05 - Bijlage 4 - Nota Fraude, Misbruik en Oneigenlijk gebruik

Beleidsnotitie 2023-2026 Voorkomen fraude en misbruik en oneigenlijk gebruik (M&O)

Werkmaatschappij 8KTD Gemeente Tytsjerksteradiel Gemeente Achtkarspelen

Opgesteld door:

Financiën / Concerncontrol

Vaststelling College: februari 2023 Behandeling raad: maart 2023

Inhoudsopgave 1. Inleiding en samenvatting ............................................................................................................................ 3 1.1 Inleiding beleidsplan .................................................................................................................................... 3 2. Rollen en verantwoordelijkheden ................................................................................................................ 5 3. Jaarlijkse analyse ......................................................................................................................................... 6 3.1. Key risks op fraude, misbruik en oneigenlijk gebruik ................................................................................. 6 3.2. Aanbevelingen ten aanzien van key risks .................................................................................................... 7 3.3. Middel en lage netto risico’s op fraude en misbruik en oneigenlijk gebruik .............................................. 9 4. Integer handelen.......................................................................................................................................... 9 4.1. Integriteitsbeleid ......................................................................................................................................... 9 4.2.

Bibob ......................................................................................................................................................... 10 5. Privacy en gegevensbeveiliging ................................................................................................................. 10 5.1. Algemene Verordening Gegevensbescherming (AVG) / Privacy ............................................................... 10 5.2 Baseline Informatiebeveiliging Overheid (BIO) .......................................................................................... 11 6. Acties bij constatering van fraude, misbruik & oneigenlijk gebruik ............................................................ 11 7. Verantwoording ........................................................................................................................................ 12 Bijlage: misbruik en oneigenlijk gebruik-Toetsdocument ............................................................................... 13 Bijlage: Verwijzing naar Kadernota Rechtmatigheid 2023 .............................................................................. 15

2

1. Inleiding en samenvatting 1.1 Inleiding beleidsnotitie Hierbij wordt u de “Beleidsnotitie Voorkomen fraude, Misbruik en oneigenlijk gebruik 2022-2026” aangeboden voor de gemeente Achtkarspelen, gemeente Tytsjerksteradiel en de Werkmaatschappij 8KTD. Deze organisaties hierna in de beleidsnotitie te noemen als ‘8KTD’. De commissie BBV doet, mede in het licht van de invoering van de rechtmatigheidsverantwoording af te geven door het college vanaf 2023, de aanbeveling tot het maken van een overkoepelend beleidsstuk misbruik & oneigenlijk gebruik. Beleid uitvoeren ten aanzien van fraude1, misbruik en oneigenlijk gebruik kan worden gezien als noodzakelijk aangezien de organisatie hier voortdurend alert op moet zijn; wenselijke beheersmaatregelen actueel moeten worden gehouden en de organisatie op deze wijze haar "(key) risks” op fraude en misbruik en oneigenlijk gebruik kan beheersen (Besluit begroting en verantwoording, 2022). Regelingen vanuit een overheidsorganisatie kunnen gevoelig zijn voor fraude, misbruik en oneigenlijk gebruik. Dit bijvoorbeeld wanneer de aanspraak op een uitkering, de verplichting om een heffing te betalen en/of hoogte van een uitkering of heffing afhankelijk is van gegevens die door een belanghebbende zelf worden verstrekt (externe werking). Daarnaast kunnen misbruik en oneigenlijk gebruik zich ook binnen de organisatie voordoen (interne werking).

Intern misbruik noemen we in dit kader ‘Fraude’. Vanwege deze redenen is het van belang om een overkoepelend beleid te voeren op het gebied van fraude, misbruik en oneigenlijk gebruik. Tenslotte is de beleidsnotitie een onderdeel van het toetsingskader van de accountant voor de rechtmatigheidsverantwoording. De beleidsnotitie is dus bedoeld om bestaand beleid op procesniveau te formaliseren en samen te brengen. Het geeft een indicatie van de risicoanalyse die ten grondslag ligt aan dit beleidsplan. Daarnaast geeft de beleidsnotitie de belangrijkste uitgangspunten weer en schetst het tenslotte diverse aanbevelingen waardoor de geïdentificeerde risico’s fraude, misbruik en oneigenlijk gebruik kunnen worden beheerst en toetsing hierop plaatsvindt. De beleidsnotitie is een ‘overkoepelend’ document van diverse onderliggende regelingen en verordening die de gemeenten reeds heeft en die eerder zijn vastgesteld. Deze regelingen zijn als bijlage bijgevoegd. Het betreft: - Gedragscodes raad en college Tytsjerksteradiel resp.

Achtkarspelen; - Rechtspositieregeling wethouders Achtkarspelen - Verordening rechtspositieregeling Raads- en commissieleden Tytsjerksteradiel; - Gedragscode integriteit burgemeester en wethouders (Tytsjerksteradiel en Achtkarspelen) - Regeling vertrouwenspersoon - Gedragscode integriteit - Regeling Melding vermoeden misstand - Integriteitsverklaring (ambtseed of gelofte) - Gedragscode “Zo werken wij samen” 1

Fraude wordt toegevoegd aan Misbruik en oneigenlijk gebruik. In paragraaf worden de begrippen gedefinieerd.

3

-

Klachtenregeling ongewenst gedrag Beleidslijn zuiver zaken doen (2017) = wet Bibob Integriteits- en geheimhoudingsverklaring Externe Medewerkers

In het Sociaal Domein zijn een aantal eigen procedures/beleidsdocumenten van kracht waarin nadrukkelijk aandacht wordt besteed aan preventieve en repressieve maatregelen bij fraude, misbruik en/of oneigenlijk gebruik: - Nalevingsvisie Naleving met zorg en vertrouwen - Beleidsregels boetes - Beleidsregels Herziening, Intrekking en Terugvordering - Verordening maatschappelijke ondersteuning

1.2. Fraude, misbruik en oneigenlijk gebruik In de praktijk worden de begrippen Fraude, misbruik en oneigenlijk gebruik vaak in combinatie genoemd. Onder misbruik wordt verstaan: het opzettelijk niet, niet tijdig, onjuist of onvolledig verstrekken van gegevens met als doel ten onrechte overheidssubsidies of -uitkeringen te verkrijgen, dan met het doel om voor een te laag bedrag aan heffingen aan de overheid te betalen. Misbruik van overheidsgelden kan gelijk worden gesteld met het plegen van fraude, om zich onrechtmatig overheidsgelden toe te eigenen. Bij misbruik passen beheersmaatregelen zoals fraudepreventie, handhaving, fraudeopsporing en sancties. Onder oneigenlijk gebruik wordt verstaan: het volgens de regels van de wet, maar in strijd met de bedoeling van de wettelijke bepalingen, geheel of ten dele ontgaan van een verplichte bijdrage aan de overheid en verkrijgen of genieten van een (te hoge) uitkering. Daarmee zijn dergelijke handelingen niet onrechtmatig. Wel is sprake van het in strijd handelen met het doel en de strekking van de wet- en regelgeving. Indien de wet- en regelgeving oneigenlijk gebruik mogelijk maakt (‘de mazen van de wet’) is het blijkbaar noodzakelijk dat de weten regelgeving wordt aangepast en/of duidelijker moet worden toegelicht.

De beheersmaatregelen die bij oneigenlijk gebruik horen, zijn: handhaving, voorlichting en actualisering van de wet- en regelgeving. Misbruik en Fraude zijn dus onrechtmatig, oneigenlijk gebruik niet. Onder Fraude wordt verstaan: Het opzettelijk handelingen door één of meerdere personen binnen de gemeente, waarbij gebruik wordt gemaakt van misleiding teneinde een onrechtmatig of onwettig voordeel te behalen2. Dit type

2 Een voorbeeld is het betalen van valse facturen waarbij één of meerdere personen binnen de organisatie betrokken zijn.

4

fraudes is een onderdeel van de getrouwheidsverklaring van de accountant en wordt daarom niet opgenomen in de rechtmatigheidsverantwoording.

2. Rollen en verantwoordelijkheden In dit hoofdstuk komen de rollen en verantwoordelijkheden aan bod die de beleidsnotitie met zich meebrengt. Dit beleidsplan vormt een overkoepelend rapport voor de opsomming hoe 8KTD om dient te gaan met risico’s op fraude, misbruik en oneigenlijk gebruik. Rollen en verantwoordelijkheden die in dit rapport aan bod zullen komen zijn in lijn met de inrichtingsprincipes van de organisatie. We sluiten aan bij de rollen en verantwoordelijkheden van het ThreeLines of Defence model. De clustermanager van het cluster waar de betreffende beheersmaatregelen worden uitgevoerd, is verantwoordelijk dat processen conform beleid worden uitgevoerd en verordeningen en beleidstukken aansluiten de inhoud van voorliggend Beleidsplan Fraude- en misbruik en oneigenlijk gebruik. Hiertoe is in de bijlage bij dit document een lijst met aandachtspunten opgenomen. Hierbij is de clustermanager in zijn of haar cluster tevens (eind)verantwoordelijk voor het jaarlijks laten actualiseren van de risicoanalyse en voor het laten toetsen van de beheersmaatregelen onder centrale regie. Zoals is aangegeven in de Meerjarenbeleidsplan Verbijzonderde Interne Controle 2021-2024, is de eerste lijn verantwoordelijk voor de dagelijkse beheersing van risico’s. Onder de ‘eerste lijn’ wordt verstaan de uitvoerende afdelingen onder leiding van Teamleider en clustermanager.

Hij / zij is verantwoordelijk voor implementatie van juist, tijdig en volledig werkende beheersmaatregelen. De clustercontroller voert de 2e lijnscontrole uit, de zogenaamde Verbijzonderde Interne Controle. Dit betreft een review op de 1e lijnscontrole. De clustercontroller stelt opzet, bestaan en werking vast van de beheersmaatregelen en rapporteert over de wijze waarop de beleidsnotitie in zijn of haar cluster wordt uitgevoerd en nageleefd. De concerncontroller voert een 3e lijnscontrole uit en stelt vast of het gehele proces volledig, tijdig en juist wordt uitgevoerd. Deze toetsing volgt het Three Lines of Defence Model als beschreven in het Meerjarenbeleidsplan Verbijzonderde Interne Controle 2021-2024. Onderstaand figuur visualiseert dit model:

5

3. Jaarlijkse analyse In dit hoofdstuk worden de initieel geïdentificeerde key risks beschreven. Daarbij zal er aandacht zijn wat dit voor 8KTD betekent en hoe de organisatie deze risico’s kan beheersen. Ook zal worden beschreven op welke wijze de risicoanalyse jaarlijks wordt uitgevoerd. De geïdentificeerde key risks zijn gebaseerd op de risicoanalyse3. Op basis van de jaarlijkse gesprekken met de CM worden key risks bepaald. Ook worden beheersmaatregelen beoordeeld en waar nodig nieuwe genomen. Als start van de beleidsnotitie voorkomen Fraude, misbruik en oneigenlijk gebruik heeft in 2022 heeft een risicoanalyse plaatsgevonden waar gekeken is naar de netto-risico’s. Dat wil zeggen dat de risico’s onderzocht zijn inclusief de al genomen beheersingsmaatregelen. Uit deze risicoanalyse is naar voren gekomen dat de volgende risico’s op fraude, misbruik en oneigenlijk gebruik voor 2023 een key risk vormen:

3.1. Key risks op fraude, misbruik en oneigenlijk gebruik 1. Het risico op fraude, misbruik en oneigenlijk gebruik dat bij WMO en bij Jeugdhulp PGB wordt toegekend aan niet-rechthebbenden. 2. Het risico op fraude, misbruik en oneigenlijk gebruik dat bij huren en pachten er te lage huuropbrengsten worden ontvangen/ verantwoord. 3. Het (interne) risico op fraude, dat bij gebruik van creditcards en bankpassen op rekening van de gemeente onterechte declaraties / kosten worden vergoed. 3 Jaarlijkse evaluatie kan voor jaren na 2023 tot andere uitkomsten leiden.

6

4. Het (interne) risico op fraude, misbruik en oneigenlijk gebruik bij indienen van declaraties en reiskosten 5. Het risico dat gefactureerde en betaalde diensten en producten niet zijn geleverd (Prestatielevering): a. Extern / misbruik: een partij factureert producten en/of diensten die niet door ons zijn besteld en ontvangen, zgn. “Spookfacturen”; b. Interne fraude: Gefactureerde diensten en/of producten hebben geen relatie met organisatiedoeleinden en zijn besteld ten behoeve van persoonlijke doeleinden.

6. Het risico op fraude door middel van het laten wijzigen van een bankrekening van een leverancier/crediteur.

3.2. Aanbevelingen ten aanzien van key risks Uit onderzoek blijkt dat 8K-TD haar key risks op fraude, misbruik en oneigenlijk gebruik kan beheersen door middel van het uitvoeren van onderstaande aanbevelingen: Acties voor beheersen key risk 1: 1. Uitvoeren van de PGB-vaardigheidstoets; 2. Fraude-alertheid & kennis van risico’s van de consulent en interne controleur vergroten; 3. Dienstverlenende controle op zorg d.m.v. huisbezoek & controle van werkelijke situatie; 4. Strenger budgetbeheer in portal Mijn PGB. Acties voor beheersen key risk 2: Creëer een afdeling of functie die centraal alle dossiers behandeld van huren & pachten. (Ver-) huurcontracten worden centraal belegd (in een systeem). Eind 2022 heeft het MT de uitgangspunten voor contractmanagement belegd. Dit document is belangrijk om de basis te leggen voor een intern systeem. In de kadernota is formatie beschikbaar gesteld om contractmanagement in te regelen. Dit betekent dat in 2023 de processen en beheersmaatregelen met betrekking tot de contracten van huren en pachten worden vastgelegd. En dat in 2023 een centraal archief wordt aangemaakt waar contracten rondom huren en pachten worden beheerd. Jaarlijks vindt een interne controle plaats op huren en pachten.

Acties voor beheersen key risk 3: Het gebruik van creditcards door medewerkers en bestuursleden op rekening van de gemeente of Werkmaatschappij wordt niet toegestaan. Bestaande creditcards worden ingetrokken. De aanschaf en het gebruik van bankpassen op rekening van de gemeente of Werkmaatschappij wordt slechts in zeer bijzondere situaties toegestaan. In het Treasurybeleid is aangegeven dat het openen, opheffen of wijzigen van een bankrekeningen met bijbehorende condities slechts uitgevoerd kan worden door medewerker financieel beheer en dat dit geautoriseerd dient te worden door de teamleider. Voor de organisatie wordt een instructie opgesteld waaruit blijkt welke mogelijkheden er zijn /welke proces gevolgd moet worden om in noodsituaties (met spoed) contante betalingen te doen. Wanneer het college besluit om toch creditcards toe te staan dan wordt daarvoor een instructie inclusief accorderingsproces opgesteld. In de accordering krijgt HRM dan een rol in verband met het 7

correct uitvoeren van bestuursdeclaraties. Tevens zullen betalingen van bankpassen en creditcards regulier met een IC worden gecontroleerd. Acties voor beheersen key risk 4: Medewerkers, raads- en bestuursleden kunnen onder bepaalde voorwaarden declaraties en reiskosten declareren. De afspraken hiertoe zijn vastgelegd in het personeelshandboek voor medewerkers en rechtsposititieregelingen voor college. Vanaf 2023 wordt het mogelijk gemaakt dat declaraties via een app kunnen worden ingediend. Controle op deze declaraties vindt vooraf plaats door de leidinggevende. Reiskosten worden steekproefsgewijs gecontroleerd. Deze steekproeven worden twee keer per jaar besproken tussen de risicomanager en PSA. Afhankelijk van de uitkomst van de jaarlijkse actualisatie van de risicoanalyse, wordt jaarlijks door de (cluster)controller een steekproef gecontroleerd op de rechtmatigheid van de ingediende declaraties. In 2023 wordt er in de organisatie extra aandacht besteed aan de declaratieregels. Ook zal HRM nog een toelichting verzorgen in de colleges over de wijze waarop bepaalde zaken gedeclareerd mogen worden. Voor bestuurders gelden namelijk afwijkende regels. Een deel daarvan komt terug in de gedragscode.

Acties voor het beheersen van key risk 5: In het proces van betalen van facturen wordt het zogenaamde vier-ogen-principe toegepast: Facturen worden betaald indien zowel de budgethouder als de ‘Prestatie Akkoord Verklaarder’ akkoord zijn met de juistheid van de factuur. In de Verbijzonderde Interne Controle “Factuurafhandeling” wordt deze beheersmaatregel in ‘opzet’ en ‘bestaan’ getoetst. Het vaststellen van de juistheid / ‘werking’ van deze vier-ogen-controle (is het ‘vinkje voor akkoord’ terecht?) vond tot en met 2022 plaats door middel van een gegevensgerichte steekproefcontrole. Vanaf 2024 willen wij de controle op de ‘werking’ procesgericht uitvoeren. Onderzocht wordt hoe we dit systeemtechnisch beter kunnen inrichten zodat vastlegging van prestatielevering bij de facturering vanaf 2024 in het proces wordt geregistreerd. Insteek is dat een toelichting van de ‘Prestatie Akkoord Verklaarder’ (codeur) opgenomen wordt bij de factuur in de vorm van een pakbon, geaccordeerde urenregistratie of een schriftelijke verklaring / toelichting. Als kader hierbij stellen we vast dat van alle facturen: - vanaf een waarde van € 5.000 of;

- welke betrekking hebben op de declaratie van inhuur medewerkers (dus ook < € 5.000) of; - welke betrekking hebben op hardware ICT/telefonie (dus ook < € 5.000) De onderbouwing van de prestatielevering aantoonbaar wordt opgenomen in het systeem als bijlage bij de factuur. Voor alle overige facturen blijft het vierogen-principe op accorderen prestatielevering onverminderd van toepassing middels het plaatsen van een ‘digitale handtekening’ / ‘vink voor akkoord’ door de ‘prestatie akkoord verklaarder’ en de budgethouders. Over deze facturen wordt achteraf een deelwaarneming van 40 facturen (15 per gemeente en 10 voor de Werkmaatschappij) gecontroleerd op prestatielevering. Afhankelijk van de bevindingen kan het college besluiten om de beleidskaders van deze controlekaders jaarlijks te actualiseren.

8

Acties voor het beheersen van key risk 6: Eerst wordt een extern gerichte controle uitgevoerd. Er wordt contact opgenomen met de crediteur. Deze extern gerichte controle wordt vastgelegd bij de crediteurgegevens. Vervolgens vindt een intern gerichte controle plaats. Middels “vier-ogen-principe"/ collegiale review wordt de wijziging gecontroleerd. Indien deze vorm van fraude wordt ontdekt: • Wordt aangifte gedaan bij de politie en een melding gemaakt bij de IBD. • Wordt de ‘echte’ crediteur gewaarschuwd. De risicoanalyse wordt jaarlijks geëvalueerd. Deze aanbeveling ligt ten grondslag van de beleidsnotitie. Zo kan worden achterhaald of de opgestelde beheersmaatregelen effectief zijn.

3.3. Middel en lage netto risico’s op fraude en misbruik en oneigenlijk gebruik De bestaande risicoanalyse biedt een actueel beeld van de risico’s op fraude, misbruik en oneigenlijk gebruik. Naast de key risks zijn er organisatie-breed risico’s op fraude, misbruik en oneigenlijk gebruik geïdentificeerd. De niet-opgenomen risico’s in dit beleidsplan zijn geclassificeerd als ‘middel’ of ‘laag’. Deze als ‘middel’ of ‘laag’ geclassificeerde risico’s vereisen op dit moment geen extra aandacht. Wel kunnen deze risico’s in toekomstige jaren een andere classificatie krijgen afhankelijk van de uitkomsten van de jaarlijkse risicoanalyse.

4. Integer handelen 4.1. Integriteitsbeleid Bij de interne gerichtheid kijken we naar ons eigen handelen en maken we gebruik van ons Integriteitsbeleid / Gedragscode, de Ambtseed en de screeningseisen in het kader van Bibob (Bevordering integriteitsbeoordelingen door het openbaar bestuur). Integriteit betekent zorgvuldig, uitlegbaar en standvastig handelen. - Zorgvuldig: betekent dat je jezelf steeds blijft afvragen of je het juiste doet. Je kijkt hierbij kritisch naar jezelf en naar jouw verantwoordelijkheden; - Uitlegbaar: betekent dat je kunt uitleggen dat wat jij doet, het juiste is. Passend bij verantwoordelijkheden en taken en bij de kernwaarden, regels, wetten en andere bindende voorschriften van de gemeente; - Standvastig: betekent dat je ook de juiste keuzes maakt als dat moeilijk is. We gaan ervan uit dat onze medewerkers en bestuur zorgvuldig, uitlegbaar en standvastig handelen zodat hun handelingen en gedrag in lijn zijn met onze normen en waarden, gedragscode en met weten regelgeving. Om dat te bereiken is het belangrijk dat iedereen weet wat er van hem of haar verwacht wordt. En dat we zorgvuldig omgaan met situaties waarin mensen zich niet integer gedragen. Dit alles staat in eerdergenoemd integriteitsbeleid.

Instrumenten die het integriteitsbeleid ondersteunen zijn: Zorgen voor een actuele Gedragscode; Afleggen van de eed of belofte; Financiële belangen / Nevenwerkzaamheden ter voorkoming van belangenverstrengeling direct melden en waar nodig publiceren; 9

-

Maatregelen gericht op informatiebescherming; Personeelshandboek / Regels omtrent gebruik van voorzieningen van de gemeente.

4.2. Bibob Bibob staat voor bevordering integriteitsbeoordeling door het openbaar bestuur. Door middel van de Wet Bibob kan de gemeente voorkomen dat er onbedoeld medewerking wordt verleend aan misbruik van vergunningen, subsidies, vastgoedtransacties of bijvoorbeeld aanbestedingsopdrachten. In 2017 heeft het college de beleidslijn “zuiver zaken doen” vastgesteld.

5. Privacy en gegevensbeveiliging Misbruik en oneigenlijk gebruik heeft niet alleen betrekking op misbruik van middelen. Het kan ook gaan om misbruik van data. We merken dat de digitale dreigingen fors toenemen en dreigingen steeds geavanceerder worden. De complexiteit en impact van security-incidenten nemen toe op zowel bestuurlijk als uitvoerend niveau. Het kan gaan om het lekken van vertrouwelijke informatie of persoonsgegevens. Dit kan inbreuk op privacy betreffen met identiteitsfraude als vergaande vorm. Betrouwbare en veilige informatievoorziening is een absolute voorwaarde voor een gemeente. Informatiebeveiliging is een verantwoordelijkheid van de gehele organisatie, waarbij de eindverantwoordelijkheid ligt bij de bestuurders. Hierbij heeft afdeling ICT niet alleen een uitvoerende rol, maar met name ook proceseigenaren, lijnmanagers en medewerkers. Sluitende informatieveiligheid kan enkel geborgd worden wanneer al deze onderdelen samenwerken. De organisatie beschikt over 3 formele functies die hier een rol in vervullen: FG - Functionaris Gegevensbescherming: De FG houdt binnen de organisatie toezicht op de toepassing en naleving van de Algemene verordening gegevensbescherming (AVG). PO - Privacy Officer: De Privacy Officer houdt zich bezig met de uitvoerende taken die voortvloeien uit de AVG.

De PO is het aanspreekpunt als het gaat om privacyvraagstukken in de organisatie. Daarnaast doet de PO risico-analyses op het gebied van gegevensbescherming. CISO – Chief Information Security Officer: De CISO is verantwoordelijk voor het informatiebeveiligingsbeleid, het adviseren van de organisatie en het definiëren van de strategie op het gebied van informatiebeveiliging. Dit betreft zowel het implementeren van beleid als het toezicht houden op de uitvoering ervan.

5.1. Algemene Verordening Gegevensbescherming (AVG) / Privacy Om persoonsgegevens van de inwoners binnen Europa beter te beschermen, is vanaf 25 mei 2018 de Europese privacywet van kracht, namelijk de Algemene Verordening Gegevensbescherming (AVG). Voorbeelden van persoonsgegevens zijn: naam, adres, geboortedatum, BSN, medische informatie en geloofsovertuiging. De AVG legt vast dat persoonsgegevens alleen verzameld en bewaard mogen worden als daar een wettelijke grondslag voor is en zo lang dat strikt noodzakelijk is. De gemeente houdt een register bij met een beschrijving van alle processen en de persoonsgegevens die daarin verwerkt worden. Als andere organisaties persoonsgegevens verwerken in opdracht van de gemeente worden hierover afspraken gemaakt en vastgelegd in een verwerkersovereenkomst.

10

De organisatie werkt continu aan: • het verder implementeren van de Baseline Informatiebeveiliging Overheid (BIO), die geldt als basisnormenkader binnen alle overheidslagen (Rijk, gemeenten, provincies en waterschappen) voor informatiebeveiliging (zie 5.2); • het investeren in upgrades en maatregelen die noodzakelijk zijn om continuïteit te bieden in gebruik en veiligheid van onze diensten; • Het uitvoeren van diverse risicoanalyses en audits.

5.2 Baseline Informatiebeveiliging Overheid (BIO) Informatiebeveiliging is de term voor maatregelen en processen die ingericht worden om de beschikbaarheid, integriteit en vertrouwelijkheid van informatie te beschermen. Dit kan fysieke informatie zijn maar ook medewerkers, processen, informatiesystemen en de daarin opgeslagen gegevens vallen hieronder. Hierbij is de Baseline Informatiebeveiliging Overheid (BIO) het belangrijkste kader. Vanaf 1 januari 2020 is deze van kracht. De BIO vervangt de bestaande baselines informatieveiligheid voor Gemeenten, Rijk, Waterschappen en Provincies: de BIG, BIR, BIR2017, IBI en BIWA. Hiermee ontstaat één gezamenlijk normenkader voor informatiebeveiliging binnen de gehele overheid, gebaseerd op de internationaal erkende en actuele ISO-normatiek. De uitwerking van dit kader is vastgelegd in het gemeentelijk Informatiebeveiligingsbeleid.

6. Acties bij constatering van fraude, misbruik & oneigenlijk gebruik Dit plan legt de focus op het voorkomen van fraude, misbruik & oneigenlijk gebruik: voorkomen is beter dan genezen. Dit hoofdstuk gaat in op de uit te voeren acties wanneer, ondanks de preventieve maatregelen, toch is geconstateerd dat er sprake is van fraudeleus handelen, misbruik of oneigenlijk gebruik. Sancties worden opgelegd als reactie op een vaststelling van fraude en misbruik aan medewerkers en inwoners. Alleen fraude en misbruik zijn immers onrechtmatig en moeten worden hersteld en/of beboet. Maatregelen / sancties moeten voldoen aan de beginselen van behoorlijk bestuur. Dit houdt onder andere in dat maatregelen en sancties proportioneel moeten zijn in relatie tot het vergrijp. Uitgangspunt is dat het behaalde voordeel wordt teruggevorderd en er indien nodig een boete wordt opgelegd en/of aangifte wordt gedaan. Concreet leidt het tot terugvordering van te veel betaalde bedragen, naheffing van ten onrechte gederfde ontvangsten en intrekking van een ten onrechte verstrekte vergunning of subsidie. In bepaalde gevallen kan ook de ontbinding van een overeenkomst of de intrekking van een erkenning als niet-financiële sancties worden opgelegd. Ingeval van een misdrijf (fraude of diefstal) wordt aangifte gedaan.

In de “beleidsregels van het college van B&W houdende regels omtrent de nadere invulling inzake oplegging van boetes” (Beleidsregels Boetes van zowel Achtkarspelen als Tytsjerksteradiel) wordt hier specifiek op in gegaan. Zie hiertoe ook de bijlage, onderdeel sanctiebeleid bij nieuw beleid en onderdeel “Afwegingskader 11

Voor alle drie organisatie moet de organisatieverordening worden geactualiseerd waar de onafhankelijke positie van de FG-er wordt geborgd.

7. Verantwoording Voor het uitvoeren van de beleidsnotitie moet verantwoording worden afgelegd. Het afleggen van verantwoording zal worden gedaan door aan te sluiten bij de reguliere planning- en controlcyclus van 8KTD, onderdeel VIC. Ook is het onderdeel van de rechtmatigheidsverantwoording. Daarnaast zal de accountant in haar controles expliciet aandacht besteden aan de beheersing van fraude-, misbruik- en oneigenlijk gebruik risico’s. In het kader van de verantwoording worden de volgende stappen ondernomen: -

Toetsing naar opzet, bestaan en werking van beheersmaatregelen is een onderdeel van de uit te voeren Verbijzonderde Interne Controles (VIC’s). In de begroting wordt in de paragraaf ‘Bedrijfsvoering’ informatie opgenomen over de beleidsnotitie fraude, misbruik en oneigenlijk gebruik; In de jaarrekening wordt in de paragraaf ‘Bedrijfsvoering’ gerapporteerd over de voortgang en conclusies van de beleidsnotitie fraude, misbruik en oneigenlijk gebruik; Bij het opstellen van procesbeschrijvingen, in het kader van de administratieve organisatie, wordt rekening gehouden met de meest recente risicoanalyse en beheersmaatregelen; Bij de jaarlijkse evaluatiesessies wordt de beleidsnotitie fraude, misbruik en oneigenlijk gebruik aan de orde gesteld zodat er kan worden gereflecteerd.

Zie hiertoe ook het onderdeel “Afwegingskader Misbruik en Oneigenlijk gebruik” als onderdeel van de bijlage “Verwijzing naar Kadernota Rechtmatigheid 2023”.

12

Bijlage: misbruik en oneigenlijk gebruik-Toetsdocument Dit hulpmiddel bevat aandachtspunten die kunnen aanzetten tot het nemen van maatregelen tegen of het verminderen van misbruik en oneigenlijk gebruik. Dit document kan zowel worden gebruikt bij de opstelling van nieuw beleid, nieuwe verordeningen en nieuwe procedures als ook bij de Interne controle op bestaand beleid en bestaande verordeningen en procedures. •

A. Regelgeving Bij het opstellen van verordeningen wordt zoveel mogelijk gebruik gemaakt van de door de VNG opgestelde basisverordeningen. Naast de verordeningen zullen ook in procedures maatregelen opgenomen moeten zijn voor het voorkomen van misbruik en oneigenlijk gebruik. Als misbruik en oneigenlijk gebruik. -toets kunnen onderstaande vragen als hulpmiddel dienen:

•

o

Is de regelgeving helder voor uitvoerders en de rechthebbenden? (doel, doelgroep, heldere definities)

o

Zijn de gegevens die derden aan moeten leveren controleerbaar? □ Is de voorlichting goed geregeld?

o

Is het controlebeleid duidelijk?

o

Is er een sanctiebeleid geformuleerd en wordt dit ook daadwerkelijk (zichtbaar) uitgevoerd?

o

Is in de toelichting bij de regelgeving een paragraaf opgenomen welke overwegingen hebben geleid tot de keuzes op het gebied van voorlichting, controlebeleid en sanctiebeleid?

B. Voorlichting Voorlichting over regelgeving kan een goede bijdrage leveren op het terrein van preventie. Doordat gebruikers vooraf weten welke spelregels gelden, hoe de gemeente controleert en welke sanctie de gemeente oplegt bij onregelmatigheden, wordt misbruik en oneigenlijk gebruik al vooraf tegengegaan. Denk hierbij aan o.a.: □ Zijn informatiefolders nodig? □ Zijn publicaties in de lokale pers nodig? □ Zijn de regels digitaal beschikbaar via de website / intranet?

•

C. Controlebeleid Bij het opstellen van nieuwe regelgeving kan een risico-inventarisatie gehouden worden t.a.v. het aspect misbruik en oneigenlijk gebruik. Hoe gevoelig is de voorgestelde regeling voor misbruik en oneigenlijk gebruik. Afhankelijk van het antwoord op deze vraag kunnen passende beheersmaatregelen worden genomen. Een 13

onderdeel van die beheersmaatregelen is het uitvoeren van controles. De met de controle gemoeide kosten moeten in verhouding staan tot de mate van zekerheid die ze verschaffen. Te beantwoorden vragen bij dit onderwerp kunnen zijn: □ Welke mate van zekerheid dat er geen misbruik en oneigenlijk gebruik is opgetreden is voldoende? □ Hoe kan deze mate van zekerheid worden bereikt? □ Wegen de kosten van de controles op tegen de zekerheid die hiermee wordt verkregen? □ Zijn de geleverde controle-inspanningen achteraf door de externe accountant vast te stellen? •

D. Sanctiebeleid Als gebruikers van regelingen weten, dat er wel wordt gecontroleerd maar dat er bij onregelmatigheden geen sancties worden opgelegd, zullen zij eerder geneigd zijn tot misbruik en oneigenlijk gebruik. Daarom hoort bij nieuwe regelgeving of wijziging van bestaande regelgeving sanctiebeleid te worden geformuleerd. Onderdelen van dit beleid zijn o.a.: □ In welke gevallen worden sancties opgelegd, en hoe strikt wordt dit nageleefd? □ Hoe hoog is de sanctie per geval? □ Welke procedure wordt gevolgd bij het opleggen van de sanctie? □ Hoe wordt voorlichting gegeven over het sanctiebeleid?

14

Bijlage: Verwijzing naar Kadernota Rechtmatigheid 2023 4.3 Misbruik en oneigenlijk gebruik In deze paragraaf wordt eerst ingegaan op wat misbruik en oneigenlijk gebruik is. Vervolgens wordt aangegeven wat een gemeente minimaal zou moeten doen betreffende misbruik en oneigenlijk gebruik. Tot slot wordt stilgestaan bij de belangrijkste aspecten voor de rechtmatigheidsverantwoording ten aanzien van M misbruik en oneigenlijk gebruik. 4.3.1 Definities De rechtmatigheidseis betreft ook de toetsing op juistheid en volledigheid van de gegevens, die door de belanghebbenden zijn verstrekt om het voldoen aan voorwaarden aan te tonen. Dit ter voorkoming en bestrijding van misbruik en oneigenlijk gebruik van wet- en regelgeving (misbruik en oneigenlijk gebruik. -criterium). Onder misbruik wordt verstaan: Het opzettelijk niet, niet tijdig, onjuist of onvolledig verstrekken van gegevens met als doel ten onrechte overheidssubsidies of -uitkeringen te verkrijgen of niet dan wel een te laag bedrag aan heffingen aan de overheid te betalen. Misbruik van overheidsgelden wordt geregeld aangeduid met het plegen van fraude om zich onrechtmatig overheidsgelden toe te eigenen. Misbruik van overheidsregelingen moet echter wel duidelijk worden onderscheiden van fraude waarbij één of meerdere medewerkers van de organisatie betrokken zijn.

Bij het bestrijden van misbruik passen beheersmaatregelen zoals misbruikpreventie, handhaving, misbruik en fraudeopsporing en sancties. Onder oneigenlijk gebruik wordt verstaan: Het door het aangaan van rechtshandelingen, al dan niet gecombineerd met feitelijke handelingen, verkrijgen van overheidsbijdragen of het niet dan wel tot een te laag bedrag betalen van heffingen aan de overheid, in overeenstemming met de bewoordingen van de regelgeving maar in strijd met het doel en de strekking daarvan. De beheersmaatregelen die daarbij passen zijn: handhaving, voorlichting, analyse toepassen en actualisering wet- en regelgeving. Misbruik is onrechtmatig, oneigenlijk gebruik niet. Wanneer sprake is van misbruik van overheidsgelden moeten deze gelden door de gemeente worden teruggevorderd. Als in de jaarrekening van de gemeente geen terugvordering is verantwoord, is sprake van een getrouw beeld fout die niet wordt opgenomen in de rechtmatigheidsverantwoording, omdat er dan ook sprake is van een getrouw beeld fout in de jaarrekening. Wanneer misbruik van overheidsgelden is geconstateerd en een terugvordering (met eventueel een boete) is opgelegd blijft staan dat misbruik van overheidsgelden heeft plaatsgevonden.

Indien de omvang van dit misbruik samen met andere financiële rechtmatigheidsfouten bij de gemeente de verantwoordingsgrens heeft overschreden - moet dit misbruik van overheidsgelden worden opgenomen in de rechtmatigheidsverantwoording.

15

Aan het einde van deze bijlage is een schematische voorstelling van de verschillende mogelijkheden opgenomen.

4.3.2 Beheersmaatregelen ter voorkoming van Misbruik en Oneigenlijk Gebruik Om misbruik en oneigenlijk gebruik van overheidsgelden te voorkomen zijn beheersmaatregelen nodig die functioneren. Het gaat er bij het misbruik en oneigenlijk gebruik. -criterium om dat in de organisatie effectieve maatregelen zijn getroffen om misbruik te voorkomen, dan wel op te sporen. Dat de vigerende wet- en regelgeving duidelijk is, aangepast is aan actuele omstandigheden en te handhaven is. Om dit te bewerkstellingen is een mix van maatregelen nodig. Een mogelijk uitgangspunt hiervoor is het opstellen van een nota misbruik en oneigenlijk gebruik. Het is overigens niet verplicht om voor het voeren van het misbruik en oneigenlijk gebruik. -beleid een overkoepelende nota vast te stellen. Indien men voor een overkoepelende nota kiest dan vragen twee aspecten daarbij de aandacht, te weten: 1. De door de gemeenten samen te stellen (kader)nota misbruik en oneigenlijk gebruik / beleid betreft de algemene uitgangspunten en de filosofie van de organisatie met betrekking tot het voorkómen van misbruik en oneigenlijk gebruik. Deze monden uit in de keuzes die de organisatie ter zake maakt. De uitwerking daarvan in (een mix van) concrete beheersmaatregelen moet geïntegreerd zijn in de administratieve organisatie/interne controle van de organisatie. 2. De (kader)nota misbruik en oneigenlijk gebruik.

-beleid is geen statisch, maar dynamisch document. Het misbruik en oneigenlijk gebruik-beleid moet voldoende actueel zijn, gelet op de mogelijkheden en richtingen die er bestaan in zowel het misbruik en oneigenlijk gebruik zelf, als in de bestrijding daarvan. Het misbruik en oneigenlijk gebruik. -beleid moet voldoende zijn afgestemd op de meest recente wetgeving en de praktijk. Aanbeveling De commissie BBV adviseert een overkoepelend beleidsstuk misbruik en oneigenlijk gebruik te maken. Deze bevat naast de filosofie, algemene uitgangspunten en risicoanalyse ook maatregelen ter voorkoming en afdoening. 4.3.3 De rechtmatigheidsverantwoording in relatie tot misbruik en oneigenlijk gebruik. Het is aan de gemeente om effectieve maatregelen te nemen om misbruik en oneigenlijk gebruik te voorkomen. De gemeente beziet in eerste plaats welke eisen de wet- en regelgeving stelt ten aanzien van misbruik en oneigenlijk gebruik, wat daarin is geregeld omtrent de handhaving en hoe zich dat heeft vertaald naar de opzet van de interne organisatie. Daarbij wordt aandacht worden besteed aan de aandacht in de organisatie voor misbruikpreventie en -opsporing, maatregelen om de wet- en regelgeving regelmatig te toetsen op actualiteit en handhavingsmogelijkheden en het sanctiebeleid.

Voor de eigen wet- en regelgeving bepaalt de raad zelf hoever hij gaat in de eisen die aan het misbruik en oneigenlijk gebruik beleid te stellen zijn. De gemeente dient een uitspraak te doen in hoeverre het beleid ook feitelijk wordt nageleefd en of de getroffen maatregelen werken. De basis daarvoor ligt in belangrijke mate bij de uitkomsten van de intern al uitgevoerde controles en evaluaties. De actualiteit van het beleid is daarom een aandachtspunt. Deze wordt in elk geval vastgesteld door het beleid te bezien op wijzigingen benodigd voor de 16

afstemming op nieuwe wet- en regelgeving en op specifieke ontwikkelingen, zoals daadwerkelijk gesignaleerd misbruik en/of oneigenlijk gebruik. Wanneer het college concludeert dat het misbruik en oneigenlijk gebruik -beleid (op onderdelen) niet actueel is en/of dat de er geen M misbruik en oneigenlijk gebruik -beleid bestaat of het beleid feitelijk niet is nageleefd dan vermeldt het college dit in de paragraaf bedrijfsvoering. Daadwerkelijke afwijkingen voor zover deze niet het getrouwheidsaspect raken, worden betrokken bij het opstellen van de rechtmatigheidsverantwoording. Effecten van het niet naleven van wet- en regelgeving In de volgende tabel is weergegeven wat het effect is van een afwijking van wet- en regelgeving en de consequenties voor de rechtmatigheidsverantwoording.

4.5 Financiële beheershandelingen en onduidelijkheden bij het naleven van weten regelgeving Het college kan worden geconfronteerd met financiële beheershandelingen waarvan hij de rechtmatigheidsaspecten niet goed kan overzien. Dit kan het geval zijn bij tegengestelde opvattingen van specialisten onderling. Voorbeelden hiervan zijn staatssteun, Europese aanbestedingen, nieuwe aanbestedingswet en wet markt en overheid (mededinging). Als de betreffende dossiers door de specialisten goed gedocumenteerd zijn, kwalificeren deze dossiers tot onduidelijkheden en vermeldt het college dit – voor zover de door de raad vastgestelde verantwoordingsgrens wordt overschreden - in de rechtmatigheidsverantwoording. Stellige uitspraak Bij complexe situaties waarin specialisten niet tot een eenduidig oordeel komen, kan het voor het college onduidelijk zijn of financieel rechtmatig is gehandeld. Het college betrekt deze situatie bij het opstellen van de rechtmatigheidsverantwoording. En neemt deze op als een onduidelijkheid, indien het totaal aan onduidelijkheden de verantwoordingsgrens overschrijdt.

17

Bijlage: Afwegingskader misbruik en oneigenlijk gebruik.

18

19