VERGADERDATUM STUKDATUM AFDELING NAAM STELLER EIGENAAR. 29 maart maart 2017 Planning & Audit Gerrit Bekedam Ralph de Haan

Transcriptie

1 Algemeen bestuur VERGADER STUK AFDELING NAAM STELLER EIGENAAR 13 maart 2017 Planning & Audit Gerrit Bekedam Ralph de Haan AGENDAPUNT ONDERWERP Toelichting Economische ontwikkelingen kunnen voor GBLT en hun werknemers leiden tot verhoogde prikkels of gelegenheden zijn tot het doen van of meewerken aan fraude. De directie is primair verantwoordelijk voor het voorkomen en ontdekken van fraude en het voldoen aan wet- en regelgeving. De maatschappij spreekt directies daar ook in toenemende mate op aan. Door middel van een frauderisicoanalyse wil de organisatie in control zijn. Er is in 2016 een inventarisatie gehouden van mogelijke frauderisico s binnen GBLT, waar directie en/of manager bij betrokken kunnen zijn. De handelingen waar zich frauderisico s zouden kunnen voordoen bij GBLT richten zich in deze analyse op: Aanslagoplegging Betalingsverkeer Personeelszaken Inkopen Aanbesteding Fictieve facturen Verslaglegging

2 Hieronder zijn de denkbare fraudegebeurtenissen voor GBLT met bijbehorende risico s, waarschijnlijkheid, impact, beheersmaatregel en het normenkader vermeld. Dit jaar zijn in lijn met het interne controle plan een aantal van de geïdentificeerde risico s en bijbehorende beheersmaatregelen gecontroleerd. De overige risico s worden in de resterende maanden van 2017 beoordeeld. Event Risico Waarschijnlijkheid/ impact Beheersmaatregel Uitkomsten 2017.Q Aanslagoplegging van medewerkers, managers, directie of bestuurders De aanslagoplegging (incl woz waardering) en afloop van medewerkers, managers, directie, bestuurders of relaties van voornoemde personen is gemanipuleerd. Impact: Elk jaar wordt op basis van een steekproef vastgesteld of er fraude heeft plaatsgevonden in de aanslagoplegging van de medewerkers, managers, directie of bestuurders van GBLT controleplan. De controle is in 2016 uitgevoerd Het hebben van een bankpas waarmee voor maximaal 3000 per dag gepind kan worden. Er worden bedragen gepind die niet ten goede komen aan GBLT of die niet nuttig zijn voor GBLT. Impact: Het heroverwegen van de opnamelimiet en de noodzaak nagaan om een bankpas in bezit te hebben. De directie / manager verzoeken debiteuren van GBLT gelden op een ander bankrekeningnummer over te maken. Dit kan via een separate brief. Andere mogelijkheid is het rekeningnummer op briefpapier of digitale aanslagen te wijzigen. Er worden gelden op een bankrekening van een ander overgemaakt. (éénmaal aangepast op briefpapier kan het om grote bedragen gaan) Debiteurenbeheer is een maatregel achteraf. Vooraf: bescherming digitale omgeving en fysiek controle op briefpapier. GBLT neemt medewerkers in dienst, die geen werkzaamheden voor GBLT verrichten Personeel dat uit dienst is, wordt nog steeds betaald. Er wordt ten onrechte salaris betaald aan een bevriende collega die geen / onvoldoende prestatie voor GBLT heeft geleverd Impact: Automatische koppeling tussen salarisadministratie en TimeTell. Aanmelden van nieuw personeel alleen door HRM met aanstellingsbrief getekend door de directeur. Autorisatie van personeelslijsten door de managers controleplan: in dienst beoordelen met standenregister uit dienst: aanwezigheidscontrole

3 bijvoorbeeld per half jaar. Medewerkers worden te hoog beloond voor hun werkzaamheden. Er wordt deels ten onrechte salaris betaald. Impact: Bij de personeelsbeoordeling wordt een koppeling gemaakt tussen functieniveau en beloning. controleplan: beoordelen standenregister Het aanstellen van onvoldoende gekwalificeerd personeel op financiële en controlling functies Minder kritische medewerkers (naar leidinggevenden) waardoor ongewenste gedragingen niet worden gesignaleerd. Impact: Sollicitatieprocedure aangevuld met commissie voor de belangrijke functies. Vier ogen principe bij aanstelling personeel Medewerkers ontvangen een hogere onkostenvergoeding dan waarop zij recht hebben. Er worden betalingen verricht waar geen prestaties voor GBLT tegenover staan. Overschrijding vrije ruimte WKRregeling. Impact: Alle declaraties moeten onderbouwd zijn met documenten. Vanaf een bepaalde grens is een dubbele autorisatie vereist. controleplan: controle salarismutaties Het selecteren voor het verrichten van diensten of leveren van goederen bij bevriende / bekende aannemers, dienstverleners / leveranciers. Er wordt te veel betaald (zowel in kwalitatief als in kwantitatief opzicht). Aanbestedingsregels worden niet gevolgd. gemiddeld Impact: gemiddeld Gemiddeld omdat er veelal geen sprake zal zijn van opzettelijk handelen. Ook tijdsdruk kan tot dergelijke risico s leiden. Vastgelegd Inkoopbeleid uitvoeren controle inkoop en aanbesteding; is in 2016 uitgevoerd Het accorderen van facturen voor betaling terwijl wat op de factuur staat niet overeenkomt met de geleverde prestatie. (Idem bij valse facturen) Niet geleverde prestaties worden ten onrechte aan ( bevriende ) leveranciers betaald Impact: Opdrachtbonnen, contracten en ontvangstbonnen worden bij betreffende factuur gevoegd. Er is sprake van een goede functiescheiding. De prestatielevering mag niet geaccordeerd worden door de manager. Een variant is het vier ogen principe toe te passen voor de prestatielevering bij managers. controle inkoop en aanbesteding; is in 2016 uitgevoerd

4 Factuur onderbouwen met prestatieverklaring. Valse facturen: altijd met ordernummers werken en die verplicht op factuur laten vermelden. Een project wordt niet uitgevoerd conform afspraak en besluiten komen niet rechtmatig tot stand. Er kunnen privébelangen in het spel zijn Impact: groot Een projectplan met projectbegroting op laten stellen en vanaf een bepaalde grens laten accorderen door het bestuur. Verder afstemming van het project met de begroting. Accordering facturen door projectleider (niet zijnde de directeur/manager) en deze afstemmen met de voortgangsverslagen Inkopen komen ten laste van de organisatie Privé uitgaven kunnen tlv de organisatie gebracht. Impact: Vier ogenprincipe bij prestatielevering Verplicht: ordernummer en naam besteller op factuur. Alertheid op facturen van ongewone leveranciers. Toepassen van bestaande inkoop en aanbestedingsprocedu re. controle inkoop en aanbesteding; ; in 2016 tijdelijke aanpassing in het inkoopbeleid t.a.v. de inkoopdrempel voor inhuur na goedkeuring DB. Het aanmaken van onjuiste bankrekeningnummers in de financiële administratie aan en bij automatische incasso. Er worden GBLT gelden op privé rekeningen geboekt Impact: Deze actie alleen toestaan aan medewerkers van team financiën, onder voorwaarde van een goede functiescheiding Anderen: geen toegang binnen het financiële systeem. Rechten in systemen: raadplegen en autoriseren. betaling aan rechthebbende.

5 Het verkopen van goederen die aan GBLT toebehoren De opbrengsten worden op privé ontvangen Impact: Inventarisatie materiële vaste activa; tweerichting verkeer van list to floor en floor to list. Activaregistratie, ook voor goederen waarop niet wordt afgeschreven. Processen verbaal van buitengebruik stelling Het opnemen van contanten van de bank of ontvangen contante gelden van belastingschuldigen. Contante gelden worden voor privé doeleinden gebruikt. Impact: De contante geldstroom is uitgesloten De Europese aanbesteding wordt niet nageleefd (bv knippen) De organisatie handelt onrechtmatig met mogelijk financiële gevolgen Inkopen < x bedrag mogen aangewezen personen afhandelen. Hogere bedragen door inkoopcoördinator laten afhandelen. Deze beheert ook de centrale contractregistratie. T.a.v. risico van knippen: spendanalyse en de hierboven beschreven procedure.. Het opzetten van onrechtmatige fiscale constructies. (Gaat vooral om niet-belaste en belaste vergoedingen.) Belastingclaims Fiscale check door deskundigen uit laten voeren. Jaarlijks: toetsing goede uitvoering fiscale wetgeving door salarisbureau. in 2016 is de wkr aangepast. Memoriaalboekinge n maken die niet juist, tijdig, volledig worden geautoriseerd en worden verwerkt, waardoor tussenrekeningen moeilijk herleidbaar zijn Verstrekken van onjuiste informatie (aan bijvoorbeeld deelnemers). Er worden mutaties doorgevoerd in periodes waarover al verantwoording is afgelegd. Functiescheiding tussen opsteller en controleur memoriaalboekingen. Periodeafsluitingen financiële administratie Bewijsstukken laten toevoegen. De memoriaalboekingen worden vanaf januari 2017 onderbouwd en worden door de verantwoordelijk budgethouder beoordeeld Het ten onrechte declareren van onjuiste verzekeringsschades De verzekeringsgelden worden op privé rekeningen betaald Impact: Bij schades een schade expert inschakelen Schade verloop periodiek controleren

6 Het vernietigen van belangrijke stukken Persoonlijk belang door stukken te laten verdwijnen Impact: Centraal archief van belangrijke stukken met beperkte toegang. Voorafgaand aan de vernietiging vindt controle plaats Proces verbaal van vernietiging opnemen. Het hebben van nevenfuncties De werkzaamheden vinden niet onafhankelijk plaats (dubbele petten). Werkzaamheden worden uitgevoerd binnen GBLT tijd. Impact: Meldingsplicht van nevenfuncties en accordering van nevenfuncties door het bestuur als het gaat om de directeur en managers. Het muteren van reserves Onrechtmatige mutaties Impact: Zie de maatregelen bij de memoriaalboekingen zie uitkomst bij memoriaal boekingen Het muteren van voorzieningen (inclusief het instellen daarvan) Opname voorzieningen die niet voldoen aan BBV. Beïnvloeding van het resultaat van GBLT Impact: Onderbouwing (met documenten) van de mutaties Toetsing aan de normen BBV Zie de maatregelen bij de memoriaalboekingen Zie ook uitkomst bij memoriaal boekingen Autorisaties Het oneigenlijk van informatie en gebruik van computersystemen met o.a. het risico van datalekken Impact: Er dient verband te zijn tussen de taak en functieomschrijving en de autorisatie. Dit risico is voor onderzoek uitgezet Het onrechtmatig privégebruik van auto s of ov chipkaart Misbruik van zakelijke goederen uit de organisatie Impact: Auto s zijn voorzien van een blackbox en het gebruik van de ns businesscard is controleerbaar Manipuleren van financiële cijfers of productiecijfers Prestatie beter of slechter presenteren dan de werkelijkheid Impact: gemiddeld Vier ogenprincipe Kennis bij één persoon belegd Kwetsbaarheid van de organisatie Impact: Zorgen voor een structurele vervangingsregeling De operationele leiding neemt niet tijdig maatregelen om de leemtes in de interne beheersmaatregelen op te heffen De ongewenste situatie blijft gehandhaafd Impact: Het besluit bij een hoger bevoegd gezag om de beheersmaatregel af te dwingen. controleplan.

7 Op basis van de uitgevoerde controle in 2016 zijn geen (significante) bevindingen gedaan. De overige controles vinden plaats in 2017, als onderdeel van het interne controle plan 2017.