Brief RC aan weth OJSD inz Jaarrekening 2023 RIS319006

RekeningencommissieTyp tekstTyp tekst

078

Retouradres Spui 70 2511 BT Den Haag

Ons kenmerk

RIS319006

Wethouder Onderwijs, Jeugd, Sport & Dienstverlening de heer H. Bredemeijer

Contactpersoon

Telefoonnummer

070 – 3533 550

Bijlage

Datum

31 mei 2024 Onderwerp

Onderzoek jaarrekening 2023

Geachte heer Bredemeijer, De Rekeningencommissie heeft onderzoek gedaan naar de programmarekening 2023 van de gemeente Den Haag (RIS318640) en daarover in haar vergaderingen van 15, 23 en 29 mei beraadslaagd. De commissie heeft de bevindingen uit de interimcontrole en de jaarrekeningcontrole in haar onderzoek betrokken, zoals deze zijn weergegeven in de boardletter van de Accountantsorganisatie (RIS317304) en het accountantsverslag (RIS318207). In het kader van het onderzoek wil de Rekeningencommissie onderstaande onderwerpen met u bespreken. De commissie nodigt u hiertoe uit op donderdagavond 6 juni a.s. om 19:30 uur in de commissie/perskamer (B01.15).

1.

Verbeteren digitale veiligheid

In voorgaande jaren is geconstateerd dat autorisatiebeheer bij sommige applicaties weinig aandacht krijgt. Hier zou twee keer per jaar een beoordeling op uitgevoerd moeten worden. Voor wat betreft de General IT Controls (GITC) kwam het vorig jaar voor dat bij uitbesteding van applicaties assurance ontbreekt over de beheersing van risico’s door de dienstverlener. De Rekeningencommissie is van mening dat uit de tabel op pagina 16 van het accountantsverslag (RIS318207) naar voren komt dat te veel aspecten niet of onvoldoende worden beheerst. De commissie vraagt u toe te lichten welke maatregelen u neemt. Ook heeft de Rekeningencommissie vorig jaar onder de aandacht van het college gebracht dat de digitale veiligheid op enkele concrete punten verbetering behoeft. Dit kwam naar voren in een pilot voor een cybersecurity assessment die vorig jaar door de Accountantsorganisatie is uitgevoerd in het kader van de jaarrekeningcontrole (zie het RC-rapport 2022, RIS315931, pagina 30, de brief hierover aan het college, RIS317055 en de reactie van het college (RIS317224). Inzicht in het IT-landschap: het IT-landschap van de gemeente bestaat uit een groot aantal applicaties en onderliggende infrastructuur ter ondersteuning van de processen.

Om het IT-landschap goed te kunnen beschermen is het noodzakelijk dat dit volledig in kaart is gebracht en dat ook de onderlinge afhankelijkheden bekend zijn. Op dit moment heeft de gemeente nog geen compleet beeld

Gemeente Den Haag

Spui 70 Den Haag

T 070 - 353 3550 www.denhaag.nl

Gemeente Den Haag

van dit IT- landschap. Zo is er bijvoorbeeld geen centraal overzicht van kritische uitbestedingen en is het overzicht van kritische services en infrastructuur niet actueel. Het college heeft de Rekeningencommissie laten weten dat het eigenaarschap voor het op orde brengen van een volledig inzicht in het IT-landschap inmiddels is belegd en dat in 2024 stappen worden gezet om dit inzicht verder te completeren (RIS317224). De accountant constateert dat het college vooralsnog weinig voortgang heeft geboekt. De Rekeningencommissie wil van u een toelichting ontvangen op de gesignaleerde risico’s, de voorgenomen maatregelen en de voortgang hiervan. Onderzoek (cyber)secrurity: de Rekeningencommissie heeft het college vorig jaar gevraagd het college zelf ook assessments wil (laten) uitvoeren in het kader van zogenoemde derdelijnscontroles. Het college heeft daarop toegezegd een extern onafhankelijk onderzoek te doen op het gebied van cybersecurity en daarin de vraag mee te nemen of het huidige drielijnsmodel adequaat functioneert en de (eind)verantwoordelijkheid daarin voldoende is geborgd. Ook heeft het college toegezegd de vraag in hoeverre er inzicht is in het IT-landschap en welke stappen nodig zijn om het volledige inzicht te verkrijgen, mee te nemen in het externe onderzoek (RIS317224). Dit onderzoek zou naar verwachting vóór de zomer van 2024 gereed zijn.

De Rekeningencommissie vraagt u de voortgang hiervan toe te lichten en wil de uitkomsten van dit onderzoek in het najaar van 2024 agenderen.

2. Begrotingstekorten voor informatiebeheer en security Op uitnodiging van de Rekeningencommissie is de inhoud van de collegebrief over digitale veiligheid (RIS317224) en de voortgang van de reorganisatie van de afdeling Informatisering & Automatisering (I&A) in een werkbespreking nader toegelicht door de CIO (RIS318205). Daarin kwam onder meer naar voren dat de wettelijke eisen aan de digitale veiligheid (BIO en NIS2) worden aangescherpt en van de I&A-organisatie veel aandacht en capaciteit vragen. Voor wat betreft informatiebeheer hebben de toezichthouders kritische rapporten over 2021 en 2022 geschreven. Er is een achterstand in het opruimen van de fysieke archieven (zie ook RIS318000). De krappe arbeidsmarkt maakt het lastig om de gewenste progressie te boeken. Om aan wettelijke verplichtingen als de Wet Open Overheid (Woo) te voldoen zijn ingrijpende veranderingen nodig, met name voor passieve openbaarmaking (door Juridische Zaken) en het vindbaar maken van informatie. In de vindbaarheid van informatie is sinds 2020 onvoldoende verbetering gerealiseerd. Hiervoor zijn aanvullende maatregelen noodzakelijk. Mede gezien de uitgebreide nieuwe wetgeving zijn de huidige capaciteit en middelen niet toereikend om aan toekomstige eisen te kunnen voldoen. Er ligt daarom een afweging voor tussen investeren in meer capaciteit of het accepteren van risico’s.

Met name voor de portefeuilles Informatiebeheer en Security is onvoldoende structureel budget en capaciteit beschikbaar om alle uitdagingen het hoofd te bieden. De Rekeningencommissie wil nader worden geïnformeerd over de te maken keuzes en de afwegingen van het college daarin, zo nodig in een besloten deel van een vergadering.

3. Fraudepreventie Voorraadbeheer identiteitsbewijzen: de accountant heeft administratieve aansluitverschillen in de voorraden paspoorten en rijbewijzen aangetroffen die niet verklaard konden worden. Eerder was in de Board Letter 2023 gerapporteerd over tekortkomingen in de interne beheersmaatregelen voor het voorraadbeheer van identiteitsbewijzen. De Rekeningencommissie wil – al dan niet vertrouwelijk – worden geïnformeerd over de omvang van het probleem en de maatregelen die getroffen worden om het op te lossen.

2/3

Gemeente Den Haag

Incident met kasgeld bij balies: de accountant meldt dat een incident met kasgeld bij balies liet zien dat het kasbetalingenproces kwetsbaarheden kende. Naar aanleiding hiervan is een gemeentebreed onderzoek naar kasgelden gedaan door een extern adviesbureau. De Rekeningencommissie wil – al dan niet vertrouwelijk – door het college worden geïnformeerd over de bevindingen van dit externe onderzoek en over de opvolging van de aanbevelingen. Het college wordt gevraagd toe te lichten hoe de gesignaleerde kwetsbaarheden zijn aangepakt.

Voor de volledigheid deelt de commissie mee dat een samenvatting van de bespreking zal worden betrokken bij het eindrapport van de Rekeningencommissie over haar onderzoek naar de jaarrekening 2023. Namens de Rekeningencommissie, de secretaris,

de voorzitter,

J. van Duijn

M. De Vuyst.

3/3