2 Bijlage 1 Management letter Deloitte 2023 Gemeente Haarlem

Managementsamenvatting

Speerpunten auditcommissie

Aandachtspunten jaarrekeningcontrole 2023

Bijlage

30

IT Maturity Onderwerp

Boodschap

IT Maturity | Continuïteit - extern

Naast uw interne processen, bent u in verschillende IT-processen afhankelijk van dienstverlening van derden. Uit besprekingen met uw organisatie is gebleken dat u geen formeel proces heeft gedefinieerd om afspraken te maken met leveranciers, deze afspraken periodiek te monitoren en bij te sturen indien noodzakelijk. Ook verkrijgt u geen structureel inzicht in de kwaliteit van de interne beheersing en IT-maatregelen van verschillende service organisaties door middel van een ISAE 3402 type II-, ISO 27001 of SOC-rapport. In 2023 is uw organisatie wel gestart met het inventariseren van de verschillende SaaS-applicaties die worden afgenomen. Dit betrof een uitgebreide inventarisatie als gevolg van de decentrale inkoopverantwoordelijkheid. Door middel van deze inventarisatie is een eerste inzicht verkregen in de verschillende applicaties en de gemaakte afspraken met leveranciers. Wij merken op dat deze inventarisatie een stap in de goede richting is en de komende periode aanvullende aandacht verdient om de inventarisatie te finaliseren. Vervolgens kan gestart worden met het analyseren van de gemaakte afspraken en in hoeverre deze (wederzijds) nagekomen worden. Daarnaast adviseren wij uw organisatie om, in aanloop naar de jaarrekeningcontrole, inzicht te verkrijgen in de uitbestede processen en tijdig de ISAE 3402 type II-rapportages op te vragen.

Wij verwachten dit tenminste voor de applicaties binnen Financiën, HRM en het domein Parkeren.

IT Maturity | Cyber security

Rondom informatieveiligheid en privacy heeft de gemeente een beleid opgesteld. Dit beleid is in 2023 geactualiseerd. Daarnaast wordt jaarlijks een ISO 27001 audit uitgevoerd ten behoeve van het actueel houden van het beleid. De uitkomsten van de meest recente ISO 27001 audit zijn recent gedeeld met uw organisatie, waarbij verschillende aanbevelingen aansluiten op de rapportage in deze bijlage. Verschillende aanbevelingen hangen samen met de aankomende NIS2-regelgeving. Deze regelgeving is erop gericht om de digitale weerbaarheid, waaronder cyber security, van maatschappelijke organisaties te vergroten. Uw organisatie is op dit moment reeds gestart het opstellen van een aanpak om te voldoen aan de NIS2-regelgeving. Hierbij merkt uw organisatie terecht op dat landelijke context en bruikbare voorinformatie ontbreekt om een impactanalyse op te stellen. Het vroegtijdig starten met een plan van aanpak identificeren wij als een positieve ontwikkeling. Op het gebied van security awareness is het belangrijk om medewerkers periodiek te informeren en te trainen. Uit onze interviews merken wij op dat voor dit onderwerp in 2023 meer aandacht is gekomen, waarbij hulp van externe partijen is ingeschakeld. Vanuit een planmatige aanpak worden diverse maatregelen getroffen, waaronder trainingen, e-learnings, phishing campagnes en thematische workhops.

De organisatie monitort de uitvoering van de getroffen maatregelen door middel van periodieke rapportages aan het directieteam waarin kwetsbaarheden worden benoemd. Deze rapportages zijn echter nog informatief van aard, waarbij het niet voldoen aan de maatregelen geen consequenties heeft. Wij adviseren de organisatie om een ‘open meldcultuur’ te stimuleren en periodiek te communiceren over de kernpunten van het informatiebeveiligingsplan en privacybeleid.

2311BAB687/EP/31 © 2023. For information, contact Deloitte The Netherlands.

Managementsamenvatting

Speerpunten auditcommissie

Aandachtspunten jaarrekeningcontrole 2023

Bijlage

31

Onder Deloitte wordt verstaan één of meer van Deloitte Touche Tohmatsu Limited (“DTTL’’ of ‘’Deloitte Global’’), haar wereldwijde netwerk van member firms en aan hen verbonden entiteiten (tezamen, de “Deloitte-organisatie”). DTTL en haar wereldwijde netwerk van member firms en aan hen verbonden entiteiten zijn juridisch gescheiden en onafhankelijke entiteiten, die elkaar niet kunnen verplichten of binden ten aanzien van derden. DTTL en iedere DTTL member firm en aan hen verbonden entiteiten zijn aansprakelijk voor hun eigen handelen en nalaten, en niet voor het handelen of nalaten van een andere entiteit. DTTL verleent geen diensten aan cliënten. Raadpleeg www.deloitte.com/about voor meer informatie. Deloitte levert toonaangevende audit- en assurance-, belastingadvies- en juridische diensten, en diensten op het gebied van consulting, financial advisory, en risk advisory aan bijna 90% van de Fortune Global 500® en duizenden particuliere bedrijven. Onze professionals leveren meetbare en blijvende resultaten die het vertrouwen van het publiek in kapitaalmarkten helpen versterken, klanten in staat stellen te transformeren en bloeien, en de weg wijzen naar een sterkere economie, een meer rechtvaardige samenleving en een duurzame wereld. Voortbouwend op haar meer dan 175-jarige geschiedenis, omvat het bereik van Deloitte meer dan 150 landen en gebieden.

Ontdek hoe de meer dan 415.000 mensen van Deloitte wereldwijd een impact maken die ertoe doet op www.deloitte.com. Deze communicatie bevat louter algemene informatie en noch DTTL, noch haar wereldwijde netwerk van member firms of aan hen verbonden entiteiten verleent door middel van deze communicatie professioneel advies of diensten. Voordat u een beslissing neemt of actie onderneemt die van invloed kan zijn op uw financiën of uw bedrijf, dient u een gekwalificeerde professionele adviseur te raadplegen. Geen enkele entiteit in de Deloitte-organisatie is verantwoordelijk voor enig verlies dat wordt geleden door een persoon die op deze communicatie vertrouwt. © 2023. Neem voor informatie contact op met Deloitte Nederland.