5. Waarborgen in beleid, uitvoering en verantwoording
5.1. Beleidsvoorbereiding
In de planfase wordt beleid opgesteld en worden verordeningen of regelingen (regelgeving) voorbereid. Medewerkers moeten zich in dit stadium van het beleidsproces al afvragen of er sprake is van een voor misbruik en oneigenlijk gebruik gevoelig beleidsterrein. In hoofdstuk 6 gaan we beknopt verder in op een aantal risicogebieden. Bij het opstellen van de verordeningen en regelingen zorgen we ervoor dat we de kans op misbruik en oneigenlijk gebruik zo klein mogelijk maken.
5.2. Regelgeving
Regelgeving moet dus zo min mogelijk ruimte bieden voor misbruik en oneigenlijk gebruik. Dit bereiken we door heldere definities, een nauwkeurige omschrijving van doel en doelgroep en het opnemen van rechten, plichten en voorwaarden. In de regelgeving wordt ook opgenomen welke maatregelen en/of sancties worden toegepast bij het vaststellen van misbruik of oneigenlijk gebruik. Vervolgens dienen in beschikkingen of bijlagen hierbij altijd (indien van toepassing) de volgende punten te worden vermeld:
-rechten
-plichten
-voorwaarden
-mogelijke maatregelen of sancties
5.3. Uitvoering
Misbruik en oneigenlijk gebruik speelt met name bij die activiteiten waarbij de informatie van derden/belanghebbenden van groot belang is voor het verlenen of vaststellen van uitkeringen, subsidies, vergunningen, heffingen en belastingen. Processen waarbij gevoeligheden spelen, moeten voldoende maatregelen bevatten om de tijdigheid, juistheid, volledigheid en prestatielevering te toetsen van de door belanghebbende verstrekte gegevens. Hoe we dit organiseren leggen we vast in procesbeschrijvingen. Regelmatig wordt door verantwoordelijken getoetst of wordt gewerkt conform de procesbeschrijvingen. Deze checks worden zichtbaar vastgelegd.
We zorgen ervoor dat een medewerker goed nagaat of aan de toetsingsvoorwaarden is voldaan. De ter toetsing aangeleverde gegevens worden – indien mogelijk – getoetst aan andere bronnen. Deze toetsing wordt ook vastgelegd. Voordat wordt beschikt en/of uitbetaald, controleert een andere medewerker of deze werkzaamheden zichtbaar, volledig en juist zijn uitgevoerd (vier ogen principe). Op deze wijze worden toereikende controles uitgevoerd op het waarborgen van de getrouwheid en rechtmatigheid.
5.4. Verbijzonderde interne controle (VIC)
Zoals hierboven beschreven, zijn de belangrijkste beheersmaatregelen opgenomen in de dagelijkse uitvoering en het management en monitoring daarvan. In control termen praten we dan over de eerste- en tweedelijns control. Daarnaast toetst periodiek de VIC in de derde lijn, de opzet, het bestaan en de werking van interne beheersmaatregelen ter voorkoming van misbruik en oneigenlijk gebruik. Dit doen we op basis van een risico gedreven controle aanpak. Basis hiervoor is het door het college jaarlijks vast te stellen interne controleplan, waarin duidelijk aandacht is voor misbruik en oneigenlijk gebruik. Over de uitvoering van het interne controleplan wordt tweemaal per jaar, met bevindingen en aanbevelingen, gerapporteerd aan managementteam en college.
5.5. Maatregelen en/of sancties
Om te kunnen acteren op geconstateerd misbruik of oneigenlijk gebruik is een toereikend pakket aan maatregelen en sancties vereist dat aansluit op de regelgeving. Als norm hierbij hanteren we dat ten minste het behaalde voordeel wordt weggenomen. Afhankelijk van de situatie doen we aangifte. Door voorlichting over en het strikt toepassen van maatregelen en/of sancties bereiken we een preventieve werking.
5.6. Verantwoording
Over de wijze waarop het Misbruik en Oneigenlijk gebruik beleid wordt uitgevoerd en nageleefd leggen we verantwoording af. Dit wordt gerealiseerd door aan te sluiten bij de reguliere planning- en control cyclus. Het college doet dit als onderdeel van de rechtmatigheidsverantwoording die wordt opgenomen in de jaarstukken. Waarbij geconstateerde systematische onvolkomenheden in de interne beheersing met een hoog risico op misbruik en oneigenlijk gebruik nader worden toegelicht in de paragraaf bedrijfsvoering.
5.7. Evaluatie/bijsturen
De bevindingen en aanbevelingen in de rapportages VIC (zie paragraaf 5.4.) en de verantwoording in de jaarstukken (zie paragraaf 5.6.) over de werking van het beheersinstrumentarium ter voorkoming van misbruik en oneigenlijk gebruik gebruiken we om van te leren en beleid en uitvoering hiervan verder te verbeteren.
7. Privacy en databeveiliging
7.1. Algemene Verordening Gegevensbescherming (AVG)
Om persoonsgegevens van de inwoners van de Europese Unie beter te beschermen, is vanaf 25 mei 2018 de Algemene Verordening Gegevensbescherming (AVG) van kracht geworden. Deze wet heeft de Wet Bescherming Persoonsgegevens vervangen. Voorbeelden van persoonsgegevens zijn: naam, adres, geboortedatum, BSN, medische informatie en geloofsovertuiging. De AVG legt vast dat we persoonsgegevens alleen mogen verzamelen en bewaren als en zo lang dat strikt noodzakelijk is. We moeten als gemeente een register bijhouden met een beschrijving van alle processen en de persoonsgegevens die daarin verwerkt worden. Afspraken met andere organisaties leggen we vast in een verwerkersovereenkomst.
In paragraaf 2.1 van het privacybeleid van gemeente West Betuwe beschrijven we de visie van de gemeente op de bescherming van persoonsgegevens en bepalen we de reikwijdte van het privacybeleidskader. Tevens beschrijven we hoe het privacybeleid en het privacy management binnen de gemeente West Betuwe is vormgegeven.
7.2. Baseline Informatiebeveiliging Overheid (BIO)
Informatiebeveiliging is het geheel van preventieve, detectieve, repressieve en correctieve maatregelen alsmede procedures en processen die de beschikbaarheid, integriteit en vertrouwelijkheid van alle vormen van informatie garanderen. Het doel hiervan is de continuïteit van de informatie en de informatievoorziening te waarborgen en de eventuele gevolgen van beveiligingsincidenten tot een acceptabel, vooraf bepaald niveau te beperken. Hierbij is de Baseline Informatiebeveiliging Overheid (BIO) het normenkader, die vanaf 1 januari 2020 van kracht is. De BIO vervangt de bestaande baselines informatieveiligheid voor gemeenten, Rijk, waterschappen en provincies. Hiermee ontstaat één gezamenlijk normenkader voor informatiebeveiliging binnen de gehele overheid, gebaseerd op de internationaal erkende en actuele ISO-normatiek. Onze uitwerking van dit normenkader gaan we vastleggen in het te actualiseren Informatiebeveiligingsbeleid.