2025-10-28 Bijlage 1 20250918 MO beleid

Notitie ‘Misbruik en Oneigenlijk gebruik’

terneuzen.nl

Inhoudsopgave Notitie ‘Misbruik en Oneigenlijk gebruik’ ................................................................................ 1 1.

Inleiding ...................................................................................................................... 3 Aanleiding ...................................................................................................................... 3 Leeswijzer ...................................................................................................................... 3 Definities ........................................................................................................................ 3 Afbakening ..................................................................................................................... 4 Relatie met rechtmatigheid, integriteit en ondermijning .................................................. 5

2.

Uitgangspunten en beoogde doelen ........................................................................... 6 Uitgangspunten .............................................................................................................. 6 Beoogde doelen ............................................................................................................. 6

3.

Beheersmaatregelen .................................................................................................. 7 Preventieve maatregelen................................................................................................ 7 Repressieve maatregelen............................................................................................... 8 Evaluatie ........................................................................................................................ 8

4.

Intensiteit van M&O beleid .......................................................................................... 9

5.

Risicogebieden M&O .................................................................................................10 Belastinginkomsten (licht)..............................................................................................10 Betalingsverkeer (licht) ..................................................................................................10 Grondexploitaties (licht) .................................................................................................10 Inkoop en aanbestedingen (gematigd) ..........................................................................10 Integriteit met betrekking tot relaties (licht) ....................................................................11 Verstrekken van subsidies (gematigd) ...........................................................................11 Vergunningen en handhaving (licht) ..............................................................................11 Inkomensoverdrachten (licht) ........................................................................................11 Verstrekken van voorzieningen Wmo en Jeugdwet (streng) ..........................................12 Identiteitsbewijzen, reisdocumenten en rijbewijzen (licht) ..............................................12 Privacy en gegevensbeveiliging (gematigd)...................................................................12 AVG

(gematigd) ............................................................................................................12 Baseline Informatieveiligheid Overheid (gematigd) ........................................................13 Bibob (licht) ...................................................................................................................13

6.

Verantwoording..........................................................................................................14

Bijlage 1: Bronnen ............................................................................................................15 Bijlage 2: Verklarende woorden- en afkortingenlijst ...........................................................16

terneuzen.nl

1. Inleiding Aanleiding Op grond van artikel 212 van de Gemeentewet stelt de raad de uitgangspunten van het financiële beleid vast in een verordening. Deze financiële verordening waarborgt dat we voldoen aan de eisen van rechtmatigheid, verantwoording en controle. De financiële verordening (2025) stelt in artikel 13 dat het college zorgdraagt voor beleid en interne regels voor het voorkomen van misbruik en oneigenlijk gebruik van gemeentelijke regelingen en eigendommen. Vanaf het verslagjaar 2023 neemt het college een rechtmatigheidsverantwoording op in de jaarrekening. Hiermee legt het college verantwoording af aan de gemeenteraad over de naleving van de regels die relevant zijn voor het financiële reilen en zeilen van de gemeente. De rechtmatigheidsverantwoording is niet nieuw. Belangrijkste wijziging is dat de raad voor wat betreft de rechtmatigheid van financiële beheershandelingen niet langer in gesprek gaat met de accountant, maar met het college. Onderliggend doel van deze wetgeving is dat de raad op deze manier zijn kaderstellende en controlerende rol beter kan vervullen. De accountant toetst voor wat betreft de rechtmatigheid enkel nog de getrouwe weergave van zaken. De drie criteria die in de rechtmatigheidsverantwoording door het college terugkomen zijn: 1. Voorwaardencriterium; 2. Begrotingscriterium; 3. Misbruik & oneigenlijk gebruik (M&O) criterium.

In deze notitie ‘Misbruik en Oneigenlijk gebruik’ gaan wij in op de maatregelen die wij treffen om M&O in de gemeente Terneuzen te voorkomen, op te sporen en te corrigeren. Leeswijzer Hoofdstuk 1 staat de inleiding en de leeswijzer, definities van de gebruikte begrippen, de afbakening van M&O en de relatie met rechtmatigheid, integriteit en ondermijning. Vervolgens geeft hoofdstuk 2 inzicht in de uitgangspunten en de beoogde doelen van het M&O beleid. Wij beschrijven de beheersmaatregelen in hoofdstuk 3. Hoofdstuk 4 legt de intensiteiten en risicogebieden uit die we in hoofdstuk 5 verder in detail uitwerken. Hoofdstuk 6 sluit af met de manier van verantwoorden over M&O. Tot slot zijn er twee bijlagen toegevoegd met gebruikte bronnen en een verklarende woorden- en afkortingenlijst. Definities Misbruik van overheidsgelden is het plegen van fraude door externen om zich onrechtmatig overheidsgelden toe te eigenen. Misbruik van overheidsregelingen moet echter wel duidelijk worden onderscheiden van fraude waarbij één of meerdere medewerkers van de organisatie (internen) betrokken zijn. Bij het bestrijden van misbruik passen beheersmaatregelen zoals misbruikpreventie, handhaving, misbruik- en fraudeopsporing en sancties.

terneuzen.nl

Oneigenlijk gebruik is feitelijk in overeenstemming met wet- en regelgeving. Daarmee zijn dergelijke handelingen niet onrechtmatig. Wel is sprake van het in strijd handelen met het doel en de strekking van de wet- en regelgeving. Indien de wet- en regelgeving oneigenlijk gebruik mogelijk maakt – de zogenaamde “mazen van de wet” - is het noodzakelijk de regels aan te passen of duidelijker toe te lichten. De commissie BBV1 hanteert de volgende definities voor misbruik en oneigenlijk gebruik: Misbruik: • Het opzettelijk niet, niet tijdig, onjuist of onvolledig verstrekken van gegevens door derden met als doel ten onrechte overheidssubsidies of -uitkeringen te verkrijgen of niet dan wel een te laag bedrag aan heffingen aan de overheid te betalen; • Bij misbruik is altijd sprake van het onrechtmatig gebruiken van een regeling/faciliteit die de gemeente biedt; • Misbruik van overheidsregelingen moet echter wel duidelijk worden onderscheiden van fraude. Bij fraude zijn veelal één of meerdere medewerkers van de organisatie betrokken. Oneigenlijk gebruik: • Het door het aangaan van rechtshandelingen, al dan niet gecombineerd met feitelijke handelingen, verkrijgen van overheidsbijdragen of het niet dan wel tot een te laag bedrag betalen van heffingen aan de overheid, in overeenstemming met de bewoordingen van de regelgeving maar in strijd met het doel en de strekking daarvan.

Afbakening M&O beleid is extern gericht, namelijk op de inwoner, instelling, organisatie of derde die via de gemeente gebruik maakt van overheidsregelingen. Interne regelingen vallen niet direct onder de werking van dit beleid. Interne regelingen worden wat betreft eventueel misbruik of oneigenlijk gebruik onder het gemeentelijke frauderisicobeleid geplaatst. Het is wel zo dat we in deze notitie aandacht besteden aan specifieke interne gebieden als bijvoorbeeld integriteit en ondermijning. In deze notitie hanteren we een brede definitie van M&O gevoelige regelingen. Zowel regelingen met directe financiële gevolgen voor derden/belanghebbenden (subsidies, heffingen/belastingen en uitkeringen). En regelingen die niet directe financiële gevolgen hebben (vergunningen en ontheffingen, identiteitsbewijzen, reisdocumenten en rijbewijzen). Uit deze laatste regelingen kunnen namelijk op termijn ook financiële winsten komen voor derden/belanghebbenden. Deze notitie heeft raakvlakken met fraude, ondermijning, integriteit en de beheersmaatregelen die de gemeente al heeft genomen om risico's te minimaliseren. Deze onderwerpen hangen dus samen met misbruik en oneigenlijk gebruik. Deze samenhang beschrijven we in onze aanpak risicomanagement. Deze aanpak is een uitwerking van bouwsteen 2 ‘integraal risicomanagement’ uit onze visie op interne beheersing.

1

Zie bijlage 2 ‘Verklarende woorden- en afkortingenlijst voor toelichting BBV

terneuzen.nl

Relatie met rechtmatigheid, integriteit en ondermijning Rechtmatigheid De relatie van M&O met rechtmatigheid is te zien in het feit dat misbruik een onrechtmatige handeling is, en bij oneigenlijk gebruik is dat niet het geval. Bij oneigenlijk gebruik wordt feitelijk gehandeld in overeenstemming met wet- en regelgeving. Daarmee zijn dergelijke handelingen niet onrechtmatig. Wel is er sprake van handelen in strijd met het doel en de strekking van de wet- en regelgeving. Integriteit Bij misbruik en oneigenlijk gebruik gaat het om derden van buiten de organisatie die gebruik maken van regelingen en/of bezittingen van de gemeente en is dus extern gericht. Integriteit richt zich op de eigen organisatie en medewerkers en is intern gericht. Voor het waarborgen van de integriteit maakt de organisatie gebruik van diverse beheersingsmaatregelen, zoals interne richtlijnen, trainingen, workshops en gedragscodes. Ondermijning Ondermijning betreft beïnvloeding van de overheid door de criminele wereld. Deze wereld kan voor illegale activiteiten gebruikmaken van diensten van de gemeente. Ondermijning is een vorm van misbruik of oneigenlijk gebruik en kan zich uiten in alle in dit beleidsstuk genoemde onderwerpen. Ondermijning kan ook een rol spelen in relatie tot het politiek bestuur, bijvoorbeeld in de vorm van chantage of omkoping. Hier ligt een nauwe relatie met het thema integriteit.

Belangrijke onderdelen in de bestrijding hiervan zijn bewustwording campagnes, onze aandachts-functionaris en de toetsing aan de Wet bevordering integriteitsbeoordelingen door het openbaar bestuur (wet Bibob). Verder is de gemeente Terneuzen medeondertekenaar van de Zeeuwse norm weerbare overheid. Deze norm bevat basisafspraken waar de Zeeuwse overheden voor staan als betrouwbare en integere overheid. Wanneer er een vermoeden is van een misstand dan kunnen medewerkers dit melden via de Regeling Melden Vermoeden Misstand. In deze regeling is de bescherming van de melder tegen benadeling uitgebreider geregeld.

terneuzen.nl

2. Uitgangspunten en beoogde doelen Uitgangspunten De volgende uitgangspunten vormen de basis voor dit M&O beleid: • We werken vanuit een basishouding van vertrouwen in een juiste omgang met gemeentelijke regelingen door inwoners, derden en organisaties. Vanuit deze basishouding hanteren wij de menselijke maat als uitgangspunt. • Maatregelen die worden genomen om een juist gebruik van gemeentelijke regelingen te bevorderen, zijn proportioneel. Dat wil zeggen dat zij in verhouding staan tot de (financiële) risico’s die de gemeente loopt. • Voorkomen is beter dan genezen. De inzet van beleid en maatregelen richten wij primair op preventie van misbruik en oneigenlijk gebruik van gemeentelijke regelingen. • Wij zetten beheersmaatregelen in op basis van een analyse van risico’s en na afweging van de kosten en de baten. Bij een hoog risico voegen wij extra maatregelen en controles toe. • De beheersmaatregelen zijn zowel extern als intern gericht. Intern kijken we naar ons eigen handelen. Extern geldt dat zaken niet de deur uitgaan zonder toetsing aan de geldende wetgeving. • De teamleider of projectleider waar de betreffende regelingen worden uitgevoerd, is verantwoordelijk voor het nemen van beheersmaatregelen om misbruik en oneigenlijk gebruik te voorkomen. De maatregelen zijn te vinden in de specifieke regelingen, verordeningen en proces controle plannen.

• Na vaststelling van een overtreding herstellen we de onrechtmatige situatie zo snel mogelijk en sanctioneren we zo nodig de overtreder (bijv. door intrekking besluit, terugvordering, aangifte). • Wij actualiseren het M&O beleid wanneer daar aanleiding voor is. Beoogde doelen Met het M&O beleid willen we misbruik en oneigenlijk gebruik van gemeentelijke regelingen voorkomen, detecteren en corrigeren. Dit beleidskader voor M&O gevoelige regelingen bestaat uit preventieve en repressieve maatregelen. Er zijn al beheersmaatregelen binnen de verschillende (financiële) processen van de gemeente Terneuzen. Deze komen voort uit landelijke wetgeving en lokale verordeningen. Het is echter wenselijk om een overkoepelend kader vast te leggen in een M&O beleid. Op deze manier draagt deze notitie bij aan een transparant en consistent gemeente breed beleid. Door middel van een risico-inventarisatie maakt dit beleidsstuk het mogelijk om afwegingen te maken over welke extra beheersmaatregelen nodig, doeltreffend en/of afwezig zijn. Op deze manier identificeert het M&O beleid zwakkere plekken in de administratieve organisatie en interne controle (AO/IC). De uiteindelijke uitwerking van de risicogebieden en de verdere te treffen beheersmaatregelen worden in de IB-dialogen en de verbeteragenda opgenomen. Hiermee vormen we een integrale PDCA-cyclus.

terneuzen.nl

3. Beheersmaatregelen De gemeente kan ter voorkoming van misbruik en oneigenlijk gebruik verschillende maatregelen treffen. De BBV onderscheidt preventieve en repressieve beheersmaatregelen. En een mix van beide. Samen vormen deze maatregelen een PDCA-cyclus, die elk M&O gevoelig proces bij de gemeente Terneuzen doorloopt. De bijbehorende beheersmaatregelen voegen wij toe aan de bestaande proces controle plannen. Preventieve maatregelen Preventieve maatregelen zijn maatregelen die vóór het moment van beschikken, betalen of ontvangen van een voorziening, vergunning of uitkering plaatsvinden. De preventieve maatregelen zijn gericht op het voorkomen van misbruik en oneigenlijk gebruik. Denk hierbij aan: 1. Regelgeving Hieronder verstaan we: verordeningen, beleidsregels, controleprotocollen, nadere regels en richtlijnen van de gemeente. Bij het ontwikkelen hiervan besteden we naast de algemene eisen van uitvoerbaarheid en handhaafbaarheid, aandacht aan M&O gevoelige gebieden. Heldere en eenduidige regelgeving beperkt de ruimte voor misbruik en oneigenlijk gebruik. De gedachte achter dit M&O beleid moet dus zichtbaar zijn in verordeningen en beleidsregels. 2. Voorlichting Zowel intern als extern moet bekend zijn dat M&O de aandacht heeft, dat we daarop controleren en dat we bij constatering van M&O hieraan gevolgen verbinden.

Het bekend zijn met het beleid en de gevolgen heeft niet alleen een voorkomend effect maar ook een onderdrukkend effect. Bij geconstateerd M&O zal het opleggen van een sanctie eenvoudiger zijn, als vooraf het beleid met de gevolgen bekend is gemaakt en de derde er kennis van heeft kunnen nemen. Bij voorlichting besteedt de gemeente aandacht aan aard en doel van de regeling, doelgroep, voorwaarden die eraan gesteld worden, controlemaatregelen en eventuele sancties. 3. Controle vooraf Controle is een middel om te signaleren of sprake is van misbruik of oneigenlijk gebruik. In het kader van M&O beleid richt controle zich op het toetsen van gegevens die door belanghebbenden verstrekten. Controle vooraf vindt plaats voorafgaand aan het moment van betaling, ontvangst of beschikkingsverlening. Deze controles hebben een "poortwachtersfunctie" en leiden tot het verkleinen van het risico op M&O.

terneuzen.nl

Repressieve maatregelen Repressieve maatregelen zijn maatregelen die liggen na het moment van beschikken, betalen of ontvangen van een voorziening, vergunning of uitkering. Voorbeelden zijn controle achteraf en sanctionering. Deze maatregelen richten zich op het terugvorderen van eventuele voordelen en het verbeteren van beleid. 1. Controle achteraf Controle achteraf vindt plaats nadat de betaling, ontvangst of beschikking is afgehandeld. Via deze manier kan M&O worden geconstateerd. Deze controles voeren wij integraal, steekproefsgewijs en/of incidenteel uit en maken ook onderdeel uit van de reguliere interne controle. Via periodieke risicoanalyses en interne controles is het mogelijk om de zwakkere plekken in onze AO/IC op te sporen. Bij M&O gevoelige regelingen is inzicht in de controleresultaten via gepaste vastlegging van de controleresultaten van belang. De resultaten van de controle leiden zo nodig tot aanpassing van het controlebeleid of de regelgeving. 2. Sanctioneren Om te kunnen reageren op geconstateerd M&O is sanctiebeleid nodig dat aansluit bij de regelgeving. Als norm voor een toereikend sanctiebeleid geldt dat we tenminste het behaalde voordeel weghalen. Dit betekent dat we te veel betaalde bedragen terugvorderen of ten onrechte gederfde ontvangsten naheffen, inclusief eventuele wettelijke rente.

Bij een aantal regelingen, zoals de Wmo, zijn al specifieke wettelijke kaders voor het opleggen van sancties. Daarnaast gelden de algemene voorschriften van de Algemene wet bestuursrecht (Awb). Binnen deze kaders formuleerden we eigen beleid. Evaluatie Wij gebruiken bevindingen en aanbevelingen die uit controles naar voren komen om het M&O beleid te verbeteren. Deze evaluatie is onderdeel van de totale (periodieke) evaluatie van de AO/IC. Bij de gemeente Terneuzen gebeurt dit per financiële beheershandeling wanneer hier aanleiding toe is. Dit beschreven wij in de bijhorende proces controle plannen. Evalueren is een mix van preventieve en repressieve maatregelen, en vormt samen met de andere maatregelen een PDCA-cyclus. Dit omdat de uitkomsten van de evaluatie kunnen leiden tot aanpassing van de regelgeving en/of het controle- en sanctiebeleid.

terneuzen.nl

4. Intensiteit van M&O beleid De intensiteit van het M&O-beleid hangt samen met de hoogte van het restrisico dat de gemeente bij misbruik en oneigenlijk gebruik van een regeling loopt. Dit restrisico is het risico wat resteert nadat beheersmaatregelen zijn genomen. Deze leggen wij vast in proces controle plannen. Bij een laag restrisico zijn weinig of geen aanvullende maatregelen nodig en volstaan de genomen beheersmaatregelen. Wanneer er sprake is van een hoger restrisico wordt het specifieke M&O-beleid en de te nemen maatregelen strenger om op die manier het restrisico te verminderen. De commissie BBV schrijft drie soorten intensiteit voor bij uitvoering van M&O beleid: 1. Licht Wanneer sprake is van licht M&O beleid zijn geen aanvullende maatregelen noodzakelijk ter bestrijding van de restrisico's. Het restrisico is dus voldoende onder controle dankzij de reguliere beheersmaatregelen, zoals functiescheiding en vier-ogenprincipe. 2. Gematigd Er is sprake van gematigd M&O beleid als enige waakzaamheid bij een regeling geboden is. Gematigd beleid leidt tot het nemen van aanvullende maatregelen. Hetzij preventief en/of repressief. Deze aanvullende maatregelen zijn bijvoorbeeld verscherpte controles van en onderzoek naar de onderbouwing van aangeleverde informatie en actieve voorlichting over de te nemen maatregelen. 3.

Streng Bij streng M&O beleid volstaan de reguliere beheersmaatregelen van de interne beheersing niet. Er zijn dus aanvullende maatregelen noodzakelijk om het restrisico te verminderen. Gematigd M&O beleid plus het opnemen van een controle- en sanctiebeleid in de regelgeving voldoet aan de norm streng M&O beleid. Terugvordering of intrekking van gelden is daar een voorbeeld van.

terneuzen.nl

5. Risicogebieden M&O De commissie BBV geeft aan welke processen zij als risicovol zien. Wij vullen deze lijst aan op basis van interviews, de frauderisicoanalyse, de accountantscontrole, uitkomsten van de risico-inventarisatie en IB-dialogen. Per risicogebied is er een proces controle plan waarin de beheersmaatregelen die wij al nemen om het restrisico te verkleinen zichtbaar zijn. Tijdens de periodieke controle van onze VIC toetsen wij de opzet en de werking van de maatregelen bij de proceseigenaren/coördinatoren. Wanneer hier uitkomt dat een risiconiveau te hoog wordt dan voeren wij aanvullende beheersmaatregelen in. De volgende processen zien wij als risicogebieden omdat derden een aanmerkelijk (financieel) belang kunnen hebben en de gemeente in grote mate afhankelijk is van door die derden verstrekte gegevens. Belastinginkomsten (licht) De heffing van belastingen is grotendeels gebaseerd op objectieve gegevens (bevolkingsregister, woninggegevens en kadaster). De interne controle hierop is goed georganiseerd. Voldoende functiescheiding is hierbij van belang, dit regelden wij in het proces control plan. De gemeente Terneuzen draagt het grootste deel van het innen van de verschillende belastinginkomsten over aan Sabewa Zeeland. Wij steunen op de controleverklaring die de accountant van Sabewa Zeeland verstrekt.

Sabewa Zeeland voert zelf interne controles uit voor de diverse belastingen. Onderdeel hiervan zijn regelmatige fysieke controles voor bijvoorbeeld de hondenbelasting. Betalingsverkeer (licht) De interne controle op betalingen is goed te organiseren. Maatregelen zoals functiescheiding en vier-ogenprincipe namen wij op in het proces controle plan. Op deze manier toetsen meerdere personen een factuur. De organisatie hiervan is goed geregeld. Er zijn geen bijzondere risico’s aan de orde. Grondexploitaties (licht) Het risico dat derden onjuiste of onvolledige informatie verstrekken om voor grond in aanmerking te komen of dat derden een valse schone grondverklaring overleggen. In ons grondbeleid staat beschreven dat er een onafhankelijke taxateur ingeschakeld wordt, ook vindt er een vooronderzoek naar contractpartijen plaats. De interne controle van de gemeente Terneuzen is zo georganiseerd dat de opgestelde berekeningen betreffende de grondexploitatie onderling getoetst worden. Ook ziet interne beheersing er op toe dat bij grondexploitaties de juiste stappen op de juiste manier worden doorlopen. De samenwerking tussen de 3 lijnen vormt hier een onderdeel van. Inkoop en aanbestedingen (gematigd) Inkoop en aanbestedingen vertegenwoordigen in de praktijk een aanzienlijk financieel belang. Door de interne controle op de uitvoering van de transactie en de (financiële)

terneuzen.nl

afwikkeling daarvan via budgetten en functiescheiding, waarborgen wij de juistheid en volledigheid voldoende. Onze inkoop- en aanbestedingsregels en ethische uitgangspunten liggen vast in het inkoopbeleid. De beheersmaatregelen zijn opgenomen in de risicoanalyse, PCP en Inkoopen aanbestedingsbeleid. Hierop baseren wij de interne controle. Integriteit met betrekking tot relaties (licht) De integriteit met betrekking tot het omgaan met relaties is een punt van aandacht. Het is van belang dat overheden gedrags- en omgangscodes ontwikkelen. Wij stelden een gemeentelijk integriteitsbeleid en gedragscodes vast. Het is en blijft een kwestie van houding en gedrag. Verstrekken van subsidies (gematigd) Wettelijk gezien kunnen subsidies alleen worden verstrekt op basis van een daarvoor geldende verordening, tenzij de subsidies met naam en toenaam in de begroting zijn opgenomen. Wanneer een aanvraag van instellingen voor een subsidie past binnen onze kaders, kunnen wij deze in principe niet weigeren. Het subsidiebeleid van de gemeente Terneuzen legden wij vast in de subsidieverordening. Wij zijn daarbij afhankelijk van de betrouwbaarheid van de door instellingen verstrekte gegevens. Om de juistheid en volledigheid van de verstrekte subsidies te waarborgen namen wij in de verordening bepalingen op over het zowel vooraf als achteraf overleggen van (bewijs)stukken.

De beheersmaatregelen namen wij op in de risicoanalyse subsidies, wat de basis vormt voor het proces controle plan. Vergunningen en handhaving (licht) Vergunningverlening en handhaving betreffen wezenlijke overheidstaken en dienen veelal publieke belangen. Meestal zijn de belangen van de aanvrager ten aanzien van de informatievoorziening groot. Voldoende functiescheiding bij de behandeling van de vergunning is van groot belang. De onderbouwing van de informatie bij de aanvraag toetsen wij kritisch. De beheersmaatregelen leggen wij vast in de risicoanalyse leges vergunningen. Daarnaast beperkt de uitvoering van het integraal handhavingsprogramma de risico’s. Inkomensoverdrachten (licht) De meeste inkomensoverdrachten zijn feitelijk een openeinderegeling. Wanneer de aanvrager aan de voorwaarden voldoet, kunnen wij aanvragen niet weigeren. Het risico van onbetrouwbare gegevensverstrekking is groter dan bij subsidieverlening. Dit komt door de sterke persoonlijke belangen van derden en omdat de betrouwbaarheid van de gegevens van de cliënt allesbepalend zijn voor het proces.

terneuzen.nl

Voor de inkomensoverdrachten van de gemeente Terneuzen zijn er per overdracht verordeningen. De maatregelen legden wij in diverse proces controle plannen vast. De huidige AO/IC hierover is goed georganiseerd. Verstrekken van voorzieningen Wmo en Jeugdwet (streng) In het kader van de Wet maatschappelijke ondersteuning (Wmo) en de Jeugdwet verstrekt de gemeente, individuele voorzieningen. Dit gaat op dezelfde wijze als bij inkomensoverdrachten. Huisartsen en zorgspecialisten mogen voorzieningen verstrekken die de gemeente vervolgens betaalt. De informatieverstrekking door de belanghebbende is van belang voor het vaststellen van recht, hoogte en duur van de voorziening. De maatregelen om het risico van misbruik te beheersen beschreven wij in de proces controle plannen. Ook is het, onder meer vanuit externe regelgeving, gebruikelijk om bij overtredingen sancties toe te passen en terugvordering te eisen van onterecht ontvangen gelden. Om die reden passen wij een streng intensiteitsbeleid van misbruik en oneigenlijk gebruik toe. Identiteitsbewijzen, reisdocumenten en rijbewijzen (licht) Bij de verstrekking van identiteitsbewijzen, reisdocumenten en rijbewijzen maakt de gemeente gebruik van de gegevens uit de Basisregistratie Personen (BRP). Deze gegevens in het BRP moeten juist zijn, mede om misbruik en oneigenlijk gebruik van genoemde documenten te voorkomen.

Alle mutaties in de BRP controleren wij op fouten. In het proces controle plan en handboek burgerzaken staan onze beheersmaatregelen. Privacy en gegevensbeveiliging (gematigd) Misbruik en oneigenlijk gebruik heeft niet alleen betrekking op misbruik van middelen. Het kan ook gaan om misbruik van data. Dit kan inbreuk op privacy betreffen met identiteitsfraude als meest vergaande vorm. Het kan gaan om het lekken van vertrouwelijke informatie of persoonsgegevens. AVG (gematigd) Om persoonsgegevens van de inwoners binnen Europa beter te beschermen, is vanaf 25 mei 2018 een nieuwe Europese privacywet van kracht, namelijk de Algemene Verordening Gegevensbescherming (AVG). De AVG stelt regelgeving op voor het verwerken van persoonsgegevens. Er is een grondslag nodig om persoonsgegevens te mogen verwerken. In de AVG staan zes grondslagen genoemd. Persoonsgegevens verwerken en bewaren mag alleen zolang dat noodzakelijk is voor het doel waarvoor ze verwerkt worden. De gemeente houdt een register bij met een beschrijving van alle processen en de persoonsgegevens die wij daarin verwerken. Dit noemen wij het verwerkingsregister. Als andere organisaties of bedrijven persoonsgegevens verwerken in opdracht van de gemeente, maken we hierover afspraken. Is de andere partij volgens de AVG een verwerker? Dan leggen wij de afspraken in een verwerkersovereenkomst vast.

terneuzen.nl

In de organisatie is een privacy-team actief bestaande uit de privacy officer en de privacy ambassadeurs. De chief information security officer (CISO) neemt deel aan het overleg van dit team. De privacy officer werkt nauw samen met de CISO. Met betrekking tot misbruik en oneigenlijk gebruik controleren wij of de verwerking van persoonsgegevens rechtmatig is en in lijn met het doel waarvoor wij de persoonsgegevens verwerken. Er bestaan geen specifieke AVG-procedures om misbruik of oneigenlijk gebruik te signaleren. Wij toetsen op basis van actuele AVG-procedures. De functionaris gegevensbescherming (FG) houdt toezicht op het verwerken van persoonsgegevens en of de gemeente voldoet aan de AVG. Baseline Informatieveiligheid Overheid (gematigd) Informatiebeveiliging is de verzamelnaam voor de processen die ingericht worden om de betrouwbaarheid van gemeentelijke processen, de gebruikte informatiesystemen en de daarin opgeslagen gegevens te beschermen tegen misbruik en oneigenlijk gebruik. Hierbij is de Baseline Informatiebeveiliging Overheid (BIO) het kader. Deze is sinds 1 januari 2020 van kracht. Hiermee is er één gezamenlijk normenkader voor informatiebeveiliging binnen de gehele overheid, gebaseerd op de internationaal erkende en actuele ISO-normatiek. De uitwerking van dit kader legden wij vast in het informatiebeveiligingsbeleid gemeente Terneuzen 2023 tot en met 2025.

Bibob (licht) Bibob staat voor bevordering integriteitsbeoordeling door het openbaar bestuur. Door middel van de Wet Bibob kan de gemeente voorkomen dat er onbedoeld medewerking wordt verleend aan misbruik van vergunningen, subsidies, vastgoedtransacties of bijvoorbeeld aanbestedingsopdrachten. Het doel van de wet is het waarborgen van de integriteit van het bestuursorgaan en het voorkomen van onbewust faciliteren van criminele activiteiten. Wij werkten de uitgangspunten van deze wet uit in onze vastgestelde Beleidsregel toepassing Wet Bibob 2024.

terneuzen.nl

6. Verantwoording Met de vaststelling van het M&O-beleid zijn per risicogebied de aanvullende maatregelen in kaart gebracht. Bij nieuwe regelingen gaan wij na hoe groot het risico op misbruik en oneigenlijk gebruik is. Afhankelijk van het resultaat werken wij M&O-maatregelen uit. Om inzicht te geven in de wijze waarop wij het M&O beleid uitvoeren en naleven, leggen wij verantwoording af. Dit doen we door aan te sluiten bij de reguliere planning- en control cyclus. Doordat we de beheersmaatregelen opnemen in de PCP's waarop wij de interne controle inrichten, maakt de jaarlijkse verantwoording M&O deel uit van de rapportage over de interne controle. In het kader van de verantwoording voeren wij in ieder geval de volgende stappen uit: • • • • •

•

In de begroting nemen wij in de paragraaf bedrijfsvoering informatie op over het M&O beleid; In het jaarverslag rapporteren wij in de paragraaf bedrijfsvoering over de voortgang van het M&O beleid; In de jaarrekening nemen wij verantwoordingsinformatie op over het M&O beleid; Bij het verrichten van interne controles en onderzoeken besteden wij aandacht aan M&O risico's. Waar nodig actualiseren wij deze. Het M&O beleid en de daaronder vallende risico’s zijn een vast agendapunt tijdens de IB-dialogen die 2x per jaar door de concerncontroller plaatsvinden met collegeleden, afdelingshoofden en teamleiders. Bij het opstellen van proces controle plannen houden wij rekening met M&O gevoelige aspecten.

terneuzen.nl

Bijlage 1: Bronnen • • • • •

Kadernota rechtmatigheid 2024 (Commissie BBV); Notitie Rechtmatigheidsverantwoording (Commissie BADO); Diverse actuele notities M&O van gemeenten en provincies; Gesprekken met teamleiders, proces coördinatoren en proceseigenaren; IB-dialogen

terneuzen.nl

Bijlage 2: Verklarende woorden- en afkortingenlijst AVG: Algemene Verordening Gegevensbescherming: regelt dat persoonsgegevens zorgvuldig, veilig en transparant worden behandeld. BBV: staat voor Besluit Begroting en Verantwoording. Het is een wettelijk kader dat voorschrijft hoe Nederlandse gemeenten, provincies en gemeenschappelijke regelingen hun financiële huishouding moeten vastleggen en verantwoorden. CISO: Chief Information Security Officer. De CISO bewaakt de digitale veiligheid van de gemeente door beleid te maken, toezicht te houden en bewustwording te creëren. Concerncontroller: de strategisch adviseur die toezicht houdt op de doelmatigheid, rechtmatigheid en effectiviteit van de gemeentelijke bedrijfsvoering. De concerncontroller bewaakt of de gemeente ‘in control’ is en adviseert bestuur en directie over risico’s, prestaties en verbeterkansen. FG: Functionaris Gegevensbescherming: onafhankelijke toezichthouder binnen een gemeente die controleert of de privacywetgeving (AVG) correct wordt nageleefd. 1. 2. 3. 4. 5.

Wettelijk aangewezen toezichthouder op privacy binnen de organisatie. Houdt toezicht op naleving van de AVG en rapporteert hierover. Moet onafhankelijk zijn en mag geen belangenconflict hebben. Is in sommige organisaties verplicht (zoals gemeenten). Heeft een meldplicht bij de Autoriteit Persoonsgegevens

IB-dialogen: IB (interne beheersing)-dialogen zijn gestructureerde gesprekken binnen de gemeentelijke organisatie over risico’s, verantwoordelijkheden en verbeteracties. Ze worden 2x per jaar gevoerd door de concerncontroller (1 op 1 gesprekken) met collegeleden, afdelingshoofden en teamleiders om bewustwording te vergroten en ‘in control’ te blijven op deze thema’s. PCP: Proces Controle Plan: een document dat beschrijft hoe een proces continue wordt bewaakt en beheerst om de kwaliteit en prestaties te waarborgen na verbeteringen. Hiermee borgen we dat processen blijven werken zoals bedoeld, door kritieke punten te monitoren en tijdig bij te sturen. PO: Privacy Officer: interne expert die toeziet op naleving van de AVG en collega’s ondersteunt bij het correct omgaan met persoonsgegevens. De Privacy Office helpt de organisatie privacybewust te werken en risico’s te beperken. 1. 2. 3. 4. 5.

Intern adviseur binnen de organisatie. Helpt bij het implementeren van privacybeleid en het naleven van de AVG. Werkt operationeel en ondersteunend. Is niet verplicht volgens de AVG. Kan onderdeel zijn van het privacyteam of compliance-afdeling.

terneuzen.nl

VIC: Verbijzonderde Interne Controle: de VIC is een aanvullende controle op gemeentelijke processen met grote financiële of maatschappelijke risico’s, gericht op het beoordelen van de werking van interne beheersmaatregelen. Het helpt gemeenten om: • risico’s vroegtijdig te signaleren, • de rechtmatigheid van uitgaven te waarborgen, • en vertrouwen van inwoners te behouden door transparantie en controle

terneuzen.nl