturen zouden worden uitgevoerd door het agentschap Audit Vlaanderen. Twee auditcomités zijn vanaf 1 januari 2014 verantwoordelijk voor de aansturing en opvolging van, en de controle en het toezicht op het nieuwe agentschap: het auditcomité van de lokale besturen en het auditcomité van de Vlaamse administratie. Dat laatste auditcomité is een in omvang gereduceerde opvolger van het auditcomité dat IAVA in het verleden aanstuurde. Deze evolutie naar één agentschap dat audits uitvoert in de lokale besturen en de Vlaamse administratie heeft op verschillende vlakken een duidelijke meerwaarde. Zo is er de opportuniteit van leereffecten. Auditoren die vroeger actief waren bij IAVA,worden ingezet voor audits bij de lokale besturen. Op termijn betekent een groter agentschap ook de mogelijkheid om meer expertisedomeinen af te dekken. Daarnaast is er ook de mogelijkheid om ‘interbestuurlijke audits’ uit te voeren. Dit zijn audits die focussen op processen die over verschillende bestuurslagen heen lopen (Vlaams, provinciaal, lokaal).
8.3.
IAVA en de organisatie van audits in de lokale besturen
In 2013 nam IAVA deel aan verschillende initiatieven die in het kader van de organisatie van audits in de lokale besturen werden opgezet. Een manager-auditor en de leidend ambtenaar namen deel aan de werkgroep en de stuurgroep die werden geïnstalleerd voor de opmaak van de leidraad organisatiebeheersing voor lokale besturen. Meerdere medewerkers namen deel aan workshops die werden georganiseerd door de VVSG (Vereniging van Vlaamse Steden en Gemeenten), in het kader van “De Ronde van Vlaanderen” - 07/11/13 Leuven - 18/11/13 Roeselare - 20/11/13 Gent - 26/11/13 Houthalen-Helchteren
- 71 -
Op 7/11/13 presenteerde de leidend ambtenaar samen met de medewerkers van het project “Externe audit in lokale besturen” 19 een studienamiddag “Externe audit: partner of pijnbank”. Tussen eind augustus 2013 en half december 2013 voerden 5 auditoren en een manager-auditor samen met medewerkers van het project “Externe audit in lokale besturen” testaudits in de lokale besturen uit. Op 18/12/13 begeleiden 4 auditoren workshops op een opleiding over “Externe audit en organisatiebeheersing” in Leuven, waar er 77 deelnemers waren.
19
Team binnen het Agentschap voor Binnenlands Bestuur
- 72 -
COLOFON
Verantwoordelijke uitgever Eddy Guilliams Boudewijnlaan 30 1000 Brussel Foto’s Photonica Vormgeving IAVA Depotnummer D/2014/3241/186
- 73 -
Partners in doelbewust management
I 102 I
Interne Audit van de Vlaamse Administratie Boudewijngebouw, 5de verdieping Boudewijnlaan 30 1000 Brussel