Rapport Rekenkamer Diemen - informatiebeveiliging - 20 oktober 2025

Rekenkamer Diemen

Memorandum Onderzoek informatiebeveiliging

20 oktober 2025

Rekenkamer Diemen Onderzoek informatiebeveiliging 20 oktober 2025

Inhoud

I

Onderzoek informatiebeveiliging

II

Bevindingen

2

III

Verder en ten slotte

6

Bijlagen

1.

Bestuurlijke reactie

2.

Nawoord rekenkamer

3.

Organisatie rekenkamer

blad 1

Memorandum

Rekenkamer Diemen Informatiebeveiliging 20 oktober 2025 Blad 1 van totaal 7

I

Onderzoek informatiebeveiliging

Opzet en uitvoering De rekenkamer van de gemeente Diemen heeft in 2025 onderzoek gedaan naar de opzet en invulling van de informatiebeveiliging binnen de gemeente. De rekenkamer Diemen bestond ook in 2025 uit Frank Hordijk (directeur) en Peter van Loon (plaatsvervangend directeur). Hordijk en Van Loon hebben het onderzoek samen uitgevoerd. Bij de uitvoering van het onderzoek is de tekst in het onderzoeksprogramma 2025 van de rekenkamer Diemen onverkort leidend geweest. Volgens vaste werkwijze van de rekenkamer is samengewerkt met één primaire ambtelijke contactpersoon. Die samenwerking betrof met name het laten aanreiken van diverse documentatie en het laten beantwoorden van uiteenlopende vragen en vervolgvragen. De contactpersoon betrof, op aanwijzen van de algemeen directeur van de gemeente Diemen, het afdelingshoofd Staf van Duo+. Bij de meeste contacten was direct of indirect ook de CISO-ad-interim (vanuit Duo+) betrokken. De rekenkamer heeft, conform planning, tussentijds een informeel contact onderhouden met de verantwoordelijk portefeuillehouder uit het college van Diemen. Die portefeuillehouder is burgemeester Erik Boog. Memorandum Dit memorandum is zo beknopt mogelijk gehouden. Ook op verzoek van de klankbordgroep voor de rekenkamer is gekozen voor zo toegankelijk mogelijke taal, en is niet gewerkt met voetnoten, kleurtjes of dergelijke.

Helaas kon niet overal worden ontkomen aan het gebruik van specifiek jargon. De rekenkamer heeft dit memorandum op 21 juli 2025 beschikbaar gesteld voor ambtelijk en vervolgens bestuurlijk wederhoor. Na enkele tussentijdse contacten met de contactpersoon en met de algemeen directeur is de bestuurlijke reactie ontvangen op 14 oktober 2025. Mede om veiligheidsredenen is bij dit memorandum geen overzicht opgenomen met (alle) door de rekenkamer gebruikte stukken en/of overigens gehanteerde bronnen. De gehanteerde, in het algemeen bestuurlijk bekrachtigde kerndocumenten zijn expliciet genoemd in de hierna opgenomen punten.

Rekenkamer Diemen Informatiebeveiliging 20 oktober 2025 Blad 2 van totaal 7

II

Bevindingen

Algemeen 1.

De informatiebeveiliging van de gemeente Diemen wordt in de kern georganiseerd en uitgevoerd door Duo+. Diemen is en blijft uiteraard zelf bestuurlijk verantwoordelijk.

2.

De kaders voor de informatiebeveiliging van Diemen zijn vastgelegd in twee documenten: •

‘Informatieveiligheidsbeleid DUO-organisaties 2025-2027’, gedateerd 6 januari 2025

•

‘Tactisch Informatiebeveiligingsbeleid Duo+ 2020-2023’ van 21 september 2020.

3.

Het document van 2025 wordt binnen Duo+ en Diemen aangeduid als ‘strategisch’. De actuele versie is een (beperkte) update van het document dat in 2020 is vastgesteld (en tussentijds is aangevuld).

4.

In de twee stukken staan meerdere (afwijkende) definities van de begrippen informatie en informatiebeveiliging. Op sommige plaatsen is gekozen voor omschrijvingen. Op de vraag van de rekenkamer naar eenduidige definities zijn enkele suggesties, maar is geen concreet antwoord gekomen.

5.

De ‘scope’ van het informatiebeveiligingsbeleid is in het strategische document omschreven als ‘alle gemeentelijke processen, onderliggende informatiesystemen, informatie en gegevens van de gemeente en externe partijen, het gebruik daarvan door medewerkers en (keten)partners in de meest brede zin van het woord, ongeacht locatie, tijdstip en gebruikte apparatuur’ (paragraaf 2.8).

6.

Gezien deze scope, en conform de tekst in het onderzoeksprogramma 2025, heeft de rekenkamer gekozen voor een brede beoordeling van de informatiebeveiliging. Naast het beheer van digitale informatie in engere zin is doorgevraagd op aspecten als de AVG, de toegangsbeveiliging van het gemeentehuis en het volgen van de Archiefwet en de Wet open overheid.

7.

Het informatiebeveiligingsbeleid van Diemen is in de kern gebaseerd op de zogenoemde Baseline Informatiebeveiliging Overheid (BIO, binnenkort BIO2). Kort gezegd vormt deze ‘baseline’, in wisselwerking met de Europese Network and Information Security-directive (NIS2) en de aanstaande Cyberbeveiligingswet, het basisniveau voor informatiebeveiliging voor alle overheidsorganisaties in Nederland.

Rekenkamer Diemen Informatiebeveiliging 20 oktober 2025 Blad 3 van totaal 7

8.

Het college heeft aangegeven dat Diemen in 2024 heeft voldaan aan de eisen die landelijk zijn gesteld met betrekking tot de informatiebeveiliging inzake DigiD en Suwinet. Dat is gebeurd door het afgeven van een collegeverklaring. In die verklaring wordt ook verwezen naar de conclusies uit het in dat verband verplichte assurancerapport van een IT-auditor. De rekenkamer heeft gezien dat dat rapport op 28 maart 2025 is afgegeven.

9.

De bij 8. bedoelde collegeverklaring maakt deel uit van de zogeheten ENSIA-verantwoording over informatiebeveiliging. Die verantwoording wordt zowel ‘verticaal’ (richting toezichthouders bij het Rijk) als ‘horizontaal’ (voor de raad) gebruikt. ENSIA staat mede daarom voor ‘Eenduidige Normatiek Single Information Audit’.

10. Uitgaande van meerdere door de VNG uitgegeven richtlijnen en hulpmiddelen had mogen worden verwacht dat Diemen de ENSIA-uitkomsten over 2024 in of bij de jaarrekening 2024 (paragraaf bedrijfsvoering) had verantwoord. Dat is niet gebeurd. Hoewel de rekenkamer uit meerdere bronnen begreep dat die uitkomsten (dus) te laat, maar via de tweede kwartaalbrief aan de raad zouden worden gecommuniceerd, is ook dat niet gebeurd. Het college zou nu opteren voor de derde kwartaalbrief. Overigens heeft de rekenkamer in een kleine ‘rondgang’ vastgesteld dat gemeenten de ENSIA-uitkomsten qua context en diepgang op uiteenlopende manieren openbaar maken.

Procedures, instructies, richtlijnen en dergelijke 11. De rekenkamer heeft, kort gezegd, intensief en waar dat moest vasthoudend gevraagd naar concrete, tastbare uitwerkingen van de beide bij 2. genoemde kaderdocumenten. Van logische toegangsbeveiliging van systemen via ‘bewustwordingssessies’ met betrekking tot de AVG tot voorschriften voor het digitaliseren (en daarna vernietigen) van papieren dossiers, en nog vele deelterreinen meer: de rekenkamer wilde het bestaan van die uitwerkingen vastgesteld krijgen, en waar aan de orde ook de werking daarvan kunnen beoordelen. 12. Op verreweg de meeste vragen van de rekenkamer naar uitwerkingen is een document, of tenminste een reactie gekomen. In diverse gevallen was dat antwoord dat ‘eraan wordt gewerkt’ of dat ‘een volgende versie aanstaande is’. Een voorbeeld bij het laatste is de toepassing van de zogenoemde ‘capstone-methode’ rond persoonlijke mailboxen. 13. Los van de inhoud heeft de rekenkamer moeten vaststellen dat de diverse beschikbare uitwerkingen niet eenduidig zijn samengebracht.

Er is geen samenhangend systeem van waaruit wordt verwezen naar, of van waaruit kan worden doorgeklikt naar bijvoorbeeld een procedure rond het beheer van een autorisatiematrix, naar een instructie hoe een medewerker moet handelen bij een mogelijk AVG- of privacy-issue of naar een richtlijn waarmee wordt geregeld dat specifiek mailverkeer (ook) in het zaaksysteem wordt opgenomen.

Rekenkamer Diemen Informatiebeveiliging 20 oktober 2025 Blad 4 van totaal 7

14. Bij gebrek aan een samenhangend systeem, zoals de rekenkamer dat in punt 13 bedoelt, is het onmogelijk om: de volledigheid van de diverse uitwerkingen vast te stellen (‘hebben we geregeld wat geregeld moet zijn?’) de actualiteit daarvan te kunnen beoordelen (‘is alles up-to-date, en is alles nog steeds nodig?’) de werking daarvan gestructureerd te kunnen vaststellen (‘doet iedereen wat is afgesproken, en komen afwijkingen a-tempo ter opvolging aan het licht?’). 15. Op dit punt ziet de rekenkamer stellig en precies niet wat op blad 10/52 van het strategisch document staat verwoord: ‘Op het laagste niveau wordt een complete set aan maatregelen opgeleverd die gericht is op de specifieke eisen van een onderdeel. Een onderdeel kan een applicatie zijn zoals de BRP, de BAG, BRT, BRO of het financiële systeem, maar kan ook gericht zijn op de ICT-beheerprocessen, de inrichting van de ICT-platformen of de juistheid van de crediteurenadministratie.’ 16. Let wel, het strategisch document dateert feitelijk van 2020. De versie waarmee anno 2025 wordt gewerkt is ‘puur een actualisatie’ (blad 3/52) van het stuk van vijf jaar terug. De bovenbedoelde ‘complete set’ moet nog steeds komen. 17. De rekenkamer doet eenzelfde vaststelling bij het tactische document.

Dat zou (sinds 2020) een ‘naslagwerk’ moeten vormen, waarbij de diverse procedures, instructies, richtlijnen en dergelijke zouden zijn vastgelegd in ‘het Information Security Management System (ISMS) van Duo+’ (bladen 2/33 en 5/33). Vijf jaar later is dat ISMS er nog altijd niet. ISMS, borging en organisatie 18. Is het inrichten van een ISMS ingewikkeld? Nee. Een ISMS is weinig anders dan een variant op een klassiek systeem voor kwaliteitsborging. In dat systeem dienen alle uitwerkingen te zijn opgenomen die in samenhang zorgen voor een adequate informatiebeveiliging. Inderdaad, de ‘complete set’ die in het strategische document wordt bedoeld. Voor de opzet en het onderhoud van een ISMS zijn diverse, direct bruikbare tools beschikbaar. 19. Met name het strategische document staat vol met aangekondigde ‘jaarplannen voor gegevensbescherming en informatieveiligheid’ (blad 24/52), een ‘jaarlijks informatiebeveiligingsplan’ (blad 15/52), iedere afdelingsmanager die een ‘managementverantwoordingsdocument’ opstelt (ook blad 15/52), elke afdelingsmanager die ook ‘een AVG-verantwoording aflegt’ (blad 19/52), beveiligingseisen die ‘per proces worden vastgesteld’ (blad 26/52), teammanagers die ‘aan de directie rapporteren over de door hen tactisch en operationeel uitgevoerde informatiebeveiligingsactiviteiten’ (blad 27/52), en zo verder.

Rekenkamer Diemen Informatiebeveiliging 20 oktober 2025 Blad 5 van totaal 7

20. Papier is geduldig, de praktijk weerbarstig. Van de diverse in punt 19 bedoelde stukken is medio 2025 niets beschikbaar. De aangekondigde ‘rapportering over het doorlopen van de beschreven cyclus met betrekking tot informatieveiligheid in de jaarrekening van de Duo+organisatie’ is niet opgenomen in de jaarrekening 2024. 21. De rekenkamer ziet ook forse aandachtspunten in de feitelijke organisatie en aansturing van de brede informatiebeveiliging. Hoofdstuk 3 van het strategische document bevat allerhande stellige woorden over de verantwoordelijkheden die directie, CISO, leidinggevenden in de lijn en meerdere andere betrokkenen zouden (moeten) hebben. Bij vragen en doorvragen blijken ook deze kaders voor een fors deel uitsluitend op papier te bestaan. 22. Diemen heeft in maart 2025 een zogenoemde AVG-scan laten uitvoeren. Die leidde tot een aantal stevige bevindingen. De rekenkamer heeft vernomen dat een actieplan in voorbereiding is, en dat inmiddels op deelelementen aan een uitwerking wordt gewerkt. De rekenkamer heeft geen stukken gezien waaruit kan worden opgemaakt of de uitkomsten van de scan volledig en met passende urgentie zijn (of worden) opgevolgd. 23. Er loopt al meerdere jaren een (kennelijk) ambitieus programma ‘Informatiehuishouding op orde’. De rekenkamer heeft uit de beschikbare stukken niet scherp kunnen krijgen waartoe dit programma precies moet leiden.

Ook is onduidelijk gebleven hoe, overal waar dat nodig is, is voorzien in aandacht voor het aspect beveiliging van informatie. Een door de rekenkamer ontvangen ‘binnenkort vast te stellen’ herzien programmaplan is nog op veel plaatsen leeg. 24. De CISO-ad-interim heeft in maart 2025 de uitkomsten van een uitgevoerde informatieveiligheidsanalyse gepresenteerd (conform blad 27/52 van het strategische document). De in dat verband opgestelde ‘heatmap’ heeft alleen betrekking op het voorkómen, en waar die zich toch zouden aandienen zoveel mogelijk beperken van de gevolgen van cybersecurity-incidenten. Vanuit het strategische document is de CISO nadrukkelijk verantwoordelijk (bladen 27/52 en 28/52) voor de beveiliging van alle informatie in en van de gemeente Diemen. De rekenkamer heeft geen (uitkomsten van een) analyse gezien inzake de diverse andere aspecten of vormen van informatie, dus naast de component cybersecurity. Een dergelijke analyse is evenmin aangetroffen voor één of meer van de jaren 2020 tot en met 2024.

Rekenkamer Diemen Informatiebeveiliging 20 oktober 2025 Blad 6 van totaal 7

III

Verder en ten slotte

25. De rekenkamer is benieuwd hoe het college tegen de bovenstaande aantekeningen aankijkt. Zeker, er zijn in de voorbije jaren stappen gezet. Daarnaast zijn er in Diemen geen grote incidenten met betrekking tot de veiligheid van informatie geweest. Tegelijk kan niet ongezegd blijven dat rond de brede informatiebeveiliging al jaren wordt gewerkt op basis van kaderstukken waarvan de inhoud op centrale punten afwijkt van de praktijk. Los van wat er feitelijk, rond welke informatie ook, kan gebeuren: deze vaststelling vormt een fors bestuurlijk risico. 26. Dit memorandum wordt eind 2025 besproken in de raad. In de periode tussen eind juli 2025 (oplevering van een versie voor wederhoor) en die behandeling neemt het college zonder twijfel in die zin de handschoen op, dat bij de bespreking in de raad kan worden gemeld dat stevige verdergaande acties zijn ondernomen. Intussen kan (ook) de derde kwartaalbrief worden benut. 27. De rekenkamer stelt vast dat de noodzaak van ‘doorpakken’ recent ook binnen Duo+ is vastgesteld. Het afdelingshoofd Staf dringt richting 2026 aan op een uitbreiding van de formatie voor de uitvoering van CISO-ISO en AVG-privacy-taken. 28. Deels los van het vraagstuk capaciteit: afgaande op de strekking van de aantekeningen in dit memorandum ligt het voor de hand dat vooral en concreet is en wordt gewerkt aan de organisatie van het informatiebeveiligingsbeleid.

In de kern moet het volgende worden bepaald, afgestemd, gecommuniceerd en/of gedaan: * * * *

Wie stuurt nu precies wie aan? Wie is concreet, feitelijk en afdwingbaar waarvoor verantwoordelijk? Wie bewaakt populair gezegd ‘de integraliteit’? Wie dwingt af dat het vorm te geven ISMS werkelijk een kwaliteitssysteem is (uiteraard inclusief periodieke toetsing op de werking van procedures, instructies en richtlijnen, en ook inclusief de gerichte opvolging van vastgestelde afwijkingen)? * Wie regelt dat dat ISMS binnen enkele maanden in een eerste versie beschikbaar is? * Wie rapporteert periodiek in welke vorm en via welke lijn aan het college?

29. Mogelijk is het verstandig om de scope van de externe ENSIA-IT-audit over 2025 te verbreden tot buiten de verplichte domeinen. Gegeven diverse waarnemingen sluit de rekenkamer niet uit dat een externe toetsing op de (breder) uitgevoerde zelfevaluatie leidt tot aantekeningen waarmee het college het niveau van informatiebeveiliging gericht verdergaand kan verhogen. 30. De VNG geeft het idee in overweging van het instellen van een (tijdelijke) raadscommissie ‘digitale veiligheid’. In Diemen zou kunnen worden gedacht aan een commissie die zich richt op de informatiebeveiliging in bredere zin.

Rekenkamer Diemen Informatiebeveiliging 20 oktober 2025 Blad 7 van totaal 7

** Conform het onderzoeksprogramma 2025 ging de rekenkamer bij dit onderzoek op pad met twee vragen. Die vragen laten zich als volgt beantwoorden: Voldoet Diemen, mede via Duo+, aan alle eisen die aan de beveiliging van informatie (moeten) worden gesteld? De rekenkamer is niet gestuit op evidente grote lacunes. Tegelijk is er te veel onaf, onzeker en/of onbekend om op deze vraag het antwoord ‘ja’ te geven. Kan of moet Diemen zich op specifieke elementen nog beter organiseren? Ja, nadrukkelijk dat – dus organiseren – moet snel nader gebeuren.

**

Rekenkamer Diemen Informatiebeveiliging 20 oktober 2025 Bijlagen

Bijlage 1

Bestuurlijke reactie

Gemeente Diemen Aan de Rekenkamercommissie Diemen

Diemen, 14 oktober 2025 Ons kenmerk: 2025-092708 Onderwerp: Bestuurlijke reactie op het onderzoek informatiebeveiliging

Geachte heer Hordijk, Bestuurlijke reactie

Het college van burgemeester en wethouders dankt de Rekenkamer Diemen voor het uitgevoerde onderzoek en het memorandum over de stand van zaken van de informatiebeveiliging binnen de gemeente Diemen, mede uitgevoerd door de uitvoeringsorganisatie Duo+. Informatiebeveiliging is een essentieel onderdeel van de continuïteit, integriteit en betrouwbaarheid van onze gemeentelijke dienstverlening. Het rapport bevestigt dat wij de juiste koers hebben ingezet, maar dat verdere versterking en borging noodzakelijk blijven. De rekenkamer heeft twee onderzoeksvragen gesteld. Op de eerste onderzoeksvraag “Voldoet Diemen, mede via Duo+, aan alle eisen die aan de beveiliging van informatie (moeten) worden gesteld?” constateert de rekenkamer dat zij niet gestuit is op evidente grote lacunes. Tegelijk stelt de rekenkamer dat er te veel onaf, onzeker en/of onbekend is. Dat is gebaseerd op de diverse bevindingen van de rekenkamer die in het rapport zijn opgenomen. De gemeente opereert binnen het wettelijk kader van onder meer de AVG en UAVG, de Wet open overheid (Woo), de Archiefwet, de Wet digitale overheid, de Baseline Informatiebeveiliging Overheid (BIO) en de Europese NIS2-richtlijn. De meeste opmerkingen van de rekenkamer gaan over informatieveiligheid.

De gemeente heeft een vastgesteld en geactualiseerd informatieveiligheidsbeleid en er wordt gewerkt met een CISO en FG (ondergebracht bij Duo+) met duidelijke taken en mandaten. De BIO biedt ruimte voor een risicogestuurde aanpak via het principe ‘pas toe of leg uit’. Diemen past deze aanpak toe en beschikt over een actuele risicoanalyse, een incident- en privacy-managementproces, een jaarlijkse ENSIA-verantwoording met een positieve auditverklaring en een risicoregister. Dit is in lijn met de wettelijke normen voor informatieveiligheid. In de derde kwartaalbrief is de gemeenteraad ook

geïnformeerd over de ENSIA-verantwoording en het resultaat van de audit 2024. Ook is de gemeenteraad op 28 augustus 2025 bijgepraat over de meest recente ontwikkelingen. Het gemeentelijk beleid is grotendeels geïmplementeerd, maar nog niet volledig operationeel. De ingezette verbeteracties zorgen ervoor dat binnen twee jaar de volledige beleidsdoelstellingen worden bereikt. Het gemeentelijke beleid – het Informatieveiligheidsbeleid Duo-organisaties 2025– 2027 en het Tactisch Informatiebeveiligingsbeleid Duo+ 2020–2023 – is gebaseerd op de normen van de BIO. De rekenkamer constateert terecht dat de uitvoering en borging nog niet op alle onderdelen volledig zijn. Een deel van het beleid wordt geïmplementeerd, zoals de verdere uitwerking van het ISMS, het privacybeleid en de harmonisatie van de fysieke toegangsbeveiliging van onze gebouwen. Vervolg Belangrijke verbeteracties zijn al in gang gezet, waaronder een actieplan privacy en AVG 2025–2026, de voorbereiding van een ISMS-implementatie, uitbreiding van capaciteit voor CISO- en privacytaken, periodieke rapportages en de verkenning van een bredere ENSIA-audit-scope. Het college committeert zich aan versterkte uitvoering van het informatiebeveiligingsbeleid en zal de gemeenteraad periodiek informeren.

De concrete stappen zijn onder andere: - Implementatie van het ISMS in 2026; - Uitbreiding van de personele capaciteit voor privacy-en informatiebeveiliging; - Verdere actualisatie van beleidsdocumenten en procedures, zodat beleid en praktijk beter op elkaar aansluiten. Tot slot Het college waardeert de kritische analyse van de rekenkamer. Tegelijkertijd merken wij op dat het rapport ons inziens soms een strenger beeld schetst dan de feitelijke situatie rechtvaardigt, omdat niet alle lopende verbetertrajecten duidelijk zijn benoemd en binnen het normenkader we de maatregelen gefaseerd mogen nemen, mits dit aantoonbaar en planmatig gebeurt. De ambtelijke en bestuurlijke organisatie heeft inmiddels verdere stappen gezet, onder meer op het gebied van privacy en de voorbereiding van het ISMS. Daarnaast wijzen wij erop dat wij veel breder inzetten op versterking van informatieveiligheid, bijvoorbeeld door acties op het gebied van bewustwording en betere voorbereidingen en trainingen voor crisisbeheersing bij grootschalige incidenten. De opmerkingen uit het rapport worden benut om het verbeterprogramma verder aan te scherpen. Wij onderschrijven dat informatiebeveiliging een doorlopend proces is dat blijvende bestuurlijke aandacht vraagt.

Informatiebeveiliging is een continu proces van verbeteren, verantwoorden en bewust handelen. Het college blijft zich hiervoor volledig inzetten en zal de gemeenteraad informeren over de voortgang. Hoogachtend, Namens het college van burgemeester en wethouders van de gemeente Diemen,

G.T. Wildeman

E. Boog

gemeentesecretaris

burgemeester

Rekenkamer Diemen Informatiebeveiliging 20 oktober 2025 Bijlagen

Bijlage 2

Nawoord rekenkamer

De rekenkamer dankt het college voor de bestuurlijke reactie. De rekenkamer stelt vast dat het college de strekking van het memorandum onderschrijft, en meteen werk heeft gemaakt van het doorvoeren van (verdergaande) aanpassingen. Dat is goed en relevant, en zal zonder twijfel maken dat al tijdens de behandeling van het memorandum in de raad kan worden verwezen naar concrete en zichtbare inhoudelijke en organisatorische verbeteringen. Een ‘streng beeld’ of niet: de rekenkamer heeft zich onverkort gebaseerd op de diverse gevraagde en ontvangen documentatie, leidend tot een feitelijke analyse van de ‘situatie-medio-2025’. Niets meer, tegelijk niets minder, en precies zoals bij de start van het onderzoek is aangegeven en toegelicht. Raad, college, ambtelijke organisatie (inclusief Duo+) en rekenkamer willen allemaal hetzelfde: een gemeente Diemen waarbinnen de informatiebeveiliging in alle opzichten aantoonbaar op niveau is, en ook blijft. De rekenkamer hoopt eind 2026 of begin 2027 in een klein opvolgingsonderzoek vast te stellen dat die ambitie is verwezenlijkt.

**

Rekenkamer Diemen Informatiebeveiliging 20 oktober 2025 Bijlagen

Bijlage 3

Organisatie rekenkamer

De gemeente Diemen vult de wettelijk verplichte rekenkamer in volgens het zogenoemde directeursmodel. Voor de jaren 2024 tot en met 2029 is een overeenkomst gesloten met advies- en onderzoeksbureau Hordijk & Hordijk B.V. uit Culemborg, van waaruit Frank Hordijk en Peter van Loon voor Diemen werkzaam zijn als respectievelijk directeur en plaatsvervangend directeur van de rekenkamer. Hordijk en Van Loon zijn in die posities door de raad benoemd op 30 november 2023, en hebben in de raadsvergadering van 25 januari 2024 de ambtsbelofte afgelegd. De gemeente Diemen ontvangt jaarlijks declaraties van Hordijk & Hordijk B.V. die optellen tot het budget dat voor de rekenkamer beschikbaar is: € 30.000 (exclusief omzetbelasting). De rekenkamer opereert geheel onafhankelijk. Naast de desbetreffende bepalingen in de Gemeentewet vormt de Verordening gemeentelijke rekenkamer Diemen 2024, die door de raad is vastgesteld op 28 september 2023, het kader voor de manier waarop de rekenkamer werkt (selectie van onderwerpen, uitvoering werkzaamheden, terugkoppeling bevindingen, communicatie met de raad). De rekenkamer wordt rond diverse formele en praktische zaken ondersteund door de griffie.

**