2025.105 Plan van aanpak GAD - MBS fase 1 MO

\

Plan van aanpak – Programma MBS: Fase 1: M&O

GAD/2025.105 4 december 2025 Spui 70, 2511 BT Den Haag secretariaatgad@denhaag.nl www.denhaag.nl

Inhoudsopgave Inleiding 3 Aanleiding 3 Object van onderzoek en fasering 3 Inleiding 4 Hoofdonderwerpen van ons onderzoek 4 Relevantie onderzoek 4 Aanpak - IT-aandachtsgebieden relevant voor de jaarrekeningcontrole 5 Onderzoeksaspecten 5 Aanpak - IT-aandachtsgebieden relevant voor de jaarrekeningcontrole 6 Onderzoeksmethodiek 6 Communicatie en rapportage 6 Samenstelling team 6 Disclaimers 6 Aanpak - IT-aandachtsgebieden relevant voor de jaarrekeningcontrole 7 Omgang met verkregen documentatie 7 Planning Fase 1A (Salarisadministratie & IKB) 7 Planning Fase 1B (Personeelsadministratie) 7 Aanpak - Projectvoortgang, -bewaking en -kwaliteit 8 Doel 8 Voorgestelde werkwijze en communicatie 8 Disclaimers 8 Bijlage 1: Gedetailleerd doel en werkwijze IT-aandachtsgebieden relevant voor de jaarrekeningcontrole 9 Bijlage 2: Globaal tijdspad GAD Fase 1 12

2/12

Inleiding Aanleiding Voor het programma Modernisering BedrijfsvoeringsSystemen (MBS) is de gemeente Den Haag gestart om systemen voor de dienstverlening van Mens & Organisatie (M&O) (fase 1: 2025/2026) en Financiën en Inkoop (fase 2: 2027/2028) te vervangen. Het gaat om verouderde applicaties die zij vervangt door Software as a Service (SaaS) applicaties. Voor een gedetailleerde achtergrond hierover verwijzen wij naar de brief van de gemeente aan de Rekeningencommissie over het programma MBS: De noodzaak en de beoogde doelen, de fasering en de financiën, van 3 december 2024 [RIS320676].

Object van onderzoek en fasering

Het object van onderzoek is het lopende programma MBS. In dit Plan van Aanpak wordt expliciet het onderdeel fase 1: M&O-systeem & Salarissysteem (dienstverlening M&O) meegenomen. De betrokken systemen verwerken en ondersteunen jaarlijks meer dan € 900 miljoen aan salaris- en sociale lastenbetalingen (begrote personele kosten 2026/2029) en beheren de personeelsadministratie van ruim 10.000 fulltimeequivalenten (begrote formatie 2026/2029) [Programmabegroting 2026 – 2029].

Conversie

Vanuit de notitie van de GAD aan de Rekeningencommissie [GAD/2025.78] van 19 september 2025 (die gebaseerd is op het rapport van de Rekeningencommissie over de jaarrekening 2024 [RIS322684]), is het volgende vermeld over de onderzoeken die parallel lopen aan de jaarrekeningcontrole: “Modernisering van de bedrijfsvoeringsystemen (MBS): De GAD zal de implementatie van de MBS onderzoeken, met specifieke aandacht voor voortgang, kwaliteitsbewaking, inrichting, security, projectbeheersing, datamigratie en de scheiding van de twee fasen. Daarbij wordt ook gekeken naar de gevolgen voor de jaarrekeningcontrole.”

Procedures wijzigings/migratiebeheer

Huidige situatie

Nieuwe situatie

Rapportage

Inrichting

data-extractie & rapportage logica

key GITC's & IT Application controls

Legenda:

In dit plan van aanpak licht de GAD toe hoe zij vormgeeft aan dit onderzoekverzoek, specifiek afgekaderd naar fase 1: M&O. De voornaamste reden om deze opdracht nu te starten, ligt in het verlengde van de planning en implementatie van fase 1 door de gemeente. De afronding van de implementatie vindt naar verwachting van de gemeente plaats in Q1 en Q2 van 2026. Voor fase 2: Financiën en Inkoop stellen wij te zijner tijd een separaat plan van aanpak op.

Datamigratie

x

GAD IT-audit werkzaamheden Focusgebied GAD Datamigratiestroom Rapportageproces

Figuur 1: overzicht IT-aandachtsgebieden GAD – MBS-Fase 1: M&O

3/12

Inleiding Op basis van de huidige planning gaat het om de softwareconversie en datamigratie van de volgende IT-systemen (zie ook figuur 1 hiervoor). Huidige systemen: • Oracle eBS – huidig bronsysteem voor de M&O Master Data • ADP – huidig systeem voor de salarisverwerking Nieuwe systemen: • Oracle HCM Cloud – doelsysteem voor de M&O Master Data • Youforce - doelsysteem voor de salarisverwerking • SDworx – doelsysteem voor het Individueel Keuzebudget (IKB) Fasering: De gemeente verdeelt de implementatie van deze nieuwe systemen in twee fasen: • Fase 1A: Salarisverwerkingssysteem en IKB-systeem (Beoogde live-gang januari 2026) • Fase 1B: Personeelsdossier (Beoogde live-gang april 2026) Wij merken op dat MBS, gelet op de fasering van de software-implementatie, geen invloed heeft op de jaarrekeningcontrole 2025. De uitkomsten van onze werkzaamheden dienen ter onderbouwing van de betrouwbaarheid van de personeels- en salarisgegevens die wij gaan gebruiken in de jaarrekeningcontrole 2026. Wij houden bij het plannen van onze werkzaamheden rekening met de planning van beide fasen en halen daarom onze IT-audit werkzaamheden van de jaarrekeningcontrole 2026 naar voren.

Hoofdonderwerpen van ons onderzoek Om de context van ons MBS-onderzoek verder te duiden, clusteren wij de aandachtspunten uit de eerde genoemde GAD-notitie. Wij onderkennen de volgende twee onderdelen: 1. (IT-)aandachtspunten relevant voor de jaarrekeningcontrole 2026 • Datamigratie • Inrichting • Security • Overige gevolgen voor de jaarrekeningcontrole 2. Projectvoortgang, -bewaking en -kwaliteit • Voortgang • Kwaliteitsbewaking • Projectbeheersing Voor voorgaande stellen wij een tweetal aanpakken voor. Deze zijn verderop in dit plan van aanpak toegelicht. Relevantie onderzoek Bij datamigratie of conversie naar andere softwareapplicaties moet de accountant beoordelen of (financiële) gegevens volledig en juist zijn overgezet, of interne controles goed functioneren en of de administratie blijft voldoen aan wettelijke vereisten. Een foutieve of onvolledige dataconversie kan leiden tot materiële afwijkingen in de jaarrekening en beïnvloedt de vergelijkbaarheid van cijfers tussen boekjaren.

4/12

Aanpak - IT-aandachtsgebieden relevant voor de jaarrekeningcontrole Onderzoeksaspecten Wij hebben onze werkzaamheden, rekening houdend met de aandachtspunten van de Rekeningencommissie, onderverdeeld naar de volgende vier aspecten:

Inrichting

Onze werkzaamheden richten zich op het toetsen van de voor de jaarrekeningcontrole relevante inrichting van Key Generieke IT controls (GITC) (zoals, maar niet uitsluitend, logische toegangsbeveiliging (LTB) autorisaties, wijzigingsbeheer en IT application controls (Interne beheersingsmaatregelen die in nieuwe systemen zijn opgenomen). De focus ligt hierbij op de situatie na ingebruikname van de nieuwe applicaties uit MBS-fase 1.

Rapportage

Vanuit de jaarrekeningcontrole relevante inrichting van rapportages en exportbestanden (data-extractie en rapport logica), relevante koppelingen met andere applicaties ten behoeve van het opstellen van rapportages. Het gaat hierbij ook om de rapportages die de gemeente gebruikt (als stuurinformatie). Hierbij richten wij ons op de procedures voor het beheren van de rapport logica en koppelingen.

Key IT-aandachtsgebieden relevant voor de jaarrekeningcontrole

Datamigratie kwaliteitseisen data

Conversie

Inrichting

Rapportage

Procedures wijzigingsbeheer

key GITC's & IT Application controls

data-extractie & rapportage logica

Deze aandachtsgebieden kunnen als volgt uitgelegd worden: IT-aandachtsgebied

Omschrijving

Datamigratie

Wij richten ons op het toetsen op de beheersing rondom de datamigratie. Wij toetsen hierbij hoe de gemeente relevante kwaliteitseisen van data borgt tijdens het technisch overzetten van de personeels- en salarisgegevens van Oracle eBS naar Oracle HCM Cloud in fase 1a en 1b.

Softwareconversie

Wij richten ons op het toetsen van de beheersing rondom het software-implementatietraject. Wij gaan hierbij na hoe de gemeente het implementatietraject van MBS-fase 1 organiseert en beheerst.

Voor een gedetailleerdere toelichting en beschrijving van ons doel en controlewerkzaamheden voor deze IT-aandachtsgebieden verwijzen wij naar bijlage 1.

5/12

Aanpak - IT-aandachtsgebieden relevant voor de jaarrekeningcontrole Onderzoeksmethodiek Wij zullen in het kader van de jaarrekeningcontrole risicoinschattingswerkzaamheden opzetten en uitvoeren die een geschikte basis vormen voor de identificatie en inschatting van risico’s voortvloeiend uit de datamigratie en de implementatie van de IT-systemen uit het MBS-project fase 1. Onze werkzaamheden bestaan uit het houden van interviews, het inspecteren en analyseren van documenten, het inspecteren van systeeminstellingen, het toetsen van geïmplementeerde beheersmaatregelen en waar nodig het (opnieuw) uitvoeren van aanvullende controlewerkzaamheden. De normenkaders die wij gaan gebruiken bij onze controlewerkzaamheden zullen ontleend zijn bestaande frameworks ten aanzien van de beheersing van IT-systemen (die gebruikelijk zijn in de uitvoering van een jaarrekeningcontrole). Communicatie en rapportage We houden stakeholders van de gemeente tussentijds op de hoogte van de voortgang en verstrekken aan hen de controlebevindingen voor hoor- en wederhoor. Onze bevinding rapporteren wij in onze accountantsproducten bij de jaarrekeningcontrole. Indien voor de Rekeningencommissie gewenst rapporteren wij onze bevindingen uitgebreider. Wij rapporteren onze bevindingen via de reguliere accountantsproducten die bij de jaarrekeningcontrole horen.

Afhankelijk van de fasering en afronding binnen de gemeente kunnen wij u, indien nodig, tussentijds separaat informeren. Over onze werkzaamheden met betrekking tot MBS-fase 1A rapporteren wij, als onderdeel van de paragraaf over ‘ontwikkelingen’, via het accountantsverslag 2025.

Samenstelling team Voor de hiervoor genoemde onderdelen, die betrekking hebben op MBS-programma fase 1, zetten wij een gespecialiseerd team in. Dit team bestaat uit meerdere Register EDP-auditors (RE’s), die gezamenlijk beschikken over ervaring op het gebied van ITaudits. Aanvullend is sprake van inzet van Registeraccountants (RA’s) met een jaarrekeningcontroleblik. Door deze inzet zorgen wij ervoor dat de werkzaamheden met de juiste deskundigheid worden uitgevoerd. Werkzaamheden worden uitgevoerd in overeenstemming met de Verordening gedrags-en beroepsregels accountants (VGBA), de Verordening inzake de onafhankelijkheid van accountants bij assurance-opdrachten (ViO) en Reglement Gedragscode Register IT-Auditors (‘Code of Ethics’) van de NOREA. Dienovereenkomstig zijn wij verplicht te voldoen aan de voor ons geldende gedragsnormen. Deze zijn te raadplegen op de website van de beroepsorganisaties www.nba.nl en www.norea.nl.

Disclaimers Wij voeren deze opdracht uit in het kader van onze jaarrekeningcontrole en informeren u over de belangrijkste bevindingen en uitkomsten uit onze werkzaamheden. Eén en ander impliceert dat aan de in scope meegenomen onderwerpen, voortvloeiend uit dit Plan van Aanpak, geen zekerheid met betrekking tot de getrouwheid van dit materiaal kan worden ontleend, anders dan ter zake van de aspecten zoals door ons onderzocht en waarover dienovereenkomstig door ons in de boardletter en het accountantsverslag wordt gerapporteerd.

6/12

Aanpak - IT-aandachtsgebieden relevant voor de jaarrekeningcontrole De werkzaamheden van de GAD vinden deels plaats tijdens of kort na conversie- en implementatiewerkzaamheden van de gemeente. De kans bestaat dat dit leidt tot beperkte toegang tot gegevens en/of beperkte beschikbaarheid van medewerkers. Wij houden hier rekening mee door tijdig informatie op te vragen en afspraken voor interviews te maken. Daarnaast kunnen er onvoorziene vertragingen oplopen uit het MBS-project, wij houden hiermee rekening in onze planning. In het geval de hierna genoemde planning verandert, informeren we ten alle tijde de Rekeningencommissie. Omgang met verkregen documentatie De verkregen informatie (interviews/documentatie) ten behoeve van de opdracht leggen wij vast in ons auditdossier en blijft bij het team van de GAD. Deze informatie is vertrouwelijk en zal niet beschikbaar worden gesteld aan anderen zonder toestemming van de GAD en de betrokken personen.

Planning Fase 1B (Personeelsadministratie) Taak

Planning gereed

Audit datamigratie Fase 1B

Synchroon met datamigratie planning Fase 1B gemeente (1 april 2026). Beoogde GAD-afronding eind juni 2026

Audit Inrichting Fase 1B

Synchroon met softwareconversie planning fase 1B gemeente

(GITC’s (opzet, bestaan),

(1 april 2026). Beoogde GAD-afronding eind juni 2026

IT controls, rapportages) Audit softwareconversie

Synchroon met planning Fase 1 gemeente. Beoogde GAD-

Fase 1 M&O

afronding eind juni 2026 o.b.v. de tot dan toe beschikbare informatie.

Rapportage

Bevindingen over fase 1B en implementatietraject fase 1 in tussentijdse rapportage d.d. eind juni 2026

Voor een globaal tijdspad van de GAD verwijzen wij naar bijlage 2. Planning Fase 1A (Salarisadministratie & IKB) Taak

Planning gereed

Plan van aanpak gereed

RC-vergadering 10 december 2025

Audit datamigratie Fase 1A

Synchroon met datamigratie planning Fase 1A gemeente (2 januari 2026). Beoogde GAD-afronding eind maart 2026

Audit Inrichting Fase 1A

Synchroon met softwareconversie planning fase 1A gemeente

(GITC’s (opzet, bestaan),

(2 januari 2026). Beoogde GAD-afronding eind maart 2026

IT controls, rapportages) Bevindingen over fase 1A (en beschikbare informatie 1B) in Rapportage

accountantsverslag 2025 (datum t.z.t. bepalen).

7/12

Aanpak - Projectvoortgang, -bewaking en -kwaliteit Doel Het doel van het onderzoeksverzoek is het verkrijgen van inzicht door de Rekeningencommissie voor onder andere de kwaliteitsbewaking, projectbeheersing en voortgang van het programma. De GAD fungeert binnen het kwaliteitsmanagementsysteem van het Programma MBS als externe kwaliteitspartner. Dit houdt in dat wij op vaste momenten documenten opvragen en ontvangen en overleg voeren met sleutelpersonen binnen de governancestructuur van het MBS-programma, waaronder de stuurgroep en programmadirecteur.

Hierdoor onthouden wij ons van het nemen van materiele beslissingen die invloed hebben op het MBS-programma en participeren wij niet in het besluitvormingsproces (art. 18.1 en 18.2 ViO).

Voorgestelde werkwijze en communicatie Ten minste elk tertaal vindt een overleg tussen de GAD en functionarissen binnen het MBS-programmateam plaats. Hierin wordt onder andere de kwaliteitsbewaking, projectbeheersing en voortgang van het programma besproken. De GAD wordt hierdoor actief meegenomen en geeft gevraagd en ongevraagd advies, zonder betrokken te raken bij het besluitvormingsproces. Daarnaast ontvangen wij de voortgangsrapportages die het college periodiek voorlegt aan de Raad [RIS323601]. Wij stellen daarom voor dat het College zelf de Raad en de Rekeningencommissie informeert over relevante aspecten over kwaliteitsbewaking, projectbeheersing en -voortgang van het MBS-programma. Wij zullen deze voortgangsrapportages kritisch doorlezen en vaststellen dat de inhoud verenigbaar is met het beeld uit onze werkzaamheden. Wij melden vooraf eventuele tegenstrijdigheden bij de gemeentelijke organisatie en verzoeken hen om dit aan te passen in de voortgangsrapportage.

Disclaimers Wij houden bij onze rol als externe kwaliteitspartner rekening met de onafhankelijke positie die de GAD heeft in overeenstemming met de Verordening gedrags-en beroepsregels accountants (VGBA) en Verordening inzake Onafhankelijkheid (ViO). 8/12

Bijlage 1: Gedetailleerd doel en werkwijze IT-aandachtsgebieden relevant voor de jaarrekeningcontrole Datamigratie Onze werkzaamheden in relatie tot de datamigratie richten zich op het toetsen van beheersingsmaatregelen rondom de datamigratie. Wij kijken hierbij naar de borging van relevante kwaliteitseisen van de datamigratie van Oracle eBS naar Oracle HCM Cloud in fase 1a en 1b door de gemeente. Denk hierbij aan eisen aan zoals: • Nauwkeurigheid • Volledigheid • Integriteit • Beschikbaarheid • Vertrouwelijkheid van de data De uitkomsten van onze werkzaamheden dienen ter onderbouwing van de betrouwbaarheid van de personeels- en salarisgegevens die wij gaan gebruiken in de jaarrekeningcontrole 2026. Ook kan dit zorgen voor tijdige bijsturing in het proces van de gemeente als hieruit bevindingen komen. Onze werkzaamheden bestaan uit interviews en documentanalyses. Hierbij onderzoeken wij de voorbereiding van de datamigratie, denk hierbij aan het informatiebeveiligingsplan, datamigratieplan en -draaiboek, en testplannen. Ook nemen wij de uitvoering van de datamigratie mee. Denk hierbij aan testverslagen, reconciliatieverslagen en verschillenanalyses.

Als uit onze beoordeling van bovenstaande of uit andere signalen blijkt dat aanvullende controle-informatie noodzakelijk is, zullen wij aanvullende werkzaamheden uitvoeren om de betrouwbaarheid van de gemigreerde data vast te stellen.

Wij gaan hierbij na hoe de gemeente het implementatietraject van MBS-fase 1 organiseert en beheerst. Doel hiervan is vaststellen of de sturing, beheersing en verantwoording binnen dit proces zodanig zijn ingericht dat de betrouwbaarheid van de informatievoorziening en de beheersing van IT-gerelateerde risico’s gewaarborgd zijn door de gemeente. Onze werkzaamheden bestaan uit interviews, documentanalyse en toetsen van beheersmaatregelen omvat zowel organisatorische als technische aspecten van het conversieproces. Organisatorische aspecten: Wij zullen hiervoor documenten inspecteren zoals het projectinitiatieimplementatieplan en -draaiboek, impactanalyse op M&O-dienstverlening, Go/no-go adviesrapport, risicoanalyse (waaronder de probleem en risicologboeken), governancestructuur MBS-programma, overeenkomsten en verslagen van (externe) conversiepartners en IT-softwareleveranciers, teststrategie (waaronder test- en acceptatieprocedures) en GO-live besluitdocument/opleverdocument. De interne beheersmaatregelen die wij, op basis van de softwareconversieprocedures, relevant achten voor de jaarrekeningcontrole, worden door ons getoetst op hun opzet, bestaan en (indien van toepassing) werking. Technische aspecten: Wij zullen hiervoor documenten inspecteren zoals de systeemarchitectuurdiagrammen, waaronder de interfaceoverzichten.

Het inzicht hieruit zullen wij meenemen bij de controlewerkzaamheden die wij uitvoeren voor de inrichting van de nieuwe M&O-systemen.

Softwareconversie Onze werkzaamheden in relatie tot de softwareconversie richten zich op het toetsen van de beheersingsmaatregelen rondom het software implementatietraject. 9/12

Bijlage 1: Gedetailleerd doel en werkwijze IT-aandachtsgebieden relevant voor de jaarrekeningcontrole Inrichting (GITC en ITAC) Onze werkzaamheden richten zich op de inrichting van de Generieke IT controls, met bijzondere aandacht voor de IT-omgeving. Wij focussen hierbij op de periode na ingebruikname van de nieuwe M&O- applicaties. Onze werkzaamheden geven inzicht in de betrouwbaarheid van de geautomatiseerde gegevensverwerking van de personeels- en salarisgegevens. Dit inzicht kan zorgen voor tijdige bijsturing in het proces van de gemeente als hieruit bevindingen komen. De nieuwe M&O applicaties toetsen wij op vier GITC-onderdelen: • Logische toegangsbeveiliging (authenticatie- en autorisatiebeheer): zorgt dat alleen bevoegde medewerkers toegang hebben tot systemen en gegevens. • Wijzigingsbeheer: borgt dat systeem- en configuratiewijzigingen gecontroleerd en goedgekeurd worden uitgevoerd. • Leveranciersbeheer: richt zich op het beheersen van IT-diensten die door externe partijen worden geleverd. • Continuïteit: waarborgt dat kritieke systemen bij storingen of calamiteiten blijven werken of snel worden hersteld. Hierbij houden wij in het bijzonder rekening met de situatie dat de nieuwe applicaties deels beheerd worden door de softwareleverancier (SaaS). Hierdoor vinden relevante GITC-onderdelen plaats buiten de gemeente.

De GAD zal hiervoor externe assurance rapportages (zoals een ISAE3402 Assurance rapportage) meenemen in de beoordeling.

Onze werkzaamheden richten zich ook op de inrichting van de systeemcontroles (IT application controls; ITAC). Wij focussen hierbij op de periode na ingebruikname van de nieuwe M&O- applicaties. Onze werkzaamheden bestaan uit interviews, documentanalyses en inspecteren van systeeminstellingen. Ook gaan wij na hoe de gemeente deze inrichting heeft geborgd in het MBS-implementatietraject door te kijken welke Key IT controls door de gemeente worden overgenomen, zijn gewijzigd, komen te vervallen of nieuw zijn in de nieuwe applicaties. Deze beoordeling geeft inzicht hoe de gemeente het M&O-proces beheerst met de applicaties. Voorbeelden van key systeemcontrols zijn: • De functiescheiding door ingerichte autorisatieflows (meer-ogen principe) van registraties/wijzigingen in de personeelsadministratie (instroom, mutaties, uitstroom en declaraties). • De rekenkundige juistheid van de bruto-netto berekening in het salarisverwerkingssysteem op basis van de vaste parameters (zoals pensioenpremies en -grondslagen, sociale premies, loonheffingsbelastingpercentages, et cetera). Rapportage Onze werkzaamheden richten zich op de vanuit de jaarrekeningcontrole relevante inrichting van rapportages en exportbestanden (data-extractie en rapport logica) en de relevante koppelingen met andere systemen.

Wij vestigen hier extra aandacht op doordat er meerdere extractie, transformatie en laad (ETL) stappen plaatsvindt bij de totstandkoming van rapportages en de datastructuur door de nieuwe systemen wijzigt.

De beheersing van deze IT-applicaties is bepalend voor de betrouwbaarheid van de (financiële) processen waarin zij worden gebruikt.

10/12

Bijlage 1: Gedetailleerd doel en werkwijze IT-aandachtsgebieden relevant voor de jaarrekeningcontrole In het proces wordt data uit Oracle HCM (en voorheen Oracle eBS) geëxporteerd naar een datawarehouse om OAS-rapportages effectiever te draaien. De gemeente gebruikt deze rapportages bij verschillende afdelingen en de datamigratie beïnvloedt de vergelijkbaarheid, historische gegevens, stuurinformatie en spendanalyses. Ook de GAD hanteert deze rapportages en exportbestanden (voor onze data-analyses) in de jaarrekeningcontrole. Het is daarom essentieel dat wij tijdig inzicht krijgen in de gevolgen op de beschikbare data en datastructuur, zodat wij onze analysetools hierop kunnen aanpassen. Wij richten onze werkzaamheden op de procedures voor het beheren en borgen van de rapport logica en koppelingen. Wij zullen hiervoor documenten inspecteren zoals impactanalyse op M&O-dienstverlening, het testplan en de gebruikersacceptatietest resultaten op dit onderwerp. Als uit onze beoordeling van bovenstaande of uit andere signalen blijkt dat aanvullende controle-informatie noodzakelijk is, zullen wij aanvullende werkzaamheden uitvoeren om de betrouwbaarheid van de relevante rapportages en exportbestanden vast te stellen.

11/12

Bijlage 2: Globaal tijdspad GAD Fase 1

12/12