Beleidskader voorkomen en bestrijden misbruik en oneigenlijk gebruik

3.1.1 Regelgeving

Heldere en eenduidige regelgeving beperkt de ruimte voor misbruik en oneigenlijk gebruik. Onder regelgeving wordt verstaan: verordeningen, beleidsregels, nadere regels en richtlijnen van de gemeente. Adequate en handhaafbare regelgeving is een belangrijke beheersmaatregel in het kader van M&O beleid en voldoet in dat verband aan de volgende eisen:

•Eenvoud, inzichtelijk en begrijpelijk;

•Er gelden eenduidige definities;

•Het doel en de doelgroep van de regeling zijn nauwkeurig bepaald en beschreven;

•Rechten, plichten en voorwaarden zijn opgenomen;

•Er zijn geen overbodige en/of met elkaar strijdige bepalingen;

•De afhankelijkheid van gegevens afkomstig van derden is zoveel mogelijk beperkt;

•Mogelijke maatregelen of sancties bij geconstateerd misbruik en oneigenlijk gebruik zijn in de regeling opgenomen;

•Ingangsdata en overgangsregels zijn in de regeling opgenomen;

•Informatie is traceerbaar en controleerbaar.

3.1.2 Voorlichting

Wet- en regelgeving worden door middel van voorlichting onder de aandacht gebracht van belanghebbenden (inwoners, bedrijven en instellingen.) Er dient informatie te worden verstrekt over het bestaan van een regeling, aard en doel van de regeling, de specifieke doelgroep, geldende voorwaarden en controle- en sanctiebeleid. Voorlichting draagt in preventieve zin bij aan het voorkomen van misbruik en oneigenlijk gebruik van een regeling, zeker als ook duidelijk wordt gecommuniceerd over mogelijke sancties. Daarnaast werkt actieve voorlichting over het M&O beleid via de website van de gemeente stimulerend op de naleving van regelgeving.

3.1.3 Controle vooraf

Controle in de uitvoering is een middel om (de kans op) misbruik of oneigenlijk gebruik te signaleren. Mogelijke risico’s worden al in een vroegtijdig stadium geconstateerd. Controle vooraf van gegevens wordt uitgevoerd tot aan het moment van betaling of beschikkingsverlening en geldt daarmee als preventieve maatregel.

Controle vooraf richt zich op de toetsing van de juistheid en volledigheid van gegevens die door derden zijn verstrekt. De ambtenaar gaat na of door de inwoners, bedrijven of instellingen aan de voorwaarden van bijvoorbeeld een uitkering, subsidie, heffing of vergunning wordt voldaan. Door betrokkene(n) aangeleverde gegevens worden indien mogelijk geverifieerd. Uitgangspunt is dat voordat wordt uitbetaald, een andere medewerker controleert of deze werkzaamheden zichtbaar, volledig en juist zijn uitgevoerd (vier-ogen principe.)

In beleid wordt bepaald welke controlemethoden worden gebruikt ten aanzien van regelingen. Controles variëren van integraal (totale controle,) steekproefsgewijs tot incidenteel. Hierbij is van belang de aard en omvang van de doelgroep en hoe misbruikgevoelig een regeling is. Processen waarbij gevoeligheden spelen moeten voldoende maatregelen bevatten om de tijdigheid, juistheid, volledigheid en prestatielevering te toetsen van door belanghebbende(n) verstrekte gegevens.

3.2.1 Controle achteraf

Controle van gegevens achteraf wordt uitgevoerd na het uitkeren/innen van bedragen, dan wel nadat de beschikking is verleend. Daarmee is het een repressieve maatregel. Controles achteraf worden (evenals bij controles vooraf) integraal, steekproefsgewijs of incidenteel uitgevoerd. Manieren om te controleren zijn: verzoeken om inlichtingen, inspecties, waarneming, bevestigingen, herberekeningen, cijferanalyses, artificial intelligence, data-analyse en het opnieuw uitvoeren van controles. Interne controles worden periodiek uitgevoerd om te beoordelen of conform de interne procedures is gewerkt en of transacties getrouw en rechtmatig tot stand zijn gekomen. In de uitvoering van de Verbijzonderde Interne Controles (VIC) is expliciet aandacht voor M&O.

Vastlegging van de controleresultaten is verplicht. De resultaten van de controle leiden bijvoorbeeld tot aanpassing van het controlebeleid en/of de regelgeving.

3.2.2 Sanctionering/maatregelenbeleid

Sancties worden opgelegd als reactie op een vaststelling van misbruik; alleen misbruik is immers onrechtmatig en moet worden hersteld en/of beboet.

Maatregelenbeleid is vereist om adequaat te reageren op geconstateerd misbruik en/of oneigenlijk gebruik. Maatregelenbeleid moet voldoen aan de beginselen van behoorlijk bestuur. Dit houdt onder andere in dat maatregelen en sancties proportioneel moeten zijn in relatie tot het vergrijp. Uitgangspunt is dat het behaalde voordeel wordt teruggevorderd en er indien nodig een boete wordt opgelegd. Concreet leidt het tot terugvordering van te veel betaalde bedragen, naheffing van ten onrechte gederfde ontvangsten en intrekking van een ten onrechte verstrekte vergunning. In bepaalde gevallen wordt ook de ontbinding van een overeenkomst of de intrekking van een erkenning als niet-financiële sanctie opgelegd. Ingeval van een misdrijf (fraude of diefstal) wordt aangifte gedaan bij de politie.

Van sanctionering gaat een afschrikeffect uit en het draagt om die reden eveneens bij aan het voorkomen en beperken van misbruik van overheidsregelingen.

4.1.1 Streng M&O-beleid

Streng M&O-beleid omvat beheersmaatregelen die verder gaan dan de reguliere maatregelen op het gebied van de administratieve organisatie en interne controle (AO/IC.) Specifieke en aanvullende (controle)maatregelen zijn noodzakelijk, zowel in voorwaardenscheppende sfeer als voor wat betreft het houden van een actief toezicht daarop.

4.1.2 Gematigd M&O-beleid

Gematigd M&O-beleid houdt in dat waakzaamheid is geboden. Enkele aanvullende maatregelen worden getroffen, zoals een actieve voorlichting en een kritische beoordeling van de onderbouwing en herkomst van door derden aangeleverde gegevens (b.v. verscherpte controles, antecedenten-onderzoek.)

4.1.3 Geen specifiek M&O-beleid

Als de reguliere AO/IC toereikend is, zijn geen aanvullende maatregelen noodzakelijk en vindt incidentele controle op misbruik en oneigenlijk gebruik plaats.

4.2.1 Verstrekken uitkeringen (streng M&O beleid)

Inkomensoverdrachten vinden plaats in het kader van werk en inkomen (Participatiewet, Besluit bijstandverlening zelfstandigen, minima-regelingen, schulddienstverlening en dergelijke.) Het betreft openeinderegelingen waarbij een cliënt die aan de voorwaarden voldoet de gevraagde uitkering of dienstverlening verkrijgt. Het risico van een onbetrouwbare gegevensverstrekking is aanwezig vanwege de sterke persoonlijke belangen van iemand bij de uitkering of de dienstverlening. Dit, terwijl de gegevensverstrekking bepalend is voor het vaststellen van het recht op en de hoogte en duur van de inkomenscompensatie. Om die reden geldt ten aanzien van inkomensoverdrachten een streng M&O-beleid.

4.2.2 Verstrekken voorzieningen Wmo en Jeugdwet (streng M&O beleid)

Individuele voorzieningen worden verstrekt in het kader van de Wet maatschappelijke ondersteuning en de Jeugdwet. Ook hier geldt dat sprake is van openeinderegelingen, het risico van onbetrouwbare gegevensverstrekking en het feit dat de gegevens bepalend zijn voor het toekennen van de gevraagde voorziening. Dit zijn redenen om een streng M&O-beleid te voeren. Dit laat onverlet dat er vanuit de gemeente wordt gewerkt vanuit de gedachte dat de cliënt centraal staat en dat in dat verband ook steeds het gesprek en het overleg met mensen worden gevoerd. Dit overleg komt een adequate dienstverlening ten goede en is een aanvullende waarborg dat de juiste gegevens op tafel komen.

4.2.3 Vergunningverlening en handhaving (streng M&O beleid)

Vergunningverlening en handhaving hebben betrekking op wezenlijke overheidstaken en er spelen vaak grote publieke belangen met mogelijke (financiële en politiek-bestuurlijke) gevolgen. De aanvrager van een vergunning kan - gelet op de grote afhankelijkheid van de gemeente bij het al dan niet verkrijgen van een vergunning - baat hebben bij het verstrekken van onjuiste informatie. In de praktijk vindt (ambtelijk) overleg met aanvragers en overtreders plaats. Dat is niet alleen een waardevol communicatiemoment met inwoners en bedrijven/instellingen, maar ook een belangrijk middel om te waarborgen dat de juiste informatie op tafel komt en onnodige controles en sancties worden voorkomen. Niettemin zijn vergunningverlening en handhaving - op grond van ervaring – M&O gevoelig en is een streng beleid geboden.

4.2.4 Identiteitsbewijzen, reisdocumenten en rijbewijzen (streng M&O beleid)

Bij de verstrekking van identiteitsbewijzen, reisdocumenten en rijbewijzen maakt de gemeente gebruik van de gegevens uit de Basisregistratie Personen (BRP). Deze gegevens in het BRP moeten juist zijn, mede om misbruik en oneigenlijk gebruik van genoemde documenten te voorkomen. De strenge voorschriften voor de uitgifte van reisdocumenten worden strikt nageleefd. Een streng M&O beleid is noodzakelijk.

4.2.5 Verstrekken van subsidies (streng tot gematigd M&O beleid)

Met subsidieverstrekking is een aanmerkelijk financieel belang gemoeid. Ook hier is de gemeente afhankelijk van de betrouwbaarheid van gegevens die door instellingen worden verstrekt. Met de grote instellingen is regelmatig overleg (ambtelijk en bestuurlijk) waarin belangrijke onderwerpen ter sprake komen. Dit maakt dat aanvullende M&O maatregelen ten aanzien van deze instellingen niet nodig zijn. Voor de overige gesubsidieerde instellingen kan het noodzakelijk zijn specifieke maatregelen te treffen, variërend van streng tot gematigd.

4.2.6 Inkopen en aanbestedingen (gematigd M&O beleid)

Met inkoop en aanbesteding kan een aanmerkelijk financieel belang gemoeid zijn. Wet- en regelgeving, alsmede het gemeentelijk inkoopbeleid bevatten echter al de nodige waarborgen op het gebied van M&O. Reeds van toepassing zijnde interne controles op transacties zijn eveneens een waarborg dat deze juist en volledig zijn. Ook interne budget- en functiescheidingen zijn van toepassing. Aanvullende M&O-maatregelen beperken zich tot enkele extra controles van aangeleverde gegevens. Om die reden vragen inkoop en aanbesteding om een gematigd beleid. Voor aanvullende opdrachten (meerwerk) en opdrachten die één-op-één gegund worden is een streng beleid noodzakelijk, omdat hierop mogelijk niet alle vorenstaande beheersmaatregelen worden toegepast.

4.2.7 Integriteit van relaties (gematigd M&O beleid)

Integriteit van medewerkers en bestuurders in de omgang met externe relaties vormt een M&O risico. Preventieve maatregelen in de zin van integriteitsbeleid en gedragscodes zijn van kracht. M&O-beleid blijft dan ook beperkt tot het treffen van enkele aanvullende maatregelen, waardoor een gematigd beleid volstaat.

4.2.8 Belastinginkomsten (gematigd M&O beleid)

Heffing en invordering van belastingen vindt plaats op basis van objectieve gegevens die bijvoor-beeld worden verkregen via het bevolkingsregister, het kadaster en taxateurs. Functiescheiding als interne maatregel vormt een waarborg voor M&O risico’s. Bepaalde belastingen zijn wel afhankelijk van gegevensverstrekking door belanghebbenden (bijv. toeristenbelasting.) Ook de procedure van kwijtschelding is risicogevoelig, omdat deze bij automatische verlening sterk afhankelijk is van de juistheid van inkomensregelingen.

3Dit risico is voor een groot deel gereduceerd door het landelijk werkende Inlichtingenbureau. Dit bureau beschikt over digitale gegevens van het UWV, de Belastingdienst, DUO en over bepaalde zorginformatie. Op grond van deze gegevens kan worden aangegeven wie voor kwijtschelding in aanmerking komt of niet.

Hier zijn aanvullende M&O maatregelen nodig en daarmee een gematigd M&O-beleid.

4.3.1 Algemene Verordening Gegevensbescherming (AVG)

Om persoonsgegevens van de inwoners binnen Europa beter te beschermen, is vanaf 25 mei 2018 de Europese privacywet van kracht, namelijk de Algemene Verordening Gegevensbescherming (AVG) en vanaf 1 juli 2021 de Uitvoeringswet Algemene verordening gegevensbescherming (UAVG.) Voorbeelden van persoonsgegevens zijn: naam, adres, geboortedatum, BSN, medische informatie en geloofsovertuiging. De AVG legt vast dat persoonsgegevens alleen verzameld en bewaard mogen worden als daar een wettelijke grondslag voor is en zo lang dat strikt noodzakelijk is. De gemeente houdt een register bij met een beschrijving van alle processen en de persoonsgegevens die daarin verwerkt worden. Als andere organisaties persoonsgegevens verwerken in opdracht van de gemeente worden hierover afspraken gemaakt en vastgelegd in een verwerkersovereenkomst.

In de organisatie is een functionaris gegevensbescherming aangesteld (collegebesluit 22 februari 2023.) Deze werkt nauw samen met de Chief Information Security Officer (CISO) en de mensen van team Data (waaronder de Chief Data Officer.)

4.3.2 Baseline Informatiebeveiliging Overheid (BIO)

Informatiebeveiliging is de verzamelnaam voor de processen die ingericht worden om de betrouwbaarheid van gemeentelijke processen, de gebruikte informatiesystemen en de daarin opgeslagen gegevens te beschermen tegen misbruik en oneigenlijk gebruik. Hierbij is de Baseline Informatiebeveiliging Overheid (BIO) het belangrijkste kader. Vanaf 1 januari 2020 is deze van kracht. De BIO vervangt de bestaande baselines informatieveiligheid voor Gemeenten, Rijk, Waterschappen en Provincies: de BIG, BIR, BIR2017, IBI en BIWA zijn alle vervangen door de BIO. Hiermee ontstaat één gezamenlijk normenkader voor informatiebeveiliging binnen de gehele overheid, gebaseerd op de internationaal erkende en actuele ISO-normatiek. De uitwerking van dit kader is vastgelegd in het gemeentelijk strategisch informatiebeveiligingsbeleid (college 16 april 2024.)

4.3.3 Cyberbeveiligingswet (Cbw)

De Network and Information Systems Directive 2 (NIS2) is Europese wetgeving die gericht is op het verbeteren van de cybersecurity en de veerkracht van netwerk- en informatiesystemen binnen de Europese Unie. NIS2 is in Nederland vertaald in de Cyberbeveiligingswet (Cbw) en heeft als doel de beveiliging van vitale diensten en digitale infrastructuur te versterken, waaronder overheidsinstanties zoals gemeentelijke organisaties. Het naleven van de vereisten van de Cbw is essentieel om de continuïteit van onze dienstverlening te waarborgen en om te voldoen aan de Europese wetgeving op het gebied van cybersecurity.

De Cbw stelt verder dat bestuurders van entiteiten die aan de Cbw onderhevig zijn, aansprakelijk zijn voor de uitvoering en borging hiervan. Dit houdt in dat bestuursleden hoofdelijk aansprakelijk zijn als de regels omtrent de Cbw niet nageleefd worden. Daarnaast is er ook een opleidingsplicht waarmee bestuurders voldoende kennis en vaardigheden dienen op te doen om risico’s op het gebied van cyberbeveiliging te herkennen en om de gevolgen hiervan te beoordelen.

De aandachtsgebieden op operationeel niveau liggen voornamelijk op de volgende terreinen:

•Het verder verbeteren van de informatiebeveiliging. Dit is het voortzetten van acties en structuren die de digitale weerbaarheid verhogen;

•Het op niveau brengen van bedrijfscontinuïteit, en dit ook periodiek te toetsen;

•Het in control brengen van de OT-beveiliging (operational technology);

•Het organiseren van toezicht op derde partijen op het gebied van informatiebeveiliging.

Naar verwachting wordt de Cbw medio augustus dit jaar van kracht worden. De training voor bestuurders is een verplicht onderdeel van de implementatie.