x.11 Verantwoordingsrapportage WOZ 2022
Tekst van het document
Informatiebeveiliging (BIO)
BRP
Reisdocumenten
Suwinet
DigiD
BAG
BGT
BRO
WOZ
Bestuurlijke verantwoordingsrapportage WOZ Informatiebeveiliging en informatie-architectuur WOZ 2022
Datum vaststelling door College van B&W:
WOZ-rapportage ENSIA 2022
4 april 2023
Gemeente Amsterdam
Pagina 1 van 9
Inhoudsopgave Bestuurlijke verantwoordingsrapportage WOZ ......................................................................................3 Informatiebeveiliging en informatie-architectuur WOZ 2022 ..............................................................3 Bijlage ....................................................................................................................................................4
WOZ-rapportage ENSIA 2022
Gemeente Amsterdam
Pagina 2 van 9
Bestuurlijke verantwoordingsrapportage WOZ Informatiebeveiliging en informatie-architectuur WOZ 2022 Gemeenten en uitvoeringsorganisaties zullen bij de interne beheersing van risico’s in het WOZproces voldoende aandacht moeten hebben voor de beheersing van geautomatiseerde systemen. Beheersingsaspecten die te maken hebben met architectuur, informatiebeveiliging, continuïteit, beschikbaarheid en algemene IT-beheersingsmaatregelen, moeten voldoende worden beheerst. Door maatschappelijke ontwikkelingen op het terrein van de verwachte privacybescherming en minimale beveiligingsmaatregelen en door veranderende visie op de voor een gemeentelijke organisatie gewenste architectuur vergen deze aspecten mee-ontwikkelende beheersingsmaatregelen. Bij de WOZ speelt de tegenstelling tussen enerzijds de maatschappelijke behoefte aan WOZ-waarden en WOZ-gegevens van hoge kwaliteit met de mogelijkheid tot inbreng van gegevens door belanghebbenden en anderzijds de behoefte aan privacybescherming bij burgers.
De Staatssecretaris van Financiën roept in een brief aan de Tweede Kamer (reactie op WODC-rapport over no cure no pay) gemeenten op om meer ruimte te bieden aan burgers om op laagdrempelige wijze gegevens uit de WOZ-administratie te controleren en aan te vullen, Dit vergt adequate aandacht niet alleen voor functionaliteit gericht op digitale dienstverlening, maar juist ook voor informatieveiligheid en een eigentijdse informatie-architectuur. Kortom aandacht voor investeringen in de vernieuwing van automatiseringssystemen.,
In onderstaande tabel zijn de uitkomsten van de WOZ-vragenlijst zoals deze binnen ENSIA zijn ingevuld voor uw organisatie samengevat. Onder het kopje “achtergrond” leest u meer over het betreffende aspect en hoe u dit, indien nodig, kunt verbeteren. Onderwerp
Score
Conclusie score
Achtergrond
1.Naleving BIO
De BIO is volledig geïmplementeerd Ook voor de WOZ-systemen moet door de binnen de WOZ en er worden controles organisatie bekeken zijn, welke BIO-controls uitgevoerd op naleving! nodig zijn. De naleving van deze controls dient periodiek gecontroleerd te worden en de resultaten van deze beoordeling, in hoeverre de WOZ-systemen binnen de organisatie aan de BIO voldoen, dienen beschikbaar te zijn.
2. Ontwikkelingen BIO
Er zijn dit jaar voor het eerst controles uitgevoerd op naleving van de BIO voor de WOZ.
WOZ-rapportage ENSIA 2022
Gemeente Amsterdam
Elke gemeente en gemeentelijke uitvoeringsorganisatie dient te voldoen aan de BIO. In de BIO zijn diverse controles verplicht voorgeschreven.
Pagina 3 van 9
Onderwerp
Score
Conclusie score
Achtergrond
3. Common Ground
Er zijn nog geen concrete stappen gezet in de richting van een common ground conforme informatiearchitectuur voor de WOZ, maar de organisatie heeft er wel al aandacht voor.
Met Common Ground willen gemeenten de informatievoorziening eenvoudiger, flexibeler en slimmer inrichten. Zodat ze op een moderne en flexibele manier kunnen inspelen op maatschappelijke opgaven.
4. Ontwikkelingen koppelvlakken
Er wordt gebruikt gemaakt van de gewenste koppelvlakken (API's en/of xml-berichtenverkeer) voor de communicatie tussen de diverse applicaties voor de WOZ-uitvoering.
Gezien de privacy-gevoeligheid van (een deel van) de gegevens is permanente aandacht voor beveiliging van de genoemde koppelvlakken en bijgewerkt houden van alle betrokken systemen van groot belang.
5. Inzicht in koppelvlakken
Tussen de applicaties die de uitvoering Een volledig overzicht van de verschillende van de WOZ-processen ondersteunen koppelvlakken / interfaces is van belang voor vindt interactie plaats. Er is een het beheer hiervan. volledig overzicht van de onderlinge relaties tussen deze systemen.
6. Externe systemen
Er is onderzocht of de verschillende Gemeenten moeten verifiëren of de gegevens geautomatiseerde systemen informatie in de LV WOZ nog overeenkomen met die van juist delen met externe systemen zoals de gemeentelijke Basisregistratie WOZ. bijvoorbeeld de Landelijke voorziening WOZ (LV WOZ) en MijnOverheid.
7. Interne systemen
Er zijn audits uitgevoerd om te beoordelen of alle voor de WOZuitvoering gebruikte systemen de gegevens uit interne systemen juist verwerken.
Om te waarborgen dat de informatie op een consistente wijze wordt gebruikt en verwerkt, is het belangrijk dat ook de consistentie van de gegevensverwerking regelmatig wordt beoordeeld.
8. Beschikbaarheid managementinforma tie
Op terrein van de beheersing van informatieveiligheid conform BIO is voor de WOZ-uitvoering de gewenste management informatie beschikbaar.
Interne beheersing is uitsluitend mogelijk wanneer er inzicht is in de mate waarin de beheersingsdoelen zijn bereikt.
9. Ontwikkelingen managementinforma tie
Op terrein van de beheersing van Interne beheersing is uitsluitend mogelijk informatieveiligheid conform BIO en wanneer er inzicht is in de mate waarin de van synchronisatie met externe beheersingsdoelen zijn bereikt. systemen zijn stappen gezet om voor de WOZ-uitvoering de gewenste management informatie beschikbaar te krijgen.
In de bijlage zijn de complete vraagteksten en de namens uw organisatie opgegeven antwoorden en aanvullende toelichtingen terug te vinden. Hieronder vindt u welke conclusies uw WOZ-specialist heeft getrokken over de rol en invloed van IT op de WOZ-uitvoering binnen uw organisatie en welke verbetermaatregelen in 2022 reeds zijn getroffen ten aanzien van informatieveiligheid en informatie-architectuur in het kader van de WOZ-uitvoering. Conclusies Een goed aansluitende IT is essentieel voor de WOZ-uitvoering. Belastingen Amsterdam heeft mogelijkheden tot verbetering geïdentificeerd en gerealiseerd. Dit betreft o.a. een inhoudelijke verbetering van de stuurinformatie en het verder optimaliseren van de confrontatietool. Daarnaast ontwikkelt Amsterdam door op het middel van 'In bewerking' (objectstatus). Daarmee worden alle stromen die leiden tot objectaanpassingen verder in control gebracht. De doorontwikkeling om het belastingpakket en waarderingspakket beter op elkaar aan te laten sluiten is in gang gezet en zal in 2023 verder beslag krijgen. Dit doen we samen met de andere organisaties binnen de community Landelijke Lokale Belasting Processen (LLBP).
Verbetermaatregelen De informatiebeveiliging van de WOZ behoefde in 2022 geen verbetering omdat uit de jaarlijkse auditing van de informatieveiligheid blijkt dat deze voldoet aan de gestelde normen (zie eerder). De ontsluiting van de WOZ-gegevens (op verzoek van derden) wordt beoordeeld door de zogenaamde Trojka waarin de benodigde (juridische) expertise is vertegenwoordigd. Voor verdere innovatie op het terrein van informatiearchitectuur sluiten we aan op de ontwikkelingen bij Centric. Belastingen Amsterdam is actief lid binnen de community Landelijke Lokale Belasting Processen (LLBP). Centric heeft in 2021 een visie voor (verbeteringen in) de WOZ uitvoering neergelegd. Deze visie is gedeeld in de LLBP en is momenteel in uitvoering. WOZ-rapportage ENSIA 2022
Gemeente Amsterdam
Pagina 4 van 9
Door de invullers (ENSIA-coördinator en/of WOZ-specialist) worden de volgende aanbevelingen gedaan: Hier is geen behoefte aan.
WOZ-rapportage ENSIA 2022
Gemeente Amsterdam
Pagina 5 van 9
Bijlage Vraag
Antwoord
1. Worden er controles uitgevoerd of de BIO wordt nageleefd voor de WOZ-uitvoering?
Ja
Geef een korte toelichting hoe deze controles eruit zien of waarom de BIO niet of nog niet volledig is geïmplementeerd.
De governance, risk en compliance en de assurance bij Belastingen zijn structureel ingericht. Er zijn hierin geen wijzigingen t.o.v. vorig jaar nodig geweest. Belastingen Amsterdam is in control. De naleving van de BIO voor de WOZ-uitvoering wordt meegenomen in de brede toetsing van de compliancy bij Belastingen. Deze bestaat uit: a. Gemeentebrede uitvoering BIO: controle en rapportage via CISO aan bestuur. Momenteel wordt een BIO GAP-analyse uitgevoerd waarbij getoetst wordt of (volledig) wordt voldaan aan de BIO. b. Functioneel Beheer WOZ (autorisatie/toegang/wijzigingsbeheer): controle en rapportage via IT audit door gemeentelijke accountantsdienst ACAM. c. De WOZ voorziening is onderdeel van de SAAS dienst Centric Belastingen: c.1. ISO 27001 certificering: opzet van de interne beheersing van de belastingoplossing incl. WOZ c.2. ISAE/Norea 3000A: werking van de applicatieve laag van de belastingoplossing c.3. ISAE3402 type 2: werking van change/incident/accessmanagement, security, back up & restore van de belastingoplossing incl. WOZ c.4. Pen&hacktesten: periodiek in het kader van te verlenen assurance door Centric De follow-up wordt bewaakt door IV Amsterdam en Compliance Officer Belastingen. Bij iedere substantiële wijziging in de informatievoorziening wordt een risicoanalyse uitgevoerd en wordt de DPIA indien nodig geactualiseerd.
Momenteel worden controles op de naleving van de BIO uitgevoerd (zie volgend).
2. Zijn in 2022 de controles op naleving van de BIO voor de WOZuitvoering veranderd?
Ja, BIO was in 2021 al wel volledig geïmplementeerd. In 2022 eerste keer controles uitgevoerd op naleving
Geef een korte toelichting hoe deze controles op naleving van de BIO zijn veranderd.
De toetsing van de BIO compliancy bij Belastingen Amsterdam vindt momenteel plaats en bestaat uit: BIO scan (afgerond), GAP-analyse (gaande) en BIO Verbeterplan (gepland). De planning is deze toetsing eind 2022 te hebben afgerond. Op onderdelen is de BIO norm strenger dan de auditnormen. Dit is bekend. Eventuele BIO verbeterpunten zullen ingepland worden voor uitvoering.
WOZ-rapportage ENSIA 2022
Gemeente Amsterdam
Pagina 6 van 9
3. Zijn er in de loop van 2021/2022 stappen gezet in de richting van Nee, maar we hebben al onze een Common Ground conforme architectuur WOZ? leveranciers al wel naar hun visie en planning gevraagd Geef een korte toelichting op de stand van zaken.
De SAAS-dienst Centric Belastingen wordt afgenomen van Centric. Centric is deelnemer van het Groeipact voor Common Ground. Key2WOZ is een aparte module binnen de Centric Belastingen oplossing, waarbij de BR WOZ in een aparte databank is opgeslagen. De WOZ processen worden binnen de landelijke samenwerking in de Landelijke Lokale Belasting Processen (LLBP) doorontwikkeld op: de UI met servicelaag, modulair opgebouwde API laag BGT/BRK/BAG, geo georiënteerd werken en In bewerking stellen. Deze ontwikkelingen gaan door in 2022 en 2023. De waarderingsapplicatie zal begin/medio 2023 in de eigen SAAS van de leverancier worden geplaatst. De verbinding tussen de waarderingsapplicatie en de belastingapplicatie zal daarbij worden gemoderniseerd tot een API-koppelvlak. De VNG is bezig met een realisatiestrategie voor Common Ground. De mogelijke consequenties hiervan op de genoemde ontwikkelingen zullen te zijner tijd worden bepaald binnen de LLBP en samen met de leveranciers.
4. Zijn er in 2021/2022 veranderingen doorgevoerd in het gebruik van koppelvlakken binnen het WOZ-domein?
Nee, geen veranderingen nodig. Koppelvlakken waren al uitsluitend op basis van zowel API's als xml-berichten
Geef een korte toelichting op uw gegeven antwoord(en).
Voor de bepaling van de WOZ waardes wordt momenteel nog een database koppeling gebruikt tussen het systeem voor de WOZ-registratie en het systeem voor de Waardebepaling. Deze zal in 2023 worden vervangen en gestandaardiseerd (API).
5. Heeft uw organisatie een volledig overzicht van de verschillende Ja koppelvlakken/interfaces tussen de diverse applicaties die de uitvoering van de WOZ-processen ondersteunen? Geef een korte toelichting op uw gegeven antwoord.
6. Zijn er in 2021/2022 systematische controles/audits uitgevoerd om te beoordelen of de verschillende geautomatiseerde systemen informatie juist delen met externe systemen (als bijv. LVWOZ en de landelijke voorzieningen van de diverse basisregistraties)? Geef hier aan voor welke systemen dit het geval is.
WOZ-rapportage ENSIA 2022
Gemeente Amsterdam
Er is een Domeinarchitectuur Belastingen die het complete applicatielandschap inclusief koppelvlakken/interfaces voor de belastingoplossing omvat. De informatiestromen zijn ook vastgelegd. De WOZ-voorziening inclusief WOZ specifieke koppelvlakken/interfaces is opgenomen in de domeinarchitectuur. Ja, onderzoek door eigen medewerkers en externe partij
De SAAS dienst Centric Belastingen wordt afgenomen. De WOZ-uitvoering is hier onderdeel van. Het koppelvlak met de LV WOZ is gestandaardiseerd XML Pagina 7 van 9
berichtenverkeer via de Digikoppeling van Logius. Dit geeft zekerheid over het juist delen van WOZ informatie met de LV WOZ. De Confrontatietool LV WOZ is technisch geïmplementeerd en wordt momenteel operationeel gemaakt en in gebruik genomen voor de gemeente Amsterdam. Voor de gemeente Landsmeer is deze in gebruik. Met de confrontatietool worden de WOZadministraties in de LV WOZ en in Key2WOZ/Key2Belastingen inhoudelijk vergeleken en geactualiseerd. Het verkeer met Mijn Overheid is gestandaardiseerd en wordt gemonitord. Het verkeer met de basisregistraties verloopt via een gemeentelijke basisvoorziening (BRP) of via gestandaardiseerd berichtenverkeer in de SAAS oplossing (oa BAG gebeurtenissen). Beide worden gemonitord. Er zijn geen externe audits specifiek op het delen van informatie gedaan. 7. Zijn er in 2021/2022 systematische controles/audits uitgevoerd om te beoordelen of alle voor de WOZ-uitvoering gebruikte systemen de gegevens uit interne systemen juist verwerken? (Tot de "interne" systemen rekenen we ook systemen die in service beheerd worden door een andere gemeente, door een dienstverlener, een cloud-oplossing of systemen die als SAAS beschikbaar zijn) Geef hier aan voor welke systemen dit het geval is.
8. Is vanuit de WOZ-systemen de gewenste managementinformatie/stuurinformatie beschikbaar voor de beheersing van informatieveiligheid conform BIO en de juistheid en volledigheid van synchroniseren met externe systemen? WOZ-rapportage ENSIA 2022
Gemeente Amsterdam
Ja, onderzoek door eigen medewerkers en externe partij
De governance, risk en compliance en de assurance die dit aantoont zijn structureel ingericht. Er zijn hierin geen wijzigingen t.o.v. vorig jaar nodig geweest. Belastingen Amsterdam is in control. De SAAS dienst Centric Belastingen wordt afgenomen. De WOZuitvoering is hier onderdeel van. De assurance/auditing is als volgt (zie ook eerder): c.1. ISO 27001 certificering: opzet van de interne beheersing van de belastingoplossing incl. WOZ c.2. ISAE/Norea 3000A: werking van de applicatieve laag van de belastingoplossing c.3. ISAE3402 type 2: werking van change/incident/accessmanagement, security, back up & restore van de belastingoplossing incl. WOZ c.4. Pen&hacktesten: periodiek in het kader van te verlenen assurance door Centric. De certificering voor 2021 is geaccepteerd door Belastingen. De bevindingen vroegen geen actie van Belastingen. Daarnaast worden in de uitvoering van de WOZ kwaliteitscontroles uitgevoerd door medewerkers. Hiervoor worden binnen LLBP verband standaardcontroles (scripts) ontwikkeld. Ja
Pagina 8 van 9
Geef een korte toelichting op uw gegeven antwoord.
Binnen de SaaS dienst die Amsterdam afneemt zitten ook de VyZyR rapportages voor WOZ objectenbeheer.
9. Zijn er in de loop van 2021/2022 stappen gezet om de gewenste Ja managementinformatie/stuurinformatie beschikbaar te krijgen?
10 Geef beknopt aan welke conclusies u, in het kader van de interne beheersing op basis van de stuurinformatie, heeft getrokken over de rol en invloed van IT op de WOZ-uitvoering.
Een goed aansluitende IT is essentieel voor de WOZ-uitvoering. Belastingen Amsterdam heeft mogelijkheden tot verbetering geïdentificeerd en gerealiseerd. Dit betreft o.a. een inhoudelijke verbetering van de stuurinformatie en het verder optimaliseren van de confrontatietool. Daarnaast ontwikkelt Amsterdam door op het middel van 'In bewerking' (objectstatus). Daarmee worden alle stromen die leiden tot objectaanpassingen verder in control gebracht. De doorontwikkeling om het belastingpakket en waarderingspakket beter op elkaar aan te laten sluiten is in gang gezet en zal in 2023 verder beslag krijgen. Dit doen we samen met de andere organisaties binnen de community Landelijke Lokale Belasting Processen (LLBP).
11 Geef kort aan welke verbetermaatregelen u in 2022 heeft getroffen ten aanzien van informatieveiligheid en informatiearchitectuur in het kader van de WOZ-uitvoering.
De informatiebeveiliging van de WOZ behoefde in 2022 geen verbetering omdat uit de jaarlijkse auditing van de informatieveiligheid blijkt dat deze voldoet aan de gestelde normen (zie eerder). De ontsluiting van de WOZgegevens (op verzoek van derden) wordt beoordeeld door de zogenaamde Trojka waarin de benodigde (juridische) expertise is vertegenwoordigd. Voor verdere innovatie op het terrein van informatiearchitectuur sluiten we aan op de ontwikkelingen bij Centric. Belastingen Amsterdam is actief lid binnen de community Landelijke Lokale Belasting Processen (LLBP). Centric heeft in 2021 een visie voor (verbeteringen in) de WOZ uitvoering neergelegd. Deze visie is gedeeld in de LLBP en is momenteel in uitvoering.
12 Vul hier beknopt uw aanbevelingen aan het college/bestuur in.
Hier is geen behoefte aan.
WOZ-rapportage ENSIA 2022
Gemeente Amsterdam
Pagina 9 van 9