Gemeente-Dordrecht-Managementletter-2022.pdf
Tekst van het document
proces is toereikend, maar één of meerdere beheersmaatregelen bestaan in de praktijk niet
ONTWIKKELINGEN
PROCESSEN
IT-BEHEER
proces is adequaat/beheersmaatregelen bestaan
INTERNE CONTROLE
SERVICEGEMEENTE
26
4. Bevindingen IT-beheer
4.1 Actuele IT-ontwikkelingen en onze natuurlijke adviesrol 4.2 Informatiebeveiliging & cybersecurity 4.3 IT-beheer
4.1 Actuele IT- ontwikkelingen en onze natuurlijke adviesrol
Informatiebeveiliging bij de gemeente Dordrecht
27
Ontwikkelingen rondom Informatiebeveiliging In deze informatie-gedreven samenleving verwerken overheidsorganisaties grote hoeveelheden digitale informatie. Dit biedt enorm veel voordelen en kansen. Tegelijk kan het voor uw organisatie ook de nodige risico’s opleveren die kunnen leiden tot vervelende en impactvolle incidenten. Zicht en grip op de risico’s rondom informatie vereisen zicht en grip op de informatie zelf en de toegang daartoe. Recentelijk is het rekenkameronderzoek gepubliceerd rondom de hack bij gemeente Hof van Twente. In dit rapport wordt ook een aantal aansporingen beschreven die wij u graag doorgeven, inclusief de concrete doorvertaling voor Dordrecht, namelijk:
Aansporingen Raad bij Informatiebeveiliging naar aanleiding van rekenkameronderzoek bij Hof van Twente
1. Neem als raad het initiatief om met het college het gesprek aan te gaan over cultuur. Ga daarna als raad met de ambtelijke organisatie het gesprek aan over de gewenste cultuur voeren, neem als raad het college mee en houdt als raad zelf de regie op dit proces. Neem daarbij als raad ook jezelf onder de loep. In hoeverre ben je als raad zelf in staat om dit onderwerp op de bestuurlijke agenda te houden? 2. Verzoek als raad het college om gezamenlijk één keer per jaar met een andere gemeente (of meerdere) uit de regio in gesprek te gaan en laat je informeren over hoe zij de informatiebeveiliging hebben georganiseerd. Laat de andere gemeente ook bij jou kijken, om ideeën en good practices uit te wisselen. Binnen de Drechtsteden vindt dit vanzelfsprekend als plaats, de dialoog tussen raad en college bevelen wij aan. 3. Verzoek als raad het college de mogelijkheden te onderzoeken om samen te werken op functies (FG en CISO) met buurgemeenten, concreet voor de Drechtsteden betekent dit dus buiten de regio, gezien de samenwerking. En onderzoek de mogelijkheden om op systeembeheer samen te werken, bijvoorbeeld met een gemeente die gastheer wil zijn of via een shared servicecentrum. Regel daarbij de governance adequaat in. Deze beide punten zijn reeds ingeregeld bij gemeente Dordrecht.
Naast deze aansporingen uit het rekenkameronderzoek is er nog een aantal overige aanbevelingen en te onderzoeken zaken in dit rapport opgenomen waarvan wij u adviseren kennis te nemen. Op de volgende pagina gaan wij in op datgene wat Dordrecht op dit moment verricht in het kader van informatiebeveiliging.
DASHBOARD
ONTWIKKELINGEN
PROCESSEN
IT-BEHEER
INTERNE CONTROLE
SERVICEGEMEENTE
4.2 Informatiebeveiliging & cybersecurity Informatiebeveiliging & bedreigingslandschap
28
Informatiebeveiliging Afgelopen jaren is er meer aandacht voor cybersecurity risico’s ontstaan, mede door verhoogde (media)aandacht voor cybersecurity incidenten. Deze toegenomen aandacht voor cybersecurity risico’s leeft bij zowel management, toezichthouders als ook het maatschappelijk verkeer. Organisaties zijn in sterke en toenemende mate afhankelijk van de continuïteit van IT-systemen. Zelfs zodanig dat bij het uitvallen van de IT-systemen de bedrijfscontinuïteit geraakt kan worden. Dit kan daarmee een continuïteitsrisico in het kader van de jaarrekening met zich meebrengen. Ook kan een cybersecurity incident leiden tot de toegang van gevoelige gegevens waardoor er niet voldaan wordt aan de privacywetgeving (AVG).
Gem. Dordrecht in-control
Overlap
Een cybersecurityincident, een incident als gevolg van activiteiten/ calamiteiten in het cyberdomein (digitale domein) kan resulteren in: Verstoringen in bedrijfsvoering (en daarmee eventueel continuïteit); Datalekken door ongeautoriseerde toegang tot gegevens; Fraude (beïnvloeding/manipulatie van gegevens); Aanzienlijke reputatieschade; en Diefstal. Inzicht en continue evaluatie van de (cyber)risico’s en adequate beheersingsmaatregelen zijn van belang
Dordrecht is al flink aan de slag, nog verdere stappen te zetten
Als gevolg van de snelheid waarmee het digitale (cyber)domein zich ontwikkelt is het zeer belangrijk om continu en grondig te evalueren of de cyberrisico’s nog passend (juist en volledig) worden geadresseerd door veranderingen in dreigingen of kwetsbaarheden te identificeren en effectiviteit van getroffen maatregelen periodiek te toetsen. Inzicht en continue evaluatie van de (cyber)risico’s en adequate beheersingsmaatregelen op het gebied van informatiebeveiliging en cybersecurity zijn nodig om voorbereid te zijn op hack- en phishingaanvallen en andere cybersecurity risico’s. Dordrecht (SGD) heeft een CISO aangesteld. De regionale CISO heeft voor het eerst over het vierde kwartaal 2022 een rapport uitgebracht over informatieveiligheid in de Drechtsteden. Deze rapportage is vertrouwelijk onder de klantorganisaties verspreid, om welke reden wij in deze managementletter geen inhoudelijke zaken daaruit overnemen. Deze rapportage gaat zowel op inhoudelijke risico’s, beschikbare financiële buffers t.b.v. investeringen en de mate waarin de organisaties klaar zijn voor mogelijke cyber-incidenten in. Daarnaast geeft deze inzicht in de status van de verschillende interventies die zijn geïdentificeerd. Vanuit deze rapportage krijgen wij een positieve indruk van de wijze waarop met cyber-gerelateerde risico’s wordt omgegaan.
Voor applicaties in eigen beheer dient de gemeente zelf te onderzoeken of er mogelijke risico’s zijn. Wij raden aan t.b.v. goede monitoring ook deadlines te koppelen aan geformuleerde acties en de monitoring hierop per kwartaal te rapporteren. Verder kan er meer inzicht gegeven worden in de benodigde investering en is het goed te laten blijken dat continue aandacht is voor mogelijk niet onderkende risico’s. Daarnaast benadrukken wij de noodzaak om ook de informatieveiligheid (en bredere IT-beheersing) van de applicaties, relevant voor de jaarrekeningcontrole, op orde te krijgen. Wij adviseren om de bovenstaande punten mee te nemen bij de verdere implementatie van IT-pakket. Een incident kan zowel van extern als intern komen. Daarom is een goede interne IT-beheersing eveneens van cruciaal belang. Na de implementatie, vroeg in het jaar 2023, kunnen wij een nulmeting uitvoeren om onze adviespunten rondom IT tijdig met jullie te kunnen delen. Het opstellen van een responsplan is ook een belangrijk aandachtspunt dat intern reeds is onderkend en waar actie op is gezet.
DASHBOARD
ONTWIKKELINGEN
PROCESSEN
IT-BEHEER
INTERNE CONTROLE
SERVICEGEMEENTE
4.3 IT-beheer Wij beoordelen de betrouwbaarheid en continuïteit IT voor zover relevant voor de controle van de jaarrekening bij Servicegemeente Dordrecht
Regionale managementletter SGD nog niet verstrekt aan de klantorganisaties.
29
IT-werkzaamheden en onze controlerende rol Ingevolge artikel 2:393, lid 4 BW, dient de accountant in zijn verslag aandacht te besteden aan de bevindingen die naar voren zijn gekomen uit de beoordeling van de automatiseringsomgeving wat betreft de betrouwbaarheid en continuïteit van de geautomatiseerde gegevensverwerking. Wij benadrukken dat onze jaarrekeningcontrole gericht is op het geven van een oordeel omtrent de jaarrekening zelf en zich niet primair richt op het doen van uitspraken omtrent de betrouwbaarheid en continuïteit van de geautomatiseerde gegevensverwerking als geheel of van onderdelen daarvan. De IT-auditwerkzaamheden zijn geïntegreerd in de controleaanpak van de jaarrekening. Het inzicht in de betrouwbare werking van ICT-systemen en applicaties en het gebruik daarvan door de organisatie, vormen een onderdeel van de kwaliteit van de interne beheersing en de administratieve organisatie. Algemene IT-beheersmaatregelen rond uw kritieke systemen leveren daarnaast een belangrijke bijdrage aan het mitigeren van de risico’s op onbeheerste wijzigingen, ongeautoriseerde handelingen en het optreden van verstoringen met impact op de gegevensverwerking. De relevante applicaties binnen uw organisatie worden beheerd en onderhouden door Servicegemeente Dordrecht (SGD). De IT audit wordt dan ook bij gemeente Dordrecht uitgevoerd.
U krijgt inzicht in de bevindingen hierbij via een regionale managementletter die wij ten behoeve van de gemeente Dordrecht hebben opgesteld. De regionale managementletter is nog niet aan de klantorganisatie verzonden. De regionale managementletter dient als verantwoordingsinformatie op korte termijn met de klantorganisaties gedeeld te worden voor uitvoering van de jaarrekeningcontrole van deze klantorganisaties. Onze bevindingen met betrekking tot de Servicegemeente zijn opgenomen in hoofdstuk 6 van deze managementletter en worden ook in de vorm van een regionale managementletter verspreid in de regio, zo is afgesproken met de relevante gemeenten en gemeenschappelijke regelingen.
DASHBOARD
ONTWIKKELINGEN
PROCESSEN
IT-BEHEER
INTERNE CONTROLE
SERVICEGEMEENTE
30
5. Bevindingen interne controle
5.1 Verbijzonderde interne controle
5.1 Verbijzonderde interne controle
Uitvoering van VIC loopt nu weer op schema. Vooralsnog geen grote bevindingen die aandacht vragen.
Opstellen VIC-plan 2023 aandachtspunt.
Procesbevindingen: meer gegevensgerichte deelwaarnemingen nodig.
Afstemming controle (Europees) aanbesteden.
DASHBOARD
31
Uitvoering verbijzonderde interne controle Jaarlijks stellen wij de selecties samen die de verbijzonderde interne controle dan verzamelt voor ons. Controle vindt plaats door zowel de gemeente voor intern gebruik en rapportering inzake de uitgevoerde VIC en door het controleteam van BDO. Afwijkingen worden met de uitvoerder van de interne controle besproken. Gedurende het jaar vinden er enkele selectiemomenten plaats om de verbijzonderde interne controle te kunnen uitvoeren. Selecties zijn op tijd uitgezet. Tijdens de interim-controle hebben wij de eerste controle uitgevoerd op de aangeleverde documenten. De oplevering van deze geselecteerde posten was, met uitzondering van de VIC inkopen goederen en diensten & factuurafhandeling, tijdig en volledig. De opgelopen achterstand is inmiddels grotendeels ingelopen door betrokken medewerker. In de week van 9 januari hebben wij de tweede VIC-controle uitgevoerd. De laatste controle zal plaatsvinden eind februari 2023. Wij hebben vooralsnog geen grote afwijkingen aangetroffen die gerapporteerd moeten worden in deze managementletter. Wij hebben de VIC beoordeeld voor investeringen, mutaties grondexploitaties, subsidieverleningen, factuurafwikkeling en verhuur van vastgoed. In februari 2023 zullen wij de resterende items van deze processen controleren en afwikkelen (conform planning).
VIC-plan 2022 en verder Er is geen VIC-plan voor 2022 vastgesteld. Uitvoering van VIC vindt plaats op basis van het opgestelde VIC-plan 2020. Zoals al eerder gerapporteerd vragen wij aandacht voor het opstellen van het VIC-plan 2023 in het kader van de rechtmatigheidsverantwoording met daarin opgenomen: • Beoordeling van opzet en bestaan van de significante processen (op basis van procesbeschrijvingen) • Opzet van frauderisicoanalyse en vertaling naar VIC-plan • Opzet van de controles per proces en jaarrekeningpost (inclusief SiSa) en • Opzet van selecties en foutanalyse. Aandachtspunten VIC voor controle 2022 Uit onze beoordeling van de processen blijkt dat enkele gevallen de opzet van de processen onvoldoende is. Met name voor de factuurafhandeling is mogelijk sprake van een verhoogd risico: de besteller en de prestatieverklaarder kunnen dezelfde persoon zijn. Dit is een frauderisico waarvan de impact en omvang op de organisatie niet bekend is. Dit omdat thans (nog) niet bekend is in welke routes en/of afdelingen dit risico speelt. Wij adviseren de gemeente dit alsnog inzichtelijk te maken en te beoordelen of er sprake is van een verhoogd risico.
Indien dit een tijdrovend vraagstuk is dat met invoering van de rechtmatigheidsverantwoording en het opstellen van de jaarrekening 2022 begin 2023 niet op korte termijn inzichtelijk te maken is, dan kan ook gekozen worden om het aantal deelwaarnemingen die de verbijzonderde interne controle uitvoert ten aanzien van de factuurafhandeling te verhogen (meer deelwaarnemingen). Dit vergt zowel extra tijd van uw organisatie als van ons als accountant. Tevens adviseren wij u bij de uitvoering van de verbijzonderde interne controle per deelwaarneming vast te leggen wie de besteller, prestatieverklaarder en budgethouder is. Voor de uitvoering van de VIC op het vaststellen van de juistheid en volledigheid van de (Europese) aanbestedingen vindt op dit moment afstemming plaats met uw organisatie, gezien de overheverling vanuit de GR Drechtsteden complicerende factoren bij deze analyse met zich meebrengt. ONTWIKKELINGEN
PROCESSEN
IT-BEHEER
INTERNE CONTROLE
SERVICEGEMEENTE
32
6. Bevindingen Servicegemeente Dordrecht
6.1 Effectiviteit processen 6.2 Overzicht van bevindingen 6.3 Bevindingen IT General controls
6.1 Effectiviteit processen
33
PROCES Interne beheersorganisatie (AO/IB) in opzet voldoende tot goed, rekening houdend met de uitkomsten van de VIC en IT Werking niet altijd toetsbaar of op onderdelen nog ontoereikend ITGC’s zijn in ontwikkeling, maar nog niet sluitend VIC-werkzaamheden in veel gevallen adequaat ingeregeld
Voor wat betreft onze aanpak kunnen wij nog niet altijd steunen op de interne beheersing; onze aanpak is daarmee hoofdzakelijk gegevensgericht
OPZET & BESTAAN
IT
VIC
T.O.V. 2021
Memoriaalboekingen
*
Personeel
*
Factuurverwerking
*
Betalingen
Bedrijfsvoering
Onvoldoende
Verbeterpunten
Voldoende
Geen waarneming
Niet onderzocht
Aanvullende toelichting: * Als onderdeel van de interim-controle bij de SGD hebben de IT auditors de opzet en het bestaan van de algemene ITbeheersmaatregelen in Key2Financiën (K2F), Key2Belastingen (K2B), Suite4SociaalDomein (S4SD) – maatregelen continuïteit – en AFAS Profit beoordeeld. De bij dit proces opgenomen inschaling is in hoofdstuk 3 van deze regionale management letter nader uitgewerkt. Zie verder de uitwerking van de detailbevindingen in bijlage A. Samenvatting effectiviteit van de processen In het volgende overzicht geven wij weer in hoeverre de processen voldoen aan de normen (zie ook hoofdstuk 3 t.a.v. IT-beheer). Op basis van onze werkzaamheden komen tot de conclusie dat de beheersorganisatie van de SGD (voor zover relevant voor de controle van de jaarrekening) in opzet voldoende tot goed scoort. Omdat de AO/IB niet altijd goed is opgezet of goed werkt, kunnen wij voor wat betreft de insteek van onze controle nog niet altijd op de processen steunen. Er zijn in onze aanpak daarom aanvullende gegevensgerichte werkzaamheden noodzakelijk. Zie voor de details van onze bevindingen en aanbevelingen bijlage A.
DASHBOARD
ONTWIKKELINGEN
PROCESSEN
IT-BEHEER
INTERNE CONTROLE
SERVICEGEMEENTE
6.2 Overzicht van de bevindingen
34
OVERZICHT DETAILBEVINDINGEN
A5
hoog
A4 A7
IMPACT laag
A2
B1
Procedure autorisatiebeheer (AFAS Profit)
B2
Periodieke controle op juistheid ingerichte autorisaties (alle applicaties)
B3
Administrator- en Superuser-accounts (AFAS Profit)
B4
Wijzigingsbeheer (alle applicaties)
B5
Periodieke restore test (alle applicaties)
A3
A6
B4 RISICO
A4
B5
A5
hoog
A6
Hierboven zijn de bevindingen in een zogenaamde ‘heatmap’ opgenomen, gebaseerd op onze inschatting van de kans dat een risico zich voordoet en de impact van dat risico. Deze inschatting kan u helpen de opvolging te prioriteren. In de bijlagen hebben wij de bevindingen nader toegelicht waarbij wij ingaan op de bevinding, het risico voor de SGD en de klantorganisaties, mogelijke oplossingen ter adressering van de bevindingen en de eventuele gevolgen voor onze accountantscontrole. Voor de bevindingen die belangrijk zijn én een hoge impact hebben adviseren wij u deze zo spoedig mogelijk te adresseren.
DASHBOARD
B
Detailbevindingen processen De verbijzonderde interne controle (VIC) voert geen controle uit op mutaties crediteurenstamgegevens. Binnen het proces van verwerking salarismutaties wordt niet het 4-ogen principe afgedwongen. De bruto-netto controle over januari is voor alle klantorganisaties uitgevoerd, echter op jaarbasis vindt geen rondrekening sociale lasten plaats. Na de controle van de voorlopige betaalbatch kunnen bankrekeningnummers aangepast kunnen worden in het definitieve betaalvoorstel (wanneer het betaalbestand op de server opgeslagen is voordat het in de betaalapplicatie van de BNG geüpload wordt). Na het genereren van het html bestand vindt geen controle meer plaats. De P&O medewerkers van de SGD kunnen zelfstandig de bankrekeningnummers aanpassen van de medewerkers. Hierbij ziet het risico met name toe op ‘hit & run’. In AFAS moeten enkele variabele vergoedingen handmatig worden toegevoegd aan de loonstrook/salarisbetaling door een P&O medewerker o.b.v. onderliggende documentatie (kostendeclaratie, jubileumformulier, verrekening verlofsaldo bij uitdiensttreding, etc.). Alle parameters (CAR/UWO, pensioen, etc.) zijn vaste bedragen/percentages o.b.v. de salarisschalen, met uitzondering van de Whk-premie en worden gevoed door AFAS. Er vindt geen integrale toetst op de paramaters plaats. Detailbevindingen IT-beheer
A1
B2
A1
laag
A
A2
B1
A3
B3
ONTWIKKELINGEN
PROCESSEN
A7
IT-BEHEER
INTERNE CONTROLE
SERVICEGEMEENTE
6.3 IT-beheer
Wij beoordelen de betrouwbaarheid en continuïteit IT voor zover relevant voor de controle van de jaarrekening
35
IT-werkzaamheden en onze controlerende rol Ingevolge artikel 2:393, lid 4 BW, dient de accountant in zijn verslag aandacht te besteden aan de bevindingen die naar voren zijn gekomen uit de beoordeling van de automatiseringsomgeving wat betreft de betrouwbaarheid en continuïteit van de geautomatiseerde gegevensverwerking. Wij benadrukken dat onze controlewerkzaamheden gericht zijn op het geven van een oordeel omtrent de jaarrekening zelf en zich niet primair richt op het doen van uitspraken omtrent de betrouwbaarheid en continuïteit van de geautomatiseerde gegevensverwerking als geheel of van onderdelen daarvan. De IT-auditwerkzaamheden zijn geïntegreerd in de controleaanpak van de jaarrekening. Het inzicht in de betrouwbare werking van ICT-systemen en applicaties en het gebruik daarvan door de organisatie, vormen een onderdeel van de kwaliteit van de interne beheersing en de administratieve organisatie. Algemene IT-beheersmaatregelen rond uw kritieke systemen leveren daarnaast een belangrijke bijdrage aan het mitigeren van de risico’s op onbeheerste wijzigingen, ongeautoriseerde handelingen en het optreden van verstoringen met impact op de gegevensverwerking.
Beoordeelde systemen: Key2Financiën Key2Belastingen Suite4SociaalDomein AFAS Profit
De bevindingen zoals gerapporteerd in deze management letter zijn gericht geweest op het beoordelen van de opzet en het vaststellen van het bestaan van algemene IT-beheersmaatregelen. Wij hebben in samenwerking met onze IT-auditors een aantal van deze maatregelen beoordeeld voor Key2Financiën, Key2Belastingen, Suite4SociaalDomein – maatregelen continuïteit – en AFAS Profit. Dit om de impact van de risico’s van onbeheerste wijzigingen, ongeautoriseerde handelingen en verstoringen te kunnen vaststellen voor die systemen die gekoppeld zijn aan de voor ons relevantie processen en posten (zie hoofdstuk 2). In dit hoofdstuk geven wij een samenvatting van onze bevindingen voor de genoemde applicaties. De detailbevindingen voor deze systemen zijn afgestemd met de betrokkenen. Op het moment dat de intern getroffen algemene IT-beheersmaatregelen rondom de applicaties in scope niet (bewijsbaar) voldoende aanwezig zijn, zijn in het kader van de controle van de jaarrekening 2022 aanvullende (gegevensgerichte) werkzaamheden noodzakelijk om aan te tonen dat er zich geen risico’s of fouten hebben voorgedaan. Wij vervolgen het hoofdstuk van IT beheersing met onze detailbevindingen per beoordeelde applicatie, waarna wij bespiegelen op de transitie naar servicegemeente Dordrecht.
Daarna vervolgen wij met de benchmark waarin wij onze kennis en inzichten die wij hebben opgedaan bij de uitvoering van IT audits bij andere klanten binnen de lokale overheidssector afzetten tegen onze bevindingen binnen uw organisatie.
DASHBOARD
ONTWIKKELINGEN
PROCESSEN
IT-BEHEER
INTERNE CONTROLE
SERVICEGEMEENTE
6.3 Bevindingen IT-beheer | Key2Financiën (K2F) PROCES
36
2021
2022
KORTE OMSCHRIJVING BEVINDINGEN
1. Procedure autorisatiebeheer
Vastgesteld dat de aanvraag gedocumenteerd door een bevoegde wordt gedaan en dat de toekenning van rechten gebeurt conform de aanvraag in lijn met de beoogde functiescheiding. Akkoord.
2. Periodieke controle op juistheid ingerichte autorisaties
Ten tijde van de interim-controle is er (nog) geen periodieke review uitgevoerd op de juistheid van autorisaties in de applicatie. Deze is gestart in november. Tijdige controle is een verbeterpunt.
3. Identificatie van gebruikers voor toegang tot systemen en data
Generieke accounts zijn verklaarbaar vanuit functie, derhalve akkoord.
4. Authenticatie
De wachtwoordeisen in K2F voldoen aan de minimale te stellen eisen.
5. Administrator- en Superuser-accounts
In K2F is één eindgebruiker aanwezig die beschikt over superuser-rechten en onderdeel is van de financiële afdeling. Betreft echter geen FA medewerker en/of medewerker debiteuren/crediteuren.
Logische toegangsbeveiliging
Logische toegangsbeveiliging K2F (criteria 1-5) nog deels ontoereikend
Change management (criteria 6-7) nog deels ontoereikend
Continuïteit (criteria 8-10) nog deels ontoereikend
Change management 6.
Wijzigingsbeheer
Generieke procedure die eenmalig is getest. Zie tabblad bevindingen K2B.
7.
Gescheiden IT-omgevingen
Er is een acceptatieomgeving logisch gescheiden van de testomgeving aanwezig, derhalve akkoord.
Continuïteit 8.
Fysieke toegangscontrole
Fysieke toegangsbeheermaatregelen zijn belegd bij partij Dataplace, hiervoor is een ISO27001 certificaat beschikbaar gemaakt die het risico afdekt.
9.
Back-up maatregelen
Er zijn back-up en monitoring maatregelen ingesteld in lijn met het maximaal toelaatbaar gegevensverlies
Er wordt geen uitwijktest uitgevoerd, waardoor niet getest is of de productie-data binnen eisen omtrent maximale data-verlies en maximale hersteltijd teruggezet kan worden in geval van een calamiteit.
10. Restore-test
Onvoldoende
DASHBOARD
Verbeterpunten
ONTWIKKELINGEN
Voldoende
PROCESSEN
Geen waarneming
Niet onderzocht
IT-BEHEER
INTERNE CONTROLE
SERVICEGEMEENTE
6.3 Bevindingen IT-beheer | Key2Belastingen (K2B)
PROCES
Logische toegangsbeveiliging K2B (criteria 1-5) nog deels ontoereikend
Change management (criteria 6-7) nog deels ontoereikend.
Continuïteit (criteria 8-10) nog deels ontoereikend
2021
2022
KORTE OMSCHRIJVING BEVINDINGEN
1. Procedure autorisatiebeheer
Generieke procedure die eenmalig is getest. Zie tabblad K2F.
2. Periodieke controle op juistheid ingerichte autorisaties
Ten tijde van de interim-controle is er (nog) geen periodieke review uitgevoerd op de juistheid van autorisaties in de applicatie. Deze is gestart in november. Tijdige controle is een verbeterpunt.
3. Identificatie van gebruikers voor toegang tot systemen en data
Binnen K2B zijn 4 generieke accounts verklaarbaar t.b.v. klantcontact. Daarbij is hier gedurende het boekjaar niet op ingelogd. Derhalve akkoord.
4. Authenticatie
De wachtwoordeisen in K2B voldoen aan de minimale te stellen eisen.
5. Administrator- en Superuser-accounts
In K2B zijn alleen gebruikers met beheerrechten actief welke formeel werkzaam zijn vanuit de IT-organisatie. Derhalve akkoord.
Logische toegangsbeveiliging
Change management
6.
Wijzigingsbeheer
Voor één willekeurige wijziging van K2B hebben wij kunnen vaststellen dat de betreffende wijzing op basis van een test script is uitgevoerd en vastgelegd. Echter hebben wij niet kunnen vastgesteld dat een formele goedkeuring voor inproductiename is vastgelegd.
7.
Gescheiden IT-omgevingen
Er is een acceptatieomgeving logisch gescheiden van de testomgeving aanwezig.
Continuïteit 8.
Fysieke toegangscontrole
Fysieke toegangsbeheermaatregelen zijn belegd bij partij Dataplace, hiervoor is een ISO27001 certificaat beschikbaar gemaakt die het risico afdekt.
9.
Back-up maatregelen
Er zijn back-up en monitoring maatregelen ingesteld in lijn met het maximaal toelaatbaar gegevensverlies
Er wordt geen uitwijktest uitgevoerd, waardoor niet getest is of de productie-data binnen eisen omtrent maximale data-verlies en maximale hersteltijd teruggezet kan worden in geval van een calamiteit.
10. Restore-test
Onvoldoende
DASHBOARD
37
Verbeterpunten
ONTWIKKELINGEN
Voldoende
PROCESSEN
Geen waarneming
Niet onderzocht
IT-BEHEER
INTERNE CONTROLE
SERVICEGEMEENTE
6.3 Bevindingen IT-beheer | Suite4SociaalDomein
PROCES
Continuïteit (criteria 8-10) nog deels ontoereikend De overige maatregelen van deze applicatie vallen niet onder de verantwoordelijkheid van SGD.
38
2021
2022
KORTE OMSCHRIJVING BEVINDINGEN
1. Fysieke toegangscontrole
Fysieke toegangsbeheermaatregelen zijn belegd bij partij Dataplace, hiervoor is een ISO27001 certificaat beschikbaar gemaakt die het risico afdekt.
2. Back-up maatregelen
Er zijn back-up en monitoring maatregelen ingesteld in lijn met het maximaal toelaatbaar gegevensverlies
3. Restore-test
Er wordt geen uitwijktest uitgevoerd, waardoor niet getest is of de productie-data binnen eisen omtrent maximale data-verlies en maximale hersteltijd teruggezet kan worden in geval van een calamiteit.
Continuïteit
Als gevolg van de ontvlechting van de GRD is de SGD met ingang van verslagjaar 2022 (zelfstandig) verantwoordelijk voor de maatregelen continuïteit binnen Suite4SociaalDomein (S4SD). Logische toegangsbeveiliging en changemanagement vallen onder de verantwoordelijkheid van de GRS.
Onvoldoende
DASHBOARD
Verbeterpunten
ONTWIKKELINGEN
Voldoende
PROCESSEN
Geen waarneming
Niet onderzocht
IT-BEHEER
INTERNE CONTROLE
SERVICEGEMEENTE
6.3 Bevindingen IT-beheer | AFAS Profit PROCES
2021
39
2022
KORTE OMSCHRIJVING BEVINDINGEN
Logische toegangsbeveiliging
Logische toegangsbeveiliging AFAS Profit (criteria 1-5) nog deels ontoereikend;
Change management (criteria 6-7) nog deels ontoereikend
Continuïteit (criteria 8-10) nog deels ontoereikend
1. Procedure autorisatiebeheer
Toekenning rechten: Voor AFAS is geen autorisatiematrix opgesteld waarin de rollen per functionaris worden weergegeven. Conform K2F worden autorisaties voor AFAS gedocumenteerd aangevraagd of goedgekeurd door een bevoegde. Een autorisatiematrix zal naar verwachting in Q1 2023 gereed zijn. Een autorisatiematrix voor P-Beheer op functieniveau is reeds beschikbaar.
2. Periodieke controle op juistheid ingerichte autorisaties
Er is in boekjaar 2022 voor applicatie AFAS geen periodieke review op de juistheid van autorisaties en actualiteit van gebruikers vastgelegd. Het voornemen is voor eind 2023 deze periodieke controle te ontwikkelen en te borgen.
3. Identificatie van gebruikers voor toegang tot systemen en data
Generieke accounts zijn verklaarbaar vanuit functie, derhalve akkoord.
4. Authenticatie
De wachtwoordeisen in AFAS voldoen aan de minimale te stellen eisen, derhalve akkoord.
5. Administrator- en Superuser-accounts
In AFAS zijn 3 eindgebruikers aanwezig die beschikken over superuser-rechten welke eveneens onderdeel zijn van de salarisadministratie. Zie aanvullende toelichting in bijlage B.
Change management
6.
Wijzigingsbeheer
*
Het wijzigingsbeheer is deels uitbesteed aan de externe partij AFAS Software. Testen en opvolging wordt door de gebruiksorganisatie vastgelegd. Wie getest heeft en of deze persoon akkoord is met opvolging wordt niet structureel vastgelegd.
7.
Gescheiden IT-omgevingen
De software wordt ontwikkeld in een ontwikkelomgeving bij de leveranciers, waardoor er functiescheiding tussen de ontwikkelaar en in-productienemer (SGD) aanwezig is.
Continuïteit 8.
Fysieke toegangscontrole
*
*
Fysieke toegangsbeveiliging is door de leverancier uitbesteed bij partij LeaseWeb. Hier wordt geen inzicht in verkregen middels de beschikbare assurance verklaring.
9.
Back-up maatregelen
*
*
De leverancier heeft back-ups ingericht in lijn met het maximaal toelaatbaar gegevensverlies en monitort op juist verloop.
*
*
De leverancier test de restore functionaliteit in zijn algemeen voor AFAS databases.
10. Restore-test Onvoldoende
DASHBOARD
Verbeterpunten
ONTWIKKELINGEN
Voldoende
PROCESSEN
Geen waarneming
Niet onderzocht
IT-BEHEER
* Indien ISAE3402 over 2022 gelijke bevindingen geeft als voorgaand boekjaar
INTERNE CONTROLE
SERVICEGEMEENTE
6.3 IT-benchmark
Overall scoort de ITorganisatie beter de onze benchmark van andere overheidsorganisaties, wel enige aandachtspunten.
40
Uitleg benchmark Op basis van onze kennis en inzichten hebben wij een benchmark ontwikkeld. Deze benchmark geeft inzicht in de IT-auditresultaten van uw organisatie afgezet tegen het gemiddelde van vijftig van onze klanten binnen de overheidssector. Bovendien laat deze benchmark zien hoe uw organisatie (inclusief de periode als GR Drechtsteden) zich heeft ontwikkeld op het gebied van IT-beheer over de periode vanaf 2019 tot en met 2022. Hierin is een score van 1 tot en met 5 per norm weergegeven, waarbij BDO een score van minimaal 4 toereikend acht. Onderstaand een korte impressie van onze interactieve benchmark. Graag presenteren wij u de aanvullende inzichten en gaan wij met u in gesprek over het vervolg.
DASHBOARD
ONTWIKKELINGEN
PROCESSEN
IT-BEHEER
INTERNE CONTROLE
SERVICEGEMEENTE
6.4 Transitie van GRD naar servicegemeente Dordrecht en GR Sociaal
41
Overgang van gemeenschappelijke regeling Drechtsteden naar servicegemeente Dordrecht en GR Sociaal Gemeenschappelijke Regeling Drechtsteden is per 1/1/2022 grotendeels overgegaan naar de servicegemeente Dordrecht. De aanpak is opgeknipt in twee delen: 1. De transitie: Het feitelijk overgaan naar servicegemeente Dordrecht. 2. De transformatie: Het integreren van beide organisaties en daarmee optimaliseren van bijvoorbeeld processen. Transitie van gemeenschappelijke regeling Drechtsteden naar servicegemeente Dordrecht en GR Sociaal
In het kader van de controle van boekjaar 2022 hebben wij een beknopt onderzoek uitgevoerd naar de transitie van de IT-systemen van GRD naar servicegemeente Dordrecht om de impact van de transitie op de IT-audit in het kader van de jaarrekeningcontrole vast te stellen. De uitkomsten van dit beknopte onderzoek lichten wij hieronder nader toe. Daarna gaan wij verder in op de transformatie die servicegemeente Dordrecht voor ogen heeft. Transitie – gericht op de applicaties relevant voor de jaarrekeningcontrole De transitie heeft voor het grootste deel ‘as-is’ plaatsgevonden; dat wil zeggen dat inhoudelijk weinig tot niets is veranderd, alleen dat de taken per 1/1/2022 onder servicegemeente Dordrecht worden uitgevoerd, in plaats van Gemeenschappelijke Regeling Drechtsteden. Wel zijn kleine nuances per applicatie aan te merken en zullen meegenomen worden in de controle. In verband met de beperkte aanpassingen zijn ook de plannen en vastleggingen hieromtrent pragmatisch ingestoken. Door de beperkte handelingen in verband met de ‘as-is’ transitie hebben wij voor Key2Financien, Key2Belastingen en Suites4SociaalDomein (voor zover servicegemeente Dordrecht de verantwoordelijkheid draagt) geen verhoogde risico’s geconstateerd. Belangrijkste aandachtspunt is de ontvlechting van het SCD, en de beheersing daaromtrent, specifiek gericht op AFAS.
Een risicoanalyse en impactanalyse van de ontvlechting is opgesteld en projectteamleden hebben in samenwerking met AFAS de migratie uitgevoerd. Echter hebben wij geen vergaande analyses vastgesteld die de juistheid en volledigheid van deze transitie waarborgen. Hier zullen wij in de detailwerkzaamheden extra aandacht aan besteden. Transitie – gericht op het programma ICT Beweegt In aanvulling op bovenstaande is het programma ICT Beweegt opgezet. Dit programma ziet toe op de ICT transitie in de volle breedte en kent twee speerpunten: 1. Het rekencentrum (hosting en housing) en het werkplekbeheer wordt uitbesteed aan KPN. Dit betreft het fundament van de ITomgeving en moet eerst stabiel zijn voordat men aan de slag gaat met verdere optimalisatie, dit ook in het belang van de continuïteit van de dienstverlening naar bijvoorbeeld burgers. De planvorming hieromtrent is onderhanden. 2. Servicegemeente Dordrecht zal voor wat betreft ICT meer een regieorganisatie worden dan een traditioneel all-round ICT leverancier. Deze regisserende rol past ook goed in het huidige speelveld tussen hosting, housing, cloud en SaaS aanbieders en gemeenten. Het programma ICT Beweegt schept de randvoorwaarden om deze regisserende rol in te kunnen vullen.
DASHBOARD
ONTWIKKELINGEN
PROCESSEN
IT-BEHEER
INTERNE CONTROLE
SERVICEGEMEENTE
6.4 Transitie van GRD naar servicegemeente Dordrecht en GR Sociaal
42
Transformatie van servicegemeente Dordrecht
Transformatie De transformatie zal volgens plan, plaatsvinden zodra de transitie is afgerond. Wij hebben nog geen formele plannen hieromtrent ontvangen.
Advies inzake de Transitie en Transformatie van servicegemeente Dordrecht
Advies inzake de Transitie en Transformatie Voor zowel de transitie alsook de transformatie hebben wij in beperkte mate formele planvorming geconstateerd. Daarom adviseren wij mede door de omvang en complexiteit van beide trajecten meer aandacht te schenken aan formalisatie en aantoonbaar project- en risicomanagement. Een hulpmiddel zou een Project/Programma Quality Assurance rol kunnen zijn. Door het inzetten van een dergelijke methodiek en rol, worden de volgende punten gemonitord om de programma- en projectdoelstellingen te behalen: 1. 2. 3. 4. 5. 6. 7.
Programma beleid: (o.a. samenwerking en afstemming derde partijen); Programmamanagement (o.a. bewaking scope, planning en budget); Verandermanagement (o.a. communicatie en verandervermogen); Prestatiemanagement (o.a. prestatie indicatoren en stimuleringsmaatregelen); Mens (o.a. gedrag en training); Proces (o.a. aansluiting processen en interne beheersing); en Technologie (o.a. koppelingen, toekomstig IT-beheer en conversie).
Graag gaan wij met u in gesprek over de invulling van een Project/Programma Quality Assurance rol binnen uw transitie en transformatie en wat voor effect dit heeft en/of kan hebben op de interne beheersing en continuïteit van de dienstverlening.
DASHBOARD
ONTWIKKELINGEN
PROCESSEN
IT-BEHEER
INTERNE CONTROLE
SERVICEGEMEENTE
43
bdo.nl