Frauderisicoanalyse 2021 gemeente Raalte

Frauderisicoanalyse 2021 gemeente Raalte. 1. Inleiding. Het is van belang dat het onderwerp frauderisico periodiek (jaarlijks) op de agenda staat en onderwerp van gesprek is van het College en directieteam/managementteam. Vervolgens wordt de frauderisicoanalyse doorgeleid naar de rekeningcommissie. De frauderisicoanalyse is in het kader van de reguliere accountantscontrole opgesteld. De accountant hecht er belang aan te benadrukken dat periodieke risicoanalyses een vast onderdeel uitmaken van het interne beheersingssysteem. Risicoanalyses hebben vooral toegevoegde waarde voor de organisatie zelf. Het identificeren van bedrijfsrisico’s en het inschatten van de impact en de kans dat deze risico’s zich zouden kunnen voordoen is van belang voor de organisatie om naar eigen maatstaven in control te zijn. De risicoanalyses zijn erop gericht zodanige maatregelen te treffen dat het zogenoemde restrisico tot een aanvaardbaar niveau wordt teruggebracht. Met ingang van 2022 dient het college een rechtmatigheidsverklaring af te geven. Hiertoe is in de periode november 2021 tot en met januari 2022 de directie, college en rekeningcommissie geïnformeerd over dit onderwerp, de gevolgen en de te maken keuzes hierin.

In het 2e kwartaal 2022 zal aan de organisatie de keuze voor een ambitieniveau worden voorgelegd en aan de raad de keuzes voor verantwoordingsgrens en rapporteringstolerantie worden voorgelegd. Hiermee wordt tevens verdere invulling gegeven aan de doorontwikkeling van de frauderisicoanalyse waarbij een verdieping van de verbijzonderde interne controle plaatsvindt zoals ook benoemd in het rapport van bevindingen Jaarrekening 2020 en de boardletter 2021 van de accountant. Er zijn verschillende vormen van fraude. Fraude van buitenaf en fraude van eigen medewerkers. M&O beleid (misbruik en oneigenlijk gebruik) ziet toe op fraude van buitenaf zoals bijvoorbeeld bijstandsfraude. Fraude van eigen medewerkers ziet toe op handelingen van eigen medewerkers die kunnen leiden tot het onttrekken van waarden aan de organisatie of het plegen van rapportage fraude. In deze analyse wordt specifiek ingegaan op de laatste categorie. In deze notitie komen achtereenvolgens aan de orde: de administratieve organisatie, risicomanagement, sociaal domein, cultuur, integriteitsbeleid, gegevensbescherming en informatieveiligheid en de rol van het management.

2.

Analyse.

2.1. Administratieve organisatie. Voor “het in control zijn” van de organisatie is een toereikende opzet van de administratieve organisatie en interne beheersing van belang. Onderdeel daarvan is de (verbijzonderde) interne controle. Interne controle gaat in op de juistheid, volledigheid en tijdigheid van de bestuurlijke informatievoorziening en op de rechtmatigheid van beheerhandelingen. Het doel hiervan is om vast te stellen dat de organisatie ‘in control’ is. Bij een organisatie die ‘in control’ is, zijn de procedures zo ingericht dat misbruik en oneigenlijk gebruik van gemeentelijke regelingen zoveel mogelijk voorkomen kan worden. Door op een juiste wijze uitvoering te geven aan de (verbijzonderde) interne controle zijn waarborgen gelegd voor een toereikende opzet van de interne beheersing. In het vervolg van deze paragraaf wordt beschreven hoe hier binnen de gemeente Raalte in 2021 uitvoering aan is gegeven.

Interne controlemaatregelen binnen de (financiële) processen. In de (financiële) processen zijn maatregelen getroffen waardoor zoveel mogelijk functiescheiding aanwezig is in de beschikkende-bewarende-uitvoerende-registrerende en controlerende handelingen. Bepaalde handelingen kunnen alleen worden uitgevoerd als twee of meer personen hun akkoord geven. Vaak is dit geregeld in ICT-toepassingen, denk aan het verrichten van betalingen. Binnen het systeem van interne beheersing vindt zichtbare controle plaats op deze beheerhandelingen. Enkele voorbeelden: akkoordverklaring facturen door daartoe aangewezen budgethouders/ budgetbeheerders, controle op invoer van salarismutaties volgens het “vierogen-principe” en de kwaliteitscontroles op verstrekte uitkeringen binnen het sociaal domein. Deze controles zijn geregeld in het proces zelf. Uitvoering verbijzonderde interne controle conform de richtlijnen van de accountant. Naast de reguliere interne controles binnen de (financiële) processen vindt verbijzonderde interne controle plaats op een aantal (financiële) processen. Dit zijn controles die achteraf plaatsvinden door een medewerker die niet zelf betrokken is bij het proces. Deze controles worden uitgevoerd door een externe partij op basis van met de accountant afgestemde richtlijnen.

De resultaten van de uitgevoerde controles worden door de accountant gereviewd en 3 maal per jaar gerapporteerd aan de directie. De aanbevelingen zijn in de organisatie uitgezet en worden gemonitord via dezelfde rapportages. Hiermee is de voortgang op de uitvoering van de aandachtspunten geborgd. Als voorbereiding op de rechtmatigheidsverantwoording in 2022 zijn in het boekjaar 2021, voorafgaand aan de interim controle/jaarrekeningcontrole van de accountant, de volgende processen gecontroleerd: 1. Algemene uitkering 2. Belastingen en heffingen 3. Omgevingsvergunningen 4. Overige baten 5. Subsidies en verbonden partijen 6. Lonen en salarissen 7. Inkoop- en betaalproces 8. Aanbestedingen 9. Sociaal Domein/ sociale zaken (PW incl. TOZO; Jeugd; WMO en PGB) 10. Begrotingscriterium 11. Materiele vaste activa/investeringen 12. Financiële vaste activa 13. Grondexploitatie 14. Treasury 15. Eigen vermogen De uitvoering van de verbijzonderde interne controle is vanaf 2021 extern belegd. Regeling bevoegdheden. • In de Organisatieregeling gemeente Raalte 2019 is de structuur en inrichting van de organisatie vastgelegd en de instructie voor de gemeentesecretaris bepaald. • In de Mandaatregeling gemeente Raalte 2016 is vastgelegd wie welke bevoegdheden van burgemeester en wethouders of de burgemeester in mandaat mag verrichten en onder welke voorwaarden.

• • •

• • •

In 2018 zijn bij collegebesluit van 11 december 2018 een nieuwe organisatieregeling en een gewijzigde mandaatregeling vastgesteld als gevolg van wijzigingen in de organisatiestructuur van de ambtelijke organisatie met ingang van 2019. In 2020 is bij collegebesluit van 20 oktober 2020 een gewijzigde mandaatregeling vastgesteld als gevolg van wijzigingen voor het afhandelen en doen van melding van datalekken zoals vastgelegd in de AVG. Daarnaast komen afzonderlijke mandaatbesluiten voor waarin bevoegdheden zijn vastgelegd voor werkzaamheden die extern geborgd zijn; bijvoorbeeld het mandaatbesluit rondom de CISO-medewerker die in DOWR verband is aangesteld. (CISO staat voor Concern Information Security Officer). In de Financiële verordening gemeente Raalte 2017 zijn de uitgangspunten voor het financieel beleid, alsmede de regels voor het financieel beheer en voor de inrichting van de financiële organisatie gemeente Raalte vastgelegd. In de Budgethouders regeling gemeente Raalte is vastgelegd hoe het budgetbeheer in de gemeente Raalte is geregeld en wie welke bevoegdheid daarin heeft en onder welke voorwaarden.

Naast de genoemde regelingen is er sprake van fysieke toegangsbeveiliging (toegangspas nodig om toegang in het gebouw te verkrijgen) en ICT-toegangsbeveiliging (password om toegang te krijgen tot computersystemen en digipas met pincode om bankmutaties en banksaldi te raadplegen).

2.2. Risicomanagement. In de Beleidsnota reserves en voorzieningen en weerstandsvermogen is ingegaan op risicomanagement. De gemeente loopt risico’s op allerlei manieren en op allerlei terreinen. Risico’s, zijn niet altijd concreet te benoemen. Jaarlijks vindt actualisatie van de risico’s plaats in de paragraaf weerstandsvermogen in de begroting en jaarrekening. De voorschriften voor de paragraaf weerstandsvermogen zijn weergegeven in artikel 11 van het BBV. Daar staat dat de paragraaf weerstandsvermogen ten minste een inventarisatie van de weerstandscapaciteit, de risico’s en het beleid bevat. Een risico is te definiëren als de kans op het optreden van een gebeurtenis, die een negatief gevolg voor de organisatie met zich mee kan brengen. Dit kunnen financiële en niet financiële risico’s zijn. In Raalte is gekozen voor de volgende methodiek: 1. Inschatten van het risico (laag, midden, hoog; zo mogelijk in euro’s); 2. De waarschijnlijkheid bepalen dat het risico zich voordoet: laag (25%), midden (50%), hoog (75%); 3. Het risico in relatie brengen tot de waarschijnlijkheid dat het risico zich voordoet; daarmee wordt het risicobedrag berekend; 4. Aan de hand van het risicobedrag bepalen welke maatregelen de gemeente moet nemen om de risico’s zoveel mogelijk te kunnen beheersen.

Hiermee ontstaat een goed beeld van de risico’s om daarmee vervolgens de beheersingsmaatregelen te bepalen die de risico’s kunnen verlagen. Risicomanagement is ingebed in de reguliere planning en control cyclus. De risicoanalyse wordt geactualiseerd bij zowel de begroting als de jaarrekening. Via de reguliere planning en control cyclus staat risicomanagement ook op de agenda van directie en college. Indien zich nieuwe risico’s voordoen wordt het college en de gemeenteraad, afhankelijk van de importantie, zo nodig tussentijds geïnformeerd. Ook bij beleidsnota’s/ beleidsvoorstellen wordt in voorkomende gevallen gebruik gemaakt van een risicoparagraaf in de betreffende nota/ voorstel.

2.3. Sociaal domein Voor het sociaal domein is in 2019 het integraal fraudepreventieplan vastgesteld. In 2020 heeft verdere uitwerking van dit beleid plaatsgevonden waaronder een betere positionering van de toezichthouders rechtmatigheid op de WMO. De nadruk ligt vooral op preventie van fraude wat zich door vertaald in meer bewustzijn bij medewerkers van het sociaal domein. Dit bewustzijn is te merken aan het sneller stellen van vragen, korte lijntjes naar de toezichthouders rechtmatigheid en eerder betrekken van de sociale recherche waar nodig. In 2020 heeft aanbesteding van contracten WMO plaatsgevonden waarbij ook meer aandacht is geweest voor fraudepreventie door het vooraf actief screenen van zorgaanbieders op het gebied van certificeringen, financiële gezondheid en andere signalen. Naast de participatiewet ligt de focus eerst nog voornamelijk op de WMO. De komende jaren wordt deze verbreed naar de Jeugdwet, zodat ook hier meer preventief gestuurd wordt in plaats van signaal gestuurd. Het verder bekwamen van de toezichthouders rechtmatigheid is hier een onderdeel van. De wijze waarop binnen het brede sociaal domein het risico op fraude wordt gereduceerd, is ook onderdeel van de interne controle.

Vanuit het oogpunt van fraude door medewerkers worden onderstaande voorbeelden van frauderisico’s onderkend binnen het sociaal domein: wijziging van banknummers, medewerker die een uitkering aanvraagt voor zichzelf, medewerker kent een hogere uitkering toe, medewerker kent een uitkering toe aan een bekende. Ter voorkoming van deze onderkende risico’s zijn beheersmaatregelen genomen. Deze maatregelen zijn te onderscheiden in systeemcontroles, procesafspraken, ongeschreven regels (gedrag van medewerkers) en organisatie-regelingen. -

-

-

Systeemcontroles: koppeling met BRP, naam-nummercheck op banknummer en 4-ogen principe. Procesafspraken: overlegstructuur, kwaliteitsplan sociaal domein, rapportage-opsteller mag geen betalingen verrichten, functiescheiding (o.a. 4-ogen principe), nieuwe medewerkers worden getoetst, normbedragen per uitkeringssoort, niet oppakken van zaken van bekenden (binnen cluster WMO worden zaken verdeeld op postcode en niet toegewezen aan medewerkers die in dezelfde postcode wonen). Ongeschreven regels: sociale controle (cultuur), elkaar aanspreken op ongewenst gedrag, voorbeeldgedrag, op eigen initiatief niet betrokken willen zijn bij bekenden als aanvrager, professionaliteit van medewerkers. Organisatie-regelingen: integriteitsbeleid (o.a. beleid aannemen geschenken).

Vanuit de gevoerde gesprekken is naar voren gekomen dat er geen signalen zijn die duiden op fraude binnen het sociaal domein. Hieruit kan geconcludeerd worden dat de beheersmaatregelen voldoende zijn om de risico’s te mitigeren.

2.4. Cultuur en integriteitsbeleid. Cultuur De gemeente Raalte kent een open, informele en transparante cultuur. De werkomgeving is open en flexibel (flexconcept). Medewerkers kunnen gemeente breed elkaars agenda raadplegen. Transparantie en informatievoorziening via het intranet/ SharePoint draagt bij aan de openheid en bekendheid van interne regels en afspraken. In het kader van frauderisico-beperking zijn er naast transparantie ook duidelijke verantwoordingslijnen en open communicatielijnen. De verantwoordingslijnen zijn beschreven in de Organisatieregeling gemeente Raalte 2019 en zijn bekend bij medewerkers. Bij projecten ligt het opdrachtgever- en opdrachtnemerschap vast in het betreffende Plan van Aanpak. Tussentijdse verantwoording vindt plaats via een voortgangsrapportage aan de opdrachtgever. Er zijn op de diverse niveaus verschillende communicatielijnen zoals: • Bestuurlijk: wekelijks Collegevergadering; wekelijks portefeuillehouders overleg ambtelijke organisatie met de verschillende Collegeleden; driehoeksoverleg met burgemeestersecretaris en griffier. • Management: wekelijks overleg Directieteam (gemeentesecretaris en directeuren) en Managementteam (gemeentesecretaris, directeuren en domeinmanagers) • Domein en/of clusteroverleg binnen de domeinen: periodiek clusteroverleg domeinmanager en medewerkers.

• Wekelijks “inloopspreekuur” bedrijfsvoering met de directeur welke bedrijfsvoering “in portefeuille” heeft. • Daarnaast vinden er op alle niveaus en afhankelijk van het onderwerp bilaterale overleggen plaats. Er is sprake van een voldoende veilige omgeving voor het doorspreken van knelpunten, onzekerheden en dilemma’s. Integriteitsbeleid. Het integriteitsbeleid bij de gemeente Raalte bestaat uit de volgende onderdelen: - Een Gedragscode ambtelijke integriteit. Deze regeling is in het kader van het project Wnra in 2019 geactualiseerd. De hierin opgenomen gedragsregels gelden voor alle medewerkers van de organisatie. De gedragscode heeft onder meer betrekking op: o Het aanvaarden van geschenken o Het maken van binnen- en buitenlandse reizen o Belangenverstrengeling en nevenfuncties o Gebruik van gemeentelijke eigendommen o Inkoop van goederen en aanvaarden van kortingen. - Een Gedragscode integriteit politieke ambtsdragers gemeente Raalte. Deze regeling dateert van 2012. - Een Regeling melding vermoeden misstand. Deze regeling is op 1 januari 2016 in werking getreden en in 2019 in het kader van het project Wnra geactualiseerd. Bij vermoeden van misstand kan een beroep gedaan worden op de hiertoe aangewezen externe vertrouwenspersoon. De contactgegevens van deze vertrouwenspersoon zijn beschikbaar via intranet.

- In het wervings- en selectiebeleid 2013 van de gemeente Raalte is vastgelegd dat bij iedere vervulling van een vacature binnen de gemeente Raalte een ‘Verklaring Omtrent het Gedrag’ (VOG) is vereist. Ook voor stagiaires, trainees en voor tijdelijk (ingehuurd) personeel.

-

Nieuwe medewerkers leggen na aanstelling de ambtseed af in aanwezigheid van het College van Burgemeester en Wethouders. In verband met Covid-19 werd dit digitaal georganiseerd.

Integriteit is onderdeel van het onboardingsprogramma nieuwe medewerkers en ondertekening van een integriteitsverklaring wordt gevraagd bij het arbeidsvoorwaarden gesprek. Er wordt momenteel gewerkt aan het actualiseren van het Werving- en selectiebeleid, onder andere arbeidsmarktbenadering is daar onderdeel van. 2.5. Gegevensbescherming. In mei 2018 is de Wet bescherming persoonsgegevens vervangen door de Europese regeling: de Algemene Verordening Gegevensbescherming (AVG). Om invulling te geven aan organisatorische en technische maatregelen en waarborgen om persoonsgegevens te beschermen is in 2018 een Beleidskader Privacy en Uitvoeringsplan privacy en gegevensbescherming vastgesteld. Het college heeft een Functionaris Gegevensbescherming aangewezen als de gemeentelijke toezichthouder op de naleving van de privacywetgeving en het gemeentelijk privacy beleid. Verwerkingen van persoonsgegevens zijn vastgelegd in een register. In 2022 krijgt verdere actualisatie van het register extra aandacht opdat zij een goede basis vormt voor verdere (risico)analyses en vervolgmaatregelen. In 2021 hebben verscheidene DPIA's plaatsgevonden ondanks de invloeden van corona op de werkzaamheden van privacy-adviseurs van de gemeente Raalte. 2.6. Informatieveiligheid. De gemeente Raalte kent in DOWR-verband een beleidskader informatieveiligheid inclusief een uitvoeringsplan.

Daarin hanteren we de methodiek ENSIA2 (Eenduidige Normatiek Single Information Audit) gebaseerd op de Baseline Informatiebeveiliging Overheid (BIO). De BIO vormt een uniform normenkader voor informatiebeveiliging samen met de rijksoverheid, de waterschappen en de provincies. In 2020 is het conform de BIO vernieuwde informatiebeveiligingsbeleid vastgesteld door de colleges van de gemeenten Deventer, Olst-Wijhe en Raalte. In 2021 zijn in DOWR-verband verschillende maatregelen getroffen die ertoe hebben geleid dat we in 2021 volledig BIO-compliant zijn geworden. Naast technische maatregelen kennen we ook maatregelen die gericht zijn op bevordering van het bewustzijn van medewerkers op informatieveiligheid. In 2020 is de regionale CISO-kring IJsselland opgericht. Zij is gericht op een gezamenlijke aanpak van informatieveiligheidsrisico’s en deelt kennis over en ervaring met potentiële en actuele informatieveiligheidsincidenten. 3. Rol van het management belangrijk. Het management heeft een belangrijke rol in het tegen gaan van fraude. Belangrijke beheersingsmaatregelen hierbij zijn: o Zicht houden op de druk die zowel door interne als externe partijen op de medewerkers wordt uitgeoefend. o Zicht houden op de persoonlijke omstandigheden van medewerkers. o Zorgen voor beheersbare werkdruk en aandacht voor ontwikkeling van medewerkers.

o Kennis van kwetsbare situaties en sturen op de beheersing daarvan. o Het beschermen van medewerkers in kwetsbare functies. o Bijdragen aan een open en transparante werkwijze door voorbeeldgedrag. o Het bespreken van dilemma’s met medewerkers en bijdragen aan een veilig werkklimaat. o Het nemen van verantwoordelijkheid als budgethouder. Enerzijds door het goedkeuren van opbrengsten en betalingen voor geleverde prestaties en anderzijds door het monitoren van de budgetuitputting en toezien op correcte administratievoering. Hierbij kan de financieel adviseur vanuit het cluster advies ondersteuning bieden.

o o

Het bewaken van de juiste toepassing van interne regels en procedures (bijvoorbeeld declaraties). Het regelmatig agenderen van het onderwerp fraude in diverse gremia van de organisatie.

In het kader van de gesprekkencyclus hebben er in 2021 weinig gesprekken plaatsgevonden. In 2021 is een nieuwe gespreksmethodiek ingevoerd “Het Gesprek”, deze methode sluit beter aan bij de behoefte en de missie en visie van de organisatie. Bij deze nieuwe methode is er sprake van 2 soorten gesprekken. Het resultaatgesprek waarbij je als cluster met elkaar het gesprek voert over planning en resultaten van werkzaamheden. De planning wordt afgestemd met de domeinmanager. Daarnaast is er het Ontwikkelgesprek waarbij medewerker in gesprek gaat met wie hij belangrijk vindt voor zijn eigen ontwikkeling. De medewerker is zelf verantwoordelijk voor zijn eigen ontwikkeling. Gesteld kan worden dat binnen de gemeente Raalte sprake is van een voldoende veilige omgeving voor het doorspreken van knelpunten, onzekerheden en dilemma’s. Denk daarbij aan gevraagde en ongevraagde signalen van medewerkers en bilaterale gesprekken. In combinatie met een informele cultuur (naast de formele cultuur) én onderlinge sociale controle geeft dit het management voldoende handvatten om op eigen wijze invulling te geven aan bovengenoemde beheersingsmaatregelen om op die manier het frauderisico te beperken. 4. Conclusie. Uit de uitwerking van deze frauderisicoanalyse blijkt dat bij een aantal (financiële) processen beheersingsmaatregelen in het proces zijn ingebed.

Bij andere processen is de beheersing geborgd door achteraf gegevensgerichte controles uit te voeren. De resultaten van deze toetsing vormen onderdeel van de accountantscontrole. Naast deze “harde aspecten” spelen ook de “zachte aspecten” een belangrijke rol in het beperken van frauderisico’s. Dit zijn factoren zoals de cultuur en integriteitswaarden van de organisatie. Samenvattend kan uit deze nadere uitwerking van de frauderisicoanalyse geconcludeerd worden dat er in 2021 zowel op de harde als de zachte aspecten binnen de gemeente Raalte aandacht is geweest voor frauderisico en dat dit risico zich hiermee op een aanvaardbaar niveau bevindt. Aldus vastgesteld,

gehoord het directieteam d.d. 18 mei 2022

door het College van Burgemeester en Wethouders van Raalte d.d. 24 mei 2022

De (loco) gemeentesecretaris Arie Nijman

de burgemeester Martijn Dadema