Frauderisicoanalyse 2020 gemeente Raalte def_v2

Frauderisicoanalyse 2020 gemeente Raalte. 1. Inleiding. Het is van belang dat het onderwerp frauderisico periodiek (jaarlijks) op de agenda staat en onderwerp van gesprek is van het College en directieteam/managementteam. Vervolgens wordt de frauderisicoanalyse doorgeleid naar de rekeningcommissie. De frauderisicoanalyse is in het kader van de reguliere accountantscontrole opgesteld. De accountant hecht eraan het belang te benadrukken dat periodieke risicoanalyses een vast onderdeel uitmaken van het interne beheersingssysteem. Risicoanalyses hebben vooral toegevoegde waarde voor de organisatie zelf. Het identificeren van bedrijfsrisico’s en het inschatten van de impact en de kans dat deze risico’s zich zouden kunnen voordoen is van belang voor de organisatie om naar eigen maatstaven in control te zijn. De risicoanalyses zijn erop gericht zodanige maatregelen te treffen dat het zogenoemde restrisico tot een aanvaardbaar niveau wordt teruggebracht. Met ingang van 2021 dient het college een rechtmatigheidsverklaring af te geven. Hiertoe zal voor de zomer van 2021 een “plan interne controle” worden opgesteld.

Hiermee wordt tevens invulling gegeven aan de doorontwikkeling van de frauderisicoanalyse waarbij een verdieping van de verbijzonderde interne controle zal gaan plaatsvinden zoals ook benoemd in het rapport van bevindingen Jaarrekening 2019 en de boardletter 2020 van de accountant. In deze notitie komen achtereenvolgens aan de orde: de administratieve organisatie, risicomanagement, sociaal domein, cultuur, integriteitsbeleid, gegevensbescherming en informatieveiligheid en de rol van het management. 2.

Analyse.

2.1. Administratieve organisatie. Voor “het in control zijn” van de organisatie is een toereikende opzet van de administratieve organisatie en interne beheersing van belang. Onderdeel daarvan is de (verbijzonderde) interne controle. Interne controle gaat in op de juistheid, volledigheid en tijdigheid van de bestuurlijke informatievoorziening en op de rechtmatigheid van beheerhandelingen. Het doel hiervan is om vast te stellen dat de organisatie in control is. Bij een organisatie die in control is, zijn de procedures zo ingericht dat misbruik en oneigenlijk gebruik van gemeentelijke regelingen zoveel mogelijk voorkomen kan worden. Door op een juiste wijze uitvoering te geven aan de (verbijzonderde) interne controle zijn waarborgen gelegd voor een toereikende opzet van de interne beheersing. In het vervolg van deze paragraaf wordt beschreven hoe hier binnen de gemeente Raalte in 2020 uitvoering aan is gegeven. Interne controlemaatregelen binnen de (financiële) processen. In de (financiële) processen zijn maatregelen getroffen waardoor zoveel mogelijk functiescheiding aanwezig is in de beschikkende-bewarende-uitvoerende-registrerende en controlerende handelingen. Bepaalde handelingen kunnen alleen worden uitgevoerd als twee of meer personen hun akkoord geven. Vaak is dit geregeld in ICT-toepassingen, denk aan het verrichten van betalingen.

Binnen het systeem van interne beheersing vindt zichtbare controle plaats op deze beheerhandelingen. Enkele voorbeelden: akkoordverklaring facturen door daartoe aangewezen budgethouders/ budgetbeheerders, controle op invoer van salarismutaties volgens het “vier-

ogen-principe” en de kwaliteitscontroles op verstrekte uitkeringen binnen het sociaal domein. Deze controles zijn geregeld in het proces zelf. Uitvoering verbijzonderde interne controle conform de richtlijnen van de accountant. Naast de reguliere interne controles binnen de (financiële) processen vindt verbijzonderde interne controle plaats op een aantal (financiële) processen. Dit zijn controles die achteraf plaatsvinden door een medewerker die niet betrokken is bij het proces zelf. Deze controles worden uitgevoerd aan de hand van de door de accountant beschikbaar gestelde checklists. De resultaten van de uitgevoerde controles worden door de accountant gereviewd. De belangrijkste conclusies en aanbevelingen worden vastgelegd in de door de accountant uitgebrachte boardletter en het rapport van bevindingen. Deze aanbevelingen zijn in de organisatie uitgezet. Monitoring van de voortgang vindt plaats via de verantwoordelijke MTleden. Tenminste éénmaal per jaar vindt rapportage plaats aan het directieteam. Hiermee is de voortgang op de uitvoering van de aandachtspunten geborgd. In het boekjaar 2020 zijn voorafgaand aan de interimcontrole/jaarrekeningcontrole van de accountant de volgende processen gecontroleerd: 1. Betalingen 2. Inkopen 3. Aanbestedingen 4. Subsidies 5. Memoriaal boekingen 6. PSA (DOWR breed) 7. Sociaal Domein/ sociale zaken (incl. TOZO) 8. Grondexploitatie 9.

Omgevingsvergunningen 10. Treasury 11. Investeringen 12. Kascontrole Burgerzaken De uitvoering van de verbijzonderde interne controle voor het onderdeel sociale zaken (participatiewet en IOAW) is ook voor 2020 bij de accountant belegd. Regeling bevoegdheden.  In de Organisatieregeling gemeente Raalte 2019 is de structuur en inrichting van de organisatie vastgelegd en de instructie voor de gemeentesecretaris bepaald.  In de Mandaatregeling gemeente Raalte 2016 is vastgelegd wie welke bevoegdheden van burgemeester en wethouders of de burgemeester in mandaat mag verrichten en onder welke voorwaarden.  In 2018 zijn bij collegebesluit van 11 december 2018 een nieuwe organisatieregeling en een gewijzigde mandaatregeling vastgesteld als gevolg van wijzigingen in de organisatiestructuur van de ambtelijke organisatie met ingang van 2019.  In 2020 is bij collegebesluit van 20 oktober 2020 een gewijzigde mandaatregeling vastgesteld als gevolg van wijzigingen voor het afhandelen en doen van melding van datalekken zoals vastgelegd in de AVG.  Daarnaast komen afzonderlijke mandaatbesluiten voor waarin bevoegdheden zijn vastgelegd voor werkzaamheden die extern geborgd zijn; bijvoorbeeld het mandaatbesluit rondom de CISO-medewerker die in DOWR verband is aangesteld. (CISO staat voor Concern Information Security Officer).

 



In de Financiële verordening gemeente Raalte 2017 zijn de uitgangspunten voor het financieel beleid, alsmede de regels voor het financieel beheer en voor de inrichting van de financiële organisatie gemeente Raalte vastgelegd. In de Budgethouders regeling gemeente Raalte is vastgelegd hoe het budgetbeheer in de gemeente Raalte is geregeld en wie welke bevoegdheid daarin heeft en onder welke voorwaarden. Naast de genoemde regelingen is er sprake van fysieke toegangsbeveiliging (toegangspas nodig om toegang in het gebouw te verkrijgen) en ICT-toegangsbeveiliging (password om toegang te krijgen tot computersystemen en digipas met pincode om bankmutaties en banksaldi te raadplegen)

2.2. Risicomanagement. In de Beleidsnota reserves en voorzieningen en weerstandsvermogen is ingegaan op risicomanagement. De gemeente loopt risico’s op allerlei manieren en op allerlei terreinen. Risico’s, zijn niet altijd concreet te benoemen. Jaarlijks vindt actualisatie van de risico’s plaats in de paragraaf weerstandsvermogen in de begroting en jaarrekening. De voorschriften voor de paragraaf weerstandsvermogen zijn weergegeven in artikel 11 van het BBV. Daar staat dat de paragraaf weerstandsvermogen ten minste een inventarisatie van de weerstandscapaciteit, de risico’s en het beleid bevat. Een risico is te definiëren als de kans op het optreden van een gebeurtenis, die een negatief gevolg voor de organisatie met zich mee kan brengen. Dit kunnen financiële en niet financiële risico’s zijn. In Raalte is gekozen voor de volgende methodiek: 1. Inschatten van het risico (laag, midden, hoog; zo mogelijk in euro’s); 2. De waarschijnlijkheid bepalen dat het risico zich voordoet: laag (25%), midden (50%), hoog (75%); 3. Het risico in relatie brengen tot de waarschijnlijkheid dat het risico zich voordoet; daarmee wordt het risicobedrag berekend; 4. Aan de hand van het risicobedrag bepalen welke maatregelen de gemeente moet nemen om de risico’s zoveel mogelijk te kunnen beheersen.

Hiermee ontstaat een goed beeld van de risico’s om daarmee vervolgens de beheersingsmaatregelen te bepalen die de risico’s kunnen verlagen. Risicomanagement is ingebed in de reguliere planning en control cyclus. De risicoanalyse wordt geactualiseerd bij zowel de begroting als de jaarrekening. Via de reguliere planning en control cyclus staat risicomanagement ook op de agenda van directie en college. Indien zich nieuwe risico’s voordoen wordt het college en de gemeenteraad, afhankelijk van de importantie, zo nodig tussentijds geïnformeerd. Ook bij beleidsnota’s/ beleidsvoorstellen wordt in voorkomende gevallen gebruik gemaakt van een risicoparagraaf in de betreffende nota/ voorstel. 2.3. Sociaal domein Voor het sociaal domein is in 2019 het integraal fraudepreventieplan vastgesteld. In 2020 heeft verdere uitwerking van dit beleid plaatsgevonden waaronder een betere positionering van de toezichthouders rechtmatigheid op de WMO. De nadruk ligt vooral op preventie van fraude wat zich door vertaald in meer bewustzijn bij medewerkers van het sociaal domein. Dit bewustzijn is te merken aan het sneller stellen van vragen, korte lijntjes naar de toezichthouders rechtmatigheid en eerder betrekken van de sociale recherche waar nodig.

In 2020 heeft aanbesteding van contracten WMO plaatsgevonden waarbij ook meer aandacht is geweest voor fraudepreventie door het vooraf actief screenen van zorgaanbieders op het gebied van certificeringen, financiële gezondheid en andere signalen. Naast de participatiewet ligt de focus eerst nog voornamelijk op de WMO. De komende jaren wordt deze verbreed naar de Jeugdwet, zodat ook hier meer preventief gestuurd wordt in plaats van signaal gestuurd. Het verder bekwamen van de toezichthouders rechtmatigheid is hier een onderdeel van. De wijze waarop binnen het brede sociaal domein het risico op fraude wordt gereduceerd, is ook onderdeel van de interne controle. 2.4. Cultuur en integriteitsbeleid. Cultuur De gemeente Raalte kent een open, informele en transparante cultuur. De werkomgeving is open en flexibel (flexconcept). Medewerkers kunnen gemeente breed elkaars agenda’s raadplegen. Transparantie en informatievoorziening via het intranet/ SharePoint draagt bij aan de openheid en bekendheid van interne regels en afspraken. In het kader van frauderisico-beperking zijn er naast transparantie duidelijke verantwoordingslijnen en open communicatielijnen. De verantwoordingslijnen zijn beschreven in de Organisatieregeling gemeente Raalte 2019 en zijn bekend bij medewerkers. Bij projecten ligt het opdrachtgever- opdrachtnemerschap vast in het betreffende Plan van Aanpak.

Tussentijdse verantwoording vindt plaats via een voortgangsrapportage aan de opdrachtgever. Er zijn op de diverse niveaus verschillende communicatielijnen zoals:  Bestuurlijk: wekelijks Collegevergadering; wekelijks portefeuillehouders overleg ambtelijke organisatie met de verschillende Collegeleden; driehoeksoverleg met burgemeester-secretaris en griffier.  Management: wekelijks overleg Directieteam (gemeentesecretaris en directeuren) en Managementteam (gemeentesecretaris, directeuren en domeinmanagers)  Domein en/of clusteroverleg binnen de domeinen: periodiek clusteroverleg domeinmanager en medewerkers.  Wekelijks “inloopspreekuur” bedrijfsvoering met de directeur welke bedrijfsvoering “in portefeuille” heeft.  Daarnaast vinden er op alle niveaus en afhankelijk van het onderwerp bilaterale overleggen plaats. Er is sprake van een voldoende veilige omgeving voor het doorspreken van knelpunten, onzekerheden en dilemma’s. Integriteitsbeleid. Het integriteitsbeleid bij de gemeente Raalte bestaat uit de volgende onderdelen: - Een Gedragscode ambtelijke integriteit. Deze regeling is in het kader van het project Wnra in 2019 geactualiseerd. De hierin opgenomen gedragsregels gelden voor alle medewerkers van de organisatie.

De gedragscode heeft onder meer betrekking op: o Het aanvaarden van geschenken o Het maken van binnen- en buitenlandse reizen o Belangenverstrengeling en nevenfuncties

-

-

-

-

o Gebruik van gemeentelijke eigendommen o Inkoop van goederen en aanvaarden van kortingen. Een Gedragscode integriteit politieke ambtsdragers gemeente Raalte. Deze regeling dateert van 2012. Een Regeling melding vermoeden misstand. Deze regeling is op 1 januari 2016 in werking getreden en in 2019 in het kader van het project Wnra geactualiseerd. Bij vermoeden van misstand kan een beroep gedaan worden op de hiertoe aangewezen externe vertrouwenspersoon. De contactgegevens van deze vertrouwenspersoon zijn beschikbaar via intranet. Een Regeling openbaarmaking nevenfuncties topambtenaren. Deze regeling dateert van 2014. Deze regeling heeft tot doel te regelen op welke wijze nevenwerkzaamheden openbaar worden gemaakt. In het wervings- en selectiebeleid 2013 van de gemeente Raalte is vastgelegd dat bij iedere vervulling van een vacature binnen de gemeente Raalte een ‘Verklaring Omtrent het Gedrag’ (VOG) is vereist. Met de invoering van de WNRA per 1-1-2020 is de ambtenarenwet 2017 van toepassing (artikel 4 lid 1 en 4 AW 2017) waarin staat dat de werkgever een VOG aan kan vragen. Daarnaast staat in de laatste wijziging van de BIO (Baseline Informatiebeveiliging Overheid) dat het nu niet meer verplicht is om voor alle medewerkers een VOG aan te vragen, maar dat alleen op basis van risicoafweging te doen. Ook voor stagiaires, trainees en voor tijdelijk (ingehuurd) personeel.

Nieuwe medewerkers leggen na aanstelling de ambtseed af in aanwezigheid van het College van Burgemeester en Wethouders. In verband met Covid-19 wordt dit digitaal georganiseerd.

In het verleden zijn workshops integriteit georganiseerd en dilemma’s besproken. Nu wordt extra aandacht besteed aan integriteit bij arbeidsvoorwaarden gesprekken en wordt bij nieuwe medewerkers ondertekening van een integriteitsverklaring gevraagd. 2.5. Gegevensbescherming. In mei 2018 is de Wet bescherming persoonsgegevens vervangen door de Europese regeling: de Algemene Verordening Gegevensbescherming (AVG). Om invulling te geven aan organisatorische en technische maatregelen en waarborgen om persoonsgegevens te beschermen is in 2018 een Beleidskader Privacy en Uitvoeringsplan privacy en gegevensbescherming vastgesteld. Het college heeft een Functionaris Gegevensverwerking aangewezen als de gemeentelijke toezichthouder op de naleving van de AVG en andere privacywetgeving en het gemeentelijk privacy beleid. Verder is een nulmeting gedaan en brede inventarisatie van verwerkingen van persoonsgegevens. Deze verwerkingen zijn vastgelegd in een register. Het register is de basis voor verdere (risico)analyses en vervolgmaatregelen. In 2020 hebben 3 DPIA's plaatsgevonden ondanks de invloeden van corona op de werkzaamheden van privacy-adviseurs van de gemeente Raalte. 2.6. Informatieveiligheid Informatie. De gemeente Raalte kent in DOWR-verband een beleidskader informatieveiligheid inclusief een uitvoeringsplan.

Daarin hanteren we de methodiek ENSIA2 (Eenduidige Normatiek Single Information Audit) gebaseerd op de Baseline Informatiebeveiliging overheid. 2019 was het overgangsjaar naar een uniform normenkader voor informatiebeveiliging samen met de rijksoverheid, de waterschappen en de provincies: de Baseline Informatiebeveiliging Overheid (BIO). In 2020 is het conform de BIO vernieuwde informatiebeveiligingsbeleid vastgesteld door de colleges van de gemeenten Deventer, Olst-Wijhe en Raalte. In 2020 heeft verdere integratie plaatsgevonden in de diverse processen binnen de gemeenten. Naast de implementatie van de BIO zijn we in 2020 blijven werken aan het doel om in 2020 volledig BIGcompliant te zijn. Nu is de BIG-compliance toets vervangen door een BIO-norm, de Basis

beschermingsnorm waar de DOWR- gemeenten op dit moment voor ruim 90% aan voldoen. Ook in regionaal verband (regio Ijsselland) worden stappen op dit gebied gezet.

3. Rol van het management belangrijk. Het management heeft een belangrijke rol in het tegen gaan van fraude. Belangrijke beheersingsmaatregelen hierbij zijn: o Zicht houden op de druk die zowel door interne als externe partijen op de medewerkers wordt uitgeoefend. o Zicht houden op de persoonlijke omstandigheden van medewerkers. o Zorgen voor beheersbare werkdruk en aandacht voor ontwikkeling van medewerkers. o Kennis van kwetsbare situaties en sturen op de beheersing daarvan. o Het beschermen van medewerkers in kwetsbare functies. o Bijdragen aan een open en transparante werkwijze door voorbeeldgedrag. o Het bespreken van dilemma’s met medewerkers en bijdragen aan een veilig werkklimaat. o Het nemen van verantwoordelijkheid als budgethouder. Enerzijds door het goedkeuren van opbrengsten en betalingen voor geleverde prestaties en anderzijds door het monitoren van de budgetuitputting en toezien op correcte administratievoering. Hierbij kan de financieel adviseur vanuit het cluster advies ondersteuning bieden. o Het bewaken van de juiste toepassing van interne regels en procedures (bijvoorbeeld declaraties). o Het regelmatig agenderen van het onderwerp fraude in diverse gremia van de organisatie. In het kader van de gesprekkencyclus hebben er in 2020 weinig gesprekken plaatsgevonden.

Los van het vele thuiswerken in verband met corona, waarbij onderlinge sociale controle er wel anders uitziet, is 2020 een overgangsjaar voor de gesprekkencyclus omdat een nieuwe gespreksmethodiek is ontwikkeld. De huidige methode van gesprekken sloot niet meer helemaal aan bij de huidige organisatie en de behoefte. De nieuwe gespreksmethodiek die is ontwikkeld kent een resultaatgesprek met de domeinmanager en een ontwikkelgesprek met wie voor jou hierin belangrijk is. In het tweede kwartaal 2021 wordt uitgewerkt hoe beoordeling en beloning eruitziet in deze nieuwe methodiek. Gesteld kan worden dat binnen de gemeente Raalte sprake is van een voldoende veilige omgeving voor het doorspreken van knelpunten, onzekerheden en dilemma’s. Denk daarbij aan gevraagde en ongevraagde signalen van medewerkers, bilaterale gesprekken met medewerkers en voortgangs- plannings- en beoordelingsgesprekken. In combinatie met een informele cultuur (naast de formele cultuur) én onderlinge sociale controle geeft dit het management voldoende handvatten om op eigen wijze invulling te geven aan bovengenoemde beheersingsmaatregelen om op die manier het frauderisico te beperken. 4. Conclusie. Uit de uitwerking van deze frauderisicoanalyse blijkt dat bij een aantal (financiële) processen beheersingsmaatregelen in het proces zijn ingebed.

Bij andere processen is de beheersing geborgd door achteraf gegevensgerichte controles uit te voeren. De resultaten van deze toetsing vormen onderdeel van de accountantscontrole. Naast deze “harde aspecten” spelen ook de “zachte aspecten” een belangrijke rol in het beperken van frauderisico’s. Dit zijn factoren zoals de cultuur en integriteitswaarden van de organisatie.

Samenvattend kan uit deze nadere uitwerking van de frauderisicoanalyse geconcludeerd worden dat er in 2020 zowel op de harde als de zachte aspecten binnen de gemeente Raalte aandacht is geweest voor frauderisico en dat dit risico zich hiermee op een aanvaardbaar niveau bevindt. Aldus vastgesteld, gehoord het directieteam d.d. 24 maart 2021 door het College van Burgemeester en Wethouders van Raalte d.d. 13 april 2021

Martijn Dadema, burgemeester

Karin Cornelissen, gemeentesecretaris