3. Controllerrapport 2025

Controllerrapport 2025

April 2026 Marco Slinger

2

Deze beknopte rapportage bevat de bevindingen van de concerncontroller over de rechtmatige en doelmatige/doeltreffende uitvoering van de begroting 2025. Rechtmatigheid gaat over het vaststellen dat financiële handelingen en vastleggingen in overeenstemming zijn met wet- en regelgeving. Doelmatigheid ziet toe op de relatie tussen inzet van middelen en de daarmee gerealiseerde prestaties. Tevens wordt in deze rapportage kort stilgestaan bij Informatieveiligheid. I. Rechtmatigheid In de Financiële verordening is bepaald dat het college jaarlijks zorg draagt voor de toetsing op rechtmatig handelen (art. 30). Aan dat voorschrift wordt invulling gegeven door op planmatige en gestructureerde wijze toetsingswerkzaamheden uit te voeren. De uit te voeren werkzaamheden liggen vast in een controleplan dat is afgestemd met de accountant en vastgesteld door de directie. De bevindingen van de controlewerkzaamheden communiceert het college via de rechtmatigheidsverantwoording in de jaarstukken. In de jaarrekening 2025 is een bedrag van 2,7 miljoen euro als onrechtmatig aangemerkt:  2,2 miljoen euro heeft betrekking op inkoop en aanbesteding;  0,4 miljoen euro heeft betrekking op toegekende jeugdhulp waar volgens de wet geen juridische basis voor was (terwijl de zorgbehoefte wel evident was);  62.000 euro heeft betrekking op begrotingsonrechtmatigheid.

Kortheidshalve wordt verwezen naar de paragraaf bedrijfsvoering in de programmarekening voor een uiteenzetting van de oorzaken en maatregelen die dit in de toekomst moeten voorkomen. II. Onderzoeken naar doelmatigheid en doeltreffendheid Het afgelopen jaar zijn de volgende onderzoeken uitgevoerd die een indicatie geven in welke mate de door het bestuur en organisatie gestelde doelstellingen behaald kunnen worden en welke middeleninzet daarvoor benodigd is geweest.  Evaluatie samenwerking Aalsmeer inclusief benchmark ambtelijke kosten Sinds 2013 hebben Amstelveen en Aalsmeer hun ambtelijke uitvoeringskracht samengebracht. Juridisch is dit vastgelegd in een Centrumregeling en een Samenwerkingsovereenkomst. De huidige samenwerkingsafspraken lopen tot en met 2026. In de Samenwerkingsovereenkomst is bepaald dat beide colleges gezamenlijk het verloop van de afspraken uit de samenwerkingsovereenkomst evalueren voorafgaand aan het aangaan van een nieuwe Samenwerkingsovereenkomst. Die genoemde evaluatie heeft in 2025 plaatsgevonden. Er heeft zowel een evaluatie plaatsgevonden van de inhoudelijke samenwerking als van het bijbehorende kostenniveau. Op basis van de rapporten is geconcludeerd dat de samenwerking voor beide autonome gemeentebesturen van toegevoegde waarde is. Zowel op inhoud als op kostenniveau.

Op grond van deze uitkomsten zijn beide gemeenten een nieuwe Samenwerkingsovereenkomst aangegaan voor de periode 2027 t/m 2030. De beide rapporten zijn via deze link terug te vinden: Raadsbrief uitkomsten evaluatie ambtelijke samenwerking Aalsmeer-Amstelveen amstelveen - iBabs Publieksportaal  IT-beveiliging en informatiebeveiliging Om vast te stellen of de geautomatiseerde omgeving zo veilig als mogelijk is, wordt gebruik gemaakt van de instrumenten audits en door ethische hackers uitgevoerde penetratietesten. Bij audits worden de procedures en beveiligingsmaatregelen getoetst zonder dat er toegang tot het systeem wordt verschaft. Bij penetratietesten wordt daadwerkelijk een poging gedaan om (met toestemming) in te breken in de gemeentelijke systemen. De rapportages geven slechts een weergave van de stand van zaken op dat moment. Het geeft geen garanties naar de toekomst toe.

3

a) Kwetsbaarheden-scan en penetratietest Jaarlijks wordt met behulp van externe expertise een onderzoek uitgevoerd naar mogelijke kwetsbaarheden in de IT-infrastructuur. Doel van een dergelijk onderzoek is inzicht verkrijgen in de technische beveiligingsrisico’s en, als gevolg daarvan, mogelijk misbruik door derden. Hoewel een dergelijk onderzoek dus waardevolle inzichten geeft in de IT-beveiliging is het echter ook ‘slechts’ een momentopname. In die zin geven de uitkomsten het geen blijvende garantie voor de veiligheid van de IT-omgeving en de data. Nieuwe aanvalstechnieken worden continu ontwikkeld. De bevindingen zijn gedeeld met het verantwoordelijk management en de CIO. Naar aanleiding van de bevindingen is een plan van aanpak opgesteld om waar nodig tekortkomingen op te lossen. Vanwege het openbare karakter van het controllerrapport wordt op deze plaats niet nader ingegaan op de specifieke bevindingen. b) ENSIA-audit Door middel van de resultaten van een zogeheten ENSIA-audit krijgen gemeenten eveneens inzicht in de informatiebeveiliging op een aantal specifieke terreinen1. ENSIA is gebaseerd op de normen die gelden voor de Nederlandse overheid, de Baseline Informatieveiligheid. In het ENSIA-traject voert de gemeente een zelfevaluatie uit, stelt een verantwoordingsrapportage op en laat deze controleren door een onafhankelijke gecertificeerde IT-auditor.

Uit de rapportage van de auditor zijn geen significante bevindingen naar voren gekomen. c) Wpg-audit De Wet Politiegegevens (Wpg) verplicht verwerkingsverantwoordelijken om jaarlijks een interne privacy audit uit te voeren en elke vier jaar een externe privacy audit Wpg. De audit is bedoeld om vast te stellen dat de gemeente als verwerkingsverantwoordelijke op de juiste wijze omgaat met de beschikbare politiegegevens. De gemeente wordt gezien als verwerkingsverantwoordelijke, doordat Buitengewone opsporingsambtenaren (boa’s) politiegegevens verwerken bij hun opsporingstaken. In 2025 is door een externe IT-auditor de vierjaarlijkse externe audit uitgevoerd. De auditor constateert dat bij 3 van de 31 onderwerpen deze niet (volledig) voldoen aan de gestelde eisen. Waaronder het niet goed kunnen vaststellen dat rechten juist en volledig zijn toegekend (inmiddels opgelost), logging gegevens niet altijd worden gecontroleerd (nog niet opgelost) en de interne audit in 2024 niet is uitgevoerd.

Basisregistratie Personen (BRP) en Reisdocumenten, Digitale persoonsidentificatie (DigiD), Basisregistratie Adressen en Gebouwen (BAG), Basisregistratie Grootschalige Topografie (BGT), Basisregistratie Ondergrond (BRO), Waardering Onroerende Zaken (WOZ) en de Structuur uitvoeringsorganisatie Werk en Inkomen (SUWI) 1