Controllerrapport 2022

Controllerrapport 2022

Maart 2023 Marco Slinger, Concerncontroller

pagina 2 Deze beknopte rapportage bevat de bevindingen van de concerncontroller over de rechtmatige en doelmatige/doeltreffende uitvoering van de begroting 2022. Rechtmatigheid gaat over het vaststellen dat financiële handelingen en vastleggingen in overeenstemming zijn met wet- en regelgeving. Doelmatigheid ziet toe op de relatie tussen inzet van middelen en de daarmee gerealiseerde prestaties. Tevens wordt kort stilgestaan bij Informatieveiligheid en datagestuurd werken. I. Rechtmatigheid De financiële verordening (art. 25) schrijft voor dat het college jaarlijks zorg draagt voor de toetsing op rechtmatig handelen. Die toetsing is onderdeel van een planmatige aanpak. De uit te voeren werkzaamheden worden vastgelegd in een controleplan dat is afgestemd met de accountant afgestemd en vastgesteld door de directie. Het accountantsoordeel heeft momenteel zowel betrekking op het aspect getrouwheid, als op het aspect rechtmatigheid. Door aanpassing van landelijke wetgeving gaat dat vanaf boekjaar 2023 veranderen. Het college verantwoordt zich vanaf dat moment rechtstreeks aan de gemeenteraad over de rechtmatige uitvoering. Het oordeel van de accountant ziet dan slechts toe op het onderdeel getrouwheid. Bij wijze van proef heeft het college zich in de programmarekening 2022 over de rechtmatigheid verantwoordt als ware de wetgeving nu al van kracht.

Kortheidshalve wordt naar die plek verwezen voor een uiteenzetting van de werkzaamheden en de bevindingen. Het bedrag aan onrechtmatigheid voor 2022 bedraagt 1,65 miljoen euro. Deze fouten hebben betrekking op inkoop en aanbesteding (1,4 miljoen euro, 16 leveranciers) en een overschrijding van 250.000 euro op het krediet voor de verbouwing van het raadhuis. II. Onderzoeken naar doelmatigheid en doeltreffendheid Het afgelopen jaar zijn de volgende onderzoeken uitgevoerd die een indicatie geven in welke mate de door het bestuur en organisatie gestelde doelstellingen behaald kunnen worden en welke middeleninzet daarvoor benodigd is. Jeugdhulp Afgelopen jaar is door KPMG onderzoek gedaan naar de uitvoering van de wettelijk jeugdhulptaken in de ambtelijke organisatie. Het doel van de opdracht was drieledig: inzicht verkrijgen in de huidige organisatie, de uitvoeringskosten voor jeugdhulp en het verbeterpotentieel weer te geven ten aanzien van de uitvoeringsorganisatie. De onderzoeksvragen op basis waarvan KPMG het onderzoek heeft uitgevoerd waren: 1. Is de AA-organisatie toegerust op haar taken t.a.v. de specialistische jeugdhulp en de jeugdbescherming? 2. Hoe verhouden de uitvoeringskosten voor jeugdhulp zich tot de opdracht en omvang van de taak? 3.

(Hoe) kan de organisatie de uitvoering qua effectiviteit en doelmatigheid verbeteren gelet op de wettelijke taken, de specifieke opdrachten en uitdagingen en wat zullen de financiële en kwalitatieve effecten van zulke verbeteringen zijn? KPMG concludeert: “Naar aanleiding van ons onderzoek kan worden gesteld dat de uitvoeringsorganisatie structureel niet voldoende is toegerust voor het uitvoeren van haar wettelijke taak en overige taken. De uitvoeringsorganisatie wordt gekenmerkt door een hoge werkdruk, achterstanden in het verwerken van aanvragen en is niet aantoonbaar in control op haar processen…. Uit het onderzoek naar de caseload is naar voren gekomen dat de uitvoeringsorganisatie structureel is onderbezet om haar taken uit te kunnen voeren…. In het onderzoek is naar voren gekomen dat sprake is van een hoge mate van betrokkenheid van de medewerkers en dat die medewerkers resultaat gericht zijn. Door de betrokkenheid en inzet van de medewerkers kan worden gesteld dat de uitvoeringsorganisatie haar structurele onderbezetting compenseert. Op termijn zijn waarschijnlijk de neveneffecten van de hoge werkdruk te groot (uitstroom, ziekteverzuim) om de tekortkomingen van de uitvoeringsorganisatie te compenseren.”

pagina 3 Het onderzoeksrapport en de reactie van het college zijn op 29 november 2022 aan de raad aangeboden. Een projectgroep is ingesteld om opvolging te geven aan de aanbevelingen van KPMG. Periodiek wordt hierover aan de directie gerapporteerd. Bij de begrotingsbehandeling 2023 is extra budget toegekend ten behoeve van de uitvoeringsorganisatie. IT-beveiliging en informatiebeveiliging • Phishing Om te beoordelen of medewerkers waardevolle inloggegevens voor het gemeentelijke netwerk zouden prijsgeven, is hen het afgelopen jaar als test op meerdere momenten een phishing-mail toegezonden. Dit als sluitstuk van de bewustwordingscampagnes die de afgelopen jaren hebben plaatsgevonden, zoals E-learnings, Webinars, cursussen, berichten op intranet etc. In 2022 is op drie verschillende momenten in het jaar een phishing mail verstuurd aan de gehele organisatie. De scores daalden van 32 procent (aantal ‘klikkers’) in mei naar 8 procent in december. Daarnaast blijken medewerkers eerder verdachte berichten te melden. Het instrument heeft de afgelopen jaren haar waarde bewezen om bewustwording te vergroten. Tegelijkertijd vindt ook altijd een evaluatie plaats de effectieve werking van diverse instrumenten. Met de directie is besloten om vanaf 2023 in te zetten op andere wijzen van bewustwording en te stoppen met de phishing acties.

Dit moet ook in samenhang worden bezien met de technische maatregelen die de afgelopen jaren zijn doorgevoerd om de gevolgen van een verkeerde ‘klik’ te verkleinen. • Kwetsbaarheden-scan Jaarlijks wordt met behulp van externe expertise een onderzoek uitgevoerd naar mogelijke kwetsbaarheden in de IT-infrastructuur. Doel van een dergelijk onderzoek is inzicht verkrijgen in de risico’s en, als gevolg daarvan, mogelijk misbruik door derden. Het afgelopen jaar heeft een dergelijk onderzoek niet plaatsgevonden. Prioriteit is gegeven aan het doorvoeren van de hierboven genoemde technische maatregelen en het uitrollen van een nieuw werkplekconcept (waarop in 2021 een kwetsbaarheden-scan is uitgevoerd). Een belangrijke technische maatregel betreft zogenoemde ‘netwerksegmentering’. Hierdoor is het netwerk opgeknipt in kleinere segmenten. Niet langer is er een huis met alleen een slot op de voordeur, maar zijn ook de kamers voorzien van een slot. Dit zorgt ervoor dat kwaadwillenden die toegang hebben weten te krijgen tot een bepaald segment niet direct ongehinderd toegang hebben tot andere netwerksegmenten. Daarnaast zijn voorbereidingen getroffen voor inrichting van een zogeheten ‘SIEM/SOC’. Dit is monitoring- en bewakingssysteem bedoeld tegen ongewenste toegang tot de IT-omgeving (bijvoorbeeld hackpogingen).

Door monitoring en opvolging is het mogelijk vroegtijdig verdachte patronen te ontdekken in de IT-systemen en tijdens het bestrijden van een aanval na te gaan welke verdachte stappen binnen het netwerk zijn gezet. Vanaf 2023 zullen de kwetsbaarheden-scans weer jaarlijks worden uitgevoerd. • ENSIA-audit Door middel van de resultaten van een zogeheten ENSIA-audit krijgen gemeenten eveneens inzicht in de informatiebeveiliging op een aantal specifieke terreinen1. ENSIA is gebaseerd op de normen die gelden voor de Nederlandse overheid, de Baseline Informatieveiligheid. In het ENSIA-traject voert de gemeente een zelfevaluatie uit, stelt een verantwoordingsrapportage op en laat deze controleren door een onafhankelijke gecertificeerde IT-auditor. Uit de rapportage van de auditor zijn geen bevindingen naar voren gekomen.

Basisregistratie Personen (BRP) en Reisdocumenten, Digitale persoonsidentificatie (DigiD), Basisregistratie Adressen en Gebouwen (BAG), Basisregistratie Grootschalige Topografie (BGT), Basisregistratie Ondergrond (BRO), Waardering Onroerende Zaken (WOZ) en de Structuur uitvoeringsorganisatie Werk en Inkomen (SUWI) 1

pagina 4 III. Dashboards en datagedreven werken Mede door de IT-investeringen van de afgelopen jaren is sturen op data meer en meer gemeengoed geworden in de organisatie. Prestatiemaatstaven, die aangeven hoe goed de organisatie scoort op een bepaalde activiteit, zijn gekozen. Tevens zijn dashboards gemaakt die onderliggende data van een proces visueel weergeven. Dit zijn goede ontwikkelingen die het mogelijk maken te sturen (richting geven aan beleidsdoelstellingen) en bij te sturen. Vanaf deze plek wordt geadviseerd een volgende stap te zetten voor wat betreft de relevantie van de prestatiemaatstaven. Van belang is dat de gekozen/te kiezen prestatiemaatstaven goed inzicht geven in de doelstellingen die men wil bereiken. De relatie tussen prestatiemaatstaven en (strategische) doelstellingen is nu niet altijd duidelijk. In een aantal andere gevallen wordt er essentiële/bedrijfskritische informatie opgeleverd, maar die informatie zegt niet direct iets over de te bereiken doelstellingen. Vergelijk het met een topvoetballer: lichaamstemperatuur, hartslag, bloeddruk en dergelijke zeggen iets over de algehele lichamelijke gezondheid van een speler (essentiële informatie), maar om iets te zeggen over de kwaliteit van zijn spel moet men gegevens hebben over sprintsnelheid, tweebenigheid, gewonnen duels, schotkracht, doelpunten etc. (de doelstellingen).

Betrek bij het kiezen van maatstaven niet alleen de (eenvoudige) beschikbaarheid van data, maar kijk ook goed naar die gegevens die iets kunnen zeggen over de nagestreefde doelen. Maak daarbij duidelijk wat er wordt gemeten en waarvoor. Naar de resultaten van een goede prestatiemaatstaf kijkt de ontvanger uit, bestudeert en bespreekt deze met anderen (waar nodig). Gerelateerd aan vorengenoemd onderwerp is het vraagstuk over het organiseren van alles rondom data. Dat vindt momenteel nog gefragmenteerd plaats en daar is meer samenhang in aan te brengen. Veel nadruk ligt momenteel op Informatieveiligheid en privacy. Daarnaast wordt zo nu en dan het aspect ethiek als aandachtspunt benoemd, is er soms frustratie over de datakwaliteit en wordt dit jaar een visie op datagovernance opgesteld. Geadviseerd wordt om alles rondom data de komende periode gestructureerd en in samenhang op te pakken. Hierbij kan bijvoorbeeld gebruik worden gemaakt van bestaande raamwerken op het gebied van datamanagement (bijv. DAMADMBOK) om: • het volwassenheidsniveau te beoordelen; • als checklist te gebruiken voor wat er is ingericht en waar nog aandacht naar uit dient te gaan; • prioritering aan te brengen welke onderwerpen in welke volgorde moeten worden opgepakt.