Voor het doen van terugbetalingen gebruikt de gemeente dezelfde applicatie als waarmee de belastingen worden opgelegd en geïnd. Bij toekennen van terugbetalingen is sprake van functiescheiding, waarbij de leidinggevende de beschikkingen op grond van de geldende regels toetst en autoriseert.

Het belastingsysteem was echter vooral ingericht om de belastingen te innen. De application controls rond uitbetalingen waren niet geheel toereikend. Zo had de betrokken ambtenaar de mogelijkheid om zelfstandig een aantal stamgegevens van belastingplichtigen te wijzigen, waaronder de bankrekeningnummers maar ook de wijze van uitbetalen. Zo kon bijvoorbeeld worden ingevoerd dat de terugbetaling naar een of meer bankrekeningen werd uitgevoerd. Op deze mutaties vond geen interne controle plaats.

Door deze bevoegdheid kon de ambtenaar betalingen aan belastingplichtigen (of erfgenamen) opsplitsen in twee betalingen. De ambtenaar maakte veelvuldig gebruik van die leemte in de AO-IB. Bij terugbetalingen ging één deel naar de belastingplichtige, een ander deel werd uitbetaald op een privébankrekening van de ambtenaar. Bij de verwerking tot een betaalopdracht werden geen verdere interne controles meer uitgevoerd. De enige controle die wel werd uitgevoerd was het toetsen van de hash totals van de betaalopdracht met de opdracht die klaar stond voor betaling. Deze controle bracht uiteraard niet aan het licht dat bankrekeningen al in een eerder stadium waren gemanipuleerd.

Op deze wijze heeft betrokken ambtenaar in twee jaar ongeveer € 110.000 naar zichzelf over gemaakt. De betrokken belastingplichtigen merkten niet dat zij te weinig belastingteruggave ontvingen. Dit viel ze niet op doordat vaak meer belastingen tegelijkertijd werden gecorrigeerd, waarbij de hoogte van de terugbetaling afhing van onder meer de periode waarover terugbetaling werd aangevraagd. De belastingplichtigen ontvingen onjuiste beschikkingen van de gemeente. Hiertoe wijzigde betrokken ambtenaar handmatig in Word de beschikkingen voordat deze werden verstuurd. De beschikkingen die door de applicatie vervaardigde werden, werden weggegooid.

De fraude werd ontdekt toen een oplettende burger zelf het terugbetalingsbedrag had uitgerekend en vervolgens constateerde dat de beschikking een verkeerd bedrag vermeldde. Hij legde dit verschil vervolgens voor aan een andere ambtenaar. Deze zag dat de beschikking niet overeenstemde met de twee terugbetalingen die waren vermeld in het systeem.

De omvang van de fraude was weliswaar niet materieel voor het getrouwe beeld van de jaarrekening van de gemeente, maar toch stelde de gemeente kritische vragen aan de accountant. Met name op de vraag of hij ook aandacht had besteed aan de uitgaande geldstroom via het belastingsysteem, had de accountant een onbevredigend antwoord. Daarnaast bleek dat de accountant ook geen gebruik had gemaakt van een EDP-auditor om de diverse application controls te testen. Ook had hij aandacht moeten besteden aan de interne controlemaatregelen rond de uitgaande geldstroom via de belastingapplicatie. Immers, er werd op de klaar staande betaalopdracht geen inhoudelijke controle uitgevoerd naar de juistheid van de betalingen en de betaling aan de rechthebbende.

De rubriek wordt verzorgd door: Remco de Groot, Ernst & Young Fraud Investigation & Dispute Services, Michel Grummel, Alvarez & Marsal Dispute Analysis Benelux, Ellen van Nimwegen, PricewaterhouseCoopers Forensic, Jurgen van Vliet, Deloitte Forensic & Dispute Services.