Document · PDF

A - 05 Financiën (36) Accountantsverslag 2022 Gemeente Amsterdam

RAAD 29 juni 2023, gemeente AmsterdamBij agendapunt: Kennisnemen van de bestuurlijke reactie op het Accountantsverslag 2022 van de gemeente Amsterdam VN2023-01380711.290 woorden

Open het PDF bij de gemeente ↗Naar de vergadering →

Tekst van het document

Uit het bestand gehaald, zonder opmaak, tabellen en afbeeldingen · deel 2 van 2

Een belangrijk deel van deze informatie wordt verwacht vanuit de in 2022 geïmplementeerde compliance-module die onderdeel is van het nieuwe stedelijke risicomanagement systeem.

Voortgang archiefwet en Wet open overheid (WOO)

onderzocht welke mogelijkheden er zijn voor de implementatie van de WOO. Hierover is in maart 2023 door het college het besluit genomen dat eind 2023 80 procent van de WOO verzoeken binnen de wettelijke termijn afgehandeld moeten worden en alle wettelijke verplichte informatie-categorieën actief openbaar worden gemaakt. Tevens is besloten dat in 2026 de informatiehuishouding op orde moet zijn en dat de informatiehuishouding het oordeel adequaat van de interbestuurlijk toezichthouder krijgt. In 2023 is het programma Aanpak openbaarheid en informatiehuishouding gestart. Voortgang Wet politiegegevens (Wpg) Begin 2022 hebben wij de externe audit naar de naleving van de Wet politiegegevens (Wpg) afgerond. Er is toen op een flink aantal onderdelen geconcludeerd dat niet voldaan wordt aan de Wpg. Eind 2022 zijn weliswaar verbeterplannen opgesteld, maar is door ons nog weinig zichtbare verbetering waargenomen. Dit wordt bevestigd door het feit dat de (wettelijk jaarlijks verplichte) interne audit over 2022 om die reden ook niet heeft kunnen plaatsvinden. Voor 2023 staan wel interne audits op de Wpg gepland.

Voortgang monitoring I-risico’s Bij ons onderzoek over voorgaand jaar, was aangegeven dat in 2022 de standaardrisico’s en maatregelen in het centrale risicomanagementsysteem zouden worden opgenomen en dat voor informatiebeheer, informatiebeveiliging en gegevensbescherming via één centrale uitvraag bij de directies om een update van de risico’s zal worden gevraagd. Deze centrale uitvraag heeft in 2022 nog niet plaatsgevonden. Wel is in 2022 gewerkt aan de implementatie van een nieuwe compliance-module binnen het risicomanagementsysteem. In 2023 zou het hiermee wel mogelijk moeten worden een gemeentebreed beeld te verkrijgen voor informatiebeheer, informatiebeveiliging en gegevensbescherming.

De WOO is in werking getreden per mei 2022. In 2022 is Auditdienst ACAM – Oudezijds Voorburgwal 300, 1012 GL Amsterdam – Postbus 1078, 1000 BB Amsterdam – Telefoon (020) 2549000 – Email info@acam.amsterdam.nl

| 27

4. Beheersing van IT-processen

ENSIA

Inhoudsopgave Aanbieding Uitkomsten jaarrekeningcontrole Uitkomsten jaarrekeningcontrole 2022 Financieel stelsel en interne beheersing Beheersing van IT-processen Verslaggeving en financieel Bijlagen beheer

ENSIA staat voor Eenduidige Normatiek Single Information Audit. Onderdeel hiervan is dat jaarlijks een collegeverklaring wordt afgelegd inzake informatiebeveiliging. Een bevoegde IT auditor controleert de collegeverklaring en geeft daarbij een assurance-verklaring af. De scope van de collegeverklaring en de IT-audit betreft normaliter zowel Suwinet als DigiD. De ENSIA-rapportages van de gemeenten en de bijbehorende assurance-rapporten worden vervolgens ter beschikking gesteld aan de betreffende toezichthouders (DigiD – Ministerie van Binnenlandse Zaken en Koninkrijksrelaties (Logius)/ Suwinet – Ministerie van Sociale Zaken en Werkgelegenheid (BKWI)). De gemeente Amsterdam heeft, in afstemming met de betreffende toezichthouder, gekozen om de DigiD aansluitingen niet op te nemen als onderdeel van de ENSIAcollegeverklaring. Wij hebben vernomen dat de belangrijkste reden hiervoor is het niet tijdig beschikbaar krijgen van alle DigiD-auditrapportages. De rapportage over de uitkomsten van de DigiD aansluitingen vindt plaats in de jaarlijkse rapportage informatiebeveiliging van de CISO welke ook met de gemeenteraad wordt gedeeld.

Inzicht in de staat van de informatiebeveiliging in het jaarverslag In de raadsvergadering van 22 juni 2022 is een motie van de leden Boomsma en Garmy ingediend (256.22) waarin verzocht is voortaan een passage in het jaarverslag op te nemen waarin in hoofdlijnen wordt ingegaan op de actuele staat van de informatiebeveiliging, alsmede een tijdslijn en planning die aangeeft wanneer welke stappen worden gezet om de informatiebeveiliging op het juiste niveau te krijgen. Dit is als reactie op ons accountantsverslag 2021 waarin wij hebben aanbevolen om in de bedrijfsvoeringsparagraaf van het jaarverslag expliciet aandacht te geven aan de risico’s die de gemeente loopt voortkomend uit het niet voldoen aan deze wet en regelgeving. De wethouder heeft in de behandeling aangegeven hier op hoofdlijnen in mee te gaan. Wij constateren dat in de bedrijfsvoeringsparagraaf een kopje “Privacy en informatiebeveiliging” is opgenomen, maar dat hiermee in onze ogen nog beperkt invulling wordt gegeven aan hetgeen waar in de motie op gedoeld werd. Aanbeveling is om vanaf het jaarverslag over 2023 alsnog aan de wens vanuit de raad te voldoen.

In deze vorm vindt er, in afwijking van de ENSIA-systematiek, over DigiD dus geen verantwoording plaats door het college in de vorm van de ENSIA-collegeverklaring en ontbreekt dit in de scope van de assurance-verklaring van de IT-auditor hierbij. Onze aanbeveling is de mogelijkheden te onderzoeken of het voor de toekomst (alsnog) mogelijk is de verantwoording over DigiD in de ENSIA-collegeverklaring op te nemen en daarmee in lijn te brengen met de gebruikelijke ENSIA-systematiek.

> | 28

Auditdienst ACAM – Oudezijds Voorburgwal 300, 1012 GL Amsterdam – Postbus 1078, 1000 BB Amsterdam – Telefoon (020) 2549000 – Email info@acam.amsterdam.nl

4. Beheersing van IT-processen 4.3 Voortgang op Business continuity management (BCM) blijft zorgelijk Inhoudsopgave Aanbieding Uitkomsten jaarrekeningcontrole Uitkomsten jaarrekeningcontrole 2022 Financieel stelsel en interne beheersing Beheersing van IT-processen Verslaggeving en financieel Bijlagen beheer

In ons accountantsverslag over 2021 en onze managementletter 2022 hebben wij stilgestaan bij het belang van BCM en aangegeven dat dit onderwerp nog onvoldoende structureel geborgd is. BCM is breder dan alleen de ITsystemen en is daarom niet alleen binnen het I-domein relevant. Het omvat ook aandacht voor processen, mensen en middelen. Wel is het zo dat in de huidige tijd de (afhankelijkheid van de) IT-systemen een belangrijk aspect is bij het waarborgen van de continuïteit. Wij constateren dat dit nog steeds actueel is en dat de beoogde voortgang op dit onderwerp achterblijft. Het belang van BCM en de behoefte aan een centrale coördinatie en aansturing van alle BCM-activiteiten om effectieve en efficiënte BCM-processen te waarborgen wordt door de gemeente onderkend. Momenteel ontbreekt echter regie, beleid en aansturing. Ook is het nog niet gelukt de functie van een business continuity manager middels een werving in te vullen. De aanbevelingen om beleid te formuleren ten aanzien van BCM, dit beleid periodiek te evalueren, de werking van BCM te testen (oefeningen) en daarin verbetering door te voeren blijven staan.

De tegenvallende voortgang op dit onderwerp is in onze ogen zorgelijk in een tijd waarin cyberaanvallen en hacks steeds vaker voorkomen en het van cruciaal belang is om de continuïteit van de bedrijfsvoering en de dienstverlening aan de burger te waarborgen en risico's te beperken. Begin 2023 is de opdracht gegeven aan een externe partij om een startnotitie op te stellen. Deze startnotitie moet de gemeente in staat stellen met voldoende draagvlak bij alle relevante stakeholders tot een gestructureerde aanpak voor een BCM-project te komen. In opdracht van de gemeente wordt de aanpak van BCM gedefinieerd. Blijkens de opdracht zal de startnotitie onder andere ingaan op beleid en

organisatie, de verantwoordelijkheidsverdeling, de rol en positie van de coördinerende BCM-functie en een projectaanpak voor de invoering en inbedding van BCM binnen de gemeente. Verder is in 2022 in het kader van portfolio management vooruitgang geboekt met betrekking tot een inventarisatie van de gemeentelijke systemen en hun afhankelijkheden en onderlinge koppelingen. Dit is een positieve ontwikkeling die ook gaat helpen bij het implementeren van BCM. Dit geldt met name voor de applicaties die binnen het I-domein in beheer zijn. Voor applicaties waarvan het beheer binnen de directies is belegd, moet dit beeld nog verder worden opgebouwd. Dat geldt ook voor het inzicht in (welke afspraken er gemaakt zijn met) de leveranciers van SaaS-diensten. Eind 2021 en begin 2022 heeft het log4j-incident wereldwijd gezorgd voor bedreiging van de veiligheid en continuïteit bij organisaties. Ook voor de gemeente was het nodig hierop te acteren. In januari 2023 is het evaluatieverslag van dit incident uitgebracht. Deze evaluatie beschrijft dat met succes op het incident is geacteerd, maar signaleert ook nog leerpunten. Het belang van BCM wordt hierdoor bevestigd. Hoewel een daadwerkelijk incident kan worden beschouwd als een real life oefening, blijft het eerdere aandachtspunt om oefeningen periodiek te houden en hier uit te leren.

Oefeningen in het kader van business continuity management hebben in 2022 nog niet plaatsgevonden. Wel is aangegeven dat in 2023 een aantal crisisoefeningen staan gepland, specifiek gericht op cyberaanvallen en hacks.

> | 29

Auditdienst ACAM – Oudezijds Voorburgwal 300, 1012 GL Amsterdam – Postbus 1078, 1000 BB Amsterdam – Telefoon (020) 2549000 – Email info@acam.amsterdam.nl

4. Beheersing van IT-processen 4.4 Beheersing DC1, uitbestede diensten en autorisatiebeheer Beheersing DC1 – aandacht voor inzichtelijk maken van risico’s en beheersingsmaatregelen

Zoals in onze Boardletter 2022 aangegeven, is afgelopen jaar vooruitgang geboekt in het leeghalen van datacenter 1 (DC1). Het programma heeft betrekking op het migreren en/of uitzetten van bedrijfsapplicaties uit DC1. Daarmee is het in 2 jaar gelukt om circa 300 bedrijfsapplicaties uit te zetten of te migreren. Per eind 2022 draaien er (naast de laatste kleinere applicaties) nog de erfpachtsuite en de huidige werkplekomgeving ADW. Voor zowel de erfpachtsuite als de huidige werkplekomgeving ADW lopen er momenteel (migratie)trajecten die de reden zijn waarom DC1 nog niet daadwerkelijk leeg is. Het afgeronde programma DC1 leeg is inmiddels opgevolgd door DC1 Licht uit. Voor erfpacht en ADW zijn er twee programma’s die ervoor zorgen dat de huidige erfpachtketenapplicaties en de huidige werkplekken worden vervangen. Na afronding hiervan kan DC1 volledig worden ontmanteld. Het programma DC1 Licht uit bewaakt dat de programma’s met betrekking tot erfpacht en ADW niet alleen hun aandacht richten op het nieuwe, maar ook gefocust zijn op dat het oude weg moet uit DC1. In de Boardletter 2022 hebben wij aangegeven dat eerdere risico’s op het gebied van beveiliging en continuïteit blijven bestaan zolang het datacenter nog niet volledig ontmanteld is.

Wij hebben tevens aanbevolen om inzichtelijk te maken hoe met de bestaande risico’s wordt omgegaan welke bij ongewijzigd gebruik van DC1 blijven bestaan. Deze aanbeveling blijft van kracht, zeker omdat inmiddels voorzien wordt dat de vernieuwing van de huidige erfpachtketenapplicaties nog tot in 2025 zal doorlopen. Dit is langer dan oorspronkelijk was voorzien. In dit kader hebben wij geen onderbouwing mogen ontvangen die inzicht biedt in de risico’s op het gebied van beveiliging en continuïteit

(bijvoorbeeld uitgevoerde pen- en hacktesten en uitwijktesten). In lijn met wat wij eerder schreven, is onze aanbeveling dus om de bestaande risico’s van DC1 inzichtelijk te maken en daar beheersingsmaatregelen voor te treffen. Uitbesteding IT diensten blijft aandacht vragen – inzicht en sturing gevraagd Zoals ook in onze eerdere verslagen aangegeven, heeft de gemeente IT beheerprocessen uitbesteed aan externe dienstverleners. Wij hebben meerdere malen aandacht gevraagd voor risico’s die samenhangen met uitbesteding van IT diensten. In reactie op ons accountantsverslag over 2021 is dit onderkend en is aangegeven dat de beschikbaarheid van assurance-rapportages bij belangrijke uitbestede IT-systemen (waaronder SaaS-toepassingen) absoluut noodzakelijk is om als gemeente te kunnen sturen op risico’s. Van de applicaties in scope van de jaarrekeningcontrole hebben wij in ons accountantsverslag over 2021 concreet vier relevante SaaSapplicaties benoemd waarop assurance-rapportages ontbraken: subsidiesysteem, systeem voor verhuur sportaccommodaties, vergunningsysteem VTH en beleensysteem bij Stadsbank van Lening. Wij constateren dat ook over 2022 van deze systemen geen (of geen afdoende) assurancerapportages beschikbaar zijn. Wij zien dat in 2022 meerdere nieuwe SaaS oplossingen worden afgenomen waarbij over 2022 geen (afdoende) assurance-rapportage beschikbaar is.

Zo is er voor het systeem relevant voor grondexploitaties en een systeem voor toekenning van individuele zorg (WMO en Jeugdwet) in 2022 de overstap gemaakt naar een SaaS oplossing. In beide gevallen blijken voor deze nieuwe applicaties geen (afdoende) assurance-rapportages beschikbaar te zijn.

| 30

Auditdienst ACAM – Oudezijds Voorburgwal 300, 1012 GL Amsterdam – Postbus 1078, 1000 BB Amsterdam – Telefoon (020) 2549000 – Email info@acam.amsterdam.nl

4. Beheersing van IT-processen

Risico van het niet verkrijgen van (afdoende) assurancerapportages is dat de gemeente voor de uitbestede processen en gegevens in deze processen risico’s loopt op het gebied van de beschikbaarheid, integriteit en vertrouwelijkheid. De gemeente Amsterdam blijft immers zelf verantwoordelijk voor deze uitbestede IT diensten. Gezien het (toenemend) gebruik van SaaS-oplossingen door de gemeente, is onze aanbeveling om de (on)beschikbaarheid van (afdoende) assurance-rapportages centraal inzichtelijk te krijgen. Tevens herhalen wij onze eerdere aanbeveling om hier in het kader van leveranciersmanagement meer op te sturen richting de leveranciers.

leiden. Vervolgens is het van belang hier actief op te monitoren en actie op te ondernemen indien dergelijke conflicten spelen. Wij constateren dat hier niet bij alle applicaties voldoende aandacht voor is. Wij bevelen aan om, in lijn met het programma IAM Next 2020-2024, te blijven inzetten op het inregelen van role based access control en actiever te gaan monitoren op ongewenste functievermenging.

Aanbevelingen autorisatiebeheer blijven actueel, onvoldoende aandacht voor conflicten in functiescheiding In voorgaande jaren hebben wij diverse keren aanbevelingen gedaan om het proces van autorisatiebeheer te verbeteren. In reactie op onze eerdere aanbevelingen is bij ons accountantsverslag 2021 de toezegging gedaan dat vanaf 2022 de autorisaties van de informatiesystemen voortaan jaarlijks worden getoetst. Ondanks extra aandacht die hier vanuit de organisatie aan gegeven is, hebben wij bij onze controle over 2022 wederom vastgesteld dat de periodieke review van autorisaties niet bij alle voor de jaarrekening relevante applicaties (tenminste) jaarlijks wordt uitgevoerd. Wij herhalen daarom de aanbeveling om de periodiek toetsing op toegekende autorisaties uit te voeren. In het kader van autorisatiebeheer hebben wij bij de applicaties in scope van onze jaarrekeningcontrole over 2022 getoetst in hoeverre voor deze applicaties voldoende aandacht is voor ongewenste functievermenging in de applicaties. Dit begint met het inzichtelijk hebben welke combinatie van rollen en rechten tot mogelijk ongewenste functievermenging kan

> | 31

Auditdienst ACAM – Oudezijds Voorburgwal 300, 1012 GL Amsterdam – Postbus 1078, 1000 BB Amsterdam – Telefoon (020) 2549000 – Email info@acam.amsterdam.nl

Bijlagen

> | 32

Auditdienst ACAM – Oudezijds Voorburgwal 300, 1012 GL Amsterdam – Postbus 1078, 1000 BB Amsterdam – Telefoon (020) 2549000 – Email info@acam.amsterdam.nl

Bijlage 1: Tabel fouten en onzekerheden Single information Single audit Amsterdam

| 33

Bijlage 1: Tabel fouten en onzekerheden SiSa Amsterdam

> | 34

Auditdienst ACAM – Oudezijds Voorburgwal 300, 1012 GL Amsterdam – Postbus 1078, 1000 BB Amsterdam – Telefoon (020) 2549000 – Email info@acam.amsterdam.nl

Bijlage 1: Tabel fouten en onzekerheden SiSa Amsterdam

> | 35

Auditdienst ACAM – Oudezijds Voorburgwal 300, 1012 GL Amsterdam – Postbus 1078, 1000 BB Amsterdam – Telefoon (020) 2549000 – Email info@acam.amsterdam.nl

Bijlage 1: Tabel fouten en onzekerheden SiSa Amsterdam

> | 36

Auditdienst ACAM – Oudezijds Voorburgwal 300, 1012 GL Amsterdam – Postbus 1078, 1000 BB Amsterdam – Telefoon (020) 2549000 – Email info@acam.amsterdam.nl

Bijlage 1: Tabel fouten en onzekerheden SiSa Amsterdam

> | 37

Auditdienst ACAM – Oudezijds Voorburgwal 300, 1012 GL Amsterdam – Postbus 1078, 1000 BB Amsterdam – Telefoon (020) 2549000 – Email info@acam.amsterdam.nl

Bijlage 1: Tabel fouten en onzekerheden SiSa Amsterdam

> | 38

Auditdienst ACAM – Oudezijds Voorburgwal 300, 1012 GL Amsterdam – Postbus 1078, 1000 BB Amsterdam – Telefoon (020) 2549000 – Email info@acam.amsterdam.nl

Bijlage 1: Tabel fouten en onzekerheden SiSa Amsterdam

> | 39

Auditdienst ACAM – Oudezijds Voorburgwal 300, 1012 GL Amsterdam – Postbus 1078, 1000 BB Amsterdam – Telefoon (020) 2549000 – Email info@acam.amsterdam.nl

Bijlage 1: Tabel fouten en onzekerheden SiSa Amsterdam

> | 40

Auditdienst ACAM – Oudezijds Voorburgwal 300, 1012 GL Amsterdam – Postbus 1078, 1000 BB Amsterdam – Telefoon (020) 2549000 – Email info@acam.amsterdam.nl

Bijlage 2: Tabel fouten en onzekerheden Single information Single audit Weesp

| 41

Bijlage 2: Tabel fouten en onzekerheden SiSa Weesp

> | 42

Auditdienst ACAM – Oudezijds Voorburgwal 300, 1012 GL Amsterdam – Postbus 1078, 1000 BB Amsterdam – Telefoon (020) 2549000 – Email info@acam.amsterdam.nl

← Vorig deel

De tekst is automatisch uit het bestand gehaald en kan afwijken van het origineel (kolommen, tabellen en koppen lopen door elkaar). Het officiële stuk bij de gemeente is leidend. Bron: https://api.notubiz.nl/document/12938481/1