Besluit toetreding centrumgemeenteregeling ICT Hengelo

Advies/Besluit

college

Datum vergadering: 23 november 2021 Portefeuille(houder): Openbare orde en Veiligheid en Bestuur; burgemeester mr. drs. R.G. Welten Programma/Paragraaf: Paragraaf Verbonden partijen Onderwerp: Toetreding centrumgemeenteregeling samenwerking ICT Hengelo Samenvatting besluit Wij hebben besloten toe te treden tot de Centrumgemeenteregeling samenwerking ICT Hengelo onder voorbehoud dat onze gemeenteraad instemt met deze toetreding. Op 15 juni 2021 hebben wij, na een intensief onderzoeksproces met Hengelo, besloten de gehele bedrijfsvoering van Haaksbergen niet onder te brengen bij de gemeente Hengelo. Reden hiervoor is dat dit voor Haaksbergen financieel een stap te ver is. Wel is in afstemming met Hengelo besloten de samenwerking op de IT-infrastructuur vorm te geven. De voorbereidingen voor het aangaan van deze samenwerking zijn afgerond. Met dit besluit geven wij te kennen de samenwerking op de IT-infrastructuur vorm te geven ten einde de kwetsbaarheden in onze bedrijfsvoeringsorganisatie op het terrein van IT toekomstbestendig op te lossen.

Besluit: Preventief toezicht is niet van toepassing. 1. Toe te treden tot de Centrumgemeenteregeling samenwerking ICT Hengelo (bijgevoegd) onder voorbehoud van toestemming door de gemeenteraden van Hengelo, Oldenzaal en het algemeen bestuur van de SWB Hengelo en daarmee: a. de samenwerking o p de informatietechnologie (IT) te formaliseren met als belangrijkste kenmerk een betrouwbare, stabiele, toekomstbestendige en veilige IT-infrastructuur; b. kennis te nemen van de bijgevoegde aanbieding waarin Hengelo schetst op welke wijze zij de IT-dienstverlening beschikbaar stelt en een raming van de kosten voor 2022 heeft opgenomen (€ 1.595.429) die op basis van daadwerkelijk gemaakte kosten (nacalculatie) wordt verrekend; c. bijgevoegde dienstverleningsovereenkomst samenwerking IT Haaksbergen en Hengelo in concept vast te stellen waarin - onder meer - de kosten en nadere afspraken voor de samenwerking zijn opgenomen; d. de volgende uitgangspunten te hanteren: i. dat na een jaar samenwerken een evaluatie plaatsvindt waarbij op basis van de dan opgedane ervaringen opnieuw wordt gekeken naar kosten, levering producten en diensten, belangen en afspraken; ii. inzicht wordt gegeven in de incidentele en structurele kosten van de samenwerking; iii. een financieringsmodel zonder winstoogmerk; iv.

dat de toetreding van Haaksbergen tot de centrumgemeenteregeling onder dezelfde condities geschiedt als de andere deelnemende partijen en dat bij geen gelijke condities inzet wordt gepleegd om tot harmonisatie over te gaan; v. Haaksbergen een benchmark laat uitvoeren op de kosten voor IT en de resultaten daarvan bespreekt/afstemt met de gemeente Hengelo. 2. De raad voorstellen: a. toestemming te verlenen voor het aangaan van de Centrumgemeenteregeling samenwerking ICT Hengelo; b. de dienstverleningsovereenkomst voor wensen en bedenkingen voor te leggen. Pagina 1 van 7

3. Zorg te dragen voor een zorgvuldige overdracht van drie systeembeheerders van de werkgever Haaksbergen naar de werkgever Hengelo. 4. De OR en de medewerkers en het college van Hengelo te informeren. 5. Op dit besluit een embargo te leggen tot 30 november 2021, 12:00 uur.

Openbaar / Niet-openbaar: Maak een keuze Openbaar Embargo tot: 30-11-2021 Personele zaak, niet actief openbaar Niet openbaar/ geheim (onder besluit motiveren) Aldus besloten Paraaf gemeentesecretaris:

Indien afwijkend besloten: Besluit en argumenten

Pagina 2 van 7

Inleiding / aanleiding De gemeente Haaksbergen heeft de ambitie zich te ontwikkelen tot toekomstbestendige zelfstandige netwerkgemeente. Deze ambitie is ontstaan uit het beeld dat naar voren is gekomen van een kwetsbare organisatie, die de basis niet op orde heeft. In 2019 is door Rijnconsult onderzoek verricht naar de wijze waarop de gemeente Haaksbergen deze ambitie waar kan maken. Dit onderzoek heeft geleid tot een vijftal aanbevelingen waarvan onder andere de volgende aanbeveling: Versterk de bedrijfsvoering door deze grotendeels te beleggen bij Enschede of Hengelo. In het raadsbesluit van 25 september 2019 (link besluit) heeft de raad ons de opdracht gegeven om de bedrijfsvoering te versterken door deze uit te besteden aan de gemeente Enschede of Hengelo. Op basis van een vastgestelde bestuursopdracht (link bestuursopdracht) is uitvoering gegeven aan een proces in twee fasen. Fase 1 is in de zomer van 2020 afgerond en heeft in juli 2020 geleid tot de keuze (gebaseerd op het advies van Hiemstra & de Vries) om met Hengelo een businesscase op te stellen voor de uitplaatsing van de gehele bedrijfsvoering van onze organisatie. Fase 2 is in september 2020 gestart met als beoogt resultaat een businesscase bedrijfsvoering. Deze fase heeft een aanbieding voor de uitplaatsing van de gehele bedrijfsvoering als resultaat opgeleverd.

Onze adviseur Hiemstra & de Vries heeft deze aanbieding getoetst op navolgbaarheid, uitlegbaarheid en of de aanbieding aansluit op de bestuursopdracht, gezamenlijke projectopdracht en de uitvraag van Haaksbergen. Het proces van Hiemstra & de Vries resulteerde in een advies over de wijze om tot versterking van de bedrijfsvoering over te gaan. Op 15 juni 2021 hebben wij besloten (link besluit), mede op basis van het advies van Hiemstra & de Vries, dat uitplaatsing van de gehele bedrijfsvoering voor Haaksbergen financieel een stap te ver gaat. Wel hebben we besloten op de informatietechnologie de samenwerking met Hengelo vorm te geven om kritische kwetsbaarheden toekomstbestendig op te lossen. Voorliggend besluit is de start voor deze samenwerking door toe te treden tot de ‘centrumgemeenteregeling samenwerking ICT Hengelo’. Bestuurlijk / wettelijk kader - Gemeentewet, bevoegdheden college, artikel 160. - Raadsbesluit 25 september 2019: onder meer intentie uitgesproken de bedrijfsvoering grotendeels onder te brengen bij Enschede of Hengelo (link besluit). - Collegebesluit 26 november 2019: voornemen om in afstemming met Enschede en Hengelo een businesscase op te (laten) stellen (link besluit). - Raadsbesluit 18 december 2019: nadere kaderstelling voor opstellen businesscase (link besluit).

- Raadsbesluit 27 mei 2020: vaststelling meerjarig programma ‘Haaksbergen Ster(ker) in Ontwikkeling’ waar het versterken van de bedrijfsvoering onderdeel van is (link besluit). - Collegebesluit 7 juli 2020: besluit principekeuze om met Hengelo de businesscase nader uit te werken (link besluit). - Collegebesluit 15 juni 2021: versterken en toekomst bestendigen van de bedrijfsvoering (link besluit). - Raadsbesluit 12 juli 2021: versterken bedrijfsvoering, verruimen financieel kader (link besluit). Provincie Besluit Gedeputeerde Staten van Overijssel d.d. 15 december 2020, het verlengen van preventief toezicht met 1 jaar. Argumenten Preventief toezicht 1.1. Het besluit past binnen de voorwaarden van preventief toezicht De financiële gevolgen van dit besluit zijn van toepassing op het jaar 2022 en passen daarmee binnen de voorwaarden van het preventief toezicht. De benodigde kosten voor de uitvoering van dit besluit worden betaald uit budgetten die opgenomen zijn in de begroting 2022.

Pagina 3 van 7

Overige argumenten 1.1. Samenwerken op de IT is noodzakelijk om kritische kwetsbaarheden toekomstbestendig op te lossen De noodzaak om de bedrijfsvoering te versterken is groot. Dat blijkt uit het onderzoek dat door Rijnconsult (link rapport) is uitgevoerd evenals uit het advies dat Hiemstra & de Vries heeft opgeleverd voor wat betreft de businesscase bedrijfsvoering (bijlage IV). Hiemstra & de Vries concludeert in hun advies dat het in huis versterken van de bedrijfsvoering de kwetsbaarheid op informatietechnologie (IT) niet wegneemt. De technologische ontwikkelingen gaan erg snel en de verwevenheid van bedrijfsvoeringprocessen en IT wordt complexer en risicovoller. In de optiek van Hiemstra & de Vries wordt het steeds lastiger voor kleinere gemeenten de IT robuust te organiseren. De beoordeling van Hiemstra & de Vries (zie bijlage IV) op de totaalaanbieding van Hengelo laat zien dat Hengelo in staat is deze huidige kwetsbaarheden robuust op te lossen.

Onderbrengen van de IT in het samenwerkingsverband heeft als meerwaarde: ▪ we zetten een belangrijke stap in de ambitie om toekomstbestendig en zelfstandig te blijven door invulling te geven de aanbeveling van Rijnconsult deze ambitie te realiseren (het versterken van de bedrijfsvoering); ▪ samenwerken met Hengelo neemt risico’s weg die wij zelf niet instaat zijn weg te nemen, zoals geconcludeerd door Hiemstra & de Vries; ▪ we lossen daarmee de huidige kwetsbaarheden op, onder andere: ondercapaciteit op IT, focus op enkel wettelijke taken/acties, risico’s rondom informatieveiligheid, verouderde systemen en hardware en beperkte mogelijkheid in te spelen op nieuwe ontwikkelingen; ▪ we reageren hiermee op de constatering van Hiemstra & de Vries dat met name op de domeinen informatieveiligheid, IT en informatievoorziening de huidige kwaliteit onvoldoende is. De gemeente Hengelo kent op het onderdeel IT een samenwerking met de gemeente Oldenzaal en de SWB. Uit ambtelijk verkennende gesprekken blijkt dat deze samenwerking door beide samenwerkingspartners als prettig en goed ervaren wordt. Aansluiten op deze samenwerking is daarmee een aansluiting op een reeds bewezen samenwerking. 1.2. De kosten voor de samenwerking passen binnen de financiële kaders van de begroting 2022 De samenwerking wordt aangegaan met een financieringsmodel zonder winstoogmerk.

Dit betekent dat de binnen de samenwerking geleverde diensten en producten voor Haaksbergen op nacalculatie worden betaald op basis van daadwerkelijk gemaakte kosten. Hengelo heeft de kosten geraamd op afgerond € 1.600.000. Het jaar 2022 wordt met name gebruikt om over en weer ervaringen op te doen, waarin Hengelo haar IT-bedrijf inricht om ook Haaksbergen te kunnen bedienen. Door Haaksbergen wordt dit jaar met name benut om duidelijkheid te krijgen over de producten en diensten, die zij structureel van Hengelo af wenst te nemen. Haaksbergen is mede daarom voornemens om de samenwerking na één jaar te evalueren. Dit houdt voor de dekking van dit project in dat vooralsnog gebruik wordt gemaakt van de dekking, die in de begroting 2022 is opgenomen. Voor het initiële jaar 2022 zijn voldoende dekkingsmiddelen aanwezig omdat de start van de feitelijke overname van de IT pas na het eerste kwartaal plaatsvindt. Dit eerste kwartaal betalen wij daarom nog geen kosten aan Hengelo, waardoor de begrote budgetten voor 2022 voldoende toereikend zijn. Uitgaande van continuering van dezelfde ICT-dienstverlening voor de jaren 2023-2025 betekent dit, dat er vanaf 2023 sprake is van een structureel tekort (€ 328.000) in de meerjarenraming op basis van de raming die Hengelo nu gemaakt heeft.

Aangezien er binnen de ICT-budgetten van Haaksbergen geen ruimte aanwezig is, houdt dit in dat voor het oplossen van dit tekort kritisch gekeken moet worden naar de producten en diensten uit de PDC met de vraag of deze structureel noodzakelijk zijn. Mocht dit onvoldoende soelaas bieden, dan dienen hiervoor extra middelen bij de eerstvolgende kadernota geclaimd te worden. Dat dit laatste niet geheel vreemd is wordt onderschreven door de uitkomsten van de ICT Benchmark Gemeenten 2021. 1.3.

De dienstverleningsovereenkomst bevat alle afspraken tussen de partijen Hengelo en Haaksbergen die voor de uitvoering van de samenwerking van belang zijn De DVO geldt als (juridisch) contract voor de samenwerking, daarin staan de afspraken en worden inhoudelijke zaken geregeld als: Pagina 4 van 7

▪ voorwerp, duur en beëindiging van de Overeenkomst; ▪ aansprakelijkheden, risico's en overmacht; ▪ belangen en verantwoordelijkheden van de samenwerkingspartijen; ▪ financiën; ▪ rapportages, kwaliteitsborging en communicatie; ▪ klachtenafhandeling, escalatie en communicatie; ▪ nieuwe toetreders; ▪ beveiliging, geheimhouding en overdracht rechten en verplichtingen. Belangrijk bijlagedocument van deze overeenkomst betreft de producten- en dienstencatalogus (PDC), waarin alle producten en diensten zijn opgenomen die het samenwerkingsverband levert. Om ervoor te zorgen dat de communicatie over IT-aspecten tussen beide organisaties zorgvuldig verloopt, zijn hierover in DVO en centrumgemeenteregeling afspraken gemaakt. Hengelo wijst hierbij een vaste accounthouder aan, die afstemt met de accounthouder en het management van de deelnemende organisatie over de gang van zaken, wensen en ontwikkelingen 2.1.

De betrokkenheid van de raad vinden wij belangrijk in de ontwikkeling naar een netwerkgemeente Wij achten het van belang de raad te betrekken bij het aangaan van samenwerkingsverbanden voor de uitvoering van gemeentelijke taken. Daarmee denken wij recht te doen aan de controlerende taak van de raad. Mede om die reden willen wij de dienstverleningsovereenkomst voor wensen en bedenkingen voorleggen aan de raad. Daarnaast zijn wij verplicht om bij toetreding tot een centrumgemeenteregeling de raad te vragen instemming te verlenen. 3.1.

De gemeente Haaksbergen hecht belang aan een zorgvuldige overdracht van medewerkers naar de ambtelijke organisatie van Hengelo Op het voorliggend besluit rust geen instemmings- dan wel adviesrecht van de ondernemingsraad (OR). Omdat het besluit een politiek primaat betreft. Wel hechten wij belang aan de betrokkenheid van de medezeggenschapsraden. De toetreding tot de centrumgemeenteregeling heeft tot gevolg dat drie medewerkers (in de functie van systeembeheerder) overgaan naar de ambtelijke organisatie Hengelo. Dit is het gevolg van het overhevelen van taken op het gebied van ICT, die binnen hun functie vallen. In gezamenlijk overleg met de gemeente Hengelo, de medewerkers die overgaan naar de ambtelijke organisatie Hengelo en de gemeente Haaksbergen worden hierover concrete afspraken gemaakt. In overleg en afstemming met het Lokaal Overleg (LO) is afgesproken dat er geen sociaal plan opgesteld hoeft te worden als de overdracht van personeel zorgvuldig geschiedt. Met het LO is afgesproken dat de medewerkers een arbeidsovereenkomst voor onbepaalde tijd krijgen aangeboden en dat hieraan een addendum wordt toegevoegd waarin is opgenomen de salarisgarantie, de dienstjaren en het behoudt van de lokale arbeidsvoorwaardelijke regeling van Haaksbergen. De OR gaat akkoord om geen formele plaatsingsprocedure te doorlopen.

Voor de OR is van belang dat zorgvuldig met collega’s en hun belangen wordt omgegaan. In de diverse gesprekken tussen Hengelo en Haaksbergen en de medewerkers die overgaan, wordt dit vertrouwen gewekt. De OR zal vanuit de rol als kritisch gesprekspartner betrokken blijven. 4.1

Voor een goed samenspel vinden we het belangrijk dat medewerkers, de OR en het college van Hengelo tijdig geïnformeerd worden De samenwerking met Hengelo op de IT-infrastructuur heeft directe (persoonlijke) gevolgen voor de medewerkers van onze organisatie. De medewerkers en de OR dienen daarom goed geïnformeerd te worden over de gemaakte keuzes en de gevolgen van die keuzes. Het proces in aanloop naar dit besluit is een intensief samenwerkingsproces geweest tussen de gemeenten Hengelo en Haaksbergen. Wij hechten daarom belang aan een tijdige en uit de eerste lijn georganiseerde communicatie over dit besluit. Zo zorgen we ervoor dat medewerkers, de OR en de gemeente Hengelo zorgvuldig betrokken blijven bij de stappen in het proces en daarover als betrokkenen als eerste geïnformeerd worden. 5.1 Wij wensen om gelijktijdig met Hengelo het besluit tot samenwerken te openbaren Het college van Hengelo besluit op 30 november 2021 over de toetreding van Haaksbergen in de centrumgemeenteregeling. Onze wens is om gezamenlijk met Hengelo te communiceren over het besluit aan weerszijden. Dat doet recht aan de samenwerking die wij samen aangaan. Een besluit Pagina 5 van 7

onder embargo voor de bepaalde periode is daarvoor noodzakelijk om de communicatie gelijktijdig en eenduidig te laten zijn. Risico’s 1.1 Samenwerking is noodzakelijk voor toekomstbestendigheid en zelfstandigheid van Haaksbergen Het is een aanzienlijk risico als de samenwerking met Hengelo op het terrein van IT niet geëffectueerd zal worden. Zowel Rijnconsult als Hiemstra & de Vries onderschrijven dat samenwerking op dit onderdeel voor Haaksbergen onvermijdelijk is. Niet samenwerken betekent dat kwetsbaarheden blijven bestaan en dat de huidige kwaliteit voort blijft bestaan die door Hiemstra & de Vries als onvoldoende wordt gekwalificeerd. Daarmee komt de ambitie van onze gemeente in gevaar, namelijk om een toekomstbestendige en zelfstandige gemeente te blijven. Nieuwe samenwerking zoeken vraagt te veel tijd waardoor de periode van kwetsbaarheid en risico’s op onder andere de informatieveiligheid blijven bestaan. In huis versterken is op basis van het advies van Hiemstra & de Vries geen optie om de kwetsbaarheid op de IT weg te nemen. Daarvoor gaan de technologische ontwikkelingen te snel waardoor wij mogelijk continu achterlopen op de ontwikkelingen in de samenleving op het terrein van IT. 1.2 Aansprakelijkheid tussen beide partijen (Hengelo en Haaksbergen) De CR gaat uit van samenwerking en is daarmee geen klant-dienstenleverancier relatie.

Er wordt in overeenstemming met Hengelo besloten af te zien van het toepassen van de gestandaardiseerde “GIBIT” (uniforme voorwaarden bij inkoop van ICT door gemeenten). Er is echter niet inzichtelijk gemaakt op welke onderdelen de DVO en de GIBIT inkoopvoorwaarden verschillen. Het afwijken op gestandaardiseerde IT-inkoopvoorwaarden kan tot gevolg hebben dat situaties of voorwaarden niet of in mindere mate door de overeenkomst zijn voorzien of gedekt worden. Zo is in de DVO opgenomen dat de aansprakelijkheid voor schade ten gevolge van een toerekenbare tekortkoming van één der partijen wordt beperkt tot 50% van de door Haaksbergen te betalen vergoeding per jaar. Bovendien worden een aantal omstandigheden, waaronder schade als gevolg van kwade opzet van derden (verlies van cruciale gegevensbestanden), onder overmacht geschaard. Een en ander mits een partij niet toerekenbaar tekort is geschoten. Deze omstandigheden zijn daarmee van aansprakelijkheid uitgesloten. In de GIBIT is de aansprakelijkheid beduidend ruimer geregeld. Voor persoons- en zaakschade is deze beperkt tot een bedrag van € 1.250.000 per gebeurtenis, maar voor overige schade geldt aansprakelijkheid tot tien maal de jaarvergoeding per gebeurtenis. De totale aansprakelijkheid per jaar bedraagt niet meer dan twintig maal de jaarvergoeding.

Bovendien wordt in de GIBIT voorzien in door een autoriteit opgelegde boetes en in de omgang met intellectuele eigendom. 1.3

Toetreding tot de centrumgemeenteregeling kan leiden tot wijzigingen in de risicobeheersing en daarmee consequenties hebben voor het weerstandsvermogen In de paragraaf Weerstandsvermogen en risicobeheersing van de begroting 2022 zijn wij nog uitgegaan van de huidige situatie, dat wil zeggen dat wij bij het vaststellen van de benodigde weerstandscapaciteit het risico op uitval van applicaties in verband met een Cyberaanval en het risico van datalekken hebben opgenomen. Zodra wij op het terrein van IT gaan samenwerken met Hengelo en toetreden tot de centrumgemeente-regeling wijzigen deze risico’s en heeft dit consequenties voor het benodigde weerstandsvermogen. 1.4

Bij ongewijzigd beleid is er vanaf 2023 sprake van een tekort aan dekkingsmiddelen binnen de begroting van Haaksbergen Aangezien er binnen de ICT-budgetten van Haaksbergen geen ruimte is, houdt dit in dat voor het oplossen van dit tekort kritisch gekeken moet worden de producten en diensten uit de PDC met de vraag of deze structureel noodzakelijk zijn. Mocht dit onvoldoende soelaas bieden, dan dienen hiervoor extra middelen bij de eerstvolgende kadernota geclaimd te worden.

Pagina 6 van 7

1.5 Er is nog geen Data Protection Impact Assessment (DPIA) uitgevoerd In het proces van samenwerking is geen Data Protection Impact Assessment (DPIA) uitgevoerd. Een DPIA is een instrument om vooraf de privacyrisico's van gegevensverwerking in kaart te brengen. Dit is een verplichting binnen de AVG. Het uitvoeren van de DPIA zorgt onder andere voor inzicht in de risico’s van een verwerking, waarop besloten kan worden om hier mitigerende acties op te nemen. Een DPIA is naar waarschijnlijkheid benodigd voor de samenwerking op het gebied van ICT. Hengelo heeft Haaksbergen aangeboden ondersteuning te bieden bij het uitvoeren van de DPIA. De verantwoordelijkheid voor het uitvoeren van de DPIA ligt bij de proceseigenaar. Het verdient aanbeveling dit instrument onverwijld in te zetten.

Vervolgproces en uitvoeringsaspecten De volgende belangrijke processtappen volgen: ▪ Donderdag 25 november 2021: afstemming met de OR door Wor-bestuurder ▪ Dinsdag 30 november 2021: besluit toetreding van Haaksbergen tot de centrumgemeenteregeling door het college van Hengelo ▪ Dinsdag 7 december 2021: commissiebehandeling (Haaksbergen) toetreding van Haaksbergen tot de centrumgemeenteregeling ▪ Vrijdag 17 december 2021: algemeen bestuur SWB besluit over toetreding van Haaksbergen tot de centrumgemeenteregeling ▪ Maandag 20 december 2021: raadsbesluit gemeenteraad Oldenzaal over de toetreding van Haaksbergen tot de centrumgemeenteregeling ▪ Woensdag 22 december 2021: raadsbesluit gemeenteraad Hengelo over de toetreding van Haaksbergen tot de centrumgemeenteregeling ▪ Woensdag 22 december 2021: raadsbesluit (Haaksbergen) over de toetreding van Haaksbergen tot de centrumgemeenteregeling

Bijlagen: Centrumgemeenteregeling samenwerking ICT Hengelo, 19-11-2021 Dienstverleningsovereenkomst samenwerking IT, 19-11-2021 Raadsvoorstel toestemming aangaan Centrumgemeenteregeling samenwerking ICT Hengelo

Pagina 7 van 7