RIS312416 Bijlage

Rapport inzake frauderisicomanagement en frauderisicoanalyse

Inhoudsopgave 1. Introductie .................................................................................................................................................. 3 1.1 Doel van deze notitie ............................................................................................................................ 3 1.2 Context frauderisicomanagement ....................................................................................................... 3 1.3 Leeswijzer ............................................................................................................................................. 5 2. Frauderisicomanagement .......................................................................................................................... 6 2.1 FRM-model........................................................................................................................................... 6 2.2 Fraudebeleid gemeente op basis van FRM-model ............................................................................. 9 2.2.1 Algemeen ....................................................................................................................................... 9 2.2.2 Governance .................................................................................................................................

10 2.2.3 Preventie ...................................................................................................................................... 11 2.2.4 Detectie ....................................................................................................................................... 12 2.2.5 Respons ....................................................................................................................................... 13 2.2.6 Samenvatting .............................................................................................................................. 15 3. Frauderisicoanalyse ................................................................................................................................. 16 3.1 Frauderisicoanalyse op dienstniveau ................................................................................................ 17 3.2 Dienst Bedrijfsvoering ....................................................................................................................... 18 3.3 Dienst Sociale Zaken en Werkgelegenheidsprojecten ..................................................................... 18 3.4 Dienst Onderwijs, Cultuur en Welzijn ..............................................................................................

18 3.5 Dienst Stedelijke Ontwikkeling ......................................................................................................... 18 3.6 Dienst Stadsbeheer ............................................................................................................................ 19 3.7 Dienst Publiekszaken ......................................................................................................................... 19 3.8 Bestuursdienst ................................................................................................................................... 19 4.

Beslispunten GMT ...................................................................................................................................20 4.1 Gebruik FRM-model ..........................................................................................................................20 4.2 Aandachtspunten gemeente inzake FRM-model .............................................................................20 4.3 Frauderisicoanalyse als regulier proces van de diensten ................................................................20 4.4 Bevestiging initiële frauderisicoanalyse ...........................................................................................20 4.5 Twee keer per jaar wordt het GMT geïnformeerd over ...................................................................20 Bijlage A – initiële frauderisicoanalyse per dienst ..................................................................................... 21

2

1. Introductie 1.1 Doel van deze notitie In deze notitie is een toelichting opgenomen van de inspanningen die de gemeente Den Haag op concernniveau recent heeft verricht op het gebied van frauderisicomanagement evenals de context van deze inspanningen. Het fraudebeleid van de gemeente Den Haag is vormgegeven met behulp van een model van frauderisicomanagement. Deze notitie geeft daarnaast ter informatie een eerste inzicht in de frauderisicoanalyses die op dienstniveau worden uitgevoerd. Dit is een van de elementen van frauderisicomanagement. Deze notitie is besproken in het GMT overleg d.d. 18 mei 2022. Het GMT heeft op deze datum ingestemd met de volgende beslispunten:

— Gebruik FRM-model Het GMT heeft ingestemd met het gebruik van het FRM-model om inzicht te creëren in het fraudebeleid van de gemeente. Zoals toegelicht in hoofdstuk 2 kan frauderisicomanagement gebruikt worden om de werkelijkheid te ordenen en zijn onderdelen van het fraudebeleid belegd bij verschillende organisatieonderdelen.

— Aandachtspunten gemeente inzake FRM-model Het GMT heeft ingestemd om de in hoofdstuk 2 toegelichte aandachtspunten te bevestigen als zijnde de aandachtspunten die relevant zijn voor de gemeente om zich verder op te ontwikkelen.

— Frauderisicoanalyse als regulier proces van de diensten Het GMT heeft ingestemd met het onderdeel maken van de frauderisicoanalyse op dienstniveau in de reguliere processen van de diensten, zoals toegelicht in hoofdstuk 3. Diensten zullen dit doen door de frauderisicoanalyse onderdeel te maken van de dialoogtafels waarvan ook andere risico’s, zoals financiële risico’s en rechtmatigheidsrisico’s onderdeel zijn.

— Bevestiging initiële frauderisicoanalyse Het GMT heeft de in hoofdstuk 3 toegelichte initiële frauderisicoanalyse op dienstniveau te bevestigd.

1.2 Context frauderisicomanagement Achtergrond en belang frauderisicomanagement De gemeente onderkent het belang van gedegen frauderisicomanagement en frauderisicoanalyse van oudsher. Directe aanleiding voor de aandacht die momenteel additioneel aan frauderisicomanagement, en frauderisicoanalyse als onderdeel daarvan, wordt besteed zijn incidenten die zich in 2019 en 2020 hebben afgespeeld binnen de gemeente. Daarnaast heeft de Gemeentelijke Accountantsdienst in haar Board Letter 2020 en 2021 tevens het belang van frauderisicomanagement en frauderisicoanalyse onderstreept. 3

Ontwikkelingen binnen de gemeente op het gebied van frauderisicomanagement Begin 2021 is door KPMG een opdracht uitgevoerd inzake frauderisicomanagement. KPMG heeft werkzaamheden uitgevoerd om te komen tot een eerste beeld van het fraudebeleid van de gemeente. Daarnaast is begin 2021 tevens per dienst door KPMG een brainstormsessie georganiseerd om te komen tot een startpunt van dienst-specifieke frauderisicoanalyses. Dit heeft in de tweede helft van 2021 geresulteerd in het bespreken van de resultaten met de directies van de diensten. KPMG heeft hierop op 29 november 2021 twee rapporten uitgebracht aan de concerncontroller betreffende respectievelijk frauderisicomanagement en frauderisicoanalyse. De concerncontroller heeft geconstateerd dat nadere verdieping nodig is ten behoeve van de doorleving van de frauderisicoanalyses en het creëren van draagvlak binnen de diensten. De initiële frauderisicoanalyse is derhalve begin 2022 door de concerncontroller met ondersteuning van KPMG met de directieteams van de verschillende diensten besproken en is verder gebracht door de diensten. De genomen vervolgstappen in 2022 hebben geresulteerd in deze notitie. De conclusies ten aanzien van frauderisicomanagement op basis van de observaties uit 2021 van KPMG en hierna genomen vervolgstappen zijn opgenomen in hoofdstuk 2.

Nadere toelichting op de huidige frauderisicoanalyse is op hoofdlijnen gegeven in hoofdstuk 3. Frauderisicomanagementmodel (FRM-model) Het fraudebeleid van de gemeente is vormgegeven en inzichtelijk gemaakt met behulp van een model van frauderisicomanagement. Frauderisicomanagement is feitelijk een manier om de werkelijkheid te ordenen. Het geeft op gestructureerde wijze inzicht in de mate van volwassenheid van het bestaande fraudebeleid. Hiervoor is een model gebruikt; het frauderisicomanagementmodel (hierna: FRM-model). Het FRM-model van een organisatie bestaat uit diverse elementen. De mate waarin deze elementen daadwerkelijk aanwezig zijn, bepalen de volwassenheid van het fraudebeleid. Het FRM-model van de gemeente bestaat uit twaalf elementen onderverdeeld in preventieve, detectieve en responsieve maatregelen. Nadere inhoudelijke toelichting van deze elementen is opgenomen in hoofdstuk 2. De elementen van frauderisicomanagement zijn belegd bij verschillende organisatieonderdelen van de gemeente, op dienstniveau en concernniveau. In het model komen dus alle activiteiten samen op het gebied van preventieve, detectieve en responsieve interne beheersingsmaatregelen. Overkoepelend voor deze preventieve, detectieve en responsieve maatregelen is de governance van de gemeente; het beleggen van rollen, taken en verantwoordelijkheden.

Binnen de gemeente heeft het team Risicomanagement van de dienst Bedrijfsvoering de rol om concreet invulling te geven aan het fraudebeleid. De concerncontroller heeft hierbij een adviserende en toezichthoudende rol. Samenhang frauderisicomanagement met breder risicomanagement Op basis van het belang van frauderisicomanagement is het een separaat onderwerp van aandacht. Echter, frauderisicomanagement heeft een nauwe relatie met risicomanagement in algemene zin. Binnen de gemeente hangt frauderisicomanagement samen met de bestaande aanpak op het gebied van integriteit en breder risicomanagement. De gemeente ontplooit voortdurend 4

verschillende initiatieven op het gebied van integriteit en breder risicomanagement. Zo heeft de gemeente ten aanzien van breder risicomanagement diverse programma’s gericht op het versterken van de interne beheersing van de gemeente. Dit betreft onder andere de projecten Processen, Rechtmatigheidsverantwoording, Doorontwikkeling Internal Audit en Gemeentebreed risicomanagement. De koppeling met frauderisicomanagement is onder andere zichtbaar in het inrichtingsvoorstel Gemeentebreed risicomanagement. Hierin is opgenomen dat de gemeente in 2022 aan de slag gaat met frauderisicoanalyse en -beleid. In de loop der tijd moet frauderisicomanagement dan ook onderdeel zijn van de reguliere processen van de gemeente op het gebied van breder risicomanagement, bijvoorbeeld als onderdeel van de reguliere P&C-cyclus. Het is wenselijk hierbij aan te sluiten bij bestaande initiatieven. Frauderisicoanalyses zijn bijvoorbeeld onderdeel van de dialoogtafels gericht op processen gevoerd worden op dienstniveau. In deze dialoogtafels wordt breder gekeken naar risicomanagement, naast frauderisico’s worden hierin tevens financiële risico’s en rechtmatigheidsrisico’s meegenomen. Input voor deze tafels komt uit diverse bronnen, zoals ook de in 2021 uitgevoerde deep dives per dienst.

1.3 Leeswijzer In hoofdstuk 2 is een nadere inhoudelijke toelichting gegeven op frauderisicomanagement en het model dat hiervoor is gehanteerd. In hoofdstuk 3 volgt een eerste inzicht in een van de elementen van frauderisicomanagement, de activiteiten inzake frauderisicoanalyses die op dienstniveau tot op heden zijn uitgevoerd. In hoofdstuk 4 is een toelichting gegeven op gevraagde besluitvorming van het GMT.

5

2. Frauderisicomanagement In dit hoofdstuk is een toelichting opgenomen van het gecreëerde inzicht in het bestaande fraudebeleid van de gemeente met behulp van het FRM-model.

2.1 FRM-model Zoals eerder in de notitie toegelicht is frauderisicomanagement een manier om de werkelijkheid te ordenen en op gestructureerde wijze inzicht te verschaffen in de mate van volwassenheid van het bestaande fraudebeleid van de gemeente. Het fraudebeleid van een organisatie bestaat uit diverse elementen. Het fraudebeleid van de gemeente is met de volgende parallel concreet te omschrijven. Als de inrichting van de gemeente kan worden vergeleken met een huis, dan kan de beveiliging van het huis worden vergeleken met beheersingsmaatregelen. In het geval de bewoner van het huis op vakantie gaat, sluit hij alle deuren en ramen. Een hek met beveiligingscamera’s is niet aanwezig of nodig, zolang het huis maar goed op slot zit. Zo kijkt de gemeente naar het fraudebeleid: een gedegen en efficiënte inrichting van beheersingsmaatregelen past bij de risicobereidheid van de gemeente. Inzicht in het fraudebeleid van de gemeente is gecreëerd middels het FRM-model. De ordening van de werkelijkheid op basis van het FRM-model is derhalve ‘slechts’ een instrument. Het gepresenteerde FRM-model is in de basis een generiek model dat toepasbaar is voor een veelvoud aan organisatie. Aan dit model is op Haagse wijze nadere invulling gegeven. Uitgangspunten hierbij zijn:

— Het FRM-model is gedragen binnen de gemeente en omhelst een gezamenlijke inspanning;

— De operationalisering van frauderisicomanagement binnen de gemeente moet Haags zijn, dit betekent onder andere dat het concreet en praktisch moet zijn en niet bureaucratisch; en

— Ondernomen activiteiten in het kader van frauderisicomanagement moeten aansluiten bij reeds gedane inspanningen van de gemeente, zowel op concern- als dienstniveau.

De impact van het operationaliseren van het Haagse frauderisicomanagement is aanwezig op concernniveau en op dienstniveau. Het GMT bepaalt wat de juiste invulling van het Haagse frauderisicomanagement is en aan welke eisen de gemeente als geheel moet voldoen. Daarnaast bepalen de individuele diensten welke invulling zij geven aan de frauderisicoanalyse als een dienst-specifiek onderdeel van frauderisicomanagement. De mate waarin de diverse elementen van het FRM-model daadwerkelijk in opzet aanwezig zijn en werken, bepalen de mate van volwassenheid van het fraudebeleid. Deze elementen zien toe op governance en preventieve, detectieve en responsieve beheersmaatregelen. Frauderisicomanagement is gericht op de volgende drie kerndoelen:

A. het voorkomen van fraudegevallen in de eerste plaats (preventie); B. het tijdig detecteren van fraudegevallen wanneer deze zich voordoen (detectie); en C. het adequaat reageren en het nemen van corrigerende maatregelen (respons). In het figuur hierna is het FRM-model opgenomen.

6

De gemeente heeft al geruime tijd verschillende maatregelen ingericht die invulling geven aan de bovenstaande twaalf elementen. Belangrijk is om op te merken dat de gemeente bepaalt of de invulling van het fraudebeleid voldoende is, dit hangt af van de risicobereidheid van de gemeente. Het is nadrukkelijk niet de bedoeling van het FRM-model verwordt tot een ‘papieren tijger’. Het gaat om een gedegen en werkbare inrichting van het fraudebeleid van de gemeente en het FRM-model is alleen het middel om hierin inzicht te brengen. Maatregelen treffen omwille van het hebben van regels is niet de bedoeling. Dit betekent dat de gemeente op een aantal van de twaalf elementen verdere inzet nodig is, om te zorgen dat ook de achterdeur wordt dichtgedaan. Een voorbeeld hiervan is de professionalisering van de frauderisicoanalyse, zie voor een toelichting daarop hoofdstuk 3. Een aantal andere elementen vormen al de dichte voordeur en ramen, zoals de gedragscode van de gemeente. Hierna volgt een korte toelichting van de twaalf elementen van het FRM-model. Governance Governance is overkoepelend voor de verschillende maatregelen die een organisatie treft ter preventie en detectie van fraude en respons op fraude. De inrichting van de governance heeft impact op het fraudebeleid.

Het doel is om een efficiënte en effectieve organisatie in te richten, een organisatie die is gericht op het hebben van de juiste checks & balances. A. Preventie Preventie is gericht op het voorkomen van fraudegevallen in de eerste plaats. Preventieve maatregelen zijn in het FRM-model onderverdeeld in vijf elementen:

7

— Frauderisicoanalyse. Overzicht van frauderisico’s binnen een organisatie om te kunnen sturen op risicobeheersing.

— Gedragscode & gerelateerde regelingen. Schriftelijke voorlichting op het gebied van

(on)gewenst gedrag binnen een organisatie om helderheid te creëren over onder andere omgangsvormen.

— Screening van werknemers en derden. Identificatie van personen of partijen waarmee een organisatie een relatie aangaat, mede ten behoeve van het voorkomen van ongewenste relaties.

— Communicatie & training. Schriftelijke en mondelinge voorlichting op het gebied van

(on)gewenst gedrag binnen een organisatie ten behoeve van het stimuleren van gewenst gedrag.

— Proces-specifieke frauderisico controls. Op procesniveau ingerichte beheersmaatregelen met preventieve werking ten opzichte van fraude.

B. Detectie Detectie is gericht op het tijdig detecteren van fraudegevallen wanneer deze zich voordoen. Detectieve maatregelen zijn in het FRM-model onderverdeeld in drie elementen:

— Meldstructuur & klokkenluidersregeling. Regelingen om ongewenst gedrag/handelen

binnen de organisatie te identificeren, dit kan ingericht zijn voor de interne organisatie en externen. Op basis van dergelijke regelingen kunnen personen zich, desgewenst anoniem, uitspreken en ontstaat inzicht in het (on)gewenst gedrag binnen een organisatie.

— Auditing & monitoring. Periodieke en incidentele (detail)controles op bijvoorbeeld

geïdentificeerde risicogebieden (bijv. erkende frauderisico’s of specifieke processen) om te analyseren of en in hoeverre fraude zich voordoet/ voor kan doen.

— Proactieve forensische (data-)analyses. Analyse van beschikbare

gegevens/administraties binnen een organisatie ten behoeve van (vroegtijdige) identificatie van incidenten en/of mogelijke patronen op basis van data.

C. Respons Respons is gericht op het adequaat reageren en het nemen van corrigerende maatregelen. Responsieve maatregelen zijn in het FRM-model onderverdeeld in vier elementen:

— Intern onderzoeksprotocol, zowel voor interne als externe fraude. Protocol waarin de te nemen stappen zijn opgenomen bij incidenten. Dit protocol waarborgt eenduidige opvolging van incidenten binnen een organisatie en schept duidelijkheid over bijv. een actieplan.

— Handhavings- & sanctioneringsprotocol. Protocol waarin is omschreven wat handhaving en eventuele sanctionering moet zijn naar aanleiding van een incident, op basis van de ernst (aard en omvang) van specifieke incidenten. Dit protocol waarborgt consistente afhandeling van incidenten.

— Communicatieprotocol. Protocol waarin communicatielijnen zijn beschreven, onder

andere wie bij opvolging van een incident te betrekken, hoe/wanneer de organisatie te informeren en wanneer eventueel extern te communiceren.

8

— Herstel- & verbeterprotocol. Protocol waarin evaluatiestappen na afwikkeling van een

incident zijn beschreven. Dit protocol is gericht op het trekken van lering uit een incident en het treffen van maatregelen ter voorkoming van toekomstige incidenten.

2.2 Fraudebeleid gemeente op basis van FRM-model De gemeente is voortdurend in ontwikkeling, dus een periodieke update ten aanzien van de invulling die de gemeente geeft aan het fraudebeleid op basis van het FRM-model is wenselijk. De in hoofdstuk 1 toegelichte werkzaamheden van KPMG hebben geleid tot een blauwdruk van het fraudebeleid van de gemeente en geeft inzicht in mogelijke aandachtspunten die aanwezig zijn binnen de twaalf elementen van het FRM-model. Deze blauwdruk is in 2022 geüpdatet op basis van in de tussentijd geïnitieerde en lopende ontwikkelingen. Het is aan de gemeente om te bepalen of die elementen werkelijk nadere aandacht behoeven of bijvoorbeeld geaccepteerd zijn. Hieronder volgt op hoofdlijnen per element van het FRM-model een toelichting op de reeds geïdentificeerde aanwezige maatregelen. 2.2.1 Algemeen Binnen de gemeente wordt op gestructureerde wijze aandacht besteed aan het onderwerp integriteit. Integriteit en fraude kunnen niet los van elkaar worden gezien, mede gelet op hoe de gemeente zijn integriteitsbeleid heeft ingericht. Integriteitsbeleid is niet identiek aan een fraudebeleid op basis van het FRM-model, er is wel sprake van overlap. Integriteit binnen de gemeente strekt verder dan fraude en heeft betrekking op integriteitsschendingen1, misstanden2 en onregelmatigheden3 binnen de gemeente.

In de volgende paragrafen is mede ingegaan op het integriteitsbeleid indien dit de elementen van het fraudebeleid op basis van het FRM-model raakt. Het is zichtbaar dat de gemeente in het verleden heeft ingezet op maatregelen die toezien op preventie, zoals omtrent een gedragscode en trainingen. Deze maatregelen zijn met name ingericht vanuit het integriteitsbeleid, maar voor het fraudebeleid op basis van het FRMmodel is dit tevens relevant. Op het gebied van frauderespons zijn meer recentelijk maatregelen verder ingericht en geüpdatet, zoals het hanteren van gemeentebrede protocollen voor de opvolging van onderzoeken. Over het algemeen heeft de gemeente op bepaalde wijze reeds (in)formeel invulling gegeven aan de elementen van het FRM-model. De diepgang van de getroffen maatregelen varieert, zoals in de volgende paragrafen toegelicht. Daarbij is opgemerkt dat het team 1 De gemeente gebruikt de volgende toelichting bij integriteitsschendingen: Er is sprake van een

integriteitsschending als een medewerker of een organisatieonderdeel niet handelt volgens de toepasselijke waarden, normen en regels. De Gedragscode van onze gemeente geeft een kader voor integer handelen. Voorbeelden van een integriteitsschending zijn belangenverstrengeling, inzien en/of gebruiken van informatie uit systemen zonder dat dat nodig is voor jouw werk, diefstal, discriminatie, pesten en seksuele intimidatie. 2 De gemeente gebruikt de volgende toelichting bij misstanden: Er is sprake van een misstand als het maatschappelijk belang in het geding is. Dat kan het geval zijn in de volgende situaties: (a) er is sprake van overtreding van de wet; (b) er is gevaar voor de volksgezondheid; (c) er is gevaar voor de veiligheid van personen; (d) er is gevaar voor de aantasting van het milieu; en (e) er is gevaar voor het goed functioneren van de organisatie als gevolg van onbehoorlijk handelen of nalaten. 3 De gemeente gebruikt de volgende toelichting bij onregelmatigheden: Van een onregelmatigheid is sprake bij fouten in uitvoering, structuren, processen of procedures binnen de organisatie die zo ernstig zijn dat ze de verantwoordelijkheid van de direct leidinggevende overstijgen. 9

Risicomanagement van de dienst Bedrijfsvoering moet bezien of hiermee voldoende invulling is gegeven aan preventie, detectie en respons ten aanzien van fraude. De gemeente heeft reeds projecten gestart op elementen van het fraudebeleid waarvan KPMG identificeert dat mogelijk ruimte voor verbetering bestaat. Het doel van deze projecten is het verder professionaliseren van de organisatie. Deze projecten zijn met name gericht op integriteit en de gemeente heeft projecten lopen gericht op het versterken van de interne beheersing van de organisatie als geheel, waarvan fraude een onderdeel is. 2.2.2 Governance Op dienstniveau zijn de algemeen directeuren verantwoordelijk voor het fraudebeleid. De rollen, taken en verantwoordelijkheden ten aanzien van fraude waren in het verleden op concernniveau nog niet geheel duidelijk dan wel formeel belegd binnen de gemeente. Een mogelijk gevolg hiervan kan zijn dat beperkt aandacht is geweest voor het voeren van een gestructureerd fraudebeleid. De gemeente heeft vanaf 2021 stappen gezet om op meer gestructureerde wijze invulling te geven aan frauderisicomanagement. De verantwoordelijkheid ten aanzien van het fraudebeleid op concernniveau dient belegd te zijn op een onafhankelijke positie, op een relatief hoger niveau binnen de organisatie. Hiermee wordt het belang van het voeren van een fraudebeleid gewaarborgd.

De gemeente heeft ervoor gekozen deze rol te beleggen bij het team Risicomanagement van de dienst Bedrijfsvoering. Dit team geeft concreet invulling aan het fraudebeleid en is verantwoordelijk voor gedegen opvolging van deze notitie, waaronder ook monitoring en registratie van genomen acties. De concerncontroller van de gemeente heeft op concernniveau tevens een verantwoordelijkheid ten aanzien van het fraudebeleid; de concerncontroller heeft een adviserende en toezichthoudende rol ten aanzien het fraudebeleid. De rol van bewaker van het proces is passend bij functie van concerncontroller. Primair verantwoordelijk voor het uitvoeren van het fraudebeleid binnen de gemeente Den Haag zijn de uitvoerende onderdelen van de organisatie, de eerste lijn. In het GMT en het College worden incidenten besproken. In het verleden is geen sprake geweest van een structurele inbedding van een gespreksdynamiek over fraude op concernniveau. Hierin wordt momenteel verandering gebracht. De rol van Internal Audit is tot op heden gericht geweest op het reageren op incidenten, dat wil zeggen de betreffende dienst kiest al dan niet en op basis van zelfgekozen casuïstiek voor het betrekken van Internal Audit. De diensten bepalen of dit gewenst is.

Internal Audit heeft aangegeven periodiek het systeem van fraude- en integriteitsbeheersing te willen analyseren om te bezien of dit systeem de gewenste werking heeft. In de volgende paragrafen is per kerndoel een samenvatting opgenomen van de elementen van het fraudebeleid van de gemeente, op basis van het FRM-model. Daarbij is per element een beschouwing opgenomen van de stand van zaken, waarmee is aangegeven of en welke ruimte voor verbetering aanwezig is. Deze constatering is aangegeven met de volgende symbolen:

— (+) voor elementen waarbinnen (zeer) beperkte tot geen ruimte voor verbetering mogelijk is. — (o) voor elementen waarbinnen beperkte tot gemiddelde ruimte voor verbetering mogelijk is. — (-) voor elementen waarbinnen gemiddelde tot grote ruimte voor verbetering mogelijk is. Feitelijk is getoetst in welke mate de gemeente voldoet aan het FRM-model. 10

2.2.3 Preventie In deze paragraaf zijn de preventieve elementen van het FRM-model op hoofdlijnen toegelicht evenals de acties die de gemeente onderneemt op deze elementen.

— Frauderisicoanalyse (o)

Niet eerder is een organisatiebrede frauderisicoanalyse uitgevoerd. In opvolging hiervan is de gemeente momenteel bezig met de ontwikkeling van het overkoepelende beeld van de bestaande frauderisico’s per dienst middels het professionaliseren van de frauderisicoanalyse op dienstniveau. Dit is nader toegelicht in hoofdstuk 3 van deze notitie. Wanneer de frauderisicoanalyse verder is geïntegreerd in de reguliere processen op dienst- en concernniveau zal deze constatering verder bewegen naar (+).

— Gedragscode & gerelateerde regelingen (+)

De gemeente hecht belang aan het onderhouden van een set kwalitatief goede, samenhangende regels en regelingen om op te steunen. Hierbij gaat de aandacht uit naar integriteit in het algemeen, waaronder integriteitsschendingen, misstanden en onregelmatigheden binnen de gemeente vallen. De gemeente heeft diverse regelingen die toezien op gedrag binnen de organisatie, waaronder een gedragscode de dato 20 februari 2018. De integriteitsorganisatie van de gemeente besteed aandacht aan het up-to-date houden van de gedragscode. In het Haags Personeelsreglement de dato 17 december 2019 zijn regelingen opgenomen omtrent bijvoorbeeld (on)gewenst gedrag. Fraude zou een prominentere rol kunnen krijgen in deze regelingen. De constatering op dit onderdeel is (+), de gemeente heeft dit element op gewenst niveau.

— Screening medewerkers en derden (o)

Het screeningsbeleid voor medewerkers ziet toe op het opvragen van een VOG, referenties en diploma’s voor bijna elke functie binnen de gemeente. Op dit moment bestaan nog geen verschillende veiligheidsniveaus van screening voor verschillende functies, met uitzondering van een uitgebreidere screening bij ambtenaren in veiligheidsfuncties. De gemeente heeft de doorontwikkeling van het screeningbeleid van medewerkers onderhanden (pre-employment en in-employment). Screening van derden is onderdeel van aanbestedingen. Op basis van lessons learned werkt de gemeente momenteel aan een instrument om derden te screenen, Bureau Integriteit levert hieraan een bijdrage. Wanneer de doorontwikkeling van het screeningsbeleid is afgerond zal de constatering verder bewegen naar (+).

— Communicatie & training (o)

Het gebruik van het trainingsaanbod is dienstafhankelijk. De diensten gaan verschillend omgaan met hun rol in bewustwording, dit is onder andere afhankelijk van de specifieke taken die bestaan binnen de dienst en de nabijheid van medewerkers bij burgers. De gemeente vult het reeds bestaande aanbod aan training momenteel aan, dit heeft met name betrekking op integriteit. Aan specifiek fraude zou in het trainingsaanbod meer aandacht kunnen worden besteed, bijvoorbeeld vanuit het team Risicomanagement van de dienst Bedrijfsvoering. Deze aanvulling van het trainingsaanbod kan gebaseerd zijn op onder andere de opgedane inzichten vanuit dialoogtafels rondom meerdere type risico’s. Communicatie over fraude heeft binnen de gemeente nog geen gestructureerd karakter. In besprekingen van het GMT en het College is geen structurele inbedding van een gespreksdynamiek over het thema fraude in algemene zin. In deze gremia worden voornamelijk incidenten besproken. Met de huidige aandacht voor fraudebeleid en frauderisicoanalyses wordt hierin verandering gebracht. 11

Wanneer het trainingsaanbod is aangevuld en bespreking van/communicatie over fraude binnen de gemeente verder is ingebed zal de verder bewegen naar (+).

— Proces-specifieke frauderisico controls (o)

In de managementletter 2020 van de Gemeentelijke Accountantsdienst is aangegeven dat de gemeente voldoende preventieve maatregelen heeft voor de beheersing van frauderisico’s. Hierbij is opgenomen dat over het algemeen voldoende richtlijnen en functiescheidingen aanwezig zijn om fraude van materieel belang te voorkomen. Proces-specifieke maatregelen zijn getroffen op het niveau van de gemeentelijke diensten, hiervan is geen (centraal) overzicht. Wanneer de stand van zaken van proces-specifieke frauderisico controls inzichtelijk is gemaakt, met name door een overzicht te creëren, zal de constatering verder bewegen naar (+).

2.2.4 Detectie In deze paragraaf zijn de detectieve elementen van het FRM-model op hoofdlijnen toegelicht evenals de acties die de gemeente onderneemt op deze elementen.

— Meldstructuur en klokkenluidersregeling (+)

In het Haags Personeelsregelement de dato 17 december 2019 is een meldingsregeling opgenomen, deze meldprocedure is per 1 januari 2022 geüpdatet en omvat handvatten voor het maken van een melding van (een vermoeden van) integriteitsschendingen, misstanden of onregelmatigheden. Deze meldprocedure ziet derhalve toe op alle vermoedens van schendingen van regels binnen de gemeente. Melding kan intern worden gemaakt bij een leidinggevende, Bureau Integriteit of extern bij het Huis van Klokkenluiders, eventueel met ondersteuning van een vertrouwenspersoon. De gemeente heeft een jaarlijks overzicht van alle integriteitsmeldingen met een fraudecomponent. Aanvullend hierop zou een overzicht van alle meldingen ten aanzien van fraude in een jaar kunnen worden opgesteld, bijvoorbeeld door team Risicomanagement van de dienst Bedrijfsvoering, om onder andere de dialoogtafels van input te voorzien op specifiek fraude. De constatering op dit onderdeel is (+). De gemeente heeft recent de meldprocedure geüpdatet, deze ziet toe op alle vermoedens van schendingen van regels binnen de gemeente.

— Auditing & monitoring (o)

In de managementletter 2020 van de Gemeentelijke Accountantsdienst is toegelicht dat de gemeente tot dat moment geen systematische controlewerkzaamheden op fraude heeft uitgevoerd. De gemeentelijke diensten worden op dit moment in beperkte mate door de centrale organisatie worden ondersteund op het gebied van audit en control of op het gebied van fraudedetectie. Ten aanzien van fraude wordt binnen de gemeente met name reactief gehandeld. De gemeente is momenteel bezig met het in kaart brengen van de gemeentelijke processen. Dit moet leiden tot inzicht in de bestaande key risks en key controls en aansluiting hiervan op de gevoerde processen. De gemeente voert geen gecentraliseerde processen op het gebied van auditing of monitoring inzake fraudedetectie. Hiervoor bestaan geen standaard te voeren processen op dienstniveau. Wanneer gecentraliseerde processen op het gebied van auditing en monitoring inzake fraudedetectie zijn ingericht en geïntegreerd binnen de gemeente zal de constatering verder bewegen naar (+).

12

— Proactieve forensische (data-)analyse (-)

De gemeente voert analyses uit op de aard en opvolging van meldingen omtrent integriteit vanuit reactief perspectief. Het doel van deze analyses is om te bezien of acties moeten worden opgestart naar aanleiding van specifieke signalen. In de interviews is aangegeven dat binnen de gemeente momenteel zeer beperkt gebruikt wordt gemaakt van proactieve (data-)analyse. De gemeente heeft behoefte aan proactieve forensische data-analyse en geeft hieraan prioriteit. Hiervoor is nog geen concrete invulling georganiseerd. Bureau Integriteit heeft ontwikkelingen ingezet om op pro-actieve wijze op dienstniveau een systeemanalyse uit te voeren ten aanzien van integriteit. Uitkomsten hiervan worden breder gedeeld vanuit risicomanagementperspectief, hieruit vloeit mogelijk een nauwere samenwerking voort. Op dit moment is dit (nog) geen datagedreven analyse. Wanneer verder invulling wordt gegeven aan proactieve forensische data-analyse zal de constatering verder bewegen naar (o).

2.2.5 Respons In deze paragraaf zijn de responsieve elementen van het FRM-model op hoofdlijnen toegelicht evenals de acties die de gemeente onderneemt op deze elementen.

— Intern onderzoeksprotocol, zowel voor interne als externe fraude (+)

In het Haags Personeelsreglement de dato 17 december 2019 is een onderzoeksprotocol opgenomen voor interne en externe meldingen. Dit onderzoeksprotocol is per 1 januari 2022 geüpdatet en ziet toe op het onderzoeken van meldingen van (een vermoeden van) integriteitsschendingen, misstanden en onregelmatigheden middels oriënterend onderzoek en feitenonderzoek. Bureau Integriteit beoordeelt elke melding en bepaalt of eventuele vervolgstappen passend zijn. Dit hangt met name af van de aard, ernst, onderzoekbaarheid en omstandigheden van de melding. Een melding kan aanleiding zijn voor een onderzoek. Dit onderzoek wordt uitgevoerd door interne onderzoekers, externe onderzoekers of een combinatie daarvan. In ieder geval voldoet de onderzoeker aan daarvoor geldende deskundigheidsvereisten. Opdrachtgever voor het uitvoeren van een onderzoek is in de regel de algemeen directeur van de betrokken dienst of de gemeentesecretaris/algemeen directeur Den Haag indien sprake is van dienstoverstijgende situaties of bij (een vermoeden van) betrokkenheid van de algemeen directeur van de dienst. In het geval een onderzoek zich richt op de gemeentesecretaris, kan de burgemeester een onderzoeksopdracht verstrekken. Een onderzoek kan persoons- of organisatiegericht zijn. De constatering op dit onderdeel is (+).

De gemeente heeft recent het onderzoeksprotocol geüpdatet, deze ziet toe op alle schendingen van regels binnen de gemeente.

— Handhavings- & sanctioneringsprotocol (+)

In het hiervoor toegelichte onderzoeksprotocol is aandacht besteed aan handhaving en sanctionering. Naar aanleiding van het uitgevoerde onderzoek kan de opdrachtgever van een onderzoek (zijnde de algemeen directeur van de dienst, gemeentesecretaris of burgemeester) ordemaatregelen treffen conform het geüpdatet onderzoeksprotocol. Een ordemaatregel is een instructie aan betrokkene om iets te doen of na te laten. Het hoofd Bureau Integriteit, in samenspraak met een arbeidsrechtjurist, brengt aan opdrachtgever een advies uit over eventueel te treffen arbeidsrechtelijke maatregelen na het afronden van het onderzoek. Dit advies wordt met het onderzoeksrapport aangeboden aan de opdrachtgever. De opdrachtgever neemt hierop een besluit over eventueel te treffen maatregelen. Besluitvorming hieromtrent worden momenteel voorgelegd aan de Stuurgroep Integriteit, dit proces wordt momenteel geüpdatet waardoor mogelijk een 13

andere route wordt ingericht, bijvoorbeeld via de gemeentesecretaris of algemeen directeur. De constatering op dit onderdeel is (+). De gemeente heeft maatregelen rondom handhaving en sanctionering naar aanleiding van incidenten ingericht.

— Communicatieprotocol (+)

De gemeente heeft een geformaliseerd communicatieprotocol op verschillende niveaus. Op basis van het eerder toegelichte onderzoeksprotocol bestaan regels rondom communicatie gedurende het onderzoek, dit is per onderzoek vastgelegd in de onderzoeksopdracht. Tevens staat in dit beleid hoe te communiceren met betrokkene en melder. De gemeente maakt hier onderscheid tussen communicatie over proces en inhoud. Het uitgangspunt is dat niet gecommuniceerd wordt over onderzoeken tenzij hiertoe aanleiding is op basis van reeds bestaande bekendheid en/of bepaalde belangen. Indien dit het geval is, wordt procesinformatie gecommuniceerd naar een zo specifiek mogelijke doelgroep. Over onderzoeken waarover reeds in de media is bericht wordt op Werknet gecommuniceerd. Dit gebeurt eventueel door de gemeentesecretaris. De gemeente heeft een informatieplicht naar de Gemeenteraad. Het informeren van de Gemeenteraad kan openbaar of vertrouwelijk plaatsvinden. In de Leidraad geheimhouding Den Haag 2021 (definitief concept, v0.5 d.d. 10 mei 2021) is opgenomen dat openbaarheid van informatie het uitgangspunt is. De gemeente werkt hierbij vanuit het principe ‘openbaar, tenzij’. Er wordt niet lichtvaardig een beroep gedaan op geheimhouding.

Geheimhouding kan worden opgelegd bij bijvoorbeeld vertrouwelijke bedrijfsgegevens, eerbiediging van de persoonlijke levenssfeer, economische en financiële belangen van de overheid en bijzondere persoonsgegevens. De constatering op dit onderdeel is (+). De gemeente heeft een communicatieprotocol dat van toepassing is alle schendingen van regels binnen de gemeente.

— Herstel- & verbeterprotocol (0)

In het hiervoor toegelichte onderzoeksprotocol is aandacht besteed aan herstel en verbetering. Op basis van het onderzoeksrapport naar aanleiding van (vermoedens van) integriteitsschendingen, misstanden of onregelmatigheden verstrekt het hoofd Bureau Integriteit een advies tot eventueel te treffen organisatorische maatregelen. Dit advies wordt met het onderzoeksrapport aangeboden aan de opdrachtgever (zijnde de algemeen directeur van de dienst, gemeentesecretaris of burgemeester). De opdrachtgever neemt hierop een besluit over eventueel te treffen organisatorische maatregelen, naast eventuele arbeidsrechtelijke maatregelen. Besluitvorming hieromtrent worden momenteel voorgelegd aan de Stuurgroep Integriteit, dit proces wordt momenteel geüpdatet waardoor mogelijk een andere route wordt ingericht, bijvoorbeeld via de gemeentesecretaris. Het is wenselijk om, ingeval het onderzoek fraude omvat, het team Risicomanagement van de dienst Bedrijfsvoering tevens inbreng op het advies inzake organisatorische maatregelen vanuit financieel-administratief perspectief te laten geven. Dit zou op geanonimiseerde basis kunnen plaatsvinden.

De gemeentesecretaris, het hoofd Bureau Integriteit en de directeur van de Gemeentelijke Accountantsdienst bespreken elk kwartaal alle lopende en afgedane onderzoeken naar aanleiding van integriteitsschendingen, misstanden en onregelmatigheden, voor zover deze meldingen en onderzoeken relevant zijn voor de Gemeentelijke Accountantsdienst (bijvoorbeeld indien er een financieel component aanwezig is). Dit gesprek wordt gevoerd aan de hand van een overzicht van feitelijke, vermoede en vermeende schendingen. De gemeente neemt op gestructureerde wijze beslissingen inzake herstel en verbetering na incidenten. In aanvulling op het bestaande proces kan vanuit 14

financieel-administratief perspectief inbreng op het advies inzake organisatorische maatregelen worden toegevoegd bij aan fraude gerelateerde incidenten, zo zal de constatering verder bewegen naar (+).

2.2.6 Samenvatting De gemeente heeft ten aanzien van het fraudebeleid belangrijke maatregelen getroffen op het gebied van preventie, detectie en respons. Tevens bestaat ruimte voor verbetering op diverse elementen binnen de kerndoelen preventie, detectie en respons. Hiervoor kunnen de door de gemeente ingerichte maatregelen op het gebied van integriteit een bijdrage leveren en worden aangevuld voor fraude-specifieke elementen. Op alle elementen van het FRM-model is de gemeente in ontwikkeling, waardoor de volwassenheid van het fraudebeleid op basis van het FRM-model van de gemeente komende periode verder toe zal nemen. Daarom is het wenselijk om jaarlijks de constateringen zoals in voorgaande paragrafen opgenomen te evalueren en aan te passen op basis van nieuwe inzichten.

15

3. Frauderisicoanalyse In dit hoofdstuk is een beknopte toelichting opgenomen van de achtergrond van de frauderisicoanalyse die wordt uitgevoerd. Frauderisicoanalyse is één van de preventieve elementen binnen het frauderisicomanagementmodel. De frauderisicoanalyse dient ter identificatie van bestaande frauderisico’s binnen de individuele diensten. Het onderkennen van een frauderisico betekent niet dat dit risico zich daadwerkelijk manifesteert in de praktijk. Een frauderisico kan zich voordoen, maar dit is geen gegeven. Dit is een belangrijk onderscheid tussen een frauderisico en een fraude-incident. Gehanteerde definitie van frauderisico’s In iedere organisatie zijn factoren aanwezig die druk, gelegenheid en/of rationalisatie voor het plegen van fraude kunnen veroorzaken. De aanwezigheid deze zogenoemde frauderisicofactoren4 kunnen leiden tot frauderisico’s. Het al dan niet identificeren van een frauderisico hangt af van organisatie-specifieke omstandigheden. Bij het identificeren van de frauderisico’s op basis van de geïdentificeerde frauderisicofactoren wordt in eerste instantie geen rekening gehouden met de opzet en werking van interne beheersingsmaatregelen. Wanneer interne beheersingsmaatregelen namelijk relevant zijn voor de mitigatie van het frauderisico, dient bijzondere aandacht te worden besteed aan de opzet en werking van dit deel van de interne beheersing.

De interne beheersing kan leiden tot het mitigeren van een frauderisico, echter dient men zich ervan bewust te zijn dat het frauderisico daarmee niet (geheel) verdwijnt. Gehanteerde definitie van fraude “een opzettelijke handeling door een of meer leden van het management, met governance belaste personen, werknemers of derden, waarbij gebruik wordt gemaakt van misleiding teneinde een onrechtmatig of onwettig voordeel te verkrijgen”5. Niet-uitsluitende categorieën van fraude In hoofdlijnen kan fraude in drie categorieën worden verdeeld, deze categorieën sluiten elkaar niet uit:

— oneigenlijke toe-eigening van activa: het stelen of misbruiken van middelen (bijv. geldmiddelen, voorraden of andere activa) van de gemeente;

— frauduleuze financiële verslaggeving: het manipuleren van bedragen of toelichtingen in de financiële overzichten om de gebruikers van de financiële overzichten te misleiden; en

— corruptie: dit heeft met name betrekking op omkoping en belangenverstrengeling,

waarbij de gemeente Den Haag (financieel) wordt benadeeld. Omkoping betreft het aannemen van een gift, belofte of dienst, wetende of redelijkerwijs vermoedende dat deze hem gedaan, verleend of aangeboden wordt teneinde hem te bewegen om, in zijn bediening iets te doen of na te laten.6 Een gift, belofte of dienst is niet noodzakelijk financieel van aard. Belangenverstrengeling is een situatie waarbij iemand meerdere belangen dient, waarbij de gemeente Den Haag worden benadeeld.

4 gebeurtenissen of omstandigheden die wijzen op een stimulans of druk om fraude te plegen of die een gelegenheid scheppen

om te frauderen (NBA controlestandaard 240.11) 5 NBA controlestandaard 240.11 6 Artikel 363 en 364 Wetboek van Strafrecht 16

De begin 2021 voor de gemeente door KPMG uitgevoerde frauderisicoanalyse ziet specifiek toe op de interne fraude, waarbij sprake is van betrokkenheid van ambtenaren binnen de gemeente.

3.1 Frauderisicoanalyse op dienstniveau De frauderisicoanalyse op dienstniveau binnen de gemeente wordt ontwikkeld en verfijnd over de loop van een langere periode om het gewenste volwassenheidsniveau van de frauderisicoanalyse te bereiken, het is een permanente cyclus die onder andere gevoed wordt door voortschrijdend inzicht. De diensten doorlopen deze cyclus individueel. De aard en omvang van frauderisico’s kan per dienst verschillen op basis van bijvoorbeeld geïdentificeerde processen en interne beheersing. De diensten bepalen welke frauderisico’s binnen desbetreffende diensten bestaan en wat hiervan de ingeschatte aard en omvang is. Hierdoor kan het voorkomen dat risico’s met overlap tussen de diensten anders worden gescoord zoals valt op te merken uit de tabellen zoals toegevoegd in de bijlage. Deze analyse op dienstniveau wordt getoetst in de dialoogtafels. De diensten bepalen daarnaast of frauderisico’s, en zo ja, welke frauderisico’s nadere aandacht behoeven door bijvoorbeeld het inrichten van aanvullende beheersingsmaatregelen. De diensten bepalen eveneens of bepaalde frauderisico’s geaccepteerd zijn, bijvoorbeeld op basis van aard en omvang. Op dit moment vinden gesprekken binnen en met de diensten plaats in het kader van het professionaliseren van de frauderisicoanalyse. Hierbij wordt de link gelegd naar risicomanagement in algemene zin.

Het doel is om frauderisicoanalyses structureel in te bedden in de gemeentelijke organisatie. In de loop der tijd wordt de frauderisicoanalyse onderdeel van de reguliere processen van de diensten zoals toegelicht in hoofdstuk 1. Het is wenselijk aan te sluiten bij bestaande initiatieven. Zo is frauderisicoanalyse onderdeel van de dialoogtafels gericht op processen die gevoerd gaan worden op dienstniveau. De dialoogtafels vinden tweemaal per jaar plaats en hebben betrekking op financiële risico’s, rechtmatigheidsrisico’s en frauderisico’s. Door een brede dialoog te houden komen de diensten tot een overkoepelend beeld van de dienst. De in 2021 uitgevoerde deep dives per dienst worden gebruikt als input voor de brede discussie in de dialoogtafels. Vanuit de directie Financiën en Inkoop (DBV) zal de dialoog met de diensten twee keer per jaar worden opgezocht om de ontwikkelingen op het gebied van de frauderisicoanalyse te bespreken en waar nodig en mogelijk de frauderisicoanalyse gezamenlijk verder te brengen. Hierbij wordt eveneens aangesloten bij de activiteiten die de gemeente uitvoert op het gebied van breder risicomanagement en integriteit. De directie Financiën en Inkoop (DBV) houdt het GMT op de hoogte van relevante ontwikkelingen op dit gebied tezamen met een advies van de concerncontroller.

Per dienst heeft de concerncontroller de dienstdirecties gesproken in januari en februari 2022. Hierna is in februari en maart 2022 per dienst een verdiepend gesprek gevoerd met (een afvaardiging van) de directie om te komen tot een meer gedragen frauderisicoanalyse op dienstniveau. Hieronder volgt een toelichting van de uitkomsten van deze gesprekken inclusief het gevolgde proces per dienst. Hierbij is opgemerkt dat het proces van frauderisicoanalyse niet statisch is, onderstaande toelichting is derhalve een momentopname. Het is de bedoeling dat frauderisicoanalyses in ontwikkeling blijven, bijvoorbeeld op basis van nieuwe inzichten of processen kunnen de onderkende risico’s veranderen.

17

3.2 Dienst Bedrijfsvoering De dienst Bedrijfsvoering (hierna: DBV) zet stappen ter verdere verfijning van zijn frauderisicoanalyse door onder andere procesaudits dan wel onderzoeken te laten uitvoeren op processen inzake vorderingen, inkopen/aanbestedingen en lonen/salarissen in 2022. De uitkomsten hiervan zullen mogelijk impact hebben op de onderkende en te onderkennen frauderisico’s en afwegingen rondom kans-maal-impact. DBV onderkent de in tabel 1 in bijlage A opgenomen frauderisico’s. Voor DBV is toegang tot fysieke en digitale (persoons)gegevens belangrijk.

3.3 Dienst Sociale Zaken en Werkgelegenheidsprojecten De dienst Sociale Zaken en Werkgelegenheidsprojecten (hierna: SZW) zet stappen ter verdere verfijning van de frauderisicoanalyse door onder andere de interne beheersing per frauderisico in kaart te brengen en de afwegingen rondom kans-maal-impact op basis daarvan verder af te stemmen. SZW is al ruim tien jaar bezig met risico’s op misbruik en oneigenlijk gebruik. Op het gebied van preventie screent SZW medewerkers en zijn de ITprocessen vaak voorzien van uitgebreide beheersmaatregelen. Op het gebied van detectie focust SZW op auditing van processen en zijn ontwikkelingen gaande om gerichte dataanalyse te versterken. Inzake respons heeft SZW maatregelen ingericht op incidenten, dit is niet specifiek gerelateerde aan interne fraude. SZW onderkent de in tabel 2 in bijlage A opgenomen frauderisico’s. Een belangrijke focuspunt is dat SZW uitkeringen verstrekt en zich daardoor met name richt op externe fraude inzake uitkeringen. Mede omdat burgers afhankelijk zijn van deze uitkeringen heeft SZW houdt procedures zijn procedures actueel en up-to-date. Waar mogelijk sluit SZW hierin aan op maatregelen vanuit concernniveau. Daarnaast zijn het Pandhuis en de kredietbank relevant.

3.4 Dienst Onderwijs, Cultuur en Welzijn De dienst Onderwijs, Cultuur en Welzijn (hierna: OCW) zet stappen ter verdere verfijning van de frauderisicoanalyse door onder andere de interne beheersing per frauderisico in kaart te brengen en de afwegingen rondom kans-maal-impact op basis daarvan verder af te stemmen. OCW onderkent de in tabel 3 in bijlage A opgenomen frauderisico’s. Een belangrijke focuspunt voor OCW is toegang tot persoonsgegevens.

3.5 Dienst Stedelijke Ontwikkeling De dienst Stedelijke Ontwikkeling (hierna: DSO) zet stappen ter verdere verfijning van de frauderisicoanalyse door onder andere de interne beheersing per initieel geïdentificeerd frauderisico in kaart te brengen en de afwegingen rondom kans-maal-impact op basis daarvan verder af te stemmen. DSO onderkent de in tabel 4 in bijlage A opgenomen frauderisico’s. Vastgoed is door DSO geïdentificeerd als een van de aandachtsgebieden.

18

3.6 Dienst Stadsbeheer De dienst Stadsbeheer (hierna: DSB) integreert de eerste verfijning van de frauderisicoanalyse in de dialoogtafel die wordt gehouden met management over risico’s inzake rechtmatigheid, fraude en overige risico’s, om het onderdeel te laten worden van de reguliere processen. De uitgevoerde deep dives worden tevens gebruikt in de dialoogtafeldiscussie. In 2022 betreft dit deep dives op integriteitsrisico’s bij de buitendienst vanwege aanspraken door derden, marktgelden, grafrechten en havengelden. Hiermee wordt de frauderisicoanalyse verder verfijnd.

3.7 Dienst Publiekszaken Dienst Publiekszaken (hierna: DPZ) zet stappen ter verdere verfijning van de frauderisicoanalyse door een specifieke aanpak per sector in te richten. Stadsdelen en Wijken gebruikt bijvoorbeeld een eerder uitgevoerde frauderisicoanalyse als leidraad. KCC heeft de afgelopen twee jaar investeringen gedaan in alle werkprocessen, hierbij is invulling gegeven aan het minimaliseren van de risico’s in deze processen door onder andere twee medewerkers die deze risico’s continu onder de aandacht brengen, samenwerking met Internal Audit en de Gemeentelijke Accountantsdienst en het uitvoeren van meerdere DPIA’s. Ontwikkelingen binnen DPZ kunnen de afwegingen rondom onderkende frauderisico’s en kans-maal-impact verder beïnvloeden. DPZ onderkent de in tabel 6 in bijlage A opgenomen frauderisico’s. DPZ staat dicht bij de burger, inherent aan deze positie is dat mogelijkheden bestaan tot het plegen van fraude.

3.8 Bestuursdienst De Bestuursdienst (hierna: BSD) integreert de eerste verfijning van de frauderisicoanalyse in de dialoogtafels die wordt gehouden met het netwerk binnen BSD. Over de invulling van deze dialoogtafels is eind maart 2022 gesproken binnen BSD. Met de inhoudelijke risicodialogen wordt de frauderisicoanalyse verder gebracht. Voor BSD zijn in verband met de reorganisatie die heeft plaatsgevonden een aantal initieel geïdentificeerde risico’s vervallen. BSD onderkent de in tabel 7 in bijlage A opgenomen frauderisico’s. BSD heeft meer een toezichtsrol ten aanzien van deze frauderisico’s.

19

4. Beslispunten GMT Het GMT heeft op 18 mei 2022 ingestemd met de volgende beslispunten.

4.1 Gebruik FRM-model Het GMT is gevraagd in te stemmen met het gebruik van het FRM-model om inzicht te creëren in het fraudebeleid van de gemeente. Zoals toegelicht in hoofdstuk 2 kan frauderisicomanagement gebruikt worden om de werkelijkheid te ordenen en zijn onderdelen van het fraudebeleid belegd bij verschillende organisatieonderdelen.

4.2 Aandachtspunten gemeente inzake FRM-model Het GMT is gevraagd de in hoofdstuk 2 toegelichte aandachtspunten te bevestigen als zijnde de aandachtspunten die relevant zijn voor de gemeente om zich verder op te ontwikkelen.

4.3 Frauderisicoanalyse als regulier proces van de diensten Het GMT is gevraagd in te stemmen met het onderdeel maken van de frauderisicoanalyse op dienstniveau in de reguliere processen van de diensten, zoals toegelicht in hoofdstuk 3. Diensten kunnen dit doen door de frauderisicoanalyse onderdeel te maken van de dialoogtafels waarvan ook andere risico’s, zoals financiële risico’s en rechtmatigheidsrisico’s onderdeel zijn.

4.4 Bevestiging initiële frauderisicoanalyse Het GMT is gevraagd de in hoofdstuk 3 toegelichte initiële frauderisicoanalyse op dienstniveau te bevestigen.

4.5 Twee keer per jaar wordt het GMT geïnformeerd over 1. de werking van het FRM-model; 2. de uitkomsten van de dialoogtafels met de diensten; en 3. de te nemen beheersbeslissingen ten aanzien van de risico’s.

20

Bijlage A – initiële frauderisicoanalyse per dienst Tabel 1: DBV Frauderisico's

Nr.Processtap 1 Vorderingen

2 Inkopen/aanbestedingen 3 Inkopen/aanbestedingen

4 Lonen en salarissen

5 Lonen en salarissen 6 Lonen en salarissen

7 Toegang tot kritische gegevens

8 Toegang tot kritische gegevens

Frauderisico Het risico dat openstaande crediteurenposities frauduleus (gedeeltelijk) worden afgeboekt (bv. bij erfpachtcanon of terugvorderingen). Het risico dat valse/te hoge facturen frauduleus worden ingediend, geaccordeerd en uitbetaald (bv. voor diensten, goederen of instrumenten). Het risico dat prestatieverklaringen frauduleus worden afgegeven voor diensten of goederen die niet (volledig) zijn ontvangen.

Het risico dat frauduleuze declaraties worden ingediend (bv. nietgemaakte kosten, privé-uitgaven of reeds gedeclareerde kosten worden gedeclareerd). Het risico dat frauduleus fictieve werknemers zijn opgenomen in de salarisadministratie. Het risico dat frauduleus (te hoge) salarissen, personele toeslagen en/of (bijzondere) beloningen in de salarisadministratie worden opgenomen/niet worden beeïndigd en worden uitbetaald. Het risico dat fysieke vertrouwelijke (persoons)gegevens frauduleus worden gebruikt of verstrekt (bv. bedrijfskritische gegevens, beleid, bouwkundige informatie over bv. ambassades, contractgegevens, gegevens over handhavingsacties of andere gegevens relevant voor derden). Het risico dat digitale vertrouwelijke (persoons)gegevens frauduleus worden gebruikt of verstrekt.

Dienst Bedrijfsvoering (DBV) Impact Kans (financieel) Mogelijk

Hoog

Mogelijk

Hoog

Onwaarschijnlijk

Laag

Mogelijk

Laag

Mogelijk

Medium

Mogelijk

Medium

Mogelijk

Hoog

Toelichting/door DBV getroffen maatregelen interne beheersing Kans van het risico is nader te onderzoeken/procesaudit is wenselijk. Beeld is in principe dat het vorderingenproces goed is georganiseerd, mogelijk kan samenspanning plaatsvinden.

Zitten prestatieverklaringen in ATB? Wameer kan zich dit voordoen? Na een incident binnen de gemeente is dit proces verder dichtgezet (mandaten, rapportage per half jaar). Check uitvoeren op de werking hiervan/of aanvullende maatregelen nog wenselijk zijn. Kans van het risico is nader te onderzoeken/procesaudit is wenselijk.

Kans van het risico is nader te onderzoeken/procesaudit is wenselijk. Kans van het risico is nader te onderzoeken/procesaudit is wenselijk.

Mogelijk

Hoog

DBV heeft identity & access management ingericht voor de toegang tot de gemeentelijke systemen. Hiervoor worden gebruikersrechte toegekend op basis van toestemming van leidinggevenden. Uitzonderingen op reguliere toegangsrechten voor functies moeten worden goedgekeurd door leidinggevenden alvorens deze worden toegekend. Er is een projectvoorstel Verbetering mandaatbeheer onderhanden ten behoeve van het doorontwikkelen van het instroom-doorstroomuitstroomproces rondom mandaten. Kans van het risico is nader te onderzoeken/procesaudit is wenselijk.

Tabel 2: SZW Frauderisico's

Nr. Processtap 1 Bezittingen van gemeente/eigendommen van derden in beheer gemeente

Frauderisico Het risico dat gemeentelijke middelen frauduleus worden onttrokken aan de gemeente (bv. ICT middelen etc.).

2

4

Bezittingen van gemeente/eigendommen van derden in beheer gemeente Bezittingen van gemeente/eigendommen van derden in beheer gemeente Vorderingen

5

Inkopen/aanbestedingen

6

Inkopen/aanbestedingen

3

7

8

9

Inkopen/aanbestedingen

Innemen posities/beleggingen/uitzetten gelden/garantiestellingen Liquide middelen

10 Liquide middelen 11 Lonen en salarissen 12 Subsidies 13 Toegang tot kritische gegevens

14 Toegang tot kritische gegevens 15 Uitkering verstrekking

Dienst Sociale Zaken en Werkgelegenheidsprojecten (SZW) Toelichting/door SZW getroffen maatregelen interne beheersing Kans Impact (financieel) Waarschijnlijk

Laag

Het risico dat middelen van derden in beheer bij de gemeente frauduleus worden ontrokken (bv. sieraden en cash uit het Pandhuis en kredietbank).

Onwaarschijnlijk

Laag

Het risico dat geldmiddelen onder bewindvoering frauduleus worden ontrokken aan derden.

Onwaarschijnlijk

Laag

Onwaarschijnlijk

Laag

Waarschijnlijk

Medium

Waarschijnlijk

Laag

Waarschijnlijk

Hoog

Onwaarschijnlijk

Laag

Heeft met name betrekking op beleggingen Pandhuis en kredietbank. Betaalstromen zijn hierbij relevant.

Onwaarschijnlijk

Laag

Heeft met name betrekking op kredietbank. Naar aanleiding van deep dive zijn aanvullende maatregelen getroffen. Hierbij kan gedacht worden aan de dak- en thuislozenopvang en verpanding.

Het risico dat openstaande crediteurenposities frauduleus (gedeeltelijk) worden afgeboekt (bv. bij erfpachtcanon of terugvorderingen). Het risico dat valse/te hoge facturen frauduleus worden ingediend, geaccordeerd en uitbetaald (bv. voor diensten, goederen of instrumenten). Het risico dat prestatieverklaringen frauduleus worden afgegeven voor diensten of goederen die niet (volledig) zijn ontvangen. Het risico dat inkoop- en aanbestedingsprocedures en opdrachtverstrekking frauduleus worden beïnvloed (bv. opdrachtgunning aan bekenden, tegen te hoge prijzen, meerwerk en/of buiten de procedures om). Het risico dat kredieten of hypotheken frauduleus worden verstrekt.

Het risico dat gelden frauduleus aan de kas worden onttrokken. Het risico dat frauduleus betalingen worden klaargezet ten behoeve van uitbetaling (bv. uitkeringen). Het risico dat frauduleuze declaraties worden ingediend (bv. niet-gemaakte kosten, privé-uitgaven of reeds gedeclareerde kosten worden gedeclareerd). Het risico dat frauduleus (te hoge) subsidies worden verstrekt. Het risico dat vertrouwelijke gegevens frauduleus worden gebruikt of verstrekt (bv. bedrijfskritische gegevens, beleid, gegevens over handhavingsacties of andere gegevens relevant voor derden). Het risico dat (vertrouwelijke) persoonsgegevens frauduleus worden gebruikt of verstrekt. Het risico dat frauduleus (te hoge) uitkeringen, (bijzondere) bijstand en/of voorzieningen worden toegekend.

Mogelijk

Laag

Waarschijnlijk