Frauderisicoanalyse 2022 Gemeente Raalte

Frauderisicoanalyse 2022 Gemeente Raalte

10 mei 2023

1. Inleiding. Het is van belang dat het onderwerp frauderisico periodiek (jaarlijks) op de agenda staat en onderwerp van gesprek is van het College en directieteam/managementteam. Vervolgens wordt de frauderisicoanalyse doorgeleid naar de rekeningcommissie. De frauderisicoanalyse is in het kader van de reguliere accountantscontrole opgesteld. De accountant hecht er belang aan te benadrukken dat periodieke risicoanalyses een vast onderdeel uitmaken van het interne beheersingssysteem. Risicoanalyses hebben vooral toegevoegde waarde voor de organisatie zelf. Het identificeren van bedrijfsrisico’s en het inschatten van de impact en de kans dat deze risico’s zich zouden kunnen voordoen is van belang voor de organisatie om naar eigen maatstaven in control te zijn. De risicoanalyses zijn erop gericht zodanige maatregelen te treffen dat het zogenoemde restrisico tot een aanvaardbaar niveau wordt teruggebracht. Met ingang van 2023 dient het college een rechtmatigheidsverklaring af te geven. Hiertoe is in de periode november 2021 tot en met januari 2023 de directie, college en rekeningcommissie geïnformeerd over dit onderwerp, de gevolgen en de te maken keuzes hierin. In november 2022 is de keuze voor een ambitieniveau besproken en heeft het MT vastgesteld om het huidige niveau te handhaven.

In 2023 worden aan de raad de keuzes voor verantwoordingsgrens en rapporteringstolerantie voorgelegd. Hiermee wordt tevens verdere invulling gegeven aan de doorontwikkeling van de frauderisicoanalyse waarbij een verdieping van de verbijzonderde interne controle plaatsvindt zoals ook benoemd in het rapport van bevindingen Jaarrekening 2021 en de boardletter 2022 van de accountant. Er zijn verschillende vormen van fraude. Fraude van buitenaf en fraude van eigen medewerkers. M&O beleid (misbruik en oneigenlijk gebruik) ziet toe op fraude van buitenaf zoals bijvoorbeeld bijstandsfraude. Fraude van eigen medewerkers ziet toe op handelingen van eigen medewerkers die kunnen leiden tot het onttrekken van waarden aan de organisatie of het plegen van rapportage fraude. In deze analyse wordt specifiek ingegaan op de laatste categorie. In deze notitie komen achtereenvolgens aan de orde: de administratieve organisatie, risicomanagement, sociaal domein, cultuur en integriteitsbeleid, gegevensbescherming en informatieveiligheid en de rol van het management.

2.

Analyse.

2.1. Administratieve organisatie. Voor “het in control zijn” van de organisatie is een toereikende opzet van de administratieve organisatie en interne beheersing van belang. Onderdeel daarvan is de (verbijzonderde) interne controle. Interne controle gaat in op de juistheid, volledigheid en tijdigheid van de bestuurlijke informatievoorziening en op de rechtmatigheid van beheerhandelingen. Het doel hiervan is om vast te stellen dat de organisatie ‘in control’ is. Bij een organisatie die ‘in control’ is, zijn de procedures zo ingericht dat misbruik en oneigenlijk gebruik van gemeentelijke regelingen zoveel mogelijk voorkomen kan worden. Door op een juiste wijze uitvoering te geven aan de (verbijzonderde) interne controle zijn waarborgen gelegd voor een toereikende opzet van de interne beheersing. In het vervolg van deze paragraaf wordt beschreven hoe hier binnen de gemeente Raalte in 2022 uitvoering aan is gegeven.

2

Interne controlemaatregelen binnen de (financiële) processen. In de (financiële) processen zijn maatregelen getroffen waardoor zoveel mogelijk functiescheiding aanwezig is in de beschikkende-bewarende-uitvoerende-registrerende en controlerende handelingen. Bepaalde handelingen kunnen alleen worden uitgevoerd als twee of meer personen hun akkoord geven. Vaak is dit geregeld in ICT-toepassingen, denk aan het verrichten van betalingen. Binnen het systeem van interne beheersing vindt zichtbare controle plaats op deze beheerhandelingen. Enkele voorbeelden: akkoordverklaring facturen door daartoe aangewezen budgethouders/ budgetbeheerders, controle op invoer van salarismutaties volgens het “vier-ogen-principe” en de kwaliteitscontroles op verstrekte uitkeringen binnen het sociaal domein. Deze controles zijn geregeld in het proces zelf. Uitvoering verbijzonderde interne controle conform de richtlijnen van de accountant. Naast de reguliere interne controles binnen de (financiële) processen vindt verbijzonderde interne controle plaats op een aantal (financiële) processen. Dit zijn controles die achteraf plaatsvinden door een medewerker die niet zelf betrokken is bij het proces. Deze controles worden uitgevoerd door een externe partij op basis van met de accountant afgestemde richtlijnen.

De resultaten van de uitgevoerde controles worden door de accountant gereviewd en 3 maal per jaar gerapporteerd aan de directie. De aanbevelingen zijn in de organisatie uitgezet en worden gemonitord via dezelfde rapportages. Hiermee is de voortgang op de uitvoering van de aandachtspunten geborgd. Als voorbereiding op de rechtmatigheidsverantwoording in 2023 zijn in het boekjaar 2022, voorafgaand aan de interim controle/jaarrekeningcontrole van de accountant, de volgende processen gecontroleerd: 1. Omgevingsvergunningen 2. Overige baten 3. Subsidies en verbonden partijen 4. Lonen en salarissen 5. Inkoop- en betaalproces 6. Aanbestedingen 7. Sociaal Domein/ sociale zaken (PW incl. TOZO; Jeugd; WMO en PGB) 8. Materiele vaste activa/investeringen 9. Grondexploitatie 10. Eigen vermogen De uitvoering van de verbijzonderde interne controle is vanaf 2021 extern belegd. Naar aanleiding van het vorig jaar gevoerde gesprek over fraude tussen Raad en College en de bekendwordingen van fraudegevallen in het land is dit jaar een interne controle toegevoegd om mogelijke budgethouders fraude te identificeren. Regeling bevoegdheden. • In de Organisatieregeling gemeente Raalte 2019 is de structuur en inrichting van de organisatie vastgelegd en de instructie voor de gemeentesecretaris bepaald.

• In de Mandaatregeling gemeente Raalte 2016 is vastgelegd wie welke bevoegdheden van burgemeester en wethouders of de burgemeester in mandaat mag verrichten en onder welke voorwaarden. • In 2023 is bij collegebesluit van 14 januari 2023 een gewijzigde organisatieregeling vastgesteld als gevolg van vervanging van de gemeentesecretaris/algemeen directeur door niet alleen directeuren, maar ook door domeinmanagers. 3

• • •

• •

•

In 2022 is bij collegebesluit van 20 december 2022 een gewijzigde mandaatregeling vastgesteld als gevolg van actualiseringen. In 2020 is bij collegebesluit van 20 oktober 2020 een gewijzigde mandaatregeling vastgesteld als gevolg van wijzigingen voor het afhandelen en doen van melding van datalekken zoals vastgelegd in de AVG. Daarnaast komen afzonderlijke mandaatbesluiten voor waarin bevoegdheden zijn vastgelegd voor werkzaamheden die extern en intern geborgd zijn; bijvoorbeeld het mandaatbesluit rondom de CISO-medewerker die in DOWR verband is aangesteld. (CISO staat voor Concern Information Security Officer) en het mandaatbesluit uitvoering regeling opvang ontheemden Oekraïne (met terugwerkende kracht vanaf 1 april 2022). In de Financiële verordening gemeente Raalte 2017 zijn de uitgangspunten voor het financieel beleid, alsmede de regels voor het financieel beheer en voor de inrichting van de financiële organisatie gemeente Raalte vastgelegd. In de Budgethouders regeling gemeente Raalte is vastgelegd hoe het budgetbeheer in de gemeente Raalte is geregeld en wie welke bevoegdheid daarin heeft en onder welke voorwaarden.

Vanaf 1 april 2022 is een tijdelijke afwijking van deze regeling van kracht en houdt in dat “medewerkers van domein Beheer met het functieprofiel ‘medewerker Ontwikkeling II’ door de hoofdbudgethouder bevoegd kan worden verklaard als budgethouder op te treden voor de realisering van de aan de budgetten verbonden taakstellingen die door de hoofdbudgethouder aan hem zijn toegewezen” Naast de genoemde regelingen is er sprake van fysieke toegangsbeveiliging (toegangspas nodig om toegang in het gebouw te verkrijgen) en ICT-toegangsbeveiliging (password om toegang te krijgen tot computersystemen en digipas met pincode om bankmutaties en banksaldi te raadplegen).

2.2. Risicomanagement. In de Beleidsnota reserves, voorzieningen en weerstandsvermogen is ingegaan op risicomanagement. De gemeente loopt risico’s op allerlei manieren en op allerlei terreinen. Risico’s, zijn niet altijd concreet te benoemen. Jaarlijks vindt actualisatie van de risico’s plaats in de paragraaf weerstandsvermogen in de begroting en jaarrekening. De voorschriften voor de paragraaf weerstandsvermogen zijn weergegeven in artikel 11 van het BBV. Daar staat dat de paragraaf weerstandsvermogen ten minste een inventarisatie van de weerstandscapaciteit, de risico’s en het beleid bevat. Een risico is te definiëren als de kans op het optreden van een gebeurtenis, die een negatief gevolg voor de organisatie met zich mee kan brengen. Dit kunnen financiële en niet financiële risico’s zijn. In Raalte is gekozen voor de volgende methodiek: 1. Inschatten van het risico (laag, midden, hoog; zo mogelijk in euro’s); 2. De waarschijnlijkheid bepalen dat het risico zich voordoet: laag (25%), midden (50%), hoog (75%); 3. Het risico in relatie brengen tot de waarschijnlijkheid dat het risico zich voordoet; daarmee wordt het risicobedrag berekend; 4. Aan de hand van het risicobedrag bepalen welke maatregelen de gemeente moet nemen om de risico’s zoveel mogelijk te kunnen beheersen.

Hiermee ontstaat een goed beeld van de risico’s om daarmee vervolgens de beheersingsmaatregelen te bepalen die de risico’s kunnen verlagen. Risicomanagement is ingebed in de reguliere planning en control cyclus. De risicoanalyse wordt geactualiseerd bij zowel de begroting als de jaarrekening. Via de reguliere planning en control cyclus staat risicomanagement ook op de agenda van directie en college.

4

Als zich nieuwe risico’s voordoen wordt het college en de gemeenteraad, afhankelijk van de importantie, zo nodig tussentijds geïnformeerd. Ook bij beleidsnota’s/ beleidsvoorstellen wordt in voorkomende gevallen gebruik gemaakt van een risicoparagraaf in de betreffende nota/ voorstel.

2.3. Sociaal domein Voor het sociaal domein is het integraal fraudepreventieplan vastgesteld. Met hierin onder andere de positionering van de toezichthouders rechtmatigheid op de WMO. De nadruk ligt vooral op preventie van fraude wat zich door vertaald in meer bewustzijn bij medewerkers van het sociaal domein. Dit bewustzijn is te merken aan het sneller stellen van vragen, korte lijntjes naar de toezichthouders rechtmatigheid en eerder betrekken van de sociale recherche waar nodig. Naast de participatiewet ligt de focus voornamelijk op de WMO en de Jeugdwet, zodat ook hier meer preventief gestuurd wordt in plaats van signaal gestuurd. Het verder bekwamen van de toezichthouders rechtmatigheid is hier een onderdeel van. In oktober 2022 zijn drie kwaliteitsmedewerkers gestart binnen het sociaal domein. Verder is het kwaliteitsplan uit 2021 herschreven en wordt aangevuld met uitvoeringsplannen (voor Participatiewet, WMO en Jeugd). In deze plannen wordt aandacht besteed aan: -

Werkprocessen (inclusief digitalisering daarvan) Toetsing Mandaat Handhaving Themacontroles en Integraal werken

Vanuit het oogpunt van fraude door medewerkers worden onderstaande voorbeelden van frauderisico’s onderkend binnen het sociaal domein: wijziging van banknummers, medewerker die een uitkering aanvraagt voor zichzelf, medewerker kent een hogere uitkering toe, medewerker kent een uitkering toe aan een bekende. Ter voorkoming van deze onderkende risico’s zijn beheersmaatregelen genomen. Deze maatregelen zijn te onderscheiden in systeemcontroles, procesafspraken, ongeschreven regels (gedrag van medewerkers) en organisatie-regelingen. -

-

-

Systeemcontroles: koppeling met BRP, naam-nummercheck op banknummer en 4-ogen principe. Procesafspraken: overlegstructuur, kwaliteitsplan sociaal domein, rapportage-opsteller mag geen betalingen verrichten, functiescheiding (o.a. 4-ogen principe), nieuwe medewerkers worden getoetst, normbedragen per uitkeringssoort, niet oppakken van zaken van bekenden (binnen cluster WMO worden zaken verdeeld op postcode en niet toegewezen aan medewerkers die in dezelfde postcode wonen). Ongeschreven regels: sociale controle (cultuur), elkaar aanspreken op ongewenst gedrag, voorbeeldgedrag, op eigen initiatief niet betrokken willen zijn bij bekenden als aanvrager, professionaliteit van medewerkers. Organisatie-regelingen: integriteitsbeleid (o.a. beleid aannemen geschenken).

Vanuit de gevoerde gesprekken is naar voren gekomen dat er geen signalen zijn die duiden op fraude binnen het sociaal domein. Hieruit kan geconcludeerd worden dat de beheersmaatregelen voldoende zijn om de risico’s te mitigeren. 5

2.4. Cultuur en integriteitsbeleid. Cultuur De gemeente Raalte kent een open, informele en transparante cultuur. De werkomgeving is open en flexibel (flexconcept). Medewerkers kunnen gemeente breed elkaars agenda raadplegen. Transparantie en informatievoorziening via het intranet/ SharePoint draagt bij aan de openheid en bekendheid van interne regels en afspraken. In het kader van frauderisico-beperking zijn er naast transparantie ook duidelijke verantwoordingslijnen en open communicatielijnen. De verantwoordingslijnen zijn beschreven in de Organisatieregeling gemeente Raalte 2019 en zijn bekend bij medewerkers. Bij projecten ligt het opdrachtgever- en opdrachtnemerschap vast in het betreffende Plan van Aanpak. Tussentijdse verantwoording vindt plaats via een voortgangsrapportage aan de opdrachtgever. Er zijn op de diverse niveaus verschillende communicatielijnen zoals: • Bestuurlijk: wekelijks Collegevergadering; wekelijks portefeuillehouders overleg ambtelijke organisatie met de verschillende Collegeleden; driehoeksoverleg met burgemeestergemeentesecretaris en griffier. • Management: wekelijks overleg Directieteam (gemeentesecretaris en directeur) en Managementteam (gemeentesecretaris, directeur en domeinmanagers) • Domein en/of clusteroverleg binnen de domeinen: periodiek clusteroverleg domeinmanager en medewerkers.

• Daarnaast vinden er op alle niveaus en afhankelijk van het onderwerp bilaterale overleggen plaats (dit kan ook domein overstijgend zijn). Gesteld kan worden dat binnen de gemeente Raalte er continue aandacht is voor het vormgeven van een veilige werkomgeving. Of de huidige omgeving als veilig wordt ervaren door iedereen zal blijken uit het traject Sociaal Veilig werken dat nu start. Binnenkort wordt gestart met de werving van een interne vertrouwenspersoon.

Integriteitsbeleid. Het integriteitsbeleid bij de gemeente Raalte bestaat uit de volgende onderdelen: - Een Gedragscode ambtelijke integriteit. Deze regeling is voor het laatst geactualiseerd in 2019 en behoeft nieuwe actualisatie. De hierin opgenomen gedragsregels gelden voor alle medewerkers van de organisatie. De gedragscode heeft onder meer betrekking op: o Het aanvaarden van geschenken o Het maken van binnen- en buitenlandse reizen o Belangenverstrengeling en nevenfuncties o Gebruik van gemeentelijke eigendommen o Inkoop van goederen en aanvaarden van kortingen. - Een Gedragscode integriteit politieke ambtsdragers gemeente Raalte. Deze regeling dateert van 2012. - Een Regeling vermoeden misstand en inbreuk op Unierecht DOWR gemeenten. Regeling melding vermoeden misstand. Deze regeling is vanaf 24 februari 2023 in werking en vervangt de Regeling melding vermoeden misstand gemeente Raalte van 1 januari 2016. Bij vermoeden van misstand kan een beroep gedaan worden op de hiertoe aangewezen externe vertrouwenspersoon. De contactgegevens van deze vertrouwenspersoon zijn beschikbaar via intranet. 6

-

In het wervings- en selectiebeleid 2013 van de gemeente Raalte is vastgelegd dat bij iedere vervulling van een vacature binnen de gemeente Raalte een ‘Verklaring Omtrent het Gedrag’ (VOG) is vereist. Ook voor stagiaires, trainees en voor tijdelijk (ingehuurd) personeel. Nieuwe medewerkers leggen na aanstelling de ambtseed af in aanwezigheid van het College van Burgemeester en Wethouders.

Integriteit is onderdeel van het onboardingsprogramma nieuwe medewerkers en ondertekening van een integriteitsverklaring wordt gevraagd bij het arbeidsvoorwaarden gesprek. 2.5. Gegevensbescherming en Informatieveiligheid. Gemeente Raalte heeft met betrekking tot privacy en informatieveiligheid te maken met de Algemene Verordening Gegevensbescherming (AVG), de wet Politiegegevens (Wpg) en de Baseline informatiebeveiliging Overheid (BIO). Werkprocessen waarin persoonsgegevens en andere soorten informatie worden verwerkt moeten ingericht zijn conform deze normen. Dit heeft onder andere als doel om de kans op fraude door externe of interne actoren zo klein mogelijk te maken. Bij fraude met betrekking tot privacy en informatieveiligheid valt bijvoorbeeld te denken aan het misbruiken van toegangsrechten door een medewerker voor eigen doeleinden. Om grip te krijgen op mogelijke frauderisico's binnen werkprocessen is het essentieel om voldoende inzicht te hebben in de inrichting van deze processen en de bijbehorende applicaties. In 2022 is gebleken dat dit inzicht er onvoldoende was en dat er door een capaciteitsgebrek te weinig in verbeterd kon worden. Dit heeft geleid tot een capaciteitsuitbreiding in 2023 in de vorm van extra Privacy Officers (PO) en Information Security Officers (ISO).

Naast het inzicht in werkprocessen en applicaties is het noodzakelijk dat er voldoende aandacht blijft voor bewustwording bij medewerkers. Daarom is er in 2022 gestart met het e-learning programma 'NanoLearning Privacy en Informatieveiligheid', waarin onder andere ook aandacht gaat naar integriteitsvraagstukken. In 2023 wordt NanoLearning voortgezet. 3. Rol van het management. Het management heeft een belangrijke rol in het tegen gaan van fraude. Belangrijke beheersingsmaatregelen hierbij zijn: o Zicht houden op de druk die zowel door interne als externe partijen op de medewerkers wordt uitgeoefend. o Zicht houden op de persoonlijke omstandigheden van medewerkers. o Zorgen voor beheersbare werkdruk en aandacht voor ontwikkeling van medewerkers. o Kennis van kwetsbare situaties en sturen op de beheersing daarvan. o Het beschermen van medewerkers in kwetsbare functies. o Bijdragen aan een open en transparante werkwijze door voorbeeldgedrag. o Het bespreken van dilemma’s met medewerkers en bijdragen aan een veilig werkklimaat. o Het nemen van verantwoordelijkheid als budgethouder. Enerzijds door het goedkeuren van opbrengsten en betalingen voor geleverde prestaties en anderzijds door het monitoren van de budgetuitputting en toezien op correcte administratievoering. Hierbij kan de financieel adviseur vanuit het cluster advies ondersteuning bieden.

o Het bewaken van de juiste toepassing van interne regels en procedures (bijvoorbeeld declaraties). o Het regelmatig agenderen van het onderwerp fraude in diverse gremia van de organisatie. Gesteld kan worden dat binnen de gemeente Raalte er continue aandacht is voor het vormgeven van een veilige werkomgeving. Waarbij het mogelijk is om knelpunten, onzekerheden en dilemma’s door te spreken. Denk daarbij o.a. aan gevraagde en ongevraagde signalen van medewerkers en bilaterale gesprekken. 7

In combinatie met een informele cultuur (naast de formele cultuur) én onderlinge sociale controle geeft dit het management voldoende handvatten om op eigen wijze invulling te geven aan bovengenoemde beheersingsmaatregelen om op die manier het frauderisico te beperken. 4. Conclusie. Uit deze frauderisicoanalyse blijkt dat bij een aantal (financiële) processen beheersmaatregelen in het proces zijn ingebed. Bij andere processen is de beheersing geborgd door achteraf gegevensgerichte controles uit te voeren. De resultaten van deze toetsing vormen onderdeel van de accountantscontrole. Naast deze “harde aspecten” spelen ook de “zachte aspecten” een belangrijke rol in het beperken van frauderisico’s. Dit zijn factoren zoals de cultuur en integriteitswaarden van de organisatie. Samenvattend kan uit deze nadere uitwerking van de frauderisicoanalyse geconcludeerd worden dat er in 2022 zowel op de harde als op de zachte aspecten binnen de gemeente Raalte aandacht is geweest voor frauderisico en dat dit risico zich hiermee op een aanvaardbaar niveau bevindt. Aldus vastgesteld,

gehoord het directieteam d.d. 10 mei 2023

door het College van Burgemeester en Wethouders van Raalte d.d. 23 mei 2023

burgemeester en wethouders van de gemeente Raalte,

de secretaris Monique van Esterik

de burgemeester Martijn Dadema

8