Controle- en verantwoordingsprotocol COA

Dit controle- en verantwoordingsprotocol heeft als doelstelling het geven van aanwijzingen omtrent de reikwijdte, de betrouwbaarheid en de materialiteit van de door de accountant van het COA te verrichten werkzaamheden in het kader van de jaarverantwoording van het COA en de jaarlijkse subsidie aan het COA.

Het controle- en verantwoordingsprotocol geeft aan welke accountantsproducten (rapportages) moeten worden geleverd. In het geval van het COA worden drie type producten (rapportages) gevraagd, welke aan zowel het COA als (via het COA) aan JenV worden verstrekt:

• □ Een controleverklaring;

• □ Een accountantsverslag;

• □ Rapport van feitelijke bevindingen.

Als grondslag voor de controle en de eisen voor de verantwoording gelden de van toepassing zijnde wet- en regelgeving zoals opgenomen onder 3.1. Het onderzoeksobject betreft de jaarlijks door het COA opgestelde verantwoordingsinformatie ten aanzien van de door JenV verstrekte subsidie, bestaande uit de jaarverantwoording waarin opgenomen het jaarverslag (bestuur verslag), de jaarrekening met specifiek benoemde bijlagen inclusief een rechtmatigheidsverantwoording, de overige gegevens en de overige bijlagen. Daarnaast betreft het onderzoeksobject de zaken zoals genoemd bij het ‘rapport van feitelijke bevindingen’ onder paragraaf 3.2.

Onderstaand worden de voor dit protocol relevante definities en begrippen toegelicht.

• • Accountant: Registeraccountant of Accountant-Administratieconsulent als bedoeld in artikel 393, eerste lid, van Boek 2 van het Burgerlijk Wetboek aan wie de het COA de opdracht tot controle van de jaarrekening heeft verstrekt.

• • Subsidieverstrekker: JenV. Het ministerie stelt middelen beschikbaar, in de vorm van een subsidie, aan de subsidieontvanger voor het uitvoeren van bepaalde (veelal wettelijke) taken en/of activiteiten. De subsidieverstrekker is verantwoordelijk voor het vaststellen van het operationele en financiële normenkader waarbinnen de subsidieontvanger moet opereren. Het normenkader is in geval van het COA in belangrijke mate geregeld in een wet en daarop geënte regelgeving. Aanvullend daarop zijn nadere regels gesteld, die door de subsidieverstrekker aan de subsidieontvanger schriftelijk zijn medegedeeld.

• • De subsidieverstrekker houdt toezicht op de wijze waarop de subsidieontvanger de (wettelijke) taken en/of activiteiten uitvoert en op het naleven van de subsidievoorwaarden. Voor wat betreft de kwaliteit van de uitvoering zal onder meer gebruik worden gemaakt van inspecties (zoals bijvoorbeeld door de Inspectie Justitie en Veiligheid en de Inspectie Gezondheidszorg en Jeugd). Voor wat betreft het financieel-economisch toezicht wordt waar mogelijk gebruik gemaakt van de werkzaamheden van de (openbare) accountant die door de gesubsidieerde organisatie is aangesteld.

• • Subsidieontvanger: het COA. De subsidieontvanger is binnen het gegeven normenkader verantwoordelijk voor het realiseren van de overeengekomen productie en projectdoelen, het voeren van een adequate bedrijfsvoering en het rechtmatig en doelmatig gebruik van de subsidiegelden, alsmede de betrouwbare totstandkoming van de niet-financiële informatie. Het bestuur van de subsidieontvanger is ervoor verantwoordelijk dat activiteiten van de instelling worden uitgevoerd in overeenstemming met bepalingen van de wet- en regelgeving. Daarnaast is het bestuur van de subsidieontvanger verantwoordelijk voor de juistheid, volledigheid en tijdigheid van de verantwoording aan de subsidieverstrekker.

• • Financiële rechtmatigheid: de comptabele rechtmatigheid, oftewel het besteden van bijdragen in overeenstemming met de begroting1 en met de wet- en regelgeving en andere afspraken zoals opgenomen paragraaf 3.1. Verantwoording wordt afgelegd over de financiële rechtmatigheid, conform model zoals opgenomen in bijlage 2 bij dit controle- en verantwoordingsprotocol.

• • Jaarverantwoording2: het jaarverslag (bestuursverslag), en de jaarrekening met specifiek benoemde bijlagen, de rechtmatigheidsverantwoording, de overige gegevens en overige bijlagen.

• • Jaarverslag (bestuursverslag): het jaarverslag, bedoeld in artikel 391, eerste tot en met vierde lid, van Boek 2 van het Burgerlijk Wetboek en in artikel 18 van de Kaderwet zbo’s. Het jaarverslag3, bestaande in beginsel uit:

  • – De bestuursparagraaf: het voorwoord, de samenvatting en informatie over de realisatie van de doelstellingen van het COA;

  • – de bedrijfsvoeringsparagraaf4 : de onderwerpen financieel en materieel beleid en beheer, personeelsbeleid (formatie/bezetting), groei en krimp, risicomanagement, kwaliteitsbeleid, informatievoorziening (ICT-beleid, informatiebeveiliging en AVG), materieelbeleid, huisvestingsbeleid, milieuzorg, kwaliteitsbeleid, integriteitsbeleid, misbruik en oneigenlijk gebruik, financiële rechtmatigheid en de totstandkoming van niet-financiële bedrijfsvoeringsinformatie (formatie- en bezettingsgegevens en overige beleids- en beheerinformatie). Deze onderwerpen omvatten de bedrijfsvoering in brede zin, inclusief het ter zake gevoerde beleid en beheer;

  • – De doelmatigheidsparagraaf: informatie over de realisatie van middelen en prestaties (afgezet tegen de begroting);

  • – Het in-control-statement: de verklaring (beschrijving) van het bestuur van de instelling over de kwaliteit van de bedrijfsvoering in brede zin (waaronder de betrouwbaarheid, continuïteit, rechtmatigheid en beveiliging van de geautomatiseerde informatiesystemen) die antwoord geeft op de vraag in hoeverre het bestuur de bedrijfsvoeringsprocessen beheerst.

  • – In de bekostigingsafspraken wordt jaarlijks de inhoud en de reikwijdte van de bedrijfsvoeringsparagraaf en het in-control-statement bepaald. Hierbij zal sprake zijn van een groeimodel.

• • Jaarrekening: de jaarrekening, bedoeld in artikel 361, eerste lid, van Boek 2 van het Burgerlijk Wetboek inclusief een rechtmatigheidsverantwoording.

• • Specifiek benoemde bijlagen bij de jaarrekening: de bijlagen zoals aangegeven in de

• • Jaarlijkse bekostigingsafspraken, bestaande uit: Bijlage 1 Opbrengstverantwoording opdrachtgever 20XX -, 5Bijlage 2 Bezettings- en capaciteitsgegevens, Bijlage 3 Financiële meerjarenoverzichten afgelopen 5 jaar en Bijlage 4 Specificatie Europese subsidies.

• □ Overige gegevens: de overige gegevens, bedoeld in artikel 392, eerste lid, onder a en b,

• □ van Boek 2 van het Burgerlijk Wetboek, met dien verstande dat in dat lid voor ’het bestuursverslag’ wordt gelezen ’het jaarverslag’ en voor ’de winst’ wordt gelezen ’een positief resultaat’.

• □ Overige bijlagen (onderdeel van het jaarverslag): zoals aangegeven in de jaarlijkse bekostigingsafspraken.

• □ Accountantsverslag: het verslag, bedoeld in artikel 393, vierde lid van Boek 2 van het Burgerlijk Wetboek, met dien verstande dat bij het COA er geen raad van commissarissen als toezichthouder is.

De door de subsidieontvanger aangewezen accountant draagt de zorg voor het tijdig opleveren van de controleverklaring en het accountantsverslag. Tijdig betekent dat het COA in staat is om de verantwoordingsinformatie (jaarverslag, jaarrekening met specifiek benoemde bijlagen inclusief een rechtmatigheidsverantwoording, overige gegevens en overige bijlagen) en de afgesproken audit-producten uiterlijk 15 maart, conform artikel 18 van de Kaderwet ZBO’s, aan de subsidieverstrekker op te leveren. Nadere afspraken ten aanzien van deze tijdigheid worden door de subsidieontvanger en betreffende accountant overeengekomen en betreft de verantwoordelijkheid van de subsidieontvanger.

Het COA stelt overeenkomstig artikel 18 van de Kaderwet zelfstandig bestuursorganen jaarlijks voor 15 maart een jaarverantwoording op. De jaarverantwoording beschrijft de taakuitoefening en het gevoerde beleid en bestaat uit het jaarverslag (bestuursverslag), en de jaarrekening met specifiek benoemde bijlagen, de rechtmatigheidsverantwoording, de overige gegevens en overige bijlagen.

De jaarrekening, waarin rekening en verantwoording wordt afgelegd van het financieel beheer en van de geleverde prestaties over het verstreken boekjaar, wordt ingericht zoveel mogelijk met overeenkomstige toepassing van titel 9 van Boek 2 van het Burgerlijk Wetboek. Het volledige verslaggevingskader is opgenomen in paragraaf 3.1 van dit controle- en verantwoordingsprotocol.

De jaarrekening bevat tevens een rechtmatigheidsverantwoording waarin het COA verantwoording aflegt over de financiële rechtmatigheid van de in de jaarrekening opgenomen baten, lasten en balansmutaties. Hierbij legt COA verantwoording af over het besteden van bijdragen in overeenstemming met de begroting, de wet- en regelgeving en andere afspraken zoals vermeld bij het financiële rechtmatigheidskader opgenomen in paragraaf 3.1 van dit controle- en verantwoordingsprotocol. De rechtmatigheidsverantwoording wordt opgesteld conform model zoals opgenomen in bijlage 2 bij dit controle- en verantwoordingsprotocol.

Voor de rapportering van individuele posten in de rechtmatigheidsverantwoording wordt een tolerantie van 1% van de baten gehanteerd. Concreet betekent dit dat alle rechtmatigheidsfouten en onduidelijkheden (gecategoriseerd) in de rechtmatigheidsverantwoording opgenomen moeten worden indien deze per regeling de rapportage tolerantie te boven gaan. Voor het getrouwe beeld dient ook een kwalitatieve evaluatie op cumulatief niveau plaats te vinden.

Voor de werkzaamheden van de accountant is de volgende wet- en regelgeving relevant:

Verslaggevingskader:

• • Wet Centraal Orgaan opvang asielzoekers (1994);

• • Subsidiebesluit COA 2005;

• • Kaderwet ZBO’s;

• • Wet Justitie-subsidies, hoofdstuk 4A. Immigratie en asiel;

• • Algemene wet bestuursrecht, Afdeling 4.2.8, met uitzondering van de artikelen 4:71 en 4:72, eerste, tweede, vierde en vijfde lid;

• • Bekostigingsafspraken COA 20XX en voorgaande jaren indien van toepassing;

• • Boek 2 Titel 9 van het Burgerlijk Wetboek;

• • Richtlijnen voor de jaarverslaggeving, waaronder richtlijn 271 ‘Personeelsbeloningen’ (inzake kosten voortvloeiend uit wachtgeldregeling en daarmee vergelijkbare regelingen en afspraken met JenV);

• • Subsidievoorschriften en afspraken met JenV die er toe leiden dat de jaarrekening afwijkt van de voorschriften van de RJ.

Kader financiële rechtmatigheid6:

• • Arbeidsvoorwaardenwet- en regelgeving en pensioenwetgeving (waaronder de cao Welzijn & Maatschappelijke dienstverlening);

• • Faciliteitenbesluit Opvangcentra;

• • Regeling Onderwijshuisvestingsbudgetten asielzoekers (OHBA);

• • Regeling Verstrekkingen Asielzoekers en andere categorieën vreemdelingen (RVA);

• • Regeling Eigen Bijdrage Asielzoekers met inkomen en vermogen (REBA);

• • Regeling verstrekkingen aan bepaalde categorieën vreemdelingen (Rvb);

• • Regeling Medische Zorg Asielzoekers;

• • Wet Inburgering;

• • AVG richtlijn (voor zover sprake is van financiële consequenties zoals boetes);

• • Europese aanbestedingsrichtlijnen, als ook nationale wetgeving: Aanbestedingswet 2012 en Gids Proportionaliteit;

• • Wet- en regelgeving waarin nadere voorschriften zijn opgenomen op het gebied van specifieke uitkeringen en subsidies vanuit de EU en het Rijk (Ministerie van SZW);

• • Wet normering bezoldiging topfunctionarissen publieke en semipublieke sector en ministeriële regeling ‘Controleprotocol WNT’;

• • Correspondentie van JenV gericht aan het COA in het kader van de planning & controlcyclus (zie bijlage 1, gericht op de verantwoording), de subsidiebeschikking, de subsidie-eindafrekening van voorgaande jaren (met eventuele aanvullingen daarop), de subsidievaststellingsbrief en goedkeuringen van investeringsbesluiten (indien van toepassing);

• • Comptabiliteitswet 2016 (m.n. artikel 10.2 lid 1c) inzake Schatkistbankieren.

Controle van de jaarrekening en subsidieverantwoording

De controle dient te worden uitgevoerd door een accountant als bedoeld in artikel 393, eerste lid van boek 2 van het Burgerlijk Wetboek. De controle voldoet aan de controlestandaarden, zoals de Nadere voorschriften Controle- en overige standaarden (NV COS), die door de Nederlandse Beroepsorganisatie van Accountants (NBA) zijn vastgesteld.

De grondslag voor de controle is opgenomen in de Wet COA:

• • Artikel 2 lid 3 verwijst naar de Kaderwet zbo’s;

• • Artikel 16 lid 4 van de Wet COA verwijst naar afdeling 4.2.8 van de Algemene wet bestuursrecht (verder: Awb);

• • Artikel 19 lid 1 van de Wet COA.

Artikel 19 lid 1 van de Wet COA stelt het volgende:

• • Bij het onderzoek, bedoeld in artikel 393, eerste lid, van Boek 2 van het Burgerlijk Wetboek, onderzoekt de accountant tevens de naleving van de aan de subsidie verbonden verplichtingen. Onze Minister stelt een aanwijzing over de reikwijdte en de intensiteit van de controle vast.

Art. 4.76 lid 5 Awb stelt verder dat het financiële verslag dient aan te sluiten op de begroting waarvoor subsidie is verleend en behelst een vergelijking met de gerealiseerde inkomsten en uitgaven van het jaar, voorafgaand aan het boekjaar.

Met het onderzoek moet de accountant een oordeel geven aan de subsidieverstrekker dat:

• • De jaarrekening een getrouw beeld geeft van de grootte en de samenstelling van het vermogen van het COA per ultimo 20XX en van het resultaat en de kasstromen en van de financiële rechtmatigheid (in overeenstemming met de wet- en regelgeving zoals opgenomen in paragraaf 2.1) van het COA over 20XX;

• • De jaarrekening een getrouw beeld geeft van krachtens de Wet normering bezoldiging topfunctionarissen publieke en semipublieke sector (WNT) op te nemen informatie;

• • De informatie die gelijktijdig met de gecontroleerde verantwoording wordt verstrekt [in ieder geval het jaarverslag (bestuursverslag)] met de door hem gecontroleerde verantwoording verenigbaar is en geen materiële afwijkingen bevat (overeenkomstig Standaard 720).

Als basis geldt het Nederlands recht, waaronder ook de Nederlandse controlestandaarden, het Controle- en verantwoordingsprotocol COA en het Controleprotocol WNT 20XX.

In de specifieke wet- en regelgeving zijn ten behoeve van de controle op de subsidieverantwoording en jaarrekening van het COA relevante bepalingen opgenomen. De onderstaande (attentie)punten worden onder de aandacht gebracht:

• • De juiste toepassing van de Bekostigingsafspraken 20XX, waaronder de juiste bepaling van de omvang en de juiste toerekening van positief of negatief resultaat aan de egalisatiereserve (in overeenstemming met de Kaderwet zbo’s, het Subsidiebesluit COA en de Bekostigingsafspraken 20XX). Hieronder valt het vaststellen dat projectresultaten alleen ten gunste of ten laste van de egalisatiereserve komen indien dit is afgesproken. Anders dienen deze resultaten als vordering of schuld te worden verantwoord.

De juiste toepassing van de afspraken met JenV inzake de aard, omvang en onderbouwing van de egalisatiereserve, de bestemmingsreserves en de voorzieningen. Hierbij wordt verwezen naar de Kaderwet zbo’s, artikel 32 lid f (inzake eventuele voorafgaande instemming met het vormen van andere fondsen en reserveringen dan de egalisatiereserve).

• • De juiste toepassing van de Bekostigingsafspraken 20XX, waaronder de vaststelling van de definitieve staffeltrede voor de overhead (paragraaf 018), de verwerking van de nacalculatie (paragraaf 020) en de toepassing van de wijzigingssystematiek (bijlage 4).

• • De juiste toedeling van werkelijke gemaakte kosten aan de verschillende subsidiecategorieën, zoals bij de vergoeding programmakosten regelingen7 en de gemaakte afspraken inzake krimp8 . Hierdoor ontstaat een verschuivingsgevaar en het risico van meerdere keren toerekenen van kosten.

• • De kosten voor opvang (kosten dienen te zijn besteed aan het subsidiabele doel). NB: Indien de middelen niet worden besteed vindt afrekening met de opdrachtgever plaats.

• • Het correct bepalen van de gerealiseerde jaarbezetting- en capaciteitsgegevens (in het kader van de controle van de jaarrekening).

• • De juiste bepaling van het geleverde aantal producten (prestatie-indicatoren) in de subsidie-afrekening. NB: Er wordt hierbij geen inhoudelijke beoordeling van de prestatie-indicatoren verwacht.

• • De juiste toepassing van de in de (aanvulling op de) bekostigingsafspraken opgenomen verslaggevingsregels voor de jaarrekening (het verslaggevingskader).

Dit betreft de volgende werkzaamheden:

• 1. De accountant beoordeelt de consistentie van de financiële informatie in het jaarverslag met de in de jaarrekening opgenomen financiële informatie (conform Standaard 720).

• 2. Met betrekking tot de niet-financiële informatie volgt de accountant eveneens de werkzaamheden voortvloeiend uit Standaard 720.

• 3. Indien in het jaarverslag toekomstinformatie is opgenomen, beoordeelt de accountant de betrouwbaarheid van aannames ten opzichte van de onderliggende aannames van het meerjarenbeleid en de meerjarenbegroting.

• 4. De accountant beoordeelt de consistentie van het in het jaarverslag opgenomen in-control-statement en de informatie over het onderwerp doelmatigheid, waaronder de verenigbaarheid daarvan met de jaarrekening én de uitkomsten van de controlewerkzaamheden op de jaarrekening. Hierbij stelt de accountant met betrekking tot het in-control-statement en de beschrijving over het onderwerp doelmatigheid van het bestuur het volgende vast:

  • a. De aanwezigheid van een recente beschrijving van het vigerende management control systeem en de maatregelen ter bevordering van doelmatigheid,

  • b. De verankering van het management control systeem en de doelmatigheidsmaatregelen in de planning & control cyclus,

  • c. Het uitvoeren van periodieke audits van het management control systeem en van de doelmatigheidsmaatregelen, en

  • d. De aanwezigheid van periodieke rapportages over het management control systeem en de doelmatigheidsmaatregelen en de bespreking er van op het niveau van bestuur en management.

• 5. De accountant beoordeelt de consistentie van alle (financieel gerelateerde) onderwerpen opgenomen in het jaarverslag met de jaarrekening (conform Standaard 720).

Binnen het accountantsverslag staat de vraag centraal of het financieel beheer van het COA heeft voldaan aan de eisen van getrouwheid en rechtmatigheid. Hierin wordt het volgende opgenomen:

Een overzicht van fouten en onzekerheden (gecorrigeerd en niet gecorrigeerd) in de jaarrekening, waaronder de rechtmatigheidsverantwoording en de specifiek benoemde bijlagen bij de jaarrekening, die gelet op rapporteringstolerantie (zoals opgenomen in paragraaf 2.3 moeten worden gerapporteerd, voorzien van een inhoudelijke toelichting.

Een overzicht van de bevindingen inzake administratieve organisatie en interne beheersing (w.o. de beheersing van interne projecten, de toepassing van het kostprijsmodel, het verschuivingsgevaar met betrekking tot kosten van verschillende subsidiecategorieën en de betrouwbaarheid en continuïteit van de geautomatiseerde gegevensverwerking), voor zover geconstateerd bij de jaarrekeningcontrole.

De belangrijkste aandachtspunten van de controle: de aangelegenheden die, in de professionele oordeelsvorming van de accountant, het meest significant waren bij de controle van de financiële overzichten van de huidige verslagperiode.

Eventuele bevindingen in het kader van de onder 3.2 van dit protocol genoemde werkzaamheden inzake het jaarverslag (bestuursverslag).

De toepassing van artikel 4:71 van de Algemene wet bestuursrecht, artikel 18:1 van de Wet COA, de Kaderwet ZBO’s artikel 32 en van artikel 4:3 sub b en c van de Regeling voor het bestuur van het COA (activiteiten waarvoor het COA toestemming dient te vragen aan de subsidieversterker).

Naast de controle van de jaarrekening en de daarin opgenomen subsidieverantwoording wordt aan de accountant gevraagd om specifiek overeengekomen werkzaamheden te verrichten en daarover de rapporteren in overeenstemming met de NBA Standaard 4400N. De werkzaamheden zijn afgestemd met de subsidieverstrekker en betreffen geen controle- of beoordelingsopdracht of enige andere assurance-opdracht uitgevoerd in overeenstemming met Nederlandse controle- en overige standaarden. In het rapport van feitelijke bevindingen wordt door de accountant gerapporteerd over de onderzoeksbevindingen zonder dat de accountant hierover een oordeel uitspreekt. De beoordeling van de onderzoeksbevindingen wordt overgelaten aan de gebruiker (lees: subsidieverstrekker) van het rapport. De specifiek overeengekomen werkzaamheden hebben betrekking op het treffen van waarborgen met betrekking tot privacywetgeving.

a. Privacywetgeving (AVG richtlijn)

Vanuit de subsidiegever is het van belang om inzicht te hebben in het voldoen door het COA aan de Algemene Verordening Gegevensbescherming (AVG). Daarom wordt aan de accountant gevraagd specifieke werkzaamheden te doen gericht op de onderstaande vragen. Per onderstaand(e) onderwerp (in casu register, analyse, assessment, procedure, ontwerp, functionaris, matrix, beheersmaatregelen, test) wordt gevraagd een beknopte beschrijving van de inhoud van dat onderwerp te geven. Indien de vraag ontkennend wordt beantwoord wordt gevraagd de reden aan te geven waarom dit niet van toepassing is. Indien een alternatieve oplossing wordt gebruikt, wordt gevraagd de inhoud hiervan beknopt te beschrijven.

• – Vraag 1: Heeft het COA een register van verwerkingsactiviteiten?

Werkzaamheden: De accountant stelt door middel van inzage in het register van verwerkingsactiviteiten vast of het COA een register van verwerkingsactiviteiten heeft.

• – Vraag 2: Heeft het COA geanalyseerd of er sprake is van een hoger risico met betrekking tot gegevensverwerkingsactiviteiten?

Werkzaamheden: De accountant verkrijgt door middel van een interview inlichtingen bij de projectleider AVG en overige relevante functionarissen en stelt op basis van inzicht in ondersteunde documentatie vast dat het COA heeft geanalyseerd of er sprake is van een hoger risico met betrekking tot gegevensverwerkingsactiviteiten.

• – Vraag 3: Voert het COA een Privacy Impact Assessment (PIA) uit bij nieuwe projecten, beleidsvoornemens en implementatie van nieuwe wet- en regelgeving? Worden (op grond van de uitkomsten van deze assessments) privacy-maatregelen getroffen?

Werkzaamheden: De accountant verkrijgt door middel van een interview inlichtingen bij de projectleider AVG en/of overige relevante functionarissen en stelt op basis van inzicht in drie willekeurige voorbeelden (één nieuwe project, één beleidsvoornemens en één implementatie van nieuwe wet- en regelgeving) vast of het COA een Privacy Impact Assessment (PIA) uitvoert bij nieuwe projecten, beleidsvoornemens en implementatie van nieuwe wet- en regelgeving. Daarnaast stelt de accountant, op basis van dit voorbeeld, vast of naar aanleiding van de uitkomsten van de PIA beheersmaatregelen nodig zijn en indien dat zo is, of die maatregel getroffen is om persoonsgegevens beschermen en het recht van een individu om zijn/haar gegevens niet te delen met anderen te waarborgen (privacy-maatregelen).

• – Vraag 4: Heeft het COA een Data Protection Impact Assessment (DPIA) voor gegevensbescherming uitgevoerd met betrekking tot activiteiten met een hoger risico? Zijn er ontwerp-hiaten of andere vervolgacties (als gevolg van deze beoordeling) aangepast en/of geïmplementeerd?

Werkzaamheden: De accountant verkrijgt door middel van een interview inlichtingen bij de projectleider AVG en/of overige relevante functionarissen en stelt op basis van inzicht in drie willekeurige voorbeelden (één nieuw project, één beleidsvoornemens en één implementatie van nieuwe wet- en regelgeving) vast of het COA een Data Protection Impact Assessment (DPIA) voor gegevensbescherming heeft uitgevoerd met betrekking tot activiteiten met een hoger risico. Daarnaast stelt de accountant, op basis van dit voorbeeld, vast of naar aanleiding van de uitkomsten van de DPIA er door het COA ontwerp-hiaten of andere vervolgacties (als gevolg van deze beoordeling) zijn aangepast, geïmplementeerd of gepland.

• – Vraag 5: Heeft het COA een datalekprocedure en een datalekregister?

Werkzaamheden: De accountant verkrijgt door middel van een interview inlichtingen bij de projectleider AVG en/of overige relevante functionarissen en stelt op basis van inzicht in de procedurebeschrijving en het register vast of het COA een datalekprocedure en een datalekregister heeft?

• – Vraag 6: Heeft het COA bij het ontwerp van nieuwe gegevensprocessen rekening gehouden met het privacy-principe? Hiermee wordt bedoeld het principe dat er al bij de ontwikkeling van systemen, producten en diensten aandacht is voor privacy (ICT en organisatorisch).

Werkzaamheden: De accountant verkrijgt door middel van een interview inlichtingen bij de projectleider AVG en/of overige relevante functionarissen en stelt op basis van inzicht in drie willekeurige casussen (waarvan twee met significante impact en één met niet-significante impact) van ontwerp/ontwikkelplan van nieuwe gegevensprocessen vast of het COA rekening heeft gehouden met het privacy-principe. Hiermee wordt bedoeld het principe dat er al bij de ontwikkeling van systemen, producten en diensten aandacht is voor privacy (ICT en organisatorisch). De accountant stelt vast of er in het ontwerp/ontwikkelplan een paragraaf is opgenomen die toeziet op het privacy-principe.

• – Vraag 7: Heeft het COA een functionaris voor gegevensbescherming aangesteld?

Werkzaamheden: De accountant stelt op basis van besluitvorming vast dat het COA een functionaris voor gegevensbescherming heeft aangesteld.

• – Vraag 8: Beschikt het COA over een risicobeheermatrix met betrekking tot de AVG?

Werkzaamheden: De accountant stelt door middel van inzage in de risicobeheermatrix met betrekking tot AVG vast of het COA beschikt over een risicobeheermatrix met betrekking tot de AVG.

• – Vraag 9: Zijn de interne beheersingsmaatregelen binnen het COA op het gebied van algemene IT-beheersingsmaatregelen door het COA beoordeeld en effectief bevonden?

Werkzaamheden: De accountant verkrijgt door middel van een interview inlichtingen bij de CISO en/of overige relevante functionarissen en stelt op basis van inzicht in ondersteunde documentatie vast of de interne beheersingsmaatregelen binnen het COA op het gebied van algemene IT beheersingsmaatregelen door het COA zijn beoordeeld en of deze effectief zijn bevonden. Het gaat om: Logische Toegangsbeveiliging, Veilige gegevensuitwisseling (encryptie), Logging en monitoring, Patch en vulnerability management, incidentmanagement, Wijzigingsbeheer (borging privacy dmv PIA)

• – Vraag 10: Heeft het COA een penetratietest (‘pentest’) uitgevoerd of laten uitvoeren inzake de eventuele kwetsbaarheid van de website en achterliggende systemen?

Werkzaamheden: De accountant stelt op basis van de uitkomstenrapportage vast of het COA in 20XX een penetratietest (‘pentest’) heeft uitgevoerd of heeft laten uitvoeren inzake de eventuele kwetsbaarheid van de website en achterliggende systemen. Als er in 20XX geen pentest is uitgevoerd wordt de datum van de laatst uitgevoerde pentest gerapporteerd.

De mate van detail van de beschrijving van de feitelijke bevindingen per vraag is zodanig dat de gebruiker (in casu de subsidieverstrekker) in staat wordt gesteld om zelf een eigen afweging te maken over de betekenis van de feitelijke bevindingen voor het onderhavige onderwerp.

Controle

De controle behoort zodanig te worden ingepland en uitgevoerd dat een redelijke mate van zekerheid wordt verkregen dat de jaarrekening geen afwijkingen van materieel belang bevat. Indien dit begrip voor het gebruik van statistische technieken gekwantificeerd moet worden, moet uitgegaan worden van een betrouwbaarheid van 95%.

Een controleverklaring met een goedkeurende strekking impliceert dat, gegeven eerdergenoemde betrouwbaarheid, de maximale afwijking voor wat betreft de getrouwheid niet groter is dan 2% van het totaal van de baten. Bij het toetsen van de betreffende tolerantie dienen de geconstateerde en niet gecorrigeerde fouten en onzekerheden bij elkaar op te worden opgeteld (zie tabel).

Voor de toleranties voor de controle van de informatie die in het kader van de Wet normering bezoldiging topfunctionarissen publieke en semipublieke sector in de jaarrekening moet worden opgenomen, wordt verwezen naar de ministeriële regeling: Controleprotocol WNT9.

Afwijkingen in de verantwoording en onzekerheden in de controle

Van een afwijking in de verantwoording is sprake indien is gebleken dat een (gedeelte van een) verantwoorde post niet voldoet aan één of meer aspecten van de geldende wet- en regelgeving of dat een (gedeelte van een) post niet juist of volledig is verantwoord.

Van een onzekerheid in de controle is sprake als er onvoldoende (controle-) informatie beschikbaar is om een (gedeelte van een) post als goed of fout aan te merken. Kortom als onzekerheid bestaat over het wel of niet voldoen aan de voorwaarden.

Omgaan met geconstateerde afwijkingen

Het uitgangspunt is dat de subsidieontvanger de door de accountant geconstateerde afwijkingen voor zover mogelijk corrigeert. Een materiële afwijking (conform de tabel) die niet door de subsidieontvanger kan worden gecorrigeerd, leidt tot een aangepast (niet goedkeurend) oordeel door de accountant.

Naast de goedkeuringstoleranties wordt voor de accountant tevens een rapporteringstolerantie onderkend. De rapporteringstolerantie is een bedrag dat gelijk is aan of lager is dan de bedragen voortvloeiend uit de goedkeuringstolerantie. Bij overschrijding van dit bedrag vindt rapportering plaats in het accountantsverslag. De rapporteringstolerantie wordt vastgesteld op 5% van de betreffende goedkeuringstolerantie. Fouten dienen ongesaldeerd te worden weergegeven. Het gaat om hier het verkrijgen van een compleet beeld van alle grotere fouten en onzekerheden. De accountant rapporteert de fouten en onzekerheden in het accountantsverslag.

JenV kan de ADR verzoeken een review uit te voeren op de werkzaamheden van de accountant, met als doel het beoordelen of in het kader van het toezicht op de werkzaamheden van de accountant kan worden gesteund. JenV informeert het COA en de accountant over dit verzoek. De accountant, die de werkzaamheden uitvoert, verstrekt de ADR desgevraagd alle inlichtingen en bescheiden. De eventuele extra kosten van deze accountant in verband met de review komen ten laste van de ontvanger van de bijdrage.

Zie hiervoor ook hoofdstukken 1 t/m 4. Waar het de inhoud van de verklaring over de getrouwheid betreft dient de accountant zoveel als mogelijk aan te sluiten op de modellen van de Nederlandse Beroepsorganisatie van Accountants (NBA). In de controleverklaring neemt de accountant aanvullend op dat de controle heeft plaatsgevonden met inachtneming van dit controle- en verantwoordingsprotocol.

Het verslag van de accountant bevat bevindingen over de vraag of het financieel beheer van het COA heeft voldaan aan de eisen van getrouwheid en rechtmatigheid. Het verslag is in principe vormvrij maar dient de informatie inzake de onder de reikwijdte genoemde aspecten (paragraaf 3.2) te bevatten. Het accountantsverslag wordt ook beschikbaar gesteld aan JenV.

Aanvullend levert de accountant een rapport van feitelijke bevindingen ten aanzien van de onder paragraaf 3.5 genoemde onderwerpen. De accountant rapporteert per onderwerp over de verrichte werkzaamheden met daarbij zijn onderzoeksbevindingen. Daarbij wordt geen conclusie of oordeel gegeven. Leidend voor dit rapport is Standaard 4400N van de NBA.