RC-verslag 10 februari 2021 RIS 308152

Rekeningencommissie RIS 308152

Verslag

Verslag van de vergadering van de Rekeningencommissie (RC) van 10 februari 2021

Aanwezig:

de voorzitter, de heer D. Scheper; mevrouw L. Arp, de heren B. Aydin, P. Bos, M. De Vuyst, F. de Graaf en C. Pluimgraaff, allen lid RC; mevrouw D. Comijs, Functionaris Gegevensbescherming; de heer M. Fraanje, directeur informatie & ICT/CIO; J. van Duijn, secretaris.

Afwezig:

de heer R. Sluijs (m.k.).

A. Opening, mededelingen, vaststelling agenda, ingekomen stukken De voorzitter opent de vergadering om 13:45 uur en heet de aanwezigen welkom. De agenda wordt ongewijzigd vastgesteld.

B. Verslag van de vergadering van 17 december 2020 Het verslag van de vergadering van 17 december 2020 (RIS307748) wordt ongewijzigd vastgesteld. De commissie besluit een brief aan het college te sturen over enkele aandachtspunten die zijn voortgekomen uit onder meer de behandeling van de boardletter (RIS307273), de brief over de rechtmatigheidsverantwoording (RIS305828) en de jaarrapportage over verbonden partijen (RIS305638).

C. Ingekomen bestuurlijke stukken De rapportage van de Accountantsdienst over het onderzoek naar de 8-maandsrapportage (GAD/2021.05) wordt voor kennisgeving aangenomen.

D. Audit datalekken In het kader van cyclische onderzoeken naar processen en projecten heeft een audit plaatsgevonden naar de naleving van de meldplicht datalekken (RIS307562). Dit onderzoek heeft voor het eerst in 2017 plaatsgehad. De uitkomsten van het onderzoek worden toegelicht door Theresia Gommans, lid van het directieteam van de Accountantsdienst. De hierbij getoonde beelden zijn als bijlage aan dit verslag toegevoegd. In dit onderzoek is gemeten in hoeverre medewerkers van de gemeente Den Haag op de hoogte zijn van de meldplicht voor datalekken en in hoeverre men weet hoe hiermee moet

Verslag RC-vergadering 10 februari 2021

Rekeningencommissie

worden omgegaan. De resultaten geven de stand weer van het najaar 2020. De respons was lager dan in 2017. Mogelijk heeft de berichtgeving over het onderzoek op het intranet minder aandacht gekregen omdat meer medewerkers thuiswerkten. Van de medewerkers die hebben deelgenomen aan het onderzoek geeft 83% aan bekend te zijn met het bestaan van de wet, in 2017 was dit 75%. Voorts zegt 49% bekend te zijn met de inhoud van de wet, in 2017 was dit 53%. Bijna de helft van de medewerkers (48%) geeft aan voorlichting over dit onderwerp te hebben gekregen (in 2017 was dit 44%), 88% was hierover tevreden. Van de respondenten geeft 95% aan te weten wat een datalek is. Uit nadere vragen komt naar voren dat de kennis hierover op onderdelen nog verbeterd kan worden. Uit de enquête blijkt niet dat medewerkers die voorlichting over datalekken hebben gekregen beter scoren qua kennis over datalekken. Voorts blijkt dat medewerkers niet met alle mogelijkheden bekend zijn om een datalek te melden. Ten opzichte van 2017 is niet echt een verbetering zichtbaar. Een meerderheid van de medewerkers is zich wel bewust van het risico op een datalek bij thuiswerken. De uitkomsten van het onderzoek maken duidelijk dat aandacht voor dit onderwerp nodig blijft, zowel voor wat betreft inhoudelijke kennis van medewerkers over datalekken als het proces van melden van een datalek.

Aansluitend geeft Diana Comijs, Functionaris voor de Gegevensbescherming (FG), een toelichting op haar taken en de huidige stand van zaken. De hierbij getoonde afbeeldingen zijn als bijlage aan dit verslag toegevoegd. De meldplicht voor datalekken is opgenomen in de Algemene Verordening Gegevensbescherming (AVG). Dit is een Europese verordening die voor wat betreft de werking vergelijkbaar is met een Nederlandse wet. Het uitgangspunt is dat persoonsgegevens alleen mogen worden verwerkt als dit noodzakelijk is voor een voldoende specifiek doel. De verwerkingsverantwoordelijke – in het geval van de gemeente is dat het college – dient er voor te zorgen dat de verwerking van persoonsgegevens transparant is en dat de risico’s in kaart worden gebracht en beperkt. Voor grote risico’s dienen Data Protection Impact Assessments (DPIA’s1) te worden uitgevoerd. Daarnaast geeft de AVG betrokkenen onder meer het recht op toegang tot de eigen persoonsgegevens, het recht op correctie en op verwijdering van gegevens. In de AVG worden enkele taken en rollen benoemd bij de verwerking van persoonsgegevens. In het geval van de gemeente geldt de gemeentesecretaris als hoogste bestuurder. In het geval van (keten)samenwerking met andere partijen geldt een gezamenlijke verwerkingsverantwoordelijkheid.

In de praktijk is het vaak niet eenvoudig om afzonderlijke verantwoordelijkheden hierin te benoemen en vast te leggen. Daarnaast kan een derde partij betrokken zijn als verwerker waaraan de verwerking van persoonsgegevens is uitbesteed, zoals cloud providers, uitzendbureaus en koeriers. In dat geval dient een verwerkersovereenkomst te worden gesloten waarin verantwoordelijkheden worden vastgelegd. De term betrokkene is van toepassing op de burger, maar dit kan voor de gemeente in zijn hoedanigheid als werkgever ook een werknemer zijn. Intern wordt op privacy toezicht gehouden door de FG. Als externe toezichthouder heeft de Autoriteit

1

Op de site van de Autoriteit Persoonsgegevens is uitgelegd wanneer een DPIA moet worden uitgevoerd. Pagina 2 van 8

Verslag RC-vergadering 10 februari 2021

Rekeningencommissie

Persoonsgegevens (AP) bevoegdheden tot handhaving, bijvoorbeeld door het opleggen van boetes. De gemeente heeft in de aanloop naar de inwerkingtreding van de AVG in 2017 een FG aangesteld. De FG is een onafhankelijke interne toezichthouder in dienst van de organisatie. De FG is dus toezichthouder op de eigen werkgever en opereert daarom in een spanningsveld als ‘brenger van slecht nieuws’. Naast het risicogericht nagaan of privacywetgeving (AVG, Wet politiegegevens) wordt nageleefd, houdt de FG toezicht op beleid en auditing en heeft de FG een adviserende rol aan de hoogste bestuurder. Andere taken van de FG zijn het bevorderen van bewustwording en het optreden als contactpunt voor de AP. Onlangs is voorgesteld om een scheiding aan te brengen tussen de toezichthoudende rol die de FG heeft en het leidinggeven aan de privacy-organisatie in oprichting. De huidige privacyorganisatie is versnipperd over alle diensten van de gemeente. De meeste diensten hebben een (deeltijd) privacy officer. De bedoeling is deze functies te bundelen in een privacyorganisatie die zich bezighoudt met uitvoering en beleid, waarvan de FG geen deel zal uitmaken. De FG kan advies geven (bijvoorbeeld op DPIA’s), ook ongevraagd. Om risico’s te beheersen acht de FG het noodzakelijk de basis voor de bescherming van persoonsgegevens op orde te brengen met een centraal verwerkingsregister.

Een belangrijk risico voor wat betreft de privacy-organisatie is dat de gemeente niet verder komt dan het reageren op incidenten. In de (primaire) processen is privacy vaak een bijzaak. Bij het stellen van beleidsdoelen wordt lang niet altijd vanaf het begin rekening gehouden met privacyaspecten, met andere woorden: er is nog geen sprake van privacy by design and default. Om als FG in deze context de naleving van de AVG goed te kunnen bevorderen is onafhankelijkheid een voorwaarde. Nu er plannen zijn om de FG en de privacy-organisatie van elkaar te scheiden lijkt het de FG goed om de positionering en rapportagelijnen van de FG explicieter vast te leggen. Sinds 2017 zijn er verschillende dingen tot stand gekomen, waaronder een bewustwordingscampagne om medewerkers uit te leggen hoe met persoonsgegevens moet worden omgegaan. Elke vier maanden rapporteert de FG aan de wethouder ICT. De rechten van betrokkenen worden nu door de gemeentelijke diensten verankerd in de processen. Het is echter lastig om hiervan een totaalbeeld te krijgen, omdat ook de registers van verwerkingen decentraal worden vastgelegd. Uit de audit datalekken blijkt dat de kennis over hoe te handelen in geval van een datalek beter kan. Dit betekent dat de bewustwordingscampagne vooral op praktische handreikingen gericht moet worden.

Voorts lijkt een hoger bewustzijn vooralsnog geen invloed te hebben op het gedrag van medewerkers. Recent is een nulmeting uitgevoerd om inzicht te krijgen in wat er verbeterd moet worden. De uitkomsten worden binnenkort aan de wethouder aangeboden. Voortdurende aandacht voor bewustzijn van de risico’s op datalekken blijft in ieder geval nodig. Er dient een centraal proces te komen om betrokkenen die een beroep doen op hun rechten (zoals inzage, correctie en verwijdering) van dienst te zijn. Ook dient er een centraal register van verwerkingen te komen en moet het inzicht in risico’s op een systematische manier worden getoetst. De hieruit voortvloeiende privacymaatregelen moeten vervolgens in een plan-do-check-actPagina 3 van 8

Verslag RC-vergadering 10 februari 2021

Rekeningencommissie

cyclus worden opgenomen. Om tot een adequate administratie en aanpak van datalekken te komen is het van belang dat medewerkers niet worden afgeschrikt om een melding te doen. Uiteindelijk moet dit tot een situatie leiden waarin de FG zich kan beperken tot systeemtoezicht. Uit de beantwoording van de vragen en de behandeling van de opmerkingen van de leden van de Rekeningencommissie komt het volgende naar voren. ▪ Duiding van de scores van medewerkers: de Rekeningencommissie vraagt zich af hoe de score van de gemeente Den Haag voor wat betreft het kennisniveau rond datalekken zich verhoudt tot andere gemeenten en zou dit in een volgende audit graag uitgezocht zien. Ten opzichte van de audit in 2017 lijken de scores nog niet veel te zijn veranderd. Na afloop van de awarenesscampagne wordt gemeten of de kennis over privacy is toegenomen. De Rekeningencommissie wil de audit datalekken dan herhalen. De in de campagne aangeboden informatie en toetsing is overigens niet verplicht voor medewerkers. ▪ Kennisniveau en doelgroepen: het benodigde kennisniveau met betrekking tot datalekken is functieafhankelijk. De awarenesscampagne richt zich daarom op vier doelgroepen, te weten het hogere management, het management, de werkvloer en de specialisten. Daarbij besteedt de campagne in het bijzonder aandacht aan de voorbeeldfunctie die van leidinggevenden uitgaat.

Belangrijk is dat medewerkers in ieder geval weten waar ze een (vermoedelijk) datalek moeten melden. De FG vindt het zorgelijk dat uit de audit blijkt dat deze procedure relatief onbekend is. Dit zou met een tamelijk eenvoudige vorm van voorlichting verbeterd kunnen worden. ▪ Aantal datalekken binnen gemeente Den Haag: in 2020 zijn ruim 300 datalekken intern gemeld. Daarvan zijn er uiteindelijk ruim 40 bij de Autoriteit Persoonsgegevens (AP) gemeld. Indien een datalek een grote impact op de betrokkene(n) kan hebben is een melding bij de AP verplicht en moet elke betrokkene gewaarschuwd worden. Niet alle meldingen betreffen meldingsplichtige datalekken, bijvoorbeeld als persoonsgegevens binnen de organisatie naar een onjuist e-mailadres worden gestuurd. Toch is het belangrijk dergelijke meldingen niet te ontmoedigen, zodat bijvoorbeeld administratieve onvolkomenheden geïdentificeerd kunnen worden. ▪ Gezamenlijke verwerkingsverantwoordelijkheid: ook bij gemeenschappelijke regelingen zoals H10, de GGD of de MRDH moeten expliciete afspraken worden gemaakt over de gezamenlijke verwerkingsverantwoordelijkheid. Hoewel de mate van verantwoordelijkheid voor gegevensbescherming geen verband houdt met de omvang van de organisatie, neemt de gemeente Den Haag bij dit soort samenwerkingsverbanden als grote gemeente vaak veel verantwoordelijkheid op zich.

De recente datalekken bij testlocaties van de GGD tonen hoe ingewikkeld deze gezamenlijke verantwoordelijkheid in de praktijk kan zijn: in regionale samenwerking werden lokaal gegevens geleverd aan een landelijk systeem. Vanwege de urgente behoefte aan informatie over het aantal besmettingen is hier mogelijk onvoldoende aandacht voor privacy geweest. De Rekeningencommissie vraagt het college na te gaan of bij alle samenwerkingsverbanden waarbij persoonsgegevens worden uitgewisseld duidelijke afspraken zijn gemaakt over de bescherming van deze gegevens. ▪ Positionering FG: de Rekeningencommissie vraagt zich af of met de huidige positionering van de FG de onafhankelijkheid voldoende kan worden gewaarborgd. Omdat de functie van FG nog betrekkelijk nieuw is, speelt deze vraag landelijk. Pagina 4 van 8

Verslag RC-vergadering 10 februari 2021

▪

Rekeningencommissie

Vooralsnog zijn hiervoor door gemeenten uiteenlopende keuzes gemaakt. Nu in de nieuwe organisatiestructuur een nadere invulling aan het functieprofiel van de Haagse FG wordt gegeven, vindt de commissie het van belang dat expliciet aandacht wordt besteed aan het waarborgen van de onafhankelijkheid van de functie van FG. De Rekeningencommissie wil hierbij ook kijken naar de positionering van andere onafhankelijke toezichthoudende functionarissen bij de gemeente en eventuele bundeling daarvan in een separate entiteit van de organisatie. Jaarlijkse rapportage aan Rekeningencommissie: de Rekeningencommissie vraagt de FG jaarlijks aan de commissie te rapporteren over de naleving van de AVG en dit in een commissievergadering toe te lichten, bij voorkeur in de eerstvolgende vergadering na de jaarlijkse Dag van de Privacy op 28 januari.

E. Werkbespreking governance IT/informatieveiligheid Tijdens de bevraging van de wethouder Economie, Internationaal & Dienstverlening (EID), mevrouw Bruines, in het onderzoek naar de jaarrekening op 8 oktober 2020 heeft zij toegezegd de Rekeningencommissie een overzicht te verstrekken met verantwoordelijkheden binnen de ICT-lijnorganisatie en de (interne) functionarissen die een (wettelijke) taak hebben in het toezicht op gegevens en processen (RIS306872). In de brief (RIS307573) die de Rekeningencommissie hierover heeft ontvangen gaat de wethouder tevens in op de versteviging van de ICT-governance. Hiervoor is door de Rekeningencommissie in voorgaande rapporten over de jaarrekening aandacht gevraagd. In deze werkbespreking wordt de brief van de wethouder ambtelijk toegelicht door Marijn Fraanje, directeur informatie & ICT/CIO. De hierbij getoonde beelden zijn als bijlage aan dit verslag toegevoegd. Op dit moment vinden veel veranderingen plaats binnen de organisatie voor Informatisering & Automatisering (I&A). Voorheen waren binnen de organisatie de taken voor wat betreft informatietechnologie (IT) ondergebracht in verschillende onderdelen. Strategie en kaderstelling vond plaats bij de directie Informatie binnen de Bestuursdienst. Adviesfuncties op het gebied van digitalisering en data waren ondergebracht in het bedrijfsvoeringsexpertisecentrum (BEC-I).

De afdeling Automatisering van het Intern Dienstencentrum (IDC-A) was verantwoordelijk voor de uitvoering, zoals het beheer van het netwerk, datacenters en werkplekken. Daarnaast was er nog een afdeling Informatiebeheer van het IDC, bestaande uit de voormalige archiefmedewerkers. Deze versnippering van de I&A-organisatie zorgde ervoor dat er veel overlap en dubbeling is in taken en er veel aparte lijnen liepen, zowel onderling als naar de afzonderlijke diensten en leveranciers. Bij leveranciers verandert de dienstverlening van het leveren en ondersteunen van fysieke systemen bij de gemeente naar zogenoemde cloud-dienstverlening via internet. Dit betekent dat het uitvoerende werk binnen de organisatie in de komende vijf à zes jaar sterk zal afnemen. Verbetering is nodig omdat er door de versnipperde organisatie voor IT-dienstverlening knelpunten in de samenwerking tussen de verschillende onderdelen in de I&A-keten waren en de leverbetrouwbaarheid van de dienstverlening aan diensten onder druk stond. Medio 2019 is gekeken naar ontwikkelingen binnen gemeenten en in de markt ten behoeve van de

Pagina 5 van 8

Verslag RC-vergadering 10 februari 2021

Rekeningencommissie

strategische personeelsplanning. Om een verbetering in de IT-dienstverlening ook op de toekomstige ontwikkelingen te laten aansluiten is de gehele I&A-keten geanalyseerd. In de externe omgeving spelen enkele belangrijke ontwikkelingen. De digitale transformatie zet sterk door en verandert van karakter. In plaats van omvangrijke projecten voor het implementeren van grote systemen bestaan veranderingen steeds vaker uit kleinere toepassingen die ook sneller worden vervangen door nieuwe technologie. De verandersnelheid van de technologie is dus groter geworden. Data wordt steeds meer als strategisch middel ingezet en digitale veiligheid en privacy worden steeds belangrijkere thema’s. De producten van leveranciers bestaan steeds meer uit clouddienstverlening. Op de IT-arbeidsmarkt is een steeds groter wordende schaarste aan IT-specialisten, met name in de uitvoering. De analyse van de I&A-keten heeft verschillende bevindingen opgeleverd. Verwacht wordt dat een bundeling van de nu versnipperde I&A-keten een structurele besparing van € 2,2 miljoen per jaar kan opleveren vanaf 2024. Een verandering van de organisatie van een uitvoerende dienst naar een regievoerder is nodig en de verantwoordelijkheidsverdeling en de strategische prioritering in de IT-governance moet worden verbeterd. Nu ervaren de diensten nog een te grote afstand tot de I&A-keten.

De kwaliteit, doelmatigheid en snelheid van dienstverlening aan de diensten moet beter. De motivatie onder de medewerkers van de I&A-keten om hiermee aan de slag te gaan is hoog. De gewenste situatie is vertaald naar negen ontwerpcriteria waaraan moet worden voldaan, gericht op het dichter bij elkaar brengen van de diensten en de IT-dienstverlening, het sneller en flexibeler kunnen inspelen op behoeften en nieuwe ontwikkelingen, het beter invullen van de verantwoordelijkheden in de regiefunctie en het inrichten van transparante, snelle en eenvoudige besluitvorming en financiën. Met de herinrichting van de I&A-keten wordt beoogd de directe ondersteuning op het dagelijks beheer en kleine IT-wijzigingen dichter op de belangrijke primaire ketens van de diensten te organiseren. Dit worden multidisciplinaire teams gestuurd door de eigenaren van de keten. Voorbeelden zijn de vergunningen-, subsidie- en Mor-ketens. Afhankelijk van de specifieke behoefte kunnen specialisten aan deze teams worden toegevoegd. Het uitgangspunt is dat dit op een wijze gebeurt die agile scrum is, met korte iteratieslagen in plaats van langdurige projecten. Diverse specialismes worden gebundeld in expertisecentra, bijvoorbeeld voor privacy, security, architectuur of data.

De dienst Automatisering krijgt daarbij meer een regiefunctie naar zowel de interne automatisering als de markt, betreffende onder meer contractmanagement en monitoring van de levering door leveranciers. Tot nu toe maakt elke dienst haar eigen portfolio voor automatisering. Beoogd wordt te komen tot een gemeentebrede sturing met behulp van een jaarplanning en voortgangsbewaking door de CIO. Vanuit de IT-board van het gemeentelijk managementteam (GMT) vindt sturing plaats op de ontwikkeling van gemeentebrede ITvoorzieningen. Bij IT-voorzieningen voor één of enkele diensten wordt door één dienst gestuurd in samenwerking met de IT-organisatie.

Pagina 6 van 8

Verslag RC-vergadering 10 februari 2021

Rekeningencommissie

Voor de transitie is gekozen voor een experimentele benadering vanuit een tijdelijke organisatie I&A gedurende twee à drie jaar. Veranderingen worden stapsgewijs geïmplementeerd, waarbij de medewerkers zo veel mogelijk worden betrokken. Inmiddels is gestart met vier pilots voor multidisciplinaire teams en zijn vijf expertisecentra ingericht. Op basis van de ervaringen van de komende twee jaar wordt de definitieve structuur ingevuld en vindt een afsluitende reorganisatie plaats. Uit de beantwoording van de vragen en de behandeling van de opmerkingen van de leden van de Rekeningencommissie komt het volgende naar voren. ▪ Functionarissen binnen Tijdelijke dienst I&A: binnen de tijdelijke dienst I&A zijn diverse functionarissen ondergebracht, zoals de FG, de Chief Data Officer, de CIO en de Chief Informatie Security Officer, met een kaderstellende dan wel toezichthoudende functie. De Rekeningencommissie vraagt zich af hoe deze verschillende functies binnen één dienst zich tot elkaar verhouden. Met de eerder benoemde verschuiving van uitvoering naar regievoering worden kaderstelling en regie dichter bij elkaar gebracht, aangezien die in elkaars verlengde liggen en beide tot doel hebben sturing te geven aan de leveranciers . Afgezien van de ketenanalyses binnen I&A worden ook voor overige onderdelen van de bedrijfsvoering ketenanalyses uitgevoerd.

In het kader daarvan wordt onder meer naar de controlfunctie gekeken en de positionering daarvan binnen de gemeente. Er is voor gekozen om controlen toezichthoudende functies binnen de Bestuursdienst te positioneren. Binnen het I&Adomein loopt de uitwerking van (wettelijk) toezicht uiteen. Zo ligt het toezicht op privacy bij de FG en is de gemeentearchivaris de toezichthouder voor informatiebeheer en archief. Het toezicht op informatiebeveiliging loopt vanuit het Rijk via de systematiek van ENSIA, waarbij Logius de self assessment van de gemeente met een assurancerapport van de Accountantsdienst beoordeelt. ▪ Ketengewijze automatisering: de vraagstukken die spelen bij de voorbereiding van de transitie naar de Omgevingswet waren aanleiding om hierin een ketengewijze benadering te kiezen. Automatisering en het beheer daarvan zijn tot nu toe organisatiegewijs ingericht, zonder daarbij de gehele gemeentelijke keten in beschouwing te nemen. Applicaties worden doorgaans in opdracht van een dienst ingericht en beheerd. Als daarbij geen rekening wordt gehouden met onderlinge afhankelijkheden in de collectief te beheren waardeketen heeft dit nadelige gevolgen voor de dienstverlening. De belangrijkste verandering in de nieuwe aanpak is dat de waardeketen (het hele proces) het uitgangspunt is voor digitalisering en niet de organisatiegrenzen van diensten.

Met de desbetreffende dienst(en) wordt de waardeketen in kaart gebracht, waarbij voorwaarden worden gesteld aan het starten van verdere digitalisering van deze ketens. Zo moet vooraf vastgesteld worden welke dienst ketenverantwoordelijke is. Deze ketenregisseur besluit uiteindelijk of en hoe processtappen worden gedigitaliseerd. De gemeentelijke diensten blijven daarbij verantwoordelijk voor de uitvoering van de eigen processen.

F. Opdrachtbevestigingen GAD Naar aanleiding van de gedachtewisseling in de vorige vergadering heeft de Accountantsdienst twee voorstellen gedaan voor nader onderzoek naar de verbetering van de GRIP-rapportage en naar de voortgang in de transitie naar de Omgevingswet. Beoogd wordt

Pagina 7 van 8

Verslag RC-vergadering 10 februari 2021

Rekeningencommissie

de bevindingen uit het onderzoek naar de Omgevingswet eind april aan de Rekeningencommissie te zenden. Uit de beantwoording van de vragen en de behandeling van de opmerkingen van de leden van de Rekeningencommissie komt het volgende naar voren. ▪ Beschikbare informatie voor GRIP: uit de werkbespreking in de commissie Ruimte over de GRIP-rapportage kwam naar voren dat veel meer informatie beschikbaar is over de voortgang van projecten en de daarmee samenhangende risico’s dan nu in de GRIPrapportage wordt gepresenteerd. De Rekeningencommissie vraagt de Accountantsdienst te onderzoeken welke intern beschikbare informatie in de rapportage opgenomen zou kunnen worden. Daarnaast vraagt de commissie aandacht te besteden aan overeenkomsten in oorzaken van vertragingen of budgetoverschrijdingen van nog lopende en afgeronde projecten. ▪ Conceptvoorstel GRIP-rapportage: het college heeft in de werkbespreking van de commissie Ruimte laten weten een conceptvoorstel voor een verbeterde GRIP-rapportage te willen uitwerken. De Rekeningencommissie vraagt de Accountantsdienst dit concept te betrekken in het onderzoek. Noot van het secretariaat: in de eerstvolgende Rekeningencommissievergadering op 24 maart wordt een ambtelijke toelichting gegeven op het conceptvoorstel.

▪ Aanbevelingen Rekenkamer: de GRIP-rapportages zijn tien jaar geleden geïntroduceerd na een onderzoek van de Rekenkamer Den Haag naar bouwprojecten. De Rekeningencommissie vraagt de Accountantsdienst na te gaan of en in hoeverre de aanbevelingen uit dit onderzoek door het college zijn overgenomen en opgevolgd.

G. Termijnplanning De termijnplanning (RC/2021.01) wordt conform concept vastgesteld.

H. Rondvraag en sluiting Er zijn geen vragen. De voorzitter sluit de vergadering om 16:00 uur.

Pagina 8 van 8