uittreksel rapport audit na zelfevaluatie gemeente en OCMW Mol

Het opzetten van een organisatiebeheersing- of
interne controlesysteem
1
Inhoudsopgave
Inleiding
1. Context, situering en aanpak
2. Doel en filosofie van de leidraad
3. Structuur leidraad
4. De leidraad als zelfevaluatie-instrument
4.1. Doelstellingen, proces- en risicomanagement
4.2. Belanghebbendenmanagement
4.3. Monitoring
4.4. Organisatiestructuur
4.5. Personeelsbeleid
4.6. Organisatiecultuur
4.7. Informatie en communicatie
4.8. Financieel management
4.9. Facilitaire middelen
4.10. ICT
5. Prioritisering van de risico’s
2
Inleiding
In de schoot van het gemeentedecreet wordt het instrument van het
organisatiebeheersing- of interne controlesysteem geïntroduceerd. Hiermee wordt een
trend gevolgd die we ook bij andere overheden en in de privésector kunnen vaststellen.
Probleem is wel dat ‘interne controle’ een term is die een heel brede, complexe lading
dekt, met alle gevolgen van dien. Bovendien blijkt dat bijvoorbeeld bij voorbeelden van
fraudegevallen, media en andere betrokkenen het begrip in totaal verschillende, vaak
ook foutieve betekenissen gebruiken. De verwarring wordt er alleen maar groter.
Het gemeentedecreet omschrijft organisatiebeheersing of interne controle als het geheel
van maatregelen en procedures die ontworpen zijn om een redelijke zekerheid te
verschaffen over:
- het bereiken van de doelstellingen
- het naleven van wetgeving en procedures
- de beschikbaarheid van betrouwbare financiële en beheersinformatie
- het efficiënt en economisch gebruik van middelen
- de bescherming van activa
- het voorkomen van fraude.
Door deze omschrijving biedt het gemeentedecreet ruimte voor maatwerk en de
mogelijkheid voor de gemeente Mol om het systeem op haar eigen wijze in te bedden in
de organisatie. Keerzijde van de medaille is dat we de scope van het
organisatiebeheersingsysteem heel breed kunnen zien en we dus de baten moeten
afwegen tegenover de kosten. Wat zijn voor ons cruciale processen waarop we
controlepunten willen enten? Hoe krijgen we redelijke zekerheid zoals omschreven in
het gemeentedecreet zonder te overdrijven in het aantal controlepunten en –
maatregelen? Daarom is het aangeraden om vanaf het begin de neuzen in dezelfde
richting te zetten. Dat kan door in het managementteam eerst te bepalen welk doel de
gemeente heeft met het invoeren van een organisatiebeheersing in het algemeen.
Eigenlijk is het organisatiebeheersingsysteem of interne controlesysteem dus niet meer
of niet minder dan een instrument dat wordt ingezet om de totale organisatie op een
hoger niveau te tillen. Het systeem draagt dus bij tot een meer uitmuntende organisatie
en past dus perfect in een totaal organisatiemanagement of totaal
kwaliteitsmanagement.
Als we spreken over Total quality management (TQM) of integrale kwaliteitszorg, gaat
het over ‘het geheel van managementtechnieken gericht op het bewerkstelligen van de
tevredenheid van cliënten door het volledige organisatieproces te onderwerpen aan een
continu verbeteringsproces, waarbij een sterk belang wordt gehecht aan de participatie
van alle medewerkers van deze organisatie.” In die zin is een interne controlesysteem
dus een radertje in het kwaliteitsvol werken van een organisatie. Het parallellisme licht
duidelijk op drie fronten op:
3
- dynamisch element: zowel organisatiebeheersing als totale kwaliteit is een proces van
continue verbetering
- sterke participatie van alle medewerkers
- onderdeel van het management
In dit document wordt dan ook gepleit om het opzetten van een organisatiebeheersingof interne controlesysteem voor onze gemeente te koppelen aan of, beter gezegd, te
integreren in een organisatiebreed kwaliteitsmanagement.
1. Context, situering en aanpak
Interne controle is een ruim begrip waarover heel wat misverstanden bestaan. Veelal
wordt het begrip interne controle beperkt tot controle in de enge zin van de betekenis,
m.n. alle waarneembare controles waar men binnen de organisatie aan onderworpen
wordt en die vaak als negatief ervaren worden of louter als de controlemaatregelen die
aanwezig zijn binnen de financiële cyclus. Maar interne controle is veel meer dan dat.
Interne controle gaat over alle beheersingsmaatregelen die aanwezig zijn in een
organisatie. Interne controle moet er voor zorgen dat de strategie van een organisatie
gerealiseerd wordt. In die zin is het beter te spreken over organisatiebeheersing als
synoniem voor interne controle.
Bij de uitbouw van organisatiebeheersing dienen volgende principes voor ogen
gehouden te worden:
 interne controle of organisatiebeheersing is ingebouwd in de processen en loopt
continu. Beheersings- en controlemaatregelen zijn ingebouwd in de processen en
activiteiten. Organisatiebeheersing is geen apart iets dat toegevoegd wordt, maar
maakt integraal deel uit van de bedrijfsvoering of het procesverloop. Hierdoor is
interne controle of organisatiebeheersing ook een dynamisch begrip dat meeevolueert met de wijze waarop de bedrijfsvoering en procesuitvoering gebeurt en
opgezet wordt;
 Interne controle of organisatiebeheersing is de zaak van iedereen. Doordat
interne controle verweven zit in de processen is het een zaak waar iedereen mee
te maken heeft. Interne controle of organisatiebeheersing behoort weliswaar tot
de verantwoordelijkheid van het management, maar om te komen tot een goed
werkend systeem, moeten alle personeelsleden de nodige aandacht en zorg
besteden aan het interne controlesysteem. Dit is immers bepalend voor de
efficiëntie en effectiviteit van de stuur- en beheersprocessen. De secretaris is de
uiteindelijke verantwoordelijke voor de uitbouw en de permanente optimalisatie
van het systeem van interne controle;
 Interne controle of organisatiebeheersing verschaft redelijke zekerheid. Het is
belangrijk om te beseffen dat interne controle of organisatiebeheersing enkel
redelijke en geen absolute zekerheid kan verschaffen voor het bereiken van de
doelstellingen. Dit omdat er steeds een kosten-batenafweging dient gemaakt te
4
worden, namelijk de kostprijs van de controle- of beheersmaatregelen versus de
kosten als de risico’s zich zouden voordoen;
 Interne controle of organisatiebeheersing is een middel om de doelstellingen van
de organisatie te bereiken. Controle- of beheersmaatregelen bestaan enkel om
risico’s af te dekken en zijn geen doel op zich.
Het gemeentedecreet besteedt veel aandacht aan het zogenaamde lokaal maatwerk.
Ook voor interne controle ligt hier een braakliggend terrein. Meer lokaal maatwerk
houdt ook in dat elke organisatie verantwoordt welk beleid is gevoerd en welke
doelstellingen uit het meerjarenplan zijn behaald. Een goede organisatiebeheersing
zorgt ervoor dat een organisatie is afgestemd op het behalen van haar doelstellingen en
biedt redelijke zekerheid dat die doelstellingen ook werkelijk worden bereikt.
Organisatiebeheersing of interne controle betekent geen extra werk ‘bovenop’ de
normale werking. Binnen iedere organisatie bestaan al heel wat maatregelen al is zij
zich daar altijd niet bewust van. Op basis van de ‘leidraad interne controle’ wordt een
referentiekader aangeboden om het bestaande interne controlesysteem te identificeren,
in kaart te brengen en verder te ontwikkelen. Daarnaast wordt ook een evaluatierooster
ter beschikking gesteld als hulpmiddel bij de uitvoering van een zelfevaluatie.
De verantwoordelijkheden om een degelijke organisatiebeheersing uit te bouwen ligt
onder andere duidelijk bij de verschillende diensthoofden en –verantwoordelijken. Hij of
zij kan dit echter niet alleen. Interne controle is, net als kwaliteit, een zaak waar
iedereen in de organisatie elke dag opnieuw mee bezig hoort te zijn. We kunnen als
gemeente Mol deze leidraad gebruiken om alle neuzen in dezelfde richting te krijgen,
om dezelfde taal te spreken, en alle medewerkers nog bewuster te maken van het
belang van interne controle en hen te betrekken bij een stelselmatige verbetering van
de organisatie(beheersing).
2. Doel en filosofie van de leidraad
De leidraad interne controle / organisatiebeheersing wil het begrip “interne controle” op
een bevattelijke wijze schetsen. De leidraad geeft aan de hand van een aantal
doelstellingen aan welke elementen aanwezig moeten zijn om te komen tot een
redelijke beheersing van de activiteiten of processen. De leidraad steunt daarvoor op
het concept van de organisatiebeheersing, dat synoniem is voor interne controle op
organisatieniveau.
Organisatiebeheersing omvat de wijze waarop een organisatie haar doelstellingen
bepaalt, hoe zij zich organiseert om die doelstellingen op een efficiënte, effectieve,
ethische en kwaliteitsvolle manier tot stand te brengen, op te volgen en tijdig bij te
sturen waar nodig en hoe zij verantwoording aflegt aan haar belanghebbenden. In
5
een top-down benadering van interne controle / organisatiebeheersing is het
raadzaam dat eerst de algemene voorwaarden omtrent aansturing en beheersing van
een organisatie vervuld zijn alvorens te focussen op de proces- en taakgebonden
controles.
De leidraad interne controle / organisatiebeheersing is bedoeld als referentiekader om
een zelfevaluatie van de organisatiebeheersing uit te voeren. Met behulp van de
beheersmaatregelen of stellingen kan elke organisatie per deelthema nagaan in welke
mate de eigen beheersmaatregelen al voldoende zijn of dat verdere uitwerking vereist
is. Deze zelfevaluatie dient steeds met de nodige kennis van de organisatie uitgevoerd
te worden.
Het documenteren van de maatregelen inzake organisatiebeheersing is geen doel op
zich, maar een hulpmiddel voor de organisatie om zich ervan te verzekeren dat alle
nodige beheersmaatregelen genomen zijn, om nieuwe mensen op te leiden, om op
terug te vallen wanneer iets fout gaat, enzovoort.
Deze zelfevaluatie vormt de basis voor een actieplan om het beheersinstrumentarium te
verbeteren en het maturiteitsniveau van de organisatiebeheersing stelselmatig te
verhogen.
3. Structuur leidraad
Het begrip organisatiebeheersing wordt benaderd vanuit 10 verschillende thema’s,
gebaseerd op het COSO/ERM-model en de principes van deugdelijk overheidsbestuur:
-
Doelstellingen, proces- en risicomanagement (DPR)
Belanghebbendenmanagement (BHM)
Monitoring (MON)
Organisatiestructuur (ORG)
Personeelsbeleid (HRM)
Organisatiecultuur (CUL)
Informatie en communicatie (ICO)
Financieel management (FIM)
Facilitaire middelen (FAM)
Informatie- en communicatietechnologie (ICT)
De tien thema’s van organisatiebeheersing staan niet los van elkaar. Elk thema heeft
tal van raakpunten met de andere thema’s. Tussen de thema’s bestaat een
voortdurende wisselwerking.
Centraal staat het thema “doelstellingen, proces- en risicomanagement” dat de inhoud
6
van de andere thema’s aanstuurt. Elk thema levert een eigen bijdrage aan de realisatie
van deze organisatiedoelstellingen. Zo zorgen de thema’s “monitoring” en “financieel
management” ervoor dat de organisatie stelselmatig kan opvolgen in welke mate de
vooropgestelde operationele en financiële doelstellingen worden bereikt.
Het thema “informatie- en communicatietechnologie” voorziet in een geschikte ICTomgeving om die informatiestromen te ondersteunen. Het personeel dat hiervoor
instaat, komt aan bod in het thema “Personeelsbeleid”. En zo verder.
Prioritisering van de risico’s
Het doorlopen van het evaluatierooster heeft een bepaald volume aan risico’s aan de
oppervlakte gebracht. Om hier enig reliëf in aan te brengen werd een bepaalde
methodiek toegepast. Immers, om gericht de geformuleerde risico’s aan te pakken met
de nodige beheersmaatregelen, is het noodzakelijk om een jaarlijks actieplan te
formuleren. Alle geformuleerde risico’s kunnen niet in een tijdsbestek van een
kalenderjaar worden aangepakt.
Vandaar dat de geformuleerde risico’s uit het evaluatierooster werden geprioritiseerd.
Daarbij werd als volgt te werk gegaan:
Elk geformuleerd risico werd onderworpen aan een standaardbeoordeling/-inschatting
die bestaat uit volgende componenten:
1. Strategische weging (SW)
a. Impact op belanghebbenden (IMBL)(burger, klanten, politiek
verantwoordelijken, andere belanghebbenden)(1 weinig – 4 veel)
b. Impact op resultaten (IMR)(1 weinig – 4 veel)
c. Zichtbaarheid (ZI)(1 weinig zichtbaar – 4 zeer zichtbaar)
 Is de som van deze componenten 3, dan hebben we te maken met een
risico van eerder gering strategisch belang. Levert de som een getal van
12 op, dan gaat het om een risico van zeer hoog strategisch belang
2. Gemak van uitvoering (GUI)
a. Moeilijkheidsgraad (MG) (1 moeilijk – 4 makkelijk)
b. In te zetten middelen (IM)(1 veel – 4 weinig)
c. Snelheid van realisatie (1 langzaam – 4 snel)
 Is de som van deze componenten 3, dan hebben we te maken met een
risico dat zeer moeilijk te realiseren/beheersen is. Levert de som een getal
van 12 op, dan gaat het om een risico dat makkelijk te
realiseren/beheersen is.
3. Prioriteit van uitvoering (op basis van SW en GUI)(PUI)
 1 = niet-prioritair – 4 = zeer prioritair)
De optelsom van de strategische weging (SW) en het gemak van uitvoering (GUI) levert
een score op. Hoe hoger de score, hoe hoger het risico op de rangorde staat. Deze
score moet geconfronteerd worden met de prioriteit van uitvoering. Via deze combinatie
7
kan bepaald worden welke risico’s het eerst moeten aangepakt worden.
In eerste instantie hebben we al de geformuleerde risico’s volgens bovenstaande
methodiek geprioritiseerd. Dat levert volgend overzicht op:
Voorbeeld: Doelstellingen, proces- en risicomanagement
Risico
8
IMBL
2
2
1
1
2
1
1
3
2
2
IMR
3
3
2
3
2
3
1
1
2
3
ZI
1
1
1
2
1
1
1
1
1
1
SW
6
6
4
6
5
5
3
5
5
6
MG
3
1
2
1
1
1
3
2
3
1
IM
3
3
1
2
1
3
3
2
3
3
SR
3
1
3
2
2
1
3
2
3
1
GUI
9
5
6
5
4
5
9
6
9
5
PUI
1
3
2
4
4
3
1
2
1
3
Start
15
11
10
11
9
10
12
11
14
11
2
3
2
1
3
4
1
2
3
4
8
9
3
1
3
3
3
4
3
1
3
9
5
10
1
2
3
13
13
19
2
2
3
2
1
1
3
4
1
2
2
3
2
3
2
3
3
2
1
1
2
1
2
1
3
2
1
5
5
8
5
6
4
9
9
4
2
2
1
2
3
3
2
1
2
1
1
2
1
2
3
1
1
3
2
2
2
2
2
2
1
2
2
5
5
5
5
7
8
4
4
7
3
3
3
1
2
2
4
4
3
10
10
13
10
13
12
13
13
11