2022-01-14 RIB Rechtmatigheidsverantwoording 2021 - Nota Risicoanalyse Fraude en Integriteit.pdf

BAR-organisatie, december 2021

Inhoud Risicoanalyse Fraude en Integriteit ......................................................................................................... 3 Inleiding ............................................................................................................................................... 3 1.

Wat is fraude ............................................................................................................................... 3

2.

Risico en context ......................................................................................................................... 3

3.

Fraudedriehoek groeit door naar Fraudediamant ...................................................................... 3

4.

Cyclus frauderisicoanalyse .......................................................................................................... 4

5.

De Processen die in 2021 in de VIC zijn opgenomen .................................................................. 5

6.

Impact analyse............................................................................................................................. 5

7.

Aanpak op maat .......................................................................................................................... 6

8.

Integraal risicomanagement ....................................................................................................... 7

9.

Preventie door communicatie ..................................................................................................... 7

2

Risicoanalyse Fraude en Integriteit Inleiding Een gemeente heeft te maken met frauderisico’s die deels wel en deels ook niet voorkomen kunnen worden. Door frauderisico’s te analyseren kunnen we weloverwogen keuzes maken ten aanzien van het voorkomen daarvan. Het college/ dagelijks bestuur is primair verantwoordelijk voor het vermijden en ontdekken van fraude en stelt een frauderisicoanalyse op. Concerncontrol heeft als taak de jaarlijkse actualisatie te coördineren. Het is belangrijk dat het onderwerp frauderisico en integriteit periodiek op de agenda staat en onderwerp is van gesprek van het college/ dagelijks bestuur, directie en management. Zeker niet minder belangrijk is dat frauderisico en integriteit ook een gespreksonderwerp is tussen leidinggevende en medewerker en medewerkers onderling. De frauderisicoanalyse is vanaf 2021 vast onderdeel van het controle plan Verbijzonderde Interne Controle. In de halfjaarlijkse rapportages komen de bevindingen op dit onderwerp terug als vast item. Naast de risicoanalyse, fraude en integriteit wordt ook aandacht besteedt aan misbruik en oneigenlijk gebruik.

1. Wat is fraude In dit document houden we de begripsomschrijving aan zoals die in de standaarden van accountants (NV COS) zijn opgenomen. “Fraude is een opzettelijke handeling door een of meer leden van het management, met governance belaste persoenen, werknemers of derden, waarbij gebruik wordt gemaakt van misleiding teneinde een onrechtmatig of onwettig voordeel te verkrijgen.” Fraude wordt hier dus zowel intern als extern bedoeld.

2. Risico en context Een risico is het effect van onzekerheid op het behalen van doelstellingen. Risico’s worden op ieder organisatieniveau geïdentificeerd. Het betreft hier de risicogerichte aanpak op operationeel en tactisch niveau die onderdeel uitmaakt van de Verbijzonderde Interne controle.

3. Fraudedriehoek groeit door naar Fraudediamant Een combinatie van meerdere aspecten maakt dat er fraude bestaat. Deze aspecten zijn prikkels/ druk, gelegenheid en rationalisatie. Bij prikkels/ druk gaat het om de aanleiding tot frauderen bij een individueel geval. Bij gelegenheid gaat het om het procesniveau. De interne beheersing geeft de mogelijkheid tot frauderen. Bij rationalisatie gaat het onder andere over ‘the tone at the top’, het goedpraten van gedrag. In aanvulling op het fraudemodel van Cressey zoals hierboven is verwoord, dient ook het vermogen van een individu om de details van de fraude te implementeren te worden meegenomen (The Fraud Diamond, Wolfe en Henderson, 2004). Veel fraude zou niet hebben plaatsgevonden zonder de juiste persoon met de juiste kennis, middelen en ervaring om de fraudehandeling daadwerkelijk uit te voeren. Samenspanning intern en extern is daarbij een aspect dat zeker niet buiten beschouwing gelaten kan worden. Dus er zijn 4 aspecten die maken dat er fraude bestaat: Gelegenheid Motivatie (druk) Rationalisatie 3

En Bekwaamheid

4. Cyclus frauderisicoanalyse Periodieke detectie met behulp van een risicogerichte aanpak Frauderisico is een onderwerp dat blijvend onder de aandacht moet zijn. Bedrijfsrisico’s worden beoordeeld op impact en waarschijnlijkheid en daarom worden acties ondernomen. Uitgangspunt is interne fraude en financiële risico’s met materiële omvang. Ook misbruik & oneigenlijk gebruik, misbruik van bijvoorbeeld de subsidieregelingen. In de processen van de VIC hebben we een risicogerichte aanpak en wordt steeds gerapporteerd. Hiervoor leggen we de volgende zaken vast:  We leggen vast wat de doelen zijn van de organisatie en op welke wijze die doelen worden vertaald naar het cluster en de afzonderlijke teams.  Met behulp van clusterplannen (A3) worden de doelstellingen vertaald naar activiteiten waarmee de organisatiedoelen moeten worden behaald. Deze cluster specifieke doelstellingen worden direct opgehangen aan de hierop toegerichte processen en bijbehorende teams.  We bespreken met de proceseigenaar en de uitvoerend verantwoordelijk teamleider risico’s binnen het proces. Denk bijvoorbeeld aan financiële risico’s, integriteitsrisico’s en ook compliance risico’s. Daarbij richten we ons op de processen zoals hieronder zijn opgenomen, maar willen zeker ook oog hebben voor andere processen binnen een team.  We bespreken de beheersmaatregelen die in het proces zijn opgenomen.

Daarbij leggen we vast welke processtappen als keycontrol (een processtap die geldt als maatregel) zijn vastgelegd, hoe hier op wordt getoetst, hoe deze toets wordt vastgelegd en welke stappen worden gezet naar aanleiding van bevindingen.  We brengen per proces in kaart wat de financiële omvang is. Dit om de grotere transactiestromen te onderscheiden. De financiële omvang bepaalt mede de prioritering van de in de VIC op te nemen processen.  We evalueren per proces wat de uitkomsten van controles zijn uit voorgaande jaren.  We beoordelen wat het niveau is van interne beheersing van het proces. 4



We inventariseren per proces waar we mogelijk een verhoogd politiek-, integriteits- of reputatierisico lopen.

Op basis van bovenstaande punten maken we per proces een weging en leggen we vast met welke frequentie het proces op de controlekalender wordt opgenomen.

5. De Processen die in 2021 in de VIC zijn opgenomen

Bovenstaande processen zijn beschreven en opgenomen in de I-server.

6. Impact analyse Hier worden de risico’s vastgelegd inclusief interne beheersmaatregelen aan de hand van de fraudedriehoek. Daarbij wordt steeds gekeken naar hoe risico’s worden ingeschat en wat de vastlegging daarvan is. Voor processen met een verhoogd risico brengen we de kwetsbare functionarissen in kaart. Een aantal uitgangspunten beschrijven we hier als het gaat om kaders. Kwetsbaarheden, wat zijn dat en hoe herkennen we die. Om te kunnen bepalen waar de kwetsbaarheden zitten richten wij ons op de hieronder genoemde kwetsbare werkgebieden en/of activiteiten. Het gaat om veelvoorkomende kwetsbaarheden. Het overzicht is niet uitputtend en kan op basis van bevindingen worden aangepast.

5

Het grootste risico binnen een organisatie is en blijft de mens. Om de risico’s beter beheersbaar te maken is het van belang ons te richten op het individu. Binnen kwetsbare werkgebieden zijn het de specifieke functionarissen die in de kwetsbaarheid de verhogende factor vormen. Beslissingen genomen vanuit het individu zijn bepalend voor de prestatie in het proces, maar ook voor de eventuele negatieve gevolgen. In de tabel hieronder richten we ons op het individu/ de functionaris.

In het jaarplan Verbijzonderde Interne Controle wordt het overzicht gepresenteerd welke processen zijn opgenomen in de VIC waarbij wordt aangegeven op welke wijze fraude- en integriteitsrisico’s worden gedetecteerd en welke beheersmaatregelen er worden verwacht binnen de processen. Elk proces wordt standaard ingericht op basis van doelstellingen en risico’s/ beheersmaatregelen. Hierbij komt standaard het thema fraude en integriteit aan de orde.

7. Aanpak op maat Hier gaat het om de opvolging en repressie, ontwerpen van maatregelen en aanpassen van de organisatie. Op welke manier heeft de directie grip op de geïdentificeerde frauderisico’s. De directie en het management hebben een belangrijke rol in het grip krijgen op de geïdentificeerde frauderisico’s en in de opvolging van de maatregelen ter voorkoming en opsporing van fraude. Concerncontrol heeft een rol in het onderzoeken en vaststellen dat getroffen beheersmaatregelen in de praktijk zijn ingevoerd en daadwerkelijk functioneren. De verhoogde frauderisico’s zijn ingepast in de reguliere VIC en IT controls.

6

8. Integraal risicomanagement We ontkomen er zekerheidshalve niet aan om in het integrale risicomanagement rekening te houden met een mogelijke schade in de nabije toekomst. Dit geconsolideerde risico maakt onderdeel uit van het risicoprofiel van de gemeenschappelijke regeling BAR-organisatie en daarmee van de deelnemende gemeenten. De bandbreedte van dit risico wordt in belangrijke mate bepaald door de mate van risicoanalyse en toegepaste beheersing op procesniveau.

9. Preventie door communicatie Geen taboe op het onderwerp. Voer het gesprek over risico’s die we met elkaar zien. Dat kan op tal van momenten en manieren. We kunnen met elkaar veel doen om geen gelegenheid te bieden door het plegen van fraude of om te voorkomen dat frauduleus handelen wordt goedgepraat. Dat begint bij de top, door het uitdragen van normen en waarden van de organisatie, het geven van het goede voorbeeld en de open communicatie hierover. Medewerkers informeren en prikkelen om er voor te zorgen dat medewerkers de visie op frauderisico’s kennen. Fraudebewustzijn als periodiek onderwerp organisatie breed aandacht geven. Dit doen we met ‘hard controls’ en met ‘soft controls’. Er is een BAR-personeelshandboek d.d. 17-2-2021. Dit handboek is opgenomen in weten en regelen op bar plaza en voor iedereen toegankelijk.

7