Frauderisicoanalyse 2026 SWO en gemeenten

Frauderisicoanalyse

1.

INLEIDING

1.1. FRAUDERISICOANALYSE Deze frauderisicoanalyse actualiseren wij jaarlijks met als doel: • Het ontwikkelen van bewustwording bij management en medewerkers; • Inzicht bieden in de organisatiebrede analyse van de frauderisico’s en beheersmaatregelen; • Het definiëren van duidelijke procedures voor de te nemen stappen bij (het vermoeden van) fraude inclusief de taken en verantwoordelijkheden van iedereen in dat proces. Deze frauderisicoanalyse is opgesteld voor de gemeente De Wolden, Hoogeveen en de Samenwerkingsorganisatie De Wolden Hoogeveen. In dit memo wordt met organisatie deze drie organisaties bedoeld. Met fraude hangen echter een aantal andere begrippen samen die deels overlappen met fraude en allen vormen zijn van niet integer gedrag. Hieronder is de relatie tussen deze begrippen weergegeven (zie figuur 1), waarna voor de voor deze frauderisicoanalyse relevante begrippen een definitie en uitleg is opgenomen.

Niet-integer gedrag

Fraude/ corruptie Misbruik- en oneigenlijk gebruik

Ondermijning

Onrechtmatig

Criminaliteit

Figuur 1. Relatie fraude met ander vormen van niet integer gedrag.

1.2. FRAUDE Het begrip fraude is niet in de wet gedefinieerd. Dit betekent dat er geen wettelijke bepaling is die de term fraude beschrijft. Toch heeft iedereen wel een beeld bij wat fraude is. Om een effectief fraudebeleid te kunnen voeren is het belangrijk een eenduidige definitie van fraude te hanteren. Op die manier kan ook binnen onze organisatie op een effectieve manier het gesprek over fraude(risico’s) plaatsvinden. Zie onderstaande de definitie van fraude1 zoals wij die hanteren voor ons beleid.

1 Deze definitie is conform de VNG publicatie “Gemeente Governance Fraude”

Fraude: “Het bevoordelen van zichzelf of een ander middels opzettelijk wederrechtelijk (in strijd met weten regelgeving) handelen. Bepalend voor fraude zijn dus de elementen bevoordeling en opzettelijke strijdigheid met de wet- en of regelgeving.” In de praktijk betekent dit dat fraude op twee manieren kan plaatsvinden: • Het vervreemden van middelen die eigenlijk toebehoren aan de organisatie (geld, andere bezittingen of toegekende rechten); • Zogenaamde verslaggevingsfraude: het bewust onjuiste informatie in officiële uitingen zetten met als doel gebruikers van die informatie te misleiden. 1.3. MISBRUIK & ONEIGENLIJK GEBRUIK Misbruik en oneigenlijk gebruik (M&O) is een begrip dat voortkomt uit de rechtmatigheidscontrole van de jaarrekening. Het betreft het bewust misbruik of oneigenlijk gebruikmaken van wet- en regelgeving (de zogenaamde mazen of grijze gebieden in wet- en regelgeving). Onderstaand is de definitie van misbruik en van oneigenlijk gebruik opgenomen2 Misbruik & Oneigenlijk gebruik: Misbruik kan gelijk worden gesteld met het plegen van fraude om zich onrechtmatig overheidsgelden toe te eigenen en is dan ook onrechtmatig. Bij oneigenlijk gebruik is feitelijk gehandeld in overeenstemming met wet- en regelgeving, maar is dit in strijd met het doel en de strekking van de wet- en regelgeving. Formeel is er bij oneigenlijk gebruik geen sprake van fraude.

Wij hebben een separaat M&O beleid reeds vastgesteld waarin onze visie en filosofie met betrekking tot misbruik en oneigenlijk gebruik opgenomen is. De risicoanalyse ten aanzien van misbruik en oneigenlijk gebruik is geïntegreerd in deze frauderisicoanalyse. 1.4. DOEL Deze frauderisicoanalyse is uitgevoerd met als doel de mogelijkheden van frauduleuze handelingen door personen binnen de organisatie (college, bestuur, directie, management en medewerkers) en buiten de organisatie (leveranciers, bedrijven en particulieren) inzichtelijk te maken en aan te geven welke beheersmaatregelen de organisatie in werking heeft gesteld om eventuele risico te mitigeren. Bij de frauderisicoanalyse en het nemen van beheersmaatregelen moeten grenzen aangegeven worden. Enerzijds is het onmogelijk vooraf alle mogelijke vormen van frauduleus handelen te kennen, laat staan te voorkomen. Anderzijds is een uitgebreide analyse en een zo volledig mogelijke set aan beheersmaatregelen een zeer kostbare zaak die leidt tot extra en soms overbodige regelgeving. Het is zoeken naar de juiste balans tussen het beoogde effect (nut en noodzaak) en de inspanningen (kosten en regelgeving) om dat effect te bereiken.

2 Gebaseerd op de kadernota rechtmatigheid van de commissie BBV

Een prioritering binnen de risicoanalyse en de beheersmaatregelen is daarom van belang. De invalshoeken om tot prioritering te komen zijn: 1. Het belang per taakgebied vaststellen, dit kan zowel financieel als immaterieel (imago) zijn; 2. De kwetsbaarheid van college, bestuur, directie, management en medewerkers analyseren; 3. Balans tussen effect maatregelen en daarmee samenhangende inspanningen/kosten. Om misverstanden te voorkomen: deze frauderisicoanalyse geeft geen inzicht in het bestaan van concrete fraudezaken of fraudeverdenkingen.

2.

WERKWIJZE INVENTARISEREN FRAUDERISICO’S

Het inventariseren van frauderisico’s kent een logisch proces. Zo wordt eerst inzichtelijk gemaakt welke hoofdprocessen de organisatie heeft, vervolgens welk frauderisicofactoren aanwezig zijn voor deze processen en tot slot of deze frauderisicofactoren leiden tot frauderisico’s. Onderstaand is dit schematisch weergegeven:

Stap 1

Stap 2

Stap 3

Stap 4

Inventariseren hoofdprocessen

In beeld brengen frauderisicofactoren per hoofdproces en in beeld brengen M&O risico’s

Beoordelen kans dat het frauderisico zich voordoet

Beoordelen mogelijke impact van het frauderisico

Stap 5

Stap 6

Concluderen of sprake is van een verhoogd frauderisico

Inventariseren of voor de betreffende fraude- en M&O risico’s beheersmaatregelen aanwezig zijn

Stap 1 Inventariseren hoofdprocessen Om de hoofdprocessen te inventariseren beoordelen we kwantitatief (op basis van de financiële omvang van het betreffende proces) en kwalitatief (op basis van niet-financiële overwegingen) of processen relevant zijn voor de begroting of jaarrekening van de organisatie. Voor de kwantitatieve beoordeling hanteren we hiervoor de goedkeuringstolerantie van 1% van de totale lasten (incl. toevoegingen aan reserves) zoals door de gemeenteraden en het bestuur vastgesteld. Stap 2 In beeld brengen frauderisicofactoren en M&O risico’s per hoofdproces Frauderisicofactoren zijn wat anders dan frauderisico’s. Frauderisicofactoren zijn te omschrijven als gebeurtenissen of omstandigheden die wijzen op een stimulans of druk om fraude te plegen of die een gelegenheid scheppen om te frauderen. Frauderisicofactoren kunnen daarmee dus een aanwijzing zijn voor een frauderisico. Daarnaast wordt in deze stap beoordeeld of er risico’s op misbruik of oneigenlijk gebruik aanwezig zijn. Stap 3 Beoordelen frauderisicofactoren langs de zijden van de fraudedriehoek (de waarschijnlijkheid van een frauderisico) Frauderisico’s zijn die risico’s waarin de frauderisicofactoren ervoor zorgen dat er een verhoogde kans bestaat op een fraude groter dan de goedkeuringstolerantie.

Dit risico is daarmee de resultante van de waarschijnlijkheid van een frauderisico en de impact van het frauderisico. In deze stap beoordelen we de waarschijnlijkheid daarom langs de zijden van de fraudedriehoek. Op die manier maken we inzichtelijk of sprake is van verhoogde druk/motivatie, rationalisatie en/of gelegenheid. Stap 4 Beoordelen van de omvang van risico’s (de mogelijke impact van het frauderisico) Bij het uitvoeren frauderisicoanalyse gaat het niet om het risico dat iemand een keer een pen mee naar huis neemt of een privé printje of kopie maakt op kantoor. Het gaat om het risico op een dusdanige fraude dat het beeld van de jaarrekening voor de gebruikers ervan verstoord wordt. Om die reden is het gebruikelijk frauderisico’s te beoordelen in relatie tot de goedkeuringstolerantie. In deze stap beoordelen we daarom de potentiële impact van het frauderisico. Stap 5 Concluderen of sprake is van een frauderisico In deze stap brengen we de waarschijnlijkheid van het frauderisico en de potentiële impact samen om te beoordelen of sprake is van een frauderisico. Voor het risico op fraude geldt, anders dan voor het risico op fouten, niet dat sprake kan zijn van een ‘middel’ risico. Een frauderisico is er, of het is er niet. Om die reden is de zogenaamde ‘heatmap’ voor frauderisico’s als volgt weer te geven:

Impact

Hoog

Normaal

Verhoogd

Verhoogd

Middel

Normaal

Normaal

Normaal

Normaal

Normaal

Normaal

Laag

Middel

Hoog

Laag

kans

Voor alle risico’s waarvoor de potentiële impact naar verwachting kleiner is dan de goedkeuringstolerantie is sprake van een normaal risico: een eventueel fraudegeval zal naar de huidige inschatting het beeld van de jaarrekening als geheel niet verstoren. Voor de risico’s waarbij de potentiële impact naar verwachting hoog is (groter dan de goedkeuringstolerantie) is vervolgens gekeken naar de kans. Overal waar de kans groter is dan niveau ‘laag’ is sprake van een verhoogd frauderisico. Daar waar de kans ‘laag’ is kan het risico op een fraude groter dan de goedkeuringstolerantie als dusdanig laag worden verondersteld dat dit niet leidt tot een verhoogd frauderisico. Stap 6 Inventariseren beheersmaatregelen Tot deze stap worden alleen inherente risico’s (het risico voordat de interne beheersing heeft gewerkt) geïnventariseerd. In deze stap ligt de nadruk op het beoordelen of voor de aanwezige frauderisico’s interne beheersingsmaatregelen aanwezig zijn die het risico in opzet ondervangen. Indien dit het geval is dan worden deze beheersmaatregelen op werking getoetst via de verbijzonderde interne controle. Zijn er geen beheersmaatregelen aanwezig of werken de beheersmaatregelen in de praktijk niet, dan zullen aanvullende gegevensgerichte werkzaamheden uitgevoerd moeten worden om het risico tot een aanvaardbaar niveau terug te brengen.

2.1 HOE KAN FRAUDE PLAATSVINDEN Fraude kent vele oorzaken en verschijningsvormen. Iedereen kent de voorbeelden uit de media waarbij medewerkers uit de organisatie geld naar zichzelf overgemaakt hebben. In 2025 blijft fraude een groeiend risico voor organisaties, waarbij technologische ontwikkelingen zoals AI voor nieuwe verschijningsvormen zorgen. Alle vormen kennen echter een gemeenschappelijke achtergrond: ze zijn altijd gebaseerd op een samenspel van de drie elementen van de fraudedriehoek (zie figuur 2). De factoren druk en rationalisatie hangen af van de persoon (de ‘fraudeur’) en van zijn persoonlijke situatie. De organisatie kan deze factoren daarom beperkt beïnvloeden. Dat betekent overigens niet dat de organisatie geen aandacht voor deze factoren dient te hebben. De organisatie kan de factor gelegenheid echter het meest beïnvloeden. Het is namelijk de organisatie die via haar processen potentieel de gelegenheid biedt om te frauderen.

TIE LIS A NA TIO RA

ID

HE EN

LEG

GE

MOTIVATIE/DRUK

Figuur 2. De fraudedriehoek

•

•

•

2.2

Druk: Oplopende druk kan tot fraude leiden. Druk kan zowel door werk gerelateerde zaken (werkdruk, prestige, etc.) als door problemen binnen de privésfeer (schulden, overlijden, verslaving, etc.) veroorzaakt worden. Rationalisatie: Hiermee wordt bedoeld het begrijpen en het willen nakomen van normen. Mensen gaan maar al te graag op zoek naar argumenten om hun (wan)gedrag te rechtvaardigen. Voor deze rechtvaardiging speelt o.m. het voorbeeldgedrag van de leiding van de organisatie (zgn. tone at the top) een belangrijke rol. Ook de organisatiecultuur bepaalt mede het gedrag van mensen. Medewerkers spiegelen hun eigen gedrag immers aan dit van hun collega’s (tone of the peers): ‘Als anderen het doen, mag ik dit toch ook?’. Gelegenheid: Een fraudepleger maakt vakkundig gebruik van de gebreken in het interne controlesysteem om fraude te plegen. Gebreken kunnen bestaan doordat bepaalde procedures leemtes bevatten of niet worden nageleefd of er kan een gebrek aan toezicht zijn. Allemaal gelegenheden voor de fraudepleger. SOFT CONTROLS

Soft controls dragen, naast procedures en richtlijnen, bij aan het voorkomen van fraude binnen onze organisatie. Soft controls gaan over cultuur en gedragingen van management en medewerkers en de invloed hiervan op het bereiken van organisatiedoelstellingen. Soft controls zijn daarom een essentiële randvoorwaarde voor een effectieve interne beheersing. Daarmee zijn soft controls vooral van invloed op het aspect ‘rationalisatie’ van de fraudedriehoek. In het kader van soft controls hanteren wij het model van ‘Kaptein’ die onderscheid maakt in 8 soorten soft controls.

Figuur 3. 8 basis soft controls volgens Kaptein

Preventie De organisatie hanteert heldere regels als het gaat om integriteit. Deze regels zijn vastgelegd in het integriteitsbeleid. Dit beleid bevat o.a. de gedragscode en regelingen voor het melden van nevenwerkzaamheden en financiële belangen. Binnen de organisatie wordt regelmatig aandacht gevraagd voor integriteit (o.a. via trainingen) om zodoende de bewustwording bij medewerkers te bevorderen. Alle medewerkers overleggen bij indiensttreding een verklaring omtrent gedrag en leggen ten overstaan van de directie de eed of belofte af. Van het management wordt verwacht dat voorbeeldgedrag wordt getoond in het dagelijks doen en laten binnen de organisatie. Detectie Binnen de organisatie is sprake van een organisatie met een open werksfeer. Dit zorgt ervoor dat gedrag op de werkvloer transparant is en dat signalen snel opgepikt kunnen worden. In de verschillende werkoverleggen vindt dan ook in voorkomende gevallen casusbespreking plaats en worden dilemma’s met elkaar gedeeld. Respons Bij de organisatie wordt veel aandacht besteed aan de tone-at-the-top (DNO en teamleiders) en de doorvertaling hiervan lager in de organisatie. Dit met als uitgangspunten vertrouwen, integriteit, werken op basis van resultaatafspraken en collegiale aanspreekbaarheid binnen zelfstandige teams. Daarnaast is het uiteraard integraal onderdeel van de gesprekkencyclus binnen HR.

3.

UITKOMSTEN

In hoofdstuk 3 is aangegeven welke stappen worden doorlopen om de risico’s op fraude en M&O te inventariseren en identificeren. In dit hoofdstuk zijn de uitkomsten van deze stappen opgenomen. 3.1

UITKOMST STAP 1: INVENTARISEREN HOOFDPROCESSEN

Op basis van kwalitatieve en kwantitatieve criteria zijn de volgende processen geïdentificeerd die relevant zijn voor de jaarrekening van de organisatie: • Algemene risico's • Belastingen (OZB/Afvalstoffenheffing/Rioolheffing) • Overige belastingen • Ontvangen subsidies en bijdragen • Huren en pachten • Parkeeropbrengsten • Burgerzaken • Inkoop en aanbesteding • Leerlingenvervoer • Wabo - bouwleges • Inkomensoverdrachten • Salarissen • Grondexploitatie • Jeugd en Wmo • Participatiewet • Gemeentewerf • Treasury 3.2

UITKOMSTEN STAP 2: IN BEELD BRENGEN FRAUDERISICOFACTOREN EN M&O RISICO’S PER HOOFDPROCES

Onderstaand is aangegeven hoeveel frauderisicofactoren per proces zijn geïdentificeerd (zie figuur 3). In totaal is sprake van 68 frauderisicofactoren en 11 M&O risico’s. Het aantal frauderisicofactoren als zodanig geeft geen andere indicatie dan de gevoeligheid van een proces voor fraude of M&O.

Treasury Gemeentewerf Participatiewet Jeugd en Wmo Grondexploitatie Salarissen Inkomensoverdrachten Wabo - bouwleges Leerlingenvervoer Inkoop en aanbesteding Burgerzaken Parkeeropbrengsten Huren en pachten Ontvangen subsides en bijdragen Overige belastingen Belastingen... Algemene risico's 0

2

4

6

Frauderisicofactoren

8

10

12

14

M&O risico's

Figuur 4. Aantal frauderisicofactoren en M&O risico’s per hoofdproces

3.3

UITKOMSTEN STAP 3/4/5/6

In het document Frauderisicoanalyse is de afweging gemaakt van de kans en impact van de frauderisicofactoren. Op basis hiervan zijn een viertal verhoogde frauderisico’s geïdentificeerd. Onderstaand zijn deze verhoogde frauderisico’s toegelicht: Nr.

Proces

Frauderisicofactor

Reikwijdte risico

Aanwezige beheersingsmaatregel

Netto risico

1

Algemeen

Jaarrekening als geheel

Geen, het gaat bij dit risico juist om het doorbreken van de interne beheersing.

Significant frauderisico

2

Ontvangen subsidies en bijdragen

Specifieke transacties

Inkopen en aanbestedingen

De verantwoording van de subsidies gebeurt altijd door een inhoudelijk deskundige en een financieel adviseur. Hierdoor is er in de basis sprake van functiescheiding. Op basis van aanbestedingsbeleid is ingeregeld dat bij opdrachten boven de € 30.000 een inkoopstartformulier verplicht (ISF) is. In het ISF moeten bij meervoudig onderhandse aanbestedingen altijd 3-5 aannemers opgegeven worden die uitgenodigd worden voor een offerte. In de mandaatregeling, in werking getreden op 1 januari 2025, is opgenomen dat een checklist moet worden ingevuld bij

Geen verhoogd frauderisico

3

Doorbreking van de interne beheersing door het management (Controlestandaard 240) Het risico dat subsidievoorwaarden niet worden nageleefd en/of subsidies onrechtmatig worden gedeclareerd. Het risico dat de Europese en/of interne aanbestedingsrichtlijnen niet worden nageleefd om gunning aan bevriende partij mogelijk te maken.

Diverse inkopen

Geen verhoogd frauderisico

4

Grondverkopen

Het risico dat het verkopen van grond/grondposities niet onafhankelijk plaatsvindt of dat een schijn van afhankelijkheid ontstaat.

Jaarrekeningpost voorraden

het aan de directie ter ondertekening aanbieden van een overeenkomst boven de €500.000. Deze checklist dient als waarborg dat er een check wordt uitgevoerd of de procedure cf. ISF is gelopen. Dit wordt niet in het systeem afgedwongen. Eveneens is er door inkoop een aanbestedingskalender opgesteld met inkoopcontracten. Hierin wordt duidelijk welke aanbestedingen als eerste plaats vinden. Dit is echter beperkt tot de aanbestedingen die op de kalender staan. De jaarlijkse actualisatie van de grondprijzennota en het laten vaststellen van afwijkingen hierop borgt de marktconformiteit. Ook worden er taxaties gemaakt. De controller grondexploitaties controleert of de verkopen conform grondprijzennotitie zijn, indien niet of er een collegebesluit aan ten grondslag ligt.

Geen verhoogd frauderisico

Naast deze frauderisico’s is tevens sprake van de volgende 11 M&O risico’s. Bij deze risico’s is een inschatting gemaakt van de potentiële impact van het risico. Zie voor onderbouwing van deze risico’s het bestand frauderisicoanalyse. Alleen de risico’s waarvan de impact op ‘hoog’ wordt geschat wordt de beheersmaatregel in de verbijzonderde interne controle betrokken dan wel worden, in het geval van het niet aanwezig zijn van een beheersmaatregel, vervangende interne controles uitgevoerd. Hieronder zijn de 4 M&O risico’s met impact hoog opgenomen inclusief de aanwezige beheersmaatregelen. Nr Proces M&O risico Reikwijdte Aanwezige . risico beheersingsmaatregel 1

Treasury

Het risico dat het uitzetten van leningen niet onafhankelijk plaatsvindt.

Leningen

2

Inkopen en aanbesteding

Het risico dat bestelling wordt geplaatst door het onjuist of onvolledig verschaffen van informatie over bijvoorbeeld de onderneming, het product,

Specifieke transacties

In het treasurystatuut staat in de Bevoegdheden en daarvan het kopje “Autorisatie”: - Het aantrekken van kort- of langlopende leningen het College van B&W (Om een werkbare situatie te creëren autoriseert het college vooraf de omvang van de aan te trekken lening en (een bandbreedte voor) de condities waartegen deze door de Treasurer kan worden aangetrokken.) - Verstrekken van leningen en/of garanties uit hoofde van de publieke taak het college van B&W (zo nodig na afstemming met de raad) Dit risico wordt ondervangen door altijd een route (binnen de afwikkelingen van de facturen in I-financiën) te kiezen met daarin opgenomen de budgethouder +

Netto risico Laag

Laag

de kredietwaardigheid of de leveringsvoorwaarden.

3

Inkopen en aanbestedingen

Het risico dat opdracht wordt verworven door het onjuist of onvolledig verschaffen van informatie over bijvoorbeeld de onderneming, het product, de kredietwaardigheid of de leveringsvoorwaarden.

Diverse inkopen

4

Grondverkopen

Het risico dat onjuist of onvolledige informatie wordt verstrekt om voor een grondpositie in aanmerking te komen.

Jaarrekening post voorraden

PAV-er. Op deze manier wordt het vier ogen principe gehanteerd. In I-financiën is zichtbaar welke route een factuur heeft afgelegd via de workflow. Voor meervoudige en Europese aanbestedingen wordt dit getoetst door de inkoopadviseur die betrokken is als procesbegeleider van de aanbesteding. Deze informatie wordt dan in de leidraad meegenomen. Hierbij worden (indien van toepassing) enkele toetsingsinstrumenten meegenomen om dit te controleren en te bewaken. De jaarlijkse actualisatie van de grondprijzennota en het laten vaststellen van afwijkingen hierop borgt de marktconformiteit. Ook worden er taxaties gemaakt.

Laag

Laag

Van bovenstaande beheersmaatregelen wordt opzet, bestaan en werking getoetst tijdens de verbijzonderde interne controle.