RIS322684 Rekeningencommissierapport 2024

32

RIS322684

Rapport van de Rekeningencommissie over het jaar 2024

De wethouder Onderwijs, Jeugd, Sport & Dienstverlening: De wethouder geeft aan dat MBS een belangrijk programma is voor dit college, maar ook voor komende colleges. De eerste fase is noodzakelijk voor de continuïteit van de organisatie: deze systemen moeten nu vervangen worden. Fase 2 betreft systemen waarvan het wenselijk is dat deze aansluitend op fase 1 worden vervangen. Het is op dit moment nog niet noodzakelijk omdat de desbetreffende systemen nog worden ondersteund. Het lijkt de wethouder echter niet verstandig om te wachten tot het ook voor deze systemen noodzakelijk wordt. De benodigde € 17,5 miljoen voor de eerste fase komt uit twee bronnen: de centrale bedrijfsvoeringsreserve (CBR) en de incidentele inzet van zogenoemde trap op/trap af-middelen die beschikbaar zijn om de groei van de organisatie te kunnen faciliteren. De inzet van de CBR en ToTamiddelen gaat dus niet ten koste van iets anders. Desgevraagd zegt de wethouder toe in de komende begroting 2026 de bedragen te specificeren. Voor de start van de tweede fase gelden enkele voorwaarden. Allereerst moet de evaluatie van de eerste fase een positieve uitkomst hebben. Uiteraard moeten ook voldoende middelen in de nog in te stellen bestemmingsreserve aanwezig zijn. Eind 2025 wordt hierop extern getoetst. Vervolgens doet het college onderzoek naar de dekking van fase 2 (€ 12,5 miljoen).

Deze dekking is nu geen knelpunt omdat het pas aan de orde is na afronding van de eerste fase. Dan dient het in de begroting voor de desbetreffende periode te worden opgenomen. Dit traject zal de wethouder eveneens in de komende begroting 2026 uiteen zetten. Het heeft de voorkeur van de wethouder om de raad over de voortgang van dit project via de reguliere planning & control-cyclus te informeren en niet via de GRIP-rapportages. Hij zegt toe de raad in de komende GRIP-rapportage te informeren of MBS op basis van de GRIP-criteria kwalificeert als een ‘groot project’ en indien dit niet het geval is met de raad te overleggen over de wijze van rapporteren over de voortgang van het MBS-programma.

Nawoord: De Rekeningencommissie wil een specifieker inzicht in de herkomst van de dekking van fase 1 (€ 17,5 miljoen) en vraagt het college hiervan een financieel overzicht te geven per component, voorzien van een toelichting waarom deze middelen nog niet waren gealloceerd. Gezien de bestaande tekorten voor ICT wordt het college gevraagd te herbevestigen dat de besteding van de middelen voor MBS niet ten koste gaat van iets anders. Met betrekking tot fase 2 wordt het college gevraagd in de komende begroting 2026 duidelijk uiteen te zetten hoe de splitsing tussen de fases tot stand is gekomen, hoe hiervoor dekking wordt gevonden en wat de gevolgen zijn voor de realisatie van MBS als deze dekking niet wordt gevonden. Voorts zijn bij de Rekeningencommissie de zorgen over het risico dat de twee fasen niet strikt gescheiden kunnen worden gehouden nog niet weggenomen. De commissie wil dit als specifiek aandachtpunt meenemen in het jaarrekeningonderzoek 2025.

6.3

Digitale veiligheid

In 2023 heeft de Rekeningencommissie onder de aandacht van het college gebracht dat de digitale veiligheid op enkele concrete punten verbetering behoefde. Dit kwam naar voren in een cybersecurity assessment die door de Accountantsorganisatie is uitgevoerd in het kader van de jaarrekeningcontrole 2022 (zie het RC-rapport 2022, RIS315931, pagina 30, de brief hierover aan het college, RIS317055 en de reactie hierop van het college (RIS317224)). Vervolgens is in 2024 in opdracht van de gemeente een extern onderzoek uitgevoerd naar cybersecurity (RIS320796 GEHEIM). Deze is door de Rekeningencommissie op 29 januari 2025 33

Rapport van de Rekeningencommissie over het jaar 2024

RIS322684

achter gesloten deuren behandeld (RIS321516). De bevindingen van dit externe onderzoek komen overeen met de bevindingen uit het Cyber Security Assessment dat de Accountantsorganisatie in 2022 heeft uitgevoerd. De accountant ziet op de aspecten Identificeren, Reageren en Herstellen enige voortgang, maar benadrukt dat het volwassenheidsniveau van cybersecurity nog niet in de buurt is van het geambieerde niveau. De Rekeningencommissie heeft de wethouder gevraagd haar te informeren over de oorzaken hiervan, de doelstelling van het college en de voortgang in de verbetering van cybersecurity, en daarbij tevens in te gaan op de aspecten Detecteren en Beschermen. De wethouder Onderwijs, Jeugd, Sport & Dienstverlening: Een algemeen aanvaard ambitieniveau voor de volwassenheid van de cybersecurity-organisatie van een grote gemeente is volgens de wethouder 3 op een schaal van 5. In 2021 was het volwassenheidsniveau nog 1,5. Inmiddels is dat 2,2. Daarmee heeft de gemeente een behoorlijk grote stap gezet richting niveau 3. Beoogd wordt nog in 2025 een score van 2,5 te behalen. De verdere ontwikkeling van cybersecurity blijft om aandacht vragen. Technische maatregelen worden relatief snel geïmplementeerd. Organisatorische maatregelen kosten meer tijd, zoals het opzetten van nieuwe processen. Daarbij resulteren genomen maatregelen niet altijd direct in een hoger volwassenheidsniveau.

Soms is het effect pas later zichtbaar, of valt het buiten de scope van beoordelingscriteria. Zo is in de aanloop naar de NAVO-top ingezet op extra maatregelen tegen DDoSaanvallen, alhoewel de bescherming al op orde werd geacht. Voor dit extra hoge beveiligingsniveau worden geen ‘extra punten’ toegekend. Voorts is gestart met een project om de digitale weerbaarheid versneld te verhogen. De specifieke maatregelen voor de NAVO-top zullen ook een blijvend effect hebben. Voor wat betreft het domein detecteren en beschermen is het geautomatiseerd beeld van het IT-landschap voor 98% voltooid. Er zijn uitgebreide threat intelligence-rapporten opgesteld en er worden anti-DDoS en anti-phishing maatregelen genomen.

6.4

Bescherming van persoonsgegevens 6.4.1

Jaarverslag Functionaris Gegevensbescherming

De Rekeningencommissie heeft de Functionaris voor de Gegevensbescherming (FG) gevraagd om de commissie jaarlijks te informeren over de naleving van de Algemene Verordening Gegevensbescherming (AVG) en de Wet politiegegevens (Wpg). Uit het jaarverslag van de FG over 2023 (RIS318930) bleek dat de bescherming van persoonsgegevens in 2023 nog niet echt was verbeterd. Op 13 mei 2025 heeft de Rekeningencommissie van het college het jaarverslag van de FG over 2024 ontvangen (RIS322122). De FG concludeert daarin dat de gegevensbescherming er nu beter voor staat dan in 2023, maar dat de gemeente nog niet in control of compliant is. Het aantal data protection impact assessments (DPIA’s) is toegenomen, maar nog steeds is dit slechts 50% van de 406 vereiste DPIA’s. De FG stelt dat de gemeente weliswaar op de goede weg is, maar dat de ingezette maatregelen nog niet het gewenste resultaat hebben opgeleverd. In de begeleidende brief (RIS322122) bij het jaarverslag van de FG geeft de wethouder aan te verwachten dat er voor een groot deel van de grootschalige en risicovolle verwerkingen uiterlijk over twaalf maanden een afgeronde DPIA is, inclusief een plan van aanpak voor de opvolging van de aanbevelingen. De Rekeningencommissie heeft de wethouder verzocht dit nader te kwantificeren en gevraagd wat het tijdspad is voor de afronding van alle DPIA’s en maatregelen.

De FG heeft benadrukt dat het tempo in het uitvoeren van DPIA’s omhoog moet. Daarom heeft de Rekeningencommissie de wethouder gevraagd hoe dit wordt bewerkstelligd en of hiervoor voldoende urgentiebewustheid binnen de organisatie is. Ook is de wethouder gevraagd toe te lichten waarom DPIA’s voor een groot deel door externen worden uitgevoerd en wat dit betekent voor het tempo en de kennisborging binnen de organisatie. De wethouder is eveneens gevraagd toe te lichten waarom de mitigerende maatregelen voor de geïdentificeerde risico’s grotendeels niet worden uitgevoerd. Voorts heeft de Rekeningencommissie de wethouder gevraagd te inventariseren wanneer sprake is van gebruik van de grondslag ‘toestemming’ voor gegevensverwerking en daarbij na te gaan of een andere grondslag gebruikt kan worden.

34

RIS322684

Rapport van de Rekeningencommissie over het jaar 2024

De wethouder Onderwijs, Jeugd, Sport & Dienstverlening: De wethouder laat weten dat DPIA’s hoog op de prioriteitenlijst van het college staan. Gelukkig is een duidelijke verbetering zichtbaar. In 2023 waren er nog 274 niet uitgevoerde DPIA’s. Dit is in 2025 teruggebracht tot 115, waarbij opgemerkt moet worden dat ook het aantal benodigde DPIA’s is afgenomen. Thans zijn er in totaal 260 DPIA’s uitgevoerd. Daarvoor is de gemeente wel afhankelijk van veel ingehuurd personeel. Afgesproken is dat bij elke DPIA in ieder geval een interne collega is betrokken. Het lukt in toenemende mate om dit met eigen mensen te doen. De naar aanleiding van een DPIA te nemen maatregelen zijn vaak complex en vergen interne afstemming. Het bieden van ondersteuning daarvoor door de dienst Bedrijfsvoering is nog in ontwikkeling. De grondslag ‘toestemming’ wordt sporadisch gebruikt, te weten 25 keer gemeentebreed. In overige gevallen wordt gekozen voor een andere grondslag, zoals de uitvoering van een wettelijke taak of het algemeen belang. Er wordt hiervan een overzicht bijgehouden en periodieke controles worden uitgevoerd op de grondslag, waarbij deze kan wijzigen als bijvoorbeeld nieuwe wetgeving voortaan de grondslag voor gegevensverwerking kan bieden.

Aanvullend heeft de Rekeningencommissie enkele vragen naar aanleiding van de gesprekken die de commissie met de Functionaris Gegevensbescherming heeft gehad. ▪

▪

▪

▪

Achterstanden in compliance gegevensbescherming: met leed constateert de Rekeningencommissie dat de FG in zijn jaarverslag concludeert dat de gegevensbescherming binnen de gemeente nog niet in control of compliant is. De FG waarschuwt dat nieuwe ontwikkelingen als AI een extra risico voor de gemeente vormen, omdat een aantal basisonderwerpen niet op orde is. De Rekeningencommissie wil alsnog worden geïnformeerd over het concrete aantal van de grootschalige en risicovolle verwerkingen dat per 13 mei 2026 een afgeronde DPIA zal hebben en hoe lang het daarna nog duurt voordat de rest van de DPIA’s is afgerond. De Rekeningencommissie vraagt het college een overzicht van uitgevoerde DPIA’s te verstrekken. Informatievoorziening over opvolging van aanbevelingen: de Rekeningencommissie wil voortaan gedetailleerder worden geïnformeerd over de opvolging van bevindingen en aanbevelingen die in het voorgaande jaarverslag waren opgenomen, zodat duidelijker wordt wat de voortgang is. Dashboards privacybeleid: in sommige gevallen bestonden nog onduidelijkheden over rollen en verantwoordelijkheden. De proceseigenaar is (ook) verantwoordelijk voor de bescherming van persoonsgegevens, maar is zich daar niet altijd voldoende van bewust. Daarom is in het privacybeleid een governancestructuur vastgelegd dat is uitgewerkt in procedures. Er zijn dashboards gemaakt voor verschillende kengetallen.

De Rekeningencommissie wil dat ook de raad wordt geïnformeerd door middel van deze dashboards. Publicatie DPIA’s: de Rekeningencommissie vraagt het college een openbaar register van DPIA’s te maken, naar analogie van het algoritmeregister.

6.4.2

Hercontrole van de Wpg-audit

Toen de Wpg in werking trad had de gemeente nog onvoldoende beeld van gegevensbeheersing. De door de Accountantsorganisatie uitgevoerde externe audit gaf inzicht in de te nemen maatregelen. Aandachtspunten waren de verschillende tempo’s van implementatie bij diensten en de nieuwe regels waarmee medewerkers moesten leren werken. Van het college is een brief ontvangen over de hercontrole van de externe privacy-audit door de GAD (RIS318004). In de initiële audit was, naast de opzet en het bestaan, ook de werking van beheersmaatregelen getoetst. Dit laatste is in de hercontrole niet gedaan. Dit zal in 2025 gebeuren. ▪

Bevindingen nieuwe audit in 2025: de voortgang van de verbetering van de gegevensbeheersing in het kader van de Wpg wordt dit jaar in een nieuwe audit onderzocht. De Rekeningencommissie wil de uitkomsten van deze audit van het college ontvangen.

35

Rapport van de Rekeningencommissie over het jaar 2024

7

Verbonden partijen

7.1

Wat zijn verbonden partijen?

RIS322684

Eén van de aandachtspunten van de Rekeningencommissie is het beheer van verbonden partijen. Deelname in een verbonden partij kan voor de gemeente een alternatief zijn voor enerzijds het zelf uitvoeren van gemeentelijke taken of anderzijds het uitbesteden van deze taken. Omdat verbonden partijen op afstand staan van de gemeente – en daarmee ook van de raad – is het van belang om voldoende checks en balances in te bouwen voor het beheersen van risico’s samenhangend met verbonden partijen. Verbonden partijen zijn participaties van zowel publiekrechtelijke als privaatrechtelijke aard en worden door het college ingezet als middel om gemeentelijk beleid te realiseren. Participaties van privaatrechtelijke aard zijn deelnemingen, stichtingen en pps-constructies (publiek-private samenwerking). Gemeenschappelijke regelingen zijn participaties van publiekrechtelijke aard. Het gaat dan om partijen waarmee de gemeente een bestuurlijke relatie onderhoudt en waarin zij tevens een financieel belang heeft. Onder bestuurlijke relatie wordt verstaan: een zetel in het bestuur en/of stemrecht. Van een financieel belang is sprake als de gemeente middelen aan de verbonden partij ter beschikking heeft gesteld die ze kwijt is in geval van faillissement van die partij, of wanneer financiële problemen bij de verbonden partij kunnen worden verhaald op de gemeente.

7.2

Jaarrapportage verbonden partijen 2023

Van het college is op 4 december 2024 de jaarrapportage verbonden partijen 2023 (RIS320671) ontvangen. De Rekeningencommissie is van mening dat deze rapportage ten opzichte van enkele jaren geleden enorm is verbeterd. Voorts zijn de jaarstukken 2023 van stichting HEID van het college ontvangen, alsmede de voortgangsrapportage over 2024 (RIS320373, RIS320436). De Rekeningencommissie constateert met genoegen dat ook deze informatie aanmerkelijk is verbeterd. Uit de beraadslaging van de Rekeningencommissie komt het volgende naar voren. ▪

36

Jaarrekeningen van BV’s: voor de jaarrekeningen van verbonden partijen die de rechtspersoonlijkheid hebben van een besloten vennootschap (B.V.) wordt in de jaarrapportage verwezen naar de Kamer van Koophandel. De Rekeningencommissie is van mening dat dit onnodig belemmerend werkt voor controlerende taak van de raad. De Rekeningencommissie vraagt het college om de raad in de jaarrapportage ook te voorzien van een link naar de jaarrekeningen van BV’s.

RIS322684

8

Doelmatigheid

8.1

Definitie en afbakening

Rapport van de Rekeningencommissie over het jaar 2024

Doelmatigheid wordt gedefinieerd als de mate waarin het bereiken van een doel geschiedt tegen zo laag mogelijke kosten. Deze inzet van middelen kan worden uitgedrukt in termen van geld, personeel, materieel of tijd, of een combinatie daarvan. Van belang is hierbij het onderscheid tussen bedrijfsmatige doelmatigheid (prestaties ofwel output in de vorm van goederen of diensten) en doelmatigheid van beleid (de maatschappelijke effecten als gevolg van deze prestaties, ook wel outcome). Doelmatigheid van beleid behoort niet tot het onderzoeksterrein van de Rekeningencommissie, maar van de lokale Rekenkamer.

8.2

Verordening doelmatigheids- en doeltreffendheidsonderzoek

In artikel 213a van de Gemeentewet is opgenomen dat het college periodiek onderzoek verricht naar de doelmatigheid en de doeltreffendheid van het door hem gevoerde bestuur. De kaders hiervoor zijn in per 17 oktober 2023 geactualiseerd voor wat betreft de governance en periodiciteit van de onderzoeken in de Verordening doelmatigheids- en doeltreffendheidsonderzoek Den Haag 2023. Conform de gemeentewet en bovengenoemde verordening verricht het college doelmatigheids- en doeltreffendheidsonderzoek en informeert het college de raad over zijn voorgenomen onderzoeken.

8.3

Programma Doelmatigheidsonderzoeken 2024-2025 (art. 213a)

Op 13 februari 2024 heeft het college het doelmatigheids- en doeltreffendheidsonderzoeksprogramma 2024-2025 (RIS318009) vastgesteld. Het college had op 9 juli 2019 voor het laatst een programma voor doelmatigheids- en doeltreffendheidsonderzoeken opgesteld, te weten voor de jaren 2019 en 2020 (RIS 303059). Het college heeft de raad per brief van 14 mei 2024 (RIS318814) op de hoogte gesteld van het nieuwe onderzoeksprogramma. Desgevraagd heeft het college laten weten dat de onderzoeksonderwerpen nog worden uitgewerkt bij de uitvoering van de onderzoeken. ▪

De Rekeningencommissie wil door het college worden geïnformeerd wanneer de uitkomsten van de onderzoeken tegemoet kunnen worden gezien.

37

Rapport van de Rekeningencommissie over het jaar 2024

9

RIS322684

Vooruitblik 2025-2026

Tot besluit van dit rapport wordt vooruitgekeken naar de komende periode tot aan het volgende jaarrekeningonderzoek. Gedurende het onderzoek naar de jaarrekening of tijdens vergaderingen daarvóór zijn onderwerpen naar voren gekomen die de Rekeningencommissie na de zomer wil agenderen. Onderstaand zijn deze onderwerpen kort toegelicht. ▪

▪

▪

▪ ▪

▪

38

Onderzoek naar de interne weerbaarheid tegen ondermijning: de Rekeningencommissie is op 28 mei 2024 door de gemeenteaccountant geïnformeerd (RIS318979) dat Bureau Integriteit in samenwerking met de directie Veiligheid een projectgroep zou samenstellen die risico’s op ondermijning moest inventariseren en zou onderzoeken hoe de beheersing kon worden verbeterd. Het onderzoeksrapport werd in het najaar van 2024 verwacht. De Rekeningencommissie wil de uitkomsten van het door Bureau Integriteit uitgevoerde onderzoek na de zomer behandelen. Modernisering bedrijfsvoeringssystemen: de Rekeningencommissie vraagt de Accountantsorganisatie nader onderzoek te doen naar de implementatie van de modernisering van bedrijfsvoeringssystemen. De accountant wordt gevraagd voorstellen te doen voor uit te voeren onderzoek naar de voortgang en kwaliteitsbewaking van het programma Modernisering Bedrijfsvoeringssystemen, bijvoorbeeld voor wat betreft de inrichting, security, projectbeheersing of datamigratie. Omdat de Accountantsorganisatie zelf ook als gebruiker van deze systemen met de transitie te maken krijgt, wil de commissie dat de Accountantsorganisatie ook als klant een proactieve rol neemt in het traject. De Rekeningencommissie vindt het belangrijk dat de inrichting van systemen ook de kwaliteit en snelheid van de jaarrekeningcontrole bevordert.

De commissie wil door de Accountantsorganisatie worden geïnformeerd over de risico’s die de migratie van systemen voor de jaarrekeningcontrole met zich meebrengt. Voorts zijn bij de Rekeningencommissie de zorgen over het risico dat de twee fasen niet strikt gescheiden kunnen worden gehouden nog niet weggenomen. De commissie wil dit als specifiek aandachtpunt meenemen in het jaarrekeningonderzoek 2025. Vervolgonderzoek Grote Projecten: de Rekeningencommissie heeft de Accountantsorganisatie gevraagd in het vervolgonderzoek naar de begrotingswijzigingen bij grote projecten te onderzoeken in hoeverre de oorzaken daarvoor niet al bij de initiële ramingen bekend hadden kunnen zijn en daarom – al dan niet als risico’s – ingecalculeerd hadden moeten worden. Met andere woorden: waren de oorzaken voor begrotingswijzigingen vooraf niet te voorzien geweest? De projecten waar de oorzaken betrekking had op het ontbreken van een post Onvoorzien worden daarbij buiten beschouwing gelaten. De Rekeningencommissie heeft bij de initiële opdracht aangegeven te willen weten of de ambtelijke en bestuurlijke informatievoorziening over de ramingen toereikend is (geweest), zowel bij de voorbereidingen van een project als gedurende de looptijd ervan. Voorts heeft de Rekeningencommissie gevraagd te onderzoeken of de verbetermaatregelen voor de projectbeheersing effectief zijn (geweest).

De Rekeningencommissie heeft op 3 juni 2025 van de Accountantsorganisatie een voorstel voor het vervolgonderzoek ontvangen (GAD/2025.42). Bevindingen nieuwe Wpg-audit in 2025: de voortgang van de verbetering van de gegevensbeheersing in het kader van de Wpg wordt dit jaar in een nieuwe audit onderzocht. De Rekeningencommissie wil de uitkomsten van deze audit na de zomer agenderen. Onderzoek naar beleid tegen misbruik en oneigenlijk gebruik: het college is wettelijk verplicht voldoende maatregelen te treffen om te voorkomen dat er misbruik wordt gemaakt van gemeentelijke voorzieningen. Bij de Wet inburgering 2021 heeft het college echter geen specifiek beleid op het tegengaan van misbruik en oneigenlijk gebruik. De Rekeningencommissie heeft de Accountantsorganisatie gevraagd in beeld te brengen of er tussen beleidsterreinen verschillen zijn in het (benodigde) beleid voor het tegengaan van misbruik en oneigenlijke gebruik (M&O-beleid). Tevens is gevraagd de mogelijkheden voor een uniform overkoepelend M&O-beleid te onderzoeken en daarbij ook te kijken naar de werkwijze van vergelijkbare gemeenten. Frauderisicoanalyse: sinds enkele jaren wordt periodiek een gemeentebrede frauderisicoanalyse opgesteld. Hierin worden de frauderisico’s voor de belangrijkste processen geïnventariseerd en gekoppeld aan de beheersmaatregelen. Dit draagt ook bij aan het risicobewustzijn.

Begin 2026 verschijnt de volgende frauderisicoanalyse. De Rekeningencommissie wil deze agenderen bij het komende jaarrekeningonderzoek.