4034 Nota misbruik en oneigenlijk gebruik 2025

Nota misbruik en oneigenlijk gebruik van gemeentelijke regelingen 2025. Nota M&O-beleid 2025

Aan Gemeenteraad Leidschendam-Voorburg

Datum 11 maart 2025 Versie Definitief Kenmerk 4034

Inhoudsopgave Samenvatting

1

1.

Inleiding

2

1.1.

Aanleiding

2

1.2.

Wet- en regelgeving

2

1.3.

Opzet van deze nota

2

2.

Kaders voor M&O-beleid

3

2.1.

Definities

3

2.2.

Risicomanagement

3

2.3.

Preventie en beheersing, detectie, sanctionering, governance

4

2.4.

Samenhang van termen, beleid en betrokkenen

5

2.5.

De grote rol van wettelijke vereisten

5

2.6.

Afwegen van kosten en baten van beheersmaatregelen

6

2.7.

Gebruik van hard en soft controls

6

3.

Het M&O-beleid van de gemeente

7

3.1.

Preventieve maatregelen en beheersing in de werkprocessen

7

3.2.

Signalering

9

3.3.

Controle en toezicht

9

3.4.

Sanctionering

10

3.5.

Governance en monitoring

11

4.

De uitvoering van het M&O-beleid

12

4.1.

PLAN | Kaderstelling

12

4.2.

DO | Implementatie

12

4.3.

CHECK | Control & toezicht

13

4.4.

ACT | Evaluatie

14

4.5.

Uitvoeringsmatrix Misbruik & Oneigenlijk Gebruik 2025

15

5.

Handvatten voor leidinggevenden

16

Bijlage 1 | Geraadpleegde bronnen

17

Samenvatting Deze beleidsnota presenteert het nieuwe kader voor de preventie en aanpak van misbruik en oneigenlijk gebruik (M&O) van gemeentelijke regelingen. Het vervangt het beleid uit 2010 en is ontwikkeld vanwege de invoering van de rechtmatigheidsverantwoording vanaf 2023, de noodzaak tot actualisering vanwege decentralisaties in het sociaal domein en wettelijke verplichtingen rondom M&O-beleid. Het beleid kent vijf kernpijlers: preventie door effectieve maatregelen in werkprocessen, laagdrempelige signalering via meldpunten, systematische controle en toezicht via het Three Lines Model, consequente sanctionering bij geconstateerd misbruik, en een heldere governance- en monitoringstructuur. De effectieve implementatie van de juiste – vaak verplichte – maatregelen vormt daarbij veruit het belangrijkste onderdeel van een goed M&O-beleid. Het beleid integreert in hoge mate met bestaande kaders, met name het integriteitsbeleid en informatiebeveiligingsbeleid. De implementatie volgt de systematiek van de PDCA-cyclus. In de planfase vindt kaderstelling plaats via M&O-beleid, integriteitsbeleid en informatiebeveiligingsbeleid. De do-fase betreft implementatie in werkprocessen en systemen. Een essentieel aspect van een goed implementatie is het hebben van goede frauderisicoanalyses. De komende jaren zullen deze geactualiseerd worden.

In de check-fase vindt controle plaats via het Three Lines Model, gevolgd door continue evaluatie en verbetering in de act-fase. Door deze cyclische benadering blijft de organisatie werken aan een optimale preventie en aanpak van misbruik en oneigenlijk gebruik. Het college rapporteert jaarlijks aan de raad over de effectiviteit van het beleid via de paragraaf bedrijfsvoering in de jaarrekening. De accountant controleert namens de raad voor de jaarrekeningcontrole het bestaan en de werking van het M&O-beleid. Deze nota biedt een actueel en integraal kader voor de beheersing van M&O-risico's, passend bij de huidige gemeentelijke context en wetgeving. .

Datum 11 maart 2025 Ons kenmerk 4034 Pagina 2

1.

Inleiding 1.1. Aanleiding Een gemeente heeft diverse redenen om een beleid tegen misbruik en oneigenlijk gebruik (M&O) te voeren. Allereerst waarborgt het de integriteit van het bestuur en behoudt het vertrouwen van burgers. Het beschermt ook publieke middelen tegen misbruik en verspilling, wat essentieel is voor een gezonde financiële huishouding. Daarnaast zorgt het ervoor dat voorzieningen alleen terechtkomen bij degenen die er daadwerkelijk recht op hebben, wat de rechtvaardigheid en doeltreffendheid van beleid bevordert. Bovendien is het bovendien een wettelijke verplichting voor gemeenten om een M&O-beleid te hebben. Een duidelijk M&O-beleid heeft ook een preventief effect op potentiële misbruikers. Een belangrijke factor om tot een herijkt M&O-beleid te komen is de invoering van de rechtmatigheidsverantwoording vanaf boekjaar 2023. Het vigerende M&O-beleid uit 2010 (raadsvoorstel 464318 d.d. 7 september 2010) is bovendien onvoldoende actueel en op een aantal aspecten zelfs ontoereikend.

1.2. Wet- en regelgeving De gemeente heeft de wettelijke verplichting om beleid te ontwikkelen en te implementeren ter voorkoming en bestrijding van misbruik en oneigenlijk gebruik van gemeentelijke middelen en bevoegdheden. Deze verplichting vindt zijn grondslag in twee belangrijke wettelijke bepalingen: • Artikel 28 van het Besluit begroting en verantwoording provincies en gemeenten •

(BBV) schrijft voor dat het jaarverslag de paragraaf bedrijfsvoering moet bevatten. Artikel 4 lid 1 van de Ambtenarenwet 2017 bepaalt dat voor overheidswerkgevers een gedragscode voor goed ambtelijk handelen verplicht is.

1.3. Opzet van deze nota Na deze inleiding worden in hoofdstuk 2 de kaders voor het M&O-beleid uiteengezet. Hierin worden belangrijke begrippen gedefinieerd en worden de principes van risicomanagement, kosteneffectiviteit, en de balans tussen harde en zachte beheersmaatregelen toegelicht. Hoofdstuk 3 beschrijft het specifieke M&O-beleid van onze gemeente. Het behandelt de preventieve maatregelen, methoden voor signalering, controle en toezicht, sanctioneringsbeleid, en de governance- en monitoringsstructuur. In hoofdstuk 4 wordt de praktische uitvoering van het beleid uiteengezet aan de hand van de PDCA-cyclus (Plan-Do-Check-Act). In hoofdstuk 5 wordt specifiek aandacht gegeven aan de belangrijke rol die leidinggevenden hebben.

Datum 11 maart 2025 Ons kenmerk 4034 Pagina 3

2.

Kaders voor M&O-beleid 2.1. Definities Gemeentelijke regelingen kunnen gevoelig zijn voor misbruik en oneigenlijk gebruik. Dit is bijvoorbeeld het geval als de verplichting om een heffing te betalen of de aanspraak op een uitkering of voorziening afhankelijk is van gegevens die mensen zelf verstrekken. De commissie BBV heeft in de Kadernota Rechtmatigheid (2022) de volgende definities van misbruik en oneigenlijk gebruik opgenomen. •

Misbruik

•

van gegevens met als doel ten onrechte overheidssubsidies of uitkeringen te verkrijgen of niet dan wel een te laag bedrag aan heffingen aan de overheid te betalen. Oneigenlijk : Het door het aangaan van rechtshandelingen, al dan niet gebruik

: Het opzettelijk niet, niet tijdig, onjuist of onvolledig verstrekken

gecombineerd met feitelijke handelingen, verkrijgen van overheidsbijdragen of het niet dan wel tot een te laag bedrag betalen van heffingen aan de overheid, in overeenstemming met de bewoordingen van de regelgeving maar in strijd met het doel en de strekking daarvan.

De overeenkomst tussen misbruik en oneigenlijk gebruik is dat het allebei ongewenst is omdat geldt niet aankomt bij degenen waarvoor het bedoeld is. Maar misbruik is altijd onrechtmatig, oneigenlijk gebruik meestal niet. Oneigenlijk gebruik betekent dat iets wel klopt naar de letter van de regels, maar niet klopt met de bedoeling van die regels. Oneigenlijk gebruik kan dan ook niet bestraft worden.

2.2. Risicomanagement Misbruik en oneigenlijk gebruik gaat over risico’s die de organisatie wel of niet bereid is te lopen. Bij het maken van frauderisicoanalyses (zie paragraaf 4.2) worden de termen bruto risico, netto risico en restrisico gehanteerd om het – verwachtte – effect van beheersmaatregelen te duiden. •

•

Bruto risico

: Het risico dat aanwezig is op misbruik of oneigenlijk gebruik

Netto risico

indien er ter uitvoering van de regeling helemaal geen maatregelen – ook niet de wettelijk vastgelegde - ter voorkoming worden getroffen door de gemeente. : Het risico dat overblijft op misbruik en oneigenlijk gebruik nadat alle wettelijk verplichte beheersmaatregelen zijn geïmplementeerd.

Datum 11 maart 2025 Ons kenmerk 4034 Pagina 4

•

Restrisico

: Het risico dat overblijft als naast de wettelijk verplichte beheersmaatregelen ook aanvullende maatregelen zijn geïmplementeerd.

Het doel van het M&O-beleid is altijd om het restrisico op een aanvaardbaar niveau te krijgen. Wat een aanvaardbaar niveau is, is subjectief. Kosten-baten afwegingen spelen daarbij een rol, maar ook de maatschappelijke houding ten opzichte van misbruik en oneigenlijk gebruik in het algemeen en bij specifieke regelingen, en bereidheid van management en bestuur om risico’s te lopen.

2.3. Preventie en beheersing, detectie, sanctionering, governance Bij het ontwerp en de implementatie van beleid tegen misbruik en oneigenlijk gebruik is het van groot belang om een gestructureerde aanpak te hanteren die zich richt op vier cruciale categorieën: preventie, beheersing, signalering en sanctionering. Door deze vier categorieën in samenhang te beschouwen en te implementeren, ontstaat een robuust raamwerk om effectief op te treden tegen misbruik en oneigenlijk gebruik. •

Bij preventie en beheersing ligt de nadruk op het voorkomen van misbruik en oneigenlijk gebruik door middel van heldere regelgeving, effectieve voorlichting en zorgvuldige risicoanalyses, alsook het implementeren van strikte controlemechanismen, het hanteren van het vier-ogen-principe bij kritieke beslissingen en het regelmatig evalueren en bijstellen van procedures om eventuele lacunes te dichten. Door potentiële knelpunten vroegtijdig te identificeren en aan te pakken, kan een groot deel van de problematiek worden ondervangen voordat deze zich manifesteert.

•

Signalering vormt een essentieel onderdeel van het beleid, waarbij monitoringsystemen, data-analyse, signaleren door betrokkenen en onafhankelijk toezicht kunnen worden ingezet om afwijkende patronen en verdachte activiteiten tijdig te signaleren. Een proactieve benadering in deze fase stelt organisaties in staat om snel te reageren op potentiële gevallen van misbruik of oneigenlijk gebruik.

•

Sanctionering is een onmisbaar sluitstuk van het beleid. Hierbij worden duidelijke consequenties verbonden aan geconstateerde overtredingen, variërend van waarschuwingen en boetes tot strafrechtelijke vervolging in ernstige gevallen. Een consistent en rechtvaardig sanctioneringsbeleid dient niet alleen als preventief middel, maar onderstreept ook de ernst waarmee de organisatie misbruik benadert.

•

Governance en monitoring. Dit omvat het doelmatig beleggen van verantwoordelijkheden en bevoegdheden om het M&O-beleid goed uit te voeren de juiste en tijdige informatieverstrekking aan de betrokkenen.

Datum 11 maart 2025 Ons kenmerk 4034 Pagina 5

2.4. Samenhang van termen, beleid en betrokkenen Het M&O-beleid gaat over zowel de inwoners en bedrijven, over de eigen medewerkers, als over de leveranciers van de gemeente. Misbruik door eigen medewerkers en leveranciers wordt in de praktijk fraude genoemd. Daarmee gaat het M&O-beleid over zowel fraude als over misbruik, alsook oneigenlijk gebruik. Veel aspecten van het M&Obeleid zijn bovendien al ingebed in het informatiebeveiligingsbeleid en het integriteitsbeleid. Deze complexe samenhang is in onderstaande figuur weergegeven.

M&O-beleid

Medewerkers Fraude

Met behulp van

Inwoners & bedrijven Misbruik

Informatiebeveiligingsbeleid Integriteitsbeleid

Oneigenlijk gebruik

Met behulp van

Leveranciers

2.5. De grote rol van wettelijke vereisten De wetgever is zich bij het ontwikkelen van wetgeving altijd bewust van de noodzaak om misbruik van wetgeving te voorkomen. Veel wetgeving bevat daarom bepalingen waaraan de uitvoerder en gebruiker van de wetgeving aan moet voldoen voordat een financiële verstrekking op basis van die wetgeving kan plaatsvinden. Denk hierbij bijvoorbeeld aan de controle op de woonplaats als een inwoner een uitkering aanvraagt, of de verplichting om bij vernieuwing van een paspoort het oude ongeldig te maken. Dit is al vastgelegd in de wet. En daarom moet het werkproces voldoen aan deze wettelijke bepalingen. Maatregelen om aan deze vereisten te kunnen voldoen zijn bijvoorbeeld het 'vier-ogen-principe' bij cruciale beslissingen, het inbouwen van extra, risicogestuurde

Datum 11 maart 2025 Ons kenmerk 4034 Pagina 6

controles en ‘harde’ vereisten in ondersteunende software. Ook wordt er vaak een strikte functiescheiding gehanteerd tussen behandeling van de aanvraag, de beoordeling en de toekenning van voorzieningen. Waar mogelijk worden maatregelen geautomatiseerd om de efficiëntie te verhogen en menselijke fouten te minimaliseren. Een werkproces dat ontworpen en geïmplementeerd is conform deze wettelijke vereisten zal reeds in hoge mate misbruik voorkomen. De procesinrichting kan vervolgens verder geoptimaliseerd door de implementatie van aanvullende beheersmaatregelen indien dit noodzakelijk en haalbaar wordt geacht.

2.6. Afwegen van kosten en baten van beheersmaatregelen De implementatie van een effectief misbruik en oneigenlijk gebruik beleid vereist een zorgvuldige afweging van de kosten en baten van beheersmaatregelen. Deze afweging is van cruciaal belang voor de doelmatigheid, duurzaamheid en maatschappelijke aanvaardbaarheid van het beleid. Allereerst dient te worden onderkend dat de middelen die beschikbaar zijn voor de bestrijding van misbruik en oneigenlijk gebruik inherent beperkt zijn. Voorts is het van belang te erkennen dat niet alle beheersmaatregelen even effectief zijn in relatie tot hun kosten. Een ander aspect is dat overmatige of disproportionele controle kan leiden tot ongewenste neveneffecten. Te stringente beheersmaatregelen kunnen resulteren in onnodige administratieve lasten, vertraging in processen, of zelfs een afname van maatschappelijk draagvlak voor het beleid. Tevens dient te worden opgemerkt dat de kosten-batenafweging niet louter in financiële termen dient te worden bezien. Immateriële aspecten, zoals het effect op het vertrouwen in de gemeente, de impact op privacy, of de invloed op de dienstverlening, moeten eveneens worden meegewogen.

2.7. Gebruik van hard en soft controls Harde controls vormen het fundament van een effectief beleid tegen misbruik en oneigenlijk gebruik van gemeentelijke regelingen. Deze formele, meetbare en afdwingbare maatregelen zijn essentieel om de integriteit van gemeentelijke processen te waarborgen en vormen een cruciale verdedigingslijn tegen misbruik. De kracht van harde controls ligt in hun objectieve en systematische karakter. Het zijn bijvoorbeeld procedures, richtlijnen, functie-scheidingen, autorisaties en andere concrete regels die zijn vastgelegd in documenten. Soft controls daarentegen zijn de informele, niet-tastbare beheersmaatregelen die invloed hebben op het gedrag, de motivatie en de loyaliteit van medewerkers. Het gaat hierbij om factoren zoals organisatiecultuur, voorbeeldgedrag van leidinggevenden, onderlinge communicatie, betrokkenheid en de mate waarin medewerkers zich verantwoordelijk voelen.

Datum 11 maart 2025 Ons kenmerk 4034 Pagina 7

Beide vormen van controls vullen elkaar aan en zijn nodig voor effectieve organisatiebeheersing. Waar hard controls de kaders stellen, zorgen soft controls ervoor dat mensen uit zichzelf het gewenste gedrag vertonen.

3.

Het M&O-beleid van de gemeente Door middel van een integrale benadering van misbruik en oneigenlijk gebruik van gemeentelijke regelingen streeft de gemeente ernaar de integriteit van haar dienstverlening te waarborgen en het vertrouwen van de burgers te behouden. Het M&O-beleid van de gemeente wordt vormgegeven langs de 4 pijlers die in paragraaf 2.3 benoemd zijn.

3.1. Preventieve maatregelen en beheersing in de werkprocessen Om misbruik en oneigenlijk gebruik in een vroeg stadium te ondervangen, zijn robuuste preventieve (beheers)maatregelen binnen haar uitvoeringsprocessen de belangrijkste beheersmaatregel. De toepassing van hard controls Het is essentieel om hard controls systematisch in te bedden in hun processen en systemen. Dit vereist een gedegen analyse van risico's en kwetsbaarheden, gevolgd door de implementatie van passende maatregelen. Regelmatige evaluatie en bijstelling zorgen ervoor dat de controls effectief blijven en meegroeien met nieuwe risico's en ontwikkelingen. De belangrijkste hard controls zijn: •

Functiescheiding is een van de meest fundamentele hard controls. Door kritieke

•

taken in een proces te verdelen over verschillende medewerkers, wordt het risico op misbruik aanzienlijk verkleind. Het vier-ogen principe vormt een andere hoeksteen van harde controls. Dit

•

principe schrijft voor dat belangrijke beslissingen altijd door minimaal twee personen moeten worden geaccordeerd. Digitale systemen spelen een steeds belangrijkere rol bij harde controls.

•

Geautomatiseerde controles kunnen realtime verificaties uitvoeren en afwijkingen signaleren. Ook kan het systeem dwingend voorschrijven welke stappen doorlopen moeten worden, waardoor procedurele waarborgen niet kunnen worden omzeild. Logging en audit trails zijn onmisbare instrumenten voor controle en

•

verantwoording. Elk systeem houdt nauwkeurig bij wie welke handelingen verricht. Deze digitale sporen maken het mogelijk om achteraf precies te reconstrueren wat er is gebeurd en door wie. Autorisatiebeheer vormt een andere cruciale control. Door middel van strikte toegangsrechten wordt geborgd dat medewerkers alleen toegang hebben tot die systemen en gegevens die ze voor hun functie nodig hebben.

Datum 11 maart 2025 Ons kenmerk 4034 Pagina 8

•

Verplichte documentatie en vastlegging van beslissingen zorgen voor

•

transparantie en controleerbaarheid. Bij elke belangrijke beslissing moet de onderbouwing worden vastgelegd en moeten relevante bewijsstukken worden gearchiveerd. Periodieke controles vormen een ander belangrijk element. Door regelmatig steekproefsgewijze controles uit te voeren, worden zowel fouten als potentieel misbruik tijdig ontdekt.

De toepassing van soft controls In de dagelijkse praktijk van een gemeente spelen soft controls een cruciale rol bij het voorkomen van misbruik en oneigenlijk gebruik. Waar harde controls de formele kaders stellen, zorgen soft controls voor de daadwerkelijke internalisering van gewenst gedrag. Deze praktische toepassing vindt plaats op verschillende niveaus en in diverse processen binnen de gemeentelijke organisatie. Hieronder de belangrijkste soft controls: •

Het team HR heeft een belangrijke rol bij de soft controls. Er geldt voor alle

•

medewerkers een gedragscode. Nieuwe medewerkers doorlopen een introductietraining waarin ze aan de hand van praktijkvoorbeelden leren hoe om te gaan met integriteitsvraagstukken. Voor medewerkers zijn er ook opfristrainingen. Het management speelt een cruciale rol in de effectiviteit van soft controls.

•

Teamleiders en afdelingshoofden die regelmatig aandacht besteden aan integriteit tijdens werkoverleggen, niet alleen bij incidenten maar juist ook preventief, maken het onderwerp bespreekbaar. Waar mensen uit onwetendheid, gemakzucht of door rationalisatie van gedrag zaken goedpraten, kan gedragsbeïnvloeding een krachtig instrument zijn om dit te voorkomen. Er wordt dan ook ingezet op eenvoudige regels in begrijpelijke taal, duidelijke communicatie in spraak en op schrift. Maar ook een menselijk sanctiebeleid is belangrijk: misbruik uit onwetendheid vereist correctie, maar lang niet altijd straf. Met een menselijker behandeling ontstaat ook meer draagvlak voor de processen en controles die de gemeente uitvoert.

•

In het sociaal domein komt de kracht van soft controls duidelijk naar voren. Consulenten die keukentafelgesprekken voeren met Wmo-aanvragers, creëren door hun benadering een sfeer van openheid en vertrouwen. Door oprecht interesse te tonen in de situatie van de aanvrager en helder uit te leggen waarom bepaalde vragen worden gesteld, kan er meer bereidheid zijn om eerlijk informatie te delen.

•

Bij de uitvoering van de Participatiewet speelt voorbeeldgedrag een belangrijke rol.

•

Klantmanagers die zelf transparant zijn over hun afwegingen en beslissingen, stimuleren eenzelfde openheid bij uitkeringsgerechtigden. Ook een transparante en duidelijke communicatie vormt een essentieel onderdeel van de preventieve strategie, vooral in het sociaal domein. De gemeente zorgt voor heldere informatievoorziening over de voorwaarden en verplichtingen van regelingen. Ook wordt gecommuniceerd over de controleprocessen en de sancties die kunnen volgen bij geconstateerd misbruik.

Datum 11 maart 2025 Ons kenmerk 4034 Pagina 9

•

Op de afdeling vergunningen wordt actief gewerkt aan een cultuur van

•

gezamenlijke verantwoordelijkheid. Medewerkers bespreken regelmatig casussen waarbij twijfel bestaat over de juistheid van ingediende gegevens. Bij subsidieverstrekking wordt gewerkt met accountmanagers die regelmatig

•

contact onderhouden met de gesubsidieerde grotere organisaties. Door deze persoonlijke benadering ontstaat meer wederzijds begrip en wordt de drempel verlaagd om bij twijfel contact op te nemen. Binnen het inkoopproces wordt veel aandacht besteed aan bewustwording. Inkopers worden gestimuleerd om niet alleen naar de formele vereisten te kijken, maar ook hun professionele intuïtie te gebruiken.

3.2. Signalering Om op effectieve wijze misbruik en oneigenlijk gebruik te bestrijden, is signalering door zowel burgers, bedrijven als de eigen medewerkers belangrijk. Daarom wordt signalering actief gefaciliteerd. De belangrijkste faciliteiten zijn: • Er is via de website van de gemeente een laagdrempelig meldpunt ingericht waar

•

vermoedens van misbruik en oneigenlijk gebruik kunnen worden gemeld door inwoners en bedrijven. De anonimiteit van melders wordt hierbij gewaarborgd om de drempel voor het doen van meldingen zo laag mogelijk te houden. De medewerkers kunnen binnen de afdelingen teamleiders en afdelingshoofden benaderen. Het management heeft tevens de taak om een werkcultuur in stand te houden waarbij signalen over misbruik en oneigenlijk gebruik vrijelijk kunnen worden besproken. Het management heeft voldoende kennis om adequaat te handelen op signalen van misbruik of oneigenlijk gebruik. Bovendien zijn in de gehele organisatie vertrouwenspersonen beschikbaar om signalen te kunnen bespreken.

•

Het interne meldpunt integriteit gebruikt worden door medewerkers. Voorts heeft de gemeente de klokkenluidersregeling geïmplementeerd. Binnen de organisatie is de concerncontroller als verantwoordelijke voor het integriteitsbeleid het centrale aanspreekpunt voor vermoedens van misbruik en oneigenlijk gebruik.

3.3. Controle en toezicht De gemeente hanteert een algemeen geaccepteerd controlesysteem volgens de principes van het ‘Three Lines Model’ (3LM). Daarnaast is er extern toezicht. Hiermee is er een systeem van ‘checks and balances’ binnen de organisatie en wordt zo het M&Obeleid beter gewaarborgd. • In de eerste lijn – de werkprocessen zelf – worden (kwaliteits)controles uitgevoerd om vast te stellen of de processen zodanig ingericht zijn dat misbruik en oneigenlijk gebruik voorkomen kan worden en er voldoende aandacht is voor de integriteit van de medewerkers.

Datum 11 maart 2025 Ons kenmerk 4034 Pagina 10

•

De tweede lijn bestaat uit de centrale ondersteunende (bedrijfsvoerings)diensten die de decentrale afdelingen ondersteunen. Deze centrale diensten zijn op zichzelf al een maatregel om fraude en misbruik te voorkomen. Daarnaast adviseren de centrale diensten over te nemen maatregelen binnen de afdeling die zij ondersteunen.

•

De derde lijn betreft het toezicht namens de directie en college. Hier vindt een

•

toetsing plaats - onafhankelijk van de lijnafdeling - op de volledigheid en de effectiviteit van de genomen maatregelen in de lijnafdeling en de centrale (bedrijfsvoerings)diensten. Het extern toezicht betreft de accountant die in opdracht van de raad onderzoek doet naar de getrouwheid van de informatievoorziening van het college aan de raad, waaronder de rechtmatigheidsverantwoording van het college. Maar er kunnen ook andere externe toezichthouders betrokken zijn, zoals de lokale Rekenkamer, de Autoriteit Persoonsgegevens of de Autoriteit Consument en Markt.

3.4. Sanctionering Bij geconstateerd misbruik door bedrijven of inwoners treft de gemeente altijd sancties. Hierbij is het belangrijk dat het geconstateerde misbruik opzettelijk is. Terugvordering van de ten onrechte verkregen voordelen zal altijd plaatsvinden. De aard en omvang van de extra sancties hangt af van de wettelijke mogelijkheden hiertoe, de zwaarte van het misbruik, de context waarin het misbruik plaatsvond. Bij elk incident vindt terugvordering plaats en wordt geëvalueerd of beheersmaatregelen moeten worden aangescherpt. Bij signalen van misbruik of oneigenlijk gebruik wordt de ernst en impact bepaald volgens de volgende vaste escalatieladder: 1. Vermoeden van misbruik/fraude door eigen medewerkers zal behandeld worden als een integriteitsmelding. Hiervoor is een meldingsprotocol opgesteld voor behandeling en sanctionering (dossier 1217 d.d. 3 september 2017) 2. De eerste inschatting van misbruik door een inwoner of bedrijf gebeurt door de medewerker en direct leidinggevende. Voor de uitvoering van een aantal wettelijke taken heeft de wetgever ook bepaald voor welke incidenten welke sancties dienen te volgen. Bij kleine incidenten zonder duidelijke opzet volstaat meestal een correctief gesprek en herstel van de situatie. 3.

Bij bewuste misleiding of financiële impact boven €5.000 wordt het incident geëscaleerd naar het afdelingshoofd, die strengere maatregelen kan nemen zoals boetes of opschorting van dienstverlening. 4. Ernstige gevallen (systematische fraude, meerdere betrokkenen, of boven €25.000) worden door de verantwoordelijk directeur behandeld, met mogelijk extern onderzoek en aangifte bij het Openbaar Ministerie. Het college wordt ingelicht. 5. Bij zeer ernstige incidenten (grote reputatieschade of boven €100.000) besluit het college over maatregelen en wordt de raad vertrouwelijk geïnformeerd.

Datum 11 maart 2025 Ons kenmerk 4034 Pagina 11

3.5. Governance en monitoring De inrichting van een adequate governance- en monitoringsstructuur is van essentieel belang voor de effectiviteit en duurzaamheid van een M&O-beleid. Deze structuur vormt het fundament waarop het beleid rust en zorgt voor de noodzakelijke sturing, controle en bijsturing. De governance is als volgt: • Het college is eindverantwoordelijk voor een adequaat M&O-beleid en de uitvoering •

hiervan. Op het hoogste niveau binnen de organisatie is de eindverantwoordelijkheid voor

•

het beleid belegd bij de gemeentesecretaris. De gemeentesecretaris heeft de uitvoerende verantwoordelijkheid voor het M&O-

•

beleid gedelegeerd naar de concerncontroller. De concerncontroller ontwikkelt het beleid, monitort de uitvoering hiervan door de afdelingen en signaleert knelpunten en verbeteringen naar het lijnmanagement en de directie. De afdelingshoofden zijn verantwoordelijk voor de uitvoering van dit beleid door de adequate beheersing van de onder hun verantwoordelijkheid vallende (deel)processen.

De monitoring is langs de lijnen van de governance als volgt vormgegeven: • Het college rapporteert aan de raad met de rechtmatigheidsverantwoording en de •

toelichting hierop in de paragraaf bedrijfsvoering bij de jaarrekening. Namens de gemeentesecretaris verantwoordt de concerncontroller zich jaarlijks

•

aan het college over opzet, bestaan en werking van het M&O-beleid, als onderdeel van de rechtmatigheidsverantwoording. De afdelingshoofden verantwoorden zich aan de gemeentesecretaris over eigen bevindingen en de uitkomsten van het toezicht.

Datum 11 maart 2025 Ons kenmerk 4034 Pagina 12

4.

De uitvoering van het M&O-beleid Het beleid zoals in het vorige hoofdstuk beschreven, wordt in de organisatie geïmplementeerd aan de hand van het PDCA-model (Plan-Do-Check-Act) om cyclisch te kunnen werken aan continue verbetering. Het geheel van alle maatregelen en processen resulteer in een uitvoeringsmatrix zoals beschreven in paragraaf 4.5

4.1. PLAN | Kaderstelling De kaderstellende documenten voor het M&O-beleid zijn: • De nota misbruik & oneigenlijk gebruik is de voorliggende nota. Deze is opgesteld onder de verantwoordelijkheid van de concerncontroller en wordt vastgesteld door de gemeenteraad. De concerncontroller is namens de gemeentesecretaris verantwoordelijk voor het toezien op de juiste implementatie van dit beleid en advisering aan het management over bijsturing hierop. •

Het integriteitsbeleid is een samenhangend beleid om het integer handelen van de medewerkers en de organisatie als geheel te versterken. Het omvat dus meer dan alleen beheersing van misbruik en oneigenlijk gebruik. Het integriteitsbeleid is de verantwoordelijkheid van de concerncontroller, en is vastgesteld door de gemeenteraad.

•

In het informatiebeveiligingsbeleid zijn de kaders en eisen opgenomen waaraan het veilig gebruik van informatiesystemen aan moet voldoen, alsook de wijze waarop deze informatiesystemen beschermd worden tegen bemoeienis van buiten de organisatie. Het informatiebeveiligingsbeleid is de verantwoordelijkheid van het hoofd IISO.

4.2. DO | Implementatie Het belangrijkste principe bij implementatie is de integrale verantwoordelijkheid van de lijnmanager voor de processen die onder hem/haar vallen. De lijnmanager organiseert het werk aan de hand van een procesbeschrijving, inclusief de ondersteuning door informatiesystemen. In de procesbeschrijving en het ontwerp van het informatiesysteem zijn onder andere de beheersmaatregelen ondergebracht ter voorkoming en detectie van misbruik en oneigenlijk gebruik. Feitelijk wordt hiermee het overgrote deel van het M&O-beleid geïmplementeerd. Een belangrijk instrument voor het lijnmanagement om goed de risico’s van misbruik en oneigenlijk gebruik bij een werkproces te kunnen analyseren, is de frauderisicoanalyse. Daarbij is de minimumstandaard dat minimaal 1 keer in de 4 jaar op iedere financiële transactiestroom een frauderisicoanalyse zal worden uitgevoerd.

Datum 11 maart 2025 Ons kenmerk 4034 Pagina 13

De implementatie van het informatiebeveiligingsbeleid vindt voor een groot deel plaats door de IT-afdeling van de organisatie (IISO). Daarnaast leggen zijn kaders en richtlijnen op hoe binnen de organisatie omgegaan dient te worden met informatiesystemen. Een groot deel van deze kaders en richtlijnen wordt daarmee uiteindelijk ingebed in de (technische) inrichting van de werkprocessen van een lijnafdeling. De uitvoering van het integriteitsbeleid draagt in belangrijke mate bij aan het M&Obeleid. Doordat medewerkers een eed of belofte doen, waarbij dit ook gaat over de gedragscode van de organisatie, worden medewerkers zich bewust van hun verantwoordelijkheden en verplichtingen. Met trainingen wordt ook na indiensttreding permanente aandacht geschonken aan het integer werken door medewerkers. Er is bovendien een meldpunt integriteit waar men bij vermoeden van schending van de integriteit door collega’s zich kan melden. Voor een melding geldt een protocol voor afhandeling. Omdat dit meldpunt vanwege de officiële status weleens gezien kan worden als een te grote of te formele stap, zijn er binnen de organisatie vertrouwenspersonen die makkelijk bereikbaar zijn en waar in vertrouwen zaken rondom integriteit besproken kunnen worden. Tevens heeft de gemeente een klokkenluidersregeling.

De verantwoordelijkheid voor het integriteitsbeleid, de adequate uitvoering hiervan inclusief de klokkenluidersregeling, is belegd bij de concerncontroller.

4.3. CHECK | Control & toezicht Vanuit het principe van integraal management is de lijnmanager de 1e lijn waar beheersmaatregelen tegen misbruik en oneigenlijk gebruik zijn geïmplementeerd en de werking hiervan wordt getoetst. Een extra toets op de opzet, het bestaan en de werking van de beheersmaatregelen vindt binnen de organisatie plaats door de Verbijzonderde Interne Controle (VIC) welke onder de concerncontroller valt. De uitkomsten van die controles zijn onderdeel van de interne sturing binnen de organisatie en van de rechtmatigheidsverantwoording van het college bij de jaarrekening. Als onderdeel van de jaarrekeningcontrole toetst de accountant het M&O-beleid en de werking hiervan. Een belangrijk onderdeel van de uitvoering van het informatiebeveiligingsbeleid is het regelmatig testen van de beveiliging en het monitoren van bedreigingen en ongeoorloofde pogingen om de systemen binnen te komen. Binnen de IT-afdeling is dit regulier werk en de uitkomsten worden op operationeel niveau direct opgepakt. Toezicht op de werking van het integriteitsbeleid wordt gedaan door periodiek een enquête onder het personeel te houden. Deze enquête geeft waardevolle informatie hoe het integriteitsbeleid bijgestuurd dient te worden. Ook de onderzoeken naar aanleiding van integriteitsmeldingen kunnen waardevolle informatie opleveren.

Datum 11 maart 2025 Ons kenmerk 4034 Pagina 14

4.4. ACT | Evaluatie Het controlesysteem is ingericht volgens het 3LM-model en bestaat dan ook uit 3 lijnen. Evaluatie en bijsturing op basis van informatie over misbruik en oneigenlijk gebruik en de risico’s hierop gebeurt ook via deze 3 lijnen. In de eerste lijn is de manager verantwoordelijk voor een adequaat inzicht in de risico’s, de beheersing en de mate waarin zich incidenten voordoen. Omdat de manager direct de lijn aanstuurt, kan hij ook direct bijsturen op basis van de informatie die hij heeft. Buiten de afdeling, maar nog binnen de organisatie oefenen de concerncontroller en de CISO toezicht uit op de lijnafdelingen. Bevindingen en adviezen worden niet meteen uitgevoerd, maar meegegeven aan de verantwoordelijke manager. De manager heeft de keuze de adviezen op te volgen. Als naar mening van de concerncontroller en CISO het niet of onvoldoende opvolgen van de adviezen onacceptabel is, kunnen concerncontroller en CISO escaleren naar de directie, en in principe ook naar het college. Jaarlijks geeft het college in de paragraaf bedrijfsvoering van de begroting naar de raad aan welke maatregelen het wil treffen ter verbetering van het M&O-beleid.

In de paragraaf bedrijfsvoering van de jaarrekening legt het college aan de raad verantwoording af over de effectiviteit van het M&O-beleid, de incidenten, en de door het college uitgevoerde bijsturing, en over de uitvoering van het integriteitsbeleid De accountant heeft met het opleveren van zijn controleverslag aan de raad een extra toezichthoudende rol. De adviezen van de accountant aan de raad kunnen door de raad als opdracht worden meegegeven aan het college als de raad de adviezen belangrijk genoeg vindt.

4.5. Uitvoeringsmatrix Misbruik & Oneigenlijk Gebruik 2025 PDCA

Uitvoeringsfase

Activiteit

Verantwoordelijke(n)

Frequentie

Plan

Beleid

1. 2. 3.

-

Concerncontroller Concerncontroller Hoofd IISO

-

Geldig tot een nieuwe vastgesteld wordt Geldig tot een nieuwe vastgesteld wordt Geldig tot een nieuwe vastgesteld wordt

Do

Implementatie

1e lijn Afdelingshoofden

-

Permanent

Afdelingshoofden Afdelingshoofden Afdelingshoofden 2e/3e lijn Concerncontroller Hoofd IISO Concerncontroller Teamleider HR Teamleider HR/concerncontroller Teamleider HR/concerncontroller Teamleider HR/concerncontroller

-

Permanent Permanent Permanent

-

Jaarlijks Permanent Permanent Permanent Bij indiensttreding Naar behoefte van team 1 x per jaar

12. Accountantscontrole 13. Verbijzonderde interne controle 14. Integriteitsmeldingen behandelen en integriteitsonderzoeken uitvoeren 15. ENSIA audit 16. Testen & monitoren informatiebeveiliging

-

Accountant Concerncontroller Concerncontroller

-

Jaarlijks Jaarlijks Afhankelijk van de melding

-

Hoofd IISO Hoofd IISO

-

Jaarlijks Jaarlijks

17. Paragraaf bedrijfsvoering jaarverslag 18. VIC-rapportages 19. Afdelingsplannen 20. Controlerapportage accountant

-

Concerncontroller Concerncontroller Afdelingshoofden Accountant

-

Jaarlijks Permanent Jaarlijks Jaarlijks

1.

2. 3. 4.

Nota misbruik & oneigenlijk gebruik 2025 Integriteitsbeleid Informatiebeveiligingsbeleid De identificatie, implementatie en borging van verplichte en noodzakelijk geachte aanvullende beheersmaatregelen (procesmanagement) Voorlichting aan inwoners en bedrijven Uitvoeren van frauderisicoanalyses Uitvoeren van het informatiebeveiligingsbeleid

5. Paragraaf bedrijfsvoering begroting 6. Uitvoeren van het informatiebeveiligingsbeleid 7. Klokkenluidersregeling 8. Eed & Belofte nieuwe medewerkers 9. Integriteitstraining nieuwe medewerkers 10. Integriteitstraining voor teams 11. Managementtraining Check

Act

Control & toezicht

Evaluatie & bijsturing

Datum 11 maart 2025 Ons kenmerk 4034 Pagina 16

5.

Handvatten voor leidinggevenden De leidinggevende speelt een cruciale rol bij het voorkomen en detecteren van misbruik en oneigenlijk gebruik binnen uw afdeling. Vanuit de rol als integraal manager is deze verantwoordelijk voor de beheersing van de processen, het implementeren van beheersmaatregelen en het zorgen dat uw medewerkers deze correct toepassen. Voor het herkennen van risico’s kan de leidinggevende letten op processen waarbij medewerkers beslissen over financiële middelen, waar informatie van burgers of bedrijven wordt gebruikt voor beslissingen, of waar weinig controles zijn ingebouwd. Ook processen met veel handmatige handelingen of waar onder grote tijdsdruk wordt gewerkt, verdienen extra aandacht. Het VIC-team kan de leidinggevende ondersteunen bij het uitvoeren van een frauderisicoanalyse. Zorg dat kritieke taken in een proces verdeeld zijn over verschillende medewerkers en dat belangrijke beslissingen door minimaal twee personen worden geaccordeerd. Werk procesmatig met actuele beschrijvingen en vastgelegde controlepunten. Documenteer afwijkingen van de standaardprocedures. Creëer een open cultuur waarin twijfels bespreekbaar zijn. Zorg ook dat nieuwe medewerkers goed worden ingewerkt en dat iedereen de integriteitstraining volgt. Bij vermoedens van misbruik wordt eerst een inschatting van ernst en impact gemaakt.

Kleine incidenten zonder duidelijke opzet worden afgehandeld met een correctief gesprek. Grotere incidenten of bij bewuste misleiding worden geëscaleerd naar het afdelingshoofd, de gemeentesecretaris of college. Voor ondersteuning kan de leidinggevende terecht bij de concerncontroller voor advies over beheersmaatregelen, het VIC-team voor frauderisicoanalyses, de CISO voor informatieveiligheidsvraagstukken, de integriteitscoördinator voor integriteitsbeleid en de vertrouwenspersonen voor het bespreken van dilemma's. Het jaarlijks evalueren van de effectiviteit van de maatregelen, de actualiteit van procesbeschrijvingen en het risicobewustzijn is een belangrijke activiteit voor het verkrijgen van een gezamenlijk inzicht en noodzakelijke maatregelen. Daarbij kunnen inzichten die de 2e en 3e lijn hebben zeer behulpzaam zijn.

Datum 11 maart 2025 Ons kenmerk 4034 Pagina 17

Bijlage 1 | Geraadpleegde bronnen •

‘Besluit accountantscontrole decentrale overheden’, https://wetten.overheid.nl/BWBR0015524/2017-12-09

•

Commissie BBV, ‘Kadernota rechtmatigheid 2018’, 2018.

•

Commissie BBV, ‘Kadernota rechtmatigheid 2024’, oktober 2024

•

Gemeente Den Haag, ‘Nota voorkomen misbruik en oneigenlijk gebruik (M&O) 2019’, 2019.

•

Gemeente Doetinchem, ‘M&O beleid’, november 2021.

•

Gemeente Haarlem, ‘Notitie voorkomen en bestrijden misbruik en oneigenlijk gebruik (M&O)’, 25 mei 2021.

•

Gemeente Hoeksche Waard, ‘Besluit van de gemeenteraad van de gemeente Hoeksche Waard houdende regels omtrent misbruik en oneigenlijk gebruik Nota Voorkoming Misbruik en Oneigenlijk Gebruik Gemeente Hoeksche Waard’, 2019

•

Gemeente Leidschendam-Voorburg, ‘M&O-beleid’, 2010.

•

Gemeente Winterswijk, ‘Beleidskader voorkomen Misbruik en Oneigenlijk gebruik 2019-2022’, 2019.

•

Gemeente Lansingerland, ‘Voorkomen van Misbruik & Oneigenlijk gebruik’, T23.03378, 2023

•

VNG Risicobeheer, ‘Wat als?’, 2017.