RIS322407 Brief RC aan weth Dienstverlening inz Jaarrekening 2024

RekeningencommissieTyp tekstTyp tekst

078

Retouradres Spui 70 2511 BT Den Haag

Ons kenmerk

RIS322407

Wethouder Onderwijs, Jeugd, Sport & Dienstverlening de heer H. Bredemeijer

Contactpersoon

Telefoonnummer

070 – 3533 550

Bijlage

Datum

2 juni 2025 Onderwerp

Onderzoek jaarrekening 2024

Geachte heer Bredemeijer, De Rekeningencommissie heeft onderzoek gedaan naar de programmarekening 2024 van de gemeente Den Haag (RIS321975) en daarover in haar vergaderingen van 21 en 28 mei beraadslaagd. De commissie heeft de bevindingen uit de interimcontrole en de eindejaarscontrole in haar onderzoek betrokken, zoals deze zijn weergegeven in de board letter van de Accountantsorganisatie (RIS320392) en het accountantsverslag (RIS322001). In het kader van het onderzoek wil de Rekeningencommissie onderstaande onderwerpen met u bespreken. De commissie nodigt u hiertoe uit op woensdagavond 11 juni a.s. in de Raadzaal. De richttijd voor de aanvang van de bespreking met u is 19:45 uur.

1.

Onvolkomenheden in IT-beheer

Voorafgaand aan de eindejaarscontrole vindt een interimcontrole door de accountant plaats die met name gericht is op de risico’s voor de interne beheersing en andere belangrijke processen binnen de gemeente en de beheersing daarvan (RIS320392). De accountant constateert naar aanleiding hiervan dat op het gebied van IT een snellere voortgang wenselijk is. Binnen de gemeentelijke organisatie speelt IT een steeds belangrijkere rol omdat veel processen digitaal verlopen en de betrouwbaarheid van geautomatiseerde systemen invloed heeft op de kwaliteit van zowel de dienstverlening als de verantwoording. De accountant heeft de beheersmaatregelen van meerdere IT-applicaties (de zogenoemde General IT-controls) onderzocht, onder meer met betrekking tot logische toegangsbeveiliging, wijzigingsbeheer, uitbestedingsbeheer en continuïteit. Daarbij is het volgende geconstateerd. − Functie-autorisatiematrices zijn soms verouderd en periodieke controles op autorisaties worden niet tijdig uitgevoerd. Deze bevinding vergroot het risico op onbevoegde toegang tot systemen en gegevens. Dit kan leiden tot fouten, fraude en datalekken. − Herstel- en uitwijktests worden niet altijd uitgevoerd. Indien dergelijke tests niet worden uitgevoerd, is het onzeker of de organisatie na een incident of storing haar systemen en diensten snel en volledig kan herstellen.

Dit vergroot het risico op langdurige uitval van cruciale processen en mogelijk verlies van data.

Gemeente Den Haag

Spui 70 Den Haag

T 070 - 353 3550 www.denhaag.nl

Gemeente Den Haag

−

Rapporten van afgesproken dienstverlening ontbreken en geleverde prestaties worden niet met de leverancier besproken. Daardoor ontbreekt inzicht in de daadwerkelijke kwaliteit en naleving van afspraken. Tekortkomingen kunnen dan onopgemerkt blijven en de dienstverlening kan structureel onder het afgesproken niveau blijven. Afgezien van de geringere doelmatigheid kan dit nadelige gevolgen hebben voor de grip die de gemeente heeft op uitbestede processen.

Voor meerdere IT-applicaties zijn noodzakelijke beheersmaatregelen dus nog onvoldoende ingericht (zie voor een overzicht per IT-applicatie bijlage 3 van het Accountantsverslag, RIS322001, pag. 29). Voor de in 2023 onderzochte applicaties is het beeld over 2024 vrijwel gelijk gebleven. Alleen het autorisatiebeheer voor de applicaties Key2Betalen en Key2Burgerzaken is verbeterd. Daar staat tegenover dat van vijf andere applicaties het autorisatiebeheer tekortschiet, dat herstel- en uitwijktests van intern gehoste applicaties nog niet consistent worden uitgevoerd en dat het leveranciersbeheer dringend verbetering behoeft, met name voor wat betreft Service Level Reports en monitoring van geleverde prestaties. De Rekeningencommissie vraagt u dit nog in 2025 op te lossen.

2. Modernisering Bedrijfsvoeringssystemen De gemeentelijke organisatie is eind 2024 gestart met het programma Modernisering Bedrijfsvoeringssystemen (MBS). De totale programmakosten bedragen € 30 miljoen. Bij de start was er dekking van € 17,5 miljoen voor het eerste onderdeel HR/HRS. Naar wij hebben begrepen is voor de benodigde € 17,5 miljoen in 2025 en 2026 dekking gevonden uit eigen middelen, waarvoor bij de eerstkomende formele begrotingswijziging de vorming van een bestemmingsreserve aan de raad wordt voorgelegd. De Rekeningencommissie vraagt u toe te lichten welke middelen daarvoor zijn aangewend en welke invloed dit heeft op de eerder afgesproken begrotingsuitvoering. Met andere woorden: welke activiteiten gaan niet door als gevolg van het aanwenden van deze € 17,5 miljoen? Voor het onderdeel Financiën/Inkoop wordt nog dekking gezocht (€ 12,5 miljoen). De Algemene verordening financieel beheer en beleid Den Haag bepaalt dat geen verplichtingen mogen worden aangegaan zonder dekking. De accountant ziet een risico dat de fases niet strikt gescheiden kunnen worden gehouden. De Rekeningencommissie overweegt dit als specifiek aandachtpunt mee te nemen in het jaarrekeningonderzoek 2025 en vraagt u toe te lichten hoe dit risico wordt ondervangen. Tevens wil de commissie weten waarom de ontbrekende € 12,5 miljoen niet als knelpunt in de Voorjaarsnota is opgenomen.

Vanwege de grote impact van het programma MBS op de bedrijfsvoering van de gemeente en de financiële risico’s adviseert de Accountantsorganisatie de raad in overweging te nemen het programma MBS aan te wijzen als groot project en afspraken te maken met het college over periodieke rapportages aan de raad. De Rekeningencommissie onderschrijft het advies en wil afspraken maken met het college over periodieke rapportages aan de raad.

3. Cybersecurity In 2023 heeft de Rekeningencommissie onder de aandacht van het college gebracht dat de digitale veiligheid op enkele concrete punten verbetering behoefde. Dit kwam naar voren in een cybersecurity assessment die door de Accountantsorganisatie is uitgevoerd in het kader van de jaarrekeningcontrole 2022 (zie het RC-rapport 2022, RIS315931, pagina 30, de brief hierover aan het college, RIS317055 en de reactie van het college (RIS317224)). In opdracht van de gemeente is in 2024 een extern onderzoek uitgevoerd naar cybersecurity (RIS320796 GEHEIM). Deze is door de Rekeningencommissie op 29 januari 2025 achter gesloten

2/5

Gemeente Den Haag

deuren behandeld (RIS321516). De bevindingen van dit externe onderzoek komen overeen met de bevindingen uit het Cyber Security Assessment dat de Accountantsorganisatie in 2022 heeft uitgevoerd. De accountant ziet op de aspecten Identificeren, Reageren en Herstellen enige voortgang, maar benadrukt dat het volwassenheidsniveau van cybersecurity nog niet in de buurt is van het geambieerde niveau. De Rekeningencommissie wil door u nader worden geïnformeerd over de oorzaken hiervan, de doelstelling van het college en de voortgang in de verbetering van cybersecurity. Wij vragen u daarbij tevens in te gaan op de aspecten Detecteren en Beschermen.

4. Bescherming van persoonsgegevens Uit het jaarverslag van de Functionaris Gegevensbescherming (FG) over 2023 (RIS318930) bleek dat de bescherming van persoonsgegevens in 2023 nog niet echt was verbeterd. Op 13 mei 2025 heeft de Rekeningencommissie van het college het jaarverslag van de FG over 2024 ontvangen ( RIS322122). De FG concludeert daarin dat de gegevensbescherming er nu beter voor staat dan in 2023, maar dat de gemeente nog niet in control of compliant is. Het aantal data protection impact assessments (DPIA’s) is toegenomen, maar nog steeds is dit slechts 50% van de 406 vereiste DPIA’s. De FG concludeert dat de gemeente weliswaar op de goede weg is, maar dat de ingezette maatregelen nog niet het gewenste resultaat hebben opgeleverd. In uw begeleidende brief (RIS322122) geeft u aan te verwachten dat er voor een groot deel van de grootschalige en risicovolle verwerkingen uiterlijk over 12 maanden een afgeronde DPIA is, inclusief een plan van aanpak voor de opvolging van de aanbevelingen. De Rekeningencommissie vraagt u dit nader te kwantificeren en wil weten wat het tijdspad is voor de afronding van alle DPIA’s en maatregelen. De FG benadrukt dat het tempo omhoog moet. De Rekeningencommissie wil weten hoe dit wordt bewerkstelligd en of hiervoor voldoende urgentiebewustheid binnen de organisatie is.

Ook vragen wij u toe te lichten waarom DPIA’s voor een groot deel door externen worden uitgevoerd en wat dit betekent voor het tempo en de kennisborging binnen de organisatie. Wij vragen u eveneens toe te lichten waarom de mitigerende maatregelen voor de geïdentificeerde risico’s grotendeels niet worden uitgevoerd. De Rekeningencommissie vraagt u voorts te inventariseren wanneer sprake is van gebruik van de grondslag ‘toestemming’ voor gegevensverwerking en daarbij na te gaan of een andere grondslag gebruikt kan worden.

5. Interne weerbaarheid tegen ondermijning De Rekeningencommissie is op 28 mei 2024 door de gemeenteaccountant geïnformeerd (RIS318979) dat in het Gemeentelijk Management Team (GMT) in januari 2023 de notitie ‘Een Weerbaar Ambtenarenapparaat’ is besproken. Naar aanleiding daarvan zou Bureau Integriteit in samenwerking met de directie Veiligheid een projectplan opstellen en een projectgroep samenstellen die risico’s op ondermijning moest inventariseren en zou onderzoeken hoe de beheersing kon worden verbeterd. Naar verwachting zou het onderzoeksrapport in het najaar van 2024 aan het GMT worden verstrekt. De Rekeningencommissie wil weten wat de stand van zaken is en vraagt de uitkomsten van het door Bureau Integriteit uitgevoerde onderzoek te mogen ontvangen.

3/5

Gemeente Den Haag

6. Verantwoording van de inkoop van jeugdzorg

De gemeente Den Haag heeft in 2024 de inkoop van jeugdzorg voor een gedeelte belegd bij twee nieuw opgerichte samenwerkingsverbanden. Hierbij is verzuimd om de juiste afspraken te maken over het tijdig aanleveren van een financiële verantwoording van de geleverde zorg. Het hieruit voortkomende risico op een onzekerheid in de verantwoording van € 130 miljoen is verlaagd door middel van aanvullende afspraken met de twee samenwerkingsverbanden, bestaande uit periodieke afstemming en een bestuurlijke prestatieverklaring vanuit de samenwerkingsverbanden. Voor een goede beheersing wil de Rekeningencommissie dat voortaan aan de voorkant goede afspraken worden gemaakt over de te leveren prestaties en de kwaliteit hiervan, over de monitoring door de gemeente van de naleving van deze afspraken en over de tijdige verantwoording van geleverde jeugdzorg. Wij vragen u toe te lichten hoe in 2025 een potentiële onzekerheid als in 2024 wordt voorkómen én hoe dit vanaf 2026 wordt geregeld.

7.

Rechtmatigheidsfouten bij Europees aanbesteden

Dit jaar overschrijden financiële onrechtmatigheden van in totaal € 57 miljoen de afgesproken verantwoordingsgrens van € 36 miljoen. De onrechtmatigheden met betrekking tot het voorwaardencriterium zijn flink hoger dan vorig jaar (€ 38,7 miljoen ten opzichte van € 15,2 miljoen in 2023), onder meer door externe inhuur die ten onrechte niet Europees zijn aanbesteed. Veel voorkomende rechtmatigheidsfouten bij Europese aanbestedingen zijn: 1. afwijkingen op contracten of opdrachten die doorlopen vanuit voorgaande jaren (€ 8,1 miljoen); 2. opdrachten waarbij de waarde of looptijd is overschreden (€ 30,4 miljoen). De accountant noemt als belangrijkste oorzaak van deze onrechtmatigheden dat geen centrale monitoring plaatsvindt op mogelijke overschrijdingen van de opdrachtwaarde. In de verhouding tussen de dienst Bedrijfsvoering en de overige diensten is bovendien niet altijd duidelijk wie de eindverantwoordelijkheid draagt. Verder komt het voor dat nieuwe aanbestedingen niet tijdig worden opgestart of aanbestedingsprocessen niet tijdig gereed zijn. In tegenstelling tot voorgaande jaren zijn geconstateerde fouten uit het verleden dit jaar niet hersteld.

Onrechtmatigheden bij inkopen doen zich al jaren achtereen voor en wij hebben hiervoor bij het college herhaaldelijk aandacht gevraagd. Telkens is daarbij beterschap beloofd, maar in plaats van een afname zien wij nu een toename van het probleem. De Rekeningencommissie constateert dat eigen richtlijnen hier niet worden nageleefd, waarbij de naleving ook niet voldoende wordt gemonitord. Voor het college neemt dan het risico toe dat te laat

ontdekte fouten en onrechtmatigheden moeten worden toegelicht bij de rechtmatigheidsverantwoording. De Rekeningencommissie wil van het college weten waarom inkoop en inhuur nog altijd tot onrechtmatigheden leiden en vraagt u te sturen op helder eigenaarschap, betere planning en monitoring, tijdige signalering en meer gezamenlijk optreden. Wij vragen u specifieker toe te lichten waarom de geconstateerde tekortkomingen nog steeds voorkomen, welke maatregelen het college neemt om het op te lossen en wanneer deze effect zullen sorteren. Wij hebben deze vragen ook aan de wethouder Inkoop gesteld en hem gevraagd dit onderdeel van het gesprek met u bij te wonen. Graag vernemen wij hoe binnen het college de systeemverantwoordelijkheid voor dit onderwerp is geregeld.

4/5

Gemeente Den Haag

Ook wil de Rekeningencommissie met betrekking tot het monitoren van contractoverschrijdingen meer inzicht krijgen in de verantwoordelijkheidsverdeling binnen het college. Wij vragen u toe te lichten hoe het college gedurende het jaar stuurt op het voorkómen van onrechtmatigheden.

Voor de volledigheid deelt de commissie mee dat een samenvatting van de bespreking zal worden betrokken bij het eindrapport van de Rekeningencommissie over haar onderzoek naar de jaarrekening 2024. Namens de Rekeningencommissie, de secretaris,

de voorzitter,

J. van Duijn

M. De Vuyst.

5/5