RIS316576 Bijlage A Rapport actualisatie frauderisicomanagement

Rapportage over de actualisatie van frauderisicomanagement en frauderisicoanalyse

Datum

Status

25-4-2023

Definitief

Actualisatie van frauderisicomanagement en frauderisicoanalyse

Inhoudsopgave 1

Managementsamenvatting ............................................................................................................................ 3

2

Inleiding .......................................................................................................................................................... 4

3

4

5

2.1

Doel van de rapportage ............................................................................................................................ 4

2.2

Het doorlopen van het proces .................................................................................................................. 4

Actualisatie frauderisicomanagement model (FRM-model) .......................................................................... 5 3.1

Preventie................................................................................................................................................... 7

3.2

Detectie .................................................................................................................................................... 8

3.3

Respons..................................................................................................................................................... 8

Actualisatie frauderisicoanalyse (FRA) ........................................................................................................... 9 4.1

Dienst Bedrijfsvoering............................................................................................................................. 10

4.2

Dienst Sociale Zaken en Werkgelegenheidsprojecten ............................................................................ 11

4.3

Dienst Onderwijs, Cultuur en Welzijn ..................................................................................................... 11

4.4

Dienst Stedelijke Ontwikkeling ............................................................................................................... 12

4.5

Dienst Stadsbeheer ................................................................................................................................. 12

4.6

Dienst Publiekszaken .............................................................................................................................. 13

4.7

Bestuursdienst ........................................................................................................................................ 13

Het vervolg proces ........................................................................................................................................ 14

Bijlage A: Legenda kans & impact ......................................................................................................................... 15 Bijlage B: Frauderisico register per dienst ............................................................................................................ 16

2/16

Actualisatie van frauderisicomanagement en frauderisicoanalyse

1 Managementsamenvatting

De gemeente Den Haag wil een betrouwbare en integere organisatie zijn en vindt het voorkomen en aanpakken van fraude belangrijk. Daarom is er actualisatie van het fraude risicomanagement model en de frauderisicoanalyse gedaan, waarover in deze rapportage een toelichting is opgenomen. Het betreft een kwalitatief onderzoek waarin de nadruk ligt op interpretatie en analyse van gedachten, kennis en ervaringen van verschillende experts. Deze data zijn verzameld door middel van gesprekken en intern literatuuronderzoek. De actualisatie heeft geresulteerd in meer bewustwording over fraude door hier expliciet aandacht aan te besteden. Dit zal een terugkerende exercitie zijn die structurele zal inbedding binnen de diensten. De actualisatie heeft het team risicomanagement DBV uitgevoerd in nauwe samenwerking met een forensisch expert van KPMG. Hiervoor zijn eind 2022 en begin 2023 fraude risicotafels uitgevoerd, door het gesprek te voeren met directies, experts en vertegenwoordigers uit de diensten. Daarnaast zijn er interviews gehouden met managers en experts van concernafdelingen waaronder bureau integriteit, internal audit en HR die een verantwoordelijkheid hebben t.a.v. dienst overstijgend frauderisicomanagement. Het frauderisicomanagement model (hierna FRM model) Het fraudebeleid van de gemeente is vormgegeven en inzichtelijk gemaakt met behulp van het FRM-model.

Deze geeft op gestructureerde wijze inzicht in de mate van volwassenheid van het bestaande fraudebeleid. Het FRM-model bestaat uit twaalf elementen onderverdeeld in de categorieën preventief, defectief en responsief. De mate waarin beheersmaatregelen binnen deze elementen daadwerkelijk aanwezig zijn, bepaald de volwassenheid van het fraudebeleid. De elementen zijn gescoord met een -, 0 of +. In hoofdstuk 3 lichten wij het FRM-model toe inclusief een update van de waardering van de onderliggende elementen. Op het gebied van fraudepreventie, detectie en respons is ontwikkeling te zien en zijn er aanvullende maatregelen getroffen. Dit heeft geleid tot een verbetering van de waardering van een tweetal elementen. Momenteel zijn zeven van de twaalf elementen beoordeeld met een (+) en vier elementen met een (0). Slechts één element is als onvoldoende beoordeeld (-). Dit betreft het element proactieve forensische data-analyse, wat ingezet kan worden om fraude te detecteren. Het gaat hier om een voor de gemeente relatief nieuwe activiteit waarvan de ontwikkeling nog in de beginfase zit. De gemeente heeft de ambitie om voor alle elementen toe te werken naar de hoogste waardering. Verdere verbetering heeft simpel weg meer tijd nodig.

De fraude risicoanalyse (hierna FRA) De FRA is één van de preventieve elementen binnen het frauderisico managementmodel voor identificatie van frauderisico’s binnen de diensten. Door fraude risicotafels zijn bij de diensten actuele frauderisico’s geïdentificeerd. Daarnaast zijn bij deze frauderisico’s beheersmaatregelen benoemd. Het algemene beeld uit de FRA is dat er een flink aantal beheersmaatregelen in werking is om frauderisico’s te voorkomen. N.a.v. deze fraude risicotafels worden er geen specifieke aanbevelingen gedaan door de forensisch expert van KPMG. Deze heeft geconstateerd dat de mate van beheersing van de geïdentificeerde risico’s voldoende is. Wel wordt aangestipt dat het van belang is om binnen alle diensten in gesprek te blijven over het onderwerp fraude en er een veilig klimaat wordt gecreëerd om de juiste dialoog te kunnen voeren. In hoofdstuk 4 wordt per dienst een toelichting gegeven over de gevoerde frauderisicotafel en de actualisatie van de FRA. In bijlage B zijn de geactualiseerde registers per dienst opgenomen waaruit de geïdentificeerde frauderisico’s blijken en daarvoor ingerichte maatregelen. Deze registers zijn per dienst gevalideerd bij de directies. Ook zijn in bijlage B de fraude risicoregisters per dienst opgenomen naar aanleiding van de voorgaande FRA. Hierin wordt per risico aangegeven welke opvolging hieraan is gegeven.

3/16

Actualisatie van frauderisicomanagement en frauderisicoanalyse

Vervolg proces Het is aan te raden om de waardering van het FRM-model en actualisatie van de FRA te integreren in het gemeente brede risicomanagement. De verantwoording hierover loopt dan mee met de jaarlijkse rapportage over risicomanagement gemeente breed. In hoofdstuk 5 wordt dit vervolg proces toegelicht.

2 Inleiding

Dit hoofdstuk beschrijft de doelstelling van het rapport. Daarnaast wordt kort ingegaan op de wijze waarop de actualisatie van het frauderisicomanagement tot stand is gekomen.

2.1 Doel van de rapportage In deze rapportage wordt een toelichting gegeven over de inspanningen van frauderisicomanagement (FRM) die de gemeente heeft verricht. Daarnaast geeft deze rapportage inzicht in de actualisatie van de FRA die per dienst is uitgevoerd. Het betreft een kwalitatief onderzoek waarin de nadruk ligt op interpretatie en analyse van gedachten, kennis en ervaringen van verschillende experts. Deze data zijn verzameld door middel van gesprekken en intern literatuuronderzoek. Om te voorkomen dat het enkel een zelfevaluatie betreft is er door een externe forensische expert van KPMG meegekeken en zijn de uitkomsten gevalideerd. Met deze actualisatie wordt opvolging gegeven aan het GMT besluit van 18 mei 2022, dat diensten cyclisch een frauderisico analyse uitvoeren. Ook wordt invulling gegeven aan het verzoek van de Rekeningencommissie om geïnformeerd te worden over de opvolging van het frauderisicomanagement. Dit rapport volgt de FRM en de FRA 2022 op. De concerncontroller heeft de FRM en de FRA 2022 besproken in het GMT op 18 mei 2022 en in de RC op 7 juni 2022 (RIS 312416). In deze rapportage is een zeer uitgebreide toelichting over FRM en FRA theorie opgenomen, welke wij in de huidige rapportage achterwege laten.

2.2 Het doorlopen van het proces De voorgaande FRM en de FRA is in 2022 door de concerncontroller met ondersteuning van KPMG uitgevoerd en met de dienst directies besproken. Toen is op basis van documentanalyse, risicotafels en interviews de elementen van het FRM model gewaardeerd en zijn de frauderisico’s per dienst in kaart gebracht. In 2022 hebben de diensten opvolging gegeven aan de beheersing van de geïdentificeerde frauderisico’s. En hebben de concernafdelingen waaronder bureau integriteit, internal audit en HR die ook verantwoordelijkheid dragen voor dienst overstijgend frauderisicomanagement, inspanningen geleverd voor verbeteringen van de generieke elementen van het FRM-model. Eind 2022 tot en met maart 2023 zijn met alle diensten aparte fraude risicotafels uitgevoerd. Daarnaast zijn er interviews gehouden met managers en experts van concernafdelingen. De fraude risicotafels en interviews zijn onder begeleiding van een forensisch expert van KPMG en vertegenwoordigers van team risicomanagement van DBV uitgevoerd. De fraude risicotafels en interviews hebben geleid tot herwaardering van de elementen van het FRM-model, zoals wordt toegelicht in hoofdstuk 3. Daarnaast heeft het geleid tot de actualisatie van de

4/16

Actualisatie van frauderisicomanagement en frauderisicoanalyse

FRA waarmee invulling is gegeven aan het besluit van het GMT om de FRA onderdeel te laten worden van de processen in de diensten. Hierover wordt in hoofdstuk 4 een toelichting gegeven. Het proces van de frauderisicoanalyse is onderverdeeld in drie fases die tijdens de risicotafel zijn doorlopen: 1. 2. 3.

In de 1e fase is bepaald welke frauderisicofactoren aanwezig zijn die van invloed kunnen zijn op het ontstaan van fraude. In de 2e fase is geëvalueerd tot welke frauderisico’s de geïdentificeerde frauderisicofactoren leiden. In de 3e fase is een inschatting gemaakt van de kans en impact van de geïdentificeerde frauderisico’s.

Na het voeren van de risicotafels is mondelinge en schriftelijke afstemming geweest met de diensten om waar nodig verdieping te verkrijgen. Dit zat hem voornamelijk het in kaart brengen van de mate van beheersing. De diensten hebben zelf bepaald welke frauderisico’s binnen de eigen dienst bestaan en wat de bijbehorende mate van kans en impact is. Dit is gedaan onder begeleiding van experts van het team risicomanagement en de forensische expert van KPMG.

3 Actualisatie frauderisicomanagement model (FRM-model)

In dit hoofdstuk is de actualisatie van het FRM model opgenomen. Het GMT heeft ingestemd dit model te gebruiken om inzicht te creëren in het fraudebeleid van de gemeente en de mate van volwassenheid t.a.v. frauderisicobeheersing. Dit hoofdstuk beschrijft de herwaardering van FRM model en hoe daartoe gekomen is. In onderstaande figuur 1 wordt een visuele weergave gegeven van het FRM model. Het beleid is onderverdeeld in twaalf elementen die weer onderverdeeld zijn in de categorieën preventie, detectie en respons.

5/16

Actualisatie van frauderisicomanagement en frauderisicoanalyse

Tijdens de actualisatie zijn alle elementen opnieuw gewaardeerd. De waardering van de elementen heeft plaatsgevonden op basis van de input verkregen uit de fraude risicotafels, interviews, documentanalyse en beoordeling adviseurs risicomanagement. De indeling van de waardering is identiek aan de voorgaande fraude risicorapportage en bestaat uit de volgende symbolen: • (+) voor elementen waarbinnen (zeer) beperkte tot geen ruimte voor verbetering mogelijk is. • (o) voor elementen waarbinnen beperkte tot gemiddelde ruimte voor verbetering mogelijk is. • (-) voor elementen waarbinnen gemiddelde tot grote ruimte voor verbetering mogelijk is. Algemene bevindingen en ontwikkelingen Bij twee van de twaalf elementen is er een positieve beweging te zien in de waardering t.o.v. de vorige analyse. Het preventieve element “Communicatie & training” en het responsieve element “Herstel & verbeterprotocol” hebben zich beiden door ontwikkeld van een (0) naar een (+) waardering. Bij de overige elementen is de waardering ongewijzigd gebleven. Momenteel zijn zeven (vorige analyse vijf) van de twaalf elementen beoordeeld met een (+) en vier (vorige analyse zes) elementen met een (0). Net als bij de vorige analyse is slechts één element als onvoldoende beoordeeld en heeft een (-) score gekregen.

Dit betreft het element proactieve forensische data analyse wat ingezet kan worden om fraude te detecteren. Het gaat hier om een voor de gemeente relatief nieuwe activiteit waarvan de ontwikkeling nog in de begin fase zit. In de paragrafen hierna wordt per element een toelichting gegeven van de uitgevoerde activiteiten in de afgelopen periode. Ook wordt daar waar van toepassing aangegeven welke activiteiten er nodig zijn om verbetering te realiseren.

6/16

Actualisatie van frauderisicomanagement en frauderisicoanalyse

3.1 Preventie -

-

-

-

-

Frauderisicoanalyse(s) (0) Er is een positieve ontwikkeling doordat de frauderisicoanalyse is uitgevoerd door fraude risicotafels bij elke dienst. Dit heeft geleid tot aanscherping van bestaande en actuele fraude risico’s en maatregelen per dienst. Tevens heeft het geresulteerd in meer bewustwording over fraude door hier expliciet aandacht aan te besteden. Structurele inbedding van periodieke frauderisicoanalyses in de diensten heeft echter meer tijd nodig. Verbetering is tevens te behalen op het gebied van integratie met procesmanagement. Door allereest (kritische) processen van de diensten inzichtelijk te maken kan als vervolgstap op een gestructureerde manier gestart worden met frauderisico beoordeling op procesniveau. We zitten momenteel in transitie. Wanneer de fraude risicoanalyse structureel is ingebed en wordt geïntegreerd in de processen binnen de diensten zal de huidige constatering verder bewegen naar (+). Gedragscode & gerelateerde regelingen (+) De gemeente beschikt over een actueel Haags Personeelsreglement waarin regelingen zijn opgenomen omtrent (on)gewenst gedrag. Daarnaast is er de gedragscode, die door de integriteitsorganisatie up-todate wordt gehouden. In de vorige rapportage is geadviseerd om fraude prominenter te benoemen in de gedragscode. De integriteitsorganisatie geeft aan dat juist een positieve aanpak beter werkt.

Daarom wordt op fraude niet specifiek de nadruk gelegd in de code. Wel krijgt fraude een meer prominente rol in het screeningsbeleid. Net als bij de vorige waardering scoort de gemeente op dit element een (+), en is daarmee op gewenst niveau. Screening medewerkers en derden (0) Het screeningsbeleid voor medewerkers ziet toe op het opvragen van een VOG, referenties en diploma’s voor bijna elke functie binnen de gemeente. De gemeente heeft de doorontwikkeling van dit beleid op dit moment onderhanden in samenwerking met externe expertise (Berenschot). Het doel is om te komen tot instrumentarium voor risico inschatting op functies van laag/midden/hoog en daarop passende screening te bepalen. Er is een pilot afgerond bij SZW voor het screenen van organisaties en zzp’ers waar SZW samenwerkingsverbanden mee heeft. Ook is screening van derden onderdeel van de aanbestedingen. Wanneer het screeningsbeleid is door ontwikkelt en wordt toegepast beweegt de constatering naar (+). Communicatie & training (+) Er wordt concern breed gecommuniceerd over en trainingen aangeboden op het gebied van gedrag en normen en waarden. Hierbij wordt rekening gehouden met de behoeften van elke dienst. Op verzoek worden maatwerk trajecten uitgevoerd. Trainingsaanbod wordt ook beter toegespitst op diverse functies, bijvoorbeeld straatvegers versus beleidsmedewerkers.

De diensten gaan verschillend om met hun rol in bewustwording, afhankelijk van de specifieke taken binnen de dienst en de nabijheid van medewerkers bij burgers. Deze vorm van maatwerk is wenselijk en wordt geaccepteerd. Tijdens de laatste frauderisico tafels is ook stilgestaan bij de theorie en actuele casuïstiek van fraude. Ook dit leereffect zal in risicotafels herhaald worden. Dit zorgt voor structurele inbedding van een gespreksdynamiek omtrent fraude in de algemene zin op verschillende niveaus binnen de organisatie. Dit element heeft zich door ontwikkeld van een (0) naar een (+) waardering. Proces-specifieke frauderisico controls (0) In de managementletter 2020 van de GAD is aangegeven dat er voldoende preventieve maatregelen zijn voor de beheersing van frauderisico’s. Proces specifieke maatregelen zijn getroffen op dienstniveau. Het ontbreekt nog aan een centraal overzicht van alle bedrijfsprocessen wat nodig is om gestructureerd frauderisico’s per proces in beeld te brengen. Wanneer fraude risico’s in kaart zijn gebracht kan worden vastgesteld of er voldoende controls/beheersmaatregel zijn ingericht waardoor risico’s op gewenst niveau worden beheerst. Wanneer alle controls/beheersmaatregel inzichtelijk zijn gemaakt en vastgesteld kan

7/16

Actualisatie van frauderisicomanagement en frauderisicoanalyse

worden of deze de bescherming bieden die de gemeente wenselijk acht zal de constatering verder bewegen naar (+).

3.2 Detectie -

-

-

Meldstructuur en klokkenluidersregeling (+) De gemeente beschikt over een meldingsregeling opgenomen in het actuele Haags Personeel regelement. Hier is na de laatste waardering geen verandering in geweest. De gemeente heeft een jaarlijks overzicht van alle integriteitsmeldingen waaronder meldingen met een fraudecomponent. Net als bij de vorige waardering scoort de gemeente op dit element een (+), en is daarmee op gewenst niveau. Auditing & monitoring (0) Bij Internal Audit (IA) kan een verzoek worden gedaan om fraudeonderzoeken uit te voeren. Ook kijkt IA naar risico’s op fraude tijdens reguliere onderzoeken. De gemeente beschikt nog niet over een gecentraliseerde en gestructureerde aanpak ten aanzien van auditing of monitoring inzake fraudedetectie. Wel is IA bezig met het ontwikkelen van een dashboard die afwijkende patronen inzichtelijk maken die kunnen wijzen op fraude. Wanneer er een gecentraliseerde en gestructureerde aanpak op het gebied van auditing en monitoring inzake fraudedetectie aanwezig is zal de constatering verder bewegen naar (+). Proactieve forensische (data-)analyse (-) Recentelijk is door IA een dashboard ontwikkeld voor de Dienst Publiekzaken. Dit dashboard geeft inzicht in afwijkende patronen die kunnen wijzen op fraude met kasgeld. Dit is gedaan naar aanleiding van een incident met kasgeld binnen deze dienst.

Het dashboard is overgedragen aan de controllers van de dienst om hier actief op te sturen. Dit is een voorbeeld voor het inzetten van data-analyse om fraude vroegtijdig te detecteren. Zowel de ondersteunende afdelingen als de diensten dienen meer gebruik te maken van data analyse om fraude te detecteren. Een startpunt hiervoor is door per geïdentificeerde fraude risico te kijken met welke data mogelijk de betreffende fraude gesignaleerd kan worden. Er zijn initiatieven gestart om meer data gedreven analyse te ontwikkelen. Wanneer verder invulling wordt gegeven aan proactieve forensische data-analyse zal de constatering verder bewegen naar (o).

3.3 Respons -

-

-

-

Intern onderzoeksprotocol, zowel voor interne als externe fraude (+) In het Haags Personeelsreglement is een onderzoeksprotocol opgenomen voor interne en externe meldingen. Dit is nog steeds actueel. Net als bij de vorige waardering scoort de gemeente op dit element een (+), en is daarmee op gewenst niveau. Handhavings- & sanctioneringsprotocol (+) In het hiervoor toegelichte onderzoeksprotocol is voldoende aandacht besteed aan handhaving en sanctionering. Besluitvorming over sanctionering bij impactvolle zaken worden voorgelegd aan de Stuurgroep Integriteit. Net als bij de vorige waardering scoort de gemeente op dit element een (+), en is daarmee op gewenst niveau. Communicatieprotocol (+) De gemeente heeft een geformaliseerd communicatieprotocol op verschillende niveaus. Deze is nog steeds actueel. Ook is er een Leidraad geheimhouding Den Haag 2021. De gemeente heeft een communicatieprotocol dat van toepassing is op alle schendingen van regels binnen de gemeente. Net als bij de vorige waardering scoort de gemeente op dit element een (+), en is daarmee op gewenst niveau. Herstel- & verbeterprotocol (+)

8/16

Actualisatie van frauderisicomanagement en frauderisicoanalyse

In het hiervoor toegelichte onderzoeksprotocol is voldoende aandacht besteed aan herstel en verbetering. De gemeente neemt op gestructureerde wijze beslissingen inzake herstel en verbetering na incidenten. Dit element heeft zich door ontwikkeld van een (0) naar een (+) waardering.

4 Actualisatie frauderisicoanalyse (FRA)

In dit hoofdstuk wordt een toelichting gegeven van de actualisatie van de FRA. De algemene bevindingen en ontwikkelingen worden toegelicht en er wordt een gemeente breed beeld geschetst van de uitkomsten. Vervolgens wordt per dienst recente ontwikkelingen, aanpassingen en verbeteringen toegelicht. De frauderisicoanalyses is met behulp van risicotafels verder aan gescherpt en geconcretiseerd. Een van de uitdagingen hierbij is doorgaans om voldoende zicht te krijgen op de frauderisico’s die zich in de praktijk kunnen voordoen, en weg te blijven van een theoretische exercitie. Om het gedachte proces te ondersteunen is tijdens de sessie actuele casuïstiek uit gemeenteland omtrent fraude besproken. Hiermee zijn de deelnemers meer bewust gemaakt over mogelijk fraude risico’s binnen de eigen dienst. Ook zijn bevindingen en opvolging uit uitgevoerde deep dive onderzoeken tijdens de fraudesessies besproken. De risicotafels zijn gericht geweest op interne fraude. Dit houdt in dat het om fraudeleus handelen van werknemers van de gemeente Den Haag gaat. Hierbij is rekening gehouden met zowel externe (bijv. externe prikkels en druk) als interne invloeden (bijv. interne druk, gelegenheid i.h.k.v. interne beheersing) die interne fraude in de hand werken.

Algemene bevindingen en ontwikkelingen In bijlage B zijn de fraude risicoregisters per dienst opgenomen van zowel de voorgaande als de huidige FRA. Beide registers bevatten een gedetailleerd overzicht van de geïdentificeerde risico’s op moment van uitvoering van de FRA en wordt per risico de kans en impact score vermeld. In het register van de voorgaande FRA wordt per risico een toelichting gegeven over de opvolging. Aantal geïdentificeerde frauderisico’s Tijdens de laatst uitgevoerde FRA zijn er in totaal 58 frauderisico’s geïdentificeerd. Dit is een daling van 24 t.o.v. de 82 geïdentificeerde risico’s tijdens de vorige analyse. De mutatie wordt veroorzaak door: o

o

o o

Tijdens de voorgaande FRA waren er 32 bedrijfsvoerings risico’s benoemd die thuishoorden in het register van DBV. Dit omdat bij DBV de verantwoordelijkheid is belegd voor de beheersing van deze risico’s. Voorbeelden zijn risico’s m.b.t. inkoop, loon- en salarisadministratie en beheer van ITmiddelen. Deze risico’s zijn nu gecomprimeerd en verplaats naar het risicoregister van DBV. In het register van enkele diensten zijn in totaal 7 risico’s samengevoegd met een ander risico. De aard en beheersing van het risico was dusdanig gelijk dat van twee risico’s één is gemaakt. Denk hierbij aan het risico van het frauduleus gebruik maken van gegevens. In sommige gevallen was er specifiek voor persoonsgegevens een apart risico opgenomen. 2 risico’s zijn komen te vervallen doordat het risico volledig gemitigeerd is of omdat er bij de eerste ronde een onjuiste beoordeling is gedaan. Er zijn 17 nieuwe risico’s geïdentificeerd.

9/16

Actualisatie van frauderisicomanagement en frauderisicoanalyse

Risico’s verdeeld naar risicogrootte (kans x impact) Per geïdentificeerd risico is een kans en impact inschatting gedaan van het risico dat overblijft na de inzet van de bestaande beheersmaatregelen. Zie in bijlage A de legenda waaruit is op te maken langs welke lat deze inschatting is gedaan. Zowel kans als impact zijn bij de huidige FRA positiever ingeschat ten opzichte van de voorgaande FRA. Dit komt doordat er nieuwe beheersmaatregelen zijn ingericht en omdat er beter inzicht is in bestaande beheersmaatregelen. Kans Tijdens de laatst uitgevoerde FRA is het aantal risico’s met een kans “onwaarschijnlijk” gestegen van 38 naar 45 risico’s. Bij 12 risico’s (vorige analyse 34) is de kans op voordoen geschat op “mogelijk” en slecht 1 risico heeft een kans inschatting van “waarschijnlijk” ten opzichte van 10 bij de vorige analyse. Impact Het aantal risico’s dat tijdens de laatste analyse gescoord is met impact “laag” bedraagt 38 ten opzichte van 40 tijdens de vorige analyse. In geval van 15 risico’s (vorige analyse 20) is de impact score “medium” en 5 (vorige analyse 22) risico’s zijn gescoord met een impact “hoog”. In de paragrafen hierna volgt een toelichting per dienst over de uitgevoerde FRA. Er is opgemerkt dat het proces van frauderisicoanalyse niet statisch is, onderstaande toelichting is daarom een momentopname.

Het is de bedoeling dat frauderisicoanalyses in ontwikkeling blijven, bijvoorbeeld op basis van nieuwe inzichten of processen kunnen de onderkende risico’s veranderen.

4.1 Dienst Bedrijfsvoering De risicotafel met de dienst bedrijfsvoering (hierna: DBV) heeft plaatsgevonden op 21 december 2022 tijdens een directieteam overleg. Tijdens de risicotafel zijn dienst specifieke fraudescenario’s in het domein van DBV besproken, waaronder: o Financiële administratie; inkopen en aanbesteden; toegang tot kritische gegevens; beheer van ICT-middelen; ambtelijke corruptie en cultuur. Tijdens de laatst uitgevoerde FRA zijn er 15 risico’s geïdentificeerd. Dit is een stijging van 7 ten opzichte van de voorgaande analyse. Er is 1 risico vervallen en 1 risico is samengevoegd met een ander risico in het register. Er zijn 9 nieuwe risico’s geïdentificeerd. In bijlage B is zowel het oude als het nieuwe register van de dienst opgenomen. In het oude register wordt per risico aangegeven wat de mutatie is ten aanzien van het nieuwe register. Tijdens de frauderisico sessie is er nadrukkelijk stilgestaan bij het bespreekbaar maken van fraude binnen de dienst en het structureel vormgeven van fraudebeheersing. Door de leiding van DBV is onderschreven dat frauderisicomanagement blijvend aandacht verdiend en zoekt continu naar passende manieren om dit te doen. De actualisatie van de FRA heeft geleid tot het identificeren van nieuwe risico’s op het gebied van inkoop en de bijstelling van de risicogrootte (kans x impact) van risico’s.

De dienst DBV is verantwoordelijk voor de beheersing van een groot aantal risico’s binnen processen die binnen alle diensten doorlopen worden, zoals op het gebied van loon- en salarisadministratie, inkoop en beheer van ICT-middelen. DBV is verantwoordelijk om de juiste beheersmaatregelen in te richten in deze processen om fraude gemeente breed te voorkomen. Tijdens de huidige actualisatie zijn bij alle risico’s beheersmaatregelen benoemd.

10/16

Actualisatie van frauderisicomanagement en frauderisicoanalyse

4.2 Dienst Sociale Zaken en Werkgelegenheidsprojecten De risicotafel met de dienst Sociale Zaken en Werkgelegenheidsprojecten (hierna: SZW) heeft plaatsgevonden op 12 januari 2023 met verschillende vertegenwoordigers van de dienst. Tijdens de risicotafel zijn dienst specifieke fraudescenario’s in het domein van SZW besproken, waaronder: o Opvang van vluchtelingen; Pandhuis en kredietbank; kasbeheer; voorzieningen; terugvorderingen; Tijdens de laatst uitgevoerde FRA zijn er 8 risico’s geïdentificeerd. Dit is een daling van 7 ten opzichte van de voorgaande analyse. Er is 1 risico samengevoegd met een ander risico in het register. In geval van 6 risico’s betrof het een risico waarvan de beheersing centraal is belegd. Deze risico’s zijn, samen met dezelfde risico’s die bij andere diensten werden benoemd gecomprimeerd en overgedragen aan DBV. Er zijn geen nieuwe risico’s geïdentificeerd. In bijlage B is zowel het oude als het nieuwe register van de dienst opgenomen. In het oude register wordt per risico aangegeven wat de mutatie is ten aanzien van het nieuwe register. SZW heeft naar aanleiding de eerder uitgevoerde FRA fraude meegenomen in zijn risicotafels binnen de dienst en heeft gedurende 2022 als onderdeel van algeheel kwaliteitsmanagement voortdurend aandacht voor dit onderwerp.

Significante wijzigingen in de processen of vastleggingen van de risicoanalyse bleek niet noodzakelijk. De dienst SZW heeft adequaat inzicht in de voor hen belangrijkste frauderisico’s en in allen gevalle zijn er beheersmaatregelen ingericht om fraude te voorkomen. De risico’s met de hoogste kans van voorkomen worden adequaat beheerst door de dienst SZW en bij deze risico’s wordt de financiële impact voor de gemeente ook als gering gezien. Van de risico’s met een mogelijk verhoogde impact wordt de kans van voorkomen als onwaarschijnlijk ingeschat. Er zijn geen nieuwe risico’s toegevoegd ten opzichte van de eerder uitgevoerde risicoanalyse. Wel is in de discussie nadrukkelijk stilgestaan bij de kwetsbaarheid van ambtenaren voor fraude met betrekking tot de inflatie en energiecrisis. Relevante beheersmaatregelen om het risico te beheersen dat ambtenaren kwetsbaar zijn, zijn opgenomen in het risico register.

4.3 Dienst Onderwijs, Cultuur en Welzijn De risicotafel met de dienst Onderwijs, Cultuur en Welzijn (hierna: OCW) heeft plaatsgevonden op 25 januari 2023 met vertegenwoordigers van diverse afdelingen. Tijdens de risicotafel zijn dienst specifieke fraudescenario’s in het domein van OCW besproken, waaronder: o Frauderisico’s in subsidieverstrekking; Risico’s in werken met zorgaanbieders en met Pgb’s; Aanwezigheid van kasgelden/ kasgelden beheer (bijvoorbeeld bij sportclubs); Fraudescenario’s bij de GGD Tijdens de laatst uitgevoerde FRA zijn er 8 risico’s geïdentificeerd. Dit is een daling van 6 ten opzichte van de voorgaande analyse. Er is 1 risico samengevoegd met een ander risico in het register. In geval van 5 risico’s betrof het een risico waarvan de beheersing centraal is belegd. Deze risico’s zijn, samen met dezelfde risico’s die bij andere diensten werden benoemd gecomprimeerd en overgedragen aan DBV. Er zijn geen nieuwe risico’s geïdentificeerd. In bijlage B is zowel het oude als het nieuwe register van de dienst opgenomen. In het oude register wordt per risico aangegeven wat de mutatie is ten aanzien van het nieuwe register. Ten opzichte van de eerdere uitgevoerde FRA zijn er geen significante wijzigingen in de processen uitgevoerd. Binnen OCW is fraude onderdeel van de inspanning rondom breder risicomanagement.

De risico’s met de hoogste kans van voorkomen worden adequaat beheerst door de dienst OCW en bij deze risico’s wordt de financiële impact voor de gemeente ook als gering gezien. Waar nodig wordt de dienst ondersteunt door externe partijen om risico’s te beheersen, bijvoorbeeld in geval van accountantsverklaringen bij subsidieverstrekking. In de fraude risicotafel is nadrukkelijk stilgestaan bij de vatbaarheid voor corruptiebetalingen binnen de dienst. Er wordt voortdurend aandacht aan besteed binnen de dienst om dit risico bespreekbaar te houden en wordt

11/16

Actualisatie van frauderisicomanagement en frauderisicoanalyse

adequaat beheerst. De weging van enkele risico’s (kans x impact) is aangepast naar aanleiding van voortschrijdend inzicht en het inzichtelijk maken van relevante beheersmaatregelen. Met name bij risico’s rondom vergunningen en voorziening verstrekking is de kans bepaling lager ingeschat. Tijdens de huidige actualisatie zijn bij alle risico’s beheersmaatregelen benoemd.

4.4 Dienst Stedelijke Ontwikkeling De risicotafel met de dienst stedelijke ontwikkeling (hierna DSO) heeft plaatsgevonden op 13 december 2022 met vertegenwoordigers van diverse afdelingen binnen DSO. Tijdens de risicotafel zijn dienst specifieke fraudescenario’s in het domein van DSO, waaronder: o Inning erfpachtcanon; contractbeheer van erfpachtcontracten; aankoop en (her)uitgiften van grond; overeenkomsten met en inhuur van derden; verlenen vergunningen; handel in relevante informatie (bijvoorbeeld planologie); pandbrigade; bouwtoezicht; projectontwikkeling; subsidies en bijdragen; conflicterende belangen en fraudes inzake vastgoed zoals eerder erkend. Tijdens de laatst uitgevoerde FRA zijn er 13 risico’s geïdentificeerd. Dit is een daling van 6 ten opzichte van de voorgaande analyse. Er is 1 risico vervalen en 3 risico’s zijn samengevoegd met een ander risico in het register. In geval van 4 risico’s betrof het een risico waarvan de beheersing centraal is belegd. Deze risico’s zijn, samen met dezelfde risico’s die bij andere diensten werden benoemd gecomprimeerd en overgedragen aan DBV. Er zijn 2 nieuwe risico’s geïdentificeerd. In bijlage B is zowel het oude als het nieuwe register van de dienst opgenomen. In het oude register wordt per risico aangegeven wat de mutatie is ten aanzien van het nieuwe register.

Door voortschrijdend inzicht in de risico’s en de bijbehorende beheersmaatregelen blijkt dat DSO beter in staat is om de risico’s in te schatten. Dit heeft geleid tot bijstelling van de risicogrootte (kans x impact). Met name de risico’s met betrekking tot vastgoed hebben tot een verlaging geleid. Hieruit blijkt dat DSO aandacht heeft besteed aan het beheersen van de frauderisico’s. Er vinden regulier integriteitsgesprekken en workshops plaats binnen alle onderdelen van de dienst en fraude is daar een vast onderdeel van. Verder blijkt dat DSO in het geval van waardebepaling van vastgoed, gebruik maakt van externe partijen om haar risico’s te beheersen. Tijdens de frauderisico sessie is er nadrukkelijk stilgestaan bij de vatbaarheid voor corruptie binnen de dienst. De relevante beheersmaatregelen om het risico te beheersen zijn verder uitgewerkt in het frauderisico register.

4.5 Dienst Stadsbeheer De risicotafel met de dienst stadsbeheer (hierna DSB) heeft plaatsgevonden op 24 januari 2023 tijdens een directieteam overleg. Tijdens de risicotafel zijn dienst specifieke fraudescenario's in het domein van DSB besproken, waaronder: o Corruptie en omkoping; havengelden en handhaving. Tijdens de laatst uitgevoerde FRA zijn er 5 risico’s geïdentificeerd. Dit is een daling van 6 ten opzichte van de voorgaande analyse. Er is 1 risico samengevoegd met een ander risico in het register. In geval van 6 risico’s betrof het een risico waarvan de beheersing centraal is belegd. Deze risico’s zijn, samen met dezelfde risico’s die bij andere diensten werden benoemd gecomprimeerd en overgedragen aan DBV. Er is 1 nieuwe risico geïdentificeerd. In bijlage B is zowel het oude als het nieuwe register van de dienst opgenomen. In het oude register wordt per risico aangegeven wat de mutatie is ten aanzien van het nieuwe register. Door voortschrijdend inzicht in de risico’s en de bijbehorende beheersmaatregelen blijkt dat DSB beter in staat is om de risico’s in te schatten. Dit heeft geleid tot bijstelling van de risicogrootte (kans x impact), wat betekent dat het merendeel van de risico’s lager wordt ingeschat. Een andere belangrijke bevinding is dat DSB n.a.v. de eerder uitgevoerde risicoanalyses, fraude periodiek heeft geagendeerd binnen het MT.

Viermaal per jaar worden er dilemmasessies georganiseerd, waarin mogelijke risico’s worden besproken. Hierbij valt te denken aan risico’s zoals rondom nevenfuncties en misbruik van (gemeente)middelen. Tijdens de frauderisico sessie is er

12/16

Actualisatie van frauderisicomanagement en frauderisicoanalyse

nadrukkelijk stilgestaan bij de kwetsbaarheden van de dienst met betrekking tot fraudegevoeligheid van gegevens in systemen. Hier zal specifiek aandacht aan worden besteed door DSB.

4.6 Dienst Publiekszaken De risicotafel met de dienst publiekzaken (hierna: DPZ) heeft plaatsgevonden op 14 december 2022 met vertegenwoordigers van diverse afdelingen binnen DPZ. Tijdens de risicotafel zijn de dienst specifieke fraudescenario’s in het domen van DPZ besproken, waaronder: o Fraude inzake uitgifte identiteitsbewijzen; Verwerking van kasgelden (burgerzaken, bibliotheken); Beheer, inzage en uitgifte van goederen met waarde (gemeentearchief); Informatiebeheer Tijdens de laatst uitgevoerde FRA zijn er 6 risico’s geïdentificeerd. Dit is een daling van 1 ten opzichte van de voorgaande analyse. In geval van 3 risico’s betrof het een risico waarvan de beheersing centraal is belegd. Deze risico’s zijn, samen met dezelfde risico’s die bij andere diensten werden benoemd gecomprimeerd en overgedragen aan DBV. Er zijn 2 nieuwe risico’s geïdentificeerd. In bijlage B is zowel het oude als het nieuwe register van de dienst opgenomen. In het oude register wordt per risico aangegeven wat de mutatie is ten aanzien van het nieuwe register. Door voortschrijdend inzicht in de risico’s en de bijbehorende beheersmaatregelen blijkt dat DPZ beter in staat is om de risico’s in te schatten. Dit heeft geleid tot bijstelling van de risicogrootte (kans x impact) bij enkele risico’s.

Een voorbeeld is dat de kans van optreden van het risico kasgelden hoger is ingeschat, maar is de impact na beheersmaatregelen lager ingeschat. Om dit risico te beheersen zijn er binnen de Centrale Balies nieuwe afspraken gemaakt, en zijn de procedures aangescherpt. Dit is met de GAD besproken. Ook wordt er momenteel bij Bibliotheken vastgesteld in welke mate een nieuw beleid ten aanzien van kassen kan helpen bij het beheersen van het risico. DPZ gaat in 2023 het proces kasverkeer verder door ontwikkelen op het gebied van interne beheersing.

In verband met de aanscherping van de beheersmaatregelen is het risico op fraude in het proces van uitgifte identiteitsdocumenten gemitigeerd. Ook is er een redresplan opgesteld welke ter toetsing is voorgelegd aan de accountant. Ten slotte is het van belang om te vermelden dat DPZ een anti-fraude team inricht dat bijdraagt aan het beheersen van de frauderisico’s. Tijdens de frauderisico sessie is er nadrukkelijk stilgestaan bij de vatbaarheid voor corruptie binnen de dienst en is er aandacht besteed aan het beschermen van gevoelige gegevens in systemen. De relevante beheersmaatregelen om het risico te beheersen zijn centraal uitgewerkt in het frauderisico register.

4.7 Bestuursdienst De risicotafel met de bestuursdienst (hierna: BSD) heeft plaatsgevonden op 22 december 2022 met vertegenwoordigers van diverse afdelingen binnen BSD. Tijdens de risicotafel zijn de dienst specifieke fraudescenario’s in het domein van BSD, waaronder: o Corruptie; vergunningenproces en risico’s m.b.t. gemeentelijke bezittingen Tijdens de laatst uitgevoerde FRA zijn er 3 risico’s geïdentificeerd. Dit is een daling van 5 ten opzichte van de voorgaande analyse. Er is 1 risico’s vervalen en in geval van 7 risico’s betrof het een risico waarvan de beheersing centraal is belegd. Deze risico’s zijn, samen met dezelfde risico’s die bij andere diensten werden benoemd gecomprimeerd en overgedragen aan DBV. Er zijn 3 nieuwe risico’s geïdentificeerd. In bijlage B is zowel het oude als het nieuwe register van de dienst opgenomen. In het oude register wordt per risico aangegeven wat de mutatie is ten aanzien van het nieuwe register.

13/16

Actualisatie van frauderisicomanagement en frauderisicoanalyse

De belangrijkste frauderisico’s bij de bestuursdienst hebben betrekking op het proces van uitgifte van vergunningen. BSD heeft bij alle risico’s beheersmaatregelen getroffen om de risico’s te beheersen. De bestuursdienst benadrukt het belang om blijvend aandacht te besteden aan het onderwerp fraude.

5 Het vervolg proces

Het frauderisicomanagement heeft in 2022 en nu expliciet aandacht gekregen door apart fraude risicotafels uit te voeren en hier in een rapportage verantwoording over af te leggen. Voor de gemeente was dit een goede eerste kennismaking met het uitvoeren van frauderisicoanalyses. De methodiek is neer gezet en de gemeente heeft onder begeleiding het proces een tweetal keer kunnen doorlopen. Aan te raden is om in de toekomst het actualiseren van het fraude risicomanagement te integreren in het gemeente brede risicomanagement. Het team risicomanagement DBV draagt zorg voor dat het onderwerp fraude structureel terugkomt als gespreksonderwerp aan tafel bij de DT’s en MT’s. Het is aan de diensten zelf om het identificeren van frauderisico’s verder in te bedden in de eigen dienst en periodiek het fraude risicoregister te actualiseren. Het team risicomanagement DBV rapporteert minimaal één keer per jaar over het gemeente brede risicomanagement. Voorgesteld wordt om dan ook een update te geven over het frauderisicomanagement binnen de gemeente. In de loop der tijd kan gekeken worden of verantwoording onderdeel kan worden van het reguliere P&C-cyclus.

14/16

Actualisatie van frauderisicomanagement en frauderisicoanalyse

Bijlage A: Legenda kans & impact

De weging van kans en impact van de frauderisico’s is gedaan op basis van de volgende definities. De invulling van deze begrippen is in lijn met de eerder uitgevoerde fraude risicotafels. KANS binnen een jaar Label score Onwaarschijnlijk 1

Mogelijk

3

Waarschijnlijk

5

IMPACT Label Laag Medium Hoog

score 1 2 3

omschrijving Het is niet waarschijnlijk dat het frauderisico tot uiting komt. Bijv. er is een sterke beheersomgeving met meerdere autorisatiestappen. En er is in het afgelopen jaar geen sprake geweest van een incident. Het is mogelijk dat het frauderisico tot uiting komt. Bijv. er is een beheersomgeving met vier ogenprincipe tussen collega's op hetzelfde niveau. En er heeft zich in de afgelopen 12 maanden één incident voorgedaan. Het is waarschijnlijk dat het frauderisico tot uiting komt. Bijv. er is een beperkte beheersomgeving waarin op basis van vertrouwen wordt verondersteld dat werkafspraken worden nagekomen. En er heeft zich in de afgelopen 12 maanden meer dan één incident voorgedaan.

impact financieel (extra onvoorziene kosten) EUR < 100K EUR 100k t/m 500k > EUR 500K

15/16

Actualisatie van frauderisicomanagement en frauderisicoanalyse

Bijlage B: Frauderisico register per dienst Niet openbaar o.g.v. artikel 87 Gem.wet juncto art. 5.1, lid 2, sub b en i

16/16