Bijlage 1 Adviesrapport SWO De Wolden Hoogeveen 1.0 29042024

Samenwerkingsorganisatie De Wolden Hoogeveen

ADVIES OVER EEN TOEKOMSTVASTE INFORMATIEVOORZIENING

Sparrenheuvel 32, 3708 JE Zeist | (030) 2 270 500 | info@mxi.nl | www.mxi.nl

Project 23056 Versie 1.0 / 17 april 2024 Matthijs van Baardewijk Anouk Kramp

KERNBOODSCHAP/MANA GEMENTSAMENVATTING

Een gemiddelde gemeente worden op het terrein van IV en ICT betekent vooral omarmen dat “digitaal het nieuwe normaal is”. Digitale dienstverlening is voor gemeenten geen keuze; in ontwikkelde zijnde wetgeving stelt hier ook steeds meer eisen aan. Digitale dienstverlening is ook een kans, om met minder inzet meer maatschappelijk effect te bereiken. Een gemiddelde gemeente worden, vraagt een zeer betrokken rol van het management. Het management is opdrachtgever en stuurt actief op processtandaardisatie en de digitalisering daarvan.

Wat betreft IV (informatievoorzienings)processen is het advies om tactische en strategische functies te versterken en daarmee overzicht, inzicht en betere sturing te krijgen op de informatievoorziening en bijbehorende financiën en inzet van capaciteit. Op het gebied van automatisering kampt SWO o.a. met performance problemen en tijdgebrek bij Automatisering. Het kiezen voor een sourcingstrategie en het starten van een (goed voorbereid) aanbestedingstraject wordt elke dag urgenter. Vooral om te zorgen voor een beschikbare en veilige digitale werkomgeving. Bij het kiezen van de sourcingsscope is het van belang de impact daarvan op de personele organisatie te bepalen. Een integraal advies is door M&I/Partners uitgewerkt in een roadmap met 11 sporen, te realiseren via één samenhangend programma.

INHOUDSOPGAVE 1 1.1 1.2 1.3 1.4 1.5 2 2.1 2.2

WAAROM? Achtergrond/ aanleiding Stijgende ICT kosten Voldoen aan wetgeving Maatschappelijke effecten Leeswijzer

HOE? Inleiding Business – van ontevreden klant naar betrokken opdrachtgever 2.2.1 Huidige situatie 2.2.2 Toekomstige situatie 2.3 Architectuur – van ‘Zonder architectuur’ naar ‘onder architectuur’ 2.3.1 Huidige situatie 2.3.2 Toekomstige situatie 2.3.3 Gebruikte meetlat/ raamwerk/ methodiek 2.4 Sourcingstrategie – van informeel naar formeel beleid 2.4.1 Huidige situatie 2.4.2 Toekomstige situatie 2.4.3 Gebruikte meetlat/ raamwerk/ methodiek 2.5 Infrastructuur – van uitvoering naar regie 2.5.1 Huidige situatie 2.5.2 Toekomstige situatie 2.5.3 Gebruikte meetlat/ raamwerk/ methodiek 2.6 Applicatielandschap – Van ‘end of life’ naar lifecyclemanagement 2.6.1 Huidige situatie 2.6.2 Toekomstige situatie 2.6.3 Gebruikte meetlat/ raamwerk/ methodiek Processen: VAN IT-PROCESSEN NAAR via opdrachtgeverschap naar DIGITAAL LEIDERSCHAP 2.6.4 Huidige situatie 2.6.5 Toekomstige situatie 2.6.6 Gebruikte meetlat/ raamwerk/ methodiek 2.7 Projecten – van IT-project naar business-project 2.7.1 Huidige situatie 2.7.2 Toekomstige situatie 2.7.3 Gebruikte meetlat/ raamwerk/ methodiek 2.8 Data – data is blijvend, applicaties zijn tijdelijk 2.8.1 Huidige situatie 2.8.2 Toekomstige situatie 2.8.3 Gebruikte meetlat/ raamwerk/ methodiek 2.9 Informatieveiligheid – van veilige techniek naar veilig gedrag 2.9.1 Huidige situatie 2.9.2 Toekomstige situatie

5 5 7 8 9 10 11 11 12 12 13 13 13 14 15 15 15 16 16 17 17 17 18 19 19 20 20 20 20 21 22 23 23 23 23 24 24 24 24 25 25 27

2.9.3 2.10 2.10.1 2.10.2 2.10.3 2.11 2.11.1 2.11.2 2.11.3

Gebruikte meetlat/ raamwerk/ methodiek Personeel – van beheerorganisatie naar wendbare organisatie Huidige situatie Toekomstige situatie Gebruikte meetlat/ raamwerk/ methodiek Financiën – van reactief naar proactief investeren Huidige situatie Toekomstige streefsituatie Gebruikte meetlat/ raamwerk/ methodiek

3 3.1

3.3

WAT? 33 Wat moeten SWO doen om een gemiddelde presterende gemeente te worden die voldoet aan de wettelijke eisen ? 33 De minimale variant (actieplan) om een gemiddelde gemeente te worden (per aspect van de mindmap wellicht): Fout! Bladwijzer niet gedefinieerd. Business-spoor 34 Architectuur 35 Sourcingstrategie 35 Roadmap Sourcing 35 Grove financiële schatting (outsourcingstraject) 36 Technische infrastructuur 36 Applicatielandschap 37 Processen 37 Projecten 38 Veiligheid 38 Data 38 Personeel 38 Financiën 39 Financiële investeringsvoorstel 41

4

STURING OP DE ROADMAP

3.2 3.2.1 3.2.2 3.2.3

3.2.4 3.2.5 3.2.6 3.2.7 3.2.8 3.2.9 3.2.10 3.2.11

28 29 29 30 31 31 31 31 32

42

5/45

1

WAAROM?

1.1

ACHTERGROND/ AANLEIDING

In 2015 zijn de gemeenten De Wolden en Hoogeveen ambtelijk gefuseerd tot samenwerkingsorganisatie (SWO) De Wolden Hoogeveen. Kort daarna is de Gemeente Hoogeveen in financieel zwaar weer terecht gekomen en waren flinke bezuinigingen nodig. Eén van de neveneffecten hiervan is dat de doorontwikkeling van o.a. de informatievoorziening niet voldoende heeft plaats gevonden en gestructureerd beheren en planmatig ontwikkelen onvoldoende werd. Hierdoor zijn achterstanden ontstaan en wordt het – nu de rust terugkeert – tijd de doorontwikkeling van de informatievoorziening te versterken. De ambitie van de SWO is door de gemeentesecretarissen verwoord als: ‘We willen een gemiddelde gemeente zijn.’ De directie heeft het initiatief hierin genomen door drie interventies te plegen: (1) het aanstellen van een nieuwe (interim) ICT-manager, (2) het inrichten van een portfolioboard en tenslotte (3) dit onderzoek van M&I Partners naar de vraag hoe SWO De Wolden Hoogeveen een gemiddelde gemeente kan worden op het terrein van I&A. De behoefte van de SWO is dat er een onderzoek wordt gedaan naar de stand van zaken, een beeld geschetst wat het zou moeten zijn en een route/spoorboekje hoe daar te komen.

Rapport Advies over een toekomstbestendige informatievoorziening Versie 1.0/ 29 april 2024

6/45

Figuur 1, de scope van het 'spoorboekje/ de roadmap'

Rapport Advies over een toekomstbestendige informatievoorziening Versie 1.0/ 29 april 2024

7/45

1.2

STIJGENDE ICT KOSTEN

M&I/Partners voert jaarlijks een benchmark uit voor ICT-kosten. Hieruit blijkt dat de wereld om ons heen digitaliseert en dat ook van gemeenten wordt verwacht hierin mee te bewegen. De afgelopen jaren zien we een snelle stijging van de ICT-kosten bij gemeenten, een inhaalslag na jaren van relatief stabiele kosten. Sinds 2015 stijgen de ICT-kosten jaarlijks meer dan de inflatie. Gemeenten worden geconfronteerd met nieuwe wetgeving, hogere eisen voor gegevensbescherming, een krappe arbeidsmarkt en groeiende digitaliseringsbehoeften, wat heeft geleid tot een stijging van uitgaven aan ICT. Deze stijging is merkbaar op het gebied van: ◼ personeel (meer informatiemanagement, informatiebeveiliging en BI-personeel); ◼ software, met stijgende kosten door het toenemende gebruik van Software as a Service (SaaS); ◼ op het gebied van infrastructuur, waar vooral in servers en opslag een kwaliteitsslag wordt gemaakt.

Figuur 2: De ontwikkeling van ICT-kosten per inwoner vergeleken met de inflatieontwikkeling De ICT-kosten per inwoner van 2004 tot 2022 uiteengezet tegen de inflatieontwikkeling in deze periode. De blauw gekleurde lijn representeert de kosten wanneer deze alleen met de inflatie zouden zijn toegenomen.

De verwachting van M&I/Partners, gebaseerd op jarenlange benchmark cijfers, is dat de ICT-kosten de komende jaren alleen maar zullen toenemen. Hierbij moet rekening worden gehouden met een gemiddelde van 110 euro per inwoner in boekjaar 2023 en ongeveer 116 euro per inwoner in 2024. De SWO zal dus structureel aanzienlijke bedragen moeten rekenen/toevoegen aan haar begroting voor ICT. Tegelijkertijd moet de SWO ook rekening blijven houden met een beperkt absorptievermogen van de organisatie en een krappe arbeidsmarkt. Op gelijk niveau komen met de benchmark is geen doel op zich, maar het betekent wel dat aanzienlijke inspanningen geleverd moeten worden.

Rapport Advies over een toekomstbestendige informatievoorziening Versie 1.0/ 29 april 2024

8/45

1.3

VOLDOEN AAN WETGEVING

Zoals eerder genoemd hebben gemeenten ook aan steeds meer wetgeving te voldoen. Dat vraagt continu aandacht, tijd, energie en geld om te zorgen dat “de informatievoorziening” en de omgang daarmee zich voldoende aanpast. De SWO moet er rekening mee houden dat dit blijvend is en dat structureel 25-30% van de tijd van IV/ICT (informatievoorziening en ICT) hierin gaat zitten. Om een beeld te geven van de veelheid en complexiteit van wat er op gemeenten, en dus ook op de SWO afkomt, heeft M&I/Partners de wettenradar ontwikkeld. Hieronder is het overzicht te zien van de wetgeving die impact heeft op de informatievoorziening. In een gemiddelde gemeente is deze wetgevingsradar aanleiding om vanuit betreffende domeinen impactanalyses te maken vervolgens wijzigingen en/of projecten te starten om te zorgen dat aan wetgeving wordt voldaan. Daarbij is opvallend dat algemene ontwikkelingen veelal impact hebben op alle domeinen.

Rapport Advies over een toekomstbestendige informatievoorziening Versie 1.0/ 29 april 2024

9/45

1.4

MAATSCHAPPELIJKE EFFECTEN

Het grotere gedachtegoed achter alle nieuwe wetgeving is veilige, digitale en integrale dienstverlening aan inwoners, ondernemers en bezoekers van gemeenten, binnen Nederland en binnen de Europese Gemeenschap. De afgelopen jaren is er bij de SWO al veel geld naar informatievoorziening gegaan. De komende jaren zal dit eerder toenemen dan afnemen. Zoals in vorige paragraaf al is gesteld: er komt heel veel wetgeving op gemeenten af, die impact heeft op de informatievoorziening. Het is belangrijk om naar het maatschappelijk effect van die wetgeving te kijken. Immers, informatievoorziening is geen doel op zich, maar een middel om gemeentelijke taken goed te regelen. Neem bijvoorbeeld Omgevingswet: die is bedoeld om in gezamenlijkheid de omgeving vorm te geven. Die gezamenlijkheid komt tot stand door één wet en één digitaal loket voor informatie en aanvragen. Hierdoor wordt het makkelijker om aanvragen in te dienen en aanvragen in gezamenlijkheid met ketenpartners af te handelen. Dan de Wet open overheid: de bedoeling van deze wet is dat de gemeente open en transparant is over alles wat zij doet en de processen die zij uitvoert. Dit moet ertoe leiden dat de samenleving (weer meer) vertrouwen krijgt/houdt in de overheid. Onderdeel hiervan is het actief openbaar maken van vele soorten informatie. Randvoorwaarde voor het succes is het op orde hebben van de informatiehuishouding.

Als laatste voorbeeld is er de Network and Information Security Directive, of NIS2-richtlijn. Deze richtlijn is bedoeld om de cyberbeveiliging en de weerbaarheid van essentiële diensten te verbeteren. Veel van de diensten van gemeenten zijn essentiële diensten. Zonder de beschikbaarheid van die diensten, en de informatie die nodig is voor de levering van die diensten, worden grote groepen in de samenleving direct geraakt in hun persoonlijke levens. Denk aan bijvoorbeeld de verstrekking van uitkeringen in het sociaal domein. Kortom: investeren in de informatievoorziening, is investeren in de maatschappelijk effecten die de informatievoorziening dient. Het is belangrijk om dit verhaal duidelijk te vertellen. Immers ICT is nog voor te veel mensen een ver-van-hun-bed-show. Maar de maatschappelijke effecten zijn zaken die iedereen in het dagelijks leven kan ervaren.

Rapport Advies over een toekomstbestendige informatievoorziening Versie 1.0/ 29 april 2024

10/45

1.5

LEESWIJZER

Na deze financiële, wettelijke en maatschappelijke context, geven in de komende hoofdstukken antwoord op de vraag: hoe kan SWO de Wolden Hoogeveen op het gebied van ICT en IV een gemiddelde gemeente worden?. In hoofdstuk 2 beschrijven we per thema (sourcingsstrategie, processen, personeel, financiën, et cetera) wat de huidige situatie is en wat een “normale” situatie voor een gemeente van de omvang van SWO de Wolden Hoogeveen zou zijn. Dit doen we aan de hand van paragrafen “Huidige situatie” en “Toekomstige situatie”. We geven kort aan welke meetlat/methodiek we hanteren om de juiste richting aan te geven. We hebben ervoor gekozen om per thema ook de beweging aan te geven die de SWO De Wolden Hoogeveen moet inzetten om die “gemiddelde” gemeente te worden, zodat duidelijk is welke nieuwe mindset, welk nieuw perspectief nodig is de toekomstige situatie te realiseren. In hoofdstuk 3 beschrijven we de roadmap voor een meerjarig programma van 11 sporen, dat nodig is om het verschil tussen huidig en toekomstig te overbruggen, en geven we aan welke middelen daartoe nodig zijn.

Rapport Advies over een toekomstbestendige informatievoorziening Versie 1.0/ 29 april 2024

11/45

2 2.1

HOE? INLEIDING

De vraag is hoe SWO de Wolden Hoogeveen op het gebied van ICT en IV een gemiddelde gemeente kan worden. Onder deze vraag ligt de aanname dat SWO de Wolden Hoogeveen nu geen gemiddelde gemeente is op het gebied van ICT en IV. Deze aanname komt onder andere voort uit het gebrek aan overzicht. Uit de interviews die M&I/Partners heeft gehouden en de documenten die zijn ontvangen (of juist niet zijn ontvangen) blijkt dat er binnen de I&A weinig overzicht is op financiën, personeel, projecten, processen, infrastructuur, architectuur en applicaties. Door dit onderzoek hebben we op deze thema’s meer overzicht gekregen, zodat er met de roadmap in hoofdstuk 3 meer regie gevoerd kan worden en er beter gestuurd kan worden. Het uitvoeren van een dergelijke roadmap zal veel aandacht van management en medewerkers vergen. Zo kan SWO de Wolden Hoogeveen op basis van inzicht naar de toekomst kijken en koers gaan bepalen. Dan is het niet meer zo dat alles ‘je overkomt’, maar dat je zaken op tijd ziet aankomen, gezamenlijk keuzes kunt maken, en op tijd kunt bijsturen. De hoofdbeweging die de organisatie zou moeten (willen) maken, is hier onder samengevat.

Niet investeren betekent: - dat SWO steeds meer risico’s gaat lopen op het terrein van bedrijfscontinuïteit en informatieveiligheid; - dat de voordelen van digitale dienstverlening niet gehaald worden, terwijl de mogelijkheden daartoe er wel grotendeels zijn; - dat de samenwerking tussen eenheden en I&A niet verbetert en het om die reden niet aantrekkelijk is om voor SWO De Wolden Hoogeveen te werken - er geen gezamenlijk inzicht en overzicht ontstaat om digitalisering beter uit te nutten en te besturen.

Rapport Advies over een toekomstbestendige informatievoorziening Versie 1.0/ 29 april 2024

12/45

2.2

BUSINESS – VAN ONTEVREDEN KLANT NAAR BETROKKEN OPDRACHTGEVER

2.2.1 Huidige situatie In een “gemiddelde” gemeente is er structurele afstemming en samenwerking tussen vakdomeinen/ eenheden en de afdeling I&A, zoals door Rik Maes in beeld gebracht in het 9-vlaks model (zie figuur 3). De eenheden vertalen hun doelen, beleid en jaarplannen samen met de afdeling I&A naar projecten, wijzigingen in systemen en behoefte aan data en ondersteunende middelen zoals laptops, mobiele telefonie, en andere hulpmiddelen. Bij al deze I-oplossingen houdt I&A rekening met technologie, markt, wetgeving en het huidige landschap waarbinnen de nieuwe oplossing moet kunnen functioneren.

Figuur 3, bewerking van het 9-vlaks model van Rik Maes, waarin de samenwerking tussen business en I&A tot uiting komt op verschillende niveaus.

Bij SWO De Wolden Hoogeveen is deze structurele afstemming en samenwerking nog fragiel en broos. De business gedraagt zich nu veelal als ontevreden klant, die bestellingen plaatst die I&A niet, te laat of met onvoldoende kwaliteit levert. Maar aan veel acties voor IV zit ook een actie voor de business: Geen pakketselectie zonder helder door de opdrachtgever afgestemd en vastgesteld Programma van Eisen, geen goed ingericht systeem zonder goede processen en autorisaties, geen gebruik van stuurinformatie zonder heldere KPI’s. Geen goede datakwaliteit zonder goede registratie. In elk van de hierna volgende onderwerpen, die M&I /Partners heeft onderzocht, staat vooral beschreven hoe de huidige situatie op dit moment bij I&A is. Maar in elk onderwerp zit ook een “business”-component. Zaken die bij I&A niet goed geregeld zijn, hebben vaak ook een oorzaak bij de business: - Er kan geen doel-architectuur ontwikkeld worden, omdat de bedrijfsstrategie niet voldoende duidelijk is. - Er wordt geklaagd over de beschikbaarheid van systemen, maar er zijn geen afspraken gemaakt over de benodigde beschikbaarheid. - Er is een zaaksysteem, maar de organisatie werkt niet proces-/zaakgericht. Daarbij nemen de eenheden geen of onvoldoende verantwoordelijkheid in de procesanalyse en – beschrijving.

- Projecten uitgevoerd door IV, hebben geen opdrachtgever aan gebruikerskant/ businesskant, die stuurt op het project.

Rapport Advies over een toekomstbestendige informatievoorziening Versie 1.0/ 29 april 2024

13/45

-

Er wordt onvoldoende aangegeven door de eenheden wat het beoogd maatschappelijk effect is van projecten, waardoor dit niet leidt tot prioritering in lijn met bedrijfsstrategie. De business voelt zich onvoldoende eigenaar van de data en de kwaliteit en veiligheid hiervan. De business houdt onvoldoende rekening met het financiële aspect van meerwerk/maatwerk en extra beheer wat ze vragen bij aanschaf van nieuwe systemen.

Het is belangrijk om te beseffen dat niet alleen I&A iets moet gaan doen om de informatievoorziening op orde te brengen. Dit is tevens de oorzaak van huidige hogere kosten, langere doorlooptijden, “teveel” personeel, en te lage toegevoegde waarde/ afnemerstevredenheid. Andere houding, gedrag en invulling van rollen zijn randvoorwaardelijk om doelen te bereiken. 2.2.2 Toekomstige situatie Er is een kans voor de organisatie om de dienstverlening van de gemeente te verbeteren. Het grootste deel van wat SWO de Wolden Hoogeveen doet is uitvoering van wat wettelijk bepaald is. Er is relatief weinig ruimte om verschil te maken in het ‘wat’. Er is wel ruimte om het verschil te maken in het ‘hoe’, namelijk door ‘operational excellence’. Hiervoor is cruciaal dat de eenheden zich als opdrachtgever voor IV gaan gedragen. M&I/Partners adviseert om: ◼ Het I-vakmanschap van alle managers te verhogen (middels een training digitaal leiderschap). ◼ Te zorgen dat alle managers een goede opdrachtgever te zijn van voor businessprojecten met een ‘Icomponent’. Dit is nodig om bijvoorbeeld het belangrijke project “Zaakgericht Werken” succesvol te realiseren.

◼ Een bedrijfs- en informatiearchitectuur te laten vaststellen door het CMT, die richting geeft aan de doorontwikkeling van het gezamenlijke applicatielandschap van SWO; ◼ Op basis van extern advies te komen tot een passende sourcingstrategie en sourcingsscope, en instemmen met de gevolgen daarvan (o.a. voor project aanbesteding outsourcing; verzakelijking relatie met leveranciers, beter forecasten behoeften en proactief begroten); ◼ Te zorgen dat de BIV-classificatie (Beschikbaarheid, Integriteit, Vertrouwelijkheid) van processen en hun bijbehorende systemen wordt vastgesteld, en besluiten te nemen over verouderde applicaties en deze vervangen of uitzetten; ◼ Eigenaarschap nemen over data en datakwaliteit als thema bespreekbaar maken bij alle teams. Op de juiste manier opslaan, meta dateren, procesgericht werken; ◼ Te zorgen dat de basiskennis van informatieveiligheid op orde is, door het risicomanagement in de eigen processen centraal stellen en op basis van adviezen IV over informatieveiligheid, privacy en openbaarheid en juiste maatregelen nemen; ◼ Te verhelderen welke digitale vaardigheden nodig zijn in hun domein en op basis van deze eisen personeel te selecteren en te begeleiden.

Business moet investeren in procesanalyse, data-analyse en procesbeschrijvingen opstellen ◼ Te zorgen dat eenheden vroegtijdig hun IT-projecten aankondigen/verkennen zodat er voldoende tijd is om de juiste middelen vrij te maken, en projecten te starten die vooraf financieel gedekt zijn.

2.3

ARCHITECTUUR – VAN ‘ZONDER ARCHITECTUUR’ NAAR ‘ONDER ARCHITECTUUR’

2.3.1 Huidige situatie Bij SWO de Wolden Hoogeveen wordt nagenoeg zonder architectuur gewerkt. En dan gaat het niet over het in beeld hebben van alleen de infrastructuur, het applicatielandschap en koppelingen. Op dit vlak wordt inmiddels een IST-architectuur ontwikkeld. Architectuur heeft de neiging te worden verstopt in jargon en intimiderende diagrammen. Dat helpt de organisatie niet direct verder. ICT-architectuur op zijn best helpt organisaties om grip te krijgen op hun informatievoorziening zodat ze die kunnen vormgeven

Rapport Advies over een toekomstbestendige informatievoorziening Versie 1.0/ 29 april 2024

14/45

op een manier die past bij hun strategie. Juist die verbinding tussen bedrijfsstrategie en informatiestrategie ontbreekt bij SWO de Wolden Hoogeveen. Uit de interviews blijkt dat dit twee kanten op werkt: 1. IV stelt geen strategische vragen en krijgt daarom geen strategische antwoorden van de business. 2. De business heeft nauwelijks strategische doelen geformuleerd en begrijpt ook niet dat dit nodig is om een informatiestrategie te kunnen opstellen. Omdat bedrijfsstrategie en informatiestrategie niet op elkaar zijn afgestemd heeft IV zelfstandig een informatiestrategie ontwikkeld. Dit leidt ertoe dat IV in de uitvoering van deze informatiestrategie er tegenaan loopt dat de business weinig betrokken is en/of “moeilijk doet”. Een voorbeeld is zaakgericht werken. In meerdere interviews hebben we gehoord dat zaakgericht werken niet goed loopt en het zaaksysteem van SWO niet goed gebruikt wordt. Een zaaksysteem bestaat uit zaaktypen die bedrijfsprocessen vertegenwoordigen. Een zaaktype zou het procesgericht uitvoeren van dat bedrijfsproces moeten ondersteunen. Echter, de processen zijn niet of nauwelijks beschreven en de organisatie werkt nauwelijks procesgericht. Ook zijn er taakapplicaties waarin sommige zaaktypen afgehandeld worden. Zaaktypen sluiten niet aan op de uitvoering van de bedrijfsprocessen en medewerkers werken niet in het zaaksysteem.

Hooguit worden aan het eind van een proces nog wat documenten aan een zaak toegevoegd. Het zaaksysteem wordt dus als document managementsysteem gebruikt in plaats van als een processysteem. Dit voorbeeld laat goed zien, dat daarmee de voordelen van de inzet van een zaaksysteem voor inwoners, bestuur, medewerkers en management niet behaald worden. Het zaaksysteem kan een goed klantbeeld en portaal opleveren, het kan het werk goed ondersteunen, het kan tot beter inzicht leiden en bijdragen aan goede sturing en besluitvorming. Onder dit knelpunt ligt een fundamentele vraag die SWO De Wolden Hoogeveen niet (of niet afdoende) heeft beantwoord en doorleefd: Waarom wil je zaakgericht werken? De reden om zaakgericht te willen werken, ligt bij veel andere gemeenten in het feit dat je digitale dienstverlening wilt bieden, en dat je inwoners via een digitaal portaal een overzicht wilt bieden over hun (lopende) zaken. Het zaakgericht werken is een uitwerking van een klantbedieningsconcept, waarin veel begrippen terugkomen, zoals transparantie, participatie, goed informatiebeheer, efficiëntie en bedrijfscontinuïteit; een loket 24/7 uur; integrale vergunningsverlening; integrale bediening in sociaal domein.

Deze (toegevoegde) waarde zien we in 2024 ook steeds meer terug in wetgeving, zoals bijvoorbeeld de WOO (Wet Open Overheid, de Wams (Wet aanpak meervoudige problematiek sociaal domein) en de Omgevingswet. Waar gemeenten tien jaar geleden nog zelf konden kiezen voor digitale dienstverlening, wordt het afgedwongen (het wordt de norm). Digitaal is het nieuwe normaal. 2.3.2 Toekomstige situatie Om een normale gemeente te worden en een toekomstvaste IV te realiseren, adviseert M&I/Partners om het IV-landschap verder door te ontwikkelen “onder architectuur". Dat houdt in dat alle oplossingen die SWO de Wolden kiest voor de inrichting van processen en systemen/data, moeten voldoen aan een aantal door SWO De Wolden vastgestelde architectuurpincipes. Als eerste stap adviseert M&I/Partners te beginnen het in beeld hebben van de maatschappelijke opgaven van SWO de Wolden Hoogeveen. Dit vertaalt zich naar een organisatie-inrichting die geschikt is voor de uitvoering van bedrijfsprocessen die voorzien in de maatschappelijke opgaven. Bij die inrichting van de organisatie in domeinen/afdelingen en bedrijfsprocessen hoort een inrichting van informatiestromen. Die informatiestromen worden ondersteund door applicaties en die applicaties zijn gebouwd op een infrastructuur.

Werken onder architectuur betekent dat op alle lagen de belangrijkste onderdelen in beeld zijn en dat er kaders worden gesteld (van boven naar beneden). Elke laag is kaderstellend voor de laag daaronder. En elke laag is ondersteunend aan de laag daarboven. Bij het

Rapport Advies over een toekomstbestendige informatievoorziening Versie 1.0/ 29 april 2024

15/45

stellen van kaders is het van belang rekening te houden met de beperkingen van de laag daaronder. Door al deze lagen met elkaar te verbinden ontstaat een logische verbinding tussen bedrijfsstrategie en informatiestrategie. De business zal zich ondersteund gaan voelen in het werken aan maatschappelijk opgaven door de juiste informatie beschikbaar te hebben. De business moet de architectuur vaststellen en de implicaties begrijpen. Als tweede stap adviseert M&I/Partners bij elke wijziging in een laag actief te onderzoeken hoe die wijziging invloed heeft op de andere lagen. Komt er een nieuwe maatschappelijke opgave? Hoe leidt dit dan tot een nieuwe organisatie-inrichting en nieuwe bedrijfsprocessen? Hoe leidt tot nieuwe informatiestromen? In welke applicaties kunnen die nieuwe applicatiestromen vastgelegd worden? Is er uitbreiding van de infrastructuur nodig om dit te ondersteunen? 2.3.3

Gebruikte meetlat/ raamwerk/ methodiek ▪ CIO 3.0 Leiden met digitale transformatie (ISBN 978 940 1811 019): ICT-functie als integraal en strategisch onderdeel van de business. ▪ GEMMA architectuur (VNG) ▪ Capability Maturity Model Integration (CMMI) : architectuur zorgt voor werken conform vastgestelde principes.

2.4

SOURCINGSTRATEGIE – VAN INFORMEEL NAAR FORMEEL BELEID

2.4.1

Huidige situatie

Sourcing is bepalen wie een bepaalde dienst levert, de eigen organisatie of een externe partij. Er wordt bij de aanschaf of vervanging van informatiesystemen binnen SWO de Wolden Hoogeveen al langere tijd gehandeld vanuit het principe: SAAS (Software as a Service), tenzij. Dat houdt in dat software wordt afgenomen als een dienst, en niet als een product dat op de eigen SWO infrastructuur geïnstalleerd en beheerd wordt. Een steeds groter deel van het applicatielandschap van SWO is nu “SAAS”. Het karakter van het beheer verandert daardoor. Ook op het gebied van infrastructuur wordt er toegewerkt naar outsourcing. Het Team Automatisering van SWO oriënteert zich al langere tijd op het outsourcen van de infrastructuur. Er is advies gevraagd aan Native voor een sourcingsstrategie, er is een document opgesteld dat de huidige infrastructuur beschrijft en er wordt i.s.m. Brunel momenteel gewerkt aan high- en low-level designs (in samenwerking met een externe leverancier). Opvallend is dat er geen formeel sourcingsbeleid is vastgesteld, en dat er geen samenhangend project/programma is gestart, vastgesteld en begroot om het outsourcen van de infrastructuur te realiseren. De meeste activiteiten vinden nu dus op informele basis plaats.

Het voorbereiden van outsourcing kent een aantal redenen, die door SWO worden genoemd: - Er zijn soms knelpunten in de beschikbaarheid/performance van (primaire) applicaties van SWO De Wolden Hoogeveen, die draaien op de eigen ontwikkelde en beheerde infrastructuur; - Het is voor het team Automatisering (te)veel werk om alle beveiligingsmaatregelen te blijven treffen, waardoor er te weinig tijd overblijft voor nieuwe projecten; - Het bouwen en beheren van een ICT infrastructuur kan in deze tijd beter door marktpartijen worden uitgevoerd, en is geen kerntaak van een gemeente. Vele gemeenten hebben hun infrastructuur al naar de markt gebracht, of laten deze diensten uitvoeren binnen een groter Shared Service Center (SSC) van meerdere gemeenten waar meer kennis en competenties zijn gebundeld;

Rapport Advies over een toekomstbestendige informatievoorziening Versie 1.0/ 29 april 2024

16/45

-

-

2.4.2

Ontwikkelingen op het terrein van cybercrime maken dat infrastructuren kwetsbaar zijn: het monitoren van cyberaanvallen en nemen van maatregelen vraagt steeds meer tijd en kennis van een eigenstandige ICT afdeling; Bovendien staat SWO aan de vooravond van een aantal infrastructuur vervangingsvraagstukken, die ervoor zorgen dat (formele) besluiten over wel of niet outsourcen, op korte termijn genomen dienen te worden.

Toekomstige situatie

M&I/Partners adviseert om de sourcingsstrategie te formaliseren en de scope die SWO kiest om te gaan outsourcen formeel te laten vaststellen. In de toekomstige situatie is de infrastructuur van SWO uitbesteed aan een externe partij, of sluit zij zich aan bij een andere gemeente die IT diensten kan en wil leveren voor SWO. Het traject om daar te komen beloopt meestal twee tot drie jaar. Dit levert SWO een hogere beschikbaarheid; betere performance en een veiliger omgeving op. Er zal volgens onze kennis en ervaring geen sprake van kostenbesparing, maar op termijn wel van minder meerkosten. Daarnaast verandert er in het beheer veel. Uitvoerende technisch en systeembeheertaken ten aanzien van het werkplekconcept vallen grotendeels weg, en dit heeft personele consequenties (systeem en technisch beheer zal afnemen) . Tactische taken nemen toe zoals het voeren van regie op de I-keten (van vraag tot en met aanbod). Ook contract- en leveranciersmanagement wordt uitermate belangrijk. Met het toepassen van SAAS applicaties verandert ook het functioneel applicatiebeheer. Ook daar vallen technische, uitvoerende taken veelal weg, en komen er adviserende taken voor in de plaats om te zorgen dat de mogelijkheden van de applicaties zoveel mogelijk worden benut in de processen en dienstverlening van SWO aan inwoners. Een speciaal punt van aandacht is het omgang met data- en systeemintegratie.

Op basis van een heldere architectuur en goede inkoop eisen en contracten zorgt SWO ervoor dat zij integraal over haar eigen data kan blijven beschikken en systemen (eenduidig en volgens architectuurprincipes) kan koppelen indien gewenst.

2.4.3

Gebruikte meetlat/ raamwerk/ methodiek

In het verleden is de automatisering binnen gemeenten gestart door het ontwikkelen en beheren van een eigen infrastructuur, een eigen netwerk, en daarop een eigen set van kantoorautomatisering en andere meer specifieke applicaties. Hiermee beschikken gemeente over eigen kennis en competenties. In de huidige wereld gaan de technische en cybercrime ontwikkelingen steeds sneller, dat het lastig is om deze kennis en expertise in huis bij te houden en vast te houden. Daarom overwegen steeds meer gemeenten om hun digitale werkplek uit te besteden en als dienst in te kopen bij een leverancier (outsourcen). Er is geen meetlat die bepaalt of een gemeente wel of niet zou moeten outsourcen. Wel ziet M&I/ Partners in haar jaarlijkse benchmark dat het aantal Saas applicaties binnen gemeenten steeds verder toe neemt, en er dus steeds minder applicaties op eigen infrastructuur gehost hoeven te worden. Ontwikkelingen in de markt maar ook op het terrein van cybercrime en informatieveiligheid, werpen de vraag steeds pregnanter op: waarom zou je het nog zelf doen?

Rapport Advies over een toekomstbestendige informatievoorziening Versie 1.0/ 29 april 2024

17/45

Als gemeenten kiezen voor het deels outsourcen van hun IT, werkplek, en hosting van applicaties, dan maken zij vaak keuzes in de scope daarvan aan de hand van het onderstaande model. Afhankelijk van de gekozen scope, wordt er meer of minder werk/dienstverlening buiten de deur geplaatst, en zal de gemeente op meer of minder partijen regie moeten voeren om de I-dienstverlening aan te sturen en door te ontwikkelen.

2.5

INFRASTRUCTUUR – VAN UITVOERING NAAR REGIE

2.5.1 Huidige situatie De huidige infrastructuur wordt met kennis en kunde, en met man en macht overeind gehouden. Toch sluit de infrastructuur steeds minder goed aan bij de eisen die een (digitale) gemeente daaraan stelt. Een belangrijke oorzaak daarvan is informatiebeveiliging. Gemeenten communiceren veel meer dan vroeger, voortdurend digitaal met de buitenwereld; de risico’s van informatiebeveiliging en cybercrime nemen toe. Het is van cruciaal belang om data van inwoners, bestuurders en ambtenaren veilig te houden. Vanuit de CISO en de Afdeling Automatisering wordt hieraan veel tijd/aandacht besteed. Soms worden gewenste I-toepassingen om veiligheidsredenen niet toegestaan en niet geïmplementeerd. De laatste jaren is alleen in de infrastructuur geïnvesteerd, als het echt niet anders kon. Grotere vervangingsinvesteringen zijn de komende jaren nodig om de infrastructuur in eigen beheer te kunnen houden. Deze investeringen zijn door de Teamleider Automatisering ingeschat en opgenomen in de reguliere begroting. Als de outsourcing doorgang vindt, zal een deel van deze investeringen afhankelijk van de snelheid, omvang en kwaliteit van outsourcing niet meer nodig zijn. Kortom: om bovengenoemde redenen, oriënteert Het Team Automatisering van SWO zich al langere tijd op het outsourcen van de infrastructuur.

2.5.2 Toekomstige situatie M&I/Partners adviseert om op basis van een vastgestelde sourcingstrategie en scopebepaling (zie bovenstaande model) een project te starten om daadwerkelijk (delen van) de infrastructuur te gaan

Rapport Advies over een toekomstbestendige informatievoorziening Versie 1.0/ 29 april 2024

18/45

outsourcen. Daartoe dienst een projectplan ontwikkeld te worden en een business case gemaakt te worden van kosten en baten. Na vaststelling daarvan kan hiermee gestart worden. Het reeds gedane voorwerk door het team Automatisering (en werk van Brunel) kan hierbij behulpzaam zijn. In de toekomstige situatie is de infrastructuur van SWO uitbesteed aan een externe partij. Het traject om daar te komen beloopt twee tot drie jaar. Dit levert SWO een gewenste beschikbaarheid van werkplek en applicaties op; een betere performance en een veiliger ICT omgeving op, mits hier goede afspraken over gemaakt worden met de interne organisatie en met de externe leverancier. Er zal volgens onze kennis en ervaring geen sprake van kostenbesparing, maar op termijn wel van minder meerkosten. Daarnaast verandert er in het beheer veel. Uitvoerende technisch en systeembeheertaken nemen af. Tactische taken nemen toe zoals het voeren van regie op de I-keten (van vraag tot en met aanbod). Ook contract- en leveranciersmanagement wordt uitermate belangrijk. Daartoe moet de procesvolwassenheid van IT processen op voldoende hoog niveau zijn. Met het toepassen van SAAS applicaties verandert ook het functioneel applicatiebeheer.

Ook daar vallen technische, uitvoerende taken veelal weg, en komen er adviserende taken voor in de plaats ten behoeve van interne opdrachtgevers en eindgebruikersorganisatie, en als ook afstemming met leveranciers. Een speciaal punt van aandacht is het omgang met data- en systeemintegratie. Op basis van een heldere architectuur en goede inkoop eisen / contracten zorgt SWO ervoor dat zij (integraal) over haar eigen data kan blijven beschikken en systemen (eenduidig en volgens architectuurprincipes) kan koppelen indien gewenst. Dit vereist vooral aan de voorkant (inkoop, programma van eisen) de nodige aandacht.

2.5.3

Gebruikte meetlat/ raamwerk/ methodiek

De procesvolwassenheid van IT processen moet verhoogd moet worden naar 3 (conform CMMI normen van Procesvolwassenheid). Dit betekent dat de IT-processen (zoals service levelmanagement, incidentmanagement, changemanagement, planning, financieel management, contract en leveranciersmanagement) beheerst worden uitgevoerd binnen de gehele organisatie, en in relatie met leveranciers. In een eerder adviesrapport van VKA is al geconstateerd dat de huidige procesvolwassenheid (niveau 1 = processen vinden adhoc plaats) verstrekt moet worden tot minimaal niveau 3 (= beschreven, geïmplementeerde en bestuurde processen).

Rapport Advies over een toekomstbestendige informatievoorziening Versie 1.0/ 29 april 2024

19/45

2.6

APPLICATIELANDSCHAP – VAN ‘END OF LIFE’ NAAR LIFECYCLEMANAGEMENT

2.6.1 Huidige situatie Applicaties vallen soms zomaar opeens om vanwege ouderdom, of men komt er opeens achter dat een contract verlopen is en verlenging onrechtmatig is. Dit zijn dingen die gebeuren en SWO de Wolden Hoogeveen ‘overkomen’. Echter, dit zijn ook dingen die je kunt zien aankomen. Inmiddels is er een start gemaakt met contractmanagement binnen SWO de Wolden Hoogeveen: alle ICT contracten zijn geregistreerd in Pactum; er is meerdere malen per jaar SLA-overleg met de grootste leveranciers, en er zijn indien nodig escalatiegesprekken met business, leverancier en contractmanager. Dit is een punt wat regelmatig terugkwam in de interviews en waar men trots op is. Echter, naast contractmanagement is ook belangrijk om regelmatig te onderzoeken hoe de techniek zich ontwikkelt en welke mogelijkheden dat biedt. Ook de tevredenheid onder gebruikers is een belangrijk punt om regelmatig te onderzoeken. Vanuit de eenheden wordt geklaagd over de beschikbaarheid van applicaties, terwijl er geen service levels zijn afgesproken. Daarnaast zijn er 20 functioneel applicatiebeheerders die het totale IV-landschap beheren, maar dit niet in gezamenlijkheid doen. Zij hebben de grootste moeite om alle meldingen/calls tijdig af te handelen; ze zijn op het incidentenproces niet goed in control.

Tot slot zien we op het totale applicatielandschap geen grote afwijking ten opzichte van een gemiddelde gemeente, als we kijken naar het aantal applicaties en de kosten. Wel zien we bij bepaalde soorten applicaties grote afwijkingen in de kosten ten opzichte van het benchmarkgemiddelde: - Sociaal Domein: hiervoor zijn de kosten flink hoger vanwege de keuze voor PinkRoccade. Echter, in dit geval betekent het vaak volgens de deelnemers aan onze benchmark ook betere dienstverlening m.b.t. de gebruikte software, dus dat kan een bewuste keuze zijn. - Front-office: hiervoor zijn de kosten flink lager. Dit wordt veroorzaakt doordat er nauwelijks webformulieren zijn gekoppeld aan het Zaaksysteem. In dit geval betekent lage investeringen ook lage digitale toegankelijkheid voor inwoners en veel handmatig registreren door medewerkers.

Rapport Advies over een toekomstbestendige informatievoorziening Versie 1.0/ 29 april 2024

20/45

-

Microsoft-pakket: SWO De Wolden Hoogeveen heeft nu een E3-licentie. Dat kost weinig, maar is ook minder veilig dan de E5-licentie die meer standaard is. Lage kosten zijn hier dus niet positief, maar een risico. Met de E5-licentie breid je identiteits- en bedreigingsbeveiliging uit met geïntegreerde, geautomatiseerde beveiliging om schadelijke aanvallen tegen te houden. Ook biedt het meer mogelijkheden voor gegevensbescherming en geavanceerde compliance samen om gegevens te beschermen en te beheren, en tegelijkertijd risico's te verminderen. Op het totale applicatielandschap zien we geen grote afwijking ten opzichte van een gemiddelde gemeente als we kijken naar het aantal applicaties en de kosten. 2.6.2 Toekomstige situatie M&I/Partners adviseert om te starten met lifecyclemanagement voor applicaties. Stel een servicemanager aan en laat deze persoon er zorg voor dragen dat voor de belangrijkste applicaties service levels met de business worden afgesproken. Het eigenaarschap hiervoor ligt bij de functioneel applicatiebeheerders, maar de coördinatie bij de servicemanager. Hiervoor is niet zozeer extra FTE functioneel applicatiebeheerders nodig, maar wel professionalisering van de functioneel applicatiebeheerders. Het kan zijn dat extra (infrastructurele) investeringen nodig zijn om de service levels te halen: deze dienen dan met de betreffende eigenaar overeengekomen te worden.

Daarnaast is het goed om contracten nog beter in kaart te brengen: hoeveel gaat er Saas worden de komende jaren, en in welk tempo is het dan verstandig om ICT infrastructuur te outsourcen of aan te sluiten bij een centrumgemeente (die ITdiensten levert) in de regio? Ook is het verstandig eens kritisch te kijken naar de verschillende soorten applicaties op basis van de kosten. Door meer aan bepaalde soort applicaties uit te geven, denk aan frontoffice applicaties en het Microsoft-pakket, zal SWO De Wolden Hoogeveen ook betere en veiliger diensten kunnen leveren en wordt daarmee meer vergelijkbaar met een gemiddelde gemeente. 2.6.3

Gebruikte meetlat/ raamwerk/ methodiek ▪ M&I/Benchmark ▪ BISL

PROCESSEN: VAN IT-PROCESSEN NAAR VIA OPDRACHTGEVERSCHAP NAAR DIGITAAL LEIDERSCHAP 2.6.4

Huidige situatie

Het beeld dat uit het M&I/Partners onderzoek naar bovenkomt, is dat de I&A organisatie geleefd wordt door operationele processen. Het realiseren van projecten, het beheren van systemen en het afhandelen van interne servicevragen (meldingen, storingen/incidenten). De teams IPPM, Automatisering en de FABbers werken redelijk autonoom. De I-ketensamenwerking heeft versterking nodig. Voor het creëren van één I&A afdeling onder leiding van een (nieuwe) interimmanager, worden stappen gezet die hun uiteindelijke beslag krijgen in de reorganisatie per 01/01/2025. In een eerder adviesrapport van VKA is al geconstateerd dat de huidige procesvolwassenheid (niveau 1 = (processen vinden ad hoc plaats) verstrekt moet worden tot minimaal niveau 3 (= beschreven, geïmplementeerde en bestuurde processen). De strategische en tactische ICT processen ontbreken grotendeels, of zijn in een beginnend stadium (portfoliomanagement, architectuur, informatiebeveiliging). Het afgelopen jaar is gestart met een I-plan per eenheid. Het vergt nog meer betrokkenheid en afstemming tussen opdrachtgevers/ eenheden en informatie-adviseurs om middellange termijn doelen goed te vertalen naar een sluitend projectportfolio. In een opgerichte portfolioboard is inmiddels continue aandacht voor de I-plannen, de projecten die opdrachtgevers willen starten en projecten die in de realisatiefase zijn.

Rapport Advies over een toekomstbestendige informatievoorziening Versie 1.0/ 29 april 2024

21/45

Belangrijk bij procesgericht werken is dat het proces begint en eindigt bij een opdrachtgever, een interne klant/collega of een gebruikersgroep. Er is een vraag, een behoefte of een probleem, en degene die dat ervaart zal in het voortbrengingsproces betrokken willen zijn en moeten worden. Al is het alleen maar om aan het einde van het proces gezamenlijk te kunnen vaststellen dat de vraag, behoefte of probleem is opgelost. Hier is bij SWO De Wolden Hoogeveen wel iets bijzonders aan de hand: ◼ Projecten hebben geen opdrachtgever in de eenheid die stuurt op het project. ◼ Processen worden niet afgemaakt als er onenigheid ontstaat over de oplossing. ◼ IV projectleiders doen uit nood werk dat de opdrachtgever eigenlijk hoort te doen (bijv. financiering regelen, of content aanleveren voor systeem). ◼ ICT personeel doet werk, dat procesanalisten zouden moeten doen. ◼ Er is kortom sprake gebrek aan rolneming door opdrachtgevers, en van rol-onvastheid/gaten dichtlopen door bij medewerkers in het I-domein. Daarnaast lijkt het erop dat samenwerken aan digitalisering wordt bemoeilijkt, omdat het bewustzijn ontbreekt dat I&A medewerkers meerdere petten kunnen hebben: ◼ adviserend (bijvoorbeeld bij de intake van projecten); ◼ faciliterend (bij de uitvoering van wijzigingen); ◼ toezichthoudend (bij het toetsen op compliancy aspecten).

Deze rollen zijn allemaal belangrijk, en het is de kunst als collega en professional het goede gesprek op het juiste moment met juiste rollen in de organisatie te kunnen voeren. Dit gesprek komt niet goed tot stand, blijkt uit interviews. Dit heeft tot gevolg dat veel I-voorzieningen niet aansluiten bij de behoeften van de organisatie, of dat gewenste I-voorzieningen ontbreken. Wat betreft de staat van digitale (dienstverlenings-)processen, is opvallend dat: ◼ veel processen niet gedigitaliseerd zijn en er veel informatie op papier door de organisatie gaat; ◼ systemen niet naar behoefte van business werken, en er wordt om systemen heen gewerkt. Zo heeft het KCC 20 applicaties nodig om een integraal klantbeeld te vormen; ◼ sommige taken analoog worden uitgevoerd: post wordt nog met een auto rondgereden en huwelijken worden handmatig bijgehouden; ◼ het zaaksysteem is niet goed ingericht dan wel wordt niet gebruikt zoals het bedoeld is; ◼ BOA’s op straat slecht voorzien zijn van informatie; ◼ (……) Een nieuw zaaksysteem en meer investeringen in de front office applicaties (zie ook paragraaf 2.6.1.) kunnen zorgen voor verbetering van de digitale dienstverlening. Hierbij geldt wel dat de procesvolwassenheid in de primaire processen is laag (net als bij I&A), en het management niet of nauwelijks stuurt op het optimaliseren en digitaliseren van processen.

Investeringen in een nieuw zaaksysteem en front office applicaties brengen redelijke kosten met zich mee. Het verschil met het benchmarkgemiddelde is nu zo’n €4 per persoon lager dan gemiddeld. Een gemiddelde gemeente van vergelijkbare omvang geeft dus zo’n €320.000 meer uit per jaar aan een zaaksysteem en front office applicaties. 2.6.5

Toekomstige situatie

M&I/Partners adviseert om de strategische en tactische I-processen te versterken door te investeren in nu ontbrekende functies: service levelmanager, architect, I-beleidsadviseur/-strateeg, en A-strateeg/ICTregisseur. Daarnaast is het advies te investeren in een hogere procesvolwassenheid, waarbij het CMT van

Rapport Advies over een toekomstbestendige informatievoorziening Versie 1.0/ 29 april 2024

22/45

I&A de prioriteiten stelt met welk proces moet worden begonnen. Ons advies is te streven naar niveau 2 voor de strategische en tactische processen binnen 4 jaar. Daarnaast adviseert M&I /Partners om het management aan de businesskant beter (te leren) sturen op standaardiseren, optimaliseren en digitaliseren van processen. Dit is nodig om bijvoorbeeld het belangrijke project “Zaakgericht Werken” succesvol te realiseren. Daarnaast wordt in de genormaliseerde en gewenste situatie geïnvesteerd in digitale volwassenheid en digitaal leiderschap. Eindverantwoordelijk managers/CMT zijn integraal verantwoordelijk voor hun domein, bestaande uit bepaalde processen en informatie, een begroting en een team van medewerkers. Managers zijn eigenaar van data en domeinspecifieke systemen. De digitale transitie betekent dat leidinggevenden de combinatie van processen, mensen en technologie goed inzetten en daarin tijdig in investeren (gezien feedbackinformatie uit het dagelijkse proces, nieuwe taken, wetgeving, bestuurlijke opgaven of nieuwe technische mogelijkheden). Daartoe is het management in deze tijd zelf aan zet. De I&A afdeling helpt daarbij met visie, kaders, governance, capaciteit en expertise. De reacties: “ik ga er niet over”, “het is van I&A”, “ik heb er geen verstand van, dus ik ben er niet van”, zijn niet constructief en niet helpend.

Het leidt tot in stand houden van een patroon van frustraties en desinvesteringen. Alleen structurele samenwerking en meer inzicht/begrip leidt tot betere digitalisering.

2.6.6

Gebruikte meetlat/ raamwerk/ methodiek

Voor processen geldt de meetlat zoals eerder genoemd bij infrastructuur: CMMI. Voor digitaal leiderschap heeft M&I/Partners een kompas ontwikkeld (“Leiden met digitale transformatie, CIO 3.0”), dat hieronder is weergegeven:

Rapport Advies over een toekomstbestendige informatievoorziening Versie 1.0/ 29 april 2024

23/45

2.7

PROJECTEN – VAN IT-PROJECT NAAR BUSINESS-PROJECT

2.7.1 Huidige situatie Bij SWO de Wolden Hoogeveen is een indrukwekkend aantal IT-projectleiders (2 keer zoveel als bij een gemeente van vergelijkbare grootte) actief in het uitvoeren van projecten. Dit zijn stuk voor stuk gedreven mensen die hard werken om resultaten te behalen. Het ís ook hard werken als je als projectleider soms zelf geld moet regelen om het project te kunnen financieren. Het is ook hard werken als je op tijd een project af wilt hebben, maar de business wil niet meewerken om nieuwe functionaliteit te testen. Het is hard werken als standaardfunctionaliteit van een leverancier niet goed genoeg is voor SWO de Wolden Hoogeveen. En het is frustrerend voor een projectleider als aan het eind van het traject de business dan niet tevreden is en het nog een jaar duurt om te zorgen dat de functionaliteit alsnog voldoet aan de wensen. Je bent wel een held als het je uiteindelijk dan toch gelukt is en er een project is afgerond. Dit klinkt extreem, maar dit is wat we terug horen in interviews. De business wil vaak geen opdrachtgever zijn van IT-projecten, want daar hebben ze ‘geen verstand van’. Zo werkt dat niet.

Als je een huis laat bouwen, dan heb je toch van het begin af aan duidelijke wensen en je zorgt toch dat er genoeg geld is om de aannemer te betalen? En je komt toch regelmatig op de bouwplaats kijken om betrokken te zijn en te kijken of het naar wens verloopt? Het lijkt er op dat alles, wat bij IV nog niet goed werkt, zichtbaar samenkomt in de projecten. Het is verleidelijk om dan vooral aan de slag te gaan met projectportfoliomanagement, maar er zal vooral op de andere onderwerpen in dit rapport een been bij getrokken moeten worden. 2.7.2 Toekomstige situatie Om een normale gemeente te worden, moet SWO de Wolden Hoogeveen voortaan bij projecten bewust kiezen voor ‘business projecten met een ICT component’. Pure ICT projecten bestaan niet. Ook het outsourcen van een digitale werkomgeving vereist inspraak, testcapaciteit, inzet, communicatie en acceptatie van de organisatie. Opdrachtgeverschap moet beter belegd zijn (bij de business), escalatiekanalen moeten beschikbaar zijn en werken, en de financiering moet beter geregeld zijn. Er wordt nu al wel veel moeite gestoken in het verbeteren van het portfoliomanagement. Echter, hier wordt vooral gekeken naar de rechtmatigheid: een project mag pas starten als er geld en capaciteit beschikbaar is.

Het is ook van belang om komende wetgeving (zie wetgevingsradar in paragraaf 1.3) en maatschappelijke effecten mee te gaan nemen in het portfoliomanagement. Welke maatschappelijke effecten wil je bereiken met je projecten (als business) en hoe bepaalt dat de prioritering van alle projecten? Het prioriteren moet geen armpje drukken worden tussen IV en de business. Dit moet op basis van een duidelijke bedrijfsstrategie waarmee het bestuur boven de discussie gaat staan. Daarnaast moet SWO de Wolden Hoogeveen zich realiseren dat ze een hele kleine speler zijn, voor zowel de commerciële markt als de arbeidsmarkt. Veel maatwerk vragen, of blijven werken volgens de eigen speciale manier, kost tijd en geld. Het is belangrijk standaardisatie (ICT als hefboom) te omarmen en ook het werk gewoon te doen zoals anderen het ook doen (niet te veel, niet te mooi, zorgen dat je systemen hebt die werken voor de processen die je moet uitvoeren en dan anders dan je gewend was). Dit past ook bij SAAS tenzij, wat een principe in de architectuur kan zijn. Als aan dit soort kaders wordt getoetst, en de business goed betrokken wordt, dan voorkom je een hoop dubbel werk. Ook is het van belang om te bepalen in welke gevallen een project een projectleider vanuit de business of vanuit IV zou moeten hebben. 2.7.3

Gebruikte meetlat/ raamwerk/ methodiek

Op basis van de uitgangspunten van de PRINCE2-methodiek zijn de interviews beoordeeld.

Rapport Advies over een toekomstbestendige informatievoorziening Versie 1.0/ 29 april 2024

24/45

2.8

DATA – DATA IS BLIJVEND, APPLICATIES ZIJN T IJDELIJK

2.8.1 Huidige situatie De focus bij SWO De Wolden Hoogeveen is momenteel gericht op het in standhouden van infrastructuur en systemen. Veel aandacht voor datakwaliteit en governance is er nog niet. Bovendien zorgen niet eenduidige processen ook voor niet eenduidige data. Belangrijke speler is het team Basis en Geo-informatie. In dit Basisinformatie-team zit kennis en expertise van de verplichte Basisregistraties en van datakwaliteit. Het data bewustzijn en data eigenaarschap is nog laag ontwikkeld binnen SWO De Wolden Hoogeveen. Het is opvallend dat er nauwelijks behoefte is aan management informatie; er geen BI-platform beschikbaar is en nauwelijks Business Intelligence kennis in huis is (zie ook benchmark personeel). (Andere) gemeenten die verder zijn met datagedreven werken, maken keuzes gebaseerd op data: ◼ Onderhoud plegen als het (volgens data bijv. uit sensoren of dronebeelden) nodig is. ◼ Wendbaarder te zijn (bijv. dynamische routes rijden bij afvalinzameling). ◼ Impact maken op het moment dat het probleem nog niet te groot is (bijvoorbeeld sociaal domein: bij schulden vroeg erop af). SWO de Wolden Hoogeveen is in 2022 een project gestart Datagedreven Werken. Dit project is in 2023 on hold gezet, omdat andere prioriteiten voorrang kregen. Er moest bovendien teveel geïnvesteerd worden om de basisvoorwaarden voor datagedreven werken te realiseren. 2.8.2

Toekomstige situatie

M&I/Partners adviseert om eerst de andere sporen in de roadmap aandacht te geven, en daarna te investeren in datagedreven werken. De andere sporen zijn randvoorwaardelijk en vereisen alle aandacht. Pas na 2026 wordt geïnvesteerd in een dataplatform. De kosten hiervoor zijn opgenomen in de Meerjarenbegroting. Het team Basisinformatie wordt (zo is de inschatting momenteel) bij de reorganisatie van 2025 onderdeel van het I&A domein. Omdat er nog weinig vraag lijkt te zijn naar managementinformatie en datagedreven werken, is het van belang te investeren in data bewustzijn als onderdeel van digitaal leiderschap. Eindverantwoordelijk managers/CMT zijn integraal verantwoordelijk voor hun domein, bestaande uit bepaalde diensten/processen, een begroting en medewerkers. Daarmee zijn zij ook eigenaar van (grote hoeveelheden) data. Het datateam als onderdeel van de I&A afdeling helpt daarbij met kaders, capaciteit en expertise.

2.8.3

Gebruikte meetlat/ raamwerk/ methodiek

Voor datagedreven werken is er geen specifieke meetlat ontwikkeld. Wel maakt M&I/Partners gebruik van onderstaand model om het datagedreven werken in gemeenten te verhogen. Hierin hebben alle aspecten van datamanagement een plek.

Rapport Advies over een toekomstbestendige informatievoorziening Versie 1.0/ 29 april 2024

25/45

2.9

INFORMATIEVEILIGHEID – VAN VEILIGE TECHNIEK NAAR VEILIG GEDRAG

2.9.1 Huidige situatie SWO De Wolden Hoogeveen heeft de afgelopen jaren steeds meer aandacht besteed aan Informatiebeveiliging. De problemen bij Hof van Twente hebben geholpen om dit thema op de agenda te krijgen. Vanwege het destijds lopende Rekenkamer onderzoek, is met de opdrachtgevers afgesproken om te wachten op de uitkomsten daarvan. Raad heeft alle aanbevelingen van de Rekenkamer overgenomen. In de oplegger bij het Rekenkamerrapport wordt aangegeven dat “de Gemeenteraad de gemeentelijke dienstverlening en privacy wil kunnen garanderen aan onze inwoners. Daarvoor is een veilige informatiebeveiliging binnen onze organisatie essentieel. Door middel van het besluit willen wij uitvoering geven aan de aanbevelingen die de gezamenlijke rekenkamercommissies hebben opgesteld naar aanleiding van de conclusies uit het rapport Informatiebeveiliging en privacy”. “De rekenkamercommissies hebben geconstateerd dat de SWO niet voldoende in staat is om de informatiebeveiliging te waarborgen. De rekenkamercommissies hebben daarom, naar aanleiding van de bevindingen, conclusies en aanbevelingen geformuleerd ter verbetering van de uitvoering van het beleid op informatiebeveiliging en privacy. Dat zijn aanbevelingen in de richting van de colleges van B&W ten aanzien van de uitvoering van het beleid, mede met de SWO op de achtergrond.

Ook zijn aanbevelingen gericht aan colleges en gemeenteraden om gezamenlijk ambities op informatiebeveiliging vast te stellen en de informatiepositie van de raad op dit onderwerp bespreekbaar te maken en te verbeteren. En tot slot aanbevelingen aan de gemeenteraden om de kaderstellende en controlerende rol die zij hebben beter in te kunnen vullen. De ervaringen met hacks in gemeenteland is dat informatiebeveiliging niet meer beperkt is tot een technische uitvoeringszaak, maar een plek op de bestuurlijke agenda’s van colleges en gemeenteraden verdient. Maar Er zullen altijd risico’s op het gebied van informatiebeveiliging blijven bestaan, ze dienen echter beheersbaar te zijn”.

Rapport Advies over een toekomstbestendige informatievoorziening Versie 1.0/ 29 april 2024

26/45

Het Rekenkamer onderzoek bevestigt een beeld dat M&I/Partners uit de interviews en documentatie al globaal hadden gekregen: -

-

-

Dat er is de afgelopen jaren door SWO De Wolden Hoogeveen geïnvesteerd in beleid op het terrein van informatiebeveiliging, maar dat het beleid nog niet heeft geleid tot voldoende structurele aandacht en maatregelen in alle primaire, bestuurlijke en ondersteunende processen van SWO; Dat het grootste risico het gedrag van management, bestuur en medewerkers is (“het grootste risico bevindt zich tussen beeldscherm en bureaustoel”); Dat de gemeentesecretaris de rol van ambassadeur op zich heeft genomen op informatieveiligheid; Dat de volwassenheid op informatiebeveiliging volgens de NOREA norm (beroepsvereniging van IT auditors) wordt ingeschat op 1.5 (initiële procedures, ad hoc en onvolledig) en zal moeten groeien naar uiteindelijk 3 (gedefinieerd). Deze verbetering gaat via score 2 (verhoogd bewustzijn en herhaalbare uitgevoerde procedures). Dat er ondanks de benoeming van een CISO, FG en ISO-capaciteit extra formatie en extra budget nodig is om alle relevante maatregelen te nemen; Dat het voor de interne afdeling Automatisering lastig is om voldoende kennis en expertise te verwerven en te behouden om de informatieveiligheid op voldoende niveau te garanderen. Dit is een van redenen om infrastructuur, digitale werkomgeving en hosting van applicaties uit te gaan besteden.

Voorafgaand aan het Rekenkamerrapport heeft de CISO een Informatieveiligheidplan en Begroting 20242028 uitgewerkt. De aanbevelingen die de Rekenkamer heeft gegeven, en die de Raad wil opvolgen, sluiten goed aan bij Informatieveiligheidplan en bijbehorende begroting. In dit plan zijn op zes aspecten (governance/beleid, kritische beheerprocessen; beveiligingsbewustzijn; bedrijfscontinuiteitsmanagement; ketenrisico;s en techniek) activiteiten en/of investeringen opgenomen om een hoger niveau van volwassenheid te bereiken. Het slagen van dit plan is afhankelijk van voldoende draagvlak en blijvende aandacht en sturing van het gehele management van SWO, zodat het plan de komende vier jaar gezamenlijk tot uitvoering gebracht wordt. Een norm is daarbij door SWO i.s.m. de Raad nog niet gesteld. Een gemiddelde gemeente zou naar ons inzicht, een volwassenheidsverhoging van 1.5 naar van 3.0 binnen vier jaar (vanaf 2024 tot 2028) moeten willen realiseren. De CISO heeft naast het Informatieveiligheidsplan een begroting opgeleverd, met een specifieke vraag aan M&I/Partners ten aanzien de uitbreiding van formatie voor informatieveiligheid. M&I/Partners heeft drie opmerkingen op dit plan en bijbehorende personele (deel)begroting: - Dit plan garandeert niet dat deze investering leidt tot de gewenste norm, omdat juist het menselijk gedrag bewuster moet worden.

Immers: De meest cruciale factor is het informatieveiligheidsbewustzijn tussen beeldscherm en bureaustoel dat bepaalt hoe snel het volwassenheidsniveau stijgt. Als inspanningen op het terrein van informatieveiligheid vooral vanuit compliancy- en control rollen en vanuit Afdeling I&A worden geleverd, blijft informatieveiligheid een zaak van I&A en de CISO: dan blijft het informatieveiligheidsvolwassenheidsniveau van de rest van de organisatie steken tussen niveau 1 en 2. Het slagen van dit plan is zoals gezegd, afhankelijk van voldoende draagvlak en blijvende aandacht en sturing van het gehele management van SWO, zodat het plan de komende vier jaar gezamenlijk tot uitvoering wordt gebracht. - De extra gevraagde IB-formatie kan in onze ogen de bewustwordingsactiviteiten (opgenomen onder de noemer 0.3) uit het opgestelde Informatieveiligheidsplan zelf uitvoeren, zodat er minder werk uitbesteed hoeft te worden. We hebben de kosten van opgestelde Informatieveiligheidsplan

Rapport Advies over een toekomstbestendige informatievoorziening Versie 1.0/ 29 april 2024

27/45

-

2.9.2

daarom opgenomen in spoor 9 van onze programmabegroting van minus de kosten voor de bewustwordingsactiviteiten (opgenomen onder de noemer 0.3). Een gemiddelde gemeente heeft na outsourcing van infrastructuur en digitale werkplek - zo blijkt uit onze benchmark- voldoende aan 1 fte TISO (technical Information Security Officer). Op dit moment heeft SWO er 2,0 FTE informatiebeveiliging, in de vorm van een CISO en een ISO. In het informatieveiligheidsplan 2024-2028 staat een structurele uitbreiding van 2,0 FTE aan TISO’s (technical information security officers) opgenomen. Gezien ons advies om de infrastructuur, werkplek en ook SIEM/SOC uit te besteden (outsourcing), lijkt het ons teveel om in de eindsituatie nog twee TISO’s te hebben. Daarmee zou de structurele bezetting uitkomen op 4,0 FTE. Dit staat tegenover 2,3 FTE in het benchmarkgemiddelde, en dat is inclusief gemiddeld 0,5 FTE inhuur. M&I/Partners schat in dat het aantal TISO’s na outsourcing van de infrastructuur uit komt op 1,0 FTE TISO. In de transitieperiode (totdat veel van het I-landschap is geoutsourcet), adviseren wij de inzet van een vaste en een tijdelijke TISO. De TISO is ook na outsourcing nog wel nodig om te begrijpen hoe applicaties technisch zijn ingericht en hier duidelijke afspraken met leveranciers over te kunnen maken.