RIS323979 Bijlage Voortgang General IT controls

Bijlage 1 – Voortgang Overzicht General IT controls Applicatie

Bevinding

Toelichting – Status van november 2025

Oracle HRS

Autorisatiebeheer

Opgelost. Het proces is op basis van de bevinding van de GAD verbeterd.

Wijzigingsbeheer

Opgelost. Een structureel proces door middel van een OTAP (Ontwikkel, test, acceptatie en productie)-lijn is ingericht en belegd.

Leveranciersbeheer

Opgelost. Service level reports worden opgeleverd en besproken.

Leveranciersbeheer

Opgelost. Service level reports worden opgeleverd en besproken.

CVS Subsidies CVS Wmo

Authenticatie Apro Banking Autorisatiebeheer Autorisatiebeheer Mercell Continuïteit Autorisatiebeheer IBS2000

Wijzigingsbeheer Leveranciersbeheer Leveranciersbeheer

Key2Burgerzaken Continuïteit

Autorisatiebeheer Key2Betalen Continuïteit

Socrates

Leveranciersbeheer

Continuïteit

Mercato

Allegro

Opgelost. De wachtwoordinstellingen zijn conform het beleid van de gemeente Den Haag aangepast. Onderhanden. Er wordt gewerkt aan een update van het betaalplatform. Zodra dit platform live is, zal in samenwerking met I&A de definitieve autorisaties ingericht moeten worden. Verwachting is dat dit nog eind dit jaar klaar is. Opgelost. De autorisatiematrix en de procedure omtrent periodieke review is op 7 oktober in het MT Inkoop vastgesteld. Opgelost. Fysieke beheersmaatregelen + uitwijkprocedure aangeleverd bij de GAD op 18-08 en 22-09. ISAE-3402 rapport aangeleverd. Opgelost. De matrix van autorisaties is direct na constatering van de GAD in 2024 vastgesteld door de lijnverantwoordelijke. Opgelost. De achterstand in wijzigingsbeheer is weggewerkt. Registratie van wijzigingen loopt nu gelijk met de standaard wijze van registreren binnen I&A. Opgelost. De leverancier rapporteert sinds Q1-2025 periodiek middels het Service Level Report. Dit rapport wordt nu nog handmatig gestart. Doel is om dit rapport spoedig geautomatiseerd te genereren. Onderhanden. De performance van de leverancier wordt periodiek besproken op strategisch, tactisch en operationeel niveau. De Service Level Agreement ligt bijna ter ondertekening voor. Er wordt over een aantal punten nog onderhandeld. Onderhanden. De uitwijk- en recoverytest voor Key2Burgerzaken heeft plaatsgevonden in november.

De hoeveelheid benodigde voorbereidingen voor deze activiteit waren van dien aard dat er is gekozen de focus op Key2Burgerzaken te houden. De uitwijk- en recoverytest hebben een aantal verbeterpunten naar voren gebracht die wij meenemen in de voorbereiding voor 2026. Dan zal Key2Betalen ook meegenomen worden. Geaccepteerd risico. Het risico omtrent ontbrekende functiescheiding wordt in afwachting van nieuwe software niet meer opgepakt. Wel vindt er periodieke controle plaatst op toegekende autorisaties. Onderhanden. De uitwijk- en recoverytest voor Key2Burgerzaken heeft plaatsgevonden in november. De hoeveelheid benodigde voorbereidingen voor deze activiteit waren van dien aard dat er is gekozen de focus op Key2Burgerzaken te houden. De uitwijk- en recoverytest hebben een aantal verbeterpunten naar voren gebracht die wij meenemen in de voorbereiding voor 2026. Dan zal Key2Betalen ook meegenomen worden. Onderhanden. Sinds 1 januari 2024 is de samenwerking met Wigo4it gewijzigd: de SLA en DAP zijn vervangen door generieke Gebruiksvoorwaarden, zonder SMART-afspraken. Binnen de G4 is hierover intensief overleg gevoerd. Er is behoefte aan heldere afspraken, transparante rapportages en duidelijke escalatielijnen. De GAD-bevindingen sluiten aan bij dit beeld. Er is een G4-brede samenwerking gestart om leveranciersbeheer te verbeteren.

Vanwege de G4-brede aanpak is de planning afhankelijk van de voortgang van de samenwerking.

Opgelost. Scenario is door leverancier in december 2024 getest. Opgelost. Op halfjaarlijkse basis vindt een volledige controle op autorisatiebeheer Autorisatiebeheer plaats. Opgelost. Er worden met de leverancier periodieke gesprekken (1x per 3 maanden) Leveranciersmanagement belegd over de prestaties i.r.t. de SLA en er zal worden gevraagd om een rapportage per kwartaal over de SLA. Opgelost. Autorisatiebeheer is volledig up to date. Laatste check heeft plaatsgevonden Autorisatiebeheer tijdens voorbereiding NAVO top. Updates op autorisaties zijn verankerd in de manier van werken en onderdeel van definition of done bij wijzigingen. Niet van toepassing, want het betreft een intern gehost systeem, waardoor interne Continuïteit standaardprocedures gelden die niet op SLA zijn terug te voeren.