Verantwoordingsrapportage BR WOZ 2021.pdf

Bestuurlijke verantwoordingsrapportage WOZ Informatiebeveiliging en informatie-architectuur WOZ 2021 Gemeenten en uitvoeringsorganisaties zullen bij de interne beheersing van risico’s in het WOZ-proces voldoende aandacht moeten hebben voor de beheersing van geautomatiseerde systemen. Beheersingsaspecten die te maken hebben met architectuur, informatiebeveiliging, continuïteit, beschikbaarheid en algemene IT-beheersingsmaatregelen (General IT Controls als back-up & recovery, change management), moeten voldoende worden beheerst. Door snelle ontwikkelingen op het terrein van minimale beveiligingsmaatregelen en gewenste architectuur vergen deze aspecten even snel mee-ontwikkelende beheersingsmaatregelen. Gezien de maatschappelijke behoefte aan WOZ-waarden en WOZ-gegevens van hoge kwaliteit met de mogelijkheid tot inbreng van belanghebbenden (regie op gegevens) en gezien de ontwikkelingen rond basisregistraties en het tot stand brengen van één objectenregistratie zullen gemeenten en uitvoeringsorganisaties zich moeten realiseren dat er aanzienlijke investeringen in de komende jaren nodig zijn. Dat betreft voor een belangrijk deel investeringen in de vernieuwing van automatiseringssystemen, gericht op het benutten van geografische informatiesystemen (GIS), het benutten van AI-technieken in taxatiemodellen en de overgang naar een andere informatie-architectuur.

Deze andere informatie-architectuur is nodig om mee te gaan met technische ontwikkelingen, met ontwikkelingen op het terrein van informatieveiligheid en de hiervoor geschetste ontwikkelingen rond basisregistraties en het tot stand brengen van één objectenregistratie. Maar zeker ook de communicatie met inwoners en het realiseren van "regie op gegevens" vergt op korte termijn investeringen in de ICT-infrastructuur rond het WOZ-domein. Concrete stappen zijn bijvoorbeeld vervangen van bestandsuitwisselingen door beveiligd berichtenverkeer. Tot slot is de verwachting dat voor de geo-basisregistraties en de WOZ in de komende jaren verdere samenwerking aan de orde is, ook in uw gemeente. Daarbij is ook aandacht voor de datakwaliteit van groot belang.

Zie ook de toolbox Samenhangende objectenregistratie en ICTontwikkelingen op de website van de Waarderingskamer (https://www.waarderingskamer.nl/basisregistratie-woz-lvwoz/investeringsagenda).

Datum vaststelling door college van Burgemeester en Wethouders 19 april 2022

WOZ-rapportage ENSIA 2021

Gemeente Amsterdam

Pagina 1 van 6

Bestuurlijke verantwoordingsrapportage WOZ Informatiebeveiliging en informatie-architectuur WOZ 2021 In onderstaande tabel zijn de uitkomsten van de WOZ-vragenlijst zoals deze binnen ENSIA zijn ingevuld voor uw organisatie samengevat. Onder het kopje ‘tips’ leest u meer over het betreffende aspect en hoe u dit, indien nodig, kunt verbeteren. Status Conclusie

Tips

De BIO is volledig geïmplementeerd binnen de WOZ en er worden controles uitgevoerd op naleving.

Elke gemeente en gemeentelijke uitvoeringsorganisatie dient te voldoen aan de BIO. Ook voor de WOZ-systemen moet daarom door de organisatie bekeken zijn, welke BIO-controls nodig zijn. De naleving van deze controls dient periodiek gecontroleerd te worden en de resultaten van deze beoordeling, in hoeverre de WOZ-systemen binnen de organisatie aan de BIO voldoen, dienen beschikbaar te zijn.

De overgang naar Common Ground conforme architectuur voor de WOZ is gestart!

Bekijk hier (https://commonground.nl/) wat deze ingrijpende hervorming van de informatievoorziening voor uw organisatie gaat betekenen en wat u al kunt doen.

Er wordt gebruikt gemaakt van de gewenste koppelvlakken (API's en/of xml-berichtenverkeer) voor de communicatie tussen de diverse applicaties voor de WOZ-uitvoering.

Gezien de privacy-gevoeligheid van (een deel van) de gegevens in de WOZ-administratie en de ontwikkelingen in de architectuur van de WOZ-informatiehuishouding is permanente aandacht voor beveiliging van de genoemde koppelvlakken en bijgewerkt (releases and patches) houden van alle betrokken systemen van groot belang.

Tussen de applicaties die de uitvoering van de WOZ-processen ondersteunen vindt interactie plaats. Er is een volledig overzicht van de onderlinge relaties tussen deze systemen.

Het is raadzaam een volledig overzicht van de verschillende koppelvlakken / interfaces te hebben zodat u deze kunt beheren.

Er is onderzocht of de verschillende geautomatiseerde systemen informatie juist delen met externe systemen zoals bijvoorbeeld de Landelijke voorziening WOZ (LV WOZ) en MijnOverheid.

Gemeenten moeten verifiëren of de gegevens in de LV WOZ nog overeenkomen met die van de gemeentelijke Basisregistratie WOZ. Indien dit niet gebeurt bestaat het risico dat afnemers niet de juiste gegevens krijgen, inwoners niet tijdig hun WOZ-waarde op www.wozwaardeloket.nl zien en de belastingcapaciteit per gemeente, die het CBS op basis van de LV WOZ vaststelt, niet klopt.

Er zijn audits uitgevoerd om te beoordelen of alle Contact met een inwoner in het kader van de WOZ-waarde kan ook gaan over gegevens die met voor de WOZ-uitvoering gebruikte systemen de betrekking tot deze belanghebbende (deze onroerende zaak) vastliggen in andere (basis)registraties. gegevens uit interne systemen juist verwerken. Om te waarborgen dat de informatie uit andere basisregistraties op een doelmatige en consistente wijze wordt gebruikt en verwerkt, is het belangrijk dat ook de aansluiting van de WOZ-uitvoering op deze (basis)registraties regelmatig wordt beoordeeld.

WOZ-rapportage ENSIA 2021

Gemeente Amsterdam

Pagina 2 van 6

Bestuurlijke verantwoordingsrapportage WOZ Informatiebeveiliging en informatie-architectuur WOZ 2021 Op terrein van de beheersing van informatiebeveiliging conform BIO is voor de WOZ-uitvoering de gewenste managementinformatie beschikbaar.

Op pagina 88 en 91 van de Waarderingsinstructie (https://www.waarderingskamer.nl/hulpmiddelen-gemeenten/waarderingsinstructie/) is onder het kopje “stuurinformatie” beschreven welke managementinformatie er belangrijk is bij het inzicht krijgen in de naleving van beveiligingsbeleid en -normen (BIO).

In de bijlage zijn de complete vraagteksten en de namens uw organisatie opgegeven antwoorden terug te vinden. Daar vindt u ook welke conclusies uw WOZ-specialist heeft getrokken over de rol en invloed van IT op de WOZ-uitvoering binnen uw organisatie en welke verbetermaatregelen in 2021 reeds zijn getroffen ten aanzien van informatieveiligheid en informatie-architectuur in het kader van de WOZ-uitvoering.

WOZ-rapportage ENSIA 2021

Gemeente Amsterdam

Pagina 3 van 6

Bestuurlijke verantwoordingsrapportage WOZ Informatiebeveiliging en informatie-architectuur WOZ 2021 Bijlage Vraag

Antwoord

Worden er controles uitgevoerd of de BIO wordt nageleefd voor de WOZ-uitvoering?

Ja

Geef een korte toelichting hoe deze controles eruitzien of waarom de BIO niet of nog niet volledig is geïmplementeerd.

De naleving van de BIO voor de WOZ-uitvoering wordt meegenomen in de brede toetsing van de BIO compliancy bij Belastingen. Deze bestaat uit: a. Gemeentebrede uitvoering BIO: controle en rapportage via CISO aan bestuur. Momenteel wordt een BIO scan uitgevoerd waarbij getoetst wordt of (volledig) wordt voldaan aan de BIO. b. Functioneel Beheer WOZ (autorisatie/toegang/wijzigingsbeheer): controle en rapportage via IT audit door gemeentelijke accountantsdienst ACAM. c. De WOZ voorziening is onderdeel van de SAAS dienst Centric Belastingen: c.1. ISO 27001 certificering: opzet van de interne beheersing van de belastingoplossing incl. WOZ c.2. Norea 3000A: werking van de applicatieve laag van de belastingoplossing c.3. ISAE3402 type 2: werking van change/incident/accessmanagement, security, back up & restore van de belastingoplossing incl. WOZ c.4. Pen&hacktesten: periodiek in het kader van te verlenen assurance door Centric De follow-up wordt bewaakt door IV Amsterdam en Compliance Officer Belastingen. Bij iedere substantiële wijziging in de informatievoorziening wordt een risicoanalyse uitgevoerd en wordt de DPIA indien nodig geactualiseerd.

Is de overgang naar Common Ground conforme Ja architectuur voor de WOZ gestart? Geef een korte toelichting op de stand van zaken.

SAAS dienst Centric Belastingen: Centric is deelnemer van het Groeipad. Key2WOZ is een aparte module binnen de Centric Belastingen oplossing, waarbij de BR WOZ in een aparte databank is opgeslagen. De WOZ processen worden in 2020, 2021 en 2022 doorontwikkeld op: de UI met servicelaag, modulair opgebouwde API laag BGT/BAG/BRK, geo georiënteerd werken en In bewerking stellen. Centric heeft daarnaast gemeentespecifieke API's ontwikkeld voor de ontsluiting van gegevens. Deze ontwikkelingen zijn gaande in 2021 en 2022.

Maakt uw organisatie gebruik van standaard Ja, zowel API’s als xml (StUF woz 03.12) koppelvlakken voor de communicatie tussen de diverse applicaties voor de WOZ-uitvoering? Geef een korte toelichting op uw gegeven antwoord.

SAAS dienst Centric Belastingen: De oplossing omvat koppelvlakken o.b.v. XML berichtenverkeer en StUF WOZ. De koppelvlakken met Basisregistraties en de LV WOZ zijn volgens landelijke standaarden.

Heeft uw organisatie een volledig overzicht van Ja de verschillende koppelvlakken/interfaces WOZ-rapportage ENSIA 2021

Gemeente Amsterdam

Pagina 4 van 6

Bestuurlijke verantwoordingsrapportage WOZ Informatiebeveiliging en informatie-architectuur WOZ 2021 tussen de diverse applicaties die de uitvoering van de WOZ-processen ondersteunen? Geef een korte toelichting op uw gegeven antwoord.

Er is een Domeinarchitectuur Belastingen die het complete applicatielandschap inclusief koppelvlakken/interfaces omvat. De WOZ-voorziening inclusief WOZ specifieke koppelvlakken/interfaces is daarin opgenomen. De domeinarchitectuur wordt bij iedere relevante wijziging geactualiseerd.

Zijn er audits uitgevoerd om te beoordelen of Ja, onderzoek door eigen medewerkers de verschillende geautomatiseerde systemen informatie juist delen met externe systemen (als bijv. LVWOZ en de landelijke voorzieningen van de diverse basisregistraties. Geef hier aan voor welke systemen dit het geval is.

SAAS dienst Centric Belastingen: Het koppelvlak met de LV WOZ is gestandaardiseerd XML berichtenverkeer (Digikoppeling). De Confrontatietool LV WOZ is technisch geïmplementeerd en wordt operationeel gemaakt en in gebruik genomen. Hiermee worden de WOZ-administraties in de LV WOZ en in Key2WOZ/Key2Belastingen vergeleken en geactualiseerd. Het verkeer met Mijn Overheid is gestandaardiseerd en wordt gemonitord. Het verkeer met de basisregistraties verloopt via een gemeentelijke basisvoorziening (BRP) of via gestandaardiseerd berichtenverkeer in de SAAS oplossing (oa BAG gebeurtenissen). Beide worden gemonitord. Er zijn geen externe audits specifiek op het delen gedaan.

Zijn er audits uitgevoerd om te beoordelen of alle voor de WOZ-uitvoering gebruikte systemen de gegevens uit interne systemen juist verwerken? (Tot de "interne" systemen rekenen we ook systemen die in service beheerd worden door een andere gemeente, door een dienstverlener, een cloud-oplossing of systemen die als SaaS beschikbaar zijn).

Ja, onderzoek door externe partij

Geef hier aan voor welke systemen dit het geval is.

SAAS dienst Centric Belastingen: De werking wordt jaarlijks geaudit via de Norea 3000A en de ISAE 3402 type 2. De Norea 3000A ziet toe op de applicatieve werking (processen) van de belastingapplicatie. De WOZ voorziening is eind 2019 in gebruik genomen en is geen onderdeel van de NOREA 3000A voor 2020. De ISAE3402 type 2 auditing ziet toe op de werking van hosting en beheer van de belastingoplossing incl. WOZ. Bewaking van de eventuele follow-up van audits gebeurt door IV Amsterdam en Compliance Office Belastingen.

WOZ-rapportage ENSIA 2021

Gemeente Amsterdam

Pagina 5 van 6

Bestuurlijke verantwoordingsrapportage WOZ Informatiebeveiliging en informatie-architectuur WOZ 2021 Is vanuit de WOZ-systemen de gewenste managementinformatie beschikbaar?

Ja

Geef een korte toelichting op uw gegeven antwoord.

Binnen de SaaS dienst die Amsterdam afneemt zitten ook de VyZyR rapportages voor WOZ objectenheer.

Geef beknopt aan welke conclusies u, in het Een goed aansluitende IT is essentieel voor de WOZ-uitvoering. Belastingen Amsterdam heeft mogelijkheden tot kader van de interne beheersing op basis van verbetering geïdentificeerd. Dit betreft een procesoptimalisatie in de verwerking van BAG mutaties. Daarnaast de stuurinformatie, heeft getrokken over de rol ontwikkelt Amsterdam door op het middel van 'In bewerking' (objectstatus). Daarmee worden alle stromen die en invloed van IT op de WOZ-uitvoering. leiden tot objectaanpassingen verder in control gebracht. Dit doen we samen met de andere organisaties binnen de community Landelijke Lokale Belasting Processen (LLBP). Geef kort aan welke verbetermaatregelen u in Voor verdere innovatie op het terrein van informatiearchitectuur sluiten we aan op de ontwikkelingen bij Centric. 2021 heeft getroffen ten aanzien van Belastingen Amsterdam is actief lid binnen de community Landelijke Lokale Belasting Processen (LLBP). Centric informatieveiligheid en informatie-architectuur heeft in 2021 een visie voor (verbeteringen in) de WOZ uitvoering neergelegd. Deze visie is gedeeld in de LLBP en in het kader van de WOZ-uitvoering. wordt daar verder landelijk ingevuld en opgepakt.

De informatieveiligheid van de WOZ behoefde in 2021 geen verbetering omdat uit de jaarlijkse auditing van de informatieveiligheid blijkt dat deze voldoet aan de gestelde normen. Wel is in 2021 een project gestart waarin de ontsluiting van de WOZ-gegevens (juridisch) wordt herbeoordeeld en gestandaardiseerd.

WOZ-rapportage ENSIA 2021

Gemeente Amsterdam

Pagina 6 van 6