RIB 22 102 (Bijlage 4) frauderisicoanalyse
Tekst van het document
Risico Analyse
Kolom1
Proces 1 Inkoop en Aanbestedingen
Gemeente Rijswijk
Risico-omschrijving
Mogelijke gevolgen risico
Het risico dat de selectie van aannemers niet onafhankelijk plaatsvindt of dat er een schijn van belangenverstrengeling ontstaat.
Aannemer wordt geselecteerd op basis van onjuiste of onvolledige informatie of dat deze gekozen wordt vanwege de nauwe relatie met de budgethouder.
2 Inkoop en Aanbestedingen
Het risico dat aannemers onderling Het risico op te hoge kosten, doordat het doel van afspraken maken gezien zij weten wie de aanbesteding niet wordt bereikt door onbekende wordt uitgenodigd door de gemeente. afspraken tussen aannemers.
3 Inkoop en Aanbestedingen
Het risico dat de gunning van opdrachten niet onafhankelijk plaatsvindt of dat er een schijn van belangenverstrengeling ontstaat.
Het risico dat de opdracht wordt gegund aan een inschrijver die niet als beste wordt beoordeeld doordat sprake is van belangenverstrengeling.
Het risico dat valse facturen alsnog worden betaald doordat in onvoldoende mate gecontroleerd wordt voor betaling.
Facturen waar geen of onjuiste tegenprestaie aan ten grondslag ligt worden naar de gemeente gestuurd.
Het risico dat onrechtmatige betalingen plaatsvinden, doordat het bankrekeningnummer afwijkt van de factuur.
Een betaling aan een onrechthebbende.
4 Factuurverwerking en betaling
5 Factuurverwerking en betaling
6 Factuurverwerking en betaling
Risicoclassificatie M
M
8 Financial reporting
9 Automatisering
10 Automatisering
Aanbevolen interne beheersingsmaatregel
Selectie van aannemers vindt in functiescheiding plaats. Beoordeling vindt plaats middels vastgestelde procedure waarbij op basis van de gestelde vereisten de selectie plaatsvindt.
ja
Geen maatregel die het risico volledig afdekt. Bij meervoudig Bij elke aanbesteding die meervoudig onderhands wordt onderhandse aanbestedingen wordt de offerte aangevraagd bij uitgezet dient een partij te worden uitgenodigd waarmee de bekende leveranciers waarmee de gemeente reeds zaken doet. Hier gemeente nog geen zaken doet. wordt niet periodiek een nieuwe partij aangeschreven.
deels
Ontvangen offertes worden vergeleken op basis van selectiecriteria. Selectie word vastgelegd in het systeem en door meerdere medewerkers beoordeeld.
Ja
Functiescheiding in inkoop; controle door budgethouder, eventueel in combinatie met projectleider.
Ja
Tweede (of meerdere) handtekeningen noodzakelijk op elke betaling via de bank. Wijziging crediteuren stamgegevens vindt plaats in functiescheiding. Daarnaast worden wijzigingen enkel doorgevoerd op basis van betrouwbare documentatie.
Ja
H
L
L
Het risico dat facturen worden betaald Betalen voor prestaties die niet zijn geleverd waarvoor geen prestatie is geleverd.
H
7 Financial reporting
Interne beheersingsmaatregel ter afdekking van risico
Risico ondervangen door beheersmaatr egelen
Het risico dat onrechtmatige handelingen niet gesignaleerd worden door het oneigenlijk gebruik van tussenrekeningen. Het risico dat memoriaalboekingen niet juist, tijdig en volledig zijn geautoriseerd en verwerkt, waardoor het identificeren van afwijkingen wordt bemoeilijkt.
Tussenrekeningen worden op frauduleuze wijze gebruikt om resultaat te sturen.
Het risico dat het netwerk/applicaties voor onbevoegden toegankelijk is en/of dat onbevoegden wijzigingen aanbrengen in het systeem of applicaties.
Onbevoegden kunnen frauduleuze handelingen verrichten ten nadele van de gemeente.
Het risico dat de rechten tot het aanpassen van rechten bij medewerkers liggen die belang hebben bij aanpassingen.
Ingerichte functiescheidingen in systemen kunnen doorbroken worden.
Memoriaalboekingen worden gebruikt om budgetten te verschuiven. Waardoor overschrijdingen buiten beeld blijven
L
M
L
M
Facturen worden in functiescheiding goedgekeurd waarbij, bij de meeste facturen, verschil zitten tussen prestatieverklaring en budgethouder. Bij een deel van de facturen vind dit niet in functiescheiding plaats en is bij goedkeuring van facturen geen sprake van functiescheiding. Tevens ligt ook niet vast wat dient te worden vastgelegd voor de beoordeling van de prestatielevering. Wel vindt controle plaats door VIC, echter is dit een controle achteraf, waardoor risico niet volledig wordt ondervangen.
Functiescheiding tussen prestatieverklaarder en budgethouder in alle gevallen en daarnaast het vastleggen van ciriteria waaraan de controle van de prestatielevering dient te voldoen.
deels
Tussenrekeningen worden periodiek gecontroleerd en uitgezocht door medewerkers van de financiële administratie
ja
Zeer gering aantal memoriaalboekingen en dus overzichtelijk; alle boekingen worden door een tweede persoon gecontroleerd, anders dan de budgethouder
ja
Om toegang tot de gemeentelijke systemen te krijgen wordt Niet toestaan dat prive telefoon wordt gebruikt voor zakelijke gewerkt met een 2-factor authentication waardoor toegang door doeleinden en inloggen enkel via de zakelijke telefoon wordt onbevoegden op juiste wijze is afgeschermd. Deze 2-factor toegestaan. authenticatie is gekoppeld aan de zakelijke GSM. Bij uit dienst treding wordt de zakelijke telefoon ingeleverd en is er direct geen toegang meer. Het is echter mogelijk dit ook op de prive telefoon te installeren, waardoor beheersmaatregel niet volledig dekkend is
deels
Er is een geformaliseerd proces aanwezig om rechten toe te kennen Bij het inrichten van het rechtenbeheer zorgdragen dat het aan medewerkers binnen de gemeente. Echter ligt er geen functie- toewijzen van rechten alleen kan worden gedaan door autorisatiematrix aanwezig, waardoor niet duidelijk is welke functie personen die niet direct betrokken zijn bij processen. welke rechten mag hebben. Periodiek middels logging (indien aanwezig) controleren of er wijzigingen hebben plaatsgevonden c.q. aanduidingen voor onrechtmatige gebruikers zijn.
deels
11 Automatisering
Het risico dat rechten (onbewust) worden toegekend aan medewerkers die primair bij (uitvoerings)processen betrokken zijn.
Ingerichte functiescheidingen in systemen kunnen doorbroken worden.
Het risico dat ongewenste parijen/personen toegang krijgen doordat wachtwoorden voor toegang tot applicaties en databases gedeeld of gekraakt worden.
Ongewenste personen krijgen de mogelijkheid om wijzigingen in applicaties door te voeren en daarmee frauduleuze handelingen te verrichten.
Het risico dat de opbrengsten te laag zijn omdat de verkoopprijzen onjuist worden bepaald.
Niet alle opbrengsten worden gerealiseerd
Het risico dat de kosten te hoog zijn doordat niet marktconforme prijzen worden betaald voor aangekochte gronden
Kosten te hoog
Het risico dat een vergunning of onjuiste vergunning wordt afgegeven terwijl niet is voldaan aan de wettelijke/gemeentelijke eisen.
Onrechtmatige verlening van vergunning.
Het risico dat de bouwkosten te laag worden vastgesteld.
Bewust te laag vaststellen van de bouwleges.
Risico dat beschikking, verwijzing /toewijzingsbericht onterecht /onjuist afgegeven door de Gemeente.
Onrechtmatige verlening van Jeugdsubsidie.
18 Jeugd
Risico op onrechtmatige uitbetalingen aan zorgverlener.
Zorgverlener wordt onterecht betaald
19 Jeugd
Risico dat PGB budget niet of niet geheel besteed wordt aan de zorg zoals in de beschikking toegekend.
Onrechtmatig gebruik van budgetten
Risico op onrechtmatige PGB-lasten als gevolg van fraudesignalen vanuit de PGB-client of zorgaanbieder.
Onterechte uitbetaling aan clienten of zorgverlener.
Risico dat beschikking, verwijzing /toewijzingsbericht onterecht /onjuist afgegeven door de Gemeente.
Onrechtmatige verlening van Jeugdsubsidie.
22 WMO
Risico op onrechtmatige uitbetalingen aan zorgverlener.
Zorgverlener wordt onterecht betaald.
23 WMO
Risico dat budget PGB niet of niet geheel besteed wordt aan de zorg zoals in de beschikking toegekend.
Onrechtmatig gebruik van budgetten.
Risico op onrechtmatige PGB-lasten als gevolg van fraudesignalen vanuit de PGB-client of zorgaanbieder.
Onterechte uitbetaling aan clienten of zorgverlener.
Risico dat gedeclareerde zorg niet of niet volledig is geleverd. Het risico dat loonkosten onjuist zijn doordat medewerkers te laat uit dienst worden gemeld en hierdoor onterecht loon ontvangen.
Onterechte betalingen van zorg omdat er geen tegenprestatie aan ten grondslag ligt Onterechte uitbetaling van personeel dat niet meer in dienst is.
Het risico dat niet-gemaakte kosten worden gedeclareerd en/of het risico dat privé-uitgaven worden gedeclareerd. Het risico dat niet-gewerkte overuren als werktijd worden verantwoord.
Onterechte uitbetaling aan personeel voor kosten die niet werkgerelateerd zijn.
Het risico dat een niet bestaande medewerker wordt aangemaakt in de administratie. Het risico dat (te hoge) subsidies worden verstrekt danwel vastgesteld waarbij een ambtenaar of bestuurder privébelangen heeft.
12 Automatisering
13 Grond aan- en verkopen 14 Grond aan- en verkopen
15 Omgevingsvergunningen
16 Omgevingsvergunningen 17 Jeugd
20 Jeugd
21 WMO
24 WMO 25 WMO 26 Personeel
27 Personeel 28 Personeel 29 Personeel 30 Subsidies
M
L
Er is een geformaliseerd proces aanwezig om rechten toe te kennen aan medewerkers binnen de gemeente. Echter ligt er geen functieautorisatiematrix aanwezig, waardoor niet duidelijk is welke functie welke rechten mag hebben.
Een functie-autorisatiematrix opstellen. De rechten in de systemen conform de functie-autorisatiematrix vaststellen en periodiek controleren of de inrichting conform de functieautorisatiematrix is. Indien mogelijk bij voorkeur logging meenemen in deze controle.
deels
Wachtwoorden voor de active directory dienen periodiek gewijzigd te worden. Echter de toegangsgegevens voor diverse applicaties, waaronder Key2finance behoeven niet gewijzigd te worden. Hierdoor wordt het risico deels afgedekt dat onrechtmatig handelingen worden verricht.
Het wijzigen van wachtwoorden periodiek afdwingen in de verschillende applicaties en systemen en daarbij zorgdragen voor minimale wachtwoordvereisten.
deels
Bewustzijn bij medewerkers creëren m.b.t. wachtwoordbeleid
Verkoopprijzen komen tot stand middels een taxatie. Daarnaast worden de bouwkosten gecontroleerd door planeconomen, waardoor de residuele grondprijswaarde is getoetst.
Ja
Aankoopprijzen komen tot stand middels taxatie. Onderhandelingen worden door twee personen gevoerd. Het college wordt geïnformeerd over de aankoopprijzen en er mag slechts 10% van de taxatiewaarde worden afgeweken.
Ja
Vergunningen komen tot stand middels functiescheiding tussen uitvoerende en controlerende functie. Daarnaast hebben burgers een bezwaarprocedure bij afgifte van vergunningen.
Ja
Grote bouwsommen worden door een tweede medewerker getoetst. Adviseren om vergunningen met een kleinere bouwsom Vergunningen met lagere bouwsommen komen niet in steekproefsgewijs te laten controleren op toerekening juiste functiescheiding tot stand. bouwsom. Hiermee wordt het risico volledig ondervangen.
Deels
Controle op de beschikking, verwijzing en toewijzing van jeugdzorg door een andere medewerker dan de behandelaar (4-ogenprincipe).
Ja
Controle op de uitbetalingen aan zorgverlener. Controleren dat alle stukken die wijzen op de verleende zorg aanwezig zijn.
Ja
Periodieke controle op budgetten en budgethouders.
Ja
Vooraf screenen van de zorgverlener en clienten. Achteraf controle op de uitbetalingen en deze pas doorvoeren na ontvangst bewijs van verleende zorg.
Ja
Controle op de beschikking, verwijzing en toewijzing van jeugdzorg door een andere medewerker dan de behandelaar (4-ogenprincipe).
Ja
Controle op de uitbetalingen aan zorgverlener. Controleren dat alle stukken die wijzen op de verleende zorg aanwezig zijn.
Ja
Periodieke controle op budgetten en budgethouders.
Ja
Vooraf screenen van de zorgverlener en clienten. Achteraf controle op de uitbetalingen en deze pas doorvoeren na ontvangst bewijs van verleende zorg.
Ja
Na uitbetaling controleren bij de clienten dat de zorg (zoals afgesproken) is verleend door de zorgverlener. Op basis van de schriftelijke opzegging van de uitdienst tredende werknemer en het vier ogen principe op het mutatieverslag van de salarissen. Periodieke controle (2x per jaar) van de personeelslijst en de lijst van PSA. Bij uitdiensttredingen tijdig controleren dat dit in het systeem is doorgevoerd.
Ja
L
Controle van alle declaraties door de Leidinggevenden.
ja
Onterechte uitbetaling aan personeel voor kosten die niet werkgerelateerd zijn.
L
Leidinggevenden accorderen overuren van hun medewerkers. Daarnaast is er een inhoudelijk periodieke check noodzakelijk.
Ja
Onrechtmatige uitbetaling van niet bestaande medewerker.
L
Ja
Onrechtmatige verstrekking van subsidie.
M
Er vindt maandelijkse controle plaats door PSA op de aantal medewerkers en de mutaties die voortvloeien uit in- en uitdiensttreding. Subsidies worden verstrekt conform de subsidieverordening en Het opstellen van werk-instructies, standaard checklisten om interne beleidsregels, echter vindt er geen zichtbare controles plaats de beoordeling van subsidies plaats te laten vinden. Daarnaast op genomen besluitvorming. het toevoegen van een controlerende functie binnen het proces.
L
L
L
L
L
M
L
L
L
M
L
L
M M
Ja
Deels
31 Subsidies
Het risico dat Onrechtmatige verstrekking van subsidie. subsidievoorwaarden/verordening niet worden nageleefd en/of subsidies onrechtmatig worden verstrekt.
L
Subsidies worden verstrekt conform de subsidieverordening en Het opstellen van werk-instructies, standaard checklisten om interne beleidsregels, echter vindt er geen zichtbare controles plaats de beoordeling van subsidies plaats te laten vinden. Daarnaast op genomen besluitvorming. het toevoegen van een controlerende functie binnen het proces.
Deels
32 Subsidies
Het Risico dat de hoogte van de subsidie niet objectief bepaald wordt.
Onjuiste bepaling van subsidiebedrag.
M
Deels
33 Subsidies
Het risico dat niet gemonitord wordt of de doelen waar de subsidie voor is aangevraagd worden nageleefd.
Onrechtmatige verstrekking van subsidie.
M
34 Subsidies
Het risico dat een inkoop/aanbesteding onterecht wordt verantwoord als subsidie.
Onrechtmatige subsidie en onvolledige aanbestedingen.
M
35 Subsidies
Het risico dat vastelling plaatsvind zonder controle op realisatie of aanvullende documenten.
Onjuiste/onvolledige vaststelling subsidie.
L
36 Subsidies
Het risico dat de subsidie-aanvraag te Onjuiste bepaling van subsidiebedrag. hoog is vastgesteld door de aanvrager/behandelaar.
M
37 Participatie
Het risico dat uitkeringsdossiers worden aangemaakt voor een fictief persoon en geld wordt overgemaakt op de rekening van een ambtenaar.
Onrechtmatige uitbetaling van fictieve uitkeringen
M
Subsidies worden verstrekt conform de subsidieverordening en Het opstellen van werk-instructies, standaard checklisten om interne beleidsregels, echter vindt er geen zichtbare controles plaats de beoordeling van subsidies plaats te laten vinden. Daarnaast op genomen besluitvorming. het toevoegen van een controlerende functie binnen het proces. Subsidies worden verstrekt conform de subsidieverordening en Het opstellen van werk-instructies, standaard checklisten om interne beleidsregels, echter vindt er geen zichtbare controles plaats de beoordeling van subsidies plaats te laten vinden. Daarnaast op genomen besluitvorming. het toevoegen van een controlerende functie binnen het proces. Subsidies worden verstrekt conform de subsidieverordening en Het opstellen van werk-instructies, standaard checklisten om interne beleidsregels, echter vindt er geen zichtbare controles plaats de beoordeling van subsidies plaats te laten vinden. Daarnaast op genomen besluitvorming. het toevoegen van een controlerende functie binnen het proces. Subsidies worden verstrekt conform de subsidieverordening en Het opstellen van werk-instructies, standaard checklisten om interne beleidsregels, echter vindt er geen zichtbare controles plaats de beoordeling van subsidies plaats te laten vinden. Daarnaast op genomen besluitvorming. het toevoegen van een controlerende functie binnen het proces.
Subsidies worden verstrekt conform de subsidieverordening en Het opstellen van werk-instructies, standaard checklisten om interne beleidsregels, echter vindt er geen zichtbare controles plaats de beoordeling van subsidies plaats te laten vinden. Daarnaast op genomen besluitvorming. het toevoegen van een controlerende functie binnen het proces. 4-ogen principe tussen uitkeringsadministratie en administratie bij het invoeren van een rekeningnummer. Daarnaast periodieke controle op dossiers van behandelaar door andere medewerkers.
38 Participatie
Het risico dat behandelaar kennissen onterecht uitkering verstrekt/ of niet laat voldoen aan verplichtingen.
Onrechtmatige verstrekking van uitkering
L
Periodiek een tweede controle laten uitvoeren door een andere medewerker op de behandelde dossiers van een andere medewerker.
Ja
39 Participatie
Het risico dat uitkeringsgerechtigde onjuiste inkomensinformatie opgeeft waardoor een te hoge uitkering wordt ontvangen
Onjuiste bepaling van uitkeringbedrag door gebrek aan juiste informatie.
L
Middels het inlichtingenbureau laten controleren op inkomen van uitkeringgerechtigde en dit terugkoppelen naar de uitkeringenadministratie. Maandelijks salarissttrook opvragen. En zonder deze niet uitbetalen.
Ja
40 Belastingen
Het risico dat onterecht kwijtschelding Onrechtmatige toekening van kwijtscheldingen voor of vermindering van belasting wordt belastingen. verleend aan bekenden van de behandelend ambtenaar.
M
Kwijtschelding van belastingen laten controleren door 2 medewerkers (4-ogen principe). Daarnaast goed documenteren waarom kwijtschelding wordt verleend met de daarbij behorende brondocumenten ter onderbouwing.
Ja
41 Belastingen
Het risico dat WOZ waarden onterecht Onvolledige/onjuiste WOZ waarde. lager worden vastgesteld waardoor persoonlijk gewin wordt behaald.
L
Waarden kunnen niet zomaar verlaagd worden, want dan moet het verder in Key2belastingen verwerkt worden en zij controleren of er een echt besluit ligt.
Ja
42 Belastingen
Het risico dat vorderingen onterecht oninbaar worden verklaard met als doel persoonlijk gewin.
L
Deels
Deels
Deels
Deels
Ja
Er zijn meerdere afdelingen die invoer en controle doen, dus FS. Onvolledige vorderingen en onrechtmatige oninbare vorderingen
Periodieke controle op de inbaarheid van de vorderingen. Vorderingen pas als oninbaar beschouwen na toetsing door behandelaar en controle op deze toetsing door leidinggevende.
Ja