RIS320444 Verslag Rekeningencommissie 16 oktober 2024

Rekeningencommissie RIS 320444

Verslag

Verslag van de vergadering van de Rekeningencommissie (RC) van 16 oktober 2024

Aanwezig:

de voorzitter, de heer M. De Vuyst; mevrouw L. van Basten Batenburg, de heren Y. Assad, J.W. van den Bos en R. Guernaoui, allen lid RC; mevrouw S. Farooq (CPO) en de heren M. Mulder (FG) en W. van Miltenburg (concerncontroller). Accountantsorganisatie: mevrouw C. Slotema en de heer M. Perkgöz; secretaris: J. van Duijn.

Afwezig:

de heren T. de Boer, K. Partiman (m.k.) en M. Sewtahal (z.k.).

A. Opening, mededelingen en vaststelling agenda De voorzitter opent de vergadering om 19:30 uur en heet de aanwezigen welkom. De agenda wordt ongewijzigd vastgesteld.

B. Verslag van de vergadering van 19 juni 2024 Het verslag van de vergadering van 19 juni 2024 (RIS318205 en RIS320114) wordt ongewijzigd vastgesteld. De Rekeningencommissie besluit het geheime verslag openbaar te maken.

C. Ingekomen bestuurlijke stukken De Rekeningencommissie heeft onderstaande stukken van het college ontvangen. 1. Afronding onderzoek integriteitsschending kasgelden (GEHEIM - RIS319418) 2. RIS319191, bijlage 2: 4-maandsrapportage 2024 3. Evaluatie masterplan IT (GEHEIM - RIS319167) 4. Commissiebrief: Actualisatie frauderisicomanagement en frauderisicoanalyse (RIS320105, geheime bijlage RIS320106) 5. RIS320133 8-maandsrapportage 2024 De Rekeningencommissie wil de stukken 1 en 4 agenderen voor de vergadering van 20 november 2024. De geheime (delen van de) stukken worden in een besloten deel van de vergadering behandeld. (Noot van het secretariaat: agendering van de evaluatie van het masterplan IT (GEHEIM RIS319167) is gepland op 11 december 2024, samen met de nog te ontvangen audit naar cybersecurity). De Rekeningencommissie vraagt het college geheime stukken voortaan – voor zover mogelijk – te voorzien van een openbare motivering. De stukken 2 en 5 (4- en 8-maandsrapportages) worden betrokken bij de op een nader te bepalen moment te behandelen voortgang van de actualisatie van het financieel beleid (zie de contourenbrief hierover, RIS314462 en RIS318378).

Verslag vergadering 16 oktober 2024

Rekeningencommissie

Tweeënhalf uur voor aanvang van de vergadering is van het college de Kadernota weerstandsvermogen (RIS320223) ontvangen. (Noot van het secretariaat: de kadernota is behandeld in de commissie Bestuur op 6 november 2024 en geagendeerd voor de raadsvergadering van 13 november 2024, punt G).

D. Werkbespreking over de bescherming van persoonsgegevens D.1.

Jaarverslag 2023 van de Functionaris Gegevensbescherming

De Functionaris Gegevensbescherming, Matthijs Mulder, heeft in de vorige werkbespreking tijdens de vergadering van 31 januari 2024 over het jaarverslag 2022 tamelijk uitgebreid de AVG en de daarop betrekking hebbende beheersmaatregelen toegelicht. In deze werkbespreking licht hij zijn jaarverslag over 2023 (RIS318930) toe. Voorafgaand geeft hij een overzicht van de organisaties waarop hij toezicht houdt. De tijdens de presentatie getoonde teksten en afbeeldingen zijn als bijlage bij dit verslag gevoegd. Het jaarverslag 2023 dat naar de gemeenteraad van Den Haag is gestuurd heeft betrekking op de naleving van de AVG en Wpg bij de verwerking van persoonsgegevens door het college. Om een zo actueel mogelijk beeld van de stand van zaken te geven is als peildatum voor dit verslag maart 2024 gekozen. De belangrijkste bevinding in het voorgaande jaarverslag was dat het ontbrak aan voldoende inzicht om een oordeel te kunnen geven over de naleving van de wetgeving aangaande privacy. De belangrijkste aanbevelingen waren toen: - maak van het register van verwerkingen een volwaardig sturingsinstrument; - stel een nieuw privacybeleid op en werk dit uit in procedures en werkinstructies; - geef handvatten voor medewerkers; - voer audits uit op informatiebeveiliging. In 2023 is voor het toezicht opnieuw gebruik gemaakt van het control framework voor risicobeheersing van de VNG.

In dit framework worden ook aspecten getoetst die niet wettelijk verplicht zijn, maar wel essentieel om risico’s te beheersen. Daartoe moet het verwerkingenregister up to date zijn. Uit het jaarverslag 2023 blijkt dat de bescherming van persoonsgegevens niet echt is verbeterd. Wel is het inzicht in (de tekortkomingen in) de beheersing iets verbeterd en is de kwaliteit van de registers verbeterd. De uitvoering van te nemen maatregelen naar aanleiding van data protection impact assessments (DPIA’s) blijft echter achter. Enkele ontbrekende onderdelen in de naleving van wettelijke verplichtingen zijn in 2023 alsnog geïmplementeerd. De naleving van de Wpg was aanvankelijk onder de maat. Hierin is inmiddels een duidelijke verbetering zichtbaar, maar het werk is nog niet af. De belangrijkste aanbevelingen zijn: - ga door op de ingeslagen weg; - monitor en stuur bij waar nodig; - voer de DPIA’s uit in een hoger tempo; - implementeer de maatregelen en zie daar op toe; - verfijn de rapportages zodat er beter gestuurd kan worden. Uit de beantwoording van de vragen en de behandeling van de opmerkingen van de leden van de Rekeningencommissie komt het volgende naar voren. ▪ Publicatiedatum jaarverslag FG: alhoewel het jaarverslag van de FG dit jaar door het college eerder naar de raad is gestuurd, betreurt de FG dat dat toch pas op 28 mei was.

Deels is dit te wijten aan zijn keuze om te wachten op de tellingen die eind februari 2024 gereed waren. Vervolgens nam de ambtelijke afstemming en bestuurlijke voorbereiding meer tijd in beslag dan

Pagina 2 van 13

Verslag vergadering 16 oktober 2024

▪

▪

▪

▪ ▪

▪

▪

▪

Rekeningencommissie

beoogd. De FG verwacht dat de organisatie hiervan heeft geleerd en dat het proces komend jaar vlotter zal verlopen. Vaststellen processen: in de aanbiedingsbrief van het college d.d. 28 mei 2024 staat dat de belangrijkste privacyprocessen nog moeten worden vastgesteld in het voorjaar. Dit is inmiddels voor vier procedures gebeurd. Binnenkort wordt ook nog een extra procedure vastgesteld. Daarmee is het volledige privacybeleid vastgesteld. Verbeterplan: inmiddels is ook een verbeterplan gemaakt en voor een groot deel uitgevoerd. Hieronder vallen onder andere de genoemde vijf procedures. Desgevraagd zal de FG in het jaarverslag 2024 hierop terugkomen. Bevindingen Privacy Control Framework: het totaalbeeld over 2023 is slechter geworden, mede omdat door onderzoek van de FG er meer inzicht is gekregen, onder meer in de stand van zaken van het verwerkingenregister en DPIA’s. Het control framework ziet op maatregelen tegen de risico’s voor de betrokkenen. . Enkele procedures die een relatief laag risico vormen ontbreken nog, zoals bijvoorbeeld voor de grondslag toestemming; hierop heeft het rode deel van het diagram op pagina 5 betrekking. De gemeente Den Haag is daarmee geen uitzondering op het landelijke beeld. Het gaat dan bijvoorbeeld om een procedure waarmee een abonnee zich kan afmelden voor een nieuwsbrief.

Dergelijke beheersmaatregelen zijn niet wettelijk verplicht maar de gemeente wil hieraan voldoen om de naleving meetbaar te maken. Het ontbreken van uniforme procesbeschrijvingen betekent dus niet noodzakelijkerwijs dat de AVG in de praktijk niet wordt nageleefd. Het oranje stuk van het diagram heeft voor een (klein) deel betrekking op verwerkingen waarvan niet zeker is of deze rechtmatig zijn. Dit moet nog onderzocht worden, onder meer door DPIA’s. De Rekeningencommissie vindt het belangrijk dat de gemeente compliant is aan de AVG en is van mening dat de gemeente zes jaar na invoering van de AVG beter in control had moeten zijn en inmiddels beter had moeten voldoen aan het privacy control framework van de VNG. Vanwege de vergelijkbaarheid vraagt de Rekeningencommissie de FG vooralnog het gekozen framework te blijven gebruiken. Prioriteiten beheersmaatregelen: om de privacybeheersing te verbeteren wil de Rekeningencommissie dat nog niet uitgevoerde DPIA’s bij voorrang worden opgepakt. Volledigheid verwerkingenregister: alle relevante verwerkingen staan nu in het verwerkingenregister en de informatie die is opgenomen bij de verwerkingen die ‘compleet’ zijn voldoen aan de wettelijke eisen . Bij enkele verwerkingen ontbreekt echter nog informatie die van belang is voor een goede beheersing. Dit betreft ongeveer een kwart van het totaal.

Aan het register zijn daarom ook kolommen toegevoegd waarmee wordt gecheckt of informatie volledig is en of dit is gecontroleerd, zodat hierop kan worden gestuurd. De Rekeningencommissie vraagt de FG om in zijn volgende jaarverslag specifiek te benoemen welke onderdelen van het register nog niet op orde zijn. Duidelijkheid over rollen en verantwoordelijkheden: een governancestructuur is inmiddels in het privacybeleid vastgelegd. Op pagina 6 van het jaarverslag van de FG wordt geconstateerd dat soms nog onduidelijkheid bestaat over rollen en verantwoordelijkheden. De proceseigenaar is (ook) verantwoordelijk voor de bescherming van persoonsgegevens, maar is zich daar niet altijd voldoende van bewust. Daarom is het privacybeleid uitgewerkt in procedures, waarbij de privacyofficer jaarlijks dient te toetsen of deze nog actueel zijn. Er zijn dashboards gemaakt voor verschillende kengetallen. Enkele daarvan zijn in de presentatie opgenomen. De Rekeningencommissie wil dat ook de raad wordt geïnformeerd door middel van deze dashboards. Inrichting privacyorganisatie: de Rekeningencommissie wil voortaan gedetailleerder worden geïnformeerd over de opvolging van bevindingen en aanbevelingen die in het voorgaande jaarverslag waren opgenomen, zodat duidelijker wordt wat de voortgang is.

Externe klachten: in de laatste paragraaf van het jaarverslag van de FG wordt aandacht besteed aan klachten die van buiten de organisatie komen. Jaarlijks neemt de FG zo’n tien á vijftien klachten in behandeling. De FG overlegt dan met de organisatie over oplossingen en ziet toe op de afdoening daarvan. Pagina 3 van 13

Verslag vergadering 16 oktober 2024

▪

▪

▪

▪

Rekeningencommissie

Grootste risico(‘s): vooralsnog kan de FG nog geen rangorde aangeven voor wat betreft de grootste risico’s. Mede door het toeslagenschandaal bij de rijksoverheid probeert hij alert te zijn op (latente) privacyschendingen binnen de organisatie, bijvoorbeeld bij het gebruik van artificial intelligence (AI). Publicatie DPIA’s: in het kader van kennisdeling wordt met de VNG overlegd over het onderling delen van DPIA’s tussen G5-gemeenten. Onderzocht wordt of de uitkomsten van DPIA’s op geaggregeerd niveau gepubliceerd kunnen worden. De Rekeningencommissie vindt het wenselijk dat uitkomsten van een DPIA met de raad worden gedeeld indien daartoe behoefte bestaat, zoals bijvoorbeeld recent het geval leek te zijn bij het gebruik van drones voor bouwinspecties. De Rekeningencommissie vraagt het college om hierop terug te komen bij het volgende jaarverslag. De Rekeningencommissie wil door het college worden geïnformeerd over de opvolging van de aanbevelingen die uit een DPIA voortkomen en hoe de voortgang hierin wordt bijgehouden. Daarnaast vraagt de Rekeningencommissie het college om een openbaar register van DPIA’s op te stellen, naar analogie van het algoritmeregister.

Begrotingsbehandeling in commissie Bestuur: de Rekeningencommissie vraagt de commissie Bestuur de begeleidende brief van de wethouder Onderwijs, Jeugd, Sport & Dienstverlening (RIS318930) bij het jaarverslag van de FG te betrekken bij de behandeling van de begroting 2025. Samenwerking met andere organisaties: de gemeente Den Haag werkt samen met andere overheden en zowel maatschappelijke als private organisaties, terwijl de gemeente niet altijd weet of de gegevensbescherming daar op orde is. Recent is de Wet gegevensverwerking door samenwerkingsverbanden (Wgs) door de Eerste Kamer aangenomen. Als deze wet op 1 januari 2025 in werking treedt krijgen samenwerkingsverbanden als RIEC en het Zorg- en Veiligheidshuis een goede wettelijke grondslag voor gegevensuitwisseling. De Rekeningencommissie vraagt de FG om in het volgende jaarverslag te berichten over de voortgang in de borging van gegevensbescherming bij samenwerkingsverbanden.

D.2.

Toelichting door de Chief Privacy Officer

De Chief Privacy Officer (CPO), Sah Farooq, geeft een toelichting op de bescherming van persoonsgegevens door de gemeente Den Haag en geeft daarbij tevens een reactie op de bevindingen van de FG. Ze spreekt haar waardering voor de betrokkenheid van de Rekeningencommissie in de bescherming van persoonsgegevens. De tijdens haar presentatie getoonde teksten en afbeeldingen zijn als bijlage bij dit verslag gevoegd. In 2021 is een principebesluit genomen om de krachten te bundelen in een Expertisecentrum Privacy en om de (decentrale) privacyofficers hierin bijeen te brengen. De capaciteit kan daarmee beter worden benut en de continuïteit in de uitvoering kan beter worden geborgd. Naar verwachting heeft het expertisecentrum eind dit jaar een omvang van 20 fte. Het expertisecentrum is verantwoordelijk voor advisering, begeleiding, beheer en monitoring en hanteert daarbij een risicogestuurde aanpak. Vorig jaar is de Privacy Academy opgericht. Dit is een opleidingstraject van meerdere weken waarbij privacyofficers medewerkers lesgeven in de beginselen van de AVG. Hierbij wordt dienstspecifiek te werk gegaan zodat de lessen zo goed mogelijk aansluiten bij de praktijk. Daarbij lag de primaire focus op het sociale domein, omdat daar relatief veel privacygevoelige informatie wordt verwerkt. Hierna komt het fysieke domein aan de beurt.

Een belangrijk onderdeel van het privacybeleid is het privacymanagement. Hiervoor is een tooling aangeschaft die nu wordt geïmplementeerd. Hiermee kan het expertisecentrum meer in control komen op de monitorende taken doordat processen kunnen worden geautomatiseerd, templates kunnen worden opgesteld en notificaties automatisch kunnen worden verstuurd. Ook kunnen dashboards worden gemaakt om beter te kunnen sturen.

Pagina 4 van 13

Verslag vergadering 16 oktober 2024

Rekeningencommissie

De verantwoordelijkheden in taken zijn ingericht volgens het three-lines model. Daarbij is de eerste lijn verantwoordelijk voor de uitvoering, de tweede lijn voor advisering en de derde lijn is het interne toezicht. De vierde lijn zou de raad en het externe toezicht zijn. Dit is met ingang van dit jaar vastgesteld in het privacybeleid. Enkele jaren geleden is een nulmeting uitgevoerd op de staat van de gegevensbescherming. Hieruit bleek dat de gemeente voor een flinke opgave stond. Toen is de ambitie geformuleerd om naar volwassenheidsniveau 3 te groeien. Voorwaarden hiervoor zijn dat er een volledige PDCA-cyclus wordt gehanteerd, dat processtappen zijn vastgesteld en dat er beleid is aan de hand waarvan de organisatie werkt. Daartoe zijn verschillende werkprogramma’s opgesteld. Deze waren zowel concernbreed (het Privacy Expertisecentrum) als dienstspecifiek. In 2025 wordt een vervolgmeting op de nulmeting uitgevoerd (de éénmeting) om de voortgang te kunnen bepalen. Op basis daarvan worden de prioriteiten en aandachtpunten voor de gegevensbescherming bepaald. Het totaal aantal verwerkingen en vereiste DPIA’s kan in de tijd afnemen door bijvoorbeeld efficiënter te werken met processen. Zo kunnen vergelijkbare processen met één DPIA worden beoordeeld. Het komende jaar wordt gekeken hoe dit verder kan worden verbeterd.

Voor wat betreft de aanbevelingen die de FG in zijn vorige jaarverslag 2022 heeft gedaan, meldt de CPO dat het register van verwerkingen inmiddels voldoet aan de wettelijke eisen. Ook is inzicht gekregen in welke tekortkomingen er zijn bij diverse processen en waaraan moet worden voldaan om grip te krijgen op de risico’s. Het nieuwe privacybeleid is vastgesteld door het college en de vier kernprocessen die onder het Expertisecentrum Privacy vallen zijn in procedures beschreven. Er wordt nu gewerkt om deze in handvatten voor medewerkers beschikbaar te stellen zodat deze goed toegepast kunnen worden. Informatiebeveiliging is belangrijk voor de naleving van de AVG. Recent is een audit op informatiebeveiliging binnen de gemeente uitgevoerd. De aanbevelingen in het FG-jaarverslag 2023 worden ter harte genomen. Wel aarzelt de CPO om de focus te leggen op een hoger tempo in het uitvoeren van DPIA’s als de maatregelen uit reeds uitgevoerde DPIA’s nog veel werk betekenen. Het aantal jaarlijks uitgevoerde DPIA’s ligt ook bij andere G5-gemeenten tussen de 20 en 30. Toen de Wpg in werking trad had de gemeente nog onvoldoende beeld van gegevensbeheersing. In 2022 is hiermee aan de slag gegaan en is hiertoe een projectgroep samengesteld. De externe audit gaf daarbij inzicht in de te nemen maatregelen.

Inmiddels is voortgang geboekt voor wat betreft de opzet en het bestaan van beheersmaatregelen. De werking ervan is nog niet getoetst. Dit zal in 2025 gebeuren. Voor de implementatie van de beheersmaatregelen is een Wpg-officer aangetrokken en is een monitoringsplan opgesteld. Aandachtspunten zijn de verschillende tempo’s van implementatie bij diensten en de nieuwe regels waarmee medewerkers moeten leren werken. Uit de beantwoording van de vragen en de behandeling van de opmerkingen van de leden van de Rekeningencommissie komt het volgende naar voren. ▪ Privacy academy: bij de inzet van de privacy academy is gekozen voor een domeingerichte aanpak om de beschikbare capaciteit zo doelmatig mogelijk in te zetten. De CPO hoopt eind 2025 alle diensten bereikt te hebben. ▪ Implementatie automatisering: in samenwerking met andere expertisecentra is een tool voor privacymanagement voor het Expertisecentrum Privacy aangeschaft om integraal samen te werken. Dat wil zeggen dat informatiebeheer, security, privacy, data en risicobeheer met hetzelfde systeem kunnen worden ondersteund. De ambitie van de expertisecentra is om op deze wijze een Pagina 5 van 13

Verslag vergadering 16 oktober 2024

▪

▪

▪

▪

▪

Rekeningencommissie

integraal risicobeeld te verkrijgen. Ook naar aanleiding van de Wpg-audit is gekozen voor een automatiseringsoplossing (tool). Deze is bedoeld voor de handhavingsorganisatie en was reeds in gebruik bij één van de desbetreffende diensten. De andere diensten onderzoeken nu ook de overstap naar een vergelijkbare tooling. Verwachting volgende meting: de nulmeting is in 2021 uitgevoerd. De verwachting voor de volgende meting is dat op veel onderdelen niveau 3 bereikt of benaderd zal worden. Mogelijk zullen enkele onderdelen nog niet verder komen dan niveau 2. Register van verwerkingen als sturingsinstrument: een belangrijke aanbeveling in het FGjaarverslag over 2022 was om van het verwerkingenregister een volwaardig sturingsinstrument te maken. Daarmee kon inzichtelijk gemaakt worden waar binnen de organisatie processen bestaan waar persoonsgegevens werden verwerkt. Ook konden daarmee de knelpunten worden geïdentificeerd. Door het register is nu inzichtelijk waar bijvoorbeeld een overeenkomst of DPIA ontbreekt, of waar het proces niet toereikend is. Op deze manier is duidelijk gemaakt waarop gestuurd moet worden. Daarmee zijn nog niet alle tekortkomingen ook daadwerkelijk opgelost. Het streven was om eind 2023 het register op alle wettelijk verplichte onderdelen aan te vullen en van de meer dan 650 processen 85% tot 90% gevalideerd te hebben.

Voor de wettelijk verplichte onderdelen is dit gelukt en is de organisatie compliant; de gemeente voldoet aan de eisen die de AVG stelt aan het verwerkingenregister. Om dit register een volwaardig sturingsinstrument te maken en grip te krijgen op de risico’s zijn hieraan additionele eisen gesteld. Daarmee is de organisatie nog niet meteen compliant aan de AVG, maar wel in control op de bestaande risico’s vanwege het inzicht en overzicht dat de informatie in het verwerkingsregister geeft. Achterstand in DPIA’s: in 2023 was minder dan 35% van de vereiste DPIA’s daadwerkelijk uitgevoerd door de gemeente. Inmiddels is dit gestegen tot 55%. De achterstand wordt dus ingelopen, maar vooralsnog voldoet de gemeente nog niet aan AVG voor wat betreft het verplicht uitvoeren van DPIA’s. De CPO acht het haalbaar om ongeveer 20 (hooguit 30) DPIA’s per jaar uit te voeren. De Rekeningencommissie wil weten wanneer het college denkt alle DPIA’s te hebben uitgevoerd. Versimpelen DPIA’s: er bestaan verschillende modellen om een DPIA’s uit te voeren. Wettelijk is niet voorgeschreven hoe een DPIA moet worden uitgevoerd. De gemeente Den Haag heeft ervoor gekozen om het rijksmodel te hanteren. Geprobeerd is het uitvoeringproces op basis van dit model te stroomlijnen.

Mede omdat inmiddels de verantwoordlijkheden duidelijker zijn, kan informatie sneller worden verzameld en kunnen DPIA’s vlotter door het Expertisecentrum Privacy voor de diensten worden uitgevoerd. Vanuit zijn adviserende rol monitort het expertisecentrum vervolgens de opvolging van de aanbevelingen, waarop de FG toezicht houdt. Meldplicht datalekken: in 2022 was de informatie in het register voor datalekken onvoldoende om vast te kunnen stellen hoeveel datalekken op tijd waren gemeld. Inmiddels is de kwaliteit van het register met een nieuwe datalekkenprocedure verbeterd. Voor wat betreft de kwaliteit van het meldproces voor datalekken is door de AP een sectoronderzoek uitgevoerd bij meerdere gemeenten naar de opvolging van aanbevelingen naar aanleiding van een datalek. De uitkomsten hiervan worden gebruikt om verbeteringen te realiseren. Nu de governancestructuur is vastgesteld en het expertisecentrum een hoger volwassenheidsniveau bereikt, kan de monitoring van onder meer het datalekregister beter worden uitgevoerd. Dit zal ook moeten leiden tot een betere duiding van de kwaliteit van de beheersing.

D.3.

Hercontrole van de Wpg-audit

Van het college is een brief ontvangen over de hercontrole van de externe privacy-audit door de GAD (RIS318004). De audit heeft voor de gemeentelijke organisatie inzichtelijk gemaakt wat er moet gebeuren om de bescherming van persoonsgegevens die worden verwerkt op grond van de Wpg te waarborgen. Naar aanleiding van deze audit is een jaarplan opgesteld. Inmiddels is een Wpg-officer in dienst getreden die gaat toezien op de uitvoering van het jaarplan. Pagina 6 van 13

Verslag vergadering 16 oktober 2024

Rekeningencommissie

Uit de beantwoording van de vragen en de behandeling van de opmerkingen van de leden van de Rekeningencommissie komt het volgende naar voren. ▪ Toetsing van de werking van beheersmaatregelen: in de initiële audit is, naast de opzet en het bestaan, ook de werking van beheersmaatregelen getoetst. Dit laatste is in de hercontrole niet gebeurd. ▪ Bevindingen audit: de audit is uitgevoerd conform het format dat is voorgeschreven door de beroepsorganisatie van IT-auditors (NOREA). Het doen van aanbevelingen maakt geen onderdeel uit van dit format. Het rapport bevat geen advies van de Accountantsorganisatie aan de raad omdat het onderzoek in opdracht van het college is uitgevoerd en vervolgens met een brief van de wethouder naar de raad is gestuurd. De voortgang van de verbetering van de gegevensbeheersing in het kader van de Wpg wordt volgend jaar in een nieuwe audit onderzocht. De Rekeningencommissie wil de uitkomsten van deze audit van het college ontvangen.

E. Onderzoek college naar prognosekracht van de begroting Op verzoek van de Rekeningencommissie heeft het college onderzoek gedaan naar de prognosekracht van de begroting. De uitkomsten hiervan zijn naar de Rekeningencommissie gestuurd (RIS319892). Deze worden kort toegelicht door concerncontroller Ward van Miltenburg. Het jaarrekeningresultaat van 2022 liet een overschot van € 55 miljoen zien. Het jaar daarvoor bedroeg het overschot € 70 miljoen. In de daaraan voorafgaande coronajaren was er een positief resultaat van € 85 miljoen. Deze positieve resultaten waren aanleiding om de voorspellende waarde van de begroting te onderzoeken. Daartoe zijn de resultaten over een lange periode op een rij gezet en is gekeken hoe deze zich verhouden tot de overige G4-gemeenten. Mede vanwege de vergelijkbaarheid met andere steden zijn in de rapportage alleen de saldi van lasten en baten weergegeven. Zowel in absolute bedragen als in percentages is voor Den Haag geen opmerkelijke afwijking zichtbaar. Over de afgelopen vijf jaar bedroeg het overschot gemiddeld 1,6%. De afwijkingen ten opzichte van de begroting zijn voor een deel te verklaren door invloeden van buitenaf, zoals de coronapandemie, extra geld vanuit het rijk of een krappe arbeidsmarkt. Daarnaast spelen factoren als planningsoptimisme en vertragingen in uitvoering van projecten.

Het college streeft ernaar de planning & controlcyclus zo in te richten dat de ramingen zo reëel mogelijk zijn. Eén van de instrumenten daartoe is de 8maandsrapportage. De afgelopen vijf jaar heeft echter geen reguliere 8-maands plaatsgevonden vanwege de coronajaren en de daaropvolgende herhaaldelijke coalitieonderhandelingen. Om begrotingsonrechtmatigheden te voorkomen wordt overwogen om aan het eind van het jaar een extra begrotingsbijstelling te doen. Hierover heeft de wethouder Financiën de commissie Bestuur op 28 augustus 2024 geïnformeerd bij de behandeling van de voortgang van de verdere uitwerking van de actualisatie van het financieel beleid (zie de contourenbrief RIS314462, RIS318378). Voorts moet de verbetering van de interne controle als onderdeel van de professionalisering van de organisatie bijdragen aan reële ramingen. Om de raad beter over de begrotingsuitvoering te informeren is de recent door het college gestuurde 8-maandsrapportage (RIS320133) voorzien van een uitgebreidere toelichting. Uit de beantwoording van de vragen en de behandeling van de opmerkingen van de leden van de Rekeningencommissie komt het volgende naar voren.

▪ Berekening resultaten: de gepresenteerde cijfers zijn de jaarrekeningresultaten na verrekening met reserves en betreffen afwijkingen ten opzichte van de gewijzigde begroting die samen met de nieuwe begroting in september naar de raad wordt gestuurd. Vanwege coalitieonderhandelingen is de gewijzigde begroting over 2023 destijds pas in december 2023 is vastgesteld. ▪ Belang van een accurate prognose: uit het onderzoek komt naar voren dat het gemiddelde resultaat over de afgelopen jaren 1,6% voordelig was, wat op de lopende begroting een bedrag van circa € 45 miljoen zou zijn. De Rekeningencommissie benadrukt dat een structureel voordelig jaarresultaat betekent dat er op jaarbasis minder wordt gedaan voor de stad dan financieel Pagina 7 van 13

Verslag vergadering 16 oktober 2024

▪

▪

▪

Rekeningencommissie

mogelijk zou zijn geweest en wil daarom een zo accuraat mogelijke begroting om – voor zover mogelijk – te voorkómen dat middelen onbenut blijven. 8-maandsrapportage en extra begrotingswijziging: in de 8-maandsrapportage die recent is ontvangen (RIS320133) komt een voordelig jaarrekeningresultaat over 2024 naar voren van circa € 15 miljoen. Deze cijfers zijn nog niet meegenomen in de gewijzigde begroting die vorige maand naar de raad is gestuurd. De Rekeningencommissie vindt het wenselijk dat ook deze inzichten in een begrotingswijziging worden verwerkt en adviseert de commissie Bestuur dit vraagstuk en het onderzoek naar de prognosekracht van de begroting (RIS319892) te betrekken bij de gesprekken met de wethouder Financiën over de actualisatie van het financieel beleid. Planningsoptimisme: onderbesteding als gevolg van planningsoptimisme is al meer dan een decennium een aandachtspunt van de Rekeningencommissie. Omdat het college zich door middel van een begroting ook committeert aan voorgenomen investeringen heeft de Rekeningencommissie er bij voorgaande colleges op aangedrongen de investeringen op jaarbasis reëler te ramen. In de huidige 8-maandsrapportage zijn nu voor het eerst ook investeringen opgenomen. Daaruit blijkt dat 10 % van de voorgenomen investeringen niet worden verwezenlijkt.

Inzicht in baten en lasten: om een duidelijker beeld te krijgen van de oorzaken van voordelige jaarrekeningresultaten vraagt de Rekeningencommissie een overzicht te verstrekken van zowel het resultaat op de lasten als de baten. Noot van het secretariaat: van concerncontrol is het onderstaande overzicht ontvangen.

Resultaat (x € 1 mln.)

2012

2013

2014

2015

2016

2017

2018

2019

2020

2021

2022

2023

Gemid.

Resultaat Lasten

215,4

161,1

175,5

87,9

31,2

-38,5

-8,7

45,5

151,2

172,2

136,5

69,0

102,7

Resultaat Baten

-55,2

-62,8

-99,1

-17,9

-26,4

58,7

35,3

-13,7

-29,0

-43,9

-31,2

34,9

-25,9

Resultaat Reserves

-44,6

-72,7

-53,5

-32,5

52,3

-33,9

-18,2

-30,4

-37,8

-58,4

-50,2

-72,6

-34,5

Resultaat Saldo incl. reserves

115,5

25,7

22,9

37,6

57,1

-13,7

8,5

1,4

84,4

69,9

55,1

31,3

41,3

Resultaat in % van lastenbegroting

4,7%

1,1%

1,0%

1,6%

2,4%

-0,6

0,3%

0,1%

2,9%

2,2%

1,7%

1,0%

1,6%

F. Grote Projecten F.1.

GRIP-rapportage tweede kwartaal 2024

Van het college is op 4 oktober 2024 de GRIP-rapportage over het tweede kwartaal van 2024 ontvangen (RIS320074, met als geheime bijlage RIS320078). Met deze rapportage wordt tussentijds verantwoording afgelegd over de beheersing van geselecteerde projecten in het fysieke domein. Indien op één of meer beheersaspecten de afgesproken kaders voor een project worden overschreden en daarom moet worden ingegrepen, wordt dit in de rapportage aangegeven met de kleur rood. Ter beantwoording van technische vragen is ter vergadering aanwezig de manager beheersing projecten van de dienst Stedelijke Ontwikkeling, Remko de Jong. Uit de beantwoording van de vragen en de behandeling van de opmerkingen van de leden van de Rekeningencommissie komt het volgende naar voren. ▪ Informatie over maatregelen bij ‘rood’: informatie over de maatregelen die het college neemt indien de afgesproken kaders worden overschreden staan niet altijd in de GRIP-rapportage zelf. Afhankelijk van bijvoorbeeld het soort project, de aard van het knelpunt en de fase waarin het Pagina 8 van 13

Verslag vergadering 16 oktober 2024

▪

▪

Rekeningencommissie

project zich bevindt, kan er op verschillende manieren worden ingegrepen. De wijze van informatievoorziening over genomen of te nemen maatregelen is afhankelijk van de aard van de maatregel, zoals bijvoorbeeld een te wijzigen planuitwerkingskader (PUK) of nota van uitgangspunten (NvU). De Rekeningencommissie wil dat indien ingrijpen noodzakelijk is, in de vooruitblik in de GRIP-rapportage expliciet wordt vermeld hoe de raad over de maatregelen die het college neemt is of wordt geïnformeerd. Definitie ‘project’: de GRIP-rapportage heeft betrekking op projecten die door de dienst Stedelijke Ontwikkeling worden ontwikkeld en uitgevoerd én projecten die op enig moment ter uitvoering aan de dienst Stadsbeheer zijn overgedragen. Vastgoedobjecten zoals het Haags Historisch Museum worden hierin niet betrokken. Op basis van de selectiecriteria worden in de GRIP-rapportage projecten verantwoord van zeer uiteenlopende omvang. De Rekeningencommissie heeft behoefte aan een heldere definitie voor de reikwijdte en afbakening van een ‘project’ en hoe dit zich verhoudt tot bijvoorbeeld een planuitwerkingskader, een buitenruimteplan of een gebiedsontwikkeling. Zo wordt Dreven, Gaarden & Zichten nu als één project gezien, terwijl daarvoor drie verschillende nota’s van uitgangspunten zijn.

En in plaats van alleen het Colijnplein zou ook de driehoeksverkenning Loosduinen als een project kunnen worden gezien. De Rekeningencommissie wil in de volgende GRIP-rapportage worden geïnformeerd over de criteria voor de afbakening van een project in relatie tot daarmee samenhangende begrippen als gebiedsontwikkelingen, PUK’s, NvU’s en eventuele bundelingen daarvan. Stikstofproblematiek: de commissie Ruimte wordt erop geattendeerd dat in projecten waar sprake is van stikstofproblematiek nogal uiteenlopende oplossingen worden gekozen en dat er geen sprake lijkt te zijn van een overkoepelende aanpak.

F.2.

GAD-onderzoek naar Grote Projecten

Op 12 juli 2022 heeft de Rekeningencommissie de wethouder Stadsontwikkeling gevraagd te inventariseren in hoeverre bij fysieke projecten gedurende de afgelopen jaren sprake was van begrotingsoverschrijdingen (RIS312864). Vervolgens zijn op 4 juli 2023 de resultaten, conclusies en aanbevelingen uit dit onderzoek ontvangen (RIS316009). Hieruit bleek dat zich bij de meeste grote projecten geen structurele overschrijdingen ten opzichte van de opeenvolgende begrotingen voordoen. Wel waren projecten door begrotingswijzigingen niet zelden duurder geworden dan aanvankelijk de bedoeling was. Dit riep bij de Rekeningencommissie de vraag op in hoeverre het gemeentebestuur voldoende in control is bij de start van deze projecten. De Rekeningencommissie heeft de Accountantsorganisatie gevraagd om voor deze projecten te onderzoeken wat de aard is van de begrotingswijzigingen en de oorzaken ervan te duiden (bijvoorbeeld vertragingen door externe factoren of extra wensen vanuit de raad). Voorts heeft de commissie gevraagd te beoordelen in hoeverre de toenames in bestedingen niet al in de initiële ramingen – al dan niet als risico’s – ingecalculeerd hadden moeten zijn en of de ambtelijke en bestuurlijke informatievoorziening toereikend is, zowel bij de voorbereidingen van een project als gedurende de looptijd ervan.

De Rekeningencommissie heeft op 31 januari 2024 ingestemd met het onderzoeksvoorstel (GAD/2024.06). Van de Accountantsorganisatie is de eerste deelrapportage ontvangen (RIS320218). Het onderzoek wordt toegelicht door Mustafa Perkgöz, DT-lid. De ter vergadering getoonde tekst en afbeeldingen zijn als bijlage bij het verslag gevoegd. Het doel van dit deelonderzoek was inzicht geven in de spelregels en oorzaken voor begrotingswijzigingen. Voorts zijn de verbetermaatregelen voor projectbeheersing en de voortgang van de implementatie daarvan onderzocht. In het projectenoverzicht dat door het college is opgesteld (RIS316009) zijn 54 projecten opgenomen in de periode 2018-2022 met een totale omvang van € 521 miljoen. Projecten die in het overzicht van het college als ‘lopend’ zijn aangemerkt kunnen inmiddels zijn afgerond. Het overzicht bevatte niet de Pagina 9 van 13

Verslag vergadering 16 oktober 2024

Rekeningencommissie

initiële begrotingen en de wijzigingen daarin. De initiële begrotingen bedroegen totaal € 469 miljoen, waaraan door begrotingswijzigingen in totaal € 52 miljoen is toegevoegd. De oorzaken voor deze begrotingswijzigingen zijn in vier groepen in te delen: uitbreiding van het werk (45%), vertraging (23%), onvoorziene omstandigheden (23%) en het ontbreken van een toereikende post onvoorzien (9%).

Om de beheersing van projecten te verbeteren zijn verschillende maatregelen getroffen, welke inmiddels grotendeels zijn geïmplementeerd. Met ingang van 2025 wordt een raadsvoorstel voor grote investeringsprojecten voortaan voorzien van een risicoparagraaf. Het vervolgonderzoek zal zich richten op de vraag of de begrotingswijzigingen betrekking hadden op uitgaven die vooraf bekend hadden kunnen zijn of voorzien hadden kunnen worden en op de vraag of de getroffen verbetermaatregelen effectief zijn. Uit de beantwoording van de vragen en de behandeling van de opmerkingen van de leden van de Rekeningencommissie komt het volgende naar voren. ▪ Omvang begrotingswijzigingen: voor verschillende projecten waarbij geen sprake was van een begrotingsoverschrijding geldt dat het projectbudget wel tussentijds is verhoogd door middel van een begrotingswijziging. In totaal gaat het om een toename van € 52 miljoen. In dit totaalbedrag zijn de forse tegenvallers in het project Grotius nog niet meegerekend, omdat ten tijde van de publicatie van het projectenoverzicht de projectbegroting voor Grotius nog niet was gewijzigd. Voorafgaand aan de projecteninventarisatie is de raad geïnformeerd dat het project Amare niet in dit onderzoek zou worden betrokken. De begrotingswijzigingen voor het project Amare zijn derhalve ook niet meegerekend in het totaalbedrag van € 52 miljoen.

▪ Uitbreiding project door ‘werk-met-werk’: bij de begrotingswijzigingen valt onder de categorie uitbreiding werk ook het toevoegen van zogenoemde ‘werk-met-werk’-projecten, zoals rioleringswerkzaamheden. In 2018 werden deze nog niet in de initiële projectbegroting opgenomen. Nagegaan wordt of en hoe nu is vastgelegd dat werk-met-werk in de initiële begroting wordt opgenomen. Noot van het secretariaat: deze vraag is door de Accountantsorganisatie in een separate notitie beantwoord, die tevens als bijlage aan dit verslag is toegevoegd (GAD/2024.96). ▪ Spelregels en bevoegdheden: op grond van artikel 4.7, negende lid, van de Algemene verordening financieel beheer en beleid gemeente Den Haag 2019 heeft het college de bevoegdheid om binnen één programma van het MIP de investeringsbudgetten van verschillende projecten Pagina 10 van 13

Verslag vergadering 16 oktober 2024

▪

▪

Rekeningencommissie

onderling te herverdelen. Volgens artikel 3.3 moet het college de raad daarover informeren in geval van ‘majeure afwijkingen’. Dit begrip is niet nader gekwantificeerd. De Rekeningencommissie geeft de commissie Ruimte in overweging om de informatieplicht van het college op dit punt nader te specificeren. Ook adviseert de commissie om de bepaling dat voor ‘bestuurlijk relevante’ (wijzigingen in) investeringsprojecten (kleiner zijn € 2,5 miljoen) een raadsbesluit nodig is, te evalueren. De Rekeningencommissie vraagt de Accountantsorganisatie na te gaan hoe vaak het is voorgekomen dat voor een investeringsbesluit (met een omvang kleiner dan € 2,5 miljoen) op grond van het criterium ‘bestuurlijk relevant’ een raadsvoorstel is voorgelegd. De commissie wil eveneens weten hoe vaak het college de raad heeft geïnformeerd over herverdeling van budgetten binnen een programma van het MIP wegens majeure afwijkingen, dan wel in welke gevallen dat niet is gebeurd terwijl mogelijk wel sprake was van een majeure afwijking. Noot van het secretariaat: deze vragen zijn door de Accountantsorganisatie in een separate notitie beantwoord, die tevens als bijlage aan dit verslag is toegevoegd (GAD/2024.96).

Vervolgonderzoek: de Rekeningencommissie vraagt de Accountantsorganisatie in het vervolgonderzoek naar de begrotingswijzigingen bij grote projecten te onderzoeken in hoeverre de oorzaken daarvoor niet al bij de initiële ramingen bekend hadden kunnen zijn en daarom – al dan niet als risico’s – ingecalculeerd hadden moeten worden. Met andere woorden: waren de oorzaken voor begrotingswijzigingen vooraf niet te voorzien geweest? De projecten waar de oorzaken betrekking had op het ontbreken van een post Onvoorzien worden daarbij buiten beschouwing gelaten. De commissie heeft bij de initiële opdracht aangegeven te willen weten of de ambtelijke en bestuurlijke informatievoorziening over de ramingen toereikend is (geweest), zowel bij de voorbereidingen van een project als gedurende de looptijd ervan. Voorts vraagt de Rekeningencommissie te onderzoeken of de verbetermaatregelen voor de projectbeheersing effectief zijn (geweest). Rapportage naar overige commissies: omdat de bevindingen uit het onderzoek ook relevant zijn voor de commissies Ruimte, Leefomgeving en Bestuur wil de Rekeningencommissie de rapportage ook hier onder de aandacht brengen door middel van een brief. Daarbij zal ook worden gemeld dat er nog een vervolgonderzoek wordt uitgevoerd.

G. Gemeentelijke Accountantsorganisatie Den Haag (GAD) G.1.

Aanpak jaarrekeningcontrole GAD

De gemeenteaccountant benoemt enkele aandachtspunten voor de komende controle van de jaarrekening 2024. Op informatietechnologie (IT) en informatieveiligheid wordt in de komende controle nog meer nadruk gelegd. In afstemming met de ambtelijke organisatie worden enkele controles, zoals die van de grondexploitaties Dreven, Gaarden & Zichten en het conservatorium, eerder uitgevoerd. De controleaanpak is dit jaar eerder opgesteld zodat vroeger met de controle kon worden begonnen. Over het publicatiemoment van de jaarrekening en het accountantsverslag vindt nog overleg plaats tussen alle betrokkenen. Voor de controle van het lopende jaar signaleert de accountant een extra risico met betrekking tot het rechtmatigheidsoordeel over zorgkosten. Door de nieuwe verrekensystematiek voor jeugdhulp bestaat nog onduidelijkheid over de tijdigheid van aanleveren van verantwoordingen door zorgaanbieders. In de vorige jaarrekeningcontrole kwamen fouten en onzekerheden aan het licht in de verantwoorde lasten voor de uitvoering van de Participatiewet en in de vastlegging van prestatieleveringen bij inkopen en aanbestedingen. Daarom zijn deze ook als extra risico’s aangemerkt. Uit de beraadslaging door de Rekeningencommissie komt het volgende naar voren.

▪ Specifieke aandachtspunten jaarrekeningcontrole 2024: de Rekeningencommissie vraagt de accountant om in het accountantsverslag opnieuw een overzicht op te nemen met de Pagina 11 van 13

Verslag vergadering 16 oktober 2024

Rekeningencommissie

geconstateerde fouten en onzekerheden bij de afzonderlijke specifieke uitkeringen. Voorts wordt de accountant gevraagd in het accountantsverslag specifieke aandacht te besteden aan het cofinancieringsfonds: wordt de beoogde doelstelling van het aantrekken van aanvullende externe middelen verwezenlijkt, worden de geraamde bestedingen gerealiseerd, worden de bestedingen conform de spelregels gedaan en worden de afspraken door externe cofinanciers nagekomen?

G.2.

Update over het onderzoek naar de interne weerbaarheid tegen ondermijning

De update over het onderzoek naar de interne weerbaarheid tegen ondermijning (RIS318979) wordt voor kennisgeving aangenomen.

G.3.

Brief van het ministerie van Financiën over toezicht op GAD’s

De brief van het ministerie van Financiën over het toezicht op GAD’s wordt voor kennisgeving aangenomen. De voorzitter van de Rekenkamer Den Haag heeft laten weten op deze brief te willen reageren richting de ministeries met een aanvullende onderbouwing van de wens om niet langer belast te zijn met het toezicht op gemeentelijke accountantsorganisaties.

H. Stand van zaken Toezeggingen jaarrekeningonderzoek 2023 De toezeggingen die door het college zijn gedaan tijdens het onderzoek naar de jaarrekening 2023 en de reactie van het college (RIS319370) op het rapport van de Rekeningencommissie over het jaar 2023 (RIS319009) zijn verwerkt in een toezeggingenoverzicht (RIS319679). Aanvullende toezeggingen in de beantwoording van de vragen die in het Rekeningencommissierapport aan het college zijn gesteld worden eveneens in het toezeggingenoverzicht opgenomen. Met betrekking tot toezegging J over te verstrekken informatie in de Meerjarenprognose Grondexploitaties (MPG) meldt de voorzitter dat de MPG daags voor deze vergadering is ontvangen (RIS320245, met een geheime bijlage RIS320249). De Rekeningencommissie wil in de volgende vergadering een geactualiseerde versie van het overzicht agenderen. De dan niet tijdig nagekomen toezeggingen worden daarna in een brief onder de aandacht van het college gebracht, voorzien van een uitnodiging aan de desbetreffende wethouder(s) om in een daaropvolgende vergadering de voortgang van de nog niet nagekomen toezegging(en) ter vergadering mondeling toe te lichten.

I.

Termijnplanning

De termijnplanning (RC/2024.41) wordt ongewijzigd vastgesteld. Nadat overeenstemming is bereikt tussen de Rekeningencommissie, het college, concerncontrol en de gemeenteaccountant over de publicatiedatum voor respectievelijk de jaarrekening, de controleverklaring en het accountantsverslag, wordt de termijnplanning aangevuld met data voor het jaarrekeningonderzoek. Mogelijk wordt in het jaarrekeningtraject één vergadering met de accountant minder gepland dan in voorgaande jaren. Bij de griffie en het presidium wordt nogmaals onder de aandacht gebracht dat is afgesproken dat geen andere commissievergaderingen gelijktijdig met de Rekeningencommissie worden gepland.

J. Rondvraag en sluiting Pagina 12 van 13

Verslag vergadering 16 oktober 2024

Rekeningencommissie

De gemeenteaccountant laat weten dat de Accountantsorganisatie een nader voorstel wil doen met betrekking tot het gevraagde onderzoek naar transities. De Rekeningencommissie wil hierop terugkomen bij de behandeling van het jaarplan 2025 van de Accountantsorganisatie dat medio januari 2025 beschikbaar komt. De voorzitter sluit de vergadering om 23:47 uur.

Pagina 13 van 13