3a. Frauderiscoanalyse 2023

Frauderisicoanalyse 2023

Inleiding De gemeente Rozendaal hanteert sinds 2014 een frauderisicoanalyse. Vorig jaar is voor het eerst een nieuwe opzet gehanteerd. Dit is de eerste actualisatie van de frauderisicoanalyse in deze opzet. Deze frauderisicoanalyse kan worden gezien als onderdeel van het gemeentelijk M&O beleid (misbruik en oneigenlijk gebruik). Doel Het doel van deze analyse is het in beeld brengen van de risico’s die de gemeente Rozendaal loopt. Daarnaast wordt inzichtelijk gemaakt welke maatregelen genomen zijn om deze risico’s te beheersen en welke restrisico’s (netto-risico’s) er nog over zijn en welke maatregelen nog genomen kunnen worden om het risico nog verder in te perken. Hierbij moet de afweging worden gemaakt of dat maatregel in verhouding staat tot het risico dat wordt gelopen. Met deze analyse wordt een totaalbeeld van het frauderisico gegeven. Rechtmatigheidsverantwoording Vanaf het verslagjaar 2023 dient het college zelf de rechtmatigheidsverantwoording af te geven. Voorheen deed de accountant dit. Het college verklaart hiermee dat zij wel of niet rechtmatig heeft gehandeld op alle onderdelen zoals benoemd in het normenkader. De accountant controleert of de conclusie die het college trekt juist is. Accountants zijn verplicht vanaf 2022 in hun controleverklaring te rapporteren over fraude.

Hierin moet aandacht worden besteed aan de risico’s en de werkzaamheden die zij hiervoor heeft verricht. De frauderisicoanalyse is hierin een belangrijk document voor de accountant. Geëvalueerd zal worden wat de meest belangrijke frauderisico’s zijn en of er fraude-incidenten zijn geweest en de eventuele opvolging daarvan. Bruto risico De bruto-risico’s betreffen die risico’s die de gemeente Rozendaal loopt alsof er geen maatregelen zijn getroffen. In onderstaand overzicht zijn de geïnventariseerde risico’s ingedeeld naar impact en waarschijnlijkheid (kans). De omvang van het risico wordt in beeld gebracht door de variatie in grootte en plaats van de ballonnen.

Getroffen maatregelen Om deze bruto-risico’s in te perken zijn er maatregelen genomen. Hieronder zijn per proces de genomen maatregelen uitgewerkt. Proces Afvalstoffenheffing

OZB

Beheersmaatregel De uitvoering van de afvalstoffenheffing is bij De Connectie belegd. De Connectie hanteert strikte functiescheiding bij de verwerking van gegevens, opleggen aanslag en inning. Zij zijn bezig de ISAE type 2 verklaring te verkrijgen. Interne controles blijven noodzakelijk, totdat de ISAE verklaring kan worden overlegd. De uitvoering van de OZB is bij De Connectie belegd. De Connectie hanteert strikte functiescheiding bij de waardering, verwerking van gegevens, opleggen aanslag en inning. Zij zijn bezig de ISAE type 2 verklaring te verkrijgen. Controle op hun werkwijze geschiedt ook door de Waarderingskamer waarbij ze de hoogste

Risico H/G/L Laag, door strakke processen bij de uitvoering in voorbereiding op de ISAE verklaring. Laag, door strakke processen bij uitvoering in voorbereiding op de ISAE verklaring

Rioolheffing

Vergunningsverlening

Leges burgerzaken

Waardedocumenten

Grafrechten en -verkopen

Huuropbrengsten

Salarissen

score krijgen die mogelijk is. Interne controles blijven noodzakelijk tot de ISAE verklaring kan worden overlegd. De uitvoering van de rioolheffing is bij De Connectie belegd. De Connectie hanteert strikte functiescheiding bij de verwerking van gegevens, opleggen aanslag en inning. Zij zijn bezig de ISAE type 2 verklaring te verkrijgen. Interne controles blijven noodzakelijk, totdat de ISAE verklaring kan worden overlegd De aanvraag komt binnen bij de adviseur juridische zaken en integrale veiligheid of bij de adviseur ruimtelijk domein. De adviseur neemt de aanvraag in behandeling en stuurt een advies hierop ter verlening van een vergunning aan B&W (omgevingsvergunningen) of neemt hier in mandaat een besluit over (vergunningen openbare ruimte). Op omgevingsvergunningen vindt een interne controle plaats op tarieven, juistheid berekening en volledigheid. Veel vergunningen openbare ruimte zijn legesvrij. Burgerzaken wordt bemenst door 2 part-time medewerksters. Hierdoor is volledige functiescheiding niet mogelijk. Interne controle vindt plaats over reisdocumenten en rijbewijzen aan de hand van gegevens van RDW en Biza. Op huwelijksleges betreft vindt een 100% controle plaats. Maandelijks wordt verantwoord door de kassier aan controller. Steekproefcontrole vindt plaats. De aanvraag wordt beoordeeld door begraafplaatsbeheerder, deze zorgt voor facturatie, inning door De Connectie.

Interne controle vindt plaats door fysieke steekproefcontrole (volledigheid) op de begraafplaats en via interne controle op de opbrengsten via het grootboek (juistheid) De nieuwe ibegraafplaats software zal de controle gaan vereenvoudigen. Er is sprake van functiescheiding tussen de opsteller van een contract en de opsteller van de rekeningen. Jaarlijks vindt interne controle plaats op volledigheid en juistheid van de opbrengsten. Verhuurregister aanwezig. Door de ingebruikname van een E-HRM systeem worden indiensttredingen/uitdiensttredingen geautomatiseerd verwerkt op aangeven van de gemeentesecretaris. De verwerking van gegevens buiten deze workflow geschiedt door

Laag, door strakke processen bij uitvoering in voorbereiding op de ISAE verklaring Laag, door functiescheiding en interne controle

Gemiddeld, door onmogelijkheid volledige functiescheiding, deels opgevangen door interne controles Gemiddeld, volledige functiescheiding op burgerzaken is niet mogelijk. Gemiddeld, als iburgerzaken volledig in gebruik is, is controle beter mogelijk. Functiescheiding is hier niet volledig ingeregeld. Laag, strikte functiescheiding wordt toegepast. Gemiddeld, door invoering nieuwe EHRM systeem komen aanloopfouten naar boven. Als E-HRM

Subsidies

Declaraties

Bezittingen

Inkoop/aanbesteding

Nevenwerkzaamheden Grondverkopen

De Connectie op aangeven van de adviseur bedrijfsvoering. De daadwerkelijke run wordt door Visma Raet uitgevoerd. Controle op grotere mutaties wordt door adviseur bedrijfsvoering uitgevoerd. De betaling geschiedt door aparte functionarissen bij De Connectie. De ondertekening van de salarisbetaling wordt door gemeentesecretaris en twee medewerkers bij De Connectie gedaan. Aangifte van premies en loonheffing geschiedt automatisch via de gebruikte software. De beleidsmedewerkster sociaal domein beoordeeld de aanvraag. Deze stelt een advies op voor B&W. B&W besluit over toekenning. Betaling loopt via het inkoopproces met 4-ogen principe. Jaarlijkse interne controle op het proces en de juistheid. Nagenoeg alle declaraties worden geautomatiseerd verwerkt binnen het nieuwe EHRM systeem. Accordering declaraties geschiedt digitaal door de gemeentesecretaris. Verwerking conform salarissen. Er is geen voorraadadministratie aanwezig. Goederen worden deels achter slot opgeborgen. Het gaat hier bijvoorbeeld om kantoorartikelen en apparatuur Hiervoor wordt het landelijk inkoopbeleid gevolgd. Apart aandacht voor in B&W voorstellen. Toetsing hierop door interne controle via o.a. Spendanalyse. Publicatie van nevenwerkzaamheden van bestuurders geschiedt via de website. Grondverkopen betreffen enkel kleine stukken restgroen. Er loopt momenteel geen GREX. Verkopen lopen via een notaris.

Kas

Achter dubbel slot opgeborgen. Toegankelijk voor enkele medewerkers, regelmatige afsluiting kas. Niet materieel. Afnemende kasstroom door pinnen en op rekening inkopen.

Betalingsverkeer

Dit is belegd bij De Connectie. Registratie van facturen wordt door De Connectie gedaan. De codering door adviseur bedrijfsvoering. Aan de hand van de budgethoudersregeling gaat een factuur geautomatiseerd door naar budgetbeheerder en/of budgethouder. Na accordering van de factuur wordt deze betaalbaar gesteld via het proces bij De

volledig juist werkt wordt het risico verlaagd.

Laag, aanvraag, toekenning en betaling is strikt gescheiden. Laag, dit proces loopt goed binnen EHRM. Door digitale functiescheiding laag risico. Hoog, geen registratie, beveiliging beperkt, financiële impact is klein maar sociale aspect bij diefstal is groot Gemiddeld, financiële impact kan groot zijn, geen centrale inkoopfunctie. Gemiddeld Laag, volume van verkopen is vrijwel nihil na afsluiting laatste GREX. Gemiddeld, de financiële omvang is beperkt, de sociale impact bij diefstal is echter groot. Laag, door ISAE verklaring.

Beheer crediteuren

Beheer netwerk/ict

Uitkeringen/voorzieningen SD

Rentebaten

Memoriaalboekingen

Beheer gebouwen Archivering

Regelgeving

Connectie waarvoor een ISAE type 2 verklaring is afgegeven. Wijzigingen in stamgegevens crediteuren worden geverifieerd bij de crediteur. Functiescheiding wordt toegepast conform de processen bij De Connectie. Hiervoor is een ISAE type 2 verklaring afgegeven. Beheer van kantoorautomatisering ligt bij Xantion. Verder wordt gebruik gemaakt van diverse cloudoplossingen. Wijzigingen worden doorgevoerd na overleg met adviseur informatieveiligheid. Er zijn veiligheidsmaatregelen genomen (firewall, virusscanner, fysiek beveiliging, bewustwordingssessies). Deze taken zijn belegd bij de gemeente Rheden. Zij hanteren functiescheiding. Jaarlijks vindt controle plaats op basis van betaalregels. Interne controlerapporten worden aan Rozendaal overlegd. Bij de actualisatie van de afspraken worden hier aandacht aan gegeven. Jaarlijks wordt een interne controle op de rentebaten gedaan. Uitzettingen worden altijd door 2 functionarissen goedgekeurd. Het treasurystatuut wordt gehanteerd. Alle memoboekingen worden opgesteld door de adviseur bedrijfsvoering. Verwerking door De Connectie. Grootboek en tussenrekeningen worden nagelopen door beide partijen. Budgethouders hebben 24/7 inzicht in hun budgetten en de boekingen daarop. Het gemeentehuis is beveiligd met een inbraakalarm. Daarnaast is er op bepaalde afdelingen extra beveiliging aangebracht.

Eind 2022 is het DMS (document management system) ingevoerd waarbij ook alle processen goed in beeld zijn gebracht en waardoor ook automatisch gearchiveerd wordt. Daarbij zijn afspraken gemaakt over de archivering. Door de metadata zijn stukken eenvoudiger en sneller terug te vinden. Via de VNG en andere instanties worden wij op de hoogte gehouden van aanpassingen in regelgeving. Dit is een continue punt van aandacht bij overleggen.

Laag, door ISAE verklaring

Hoog, dreigingen van hacks e.d. worden steeds frequenter en intenser, mede door de (nieuwe) conflicten in de wereld. Gemiddeld, door complexiteit en diversiteit aan regelingen. Laag, strikte functiescheiding. Laag, strikte functiescheiding.

Gemiddeld, inbraak blijft altijd mogelijk. Gemiddeld, controle wordt uitgevoerd door de adviseur informatiebeheer

Gemiddeld, door veelheid en complexiteit van nieuwe regelgeving.

Druk / Rationalisatie (soft-controls) Naast de ‘harde’ maatregel zoals procedures en fysieke maatregelen zijn er ook de zogenaamde softcontrols. Deze hebben ook invloed op de fraudebeperking. Cultuur * De Gemeente Rozendaal zit midden in een ontwikkeltraject waarbij ook veel aandacht is voor de cultuur. Mensen spraken elkaar vaak niet aan om de verhoudingen niet te verstoren. Door de kleine omvang kun je elkaar niet ontlopen. Samen moeten we het doen, anders heeft het mogelijk consequenties. Zeer loyaal.

Beheersmaatregel ** Sociale controle (14 personen) Leiding zichtbaar Voorbeeldgedrag Open cultuur Aanspreekbaarheid

Netto risico De netto risico’s betreffen die risico’s die de gemeente Rozendaal loopt nadat alle hiervoor beschreven maatregelen zijn getroffen (staande praktijk). In onderstaand overzicht zijn de risico’s ingedeeld naar impact en kans. De grootte van de ballonnen geeft een indicatie van de omvang van het risico weer. Ondanks dat een netto-risico als laag wordt ingeschat kan de kleur toch oranje zijn doordat de omvang van het risico in euro’s groot is.

Aanbevelingen restrisico’s Na het nemen van maatregelen om de risico’s in te perken blijven er nog restrisico’s over. Deze benoemen wij hier (bedragen o.b.v. jaarrekening 2022):

Inkoop/ aanbesteding

Aanvullende maatregelen: Bij grote werken wordt dit als punt meegenomen in het projectplan. Bij diensten wordt tevoren gekeken of de opdracht hiermee binnen de toegestane grenzen valt. Eigen inkoopbeleid moet nog worden opgesteld (planning Q4 van 2023) Geen wijzigingen tov voorgaande analyse. Omvang: € 4.173.000 Aanvullende maatregelen:

Grondverkopen

Betreft incidenteel werk voor Rozendaal. Expertise ontbreekt daardoor. Externe deskundigheid inschakelen. Verlaagd risico door afsluiting GREX. Omvang: sterk wisselend, neemt af naar zeer bescheiden niveau na afronding De Del.

OZB

Aanvullende maatregelen: Het risico op fraude is door de procesbeschrijvingen verminderd. De uitvoering door De Connectie wordt op termijn onderbouwd met een ISAE type 2 verklaring. Daarmee wordt de opzet, werking en het bestaan van de processen en gegevens geborgd. Geen wijzigingen tov voorgaande analyse. Omvang: € 452.000

Subsidies

Aanvullende maatregelen: Jaarlijkse interne controle verminderd het frauderisico. Belangenverstrengeling wordt beperkt door openbaarmaking van nevenfuncties. DMS helpt bij het bewaken van termijnen. Hierdoor is de waarschijnlijkheid iets verlaagd. Omvang: € 61.000

Afvalstoffenheffing/riool

Aanvullende maatregelen: Het risico op fraude is door de procesbeschrijvingen verminderd. De uitvoering door De Connectie wordt op termijn onderbouwd met een ISAE type 2 verklaring. Daarmee wordt de opzet, werking en het bestaan van de processen en gegevens geborgd. Geen wijzigingen tov voorgaande analyse. Omvang: € 182.000 ……

Vergunningsverlening

Aanvullende maatregelen: Er is geen register aanwezig van aangevraagde vergunningen. Volledigheid van de vergunningen kan via een steekproef worden getoetst. Geen wijzigingen tov voorgaande analyse. Omvang: € 49.000

Waardedocumenten

Aanvullende maatregelen: Maandelijks wordt verantwoord en gespecificeerd vastgelegd welke waardedocumenten aanwezig zijn. Geen wijzigingen tov voorgaande analyse. Omvang: € 20.000

Uitkeringen/vz Sociaal domein

Aanvullende maatregelen: Bij de nieuwe afspraken met de gemeente Rheden wordt gestuurd op betere en actuelere informatie om bijzonderheden eerder op te merken. De ballon groter gemaakt doordat er meer geld in omgaat. Omvang: € 838.000

Nevenwerkzaam -heden

Aanvullende maatregelen: Er valt niet uit te sluiten dat iemand een functie verzwijgt. In Rozendaal is die kans relatief gering door de sociale controle. Nevenfuncties van ambtenaren moeten nog worden gepubliceerd. Geen wijzigingen tov voorgaande analyse. Omvang: € n.v.t.

Regelgeving

Aanvullende maatregelen: Van vele kanten worden wij geïnformeerd over nieuwe regelgeving. Het valt niet uit te sluiten dat er nooit iets gemist wordt. Waarschijnlijkheid iets verhoogd. Regelgeving verandert steeds sneller en wordt steeds complexer. Omvang: € n.v.t. Aanvullende maatregelen: Intern controle op de baten. Door de stijgende rente is de impact van dit risico vergroot

Rentebaten

Omvang: € 77.000

Beheer netwerk/ICT

Aanvullende maatregelen: Op basis van ons informatieveiligheidsbeleid werken we aan de beveiliging van onze systemen en gegevens. Naast softwarematige en fysieke maatregelen worden er ook bewustwordingssessies gehouden onder het personeel. Daarbij worden wij ondersteund door gekwalificeerde partijen en de IBD (informatie beveiligingsdienst). Daarnaast heeft de digitale agenda en aanstelling van de Ciso gezorgd voor meer grip op beveiligingsrisico’s. Het valt niet uit te sluiten dat er ooit wat gebeurt. De impact en waarschijnlijkheid is verhoogd. Door de conflicten in de wereld wordt de dreiging van hacks en aanvallen steeds groter. Omvang: € p.m.

Borging Deze risico analyse wordt jaarlijks geactualiseerd. De medewerkers in de organisatie worden betrokken bij de inventarisatie van de risico’s die wij lopen.

Besluitvorming De frauderisicoanalyse wordt vastgesteld door het college en daarna ter kennisgeving naar de controlecommissie en raad gestuurd.

Monitoring en verantwoording Jaarlijks zal in de jaarstukken worden verantwoord wat er aan de beheersing van frauderisico’s is gedaan. De relevante uitkomsten hiervan zullen worden gemeld.