A - 06 Financiën (15) Bijlage 1 Accountantsverslag 2021 Gemeente Amsterdam

> | 26

Auditdienst ACAM – Oudezijds Voorburgwal 300, 1012 GL Amsterdam – Postbus 1078, 1000 BB Amsterdam – Telefoon (020) 2549000 – Email info@acam.amsterdam.nl

4. Beheersing van IT-processen

Autorisatiebeheer blijft kwetsbaar proces, IAM programma loopt nog

Inhoudsopgave Aanbieding Uitkomsten jaarrekeningcontrole 2021 Financieel stelsel en interne beheersing Beheersing van IT-processen Verslaggeving en financieel beheer Bijlagen

<

>

In voorgaande jaren hebben wij aanbevelingen gedaan om het proces van autorisatiebeheer te verbeteren. Wij hebben eerder aangegeven dat over 2021 uit onze controles blijkt dat niet altijd sprake is van een periodieke review van autorisaties, de rechten van functioneel beheerders ruim zijn ingeregeld en acties van beheerders niet altijd worden gelogd. Dit verhoogt het risico dat informatie wordt ingezien dan wel gemuteerd door onbevoegde personen. Ook is dit niet in overeenstemming met de bepalingen uit de BIO. In 2021 zijn de stedelijke autorisatiebeheerprocessen herzien en opnieuw vastgesteld. Daarbij is ook afgesproken om de periodieke review van gebruikersrechten uit te voeren. Wij constateren echter dat onze eerdere bevindingen nog steeds actueel zijn. Eerder hebben wij ook aangegeven dat in 2020 een start is gemaakt met het programma IAM Next 2020-2024. Wij hebben kennis genomen van de voortgang van dit programma. In 2021 zijn stappen gezet, maar ook in 2022 zullen nog belangrijke stappen moeten volgen in de ontwikkeling van het nieuwe IAM platform. Deze ontwikkeling vindt plaats in samenhang met de nieuwe digitale werkplek (ADW). Wij zien de ontwikkeling van dit IAM platform als een kans om het autorisatiebeheer te versterken. Een belangrijk onderdeel daarbij is het inregelen van role based access control.

Nu dit IAM Next programma nog lopende is, blijft onze eerdere aanbeveling om het autorisatiebeheer te verbeteren actueel. Wij onderschrijven daarin de gemaakte keuze

voor role based access control. In de huidige situatie is het programma vooral gericht op de overgang van de oude naar de nieuwe IAM voorziening. Vanuit de stuurgroep IAM Next is bevestigd dat het de bedoeling is om alle informatiesystemen achter de nieuwe generieke IAM voorziening te plaatsen. Dit is van belang aangezien de IAM voorziening gekoppeld is met het personeelssysteem. Hierdoor vindt identificatie en authenticatie van medewerkers plaats vanuit één primaire informatiebron. Ook is het de bedoeling om andere (binnen directies) in gebruik zijnde IAM voorzieningen uit te faseren. Wij onderschrijven de keuze om alle informatiesystemen achter de nieuwe generieke IAM voorziening te plaatsen en andere (binnen directies) in gebruik zijnde IAM voorzieningen uit te faseren. Business Continuity Management (BCM) is nog niet structureel geborgd Eerder hebben wij aandacht gevraagd voor het borgen van het onderwerp Business Continuity Management. Ook in het jaar 2021 zijn weer diverse landelijke en wereldwijde incidenten in de media geweest die het belang van continuïteit voor organisaties onderstrepen. Zo speelde er de aandacht rondom een ernstige kwetsbaarheid in Log4j. Dit is software dat veel gebruikt wordt in webapplicaties en andere systemen. Deze dreiging vroeg ook van gemeente Amsterdam hierop te acteren.

| 27

Auditdienst ACAM – Oudezijds Voorburgwal 300, 1012 GL Amsterdam – Postbus 1078, 1000 BB Amsterdam – Telefoon (020) 2549000 – Email info@acam.amsterdam.nl

4. Beheersing van IT-processen

Toen wij voorgaand jaar aandacht vroegen voor dit onderwerp was aangegeven dat nadere invulling zou worden gegeven aan dit onderwerp door het aannemen van een business continuity manager per 1 maart 2021.

Inhoudsopgave Aanbieding Uitkomsten jaarrekeningcontrole 2021 Financieel stelsel en interne beheersing Beheersing van IT-processen Verslaggeving en financieel beheer Bijlagen

Hoewel er in 2021 voorbereidingen zijn getroffen om, conform de geldende ISO richtlijn voor BCM, beleid te formuleren op het gebied van BCM, is het nog niet gelukt om dit onderwerp structureel te borgen in de organisatie. Inmiddels is ook afscheid genomen van de eerder aangetrokken business continuity manager. Wel wordt het onderwerp continuïteit meegenomen in de vakgroep informatiebeveiliging binnen het I-domein. Ook onderkent de organisatie het belang hiervan. Daarin is zichtbaar dat als er zich een dreiging of incident op het gebied van business continuïteit voordoet (zoals bij Log4j), dat hier wel snel (meer ad hoc) actie op wordt getroffen. Ook zien wij dat aandacht voor continuïteit aandacht heeft gekregen bij de voorbereiding van het inregelen van een uitwijkvoorziening voor de resterende bedrijfsapplicaties in DC1. Gezien het belang van dit onderwerp herhalen wij echter onze eerdere aanbeveling meer aandacht te geven aan het onderwerp business continuïty management en dit structureel in de organisatie te borgen.

ENSIA

<

>

ENSIA staat voor Eenduidige Normatiek Single Information Audit. Onderdeel hiervan is dat jaarlijks een collegeverklaring wordt afgelegd inzake informatiebeveiliging. De collegeverklaring is opgesteld aan de hand van de uitkomsten van de zelfevaluaties die

door de lijnverantwoordelijken zijn uitgevoerd. Een bevoegde IT-auditor controleert de collegeverklaring. Na vaststelling van de collegeverklaring zal de auditor zijn Assurance verklaring afgeven. De IT-auditor verklaart hierin dat de collegeverklaring een getrouw beeld geeft. De collegeverklaring wordt gezamenlijk met de Assurance verklaring aangeboden aan de landelijke toezichthouder. De ondertekende collegeverklaring moet uiterlijk 1 mei 2022 zijn aangeboden aan de landelijke toezichthouder (het ministerie van Sociale Zaken en Werkgelegenheid). Volgens de ENSIA systematiek dient er een aparte paragraaf verantwoording informatiebeveiliging in het jaarverslag te worden opgenomen. In het jaarverslag is deze paragraaf niet als zodanig opgenomen. Wel wordt in de paragraaf bedrijfsvoering ingegaan op ICT en informatievoorziening. De tekst beschrijft in algemene termen weliswaar enkele in 2021 uitgevoerde acties maar gaat feitelijk niet in op de staat van informatiebeveiliging van de gemeente. Het college stelt wel jaarlijks een bestuurlijke rapportage informatiebeveiliging op die wordt gedeeld met de gemeenteraad. Wij adviseren in het jaarverslag, conform de vereisten van ENSIA, meer inzicht te geven in de staat van de informatiebeveiliging, mede op basis van de relevante bevindingen vanuit ENSIA.

| 28

Auditdienst ACAM – Oudezijds Voorburgwal 300, 1012 GL Amsterdam – Postbus 1078, 1000 BB Amsterdam – Telefoon (020) 2549000 – Email info@acam.amsterdam.nl

5. Verslaggeving en financieel beheer

Inhoudsopgave Aanbieding Uitkomsten jaarrekeningcontrole 2021 Financieel stelsel en interne beheersing Beheersing van IT-processen Verslaggeving en financieel beheer Bijlagen

<

> | 29

Auditdienst ACAM – Oudezijds Voorburgwal 300, 1012 GL Amsterdam – Postbus 1078, 1000 BB Amsterdam – Telefoon (020) 2549000 – Email info@acam.amsterdam.nl

5. Verslaggeving en financieel beheer

Belangrijke wijzigingen in afschrijvingstermijnen vastgoed

Inhoudsopgave Aanbieding Uitkomsten jaarrekeningcontrole 2021 Financieel stelsel en interne beheersing Beheersing van IT-processen Verslaggeving en financieel beheer Bijlagen

<

>

De jaarstukken dienen een zo goed mogelijk inzicht te bieden in de financiële positie van de gemeente en de ontwikkelingen daarin over de jaren heen. De grondslagen dienen daarom consistent te worden toegepast. Hiertoe is in het BBV opgenomen dat een afschrijving slechts om gegronde reden af mag wijken van de grondslagen die in het voorgaande begrotingsjaar zijn toegepast. Op grond van artikel 64, lid 3 BBV dient op vaste activa met een beperkte gebruiksduur jaarlijks afgeschreven te worden volgens een stelsel dat is afgestemd op de verwachte toekomstige gebruiksduur. De gebruiksduur is gelijk aan de verwachte economische levensduur. Wanneer een actief geen boekwaarde meer heeft maar nog wel wordt gebruikt, is dit een indicatie dat de inschatting van de gebruiksduur niet juist (te kort) is geweest. Een aanpassing van de gebruiksduur betreft een schattingswijziging. Bij de behandeling van de Najaarsnota 2021 heeft de gemeenteraad ingestemd met de verlenging van de afschrijvingstermijn voor gebouwen van 40 naar 80 jaar, met uitzondering van onderwijsgebouwen, sportaccommodaties en werven.

De restwaarde is de schatting, tegen het prijspeil van het moment van ingebruikname, van de opbrengst die na de gebruiksduur nog gerealiseerd kan worden, verminderd met de te maken kosten voor verwijdering of vernietiging van (delen van) het actief. Het kan zijn dat de gebruiksduur daadwerkelijk korter is dan de economische levensduur, bijvoorbeeld omdat de gemeente er voor kiest vastgoed tijdelijk te gebruiken. Er kan dan rekening

worden gehouden met een restwaarde. Deze restwaarde dient reëel en per actief te worden geschat. Dit moet dan wel duidelijk blijken uit de investeringsbeslissing van de gemeenteraad en/of een ander raadsbesluit waaruit de gebruiksduur van dat specifieke object blijkt, alsmede de intentie tot bijvoorbeeld verkoop na de gebruiksduur. De gemeente heeft als beleid dat zij haar vastgoed afschrijft naar nul en geen restwaarden hanteert. Dit betekent dat de gebruiksduur in principe gelijk is aan de economische levensduur. De in de praktijk hanteerde methodiek sluit in 2021 nog niet geheel aan op de nieuwe uitgangspunten. Het financiële effect voor 2021 is relatief beperkt De schattingswijziging zorgt in 2021 voor circa € 10,5 miljoen aan minder lasten. Dit relatief beperkte effect komt doordat een flink deel van het vastgoed al lang in bezit is en er daardoor al veel op is afgeschreven. Omdat de gemeente vanaf 2021 de afschrijvingstermijnen verlengt blijven de investeringen wel langer op de balans staan, waardoor de uitgaven aan rente zullen stijgen. De gemeente leent immers het geld om deze investeringen te doen. Met een lage rente is dit effect voor 2021 marginaal. De lagere afschrijvingslasten wegen dan op tegen de extra rentelasten. Dit effect is echter wel een gevolg van de huidige vastgoedportefeuille in combinatie met een lage rentestand.

Dit effect is naar verwachting niet blijvend.

Auditdienst ACAM – Oudezijds Voorburgwal 300, 1012 GL Amsterdam – Postbus 1078, 1000 BB Amsterdam – Telefoon (020) 2549000 – Email info@acam.amsterdam.nl

| 30

5. Verslaggeving en financieel beheer

Onderbouwing afschrijvingstermijn periodiek herijken en monitoren op duurzame waardevermindering

Inhoudsopgave Aanbieding Uitkomsten jaarrekeningcontrole 2021 Financieel stelsel en interne beheersing Beheersing van IT-processen Verslaggeving en financieel beheer Bijlagen

Een afschrijvingstermijn van 80 jaar voor gemeentelijk vastgoed is ongebruikelijk. Op basis van de ontvangen documentatie zien wij wel argumenten om de afschrijvingstermijn te verlengen. Er is bijvoorbeeld teruggekeken naar de ontstaansgeschiedenis en ouderdom van de huidige portefeuille. Gezien de langere horizon vinden wij het echter belangrijk(er) om vooruit te kijken. Het gaat er immers om dat duidelijk wordt hoe lang het vastgoed nog meegaat, mede in relatie tot welke investeringen en (onderhoud)uitgaven er nog aankomen. De wijziging van de gebruiksduur en daarmee de afschrijvingstermijn is zoals gezegd een schatting. Een schatting bevat subjectieve elementen en zal in de loop van de tijd kunnen wijzigingen. Om de huidige schatting "uit te harden” vinden wij het noodzakelijk dat periodiek wordt bezien in hoeverre de gehanteerde uitgangspunten valide zijn. Wij denken hierbij aan een periode van minimaal eens in de 4 jaar. Daarbij vinden wij het belangrijk dat continue wordt gemonitord of er voor individuele objecten geen sprake is van een duurzame waardevermindering.

investeringskrediet financieel wordt afgerond. Dit moment kan enkele jaren later zijn dan het moment dat het activum technisch gereed is en daadwerkelijk in gebruik is genomen. Dit doet zich bijvoorbeeld voor bij investeringen in assets in de openbare ruimte en bij investeringen in onderwijshuisvesting. Om tot een juiste start afschrijvingen te komen hebben wij aangedrongen op een administratief onderscheid tussen technisch en administratief gereed waardoor een juiste start van de afschrijving wordt geborgd. Ook het hanteren van programmakredieten voor investeringen in de openbare ruimte vraagt aandacht voor de juiste start van de afschrijving. Daar waar het programmakrediet een bundeling is van individuele investeringsprojecten zullen de uitgaven per individueel project moeten worden geadministreerd en het technisch gereed komen moeten worden gemonitord. Ook hier zal de borging moeten worden ingericht/versterkt.

Kom tot een juist startmoment voor afschrijving van activa

<

>

Overeenkomstig BBV en de uitwerking in AWA start de afschrijving op het moment dat de investering (het activum) in gebruik wordt genomen. Om precies te zijn op 1 januari van het boekjaar na datum ingebruikname. In de praktijk schuift het moment dat gestart wordt met afschrijven op naar het moment dat het onderliggende | 31

Auditdienst ACAM – Oudezijds Voorburgwal 300, 1012 GL Amsterdam – Postbus 1078, 1000 BB Amsterdam – Telefoon (020) 2549000 – Email info@acam.amsterdam.nl

5. Verslaggeving en financieel beheer

Proces rondom opvolging van aanbevelingen is op gang gekomen

Inhoudsopgave Aanbieding Uitkomsten jaarrekeningcontrole 2021 Financieel stelsel en interne beheersing Beheersing van IT-processen Verslaggeving en financieel beheer Bijlagen

In hoofdstuk 5 van het Jaarverslag is de voortgangsmonitor opgenomen ten aanzien van de aanbevelingen van de rekeningencommissie, ACAM en de Rekenkamer. De inhoudelijke behandeling van de aanbevelingen en de afdoening gebeurt in raadscommissies. In het afgelopen jaar zijn voortgangsbrieven in de daartoe bestemde raadscommissies geagendeerd. De gemeenteraad heeft aangegeven dat, indien het college voorstelt om een aanbeveling af te doen, hierbij een advies van ACAM dient te zijn opgenomen. Daarnaast heeft de rekeningencommissie ons verzocht gericht op de voortgang van de aanbevelingen enkele audits uit te voeren. Over een aantal onderwerpen rapporteren wij direct in dit verslag, voor enkele onderwerpen zijn separate rapportages opgesteld die in de bijlagen bij dit verslag zijn opgenomen. In de monitor zijn 33 aanbevelingen opgenomen. Van 11 van deze aanbevelingen wordt gesteld dat deze zijn afgehandeld (6) of dat deze naar verwachting op korte termijn worden afgehandeld (5). Wij merken op dat ACAM nog niet voor alle afhandelingen wordt benaderd voor advies. In zijn algemeenheid constateren wij dat de doorlooptijd om tot opvolging van aanbevelingen te komen vrij lang is.

<

> | 32

Auditdienst ACAM – Oudezijds Voorburgwal 300, 1012 GL Amsterdam – Postbus 1078, 1000 BB Amsterdam – Telefoon (020) 2549000 – Email info@acam.amsterdam.nl

6. Bijlagen

Inhoudsopgave Aanbieding Uitkomsten jaarrekeningcontrole 2021 Financieel stelsel en interne beheersing Beheersing van IT-processen Verslaggeving en financieel beheer Bijlagen

<

> | 33

Auditdienst ACAM – Oudezijds Voorburgwal 300, 1012 GL Amsterdam – Postbus 1078, 1000 BB Amsterdam – Telefoon (020) 2549000 – Email info@acam.amsterdam.nl

Bijlage 1: Onderzoek naar voortgang transitie I-domein

<

>

| 34

Bijlage 1: Onderzoek naar voortgang transitie I-domein Aanleiding

Doel- en vraagstelling

In het accountantsverslag over 2020 heeft ACAM gerapporteerd over ontwikkelingen in het kader van de transitie I-domein. Wij hebben toen aangegeven dat veel van de ambities nog in de fase van voorbereiding en planvorming zaten. Naar aanleiding hiervan heeft de rekeningencommissie ACAM gevraagd om een update te geven over de voortgang op dit onderwerp.

Aandachtspunten

Conclusie De transitie I-domein is complex en omvangrijk. De gemeente geeft aan dat het meerdere jaren zal kosten voordat binnen de ambities gewenste veranderingen gerealiseerd zijn. De ambities richten zich op het realiseren van een goede basis van de digitale transformatie, noodzakelijke vernieuwing en transitie en goed werkgeverschap. We constateren dat het vertrekpunt voor de digitale transformatie suboptimaal is. De gemeente is niet compliant aan wet- en regelgeving ten aanzien van informatiebeveiliging, gegevensbescherming en informatiebeheer. Daarnaast behoeft business continuity management, autorisatiebeheer, life cycle management en leveranciersmanagement aandacht. We zien tegelijk dat ingezet wordt op het doorvoeren van vernieuwingen. Daarin zijn positieve ontwikkelingen te noemen. Zo is er inmiddels een Cloud platform gerealiseerd. Ook constateren we dat de voortgang op de inrichting van het I-domein voorspoedig verloopt. Hiermee loopt de reorganisatie van het I-domein op schema. Een uitdaging binnen de transitie is de implementatie van de nieuwe manier van werken. Dit zal niet alleen ingrijpend zijn voor het I-domein maar voor de gehele organisatie. Dit vereist in de aankomende jaren een cultuurverandering.

<

>

Het doel van het onderzoek is inzicht te bieden in de voortgang van de transitie I-domein. Hierin is aandacht voor een goede basis voor de digitale transformatie, noodzakelijke vernieuwing en transitie en goed werkgeverschap.

1

We constateren dat het vertrekpunt voor de digitale transformatie suboptimaal is. De gemeente is nog niet compliant aan wet- en regelgeving ten aanzien van informatiebeveiliging, gegevensbescherming en informatiebeheer. Daarnaast behoeft business continuity management, autorisatiebeheer, life cycle management en leveranciersmanagement aandacht. Voor een toelichting en aanbevelingen verwijzen wij naar onze rapportage over wet- en regelgeving in het I-domein en passages in het accountantsverslag.

2

Met het realiseren van een Cloud platform is een belangrijke stap gezet met betrekking tot het technische fundament. In de aankomende jaren zal op dit fundament voortgebouwd moeten worden door het ‘onboarden’ van steeds meer applicaties en tegelijkertijd het realiseren van een cultuurverandering. Wij bevelen aan om in de voortgangsrapportages over de transitie I-domein expliciet aandacht te besteden aan de voortgang ten aanzien van de vereiste cultuurverandering.

3

Vanuit het I-domein wordt onderkend dat niet alle vaardigheden intern te ontwikkelen zijn en dus expertise van buitenaf gehaald zal moeten worden. Naast dat het aantrekken van externe expertise in de huidige krappe arbeidsmarkt waarschijnlijk een lastige opgave wordt, brengt dit uitdagingen met zich mee in het borgen van kennis. Wij bevelen aan nader te onderzoeken hoe de kennis die van buitenaf gehaald wordt duurzaam geborgd kan worden in de organisatie. | 35

Bijlage 1: Onderzoek naar voortgang transitie I-domein

Inleiding Achtergrond In het coalitieakkoord 2018-2022 wordt gesproken over de ‘digitale stad’. Dit is een stad waar digitalisering bijdraagt aan het realiseren van de opgaven. Bovendien moet de digitalisering eraan bijdragen dat de opgaven slimmer en efficiënter uitgevoerd kunnen worden. Om de opgaven van het college voor de stad te kunnen realiseren is het nodig om naast de Agenda Digitale Stad een heldere koers te bepalen op digitalisering, waarmee de opgaven in diverse portefeuilles kunnen worden door vertaald naar de gemeentelijke organisatie. Dit heeft geleid tot de bestuursopdracht I-domein. De opdracht heeft tot doel om een voorstel voor de doorontwikkeling van de digitale en datainfrastructuur van de gemeente Amsterdam te vormen. Op 27 februari 2020 is de eindrapportage van de bestuursopdracht Idomein uitgebracht. De belangrijkste conclusie uit het rapport is dat er koers gezet moet worden naar een modern fundament voor digitaliserende gemeenten. Het doel van deze nieuwe koers is primair om publieke waarde te creëren door middel van digitalisering (commissievergadering KDD 16 september 2020). Ook wordt de ambitie en noodzaak uitgesproken om de transitie in de komende vijf jaar te realiseren. Deze termijn wordt ook benoemd in de meest recente voortgangsrapportage I-domein over 2021. Dat er

<

>

meerdere jaren uitgetrokken worden voor het realiseren van de transitie geeft de omvang van de opgave aan. De vijfjarentermijn is daarbij bedoeld om aan te geven dat het een meerjarentraject is. Er is geen concrete einddatum gekoppeld aan het realiseren van de opgave. Transitie I-domein De transitie I-domein is een complexe en meerjarige opgave gericht op het realiseren van verschillende ambities zoals benoemd in de bestuursopdracht I-domein. Binnen deze ambities hanteren wij de volgende driedeling. De basis van de digitale transitie op orde (hoofdstuk 1), doorvoeren van noodzakelijke vernieuwingen (hoofdstuk 2) en de transitie en goed werkgeverschap (hoofdstuk 3). Werkzaamheden Om inzicht te krijgen in de voortgang van de transitie Idomein zijn interviews gehouden met verschillende functionarissen. Dit zijn de chief information officer (CIO), de chief information security officer (CISO) en de programmamanager van de transitie I-domein. Daarnaast is op onderdelen gesproken met (programma)managers op het gebied van business continuity management, autorisatiebeheer, et cetera. Waar nodig is relevante informatie opgevraagd.

| 36

Bijlage 1: Onderzoek naar voortgang transitie I-domein

1. Het vertrekpunt voor de digitale transformatie is suboptimaal Ambities basis digitale transformatie De ambities die gericht zijn op het op orde brengen van een goede basis voor de digitale transformatie hebben betrekking op onderwerpen zoals autorisatiebeheer, business continuity management, life cycle management, uitbesteding IT-diensten en naleving van wet- en regelgeving in het I-domein. Dit zijn geen nieuwe onderwerpen voortkomend uit de bestuursopdracht Idomein maar onderwerpen waar de gemeente al langer aandacht voor heeft. Ook ACAM heeft hier al meerdere jaren aandacht voor gevraagd, onder andere in het accountantsverslag. Hoewel we opnieuw zien dat er stappen gezet worden in de goede richting moeten we tegelijkertijd constateren dat er de aankomende jaren nog een zekere inspanning nodig is op deze onderwerpen. • We constateren dat de gemeente nog niet compliant is met wet- en regelgeving in het I-domein. Het betreft de Avg, Wpg, BIO, archiefwet 1995 en de Wob (per 1 mei 2022 vervangen door de Woo); • We constateren dat business continuity management nog onvoldoende geborgd is binnen de organisatie; • We constateren dat er nog belangrijke stappen gezet moeten worden in het versterken van het proces van

<

>

autorisatiebeheer; • We vragen aandacht voor het beschikbaar hebben van assurancerapportages in geval sprake is van uitbestede IT-diensten; • En we onderschrijven het versterken van life cycle management binnen de organisatie als aandachtspunt. Voor meer over wet- en regelgeving binnen het I-domein verwijzen wij naar onze specifieke rapportage ‘voortgang wet- en regelgeving in het I-domein’. Voor overige onderwerpen met betrekking tot de basis op orde verwijzen wij naar de passages hierover in het accountantsverslag.

| 37

Bijlage 1: Onderzoek naar voortgang transitie I-domein

1. Het vertrekpunt voor de digitale transformatie is suboptimaal Aandachtspunt 1 We constateren dat het vertrekpunt voor de digitale transformatie suboptimaal is. Ondanks dat stappen genomen worden in de goede richting is de gemeente nog niet compliant aan wet- en regelgeving ten aanzien van informatiebeveiliging, gegevensbescherming en informatiebeheer. Daarnaast behoeft business continuity management, autorisatiebeheer, life cycle management en leveranciersmanagement aandacht. Aanbeveling: Voor een toelichting en aanbevelingen op deze punten verwijzen wij voor de wet- en regelgeving in het Idomein naar de specifieke rapportage ‘voortgang wet- en regelgeving I-domein’ en voor de overige onderwerpen omtrent de basis op orde naar passages hierover in het accountantsverslag.

<

>

| 38

Bijlage 1: Onderzoek naar voortgang transitie I-domein

2. Belangrijke stappen ondernomen in het realiseren van het fundament, uitdaging aankomende jaren in het realiseren van cultuuromslag Bouwen op het juiste fundament Het is van groot belang om digitale diensten te bouwen op een adequaat technisch fundament. Dit vermindert namelijk de kans op uitval van diensten doordat er gebruik gemaakt wordt van een veilige, stabiele en schaalbare infrastructuur. Ook biedt dit de mogelijkheid om sneller en flexibeler te reageren op de behoefte aan ICT-ondersteuning binnen het opgavegericht werken. In dit kader is onder andere gewerkt aan het realiseren van een Cloud platform en het wegwerken van achterstallig onderhoud in de bestaande infrastructuur. Realisatie Cloud platform In 2021 is het Cloud platform voor de gemeente Amsterdam gelanceerd. Bij het Cloud platform wordt in feite de gehele infrastructuur afgenomen als een dienst van een externe leverancier: servers, netwerken, opslagcapaciteit en platform. De ontwikkeling en het beheer van applicaties ligt dan bij de gemeente. Momenteel zijn een beperkt aantal applicaties gemigreerd naar het Cloud platform. De verwachting is dat in 2022 meerdere applicaties zullen ‘onboarden’.

<

>

Cloudstrategie Er is een Cloud strategie opgesteld voor de aankomende jaren (tot en met 2025). In de Cloud strategie wordt zowel de technische als organisatorische kant belicht. Op 21 februari 2021 is de Cloud strategie binnen de stuurgroep vastgesteld om de overstap te maken naar de Cloud. In het afgelopen jaar is de strategie verder uitgewerkt. De Cloud strategie is in februari 2022 vastgesteld door het college. Bespreking in de gemeenteraad heeft nog niet plaatsgevonden. Zoals eerder benoemd is vooruitlopend op het vaststellen van deze strategie reeds een Cloud platform gerealiseerd in 2021. Ook is in 2021 verder ingezet op SaaS-toepassingen in plaats van het in eigen beheer ontwikkelen en onderhouden van IT systemen. Eerder hebben wij daarom gevraagd om meer prioriteit te geven aan de behandeling en vaststelling van deze strategie. In de strategie wordt daarnaast ingegaan op een aantal randvoorwaarden die ingericht zullen moeten worden om de voordelen van de Cloud optimaal te kunnen benutten. Zo impliceert het steeds verdere gebruik van de Cloud niet alleen veranderingen voor het I-domein maar voor de gehele organisatie. Het betekent een andere manier van werken.

| 39

Bijlage 1: Onderzoek naar voortgang transitie I-domein

2. Belangrijke stappen ondernomen in het realiseren van het fundament, uitdaging aankomende jaren in het realiseren van cultuuromslag Nieuwe manier van werken Er vindt momenteel binnen WPI een pilot plaats waarin de beoogde nieuwe manier van werken wordt toegepast. Uit gesprekken hebben wij vernomen dat de uitkomsten uit deze pilot mogelijk als blauwdruk zouden kunnen dienen voor de nieuwe manier van werken. De nieuwe manier van werken betekent meer directie overstijgend geredeneerd vanuit stedelijke opgaven. Daarnaast dient het nieuwe werken zo georganiseerd te worden dat directies wendbaarder zijn. Zeker is dat de nieuwe manier van werken grote impact zal hebben op de organisatie. Cultuurverandering In de Cloud strategie wordt benoemd dat de Cloud transformatie en cultuurverandering hand in hand gaan. Cultuurverandering is een belangrijke randvoorwaarde om de voordelen van de Cloud te kunnen benutten. De cultuurverandering is echter niet alleen belangrijk voor het benutten van de voordelen van de Cloud maar misschien nog wel belangrijker voor de overgang naar de nieuwe manier van werken. Het belang van het creëren van draagvlak en het belang van het meenemen van lijndirecteuren in deze transitie naar een nieuwe manier van werken wordt door de programmamanager transitie

<

>

I-domein als belangrijk aandachtspunt benoemd. Dit onderschrijven wij. De vereiste cultuuromslag zal de aankomende jaren steeds belangrijker worden en verdient aandacht. Aandachtspunt 2: Onboarden applicaties en gewenste cultuurverandering Met het realiseren van een Cloud platform is een belangrijke stap gezet in het leggen van het fundament voor een nieuwe manier van werken. In de aankomende jaren zal op dit fundament voortgebouwd worden door het ‘onboarden’ van steeds meer applicaties. Om de voordelen van deze nieuwe manier van werken optimaal te kunnen benutten is een cultuurverandering nodig. Het belang hiervan is meerdere malen vanuit het I-domein uitgesproken. Wij onderschrijven dit belang. Wij zijn van mening dat het belang dat gehecht wordt aan dit onderwerp vanuit het I-domein ook zijn weerslag zou moeten krijgen in de voortgangsrapportages. Aanbeveling: Wij bevelen aan om in de voortgangsrapportages over de transitie I-domein expliciet aandacht te besteden aan de voortgang ten aanzien van de vereiste cultuurverandering die de nieuwe manier van werken met zich meebrengt.

| 40

Bijlage 1: Onderzoek naar voortgang transitie I-domein

3. De reorganisatie van het I-domein loopt voorspoedig, het invullen van beschikbare vacatures blijft een aandachtspunt Reorganisatie I-domein Een belangrijk onderdeel in de transitie van het I-domein is de reorganisatie van het I-domein. De uitgangspunten van deze reorganisatie zijn organiseren van nabijheid bij de lijn, organiseren van flexibiliteit, organiseren van sturing en uniformiteit en efficiëntie organiseren. De formele reorganisatiedatum is 1 juli 2022. Afgelopen jaar heeft dan ook in het teken gestaan van het voorbereiden van deze reorganisatie. Op 2 november 2021 heeft het college een voorgenomen reorganisatiebesluit genomen om de onderdelen van het I-domein te bundelen in het cluster Digitalisering, Innovatie & Informatie (DII). Vanuit het I-domein is ervoor gekozen om eerst de hoofdstructuur in te richten en daarna de medewerkers zoveel mogelijk te plaatsen op basis van het principe ‘mens-volgt-huidigwerk’. De directeuren van de nieuwe directies zijn inmiddels benoemd. Daarnaast is deels invulling gegeven aan overige sturende rollen zoals vakgroepmanager, I-afdelingsmanager, teamleider of (cluster) I-lead. Ook loopt het plaatsingsproces van medewerkers. Wij concluderen dat de voortgang op de inrichting van het I-domein voorspoedig verloopt. De inrichting vormt de basis om te kunnen voldoen aan de genoemde uitgangspunten van de reorganisatie.

<

>

Opereren met kennis en kunde Het realiseren van een technisch fundament en de verdere inzet op het gebruik van generiek voorzieningen dragen bij aan een efficiënte, effectieve en veilige manier van werken. Hoewel dit belangrijk is, zal het werk uiteindelijk uitgevoerd moeten worden door de medewerkers. Het is dan ook belangrijk dat medewerkers toegerust zijn op de nieuwe manier van werken en over de juiste vaardigheden beschikken. De gemeente gaat uit van goed werkgeverschap en wil zoveel mogelijk realiseren met interne medewerkers. Tegelijkertijd wordt vanuit het Idomein onderkend dat niet alle vaardigheden intern te ontwikkelen zullen zijn en dat soms dus expertise van buitenaf gehaald zal moeten worden. Ook wordt meer dan eens als knelpunt voor vertraging van (deel)ambities het gebrek aan benodigde capaciteit benoemd door de lastige arbeidsmarkt. Dit uit zich ook in de vele beschikbare vacatures in het I-domein.

| 41

Bijlage 1: Onderzoek naar voortgang transitie I-domein

3. De reorganisatie van het I-domein loopt voorspoedig, het invullen van beschikbare vacatures blijft een aandachtspunt Het succes van de transitie in het I-domein is in belangrijke mate afhankelijk van een goede invulling van de vacatures binnen het I-domein. Hoog verloop en/of lastige instroom van medewerkers wordt in de voortgangsrapportage dan ook als risico onderkend in het kader van de reorganisatie. Dit risico overstijgt de reorganisatie naar onze mening echter en zal ook na de formele afronding van de reorganisatie I-domein (per 1 juli 2022) een reëel risico blijven. Aandachtspunt 3: Borging van kennis in de organisatie Het is positief dat de intentie is om zo veel mogelijk te realiseren met interne medewerkers. Tegelijkertijd wordt onderkend dat niet alle vaardigheden intern te ontwikkelen zijn en dus expertise van buitenaf gehaald zal moeten worden. Naast dat het aantrekken van externe expertise in de huidige krappe arbeidsmarkt waarschijnlijk een lastige opgave wordt, brengt dit uitdagingen met zich mee in het borgen van kennis. Aanbeveling: Op de punten waar de transitie in het I-domein niet gerealiseerd kan worden met interne medewerkers bevelen wij aan om nader te onderzoeken hoe de kennis die van buitenaf gehaald wordt duurzaam geborgd kan worden in de organisatie.

<

>

.

| 42

Bijlage 2: Onderzoek naar voortgang voldoen aan Wet- en regelgeving I-domein

<

>

| 43

Bijlage 2: Onderzoek naar voortgang voldoen aan Wet- en regelgeving I-domein Aanleiding

Doelstelling

In het accountantsverslag over 2020 heeft ACAM gerapporteerd over het voldoen aan wet- en regelgeving voor het I-domein. Wij hebben toen aangegeven dat de gemeente op dit punt nog niet compliant is. Naar aanleiding hiervan heeft de rekeningencommissie ACAM gevraagd om te rapporteren over de voortgang op dit onderwerp.

Conclusie We constateren dat de gemeente nog niet compliant is met de Baseline Informatiebeveiliging Overheid (BIO), de Algemene verordening gegevensbescherming (Avg), de Wet politiegegevens (Wpg), de Archiefwet 1995 en de Wet openbaarheid bestuur (Wob). Tegelijkertijd zien we dat in 2021 stappen gezet zijn richting het voldoen aan wet- en regelgeving binnen het I-domein. Deze ontwikkeling is echter nog gaande. In 2022 moet de verantwoording over risico’s ten aanzien van informatiebeheer, informatiebeveiliging en gegevensbescherming centraal gaan plaatsvinden via het gemeentebrede risicomanagementsysteem. In 2021 zijn voorbereidingen getroffen om deze nieuwe systematiek mogelijk te maken. De risico’s die de gemeente loopt voortkomend uit non-compliance aan deze wet- en regelgeving blijven actueel.

<

>

Het doel van het onderzoek is inzicht te bieden in de voortgang van de implementatie van wet- en regelgeving binnen het I-domein. Er zal ingegaan worden op informatiebeveiliging, gegevensbescherming en informatiebeheer.

Aandachtspunten

1

Inzet om compliant te worden aan de BIO, Avg, Wpg, Archiefwet 1995 en de Wob (per 1 mei vervangen door de Woo) blijft actueel. De gemeente zet stappen richting compliancy ten aanzien van I-risico’s. De gemeente loopt mogelijk risico’s op deze onderwerpen. Wij bevelen aan om in de bedrijfsvoeringsparagraaf van het jaarverslag naast de positieve ontwikkeling op wet- en regelgeving in het I-domein ook expliciet aandacht te besteden aan de risico’s die de gemeente loopt voortkomend uit noncompliance aan deze wet- en regelgeving.

2

Het is positief dat middels het project VORM de risico’s integraal worden betrokken. Momenteel is het nog niet zo dat risico’s en maatregelen ten aanzien van informatiebeveiliging en gegevensbescherming al (uniform) worden vastgelegd in het centrale risicomanagementsysteem. De verwachting is dat vanaf 2022 deze I-risico’s hier wel in zullen staan. Dit zal het zicht op I-risico’s verbeteren en sturing op deze risico’s vergemakkelijken. Het is aan te bevelen om de voortgang van dit traject nauwlettend in de gaten te houden om vertraging te voorkomen.

3

In de Wet open overheid (Woo) is de eis opgenomen om een openbaarheidsparagraaf op te nemen in het jaarverslag, het college heeft dit reeds toegezegd. Het zou echter wenselijk zijn om ook aan de voorkant beleidsvoornemens op te nemen in de jaarbegroting over de uitvoering van de Woo zodat hieraan | 44 getoetst kan worden. Dit is tevens een verplichting vanuit de Woo.

Bijlage 2: Onderzoek naar voortgang voldoen aan Wet- en regelgeving I-domein

Inleiding Wet- en regelgeving in het I-domein Binnen het I-domein zijn veel verschillende wetten en regelgeving van toepassing. Dit is begrijpelijk aangezien er gevoelige gegevens verwerkt worden en dit op een zorgvuldige manier dient te gebeuren. Sommige wet- en regelgeving is inmiddels vrij bekend binnen de organisatie. Middels bewustwordingscampagnes is breed ingezet op informatiebeveiliging, gegevensbescherming en informatiebeheer, bijvoorbeeld door ‘weet wat je deelt’. Andere wetgeving is recenter, niet van toepassing op de gehele organisatie en minder bekend. Een voorbeeld hiervan is de Wet politiegegevens (Wpg) waar Boa’s in Amsterdam mee te maken hebben. Naar deze wetgeving is in 2021 een audit uitgevoerd. Naast deze wetgeving op het gebied van gegevensbescherming is er ook wetgeving omtrent informatiebeheer zoals de archiefwet. Daarnaast zijn er richtlijnen voor informatiebeveiliging zoals de baseline informatiebeveiliging overheid (BIO) waaraan de gemeente dient te voldoen.

Ook kan gedacht worden aan de Europese AI-verordening, de Wet digitale overheid, de data governance act en de Agenda Digitale Grondrechten en Ethiek 2022-2026. Comliancy is geen eenmalige opgave Er lopen binnen de gemeente Amsterdam verschillende trajecten die bijdragen aan het voldoen aan wet- en regelgeving. Denk bijvoorbeeld aan het BIOimplementatietraject of het programma open Amsterdam waarin aandacht is voor het openbaar maken vanuit de Wet openbaarheid bestuur (per 1 mei wordt deze wet vervangen door de Wet open overheid). Het afronden van deze trajecten is geen eindpunt. Informatiebeveiliging, gegevensbescherming en informatiebeheer vereist continu aandacht. Zo kunnen veranderingen in de situatie of veranderingen in wet- en regelgeving ervoor zorgen dat aanvullende maatregelen genomen dienen te worden. Het voldoen aan wet en regelgeving is een continu proces en geen eenmalige exercitie. Dit vraagt een bepaald niveau van beheersing van de organisatie.

Daar bovenop is er nog tal van nieuwe wet- en regelgeving dat eraan zit te komen. Het is positief te constateren dat de gemeente hier reeds voorbereidingen voor treft. Zo geldt vanaf 1 mei 2022 de Wet open overheid (Woo).

<

>

| 45

Bijlage 2: Onderzoek naar voortgang voldoen aan Wet- en regelgeving I-domein

Inleiding Reorganisatie I-domein Gelijktijdig aan de inzet op het voldoen aan wet- en regelgeving in het I-domein is er sprake van een reorganisatie die hier niet in zijn geheel los van gezien kan worden. Met betrekking tot het onderwerp wet- en regelgeving is het belangrijk om te weten dat de wijze waarop de organisatie in 2021 georganiseerd was, maakt dat gelijksoortige expertises versplinterd belegd zijn. Dit bemoeilijkt de onderlinge samenwerking en maakt centrale sturing lastig. Binnen het nieuwe cluster Digitalisering, Informatie en Innovatie is er onder andere voor gekozen om vakgroepen te organiseren. Zo zullen er bijvoorbeeld vakgroepen komen voor informatiebeveiliging, gegevensbescherming en informatiebeheer. Deze ontwikkeling draagt bij aan meer grip op vereisten vanuit wet- en regelgeving. Voor een uitgebreidere toelichting op de reorganisatie verwijzen wij naar ons separate onderzoek over ‘de voortgang transitie I-domein’.

<

>

Werkzaamheden In het onderzoek zijn interviews gehouden met verschillende functionarissen binnen het I-domein. Dit zijn de chief information officer (CIO), de chief information security officer (CISO), de chief privacy officer (CPO), de programmamanager implementatie BIO, de functionaris gegevensbescherming (FG), de informatiecommissaris en het hoofd toezicht Stadsarchief. Waar nodig is relevante informatie opgevraagd.

| 46

Bijlage 2: Onderzoek naar voortgang voldoen aan Wet- en regelgeving I-domein

Gemeente is nog niet compliant aan wet- en regelgeving in het I-domein, wel zijn stappen gezet richting compliancy

A B C

Stappen in de goede richting De gemeente is momenteel niet compliant aan wet- en regelgeving in het I-domein ten aanzien van BIO, Avg, Wpg, Archiefwet 1995 en de Wob. Wel zien we dat er volop aandacht is voor deze onderwerpen en dat opnieuw stappen gezet zijn ten aanzien van het voldoen aan wet- en regelgeving binnen het I-domein. Voor informatiebeveliging is er in 2021 bijvoorbeeld ingezet op de implementatie van veilige mobiele telefoons en laptops (beheerd door de organisatie) en is er gestart met de voorbereiding van een nieuwe digitale werkomgeving. Vanuit het oogpunt van informatiebeveiliging, gegevensbescherming en informatiebeheer zijn extra bepalingen toegevoegd aan standaard verwerkersovereenkomsten en is het deelnemingenbeleid van de gemeente Amsterdam uitgebreid. Voor gegevensbescherming zijn verdere stappen gezet om te komen tot een actueel verwerkingenregister. Vanuit het meerjarenprogramma Open Amsterdam wordt ingezet op de aanstaande ingang van de Wet open overheid (Woo), als vervanger van de Wob. Daarnaast worden instrumenten ontwikkeld om meer grip te krijgen op algoritmen die de gemeente gebruikt. Ook wordt ingezet op het sneller en actief openbaar maken van informatie. Zo zijn in 2021 stappen gezet om de afhandeling van de Wob-verzoeken te versnellen,

<

>

onder andere door de inzet van een centraal Wob-team. Voortgang informatiebeveiliging Vanuit informatiebeveiliging loopt het programma implementatie BIO. Voor dit programma is een tranchesplanning opgesteld. De tranchesplanning maakt inzichtelijk wanneer voor welke tranche directies een start gemaakt wordt met betrekking tot het inventariseren van de risico’s en beheersmaatregelen in de processen. Voor een deel van de directies zijn deze stappen al doorlopen. Zo is in 2021 gestart met het doorlichten van 16 organisatieonderdelen waar de belangrijkste maatregelen liggen en waar veel met gevoelige gegevens wordt gewerkt. Eind 2022 moeten de risico’s en beheersmaatregelen in de processen voor alle 55 directies inzichtelijk zijn. Zodra de risico’s en beheersmaatregelen in kaart zijn gebracht kan overgegaan worden tot het opstellen van een verbeterplan. Risico’s die als hoog zijn gescoord dienen binnen drie maanden opgelost te worden. Overige risico’s binnen zes of twaalf maanden afhankelijk van de risicoclassificatie. De planning die ten grondslag ligt aan het BIOimplementatietraject biedt houvast.

| 47

Bijlage 2: Onderzoek naar voortgang voldoen aan Wet- en regelgeving I-domein

Gemeente is nog niet compliant aan wet- en regelgeving in het I-domein, wel zijn stappen gezet richting compliancy

A B C

Wel is het zo dat in de voortgangsrapportage I-domein 2021 wordt aangegeven dat de BIO-implementatie minder snel gaat dan gehoopt. Binnen de gemeente is met het BIOimplementatietraject gekozen voor een meerjarige stedelijke aanpak van 3 à 4 jaar om compliant te worden met de BIO. Voortgang gegevensbescherming Het zicht op naleving van maatregelen in het kader van de Avg is in 2021 verkregen door decentraal informatie uit te vragen op een aantal onderwerpen, zoals het verwerkingenregister. Het voornemen is echter om sturing op de risico’s vanaf 2022 te laten verlopen via het centrale risicomanagementsysteem. De directie specifieke risico’s ten aanzien van gegevensbescherming zijn nog niet in het centrale risicomanagementsysteem opgenomen, wel zijn de nodige voorbereidende werkzaamheden uitgevoerd.

Om de organisatieonderdelen niet te zwaar te belasten zullen risico’s die zich bij directies voordoen geïnventariseerd worden op hetzelfde moment dat risico’s in het kader van informatiebeveiliging opgehaald worden. De planning voor gegevensbescherming zal daardoor gelijke tred houden met de planning van informatiebeveiliging. De risico’s met betrekking tot gegevensbescherming zullen dus ook eind 2022 in kaart gebracht moeten zijn.

<

>

Een aandachtspunt waarop nog niet voldaan wordt aan de Avg betreft de bewaartermijnen van persoonsgegevens (raadsinformatiebrief KDD, 29 oktober 2021). Voor elke verwerking van persoonsgegevens moet een bewaartermijn zijn bepaald en deze moet worden nageleefd. Gegevens moeten worden vernietigd als ze niet meer nodig zijn voor het doel waarvoor ze zijn ingewonnen. De organisatie heeft zelf vastgesteld dat bewaartermijnen inmiddels wel vaak zijn vastgesteld maar nog onvoldoende worden nageleefd. Dit betekent dat te weinig informatie vernietigd wordt. Wet politiegegevens Sinds 9 maart 2019 vallen bijzondere opsporingsambtenaren (Boa’s) onder het regime van de Wet politiegegevens (Wpg). Voor de gemeente Amsterdam betekent dit dat zij sinds 2019 ook met deze wetgeving te maken heeft aangezien er op verschillende plekken in de gemeente Boa’s werkzaam zijn. Denk aan toezicht en handhaving in de openbare ruimte en aan leerplichtambtenaren. Het besluit politiegegevens schrijft voor dat twee jaren na inwerkingtreding van de wet, en vervolgens eenmaal in de vier jaren een (externe) privacy audit uitgevoerd dient te worden. Deze externe audit is voor het eerst uitgevoerd in 2021. De conclusie van de audit is dat de gemeente momenteel niet aan deze wetgeving voldoet.

| 48

Bijlage 2: Onderzoek naar voortgang voldoen aan Wet- en regelgeving I-domein

Gemeente is nog niet compliant aan wet- en regelgeving in het Idomein, wel zijn stappen gezet richting compliancy

A B C

<

Voortgang informatiebeheer De Gemeentearchivaris houdt, conform de Archiefwet, toezicht op niet-overgebrachte informatie, het hoofd Toezicht Stadsarchief voert deze rol uit voor de Gemeentearchivaris. Jaarlijks worden alle organisatieonderdelen door het Stadsarchief beoordeeld op de normen ‘Zicht op informatie- en applicatielandschap’ en ‘Inbedding van Informatiebeheer’. Dit beeld komt voort uit een self assessment die organisatieonderdelen dienen uit te voeren. Hoewel hiermee in de afgelopen jaren een behoorlijke slag is gemaakt, voeren niet alle organisatieonderdelen deze self assessments uit. Ook komt het voor dat organisatieonderdelen zelf aangeven niet te voldoen. In zijn geheel kan de conclusie getrokken worden dat de gemeente momenteel nog niet aan alle eisen van de archiefwet voldoet. Bij ons is geen tijdspad bekend wanneer organisatieonderdelen hun informatiebeheer op orde dienen te hebben. Wel wordt informatiebeheer meegenomen in het programma ‘open Amsterdam’.

>

Gemeente is nog niet compliant We zien op het gebied van informatiebeveiliging, gegevensbescherming en informatiebeheer positieve ontwikkeling om meer grip te krijgen op I-risico’s. Tegelijkertijd constateert de gemeente zelf dat zij op deze onderwerpen nog risico’s loopt omdat zij nog niet compliant is met wet- en regelgeving. Jaarlijks rapporteert de gemeente in afzonderlijke jaarverslagen over informatiebeveiliging, gegevensbescherming en informatiebeheer. Deze rapportages worden ook gedeeld met de raad. Op het moment van ons onderzoek waren de rapportages over 2021 nog niet gereed. Daarnaast wordt periodiek over de voortgang gerapporteerd in voortgangsbrieven en de bedrijfsvoeringsparagraaf van het jaarverslag. De risico’s die samenhangen met non-compliancy landen zijn vooralsnog beperkt in de bedrijfsvoeringsparagraaf van het jaarverslag. In de afzonderlijke jaarverslagen wordt voor informatiebeveiliging wel expliciet ingegaan op risico’s, bij gegevensbescherming en informatiebeheer is dit in de rapportages tot op heden nog beperkter.

| 49

Bijlage 2: Onderzoek naar voortgang voldoen aan Wet- en regelgeving I-domein

Gemeente is nog niet compliant aan wet- en regelgeving in het Idomein, wel zijn stappen gezet richting compliancy

A B C

Aandachtspunt 1: compliance wet- en regelgeving I-domein blijft belangrijk De gemeente zet stappen richting compliancy ten aanzien van wet- en regelgeving binnen het I-domein. Tegelijkertijd constateren we dat de gemeente momenteel zelf concludeert dat zij nog niet voldoet aan de BIO, de Avg, de Archiefwet 1995, de Wob (per 1 mei vervangen door de Woo) en de Wpg. De gemeente loopt mogelijk risico’s op deze onderwerpen. Aanbeveling: Besteed in de bedrijfsvoeringsparagraaf van het jaarverslag naast de positieve ontwikkeling op wet- en regelgeving in het I-domein ook expliciet aandacht aan de risico’s die de gemeente loopt voortkomend uit noncompliancy aan deze wet- en regelgeving.

<

>

| 50

Bijlage 2: Onderzoek naar voortgang voldoen aan Wet- en regelgeving I-domein

Monitoringsfunctie gemeentebreed risicomanagementsysteem wordt in 2022 toegepast op I-risico’s Project versterking operationeel risicomanagement (VORM) Het project VORM werkt aan een meer uniforme vastlegging en monitoring van operationele risico’s en beheersmaatregelen in het gemeentebrede risicomanagementsysteem. Om de uniforme vastlegging van operationele risico’s te faciliteren zijn standaardrisico’s bepaald voor informatiebeveiliging, gegevensbescherming en informatiebeheer. Het is aan de directies om aan te geven in hoeverre deze risico’s op hen van toepassing zijn en maatregelen hieraan te koppelen om deze risico’s te mitigeren. Voor informatiebeheer is deze exercitie grotendeels uitgevoerd. Voor informatiebeveiliging en gegevensbescherming ontbreken de standaardrisico’s en maatregelen in het centrale risicomanagementsysteem vooralsnog. Aangegeven is dat dit in 2022 wel het geval zal zijn en dat voor alle gebieden via één centrale uitvraag om een update van de risico’s zal worden gevraagd. Huidige monitoring I-risico’s Voor de monitoring van I-risico’s wordt al zoveel mogelijk aansluiting gezocht bij het gemeentebrede risicomanagementsysteem. DMC vraagt twee keer per jaar om een update van de risico’s. In de laatste oproep van DMC is ook expliciet gevraagd om aandacht te geven aan de risico’s op het gebied van informatiebeveiliging,

<

>

gegevensbescherming en informatiebeheer. De beantwoording van deze oproep was in 2021 nog beperkt. Daarnaast loopt momenteel een aanbesteding naar een vervanger van het huidige risicomanagementsysteem. Het is de bedoeling dat het vervangende systeem ook beschikt over de nodige tooling voor betere ondersteuning qua vastlegging en monitoring. Aandachtspunt 2: Monitoring I-risico’s Het is positief dat middels het project VORM de risico’s integraal worden betrokken. Momenteel is het echter nog niet zo dat risico’s en maatregelen ten aanzien van informatiebeveiliging en gegevensbescherming al (uniform) worden vastgelegd in het centrale risicomanagementsysteem. De verwachting vanuit de betrokkenen is dat vanaf volgend jaar deze I-risico’s hier wel in zullen staan. Dit zal het zicht op I-risico’s verbeteren en sturing op deze risico’s vergemakkelijken. Aanbeveling: Het is aan te bevelen om de voortgang van dit traject nauwlettend in de gaten te houden om vertraging te voorkomen. Voor meer over dit onderwerp verwijzen wij ook naar onze passage over risicomanagement in ons accountantsverslag.

| 51

Bijlage 2: Onderzoek naar voortgang voldoen aan Wet- en regelgeving I-domein

Openbaarheid en beschikbaarheid informatie Openbaarheid informatie Vanuit de wet openbaarheid bestuur (Wob) geldt de plicht om documenten openbaar te maken indien hier vanuit de samenleving om gevraagd wordt. Momenteel komt het geregeld voor dat opgevraagde stukken niet tijdig beschikbaar gesteld worden aan de Wob-verzoeker. In november 2021 was 64% van de lopende Wob-verzoeken langer dan acht weken in behandeling (Rekenkamer Amsterdam, 18 februari 2022). Dit betekent een overschrijding van de beschikbaarstellingstermijn. Dat de termijn momenteel veelvuldig overschreden wordt heeft mede te maken met dat de informatiehuishouding niet op orde is.

uitwisselbaar, eenvoudig te ontsluiten en goed te archiveren is. Hiervoor zijn vanuit de wet elf informatiecategorieën bepaald die verplicht actief openbaar gemaakt moeten worden.

De Wob gaat uit van passieve openbaarmaking van gegevens. Gegevens worden beschikbaar gesteld indien hier om gevraagd wordt. De Wob zal echter per 1 mei 2022 vervangen worden door de Wet open overheid (Woo). De nieuwe wetgeving heeft als uitgangspunt het actief openbaar maken van informatie. De Wet open overheid (Woo) heeft als doel overheden en semioverheden transparanter te maken. De wet moet ervoor zorgen dat overheidsinformatie beter vindbaar,

<

>

| 52

Bijlage 2: Onderzoek naar voortgang voldoen aan Wet- en regelgeving I-domein

Openbaarheid en beschikbaarheid informatie Openbaarbeidsparagraaf Eén van de eisen uit de Woo is het opstellen van een openbaarheidsparagraaf. Dit houdt in dat in de jaarlijkse begroting aandacht besteed dient te worden aan de beleidsvoornemens inzake de uitvoering van de Woo en dat in de jaarlijkse verantwoording verslag gedaan wordt van de uitvoering hiervan, mede in relatie tot de beleidsvoornemens (wet open overheid, artikel 3.5).

In een recent onderzoek uitgevoerd door de Rekenkamer Amsterdam (publicatiedatum 18 februari 2022) wordt ook ingegaan op het onderwerp van openbaarheid van informatie en ook specifiek het punt van de openbaarheidsparagraaf. Door zowel aan de voorkant (bij de begroting) als aan de achterkant (in het jaarverslag) te rapporteren over beleid rondom openbaarheid kan op een transparante manier verantwoording afgelegd worden. In een bestuurlijke reactie van het college op de rapportage van de Rekenkamer zegt het college toe om vanaf het Jaarverslag 2022 een openbaarheidsparagraaf op te nemen in het Jaarverslag. Er wordt echter niet expliciet een uitspraak gedaan over het opnemen van beleidsvoornemens inzake de uitvoering van de Woo in de jaarlijkse begroting.

<

>

Aandachtspunt 3: Informatiehuishouding op orde Vanuit het programma ‘ open Amsterdam’ wordt voor de elf informatiecategorieën aandacht besteed aan het op orde brengen van de informatiehuishouding. Dit is een randvoorwaarde voor tijdig openbaar maken van informatie. Een van de manieren om hier verantwoording over af te leggen is via de openbaarheidsparagraaf. Het college heeft toegezegd om vanaf 2022 een openbaarheidsparagraaf op te nemen in het jaarverslag. Aan de voorkant worden echter geen beleidsvoornemens in de begroting uitgesproken. Aanbeveling: Laat het college naast het opnemen van een openbaarheidsparagraaf in het jaarverslag expliciet toezeggen om in de jaarlijkse begroting beleidsvoornemens op te nemen over de uitvoering van de Woo. Dit draagt bij aan de transparantie omtrent de verantwoording over de Woo.

| 53

Bijlage 3: Onderzoek naar begrotingswijzigingen

Rompbegroting

Najaarsnota

<

>

Voorjaarsnota

| 54

Bijlage 3: Onderzoek naar begrotingswijzigingen

Inhoudsopgave

Auditdienst ACAM

Samenvatting Aanleiding Doel- en vraagstelling

Baten en lasten, per programma, per P&C-product Selectie Analyse van geselecteerde wijzigingen Geselecteerde wijzigingen, per categorie

Observaties <

>

| 55

Bijlage 3: Onderzoek naar begrotingswijzigingen

Samenvatting Aanleiding In de gemeenteraad/rekeningencommissie leeft het gevoel dat zij mogelijk niet altijd tijdig op de hoogte wordt gebracht van begrotingswijzigingen en hierdoor een gebrek aan sturingsmogelijkheid ervaart. Vandaar dat zij graag een analyse ontvangt van het verschil tussen de begrote baten en lasten zoals opgenomen in de initiële begroting en de baten en lasten zoals opgenomen in de gemeenterekening.

Observaties

• • • • •

<

Doel- en vraagstelling Het doel van dit onderzoek is om de van belang zijnde afwijkingen in de realisatie ten opzichte van de begroting inzichtelijk te maken. Waarbij wordt geduid op welke momenten en op welke manier de gemeenteraad hiervan op de hoogte is gebracht.

Veel wijzingen hebben te maken met corona. Baten, lasten, ramingen en reserves Ook andere wijzigingen, zoals overgang erfpacht, Stedelijk Mobiliteit, Grondexploitaties Wijzigingen die jaarlijks voorkomen en te maken hebben met later moment van ontvangen van gelden van het Rijk. Mei- en septembercirculaire en decemberbrief Geen indicaties vanuit controle 2021 dat onderzochte wijzigingen eerder hadden moeten worden gemeld Leesbaarheid kan worden verbeterd in de toelichting op de onderzochte wijzigingen: • Enkele onderzochte wijzigingen die met elkaar te hebben in de tijd zijn lastiger te volgen. Dit komt doordat vaak alleen de wijzigingen ten opzichte van het voorgaande begrotingsproduct is opgenomen. In het jaarverslag ten opzichte van de najaarsnota • Sommige wijzigingen verlopen via reserves en fondsen en zijn in combinatie lastiger te volgen • Tekstuele toelichting bij enkele wijzingen zijn lastiger te volgen • Corona compensatiepakket Rijk is verdeeld over meerdere programma’s. Totaaloverzicht is lastiger te volgen

>

| 56

Bijlage 3: Onderzoek naar begrotingswijzigingen

Aanleiding

Tijdens de raadscommissie FEZ van november 2018 is door de leden Boomsma (CDA), Guldemond (D66) en Torn (VVD) een motie ingediend inzake de begroting .Hierin wordt onder meer gesteld dat: - “het college bij de begroting steeds uit gaat van veel investeringen en daardoor een flinke toename van het bezit, en een afname van de reserves omdat er veel van de reserves worden gebruikt voor de stad”; - “de prognoses van de schuldpositie in begrotingen en andere P&Cproducten volgens het college al jarenlang onderhevig zijn aan "planningsoptimisme"; hetgeen wil zeggen dat er minder wordt geïnvesteerd in de stad dan is voorgenomen”; - “de raad, voor de beoordeling van de financiële positie van de gemeente, in de begroting een reëel beeld moet krijgen niet alleen van de ambities, maar vooral ook van de planning en uitvoering”

<

>

Naar aanleiding van deze motie is getracht om de schuldprognoses te verbeteren. De gemeenteraad ervaart echter niet dat dit in toereikende mate is gebeurd. Vandaar dat zij tijdens de gemeenteraad van 17 december 2020 in het programma van eisen voor de accountantscontrole 2021 onder andere heeft besloten: “de gemeenteaccountant krijgt de opdracht om een analyse te maken van het verschil tussen de begrote baten en lasten zoals opgenomen in de initiële begroting en de baten en lasten zoals opgenomen in de gemeenterekening. Bij deze analyse zal de accountant ook de informatievoorziening gedurende het begrotingsjaar van het college aan de gemeenteraad betrekken alsmede de sturingsmogelijkheden die de raad gedurende het jaar (nog) heeft.” Middels dit onderzoek hebben wij invulling aan deze opdracht gegeven. In deze presentatie zijn de uitkomsten opgenomen.

| 57

Bijlage 3: Onderzoek naar begrotingswijzigingen

Doel- en vraagstelling

<

Doelstelling

Onderzoeksvragen

Vanuit de gemeenteraad leeft mogelijk de gedachte dat zij niet tijdig genoeg op de hoogte wordt gebracht van wijzigingen in de realisatie ten opzichte van de begroting, waardoor sturingsmogelijkheden beperkt zijn. Het doel van dit onderzoek luidt zodoende om de van belang zijnde afwijkingen in de realisatie ten opzichte van de begroting inzichtelijk te maken. Waarbij wordt geduid op welke momenten en op welke manier de gemeenteraad hiervan op de hoogte is gebracht.

De hoofdvraag van het onderzoek luidt: • Welke van belang zijnde afwijking ten opzichte van de begroting zijn gerealiseerd en op welke manier zijn deze wijzigingen gecommuniceerd naar de gemeenteraad?

>

Deze wordt beantwoord door de volgende deelvragen te beantwoorden: • Welke wijzingen hebben zich voorgedaan met een belangrijke financiële impact? • Op welk moment en op welke wijze is de gemeenteraad op de hoogte gebracht van deze wijzigingen? En zijn er indicaties dat dit eerder had gekund/gemoeten?

| 58

Bijlage 3: Onderzoek naar begrotingswijzigingen

Baten

Baten en lasten: per programma en per P&C Product 4.000 3.500 3.000 2.500 2.000 1.500 1.000 500 0 0

1

2

3

4

5

6

7

8

9

10

11

12

A

B

Lasten

-1.000 -2.000 Toelichting: De baten en lasten (in miljoenen) per programma per P&C Product

-3.000 -4.000

Begroting

<

>

Voorjaarsnota | 59

Bijlage 3: Onderzoek naar begrotingswijzigingen

Selectie: uitgezochte wijzigingen per programma

Programma

Bedrag

Programma 10

1.098.100.000

Programma 7

492.100.000

Programma A

260.500.000

Programma 8

217.400.000

Programma 2

213.000.000

Toelichting: De omvang van de uitgezochte wijzingen, ten opzichte van het voorgaande P&C-product, per programma.

<

>

| 60

Bijlage 3: Onderzoek naar begrotingswijzigingen

Selectie: uitgezochte wijzigingen per soort

Oorzaak van wijziging

Bedrag

Corona

1.050.000.000

Projecten

936.000.000

Erfpacht

295.100.000

Toelichting: De omvang van de uitgezochte wijzingen, ten opzichte van het voorgaande P&C-product, per oorzaak

<

>

| 61

Bijlage 3: Onderzoek naar begrotingswijzigingen

Analyse van soorten wijzigingen

Het grootste gedeelte van de onderzochte wijzigingen heeft te maken met coronagerelateerde zaken: • Tijdelijk overbruggingsdeel zelfstandige ondernemers (Tozo) • Bijstelling van de opbrengsten/lasten of raming hiervan: • Parkeeropbrengsten • Toeristenbelasting • Bijstandsuitkeringen • Coronagerelateerde kosten (teststraten, belteams, bron-en contactonderzoek)

<

>

Naast coronagerelateerde wijzigingen zijn ook andere soorten wijzigingen: • Actualisatie van Meerjarenperspectief Grondexploitaties • Herziening van bouwplannen • Overgangsregeling en afkoopsommen erfpacht