Rapportage 213a doelmatigheidsonderzoek doorontwikkeling frauderisicorapportage

Rapportage 213a doelmatigheidsonderzoek doorontwikkeling frauderisicoanalyse

Inhoud 1.

Inleiding ...............................................................................................................................................................................................................................................................................3 1.1

Aanleiding......................................................................................................................................................................................................................................................................3

1.2

Doel ................................................................................................................................................................................................................................................................................4

1.3

Leeswijzer ......................................................................................................................................................................................................................................................................4

2

Samenvatting ......................................................................................................................................................................................................................................................................5

3

Aanpak & onderzoeksmethode ..........................................................................................................................................................................................................................................6

4

5

3.1

Aanpak eerste ronde frauderisicoanalyse ...................................................................................................................................................................................................................6

3.2

Aanpak doorontwikkeling frauderisicoanalyse ..........................................................................................................................................................................................................6

Bevindingen en observaties ...............................................................................................................................................................................................................................................9 4.1

Algemene observaties ..................................................................................................................................................................................................................................................9

4.2

Bevindingen op hoofdlijnen per proces ......................................................................................................................................................................................................................9

Vervolg ...............................................................................................................................................................................................................................................................................16

1. Inleiding 1.1

Aanleiding

In 2023 hebben wij in de stadsbegroting aangekondigd dat we in 2024 een doelmatigheidsonderzoek1 naar frauderisicoanalyses uitvoeren. Doelmatigheid gaat over de mate waarin we met een zo beperkt mogelijke inzet van middelen maximale prestaties realiseren, of een hogere kwaliteit bereiken zonder extra middelen te gebruiken. We hebben dit onderwerp gekozen omdat inwoners erop moeten kunnen vertrouwen dat de gemeente effectief en efficiënt omgaat met gemeenschapsgeld en dat we onze doelen weten te bereiken. Daarnaast is het cruciaal dat we transparant en integer handelen. We moeten oog hebben voor kwetsbaarheden in onze werkprocessen, softwareapplicaties en personele functies, zodat we passende en afgewogen maatregelen kunnen nemen. Dit vraagt om voortdurende aandacht en scherpte binnen onze organisatie. Naar aanleiding van bevindingen in de accountantsrapportages van 2018 en 2019 en in het licht van fraudegevallen bij andere gemeenten2 heeft Stadscontrol tussen 2021 en 2022 voor het eerst een frauderisicoanalyse uitgevoerd. Hiervoor heeft Stadscontrol samen met de betreffende afdelingen in totaal 16 werkprocessen geanalyseerd. Met deze analyses heeft Stadscontrol circa 80% van de door de VNG als fraudegevoelig aangemerkte processen doorgelicht. De bevindingen zijn in maart 2023 door de directie vastgesteld.

De accountant adviseert ons dit verder door te ontwikkelen en te borgen binnen de reguliere bedrijfsvoering. Uit de eerste analyse bleek dat risico’s op fraude niet altijd expliciet werden meegenomen bij de inrichting en herziening van kwetsbare dienstverlening. Voorbeelden uit het hele land, zoals valse paspoorten, nepfacturen en interne fraude laten zien dat dit risico reëel is. Deze eerste frauderisicoanalyse vormde het startpunt om meer “in control” te komen op het gebied van frauderisico’s en de weerbaarheid van kwetsbare functies te verhogen. Na deze “eerste ronde” is echter nog geen sprake van structurele borging van frauderisicomanagement. Frauderisicomanagement is immers een continu proces dat voortdurend aandacht behoeft. Frauderisicoanalyse als onderdeel van frauderisicomanagement De doorontwikkeling van de frauderisicoanalyse maakt deel uit van een breder traject. Om fraude te voorkomen of, als deze zich voordoet, snel op te merken en te reageren, is voortdurende aandacht nodig. Het management erkent de noodzaak om als organisatie blijvend aandacht te hebben voor dit onderwerp en streeft naar een structurele borging in de organisatie. Daarom is Stadscontrol in maart 2024 gestart met de uitrol van een breed programma op het gebied van frauderisicomanagement.

Dit programma heeft een verwachte doorlooptijd van twee jaar en heeft als doel om frauderisicomanagement binnen de afdelingen te integreren en te borgen. Het bestaat uit vier sporen: 1. 2. 3. 4.

Het actualiseren en completeren van de frauderisicoanalyses. Monitoring van de opvolging van aanbevelingen (follow-up). Het creëren van bewustzijn op alle lagen. De overdracht aan de 1e en 2e lijn.3

Artikel 213a van de Gemeentewet verplicht het College tot doelmatigheidsonderzoeken. Zie ook de voorbeelden op de voorpagina. 3 De eerste lijn verwijst naar de operationele functies die risico's beheren en controles uitvoeren als onderdeel van hun dagelijkse werkzaamheden. De tweede lijn omvat ondersteunende en adviserende functies. 1 2

Deze vier sporen lopen deels naast elkaar en versterken elkaar. Deze aanpak is opgesteld in nauwe afstemming met de accountant en houdt zoveel mogelijk rekening met zijn aanbevelingen op het gebied van frauderisicomanagement. Met de uitvoering van spoor 1 en spoor 2 van het programma geven wij invulling aan het 213 a onderzoek. Door opnieuw in gesprek te gaan over de 16 reeds geanalyseerde werkprocessen, willen we scherp krijgen wat er intern met de aanbevelingen uit 2022 is gedaan, of we nieuwe frauderisico’s lopen en hoe we komen tot structurele borging. De opvolging van aanbevelingen en bewustzijnsveranderingen na uitvoering van de risicoanalyses biedt belangrijke handvatten voor de toekomst.

1.2

Doel

Met dit onderzoek willen we scherp krijgen wat er intern met de aanbevelingen uit 2022 is gedaan, of we nieuwe frauderisico’s lopen in (nieuwe) processen en hoe we komen tot structurele borging. Deze inzichten vormen de basis voor het bredere programma omtrent frauderisicomanagement. Het uiteindelijke doel van dit programma is de borging van frauderisicomanagement binnen de organisatie. De actualisatie van bestaande analyses en bespreking van de opvolging i.h.k.v. het 213 a onderzoek levert een belangrijke bijdrage in dit geheel. Wij streven ernaar om frauderisicomanagement als helder iteratief proces in te bedden in de interne beheersomgeving. Het eigenaarschap voor de periodieke uitvoering/monitoring is na de uitvoering van het tweejarige programma overgedragen aan de lijn en duidelijk belegd. Daarnaast dragen de geplande activiteiten bij aan het: 1. 2.

1.3

Waar mogelijk meer fraudebestendig maken van de processen, systemen en functies. Daarbij willen we meer risicogestuurd werken in plaats van traditioneel risicomanagement.4 We identificeren en classificeren de risico’s, treffen maatregelen en/of maken expliciet keuzes bij het nemen van risico’s. Verhogen van (fraude)risicobewustzijn op verschillende lagen binnen de organisatie. Door de analyses hebben leidinggevenden en medewerkers in beeld welke functies, systemen en bedrijfsprocessen kwetsbaar zijn. Binnen het periodieke persoonlijke ontwikkelgesprek is oog voor het thema fraude. Daarnaast streven wij naar een verhoogd bestuurlijk risicobewustzijn op fraude. Bestuurders zijn zich bewust van de vormen van fraude die binnen een gemeente kunnen optreden. Ook hebben zij een beeld bij de maatregelen die de gemeente Nijmegen treft om de risico’s zo veel mogelijk te beheersen.

Leeswijzer

In deze rapportage presenteren we de belangrijkste uitkomsten van het doelmatigheidsonderzoek naar de frauderisicoanalyse. We beginnen met een samenvatting (§2), gevolgd door een toelichting op de aanpak van het onderzoek (§3). In §4 bespreken we de bevindingen en observaties, waarbij we ook ingaan op de belangrijkste ontwikkel- en aandachtspunten voor de voortzetting van het programma de komende twee jaar. Tot slot lichten we toe hoe het vervolg eruit zal zien (§5).

Traditioneel risicomanagement richt zich op het voorkomen van problemen door risico’s te identificeren en beheersen met vaste stappen en controles, vaak om onzekerheid te vermijden. Risicogestuurd werken is flexibeler en richt zich op het omgaan met onzekerheid door constant te bepalen welke risico’s belangrijk zijn voor de organisatiedoelen. Het speelt sneller in op veranderingen en is minder afhankelijk van vaste regels. 4

2 Samenvatting In de stadsbegroting van 2023 werd aangekondigd dat in 2024 een doelmatigheidsonderzoek naar frauderisicoanalyses zou worden uitgevoerd. Dit onderzoek is gestart om te waarborgen dat de gemeente effectief en efficiënt omgaat met gemeenschapsgeld en de gestelde doelen bereikt. Het is van groot belang dat de gemeente transparant en integer handelt, en aandacht heeft voor kwetsbaarheden in werkprocessen, software en personele functies. Tussen 2021 en 2022 voerde Stadscontrol een eerste frauderisicoanalyse uit waarbij 16 werkprocessen, goed voor 80% van de door de VNG als fraudegevoelig aangemerkte processen, zijn doorgelicht. Deze eerste frauderisicoanalyse is ingegeven door bevindingen uit accountantsrapportages van 2018 en 2019 en fraudegevallen bij andere gemeenten. Uit de eerste analyse bleek dat risico’s op fraude niet altijd expliciet werden meegenomen bij de inrichting en herziening van kwetsbare processen. De analyses waren een startpunt om weerbaarder te worden tegen fraude, maar van structurele borging van frauderisicomanagement was op dat moment nog geen sprake. De doorontwikkeling van de frauderisicoanalyse maakt deel uit van een breder traject. In 2024 is Stadscontrol gestart met een programma dat zich richt op het implementeren en borgen van frauderisicomanagement. Dit programma bestaat uit vier sporen: 1. 2. 3. 4.

Het actualiseren en completeren van de frauderisicoanalyses. Monitoring van de opvolging van aanbevelingen (follow-up). Het creëren van bewustzijn op alle lagen. De overdracht aan de 1e en 2e lijn.

Met de uitvoering van spoor 1 en spoor 2 van het programma geven wij invulling aan het doelmatigheidsonderzoek naar frauderisicoanalyses. Door opnieuw in gesprek te gaan over de 16 reeds geanalyseerde werkprocessen, willen we scherp krijgen wat er intern met de aanbevelingen uit 2022 is gedaan, of we nieuwe frauderisico’s lopen en hoe we komen tot structurele borging. Uit de actualisatiegesprekken blijkt dat de eerder geïdentificeerde risico’s grotendeels onveranderd zijn. Alle afdelingen hebben maatregelen genomen om externe en interne fraude te beperken. Maar deze maatregelen zijn niet altijd op basis van expliciete afwegingen getroffen. Het bewustzijn over interne frauderisico’s is nauwelijks gegroeid sinds de eerste frauderisicoanalyses. Eerdere aanbevelingen hieromtrent hebben zelden tot concrete acties geleid. Aandacht voor fraude richt zich vooral op externe fraude. Veel afdelingen vertrouwen op hun bestaande processen en er is veel onderling vertrouwen. Medewerkers voelen zich meestal niet kwetsbaar in hun functie. Hoewel dit vaak terecht is, blijft extra kennis en aandacht voor zowel interne als externe fraude noodzakelijk om de organisatie weerbaarder te maken. Op basis van deze uitkomsten kunnen we conclusies trekken over het bewustzijn binnen de organisatie, de beheersing van risico’s en de verbeterpunten per afdeling.

Daarnaast bieden de resultaten inzicht in hoe de frauderisicoanalyse functioneert als hulpmiddel. De frauderisicoanalyse is een belangrijk instrument om risico’s te identificeren en passende maatregelen te treffen. Maar de echte waarde ligt in de juiste toepassing, bespreking van de uitkomsten en de opvolging. In het verleden werd vooral de analyse uitgevoerd, zonder dat frauderisicomanagement als systeem werd geborgd. Om frauderisicomanagement te versterken, is het belangrijk te investeren in een risicobewuste cultuur, betere communicatie en risicogestuurd werken. Structurele monitoring en verantwoording zijn daarbij essentieel. In de komende periode zal Stadscontrol samen met staffunctionarissen en het management deze verbeterpunten verder uitwerken en implementeren, zodat de organisatie weerbaarder wordt tegen fraude. Het programma zal naar verwachting een looptijd van twee jaar hebben.

3 Aanpak & onderzoeksmethode Bij de doorontwikkeling van de frauderisicoanalyse zijn wij zijn uitgegaan van bestaande analyses uit de eerste ronde tussen 2021 en 2022. Hiervoor is het belangrijk om kort toe te lichten, hoe deze analyses destijds vormgegeven zijn. Daarom staan we in dit hoofdstuk kort stil bij de aanpak van de eerste ronde. Daarna volgt een toelichting op de aanpak van de actualisatie en follow-up.

3.1

Aanpak eerste ronde frauderisicoanalyse

Voor identificatie van frauderisico’s en bewustwording hebben we de medewerkers gesproken die in het werkveld staan. Zelf kennen de medewerkers de eigen systemen en processen met hun sterktes en kwetsbaarheden immers het beste. Ook het lijnmanagement hebben we vanuit hun verantwoordelijkheid bij de gesprekken betrokken. Samen met deze medewerkers hebben we de betreffende processen doorgelicht en onderworpen aan een frauderisicoanalyse. Doel van een frauderisicoanalyse is om te signaleren in hoeverre we kwetsbare processen goed beheersen, of medewerkers naast kennis over risico’s ook risicobewust handelen en/of dergelijke situaties herkennen. Invulling frauderisicoanalyse gesprek In de gesprekken hebben we gestructureerd in kaart gebracht:

1. 2. 3. 4. 5. 6. 7.

Wat de werkzaamheden in het werkproces zijn Hoe medewerkers hier in de dagdagelijkse praktijk invulling aan geven Waar volgens hen (en ons) mogelijk frauderisico’s liggen Of er al maatregelen genomen zijn om dit te voorkomen Of er aanvullende maatregelen nodig zijn In kaart brengen of het kwetsbare functies zijn In welke mate medewerkers en managers zich bewust zijn van interne en externe frauderisico’s.

De uitkomsten zijn in de vorm van verslagen gedeeld met de betreffende teamleiders, managers en betrokken collega’s. Alle betrokkenen zijn toen verzocht om dit onderwerp onder de aandacht te brengen en de uitkomsten binnen hun teams te bespreken.

3.2

Aanpak doorontwikkeling frauderisicoanalyse

Om te beoordelen in hoeverre de aanpak van de frauderisicoanalyse in de eerste ronde gewerkt heeft, hebben wij actualisatie- en follow up gesprekken gevoerd op basis van de eerder gedane frauderisicoanalyses (zie hieronder). Naast de inhoudelijke experts en de betreffende teamleiders hebben wij ook de door de concernmanager aangewezen staffunctionaris betrokken bij de gesprekken. Dit met als doel om de functionarissen ten behoeve van de overdracht aan de lijn bekend en vertrouwd te maken met het onderwerp en de gespreksmethodes. Om de staffunctionarissen goed mee te nemen, hebben wij bovendien een gezamenlijke kick-off georganiseerd. Tijdens de kick-off hebben

we samen met de staffunctionarissen de beoogde planning doorlopen, aandacht besteed aan de verschillende vormen van fraude en de lange termijn ambitie m.b.t. de structurele borging van frauderisicomanagement binnen de afdelingen besproken. Gekozen werkprocessen Volgende werkprocessen zijn in de eerste ronde geanalyseerd. Een toelichting per proces volgt in hoofdstuk 3. Kwetsbaar werkgebied

Werkproces

Innen

Waardering van panden

Uitbesteden

Inkoop en facturatie Beheer panden (bouwproces; onderhoud en nieuwbouw)

Uitkeren

Aanvraag participatiewet Verstrekkingen bijzondere bijstand Subsidieverlening MO

Verlenen

Identiteitscontrole (inname) Brondocumenten

Handhaven

Veiliger Wijkteams

Geld

Deurwaarderij Salarisadministratie Exploitatie wijkaccommodaties

Informatie

Neuron i.c.m. datawarehouse en gegevensmagazijn Autorisatie belastingapplicatie Gebruik Citycontrol

Invulling actualisatie- en follow-up gesprek Samen met inhoudelijke experts hebben wij expliciet stil gestaan bij de opvolging en implementatie van eerdere aanbevelingen, belangrijke ontwikkelingen en het (fraude)bewustzijn binnen de afdeling of team. 1. Wat zijn de belangrijkste ontwikkelingen binnen dit proces?

2. 3. 4. 5.

Zijn er nieuwe risico’s? Zijn de maatregelen nog steeds van kracht? Zijn er aanvullende maatregelen? Wordt het risico op interne dan wel externe fraude weleens besproken binnen het team of de afdeling? In hoeverre zijn aanbevelingen uit de eerste ronde opgevolgd?

De uitkomsten worden ook in dit traject met de betrokken collega’s en managers gedeeld. Ook geven de uitkomsten ons waardevolle inzichten over de werking van frauderisicoanalyse als middel om grip te krijgen op frauderisico’s. Deze inzichten en lessen vormen de basis voor onze vervolgaanpak. Anders dan de eerste keer volgt nog een heel traject bestaande uit verschillende bewustzijnsverhogende interventies zoals gesprekken met managementteams binnen de afdelingen, het delen van praatplaten en het nauw betrekken van de staffunctionarissen. Meer informatie over het vervolg volgt in hoofdstuk 4.

4 Bevindingen en observaties 4.1

Algemene observaties

Uit de actualisatiegesprekken blijkt dat de eerder geïnventariseerde risico’s grotendeels nog steeds worden herkend en nagenoeg gelijk blijven. Alle afdelingen hebben, expliciet of impliciet, maatregelen getroffen die het risico op zowel externe als interne fraude kunnen verminderen. Er is geen enkel proces zonder beheersmaatregelen. Dit betekent echter niet altijd dat er sprake is van een hoog bewustzijn of dat afdelingen expliciet afwegingen maken rondom deze risico's. Zo blijkt namelijk dat het bewustzijn over intern frauderisico nauwelijks is gegroeid ten opzichte van de eerste frauderisicoanalyses. Ondanks eerdere aanbevelingen en oproepen om meer te investeren in bewustwording, hebben deze zelden geleid tot concrete acties. Wanneer er aandacht is voor fraude, richt deze zich meestal op externe fraude. Veel afdelingen vertrouwen sterk op hun bestaande processen. Er is sprake van een hoog onderling vertrouwen, en medewerkers voelen zich over het algemeen nauwelijks kwetsbaar in hun functie. Vaak is dit terecht, maar extra kennis en aandacht voor zowel interne als externe fraude blijven noodzakelijk om als organisatie weerbaarder te worden tegen fraude. In afdelingen waar het bewustzijn al hoger was, zijn er extra maatregelen genomen naar aanleiding van eerdere aanbevelingen. Met name afdelingen met direct burgercontact nemen expliciete maatregelen tegen externe fraude.

Na de eerste frauderisicoanalyse hebben zij daarnaast ook aanvullende maatregelen getroffen om de kans op interne fraude te verkleinen. Echter, de meerderheid van de afdelingen heeft na de eerste ronde niet of nauwelijks iets gedaan met de aanbevelingen. Bij zeker 7 werkprocessen zien we dan ook nog steeds veel ruimte voor verbetering in het beheersingsniveau. Dit vergt de komende tijd extra aandacht en inspanning van zowel management als inhoudelijk deskundigen.

4.2

Bevindingen op hoofdlijnen per proces

Toelichting begrippen in de tabel In het frauderapport worden verschillende termen besproken, waaronder inherent risico, restrisico en beheersingsniveau: • • • •

Het inherent risico is het risico dat altijd aanwezig is zonder maatregelen. Het restrisico is het overgebleven risico na het nemen van maatregelen. Het beheersingsniveau laat zien hoe goed je risico's kunt beheersen. Met sterke maatregelen heb je een hoog beheersingsniveau, terwijl weinig of geen maatregelen een laag niveau betekent. Met 4-ogen-principe wordt bedoeld dat bij belangrijke beslissingen of controles altijd twee medewerkers betrokken zijn. Dit helpt om fouten of fraude te voorkomen, omdat één persoon het werk van de ander controleert. Het zorgt voor extra zekerheid binnen de interne beheersing.

In de navolgende tabel wordt per werkproces het restrisico weergegeven en toegelicht, met classificaties in groen, geel en rood om de ernst aan te geven. Hieronder volgt een korte toelichting van de drie classificaties: Groen

Het restrisico is laag. Het resterende risico is goed onder controle. Dit kan komen door sterke beheersmaatregelen en/of door de lage inherente impact van het risico.

Geel

Het restrisico is gemiddeld. Er is nog een redelijke kans is dat fraude kan optreden.

Rood

Het restrisico is hoog. Dit kan komen door matige of slechte beheersing, of omdat het proces inherent veel (fraude)risico’s kent.

Duiding tabel In onderstaande tabel geven wij per werkproces een korte procesbeschrijving, een overzicht van de belangrijkste frauderisico’s en een inschatting van het restrisico, met een toelichting daarop. Wij komen tot de volgende restrisico inschattingen: Restrisico

Stoplicht

Aantal werkprocessen

Hoog restrisico

1 werkproces

Gemiddeld restrisico

7 werkprocessen

Laag restrisico

5 werkprocessen

Vijf processen hebben een laag restrisico. Dit komt deels door een hoog beheersingsniveau, maar ook omdat sommige werkprocessen inherent minder risicovol zijn. Bijvoorbeeld doordat ze niet met materiële bedragen te maken hebben of geen burgercontact omvatten, wat het risico op externe fraude vermindert. Omgekeerd betekent dit dat niet alle processen met een gemiddeld risico slecht beheerst zijn. Integendeel, sommige van deze processen hebben een hoog beheersingsniveau. Toch kan het restrisico aanzienlijk blijven vanwege de inherente hogere risico’s van het proces. Het proces met een hoog restrisico heeft een combinatie van minder stevige beheersmaatregelen en een relatief hoog inherent risico.

Werkproces

Beschrijving

Belangrijkste frauderisico’s

Waarderen woningen en nietwoningen

Het taxeren van woningen en nietwoningen oftewel het bepalen van de WOZ-waarden. En het heffen en innen van gemeentelijke belastingen, in sommige gevallen met inzet van een deurwaarder.

•

Manipulatie van brongegevens in belastingapplicaties voor eigen/andermans (bijv. bevriende relatie) gewin

•

Deal met vastgoedeigenaar (samenspanning)

• •

Fraude door vastgoedeigenaar

Inkoop, facturatie & betaling

Piketdienst onderhoud gebouwen, voorzieningen, installaties

•

Belangenverstrengeling bij contractering

• •

Ontvangen steekpenningen

Collega’s uit verschillende teams zijn na werktijd beschikbaar om indien nodig problemen of calamiteiten op te lossen. Hiervoor worden regelmatig leveranciers ingezet.

• • •

Toelichting oordeel De materiële risico’s in dit proces worden goed beheerst door een reeks checks o.a. via functiescheiding, 4-ogen principe, interne controle en extern toezicht. Processen worden actueel gehouden. Het frauderisico bewustzijn is redelijk hoog.

Oninbaar verklaren van betalingen door deurwaarder voor eigen gewin

Inkoop van goederen (beeldscherm, lampen), diensten (onderhoud weg of gebouw, verlenen zorg) of werken (aanleg brug) of een combinatie ervan. De gecoördineerde inkoopfunctie ondersteunt bij aanbestedingen boven EUR 50.000.

•

Restrisico

Fraude door leverancier (spookfacturen, te hoge tarieven) Betaling aan zichzelf door medewerker (nep-crediteur, onjuist bankrekening) Aanbesteding (>€50K) naar bevriende relatie Factuur te hoog of nep Samenspanning met leveranciers

Hoewel het proces veel beheersmaatregelen kent, brengt de versnippering ervan en het niet altijd consequent raadplegen van inkoopadviseurs risico's met zich mee. Kleinere inkopen worden volledig buiten bureau inkoop om gedaan. Er is sprake van mitigerende maatregelen in het proces zoals de toepassing van functiescheiding, vastgelegde eenheidsprijzen, controles op facturen, incidentele controles van geleverde diensten en 4-ogen-checks bij grote klussen.

Werkproces

Beschrijving

Belangrijkste frauderisico’s

Beheer panden – bouwproces, onderhoud en nieuwbouw

Beheer panden: Het Bouwteam is verantwoordelijk voor het beheer, onderhoud, (ver)bouw en verkoop van gemeentelijke accommodaties in Nijmegen, van klein onderhoud tot nieuwbouw.

•

Afhankelijkheid van één aannemer of adviseur

• •

Omkoping van medewerkers

Exploitatie horeca accommodaties

De dagelijkse exploitatie van de accommodaties. Hierin staan werkzaamheden in de horeca centraal. Bijvoorbeeld verkoop van drank en versnaperingen bij wijkaccommodaties, het Triavium of een speeltuin.

•

Kasverschil door ontvreemding of gratis weggeven Ontvreemden voorraad Vals geld

•

Rechtmatigheid kosten reparaties speeltuinen

Wanneer Nijmegenaren even geen inkomen of tijdelijk een laag inkomen hebben, kunnen ze bij de gemeente een aanvraag indienen voor ondersteuning in het levensonderhoud; de uitkering.

•

Fraude door aanvrager via aanleveren onjuiste informatie

• •

Betaling aan zichzelf door medewerker

Verstrekken uitkeringen (participatiewet)

• •

Prijsafspraken tussen bouwbedrijven

Druk op medewerker van buitenaf

Restrisico

Toelichting oordeel Het proces kent verschillende maatregelen, zoals overleg bij groot meerwerk en het 4ogen-principe bij de beoordeling van offertes. Het prijsbewustzijn is gestegen. Tegelijkertijd zien we nog veel ruimte voor verbetering in de beheersing van en het bewustzijn over frauderisico’s. Omdat er in dit proces met materiële bedragen wordt gewerkt, is het restrisico momenteel hoog. De afdeling heeft een aantal maatregelen genomen om de genoemde risico’s te beperken. Deze zijn echter niet allemaal afdwingbaar, worden niet altijd nageleefd en zijn deels moeilijk controleerbaar en te handhaven. Omdat de risico’s inherent beperkt zijn, is het restrisico gemiddeld. Het proces kent meerdere maatregelen waaronder checks met andere systemen, functiescheiding en het 4-ogen-principe. Aanvragen van familie/vrienden worden door andere medewerker behandeld. Er is veel aandacht voor risico’s op externe fraude. Hoewel het om materiële bedragen gaat, lijkt de kans op fraude door genomen maatregelen beperkt.

Werkproces

Beschrijving

Belangrijkste frauderisico’s

Verstrekkingen bijzondere bijstand

De bijzondere bijstand is bedoeld voor Nijmegenaren die financiële ondersteuning nodig hebben voor het betalen van noodzakelijke (onvoorziene) kosten. Het gaat om kosten die ontstaan door bijzondere of dringende omstandigheden.

•

Fraude door aanvrager via aanleveren onjuiste informatie

• •

Betaling aan zichzelf door medewerker

Het sociaal domein maakt van oudsher veel gebruik van subsidies om doelstellingen te bereiken. Het subsidieproces proces gaat over het subsidieproces van het moment van aanvraag door een (natuurlijke) rechtspersoon tot en met de verstrekking van de subsidie door de gemeente. Het subsidiebureau begeleidt en ondersteunt dit proces. Identiteitscontrole is het startpunt van alle werkprocessen in relatie met de burger. Te denken valt aan uitgifte identiteitsbewijs, rijbewijs en toekennen van vergunningen.

•

Subsidieontvanger gaat er met geld vandoor

•

Subsidieontvanger verstrekt valse informatie

•

Belangenverstrengeling medewerker/subsidie-ontvanger

•

Geld ontvreemd door medewerker

• •

Identiteitsfraude Druk op medewerker van buitenaf (bijv. bedreiging) Omkoping van medewerker

Subsidieverlening

Identiteitscontrole publiekszaken

•

Druk op medewerker van buitenaf

Restrisico

Toelichting oordeel Er is sprake van een reeks van maatregelen waaronder functiescheiding, 4-ogen-principe, VOG bij indiensttreding en huisbezoeken bij twijfel. Aanvragen van familie/vrienden worden door andere medewerker behandeld. Er is veel aandacht voor risico’s op externe fraude. Medewerkers bespreken lastige situaties regelmatig met elkaar. Tegelijkertijd zijn er nog kwetsbaarheden in het proces waar de afdeling zich bewust van is. De organisatie weet het subsidiebureau steeds beter te vinden. Er is een reeks van beheersmaatregelen waaronder het aanleveren van bewijsstukken, controle via verantwoording en de procesondersteuning door het subsidiebureau. De afdeling wil de aandacht voor interne en externe fraude verder verhogen door middel van een inwerken introductieprogramma. De afdeling neemt diverse maatregelen om het risico op identiteitsfraude en externe fraude te beperken, zoals functiescheiding, beperkte toegang tot ruimtes en kluizen, en opleidingen. Hoewel het beheersingsniveau hoog is, maakt de aard van de werkzaamheden het proces inherent kwetsbaar en risicovol.

5 6

Werkproces

Beschrijving

Belangrijkste frauderisico’s

Restrisico

Toelichting oordeel

(inname) Brondocumenten

Wanneer inwoners van Nijmegen of migranten iets willen wijzigen in de BasisRegistratie Persoonsgegevens (BRP), moet de IND de echtheid van stukken controleren. Dit houdt in dat het identificatiebewijs fysiek naar de IND gestuurd moet worden, waardoor de klant tijdelijk zijn identificatiebewijs bij de gemeente moet achterlaten.

•

Ontvreemden brondocument en verkoop ervan op zwarte markt

•

Identiteitsfraude via digitale documenten

Salarisadministratie personeel

Het proces omvat de mutaties in het personeels- en salarissysteem tot de betaalopdracht aan de Bedrijfsadministratie.

• • •

Valse declaraties (Te) hoge gratificatie Betaling aan zichzelf

Het proces kent een aantal sterke beheersmaatregelen zoals steekproefsgewijze controles op facturen bij declaraties, advisering door P&O en functiescheiding.

Gegevensbeheer datawarehouse (Neuron)

Neuron is de beheer-omgeving van het “gegevensmagazijn” en “datawarehouse”. Het stelt de beheerders in staat schema’s aan te maken, gebruikers te beheren en de processen die data verwerken (scripts) te beheren/plannen.

• •

Verkoop van data Manipuleren van data voor eigen/andermans gewin

Het proces kent een aantal preventieve maatregelen5 om de risico’s op verkoop of manipulatie van data te verminderen. Maar de risico’s kunnen zich door beperkte opsporingsmaatregelen6 ongemerkt toch voordoen.

De afdeling heeft aanvullende beheersmaatregelen geïmplementeerd om kwetsbaarheden in het proces te verkleinen, wat heeft geleid tot een hoog beheersingsniveau. Desondanks blijft dit door de aard van de werkzaamheden een inherent kwetsbaar proces.

Preventieve maatregelen zijn acties die je neemt om problemen te voorkomen voordat ze ontstaan. Opsporingsmaaregelen oftewel Detectieve maatregelen zijn acties waarmee je problemen opspoort nadat ze zijn ontstaan, zodat je ze kunt oplossen.

Werkproces

Beschrijving

Belangrijkste frauderisico’s

Handhaving & gegevensbeheer (Citycontrol)

De BOA’s van het team toezicht & handhaving zetten zich dagelijks in voor een leefbare openbare ruimte. De meldingen via de meld- en herstelapp vormen het startpunt voor het werk op straat. Verschillende overtredingen, strafbare feiten op straat en waarnemingen op personen worden vastgelegd en beheerd in de applicatie Citycontrol

-

Omkoping BOA’s Onterechte bekeuringen Misbruik van positie als BOA Doorgegeven of verkoop van persoonsgegevens

Restrisico

Toelichting oordeel Team toezicht & handhaving heeft aanvullende maatregelen getroffen in hun werkwijze en m.b.t. het gebruik van de applicatie. Het beheersingsniveau en het bewustzijn bij collega’s is hoog. Dat neemt echter niet weg dat de aard van de werkzaamheden dit een bijzonder kwetsbaar proces maken.

Betekenis voor de doorontwikkeling van de frauderisicoanalyse Op basis van bovenstaande uitkomsten kunnen we enkele conclusies trekken over het bewustzijn binnen de organisatie, de kwaliteit van de beheersing, de risico’s die we daardoor lopen, en de verbeterpunten per afdeling (zie 4.1 Algemene Observaties). Daarnaast bieden de resultaten ook inzicht in hoe de frauderisicoanalyse functioneert als hulpmiddel. Het is een cruciaal instrument binnen frauderisicomanagement om risico’s gestructureerd te identificeren, te beoordelen en op basis daarvan passende beheersmaatregelen vast te stellen. Echter, een instrument op zichzelf heeft beperkte waarde. De werkelijke waarde ontstaat door de juiste toepassing, open bespreking van de uitkomsten en een actieve opvolging van de voorgestelde maatregelen. Zonder deze stappen blijft de toepassing van het instrument slechts een theoretische exercitie. In het verleden lag de nadruk vooral op het uitvoeren van deze analyse. Hierdoor werd frauderisicomanagement echter niet als geheel geborgd. Het is niet voldoende om de uitkomsten van de analyse, zoals eerder gebeurde, simpelweg te communiceren zonder verdere monitoring van de opvolging.

Om frauderisicomanagement als een effectief systeem te verankeren, moeten we in de toekomst meer investeren in het creëren van een risicobewuste cultuur, het verbeteren van de interne communicatie over frauderisico’s, en het bevorderen van risicogestuurd werken als uitgangspunt. Daarnaast is structurele monitoring en verantwoording essentieel. Samen met de stafmedewerkers en het management zullen we deze aspecten in de toekomst verder vormgeven. Zie in volgend hoofdstuk hoe we dit willen aanpakken.

5 Vervolg Zoals eerder aangegeven zullen wij de komende 1,5 jaar verder invulling geven aan de andere drie sporen van het tweejarige programma, te weten: 1. 2. 3.

Het completeren van de frauderisicoanalyses; het creëren van bewustzijn op alle lagen, overdracht aan de 1e en 2e lijn.

In Q3 en Q4 2024 gaan wij verder met het doorlichten van nog niet eerder onderzochte mogelijk kwetsbare processen (spoor 1 -completeren frauderisicoanalyse). We zullen minimaal de volgende nog niet onderzochte processen doorlichten: • • • • • •

Het innen van leges Verhuur en verkoop van panden Verlenen van vergunningen Eerste inschrijving en wijzigingen in de basisregistratie Personen WMO/jeugd indicatie Besluitvormingsprocessen

Ook besteden wij in het tweede halfjaar meer aandacht aan het creëren van bewustzijn op meerdere lagen binnen de organisatie (spoor 2). Zo willen wij aan de hand van overzichtelijke praatplaten in gesprek gaan met de verschillende managementteams binnen de afdelingen. Per afdeling bepalen wij daarnaast samen met de aangewezen staffunctionaris wat er nodig is om bewustzijn te creëren op de werkvloer. Waar nodig zullen we de staffunctionarissen extra trainen. Tevens informeren wij verschillende doelgroepen en belanghebbenden over de uitkomsten van de frauderisicoanalyses. Met het bestuur willen wij een gesprek op hoofdlijnen aangaan over de opbrengsten van de frauderisicoanalyse(s) en het algehele niveau van frauderisicobeheersing binnen gemeente Nijmegen. De concrete werkvorm zullen wij op een later moment bepalen. Om voor een geleidelijke overdracht te zorgen (spoor 3), werken wij gedurende het hele traject nauw samen met een staffunctionaris van elke afdeling. De staffunctionarissen zullen op termijn een centrale rol spelen bij het faciliteren en begeleiden van frauderisicoanalyses, updates en het creëren van bewustzijn. Uiteraard gaan we per afdeling bekijken wat nodig en haalbaar is. De ene staffunctionaris zal daarbij wat sneller zelfstandig te werk gaan dan de ander.

De afdelingen die het komende jaar al meer zelfstandig aan de slag kunnen gaan, zullen wij goed begeleiden en voorzien van handvatten. Na afronding van het gehele programma zijn wij voornemens om het college en de raad opnieuw te informeren over de stand van zaken en de belangrijkste ontwikkelingen.