RIS322763 Reactie college op het rapport van de rekeningencommissie 2024

Deze heeft gewerkt aan de centrale benodigde maatregelen (beleid vaststellen, DPIA’s uitvoeren, verwerkingen opnemen in het register) en de decentrale maatregelen bij de betrokken diensten (uitvoeren maatregelen DPIA, informatie aan de betrokkene, autorisaties en toegang tot politiegegevens, aanwijzen functionarissen) . In 2024 is een vaste full-time Wpg privacy officer gestart met oog op duurzaam werken aan beheersmaatregelen die voortkomen uit de interne audit en de audit van de GAD begin 2025.

23/28

Gemeente Den Haag Ons kenmerk

BSD/10919589

Nr. 41 jaar ref. 2023.12 Realisatie benodigde veranderingen op cyber security Stand van zaken: Onderhanden. Vergt continue aandacht. Acties 2025: Er is afgesproken om tijdens het tweede helft van het jaar een volgend zelfassesment te doen. Een algemeen aanvaard ambitieniveau voor de volwassenheid van de cybersecurity-organisatie van een grote gemeente is 3 op een schaal van 5. In 2021 was het volwassenheidsniveau nog 1,5. Inmiddels is dat 2,2. Daarmee heeft de gemeente een behoorlijk grote stap gezet richting niveau 3. Beoogd wordt nog in 2025 een score van 2,5 te behalen. De verdere ontwikkeling van cybersecurity blijft om aandacht vragen. Technische maatregelen worden relatief snel geïmplementeerd. Organisatorische maatregelen kosten meer tijd, zoals het opzetten van nieuwe processen. Daarbij resulteren genomen maatregelen niet altijd direct in een hoger volwassenheidsniveau. Soms is het effect pas later zichtbaar, of valt het buiten de scope van beoordelingscriteria. Zo is in de aanloop naar de NAVO-top ingezet op extra maatregelen tegen DDoS-aanvallen, alhoewel de bescherming al op orde werd geacht. Voor dit extra hoge beveiligingsniveau worden geen ‘extra punten’ toegekend. Voorts is gestart met een project om de digitale weerbaarheid versneld te verhogen. De specifieke maatregelen voor de NAVO-top zullen ook een blijvend effect hebben.

Voor wat betreft het domein detecteren en beschermen is het geautomatiseerd beeld van het IT-landschap voor 98% voltooid. Er zijn uitgebreide threat intelligence-rapporten opgesteld en er worden anti-DDoS en anti-phishing maatregelen genomen.

24/28

Gemeente Den Haag Ons kenmerk

BSD/10919589

Stand van zaken nog niet afgedane bevindingen Board Letter 2024

25/28

Gemeente Den Haag Ons kenmerk

BSD/10919589

Nr. 1 jaar ref. 2024.01 Voor facturen boven € 1.000 wordt de documentatie met betrekking tot de prestatieverklaring niet consequent door de lijnorganisatie vastgelegd. Stand van zaken: Onderhanden. Dit is onderdeel van het IBB-project. Sinds oktober 2024 wordt maandelijks een steekproef uitgevoerd op de volledigheid van de prestatielevering, heeft extra communicatie richting prestatieverklaarders plaatsgevonden over waar een prestatieverklaring aan moet voldoen en hoe je de work-flow kan inrichten. Voor verdere verbetering worden in het project nadere interventies uitgewerkt. Betreft gedragsverandering binnen de lijnorganisatie, dit vergt vaak meerdere jaren. Nr. 2 jaar ref. 2024.02 Een centrale monitoring en sturing op de werking van de signaleringsfunctie met betrekking tot rechtmatigheid binnen contractmanagement ontbreekt. Stand van zaken: Onderhanden. Het contractmanagement is verder aangescherpt. In het systeem zijn nu signaleringen ingebouwd om overschrijding van de contractwaarde te voorkómen. Zo gaat er 9 maanden, 6 maanden en 3 maanden vóór het aflopen van een raamcontract een signaal naar de contractmanager. Dit gebeurt ook als 70% van de contractwaarde is besteed. Deze informatie wordt ook in dashboards opgenomen. Contractmanagers gaan voor wat betreft processen en systemen ondersteund worden door een team bij de afdeling Financiën van de dienst Bedrijfsvoering.

Als het gaat om gedrag en cultuur heeft het team ook de taak om contractmanagers aan te spreken op hun verantwoordelijkheden. Nr. 3 jaar ref. 2024.03 Procesbeschrijving voor aanbestedingen ontbreekt. Stand van zaken: Afgewikkeld.Integrale procesbeschrijving voor het proces Europees aanbesteden is opgesteld. Nr. 4 jaar ref. 2024.04 Toename in de handmatige betalingen vanwege de hersteloperatie kinderopvangtoeslag (KOT).

26/28

Gemeente Den Haag Ons kenmerk

BSD/10919589

Stand van zaken: Geaccepteerd risico door de organisatie. Nr. 5 jaar ref. 2024.05 Procesbeschrijving voor lonen en salarissen ontbreekt. Stand van zaken: Geaccepteerd risico door de organisatie.In verband met de implementatie van een nieuwe salarisverwerker per 2026 wordt er nu geen procesbeschrijving opgesteld voor het systeem dat wordt uitgefaseerd. Een procesbeschrijving opstellen voor het nieuwe systeem is onderdeel van het lopende implementatieproces. Nr. 6 jaar ref. 2024.06 Het proces voor de interne verrekeningen wordt niet adequaat gevolgd. Stand van zaken: Onderhanden. Met ingang van Q2 2015 zijn aanvullende verbeteracties in gang gezet. Nr. 7 jaar ref. 2024.07 Voor de betrouwbare verantwoording van nieuwe voorzieningen of aanpassingen daarvan zijn position papers een belangrijke beheersingsmaatregel. Stand van zaken: Afgewikkeld, procesbeschrijving voor voorzieningen opgesteld, inclusief beheersmaatregelen. De procesbeschrijving is afgerond, deze wordt bij de eerstvolgende controle van de interne processen (interim controle 2025) aan de GAD voorgelegd ter beoordeling. Nr. 8 jaar ref. 2024.08 In opzet weinig tot géén functiescheidingen in het proces Debiteuren SZW ingebouwd. Stand van zaken: Geaccepteerd risico door de organisatie. Nr. 9 jaar ref. 2024.09 In opzet weinig tot géén functiescheidingen in het proces loonkostensubsidie ingebouwd.

Stand van zaken: Geaccepteerd risico door de organisatie. Nr. 10 jaar ref. 2024.10 De gemeente heeft geen Bibob-toets uitgevoerd voorafgaand aan een specifieke verhuurovereenkomst. Stand van zaken: Afgewikkeld. Dit was een eenmalige omissie welke achteraf alsnog is uitgevoerd. Team Bibob heeft een presentatie gegeven en regels zijn met alle betrokken medewerkers besproken. De volgende werkwijze wordt gehanteerd: Bij de start van onderhandelingen stelt de gemeente de wederpartij ervan in kennis dat een BIBOB-toets deel kan uitmaken van de procedure. Indien de BIBOB-toets is gestart en niet is afgerond voor het sluiten van de overeenkomst, dan moet een opschortende of ontbindende voorwaarde opgenomen in de overeenkomst. Nr. 11 jaar ref. 2024.11 Het gebruik van het nieuwe systeem Centric Leefomgeving (CLO) leidt tot mogelijke knelpunten in de facturering en verantwoording van de baten. Stand van zaken: Afgewikkeld. De aanbeveling van de GAD tot het maken van een aansluiting tussen de verschillende systemen is opgevolgd. De GAD heeft dit gecontroleerd en heeft hier geen opmerkingen over gemaakt.

27/28

Gemeente Den Haag Ons kenmerk

BSD/10919589

Nr. 12 jaar ref. 2024.12 Volgens de nota Lokale heffingen van de BBV is een negatieve voorziening voor bouwleges niet toegestaan. Een mogelijk tekort moet daarom ten laste van de exploitatie worden opgelost. Stand van zaken: Afgewikkeld. Het ontstane tekort is in de programmarekening 2024 ten laste van de exploitatie gebracht. De BBV is hiermee gevolgd en dit is toegelicht in de programmarekening 2024. Nr. 13 jaar ref. 2024.13 Interne controles rondom de processen van belastingen worden niet zichtbaar vastgelegd. Stand van zaken: Afgewikkeld. Interne controles worden nu zichtbaar vastgelegd, accountant neemt dit mee bij volgende interim-controle. Nr. 14 jaar ref. 2024.14 Geen Plan-Do-Check-Act cyclus ten aanzien van functie-autorisatiebeheer voor de applicatie Oracle HRS. Stand van zaken: Afgewikkeld. Met betrekking tot Oracle HRS kan worden gemeld dat het HR Expertisecentrum dit heeft opgepakt. De strekking is dat zij dit proces door aftekenen van het rapport van de verstrekte autorisatieswaarborgen. Nr. 15 jaar ref. 2024.15 Geen beheersing voor het uitbestedingsbeheer voor de applicatie CVS. Stand van zaken: Afgewikkeld. Nr. 16 jaar ref. 2024.16 Geen beheersing rondom wijzigingsbeheer voor de applicatie CVS, doordat de teststappen van wijzigingen niet zichtbaar worden vastgelegd. Stand van zaken: Onderhanden.

Vorig jaar werd bevonden dat er grote hoeveelheden wijzigingen open stonden of dat er geen registratie van was. Deze zijn inmiddels gemitigeerd. De destijds 279 openstaande, niet beoordeelde, issues zijn allen danwel gesloten, danwel alsnog opgepakt. Er is geen achterstand meer in het wijzigingsbeheer. Nr. 17 jaar ref. 2024.17 Het vervangen van het huidige financiële systeem (Oracle FIN), de personeelsadministratie (Oracle HRS) en de salarisverwerking heeft grote impact op het IT-landschap van de gemeente. Vanwege deze risico’s, zoals mogelijke technische complicaties, de complexiteit van de integratie met bestaande systemen en de migratie van data, adviseren wij het college om: - een toereikende governancestructuur in te richten en een integrale impact- en risicoanalyse uit te voeren, zodat de vervanging van deze systemen binnen de gestelde tijd, de kwaliteit en het budget kan worden gerealiseerd. - de huidige situatie tijdig in beeld te brengen, processen waar nodig te standaardiseren en data op te schonen, zodat de migratie naar de nieuwe situatie beheerst uitgevoerd kan worden. Stand van zaken: Afgewikkeld. Beide adviezen zijn uitgevoerd en geïmplementeerd in het proces voor de vervanging van de systemen.

28/28