45.1: Bijlage bij RIB Frauderiscoanalyse 2022

Frauderisicoanalyse 2022

Inleiding De gemeente Rozendaal hanteert reeds sinds 2014 een frauderisicoanalyse. Het betreft een opsomming van processen en maatregelen die zijn genomen om frauderisico te beheersen. Deze analyse wordt jaarlijks geactualiseerd. De opzet hiervan is in deze jaren grotendeels intact gebleven. De invoering van de rechtmatigheidsverantwoording door het college en de toegenomen belangstelling voor dit onderwerp vraagt een gedegen eigentijdse opzet. Hiertoe is deze nieuwe frauderisicoanalyse opgesteld. Hierbij hebben wij de risico’s opnieuw geïnventariseerd en deels gebundeld. Deze frauderisicoanalyse kan derhalve worden gezien als onderdeel van het gemeentelijk M&O beleid (misbruik en oneigenlijk gebruik). Doel Het doel van deze analyse is het in beeld brengen van de risico’s die de gemeente Rozendaal loopt. Daarnaast wordt inzichtelijk gemaakt welke maatregelen genomen zijn om deze risico’s te beheersen en welke restrisico’s (netto-risico’s) er nog over zijn en welke maatregelen nog genomen kunnen worden om het risico nog verder in te perken. Hierbij moet de afweging worden gemaakt of dat maatregel in verhouding staat tot het risico dat wordt gelopen. Met deze analyse wordt een totaalbeeld van het frauderisico gegeven. Rechtmatigheidsverantwoording Vanaf het verslagjaar 2023 dient het college zelf de rechtmatigheidsverantwoording af te geven. Voorheen deed de accountant dit.

Het college verklaart hiermee dat zij wel of niet rechtmatig heeft gehandeld op alle onderdelen zoals benoemd in het normenkader. De accountant controleert of de conclusie die het college trekt juist is. Accountants zijn verplicht vanaf 2022 in hun controleverklaring te rapporteren over fraude. Hierin moet aandacht worden besteed aan de risico’s en de werkzaamheden die zij hiervoor heeft verricht. De frauderisicoanalyse is hierin een belangrijk document voor de accountant. Geëvalueerd zal worden wat de meest belangrijke frauderisico’s zijn en of er fraude-incidenten zijn geweest en de eventuele opvolging daarvan. Bruto risico De bruto-risico’s betreffen die risico’s die de gemeente Rozendaal loopt alsof er geen maatregelen zijn getroffen. In onderstaand overzicht zijn de geïnventariseerde risico’s ingedeeld naar impact en waarschijnlijkheid (kans). De omvang van het risico wordt in beeld gebracht door de variatie in grootte van de ballonnen.

Getroffen maatregelen Om deze bruto-risico’s in te perken zijn er maatregelen genomen. Hieronder zijn per proces de genomen maatregelen uitgewerkt. Proces Afvalstoffenheffing

OZB

Beheersmaatregel De uitvoering van de afvalstoffenheffing is bij De Connectie belegd. De Connectie hanteert strikte functiescheiding bij de verwerking van gegevens, opleggen aanslag en inning. Zij zijn bezig de ISAE type 2 verklaring te verkrijgen. Interne controles blijven tot die tijd noodzakelijk. De uitvoering van de OZB is bij De Connectie belegd. De Connectie hanteert strikte functiescheiding bij de waardering, verwerking van gegevens, opleggen aanslag en inning. Zij zijn

Risico H/G/L L

L

Rioolheffing

Vergunningsverlening

Leges burgerzaken

Waardedocumenten Grafrechten en -verkopen

Huuropbrengsten

Salarissen

bezig de ISAE type 2 verklaring te verkrijgen. Interne controles blijven tot die tijd noodzakelijk. De uitvoering van de rioolheffing is bij De Connectie belegd. De Connectie hanteert strikte functiescheiding bij de verwerking van gegevens, opleggen aanslag en inning. Zij zijn bezig de ISAE type 2 verklaring te verkrijgen. Interne controles blijven tot die tijd noodzakelijk. De aanvraag komt binnen bij de adviseur juridische zaken en integrale veiligheid of bij de adviseur ruimtelijk domein. De adviseur neemt de aanvraag in behandeling en stuurt een advies hierop ter verlening van een vergunning aan B&W. B&W besluit hierover. Op omgevingsvergunningen vindt een interne controle plaats. Veel vergunningen openbare ruimte zijn legesvrij. Burgerzaken wordt bemenst door 2 part-time medewerksters. Hierdoor is volledige functiescheiding niet mogelijk. Interne controle vindt plaats over reisdocumenten en rijbewijzen aan de hand van gegevens van RDW en Biza. Huwelijksleges betreft een 100% controle. Maandelijks wordt verantwoord door de kassier aan controller. Steekproefcontrole vindt plaats. De aanvraag wordt beoordeeld door begraafplaatsbeheerder, facturatie door burgerzaken, inning door De Connectie. Interne controle vindt plaats door fysieke steekproefcontrole (volledigheid) op de begraafplaats en via interne controle op de opbrengsten via het grootboek (juistheid).

Er is sprake van functiescheiding tussen de opsteller van een contract en de opsteller van de rekeningen. Jaarlijkse vindt interne controle plaats op volledigheid en juistheid van de opbrengsten. Verhuurregister aanwezig. Aanlevering van mutaties geschiedt door de adviseur bedrijfsvoering na accordering door de gemeentesecretaris. De verwerking van gegevens geschiedt door De Connectie. De daadwerkelijke run wordt door Visma Raet uitgevoerd. Controle op grotere mutaties wordt door adviseur bedrijfsvoering uitgevoerd. De betaling geschiedt door aparte functionarissen bij De Connectie. De ondertekening van de salarisbetaling wordt door gemeentesecretaris en twee medewerkers bij De Connectie gedaan. Premies en loonheffing geschiedt automatisch via de gebruikte software.

L

L

G

G G

G

G

Subsidies

Declaraties Bezittingen Inkoop/aanbesteding

Nevenwerkzaamheden Grondverkopen Kas

Betalingsverkeer

Beheer crediteuren

Beheer netwerk/ict

Uitkeringen/voorzieningen SD

De beleidsmedewerkster sociaal domein beoordeeld de aanvraag. Deze stelt een advies op voor B&W. B&W besluit over toekenning. Betaling loopt via het inkoopproces met 4-ogen principe. Jaarlijkse interne controle op het proces en de juistheid. Alle declaraties worden beoordeeld en afgetekend door leidinggevende. Verwerking conform salarissen. Er is geen voorraadadministratie aanwezig. Goederen worden deels achter slot opgeborgen. Door soft-controls opgevangen. Hiervoor wordt het landelijk inkoopbeleid gevolgd. Apart aandacht voor in B&W voorstellen. Toetsing hierop door interne controle via o.a. Spendanalyse Publicatie van nevenwerkzaamheden van bestuurders en medewerkers geschiedt via de website. Lopen via een notaris. Jaarlijkse volgt actualisatie van de GREX. Interne controle hierop door de accountant (aparte opdracht). Achter dubbel slot opgeborgen. Toegankelijk voor enkele medewerkers, maandelijkse afsluiting kas. Niet materieel. Afnemende kasstroom door pinnen en op rekening inkopen. Dit is belegd bij De Connectie. Registratie van facturen wordt door De Connectie gedaan. De codering door adviseur bedrijfsvoering. Aan de hand van de budgethoudersregeling gaat een factuur door naar budgetbeheerder en/of budgethouder. Na accordering van de factuur wordt deze betaalbaar gesteld via het proces bij De Connectie waarvoor een ISAE type 2 verklaring is afgegeven.

Wijzigingen in stamgegevens crediteuren worden geverifieerd bij de crediteur. Functiescheiding wordt toegepast conform de processen bij De Connectie. Hiervoor is een ISAE type 2 verklaring afgegeven. Beheer van het netwerk ligt bij De Connectie. Voor kantoorautomatisering bij Xantion. Wijzigingen worden doorgevoerd na overleg met adviseur informatieveiligheid. Er zijn veiligheidsmaatregelen genomen (firewall, virusscanner, fysiek beveiliging). Deze taken zijn belegd bij de gemeente Rheden. Zij hanteren functiescheiding. Jaarlijks vindt controle plaats op basis van betaalregels. Interne controlerapporten worden aan Rozendaal overlegd.

G

G H G

G

G

L

L

H

G

Rentebaten

Memoriaalboekingen

Beheer gebouwen Archivering

Regelgeving

Jaarlijks wordt een interne controle op de rentebaten gedaan. Uitzettingen worden altijd door 2 functionarissen goedgekeurd. Het treasurystatuut wordt gehanteerd. Alle memoboekingen worden opgesteld door de adviseur bedrijfsvoering. Verwerking door De Connectie. Grootboek en tussenrekeningen worden nagelopen door beide partijen. Budgethouders hebben 24/7 inzicht in hun budgetten en de boekingen daarop. Het gemeentehuis is beveiligd met een inbraakalarm. Daarnaast is er op bepaalde afdelingen extra beveiliging aangebracht. Het huidige papieren archief is gevoelig voor fouten. Eind 2022 is het DMS (document management system) ingevoerd waarmee ook alle processen goed in beeld zijn gebracht en waardoor ook automatisch gearchiveerd wordt. Daarbij zijn afspraken gemaakt over de archivering. Door de metadata zijn stukken eenvoudiger en sneller terug te vinden. Via de VNG en andere instanties worden wij op de hoogte gehouden van aanpassingen in regelgeving. Dit is een continue punt van aandacht bij overleggen.

L

L

G G

G

Druk / Rationalisatie (soft-controls) Naast de ‘harde’ maatregel zoals procedures en fysieke maatregelen zijn er ook de zogenaamde softcontrols. Deze hebben ook invloed om de fraudebeperking. Cultuur * De Gemeente Rozendaal zit midden in een ontwikkeltraject waarbij ook veel aandacht is voor de cultuur. Mensen spraken elkaar vaak niet aan om de verhoudingen niet te verstoren. Door de kleine omvang kun je elkaar niet ontlopen. Samen moeten we het doen, anders heeft het mogelijk consequenties. Zeer loyaal.

Beheersmaatregel ** Sociale controle (14 personen) Leiding zichtbaar Voorbeeldgedrag Open cultuur Aanspreekbaarheid Buddygroepen

Netto risico De netto risico’s betreffen die risico’s die de gemeente Rozendaal loopt nadat alle hiervoor beschreven maatregelen zijn getroffen (staande praktijk). In onderstaand overzicht zijn de risico’s ingedeeld naar impact en kans. De grootte van de ballonnen geeft een indicatie van de omvang van

het risico weer. Ondanks dat een netto-risico als laag wordt ingeschat kan de kleur toch oranje zijn doordat de omvang van het risico in euro’s groot is.

Aanbevelingen restrisico’s Na het nemen van maatregelen om de risico’s in te perken blijven er nog restrisico’s over. Deze benoemen wij hier (bedragen o.b.v. jaarrekening 2021):

Inkoop/ aanbesteding

Aanvullende maatregelen: Bij grote werken wordt dit als punt meegenomen in het projectplan. Bij diensten wordt tevoren gekeken of de opdracht hiermee binnen de toegestane grenzen valt. Omvang: € 2.015.000 Aanvullende maatregelen:

Grondverkopen

Betreft incidenteel werk voor Rozendaal. Expertise ontbreekt daardoor. Externe deskundigheid inschakelen. Omvang: sterk wisselend, neemt af naar zeer bescheiden niveau na afronding De Del.

OZB

Aanvullende maatregelen: Het risico op fraude is door de procesbeschrijvingen verminderd. De uitvoering door De Connectie wordt op termijn onderbouwd met een ISAE type 2 verklaring. Daarmee wordt de opzet, werking en het bestaan van de processen en gegevens geborgd. Omvang: € 410.000

Subsidies

Aanvullende maatregelen: Jaarlijkse interne controle verminderd het frauderisico. Belangenverstrengeling wordt beperkt door openbaarmaking van nevenfuncties. Omvang: € 62.000

Afvalstoffenheffing/riool

Aanvullende maatregelen: Het risico op fraude is door de procesbeschrijvingen verminderd. De uitvoering door De Connectie wordt op termijn onderbouwd met een ISAE type 2 verklaring. Daarmee wordt de opzet, werking en het bestaan van de processen en gegevens geborgd. Omvang: € 178.000

Vergunningsverlening

…… Aanvullende maatregelen: Er is geen register aanwezig van aangevraagde vergunningen. Volledigheid van de vergunningen kan via een steekproef worden getoetst. Omvang: € 20.000 (2021)

Waardedocumenten

Aanvullende maatregelen: Maandelijks wordt verantwoord en gespecificeerd vastgelegd welke waardedocumenten aanwezig zijn. Omvang: € 17.000 ……

Uitkeringen/vz Sociaal domein

Aanvullende maatregelen: Bij de nieuwe afspraken met de gemeente Rheden wordt gestuurd op betere en actuelere informatie om bijzonderheden eerder op te merken. Omvang: € 811.000

Nevenwerkzaam -heden

Aanvullende maatregelen: Er valt niet uit te sluiten dat iemand een functie verzwijgt. In Rozendaal is die kans relatief gering door de sociale controle. Omvang: € n.v.t.

Regelgeving

Aanvullende maatregelen: Van vele kanten worden wij geïnformeerd over nieuwe regelgeving. Het valt niet uit te sluiten dat er nooit iets gemist wordt. Omvang: € n.v.t.

Beheer netwerk/ICT

Borging

Aanvullende maatregelen: Wij doen alles wat binnen onze macht ligt om onze systemen en gegevens goed te beveiligen. Daarbij worden wij ondersteund door gekwalificeerde partijen en de IBD (informatie beveiligingsdienst). Naast softwarematige en fysieke maatregelen worden er ook bewustwordingssessies gehouden onder het personeel. Het valt niet uit te sluiten dat er ooit wat gebeurt. Omvang: € p.m.

Deze risico analyse zal jaarlijks worden geactualiseerd. Hierbij worden de medewerkers in de organisatie betrokken bij de inventarisatie van de risico’s die wij lopen.

Besluitvorming De frauderisicoanalyse wordt vastgesteld door het college en daarna ter kennisgeving naar de controlecommissie en raad gestuurd.

Monitoring en verantwoording Jaarlijks zal in de jaarstukken worden verantwoord wat er aan de beheersing van frauderisico’s is gedaan. De relevante uitkomsten hiervan zullen worden gemeld.