918585 5. Voorkomen en Bestrijden Misbruik en Oneigenlijk gebruik

Gemeente Epe Voorkomen en Bestrijden Misbruik en Oneigenlijk gebruik (M&O)

Inhoudsopgave 1. 2.

3.

Inleiding

3

1.1 1.2

Misbruik en Oneigenlijk gebruik (M&O) Leeswijzer

3 3

Doelstelling en uitgangspunten

4

2.1 2.2 2.3 2.4 2.5

4 5 5 5 6

Beheersmaatregelen

7

3.1

7 7 7 8 8 8 8

3.2

3.3

4.

Preventieve maatregelen 3.1.1 Regelgeving 3.1.2 Controle vooraf Repressieve maatregelen 3.2.1 Controle achteraf 3.2.2 Sanctionering/maatregelenbeleid Evaluatie

Risicogebieden 4.1

4.2

4.3

5.

Definities en afbakening M&O beleid Relatie met rechtmatigheid, integriteit en ondermijning Doelstelling M&O beleid Uitgangspunten Rollen en verantwoordelijkheden

9

Intensiteit M&O beleid 9 4.1.1 Streng M&O-beleid 9 4.1.2 Gematigd M&O-beleid 9 4.1.3 Licht M&O-beleid 9 Risicovolle processen 9 4.2.1 Verstrekken voorzieningen Wmo en jeugd (streng M&O beleid) 9 4.2.2 Vergunningverlening en handhaving (gematigd M&O beleid) 10 4.2.3 Identiteitsbewijzen, reisdocumenten en rijbewijzen (streng M&O beleid)10 4.2.4 Verstrekken van subsidies (streng tot gematigd M&O beleid) 10 4.2.5 Inkopen en aanbestedingen (gematigd M&O beleid) 11 4.2.6 Integriteit van relaties (gematigd M&O beleid) 11 4.2.7 Belastinginkomsten 12 4.2.8 Salarissen (gematigd M&O beleid) 12 Privacy en gegevensbeveiliging 12 4.3.1 Algemene Verordening Gegevensbescherming (AVG) 12 4.3.2 Baseline Informatiebeveiliging Overheid (BIO) 12 4.3.3 Bibob 13

Verantwoording

14

1.

Inleiding 1.1 Misbruik en Oneigenlijk gebruik (M&O)

Dit beleid beschrijft de algemene uitgangspunten voor M&O, de risico’s en ook de maatregelen ter voorkoming en afdoening van misbruik en oneigenlijk gebruik. Deze uitgangspunten worden uitgewerkt en toegepast op specifieke onderwerpen. De uitvoering van het M&O beleid is onderdeel van de rechtmatigheidsverantwoording Eén van de rechtmatigheidscriteria, die zijn opgenomen in het Besluit Accountantscontrole Decentrale Overheden (BADO), is het misbruik en oneigenlijk gebruik criterium. Bij de rechtmatigheidscontrole van de jaarrekening zal de accountant nagaan of de gemeente over interne procedures beschikt die opzettelijk misbruik en oneigenlijk gebruik van (belasting-) gelden, subsidies, uitkeringen of bijdragen, etc. zoveel mogelijk ondervangen of voorkomen. Met ingang van het verslagjaar 2023 legt het college zelf in de jaarstukken verantwoording af aan de gemeenteraad over de rechtmatigheid van de verantwoorde baten, lasten en balansmutaties. Het college moet een uitspraak te doen hoe misbruik en oneigenlijk gebruik wordt voorkomen en bestreden, en of de getroffen maatregelen werken. Het M&O criterium is (samen met het begrotingscriterium en het voorwaardencriterium) de basis voor de afgifte van de rechtmatigheidsverklaring.

Het vertrouwen in een goed gebruik van de gemeentelijke financiële regelingen door inwoners en instellingen/bedrijven staat voorop Uitkeringen, subsidies en vergunningen gaan alleen naar inwoners, bedrijven en instellingen die daar recht op hebben. Middelen die worden aangewend worden dan ook getoetst aan vigerende wet- en regelgeving en interne integriteitsregelingen/afspraken. Vanuit het vertrouwen in een goed gebruik van regelingen en vanuit maatschappelijk perspectief bezien, staat het gemeentelijk beleid in een redelijke verhouding tot eventuele fouten of een onjuist gebruik. Er kunnen zich situaties van (pogingen tot) misbruik en oneigenlijk gebruik van overheidsgelden voordoen. Daarvoor moeten waarborgen en (preventieve) maatregelen genomen worden. Dit M&O beleid biedt hiervoor de nodige handvatten.

1.2 Leeswijzer In hoofdstuk 2 worden de doelstelling en de algemene uitgangspunten van M&O beleid belicht. Hoofdstuk 3 geeft een overzicht van mogelijke M&O beheersmaatregelen. Hoofdstuk 4 benoemt de risicogebieden waarop het beleid betrekking heeft en ook de intensiteit (licht, middel, zwaar) waarmee maatregelen per gebied worden ingezet. Hoofdstuk 5 is gewijd aan de rapportage en verantwoording.

2.

Doelstelling en uitgangspunten

In dit hoofdstuk beschrijven we het doel van het M&O beleid en algemene uitgangspunten.

2.1 Definities en afbakening M&O beleid De commissie BBV heeft in de Kadernota Rechtmatigheid 2023 de volgende definities van misbruik en oneigenlijk gebruik opgenomen. Definitie misbruik Het opzettelijk niet, niet tijdig, onjuist of onvolledig verstrekken van gegevens met als doel ten onrechte overheidssubsidies of -uitkeringen te verkrijgen of niet dan wel een te laag bedrag aan heffingen aan de overheid te betalen. Het betreft hier een bewuste misleiding om onrechtmatig of onwettig voordeel te behalen. Misbruik kan gelijk worden gesteld met het plegen van fraude om zich onrechtmatig overheidsgelden toe te eigenen. Niet elke misstap (fout) geldt als misbruik. Bij het maken van fouten is er meestal geen sprake van een opzettelijke handeling. Misleiding heeft betrekking op het bewust verborgen houden van het misbruik. Definitie oneigenlijk gebruik Het door het aangaan van rechtshandelingen, al dan niet gecombineerd met feitelijke handelingen, verkrijgen van overheidsbijdragen of het niet dan wel tot een te laag bedrag betalen van heffingen aan de overheid, in overeenstemming met de bewoordingen van de regelgeving maar in strijd met het doel en de strekking daarvan. Als wet- en regelgeving oneigenlijk gebruik mogelijk maakt (‘de mazen van de wet”) is het noodzakelijk dat wet- en regelgeving worden aangepast en/of duidelijker moet worden toegelicht.

Afbakening M&O beleid is extern gericht, namelijk op de inwoner, ondernemer, instelling of organisatie die gebruik maakt van overheidsregelingen. Interne regelingen vallen niet onder de werking van dit beleid. Interne regelingen worden wat betreft eventueel misbruik of oneigenlijk gebruik onder het gemeentelijke fraude- en integriteitsbeleid geschaard. Het M&O beleid ziet toe op de publiekrechtelijke taakuitoefening van de gemeente. Privaatrechtelijk handelen, zoals de aan- en verkoop en de aan- en verhuur van vastgoed en gronden en het oneigenlijk gebruik van gemeentelijke gronden, vormt geen onderdeel van dit beleid aangezien het geen gemeentelijke regelingen betreft. Er wordt een brede definitie gehanteerd van M&O gevoelige regelingen, namelijk zowel regelingen met directe financiële gevolgen voor derden/belanghebbenden (denk aan subsidies, heffingen/belastingen, uitkeringen), als regelingen die niet directe financiële gevolgen hebben (bijvoorbeeld vergunningen en ontheffingen, identiteitsbewijzen, reisdocumenten en rijbewijzen). Uit deze laatste regelingen kunnen immers op termijn ook financiële gevolgen voortvloeien voor derden/belanghebbenden. Verbonden partijen die onafhankelijk zijn van de gemeente vallen buiten de scope van het M&O beleid omdat zij een zelfstandige accountscontrole hebben.

2.2 Relatie met rechtmatigheid, integriteit en ondermijning Rechtmatigheid Misbruik en oneigenlijk gebruik is één van de drie criteria van rechtmatigheid. Misbruik is een onrechtmatige handeling, bij oneigenlijk gebruik is dat niet het geval. Bij oneigenlijk gebruik wordt feitelijk gehandeld in overeenstemming met wet- en regelgeving. Daarmee zijn dergelijke handelingen niet onrechtmatig. Wel is sprake van handelen in strijd met het doel en de strekking van de wet- en regelgeving. Integriteit Bij misbruik en oneigenlijk gebruik gaat het om derden van buiten de organisatie die gebruik maken van regelingen en/of bezittingen van onze gemeente. Het gaat dus om externe gerichtheid. Integriteit richt zich op de eigen organisatie en medewerkers en is intern gericht. Dit is geregeld in het gemeentelijke integriteitsbeleid waarover jaarlijks mondeling aan de accountant verantwoording wordt afgelegd. Ondermijning Ondermijning is een vorm/uiting van misbruik of oneigenlijk gebruik en kan zich uiten in alle in deze nota genoemde onderwerpen, met name wanneer ondermijning financiële risico’s met zich meebrengt. Ondermijning op het gebied van gezag heeft meer een relatie met integriteit.

2.3 Doelstelling M&O beleid Het M&O beleid heeft tot doel het voorkomen en bestrijden van misbruik en oneigenlijk gebruik van overheidsgelden. Daarmee bestaat het zowel uit preventief beleid als repressief beleid. Bij M&O beleid is met name van belang om vast te stellen dat in de bedrijfsvoering effectieve maatregelen zijn getroffen om misbruik te voorkomen dan wel tijdig op te sporen. En daarnaast dat de wet- en regelgeving duidelijk is en te handhaven is. M&O beleid draagt bij aan transparantie en consistentie van gemeentelijk beleid. Het maakt ook mogelijk dat afwegingen worden gemaakt welke beheersmaatregelen nodig en doeltreffend zijn, afgezet tegen de inspanning die zij kosten en het financieel nut ervan. Beheersmaatregelen in het kader van M&O om de betrouwbaarheid van door derden verstrekte gegevens te controleren gaan soms verder dan reguliere interne controles. M&O beleid identificeert ook zwakke plekken in de administratieve organisatie en in de interne audits die wij uitvoeren.

2.4 Uitgangspunten Voor het M&O beleid gebruiken we als uitgangspunten:. 1. Wij werken vanuit een basishouding van vertrouwen in een juiste omgang met gemeentelijke regelingen door inwoners en instellingen/bedrijven, tenzij er een aanleiding is anders te veronderstellen. 2. Maatregelen die worden getroffen ter bevordering van een juist gebruik van onze gemeentelijke regelingen staan in verhouding staan tot de risico’s die worden gelopen. 3. De betrouwbaarheid van aangeleverde informatie, afgezet tegen het mogelijk optreden van risico's, is bepalend voor de mate van controle en goedkeuring. 4. Voorkomen is beter dan genezen. Wij zetten in op beleid en maatregelen die primair gericht zijn op preventie van misbruik en oneigenlijk gebruik van onze gemeentelijke regelingen. 5. Wij controleren zoveel mogelijk van derden ontvangen gegevens. 6. Na constatering van een overtreding wordt de rechtmatige situatie zo snel mogelijk hersteld en zo nodig bestraft (boete).

7. Beheersmaatregelen worden ingezet op basis van een analyse van de risico's en na afweging van de kosten en de baten. 8. Het M&O beleid wordt indien bijstelling noodzakelijk is geactualiseerd, op basis van ontwikkelingen in wetgeving en ervaring met onze eigen maatregelen en controles.

2.5 Rollen en verantwoordelijkheden De rollen en verantwoordelijkheden zijn in overeenstemming met de inrichtingsprincipes van onze organisatie. Teamleider De teamleider van het team waar de betreffende regelingen worden uitgevoerd is verantwoordelijk voor het treffen van passende M&O beheersmaatregelen voor zijn of haar specifieke risicogebied in de rol van procesverantwoordelijke. De teamleiders zien erop toe dat waar nodig, risico’s en beheersmaatregelen tijdig worden besproken. De teamleider draagt er zorg voor dat interne controles plaats vinden en zorgt voor het oppakken van de aanbevelingen. De teamleider informeert de financieel controller onmiddellijk zodra een situatie van misbruik en oneigenlijk gebruik wordt vermoed of vastgesteld. Interne controle De intentie is om door middel van het uitvoeren van interne controles en het onder de aandacht houden van het M&O beleid via werkoverleggen en het Intranet, er voor te zorgen dat het beleid wordt nageleefd en ten uitvoer wordt gebracht. MT De interne auditor rapporteert over de uitvoering van dit beleid in zijn rapportages. De uitvoering van dit beleid is onderdeel van de rechtmatigheidsverantwoording. De concept rechtmatigheidsverantwoording wordt door het MT besproken en vastgesteld.

College Het college van B&W vervult een kaderstellende rol door het beleid en de periodieke actualisaties daarvan vast te stellen en ook ter kennisname aan de gemeenteraad aan te bieden. Het college stelt de rechtmatigheidsverantwoording vast en biedt die (tegelijk met het jaarverslag) aan de raad aan.

3.

Beheersmaatregelen

Bepaalde regelingen en processen (of onderdelen daarvan) kunnen het risico van misbruik of oneigenlijk gebruik met zich meedragen. Wettelijke eisen en minimumnormen verbinden aan de meeste regelingen de verplichting om maatregelen. Dat zijn maatregelen uit landelijke wetgeving en lokale regelgeving die sowieso worden ingezet. Daarnaast zijn extra beheersmaatregelen denkbaar die het risico van misbruik en oneigenlijk gebruik verder terugdringen. Het gaat dan om zaken zoals functiescheiding, toegangsrechten tot applicaties, regelmatige controle daarvan, het vastleggen van gebeurtenissen in logging, en rapportages over deze maatregelen. Een onderscheid kan worden aangebracht tussen preventieve en repressieve maatregelen (of een mix daarvan).

3.1 Preventieve maatregelen Preventieve maatregelen zijn maatregelen die liggen vóór het moment van beschikken, betalen of ontvangen van een voorziening, vergunning of uitkering. Preventieve maatregelen betreffen regelgeving, voorlichting en controle vooraf. Zij zijn gericht op het voorkomen van misbruik en oneigenlijk gebruik van regelingen. 3.1.1 Regelgeving Heldere en eenduidige regelgeving beperkt de ruimte voor misbruik en oneigenlijk gebruik. Onder regelgeving wordt verstaan: verordeningen, beleidsregels, nadere regels en richtlijnen van de gemeente. Adequate en handhaafbare regelgeving moet up to date zijn en is een belangrijke beheersmaatregel in het kader van M&O beleid en voldoet in dat verband aan de volgende eisen: • eenvoud, inzichtelijkheid en begrijpelijkheid; • eenduidige definities; • het doel en de doelgroep van de regeling is nauwkeurig bepaald; • rechten, plichten en voorwaarden zijn opgenomen; • er zijn geen overbodige en/of met elkaar strijdige bepalingen; • de afhankelijkheid van gegevens afkomstig van derden is zoveel mogelijk beperkt; • mogelijke maatregelen of sancties bij geconstateerd misbruik en oneigenlijk gebruik zijn in de regeling opgenomen; • ingangsdata en overgangsregels zijn in de regeling opgenomen. 3.1.2 Controle vooraf Controle in de uitvoering is een middel om (de kans op) misbruik of oneigenlijk gebruik te signaleren.

Mogelijke M&O gevallen kunnen al in een vroegtijdig stadium worden waargenomen. Controle vooraf van gegevens wordt uitgevoerd tot aan het moment van betaling of beschikkingsverlening en geldt daarmee als preventieve maatregel.

Controle vooraf richt zich op de toetsing van de juistheid en volledigheid van gegevens die door derden zijn verstrekt. De ambtenaar gaat na of door de inwoners, bedrijven of instellingen aan de voorwaarden van bijvoorbeeld een subsidie of vergunning wordt voldaan. Door betrokkene(n) aangeleverde gegevens worden indien mogelijk geverifieerd. Uitgangspunt is dat voordat wordt uitbetaald, een andere medewerker controleert of deze werkzaamheden zichtbaar, volledig en juist zijn uitgevoerd (vier-ogen principe).

3.2 Repressieve maatregelen Repressieve maatregelen zijn maatregelen die na het moment van beschikken, betalen of ontvangen worden genomen. Het gaat om controle achteraf waarbij M&O kan worden vastgesteld en eventuele maatregelen worden bepaald. 3.2.1 Controle achteraf Controle van gegevens achteraf wordt uitgevoerd na het uitkeren/innen van bedragen, dan wel nadat de beschikking is verleend. Daarmee is het een repressieve maatregel. Controles achteraf kunnen (evenals bij controles vooraf) integraal, steekproefsgewijs of incidenteel worden uitgevoerd. Manieren om te controleren kunnen zijn: verzoeken om inlichtingen, inspecties, waarneming, bevestigingen, herberekeningen, cijferanalyses en het opnieuw uitvoeren van controles. Interne controles worden periodiek uitgevoerd om te beoordelen of conform de interne procedures is gewerkt en of transacties getrouw en rechtmatig tot stand zijn gekomen. In de uitvoering van de Verbijzonderde Interne Controles (VIC) is expliciet aandacht voor M&O. Vastlegging van de controleresultaten is verplicht. De resultaten van de controle kunnen bijvoorbeeld leiden tot aanpassing van het controlebeleid en/of de regelgeving. 3.2.2 Sanctionering/maatregelenbeleid Sancties worden opgelegd als reactie op een vaststelling van misbruik.

De te nemen maatregelen gericht op misbruik en/of oneigenlijk gebruik moeten voldoen aan de beginselen van goed ambtenaarschap en behoorlijk bestuur of voortvloeien uit jurisprudentie. Dit houdt onder andere in dat maatregelen en sancties in verhouding moeten zijn tot het vergrijp. Uitgangspunt is dat het behaalde voordeel wordt teruggevorderd en er indien nodig een boete wordt opgelegd. Concreet leidt het tot terugvordering van teveel betaalde bedragen, naheffing van ten onrechte gederfde ontvangsten en intrekking van een ten onrechte verstrekte vergunning. In bepaalde gevallen kan ook de ontbinding van een overeenkomst of de intrekking van een erkenning als niet-financiële sancties worden opgelegd. Ingeval van een misdrijf (fraude of diefstal) wordt aangifte gedaan bij de politie. Van sanctionering gaat een afschrikeffect uit. Dat draagt bij aan het voorkomen en beperken van misbruik van gemeentelijke regelingen.

3.3 Evaluatie Regelgeving wordt gebruikelijk periodiek geëvalueerd. In een evaluatie dient ook plaats te zijn voor de effectiviteit van genomen maatregelen ter voorkoming van misbruik en oneigenlijk gebruik en de toereikendheid van controle- en auditwerkzaamheden. Het M&O beleid kan hierop worden aangepast.

4.

Risicogebieden

M&O-beleid wordt toegepast bij regelingen waar een risico bestaat op misbruik en oneigenlijk gebruik. Afhankelijk van de misbruikgevoeligheid van een regeling wordt de intensiteit van de inzet van beheersmaatregelen bepaald. In dit hoofdstuk worden de risicogebieden waarop M&O-beleid van toepassing is beschreven. Daarbij wordt de intensiteit van inzet van het M&O-beleid benoemd en onderbouwd.

4.1 Intensiteit M&O beleid Afhankelijk van de mate van een M&O risico wordt een streng, een gematigd of een basisbeleid gevoerd. De hoogte van een risico is afhankelijk van de kans dat het zich voordoet en de (financiële) impact die het heeft. 4.1.1 Streng M&O-beleid Streng M&O-beleid omvat beheersmaatregelen die verder gaan dan de reguliere maatregelen op het gebied van de administratieve organisatie en interne controle. Specifieke en aanvullende (controle)maatregelen zijn noodzakelijk, zowel in voorwaardenscheppende sfeer als voor wat betreft het houden van een actief toezicht daarop. Bijvoorbeeld het gebruik maken van externe bronnen (BRP bij WMO en Jeugd) naast de reguliere functiescheiding als beheersingsmaatregel. Daarnaast is er ook nog een toezichthouder die achteraf het proces bewaakt. 4.1.2 Gematigd M&O-beleid Gematigd M&O-beleid houdt in dat waakzaamheid is geboden. Enkele aanvullende maatregelen worden getroffen, zoals een actieve en begrijpelijke voorlichting en een kritische beoordeling van de onderbouwing en herkomst van door derden aangeleverde gegevens (b.v. verscherpte controles, antecedentenonderzoek). 4.1.3 Licht M&O-beleid Als de regulier AO/IC toereikend is, zijn vrijwel geen aanvullende maatregelen noodzakelijk en kan incidentele controle op misbruik en oneigenlijk gebruik plaatsvinden.

4.2 Risicovolle processen Regelingen waarbij de informatie van andere partijen bepalend is voor het verlenen en vaststellen van de (hoogte van) uitkeringen, voorzieningen, subsidies, heffingen, belastingen en vergunningen zijn gevoelig voor misbruik en oneigenlijk gebruik. Ook interne processen kunnen M&O-gevoelig zijn. De volgende processen worden aangemerkt als risicogebieden omdat derden een aanmerkelijk (financieel) belang hebben en de gemeente in grote mate afhankelijk is van door die derden verstrekte gegevens. 4.2.1 Verstrekken voorzieningen Wmo en jeugd (streng M&O beleid) Individuele voorzieningen worden verstrekt in het kader van de Wet maatschappelijke ondersteuning en jeugdwet. Ook hier geldt dat sprake is van open einde regelingen, het risico van onbetrouwbare gegevensverstrekking en het feit dat de gegevens bepalend zijn voor het toekennen van de gevraagde voorziening. Dit zijn redenen om een streng M&Obeleid te voeren. Dit laat onverlet dat er vanuit de gemeente wordt gewerkt vanuit de gedachte dat de cliënt centraal staat en dat in dat verband ook steeds het gesprek en het overleg met mensen worden gevoerd. Dit overleg komt een adequate dienstverlening ten goede en is een aanvullende waarborg dat de juiste gegevens op tafel komen. De belangrijkste beheermaatregelen die reeds geïmplementeerd zijn:

1.

2. 3.

Functiescheiding in het proces tussen invoeren tarieven SDO support, toetsing melding op WPB en gezag, gesprek met de cliënt en opstellen gespreksverslag, toetsing van het ondersteuningsplan, versturen beschikking, verwerken beschikking in de uitkeringsadministratie. Controle woonplaatsbeginsel Systeemcontrole op de juistheid van de gedeclareerde tarieven door zorgaanbieders vs de tarieven vanuit de aanbestedingen

4.2.2 Vergunningverlening en handhaving (gematigd M&O beleid) Vergunningverlening en handhaving hebben betrekking op wezenlijke overheidstaken en er spelen vaak grote publieke belangen met mogelijke (financiële en politiek-bestuurlijke) gevolgen. De aanvrager van een vergunning kan gelet op de grote afhankelijkheid van de gemeente bij het al dan niet verkrijgen van een vergunning baat hebben bij het verstrekken van onjuiste informatie. In de praktijk vindt (ambtelijk) overleg met aanvragers en overtreders plaats. Dat is niet alleen een waardevol communicatiemoment met inwoners en bedrijven/instellingen, maar ook een belangrijk middel om te waarborgen dat de juiste informatie op tafel komt en onnodige controles en sancties worden voorkomen. Niettemin zijn vergunningverlening en handhaving - op grond van ervaring – M&O gevoelig en is een gematigd beleid geboden. De belangrijkste beheermaatregelen die reeds geïmplementeerd zijn: 1. Functiescheiding in het proces tussen opstellen, vaststellen, verwerking en controle van de ingevoerde tarieven. 2. Ingekomen aanvragen wordt geregistreerd en verdeeld door de procesregiseur aan de vergunningverlener, controle op de bouwkosten door collegiale toetsing en afgeven beschikking 3. Jaarlijkse aansluiting tussen vergunningadministratie en financiële administratie.

4.2.3 Identiteitsbewijzen, reisdocumenten en rijbewijzen (streng M&O beleid) Bij de verstrekking van identiteitsbewijzen, reisdocumenten en rijbewijzen maakt de gemeente gebruik van de gegevens uit de Basisregistratie Personen (BRP). Deze gegevens in het BRP moeten juist zijn, mede om misbruik en oneigenlijk gebruik van genoemde documenten te voorkomen. Een streng M&O beleid is noodzakelijk. De belangrijkste beheermaatregelen die reeds geïmplementeerd zijn: 1. Functiescheiding in het proces tussen opstellen, vaststellen, verwerking en controle van de ingevoerde tarieven in het kassysteem. 2. Jaarlijkse verplichte controle vanuit het Rijk. Controles worden conform interne procedure uitgevoerd. Rapportage vindt plaats aan het Rijk die hier weer steekproefcontroles op uitvoert. Naleving BRP is geborgd en externe partij zorgt voor beveiligingscheck. 3. Afgifte van documenten geschied volgens vaste procedures, waarbij iemand die de aanvraag registreert niet de uitgifte doet. 4.2.4 Verstrekken van subsidies (streng tot gematigd M&O beleid) Met subsidieverstrekking is een aanmerkelijk financieel belang gemoeid. Ook hier is de gemeente afhankelijk van de betrouwbaarheid van gegevens die door instellingen worden verstrekt.

Ten aanzien van met name grote gesubsidieerde instellingen (dat zijn instellingen die jaarlijks € 0,125 miljoen of meer subsidie ontvangen) worden diverse (tussentijdse) controles toegepast en is een controleverklaring een vereiste. Met dit samenstel van maatregelen wordt goed inzicht verkregen in het reilen en zeilen van de instelling. Daarnaast is er bij de grote instellingen regelmatig overleg (ambtelijk en vaak ook bestuurlijk) waarin

belangrijke onderwerpen ter sprake komen. Deze combinatie van instrumenten maakt dat aanvullende M&O maatregelen ten aanzien van deze instellingen niet nodig zijn. Voor de overige gesubsidieerde instellingen kan het noodzakelijk zijn specifieke maatregelen te treffen, variërend van streng tot gematigd. De belangrijkste beheermaatregelen die reeds geïmplementeerd zijn: 1. Subsidieaanvragen worden centraal ingediend, hierdoor is er een overzicht van de aanvragen en verstrekte subsidies en kan er gemonitord worden welke subsidies nog vastgesteld dienen te worden. 2. Er is een actueel subsidieregister. 3. Functiescheiding aanwezig tussen registreren aanvraag, beoordelen aanvraag en besluit tot toekenning 4. Iedere subsidiepartij dient in het jaar T+1 een verzoek tot vaststelling in te dienen waarbij een accountantsverklaring bijgevoegd dient te zijn om de getrouwheid van de cijfers te borgen. 4.2.5 Inkopen en aanbestedingen (gematigd M&O beleid) Met inkoop en aanbesteding kan een aanmerkelijk financieel belang gemoeid zijn en de weten regelgeving rondom aanbestedingen is complex. De gemeente is hierbij deels afhankelijk van de betrouwbaarheid van gegevens die door derden worden verstrekt. Wet- en regelgeving, alsmede gemeentelijke inkoopbeleid bevatten de nodige waarborgen op het gebied van M&O. Interne budget- en functiescheidingen zijn van toepassing.

Aanvullende M&O-maatregelen kunnen zich beperken tot extra controles van aangeleverde gegevens. Om die reden vragen inkoop en aanbesteding om een gematigd beleid. Voor aanvullende opdrachten (meerwerk) en opdrachten die één-op-één gegund worden is een streng beleid noodzakelijk, omdat hierop mogelijk niet alle voorstaande beheersmaatregelen worden toegepast. De belangrijkste beheermaatregelen die reeds geïmplementeerd zijn: 1. Bij aanbestedingen is er een inkoopbeleid waarbij duidelijk aangegeven staat bij welke opdrachtwaarde afdeling inkoop geraadpleegd dient te worden 2. Bij de betaalprocedure is er sprake van functiescheiding, er zijn altijd 2 medewerkers nodig om tot een uitbetaling te komen

Twee maatregelen ontbreken nog om het tot een streng M&O beleid te komen en dat is de volgende: - Functiescheiding tussen het autoriseren van de inkoopfactuur tussen budgethouder en prestatieakkoordverklaarder - Inkoopadviseur hoeft niet bij alle aanbestedingen betrokken te zijn 4.2.6 Integriteit van relaties (gematigd M&O beleid) Integriteit van medewerkers en bestuurders in de omgang met externe relaties vormt, naast dat dit een intern frauderisico met zich meebrengt, ook een M&O-risico. Immers, interne onbetrouwbaarheid/onverschilligheid kan misbruik en oneigenlijk gebruik in de hand werken, bijvoorbeeld bij een samenwerking tussen medewerker/bestuurders en externe relaties of wanneer vereiste controles om M&O te voorkomen/op te merken niet worden uitgevoerd. Preventieve maatregelen in de zin van integriteitbeleid en gedragscodes zijn reeds van kracht. M&O-beleid kan dan ook beperkt zijn tot het treffen van enkele aanvullende maatregelen, waardoor een gematigd beleid volstaat. De belangrijkste beheermaatregelen die reeds geïmplementeerd zijn: 1. Iedere medewerker legt de eed af zodra ze gaan werken binnen de gemeente

2. 3.

Er is een klokkenluidersregeling aanwezig Een VOG wordt voor iedere medewerker opgevraagd.

4.2.7 Belastinginkomsten Uitbesteed aan Tribuut. Zekerheid krijgt de gemeente middels een controleverklaring

4.2.8 Salarissen (gematigd M&O beleid) De salarislasten van de medewerkers zijn materieel in omvang. Het is denkbaar dat er bij bijvoorbeeld indiensttreding sprake kan zijn van misbruik of oneigenlijk gebruik. De belangrijkste beheermaatregelen die reeds geïmplementeerd zijn: 1. Bij indiensttreding is er functiescheiding tussen uitzetten vacature, controle vacatureruimte, opstellen en ondertekenen arbeidsovereenkomst en verwerken en controle van de medewerker die in dienst treed. Volledigheidscontrole op de onderliggende documenten (Kopie ID, VOG etc) 2. Bij de salarisadministratie vindt er controle plaats op de juiste premiepercentage middels een bruto netto controle. 3. Er vindt periodieke monitoring plaats op de formatie en personeelsbegroting.

4.3 Privacy en gegevensbeveiliging Misbruik en oneigenlijk gebruik heeft niet alleen betrekking op misbruik van middelen. Het kan ook gaan om misbruik van data. Dit kan inbreuk op privacy betreffen met identiteitsfraude als meest vergaande vorm. Het kan gaan om het lekken van vertrouwelijke informatie of persoonsgegevens. 4.3.1 Algemene Verordening Gegevensbescherming (AVG) Om persoonsgegevens van de inwoners binnen Europa beter te beschermen, is de Europese privacywet van toepassing, de Algemene Verordening Gegevensbescherming (AVG). Voorbeelden van persoonsgegevens zijn: naam, adres, geboortedatum, BSN, medische informatie en geloofsovertuiging. De AVG legt vast dat persoonsgegevens alleen verzameld en bewaard mogen worden als daar een wettelijke grondslag voor is en zo lang dat strikt noodzakelijk is. De gemeente houdt een register bij met een beschrijving van alle processen en de persoonsgegevens die daarin verwerkt worden. Als andere organisaties persoonsgegevens verwerken in opdracht van de gemeente worden hierover afspraken gemaakt en vastgelegd in een verwerkersovereenkomst. Binnen onze organisatie wordt toegezien op de uitvoering van de AVG door de Functionaris Gegevensbescherming. Deze medewerkers werken nauw samen met de Chief Information Security Officer.

4.3.2 Baseline Informatiebeveiliging Overheid (BIO) Informatiebeveiliging is de verzamelnaam voor de processen die ingericht worden om de betrouwbaarheid van gemeentelijke processen, de gebruikte informatiesystemen en de daarin opgeslagen gegevens te beschermen tegen misbruik en oneigenlijk gebruik. Hierbij is de Baseline Informatiebeveiliging Overheid (BIO) het belangrijkste kader. Vanaf 1 januari 2020 is deze van kracht. Hiermee ontstaat één gezamenlijk normenkader voor informatiebeveiliging binnen de gehele overheid, gebaseerd op de internationaal erkende en actuele ISO-normatiek.

4.3.3 Bibob Bibob staat voor bevordering integriteitsbeoordeling door het openbaar bestuur. Door middel van de Wet Bibob kan de gemeente voorkomen dat er onbedoeld medewerking wordt verleend aan misbruik van vergunningen, subsidies, vastgoedtransacties of bijvoorbeeld aanbestedingsopdrachten.

5.

Verantwoording

Om inzicht te krijgen in de wijze waarop het M&O beleid wordt uitgevoerd en wordt nageleefd, wordt regelmatig verantwoording afgelegd. Dit wordt gerealiseerd door aan te sluiten bij de Planning- en Controlcyclus. In het kader van de verantwoording worden in ieder geval de volgende stappen ondernomen: • in de jaarrekening dient met ingang van boekjaar 2023 door het College een rechtmatigheidsverantwoording opgenomen te worden. Eén van de criteria ten grondslag aan deze verantwoording is het M&O criterium. In deze verantwoording wordt verklaard of er rechtmatig is gehandeld. Indien dit niet het geval is dienen onrechtmatigheden (inclusief de situaties waarin sprake van misbruik en oneigenlijk gebruik) opgenomen te worden in de paragraaf bedrijfsvoering; • bij het verrichten van verbijzonderde interne controles door de interne auditor wordt aandacht besteed aan het M&O beleid en hierover wordt per proces periodiek gerapporteerd; • bij het opstellen van procesbeschrijvingen, in het kader van de administratieve organisatie, wordt rekening gehouden met M&O -gevoelige aspecten.