Verantwoordingsrapportage 2022 – WOZ.pdf

Informatiebeveiliging (BIO)

BRP

Reisdocumenten

Suwinet

DigiD

BAG

BGT

BRO

WOZ

Bestuurlijke verantwoordingsrapportage WOZ Informatiebeveiliging en informatie-architectuur WOZ 2022

Datum vaststelling door College van B&W:

WOZ-rapportage ENSIA 2022

25-04-2023

Gemeente Bunschoten

Pagina 1 van 8

Inhoudsopgave Bestuurlijke verantwoordingsrapportage WOZ ....................................................................................... 3 Informatiebeveiliging en informatie-architectuur WOZ 2022............................................................... 3 Bijlage ..................................................................................................................................................... 5

WOZ-rapportage ENSIA 2022

Gemeente Bunschoten

Pagina 2 van 8

Bestuurlijke verantwoordingsrapportage WOZ Informatiebeveiliging en informatie-architectuur WOZ 2022 Gemeenten en uitvoeringsorganisaties zullen bij de interne beheersing van risico’s in het WOZ-proces voldoende aandacht moeten hebben voor de beheersing van geautomatiseerde systemen. Beheersingsaspecten die te maken hebben met architectuur, informatiebeveiliging, continuïteit, beschikbaarheid en algemene IT-beheersingsmaatregelen, moeten voldoende worden beheerst. Door maatschappelijke ontwikkelingen op het terrein van de verwachte privacybescherming en minimale beveiligingsmaatregelen en door veranderende visie op de voor een gemeentelijke organisatie gewenste architectuur vergen deze aspecten mee-ontwikkelende beheersingsmaatregelen. Bij de WOZ speelt de tegenstelling tussen enerzijds de maatschappelijke behoefte aan WOZ-waarden en WOZ-gegevens van hoge kwaliteit met de mogelijkheid tot inbreng van gegevens door belanghebbenden en anderzijds de behoefte aan privacybescherming bij burgers.

De Staatssecretaris van Financiën roept in een brief aan de Tweede Kamer (reactie op WODC-rapport over no cure no pay) gemeenten op om meer ruimte te bieden aan burgers om op laagdrempelige wijze gegevens uit de WOZ-administratie te controleren en aan te vullen, Dit vergt adequate aandacht niet alleen voor functionaliteit gericht op digitale dienstverlening, maar juist ook voor informatieveiligheid en een eigentijdse informatie-architectuur. Kortom aandacht voor investeringen in de vernieuwing van automatiseringssystemen.,

In onderstaande tabel zijn de uitkomsten van de WOZ-vragenlijst zoals deze binnen ENSIA zijn ingevuld voor uw organisatie samengevat. Onder het kopje “achtergrond” leest u meer over het betreffende aspect en hoe u dit, indien nodig, kunt verbeteren. Onderwerp

Conclusie score

Achtergrond

1.Naleving BIO

Score

De BIO is nog niet (volledig) geïmplementeerd in de organisatie, er worden daarom op dit moment geen controles uitgevoerd op naleving van de BIO voor de WOZ.

Ook voor de WOZ-systemen moet door de organisatie bekeken zijn, welke BIO-controls nodig zijn. De naleving van deze controls dient periodiek gecontroleerd te worden en de resultaten van deze beoordeling, in hoeverre de WOZ-systemen binnen de organisatie aan de BIO voldoen, dienen beschikbaar te zijn.

2. Ontwikkelingen BIO

Er worden op dit moment nog geen controles uitgevoerd op naleving van de BIO voor de WOZ. Organisatie is nog bezig met implementatie van de BIO.

Elke gemeente en gemeentelijke uitvoeringsorganisatie dient te voldoen aan de BIO. In de BIO zijn diverse controles verplicht voorgeschreven.

3. Common Ground

Organisatie heeft begin gemaakt met aanpassen aan een common ground conforme informatie-architectuur voor de WOZ.

Met Common Ground willen gemeenten de informatievoorziening eenvoudiger, flexibeler en slimmer inrichten. Zodat ze op een moderne

WOZ-rapportage ENSIA 2022

Gemeente Bunschoten

Pagina 3 van 8

Onderwerp

Score

Conclusie score

Achtergrond en flexibele manier kunnen inspelen op maatschappelijke opgaven.

4. Ontwikkelingen koppelvlakken

Er wordt nog gebruik gemaakt van kop- De Stuf-TAX bestandsuitwisselingen voldoen pelvlakken op basis ASCII-bestanden niet meer aan de hedendaagse eisen die ge(Stuf-TAX) voor de communicatie tus- steld worden aan informatiebeveiliging. De uitsen de diverse applicaties voor de wisseling van data dient plaats te vinden door WOZ-uitvoering. middel van beveiligd berichtenverkeer.

5. Inzicht in koppelvlakken

Tussen de applicaties die de uitvoering Een volledig overzicht van de verschillende van de WOZ-processen ondersteunen koppelvlakken / interfaces is van belang voor vindt interactie plaats. Er is een vollehet beheer hiervan. dig overzicht van de onderlinge relaties tussen deze systemen.

6. Externe systemen

Er is onderzocht of de verschillende Gemeenten moeten verifiëren of de gegevens geautomatiseerde systemen informatie in de LV WOZ nog overeenkomen met die van juist delen met externe systemen zoals de gemeentelijke Basisregistratie WOZ. bijvoorbeeld de Landelijke voorziening WOZ (LV WOZ) en MijnOverheid.

7. Interne systemen

Er zijn audits uitgevoerd om te beoordelen of alle voor de WOZ-uitvoering gebruikte systemen de gegevens uit interne systemen juist verwerken.

8. Beschikbaarheid managementinformatie

Op terrein van de beheersing van infor- Interne beheersing is uitsluitend mogelijk wanmatieveiligheid conform BIO is voor de neer er inzicht is in de mate waarin de beheerWOZ-uitvoering de gewenste manage- singsdoelen zijn bereikt. ment informatie beschikbaar.

9. Ontwikkelingen managementinformatie

Op terrein van de beheersing van infor- Interne beheersing is uitsluitend mogelijk wanmatieveiligheid conform BIO en van neer er inzicht is in de mate waarin de beheersynchronisatie met externe systemen is singsdoelen zijn bereikt. voor de WOZ-uitvoering de gewenste management informatie beschikbaar.

Om te waarborgen dat de informatie op een consistente wijze wordt gebruikt en verwerkt, is het belangrijk dat ook de consistentie van de gegevensverwerking regelmatig wordt beoordeeld.

In de bijlage zijn de complete vraagteksten en de namens uw organisatie opgegeven antwoorden en aanvullende toelichtingen terug te vinden. Hieronder vindt u welke conclusies uw WOZ-specialist heeft getrokken over de rol en invloed van IT op de WOZ-uitvoering binnen uw organisatie en welke verbetermaatregelen in 2022 reeds zijn getroffen ten aanzien van informatieveiligheid en informatie-architectuur in het kader van de WOZ-uitvoering. Conclusies De rol en invloed van IT op de uitvoering van de WOZ-processen is enorm en wordt binnen GBLT goed bewaakt. Gelet op de samenwerking met Centric en een aantal andere belastingorganisaties wordt ervoor gezorgd dat de uitvoering van de WOZ-processen toekomstbestendig is. Binnen de aanbesteding van de waarderingsapplicatie is er voldoende ruimte voor de invloed informatiebeveiliging, ICT uitgangspunten en ontwikkelingen.

Verbetermaatregelen GBLT doet op meerdere onderdelen aan informatiebeveiliging en dit heeft doorlopend onze aandacht. In 2022 is het strategisch informatiebeveiligingsbeleid door het bestuur vastgesteld en wordt er op dit moment gewerkt aan het opstellen van het tactische informatiebeveiligingsbeleid. Bij GBLT volgen (met de andere belastingkantoren) we op de voet de ontwikkelingen van het nieuwe IMWOZ3.20 model en we proberen de impact van de invoering op onze bedrijfsvoeringduidelijk te krijgen. Tevens is het continuïteitsbeleid geactualiseerd en vastgesteld. In 2022 is ook het kanalenbeleid vastgesteld.

WOZ-rapportage ENSIA 2022

Gemeente Bunschoten

Pagina 4 van 8

Bijlage Vraag

Antwoord

1. Worden er controles uitgevoerd of de BIO wordt nageleefd voor de WOZ-uitvoering?

Nee, de BIO is nog niet volledig geïmplementeerd in de organisatie

Geef een korte toelichting hoe deze controles eruit zien of waarom de BIO niet of nog niet volledig is geïmplementeerd.

Het implementeren van de BIO is een continu proces. GBLT is drukdoende om de BIO stapsgewijs te implementeren binnen haar organisatie. Hierbij participeert en werkt GBLT onder andere samen in een werkgroep informatiebeveiliging met andere grote belastingkantoren in Nederland met soortgelijke dienstverlening, bronapplicaties en architectuur. Er wordt vanuit de GBLT organisatie prioriteit gegeven om de BIO op een goede en zorgvuldige manier te implementeren en invulling aan te geven. Dit om zorg te dragen dat risico’s kunnen worden uitgesloten en/of worden beheerst. Gedurende het jaar hebben we o.a. het strategisch informatiebeveiligingsbeleid vastgesteld door het MT en het dagelijks bestuur en zijn er stappen gezet naar de verdere implementatie van de BIO.

2. Zijn in 2022 de controles op naleving van de BIO voor de WOZuitvoering veranderd?

Nee, in 2022 liep implementatie van de BIO nog. Implementatie is nogniet volledig. Er worden op dit moment nog geen controles uitgevoerd op naleving van de BIO voor de WOZ.

Geef een korte toelichting hoe deze controles op naleving van de BIO zijn veranderd.

Door GBLT is gecontroleerd of de leverancier van de WOZ applicatie beschikt over een ISO27001 certificering. Ook in de komende aanbesteding wordt hier aandacht voor gevraagd. Bij de aanschaf van de WOZ applicatie zijn technische maatregelen als bijv. Multi-factor Authenticatie afgedwongen en geïmplementeerd. Momenteel wordt de BIO nog verder bij GBLT geïmplementeerd. Verdere periodieke controles hierop moeten nog vormgegeven worden.

3. Zijn er in de loop van 2021/2022 stappen gezet in de richting van Ja een Common Ground conforme architectuur WOZ? Geef een korte toelichting op de stand van zaken.

4. Zijn er in 2021/2022 veranderingen doorgevoerd in het gebruik van koppelvlakken binnen het WOZ-domein?

WOZ-rapportage ENSIA 2022

Gemeente Bunschoten

De leverancier zit midden in de transitie naar de Common Ground architectuur. Dit is een doorlopend proces van enkele jaren, de hele keten moet hier klaar voor zijn. We volgen hierbij nauw gezet de landelijke ontwikkelingen zoals die door de VNG zijn gevraagd. Zie ook onderstaande link. https://vng.nl/sites/default/files/2022-07/20220423-PBLQVNG-Advies-versterken-bestuurlijke-sturing-Common-Ground.pdf Nee, er wordt nog steeds gebruik gemaakt van een koppelvlak op basis ASCII-bestanden (Stuf-TAX) voor de communicatie tussen de diverse applicaties voor de WOZ-uitvoering.

Pagina 5 van 8

Geef een korte toelichting op uw gegeven antwoord(en).

Voor de uitvoering van de Wet WOZ maakt GBLT gebruik van de programmatuur van Centric. Centric heeft zich geconformeerd aan het in 2019 afgesloten Convenant WOZ-ICT standaarden en past al jaren WOZ 03.12 toe. De berichtenkoppeling is geen Stuf-TAX uitwisseling, het is een afgesproken bedrijfsformaat tussen Centric en de Waarderingsapplicaties van Derden partijen. Centric is met soortgelijke dienstverleners aan het kijken of de gegevens set op een andere wijze gecommuniceerd kan worden door bijv. door toepassing van API’s. Dat is nog in oriënterende fase. Deze ontwikkeling wordt door GBLT nauwlettend gevolgd. De communicatie tussen de waarderingsapplicatie en de belastingenapplicatie loopt middels een StUF standaard beveiligd met 2-way SSL. De communicatie tussen de belastingapplicatie en de LV-WOZ loopt ook middels de daarvoor geldende standaard via DigiKoppeling.

5. Heeft uw organisatie een volledig overzicht van de verschillende Ja koppelvlakken/interfaces tussen de diverse applicaties die de uitvoering van de WOZ-processen ondersteunen? Geef een korte toelichting op uw gegeven antwoord.

Dit is gedocumenteerd en inzichtelijk.

6. Zijn er in 2021/2022 systematische controles/audits uitgevoerd Ja, onderzoek door eigen medewerkers om te beoordelen of de verschillende geautomatiseerde systemen informatie juist delen met externe systemen (als bijv. LVWOZ en de landelijke voorzieningen van de diverse basisregistraties)? Geef hier aan voor welke systemen dit het geval is.

7. Zijn er in 2021/2022 systematische controles/audits uitgevoerd om te beoordelen of alle voor de WOZ-uitvoering gebruikte systemen de gegevens uit interne systemen juist verwerken? (Tot de "interne" systemen rekenen we ook systemen die in service beheerd worden door een andere gemeente, door een dienstverlener, een cloud-oplossing of systemen die als SAAS beschikbaar zijn) Geef hier aan voor welke systemen dit het geval is.

WOZ-rapportage ENSIA 2022

Gemeente Bunschoten

GBLT is bronhouder voor 7 gemeenten i.h.k.v. de uitvoering van de Wet WOZ. Om ervoor te zorgen dat de data overeenkomt met de LV WOZ wordt gebruik gemaakt van de Confrontatietool van Centric. Daarnaast wordt de data uit de BAG, BRK, BRP, NHR op voorhand beoordeeld voordat deze verwerkt wordt in de administratie. Via de zelfevaluaties en interne controle mechanismen wordt continue gewerkt aan de kwaliteit van de data. Eventuele verschillen dan wel geconstateerde onjuistheden worden terug gemeld aan de bronhouder. Ja, onderzoek door eigen medewerkers

GBLT voert binnen de processen diverse kwalitatieve vergelijkingen uit om er zorg voor te dragen dat gegevens correct verwerkt worden. Daarnaast worden binnen GBLT bijvoorbeeld de gegevens van overige basisregistraties zoals BRK, BAG, BRP, WOZ op voorhand beoordeeld voordat deze binnen de diverse processen verwerkt worden.

Pagina 6 van 8

8. Is vanuit de WOZ-systemen de gewenste managementinformatie/stuurinformatie beschikbaar voor de beheersing van informatieveiligheid conform BIO en de juistheid en volledigheid van synchroniseren met externe systemen? Geef een korte toelichting op uw gegeven antwoord.

Ja

Om informatiebeveiliging effectief door te voeren binnen een organisatie, zijn de maatregelen, processen en beveiligingsprogramma's allemaal te herleiden naar drie fundamentele beveiligingsprincipes: Beschikbaarheid, Integriteit en Vertrouwelijkheid. Op basis van de aanwezige kennis en kunde wordt door het bevragen van de data middels de query’s of BI tool VyZyr de managementinformatie gegenereerd. Deze informatie wordt geanalyseerd en op basis hiervan worden conclusies en aanbevelingen gedaan.

9. Zijn er in de loop van 2021/2022 stappen gezet om de gewenste Nee, de gewenste managementinformamanagementinformatie/stuurinformatie beschikbaar te krijgen? tie/stuurinformatie was al beschikbaar De rol en invloed van IT op de uitvoering 10 Geef beknopt aan welke conclusies u, in het kader van de interne beheersing op basis van de stuurinformatie, heeft getrok- van de WOZ-processen is enorm en wordt binnen GBLT goed bewaakt. Gelet ken over de rol en invloed van IT op de WOZ-uitvoering.

op de samenwerking met Centric en een aantal andere belastingorganisaties wordt ervoor gezorgd dat de uitvoering van de WOZ-processen toekomstbestendig is. Binnen de aanbesteding van de waarderingsapplicatie is er voldoende ruimte voor de invloed informatiebeveiliging, ICT-uitgangspunten en ontwikkelingen.

11 Geef kort aan welke verbetermaatregelen u in 2022 heeft getroffen ten aanzien van informatieveiligheid en informatie-architectuur in het kader van de WOZ-uitvoering.

GBLT doet op meerdere onderdelen aan informatiebeveiliging en dit heeft doorlopend onze aandacht. In 2022 is het strategisch informatiebeveiligingsbeleid door het bestuur vastgesteld en wordt er op dit moment gewerkt aan het opstellen van het tactische informatiebeveiligingsbeleid. Bij GBLT volgen (met de andere belastingkantoren) we op de voet de ontwikkelingen van het nieuwe IMWOZ3.20 model en we proberen de impact van de invoering op onze bedrijfsvoeringduidelijk te krijgen. Tevens is het continuïteitsbeleid geactualiseerd en vastgesteld. In 2022 is ook het kanalenbeleid vastgesteld.

12 Vul hier beknopt uw aanbevelingen aan het college/bestuur in.

Als uitvoeringsorganisatie heeft GBLT de volgende aanbevelingen: Aantoonbaar maken en houden van de datakwaliteit LV-WOZ Data zijn de kroonjuwelen van een organisatie. Houd de kwaliteit van deze data aantoonbaar op orde. GBLT zorgt voor (meer) inzage in de primaire en secundaire objectkenmerken en actualisatie daarvan. GBLT stimuleert terugmeldingen aan de basisregistraties. Blijf (landelijke) ontwikkelingen nauwkeurig volgen en probeer, waar mogelijk, invloed uit te oefenen.

WOZ-rapportage ENSIA 2022

Gemeente Bunschoten

Pagina 7 van 8

De invoering van het nieuwe IMWOZ 3.20 model en de SOR zijn vertraagd. Ook Common Ground wil letterlijk nog niet goed van de grond komen. GBLT blijft de ontwikkelingen (met de andere belastingkantoren) op de voet volgen. Het is belangrijk de impact van de invoering op de bedrijfsvoering duidelijk te krijgen en waar nodig invloed uit te oefenen. Blijf innoveren Innovatie zoals robotisering (RPA) en toepassen van kunstmatige intelligentie (Artificial Intelligence, AI) hebben in andere sectoren al lang hun waarde bewezen. Ook GBLT is gestart om RPA en AI toe te passen in de WOZ processen. Zo wordt AI al toegepast als controle instrument bij de modelmatige waardering van de woningen. Daarnaast zien wij ontwikkelingen op het gebied van GEO-informatie voor het controleren van objectkenmerken. Zorg voor vakbekwame medewerkers Bovenstaande vraagt om medewerkers die vakbekwaam zijn en de juiste kennis en competenties hebben. Samen met de GBLT Academie wordt het vakmanschap van de GBLT medewerkers vergroot én op peil gehouden.

WOZ-rapportage ENSIA 2022

Gemeente Bunschoten

Pagina 8 van 8