Agendabundel

Bundel - Openbare informatiebijeenkomst van 31 oktober 2023 Agenda bijlagen transcript openbare informatiebijeenkomst 31 oktober 2023 1 Opening Behandelbrief 31 oktober 2023 agenda verzoek SP (door presidium gekoppeld aan deze aangekondigde informatiebijeenkomst) 2 Bedrijfsvoering Bijlage 1 presentatie Deloitte belang van bedrijfsvoering Bijlage 2 Presentatie Raad Privacy Bijlage 3 Presentatie Raad Bedrijfsvoering 3 Sluiting

1 Opening Spreekstoel

Goedenavond, hartelijk welkom op deze informatieavond. Het is een agendaverzoek van de SP waarin de SP de verwachting uit dat er uitleg en toelichting van de wethouder volgt. De raad in stelling brengen zodat zij haar controlerende taak kan uitvoeren en eventueel extra voorwaarden kan stellen, zodat wij voldoen aan het wettelijke wat van ons geëist wordt. De tweede is: het college heeft het onderwerp aangeboden ter informatie om de raad mee te nemen in de ontwikkelingen op het gebied van bedrijfsvoering. Het is vandaag een informatiebijeenkomst. Het doel is informeren. Er ligt geen besluit voor en politiek bedrijven is niet aan de orde vanavond. We krijgen drie presentaties en na iedere presentatie doen we een vragenronde. Vanavond zijn aanwezig: wethouders Weijers en meneer Paas. Verder Rein-Aart van Vught, accountant van de gemeente Kerkrade, de heren Steijns, Bakker en Kalfics vanuit de ambtelijke organisatie: welkom. Ik geef eerst het woord aan wethouder Weijers voor een inleiding. Voorzitter, dank u wel. We gaan jullie vanavond een actueel beeld geven van de stappen die we hebben gezet en ook de stappen die we nog gaan zetten op het gebied van bedrijfsvoering. Dit gaat al onze domeinen aan. Daarom ben ik ook heel blij om te zien dat ons directieteam voltallig hier vanavond aanwezig is. Toch nog een stuk betrokkenheid bij dit onderwerp.

Als gemeente Kerkrade staan we natuurlijk bekend als een echte doe-gemeente. Wat we de afgelopen jaren allemaal hebben kunnen realiseren, daar mogen we met zijn allen trots op zijn. Daar mogen we ons ook bewust van zijn. Door onze bedrijfsvoering hebben we samen met onze ambtelijke organisatie hele mooie resultaten bereikt. Om deze successen te kunnen blijven boeken, vinden wij het ontzettend belangrijk dat de basis op orde is en de basis op orde blijft. Daarom investeren we sinds enkele jaren enorm, mede op verzoek van de raad natuurlijk. Bedrijfsvoering is echt een thema geworden hier. Daar zal zo meteen verder op ingegaan worden door die presentaties. Ik denk dat het goed is om dat beeld in ieder geval scherp op het netvlies te krijgen en van daaruit te kijken: zijn er nog vragen of opmerkingen die u ons wilt meegeven zodat we ook in de verdere toekomst op dezelfde lijn blijven liggen. Tot zover de inleiding. Dank u wel, Voorzitter. Dank u wel. U heeft een vraag? Voorzitter, een vraag en een opmerking: wij hebben een agendaverzoek ingediend, natuurlijk niet voor een informatieavond maar voor de commissie AZM. Ik weet niet waarom dat hier nu aan toegevoegd is? Het agendaverzoek betrof de AVG en de WPG en de beslissingen die daarover genomen zijn in het collegebesluit van 18 juli jongstleden.

Aangezien het aan de agenda is toegevoegd is vanavond neem ik aan dat we vragen kunnen stellen over dat ontwerpbesluiten en over de nota van toelichtingen die daaraan tegen grondslag ligt. Dat is mijn eerste vraag. Mijn tweede vraag is: dit is weliswaar een informatieavond, er is ons eerder gezegd dat van informatieavonden geen verslag van is, geen transcript. Ik verzoek om dat toch wel te doen. Gezien het belang van wat hier vanavond aan informatie gedeeld wordt, dat er in ieder geval of een verslag of een transcript komt, dat de band meeloopt met wat we hier vanavond besluiten en wat hier gezegd wordt. Dat waren mijn twee vragen. Ik geef het woord aan de griffier. Alles is opgenomen wat u net zei. Dat kunt u morgen weer terugkijken als u daar behoefte aan heeft. Het is een openbare informatiebijeenkomst dus daar is een livestream van. Als we een besloten bijeenkomst hebben is er geen livestream uiteraard, maar nu is er een livestream en kunt u de beelden terugkijken. Daar zit automatisch ondertiteling op, dus ook een transcript. Het andere punt is: het agenderingsverzoek is in het presidium behandeld. Dat is gehonoreerd, maar met de opmerking dat het toegevoegd is aan de informatieavond. Dat is een koppeling met het aanbod van het college en uw agenderingsverzoek. Daar bent u over geïnformeerd. Agendaverzoek maakt in die zin onderdeel uit van deze bijeenkomst.

Daar hebben we u als fractie over geïnformeerd. Oké. Dat het een uitzending was had ik in het begin al gezegd. Ik wil graag de mensen voor de eerste presentatie uitnodigen naar voren te komen. Dank u wel voor de uitnodiging om vanavond opnieuw bij u te zijn na vorige week. Toen hebben we het heel nadrukkelijk over de financiën gehad. Vanavond is het onderwerp bedrijfsvoering. Ik zal u vanuit onze rol als accountant toelichten: wat is nu de stand van zaken rondom die bedrijfsvoering? Waarom is het belangrijk? Waarom besteedt u er in mijn ogen terecht aandacht aan? Dat zal ik als eerste aftrap voor mijn rekening nemen. Bedrijfsvoering is wat mij betreft het hoofdwoord, maar het is ook een kerntaak. Dat is de titel die ik meegeef aan mijn inleiding. Het tweede wat ik meegeef: bedrijfsvoering is wel ondersteunend, maar is niet ondergeschikt. Voordat ik de diepte in ga, wil ik u vooraf een zestal punten meegeven die in mijn ogen erg relevant zijn, juist voor de gemeente Kerkrade. In de eerste plaats moet ik u zeggen dat toen ik twee jaar geleden veel nadrukkelijker met de bedrijfsvoering van de gemeente Kerkrade in aanraking kwam vanuit mijn accountantsrol, en ik vergelijk dat met nu, en ik vergelijk dat ook met deze avond zoals u hier bij elkaar bent, dan zijn er in die twee jaar enorm veel stappen gezet. Dat is mede dankzij u als raad. Ik weet dat we twee jaar geleden voor het

eerst schoorvoetend in de commissie een opmerking aan de zijkant hadden over de bedrijfsvoering. Als ik nu zie hoe u hier met elkaar bezig bent met bedrijfsvoering, en dat geldt wat mij betreft ook voor de organisatie en het college, dan is het echt enorm wat er in die twee jaar is gebeurd. Daar hecht ik aan om dat gezegd te hebben. We hebben bij de laatste jaarrekening de eerste vruchten van die stappen gemerkt. De jaarrekening 2022 ging echt beter dan de jaarrekening 2021 bijvoorbeeld. Een tweede opmerking die ik wil maken is: natuurlijk zijn er nog heel veel stappen te zetten. Daar ligt een beetje de nadruk op vanavond. Dat is ook prima, dat is ook terecht: naar de toekomst kijken. Ik wil wel dat u het punt: er moet nog veel gebeuren, altijd in de context plaatst met: waar komen we vandaan en wat is er de afgelopen twee jaar al allemaal intern gebeurd. Wat ik heel mooi vind om te zien wat er in die twee jaar bij u is gebeurd, is sowieso dat ik vind dat u hier met veel raadsleden aanwezig bent. Ik vind het fantastisch om te merken dat de hele directie op de publieke tribune zit. Ik merk dat het in het college een onderwerp is geworden wat niet zomaar van het hoofd financiën is of van de controller. Nee, het is een onderwerp wat de hele gemeente, de hele organisatie, raakt.

Alle diensten, alle producten, alle activiteiten die u voor de inwoners doet en voor de bedrijven doet, zijn betrokken bij dat onderwerp bedrijfsvoering. Nogmaals, het is wel ondersteunend, maar niet ondergeschikt. In mijn ogen wordt heel erg duidelijk dat iedereen zich daar wel betrokken bij voelt. Dat is een derde. Een vierde: gaan er nog incidenten gebeuren? Dat zal ongetwijfeld. Waar gewerkt wordt, vallen spaanders. Daar waar gewerkt wordt, worden ook wel eens fouten gemaakt. Dat gebeurt ook in de bedrijfsvoering. We krijgen de komende periode wel eens een keer met een incident of met een fout te maken. Dat is nooit honderd procent uit te sluiten. Een heel proces van verbeteren van bedrijfsvoering gaat natuurlijk gepaard met momenten dat het wel eens niet lukt of dat er wel eens iets verkeerd gaat. Dat is een vijfde opmerking. Nog een opmerking die ik wil maken, de zesde: u bent niet de enige gemeente waar bedrijfsvoering een onderwerp is wat veel aandacht vraagt en aandacht heeft. Daarnet werd het al terecht genoemd, bijvoorbeeld die wet rondom de bescherming persoonsgegevens, maar het geldt ook bijvoorbeeld voor cyber security. Het geldt voor veel meer terreinen. Daar staan we zeker nog bij stil. Je merkt dat vrijwel alle gemeenten worstelen met dit onderwerp.

Het is zeker niet zo dat het alleen in Kerkrade een thema is, maar het is bij alle gemeenten, bij alle landelijke overheden en lagere overheden, is het een lastig onderwerp. Het is een onderwerp wat overal op dit moment best hoog op de agenda staat. Een zevende wil ik toch nog maken. Die schiet mij net te binnen en vind ik toch wel heel relevant. Het is goed om altijd te blijven realiseren dat bedrijfsvoering, uiteindelijk niet een doel op zich moet zijn. Het gaat uiteindelijk om uw inwoners en om uw bedrijven en om de diensten die aan de bewoners levert als gemeente. Het is wel belangrijk om altijd met elkaar centraal te houden en centraal de vraag te stellen: waar doen wij dit voor? Dat de vraag: dient dit onze inwoners en dient dit de gemeente Kerkrade in de breedste zin van het woord natuurlijk wel een hele relevant is om altijd op het oog te houden. Dat vooraf. Zeven opmerkingen die denk ik belangrijk zijn als het over bedrijfsvoering gaat om mee te nemen. Over die bedrijfsvoering zelf. Wat je ziet gebeuren, is dat de omgeving waar u als gemeente in opereert, maar ook de wetgeving waar u als gemeente mee te maken heeft, dat die de afgelopen jaren echt wel veel ingewikkelder is geworden. Veel moeilijker is geworden.

Je ziet dat opgaven die u te doen heeft met elkaar, problemen die u met elkaar heeft op te lossen, vraagstukken die op tafel liggen, je ziet dat die ingewikkelder worden. Dat die heel veel verschillende functies van de gemeente, verschillende afdelingen van de gemeente te raken. Dat heet dan zo mooi: integraal werken. De integraliteit van de opgave. Het heeft ermee te maken dat het een opgave is, vaak niet meer een klein te isoleren onderwerp, nee, het raakt vaak heel veel. Laten we een voorbeeld nemen rondom de opvang van vluchtelingen. Dat heeft een huisvestingsaspect, het heeft een veiligheidsaspect, maar het heeft bijvoorbeeld ook een onderwijsaspect als het gaat om kinderen die meekomen. Dat raakt sowieso al die drie onderwerpen die ik zo snel noem, rondom die ene opgave. Je ziet dat die opgaven steeds moeilijker worden, complexer en meer kennis vragen. Meer specialisten die kennis van zaken hebben. Je ziet ook dat de burger hoge eisen stelt aan de bedrijfsvoering. Vaak hebben zij behoefte aan één aanspreekpunt bij de gemeente of bij de overheid. Niet van het kastje naar de muur. Dat stelt natuurlijk ook hoge eisen: hoe hebben we het intern geregeld? Hoe komt een vraag van de burger, een behoefte van de burger, hoe komt die snel en goed terecht? Dat is een aspect om daar zeker in mee te nemen, maar ook wetgeving van buitenaf. Denk maar aan de Omgevingswet.

Best een lastige wetgeving wat vanaf 1 januari gaat gelden. Of aan de Wet open overheid. Daar moet je ook aan voldoen. Denk aan de rechtmatigheidsverantwoording die vanaf 2023 al geldt, waarin u verantwoording aflegt of u financiële wetten op een goede wijze toepast. Die wetten bevatten best wel veel eisen. Ik heb dat in het volgende deel opgenomen. Hoge eisen met betrekking tot veiligheid, ICT, cyber: hoe bent u beschermd voor cyberaanvallen? Aan bescherming van persoonsgegevens worden hoge eisen aangesteld, maar ook preventie van fraude en misbruik dan wel oneigenlijk gebruik van regelingen. Dat zijn allemaal wetgevingsterreinen waar best wel veel specifieke, gedetailleerde wet- en regelgeving een rol speelt. Met vaak nog toezichthouders die daarnaar kijken of overheden en andere organisaties zich aan die wetgeving houden. Denk maar aan de Autoriteit Consument & Markt. Die let echt wel goed op of er dingen in een

gezonde concurrentie plaatsvinden. Er zijn gemeenten die producten aanbieden die wellicht concurrerend zijn met de markt. Dan kunt u als gemeente met de Autoriteit Consument & Markt te maken krijgen, maar ook met de Autoriteit Persoonsgegevens heeft u vaak al heel direct mee te maken. De Autoriteit Financiële Markten, de AFM, de Rekenkamer, de Auditdienst Rijk en natuurlijk van oudsher de ministeries en de provincies. Zo ziet u dat er heel veel partijen zijn die op een heel specialistisch gebied toezicht houden op wat u als gemeente doet. Daar moet u inderdaad altijd weer verantwoording over afleggen. Dat maakt die hele omgeving ingewikkeld. Het betekent dat die bedrijfsvoering goed moet zijn. Daarnaast hebben we natuurlijk nog met een aantal andere ontwikkelingen te maken. Dat is niet een volledig lijstje, maar het zijn een paar dingen waar je natuurlijk mee te maken hebt: een moeilijke arbeidsmarkt, misschien een stukje vergrijzing in die arbeidsmarkt, een toenemende mate van digitalisering, informatie integraal ontsluiten voor zoveel mogelijk mensen, veel meer werken met data. Dat zijn allemaal bewegingen die u herkent en die natuurlijk die bedrijfsvoering beïnvloeden. Dit vraagt allemaal om versterking van de kwaliteit van die bedrijfsvoering in uw organisatie. De gemeente Kerkrade is zich daar gelukkig van bewust.

De afgelopen twee jaar is dat met enorme stappen voorwaarts gegaan. Er is ook veel te doen. Daar zijn deze punten een beetje de leidraad bij geweest de afgelopen periode, maar ook voor de komende periode. Dat is sowieso: behoudt wat u goed doet. Ik hoorde de wethouder zeggen: "U bent in Kerkrade" en dat herken ik. U heeft een vrij doenerige cultuur. U stroopt de mouwen op en gaat aan de slag. Daar is wat mij betreft helemaal niks mis mee, dus dat moet u vooral blijven doen. Het is iets toevoegen eraan. Dat doen, dat herken ik: snel een probleem oplossen, handson mentaliteit. Dat heb ik hier geformuleerd: behoudt waar u goed in bent. Het is natuurlijk belangrijk om te investeren in die bedrijfsvoering en daarom maken we bedrijfsvoering ook een kerntaak: maak het ondersteunend, maar niet ondergeschikt. Het is geen corvee. Het is een onderdeel van het dagelijks werk van iedereen binnen de organisatie om te zorgen dat die bedrijfsvoering goed is. Hier staan heel veel punten op waar inmiddels al aan gewerkt wordt. Daar gaat u vanavond het één en ander over horen, welke stappen er gezet zijn. Eentje licht ik eruit en dat is dat er gedacht wordt heel sterk in het concept in de bedrijfsvoering van de eerste lijn werkzaamheden die plaatsvinden binnen de gemeente, de tweede lijn werkzaamheden die plaatsvinden en een derde lijn werkzaamheden.

Daar ga ik nog iets dieper op in, want daar gaat u vanavond absoluut iets meer over horen wat dat voor Kerkrade betekent. Hier een plaatje. Daar ziet u staan: de gemeenteraad, het college, directie. Dat is uiteraard de leiding, u bent de baas. Het college bestuurt en de directie voert uit, die stuurt de organisatie aan. Dan kun je vervolgens de werkzaamheden, de bedrijfsvoering, de processen in de organisatie waarmee u de burgers en bedrijven bediend, kunnen indelen in drie lijnen. Het is belangrijk om die heel duidelijk en concreet te maken zodat alle medewerkers weten waar hij of zij aan werkt. Dat is die eerste lijn: vooral de managers en de afdelingshoofden. Zij zijn verantwoordelijk voor de kwaliteit van de processen, verantwoordelijk voor de kwaliteit van de dienstverlening aan de burgers en zij zijn eigenaar van dat proces. Dat zijn die primaire processen, dus bijvoorbeeld: de Wmo, de bijstand, het opleggen van belastingen, het onderhoud van de wegen, onderhoud van gebouwen. Dat zijn de primaire processen. De afdelingshoofden zijn er verantwoordelijk voor dat die bedrijfsvoering die bij die processen hoort, goed is. Dan hebben we mensen die werken in de tweede lijn. Dat zijn de specialisten en zij bieden als het ware steun.

Zij ondersteunen die primaire processen, dus zij ondersteunen de mensen die werkzaam zijn in die primaire processen en in de dienstverlening aan de burgers. Dan moet je denken aan een functie van personeel en organisatie, aan de ICT-omgeving, de automatisering of de afdeling financiën en juridische zaken, maar ook een afdeling als security of compliance, gegevensbescherming. Dat soort specialistische functies die heel erg specialistische kennis hebben. Die functionarissen, die mensen, werken in de tweede lijn en ondersteunen het primaire proces, zodat die zo goed mogelijk hun werk kunnen doen en zo goed mogelijk de burgers kunnen bedienen. Dat er bijvoorbeeld wordt voldaan aan eisen die op het gebied van financiën gelden, of eisen die op het gebied van persoonsbescherming gelden, of eisen op het gebied van cyber security et cetera. Dat is de tweede lijn. Zij werken in principe voor heel de gemeente, alle afdelingen. De derde lijn is de wat meer onafhankelijke functionarissen. Dat zijn de mensen die vooral bezig zijn met interne controle en audit. Zij toetsen of de processen, de bedrijfsvoering, inderdaad aan de kwaliteitseisen die je met elkaar stelt voldoen. Zij voeren in feite controlewerkzaamheden uit en signaleren als het niet goed gaat en komen met verbetervoorstellen.

Dan heeft u nog een aantal externe partijen die toetsen: externe toezichthouders, de Rekenkamer, de accountant. Die ziet u in die blokken rechts. Dat is de manier waarop je de bedrijfsvoering en de processen kunt inrichten. Mensen werken in de eerste lijn, in de tweede lijn of in de derde lijn. Daar moet je dus heel duidelijk in zijn: wat hoort daar voor werkzaamheden precies bij? Ik heb dat in dit sheet concreet gemaakt in een voorbeeld. Links ziet u weer die eerste lijn. Afdelingshoofd primair proces heb ik als voorbeeld gedaan: het verstrekken van bijstand. Dat is een primair proces. De mensen die daaraan werken zijn verantwoordelijk voor dat hele proces, ook voor de kwaliteit van de dienstverlening van dat proces, van die bedrijfsvoering. Ze zijn ook verantwoordelijk voor de interne checks in dat proces, de checks and balances, de interne controle in het proces zelf. Kortom, zij zijn eigenaar van dat proces en verantwoordelijk

dat het proces geolied loopt en voldoet aan de eisen die je aan zo'n proces moet stellen. Zij krijgen ondersteuning van mensen die in de tweede lijn zitten. Zij helpen hen bij: welke eisen gelden er voor dat proces op het gebied van gegevensbescherming, ICT, financiën, risicomanagement, hoe de boekhouding ingericht moet zijn. De mensen van de tweede lijn adviseren daarover. Zij ondersteunen erbij en geven in feite de kaders mee waarbinnen dat primaire proces moet worden uitgevoerd. In dit geval rondom het verstrekken van bijstand. Dan hebben we de derde lijn. Dat zijn de mensen die interne controlewerkzaamheden uitvoeren. Die bij wijze spreken een aantal bijstandsdossiers lichten en checken: is dit proces goed gegaan? Is die uitkering terecht verstrekt, voldoet het aan de eisen die we met elkaar hebben gesteld? Is de documentatie oké? Als zij daar opmerkingen bij hebben of verbeterpunten zien, koppelen zij die terug aan de afdelingshoofden en de directie. Die zijn dan in staat om weer verbetermaatregelen te nemen en dat primaire proces verder te versterken. Dat is waar jullie naartoe willen en waar jullie straks een toelichting over krijgen. Dat is steeds binnen deze lijn van dit concept, met die eerste, tweede en derde lijn. Dit is een plaatje wat u wellicht vaker gezien hebt. Die eerste, tweede en die derde lijn hebben een beetje het idee van een soort dijk.

Je probeert je tegen risico's en fouten te beschermen. Dat is het water links. Dat probeer je te doen door te zorgen dat in de eerste plaats het primaire proces, het proces richting de burgers en de bewoners, hartstikke goed is ingericht. Dat het kwalitatief aan de eisen voldoet en dat de wetgeving goed wordt nageleefd. Dan heb je een tweede dijk. Zij helpen daarbij, ondersteunen erbij, voegen kennis toe, geven, kaders mee, adviseren hoe het beter kan. Tenslotte hebben we de derde dijk. Dat zijn de mensen die achteraf toetsen: is het allemaal gegaan zoals we het met elkaar hadden afgesproken? U zit in die vuurtoren en heeft in die zin de kaderstellende en de controlerende positie dat u vanuit die toren moet overzien of het geheel allemaal goed blijft functioneren. Als daar opmerkingen over zijn, heeft u hulpmiddelen zoals de Rekenkamer en de accountant die u helpt om rol uit te voeren. Ik zeg er altijd wel bij: bedrijfsvoering is primair van het college. Pas op, als raad dat je niet op de stoel van het college gaat zitten, maar u heeft natuurlijk wel degelijk die vuurtorenfunctie om het geheel en het totaal te blijven overzien: zijn wij op koers, liggen we op koers, varen we de goede richting met elkaar uit? Dit als aftrap over bedrijfsvoering en in welke context u op dit moment staat en waar u naartoe onderweg aan het varen bent. Dank u wel.

Het is de bedoeling dat er nu een mogelijkheid is om aan u vragen te stellen. Meneer Otten, u heeft geen vraag? PvdA ook niet. Ons Kerkrade ergens een opmerking of vraag? SP ook niet. Helder. Ik had een vraag, maar u ging zo snel. De auditor bij lijn drie: is het niet beter als je die bij lijn één onder hangt? Die moet naderhand toch de verantwoording afleggen aan de manager. Dat kun je die toch meteen daaronder hangen? Dan ligt de verantwoording toch meteen daar? Of zie ik dat fout? Het is heel cruciaal dat die derde lijn, die interne controle, echt een onafhankelijke positie jegens iedereen in de organisatie heeft. Hij moet kunnen rapporteren wat hij vindt en daarbij niet afhankelijk zijn van een afdelingshoofd of een directielid die toevallig verantwoordelijk is voor dat proces. In de praktijk betekent dat deze functies meestal rechtstreeks onder de directie of rechtstreeks onder de gemeentesecretaris zijn ondergebracht, zodat zij ten opzichte van de rest van de organisatie zo onafhankelijk mogelijk kunnen opereren. Je kunt zelfs erover nadenken, gelukkig gebeurt dat in de praktijk nooit, maar de concern controller heeft altijd wel een rechtstreek lijntje naar het college. Als er echt iets aan de hand is, kan er op die manier geëscaleerd worden. Die onafhankelijke positie is heel belangrijk ten opzichte van de rest.

Ik zeg er nog gelijk bij dat een aantal toezichthouders die stellen met betrekking tot een aantal van die controlerollen, dus van die audits die moeten worden uitgevoerd, waar ook een verplichting op rust om die periodiek uit te voeren, zijn er ook wel toezichthouders die dat ook eisen. Dat die functie zo hoog mogelijk en zo onafhankelijk mogelijk is belegd in de organisatie. Dat is inderdaad vaak dus niet dichtbij een afdeling. CDA? Niet? Burgerbelangen ook niet? Dan zijn wij klaar. U heeft een hele heldere presentatie gegeven. Wij gaan over naar presentatie nummer twee. Goedenavond, ik wil me eerst voorstellen. Mijn naam is Ron Kalfics en ik ben privacy-officer en plaatsvervangend functionaris gegevensbescherming. Zoals net door Rein-Aart mooi is aangegeven: ik zit duidelijk in de tweede lijn, de ondersteuning van de eerste lijn. Ik neem jullie vandaag mee in privacy als onderdeel van bedrijfsvoering. De gemeente heeft met twee privacy wetgevingen te maken. Een is de Algemene Verordening Gegevensbescherming die over alle gegevens verwerkingen gaat en de Wet Politiegegevens en Besluit Politiegegevens en BOA's (WPG en BpaBOA afgekort). Dat gaat met name over opsporing en handhaving. Wat houdt de AVG in: alle verwerking van persoonsgegevens van natuurlijke personen, in welke vorm dan ook, die verwerkt worden in de organisatie.

Weten we allemaal dat de gemeente bij uitstek een gegevensverwerkende organisatie is. Wij verwerken echt heel veel persoonsgegevens van mensen. De WPG/BpBOA is de verwerking van strafrechtelijke persoonsgegevens in het kader van opsporing en handhaving. Dan moet u denken aan een parkeerboete die doorgezet wordt, maar ook als ergens in het milieu een illegale storting

2 Bedrijfsvoering Spreekstoel

is gedaan en de persoon wordt daarbij aangetroffen, kan daar strafrechtelijk opgetreden worden. Deze wetten stellen eisen aan de verwerking van persoonsgegevens en de rechten van deze personen. De organisatie moet dat inregelen. Als je praat over: wat zijn dat bijvoorbeeld voor eisen? Een ervan is: er moet een wettelijke grondslag voor zijn. Je mag geen gegevens verwerken als er geen wettelijke grondslag is. Je moet iets inregelen voor de rechten van betrokken. Iemand die zegt: "Ik wil weten welke gegevens u voor mij verwerkt, gemeente Kerkrade." Dan moeten wij daar een antwoord op kunnen geven. Vervolgens worden eisen gesteld aan de processen. Ik kom weer bij het verhaal van Rein-Aart over de bedrijfsprocessen die ingericht moeten worden. Een eis is bijvoorbeeld proportionaliteit. Dat betekent dat je niet meer gegevens mag verwerken dan strikt noodzakelijk is. Een andere is subsidiariteit: het moet met zo weinig mogelijk risico of gevaar voor de personen waarvan die gegevens verwerkt worden. Nog een hele belangrijke: als de gegevens verwerkt worden, moeten de juiste fysieke en technische beveiligingsmaatregelen getroffen worden. De opslag en de toegang van die gegevens moet veilig zijn, maar ook bijvoorbeeld dat niet iedereen bij de gegevens kan. Het vraagt echt iets voor de inrichting van je werkprocessen en daar moeten wel eisen aangesteld worden.

Vervolgens wil ik ingaan op: waar liggen nu de verantwoordelijkheden? De AVG, maar ook de WPG spreken in de term verwerkingsverantwoordelijke. Dat is afgeleid van verwerking van gegevens. Wie is daar nu verantwoordelijk voor? Primair is dat het college. Zij moeten kunnen aantonen, mooie term, dat heet accountable zijn over hoe dit in de gemeente Kerkrade is geregeld. Ze zijn verplicht om daar verantwoording over af te leggen als de Autoriteit Persoonsgegevens daarom vraagt. Dan krijgt u weer het verhaal naar externe toezichthouders, dat is de Autoriteit Persoonsgegevens. Dat kan betekenen dat er eventuele boetes kunnen optreden, als het niet naar de zin is van de toezichthouder, de AP. Uiteraard is dit ook van toepassing op de Wet Politiegegevens. Bedrijfsvoering is een verantwoordelijkheid van iedereen, maar als je praat over het college is die uiteraard eindverantwoordelijk. Het directieteam draagt de privacy ook binnen de organisatie, is verantwoordelijk voor de ambtelijke organisatie en is proceseigenaar van de taken die binnen haar domeinen worden uitgeven. De afdelingshoofden zitten daar uiteraard weer onder. Die zijn procesverantwoordelijke voor de werkprocessen, de inrichting van de werkprocessen. Waaronder ook AVG en WPG. Dan krijg je weer de link naar bedrijfsvoering. Zij moeten de bewustwording privacy bevorderen.

Als laatste uiteraard de medewerkers: toepassen van privacyregels en de uitvoering, handelingsbekwaam en weten wat je moet doen. Dat komt naar voren in de bedrijfsvoering en wat je daar voor inregelt. Ik kom terug op een stukje analyse: waar staan we nu en wat hebben wij nu geconstateerd? Zeker heb je dat nodig om een plan te maken naar de toekomst: waar gaan we nu verbeteren? Zoals gezegd, de afgelopen jaren hebben wij ons vooral ons gericht op: doen, doen voor Kerkrade en burgers. Er zijn hele mooie dingen gerealiseerd. Laten we dat vooropstellen en dat moeten wij vooral blijven doen. We willen dat er verantwoording moet kunnen worden afgelegd of we aan de wet- en regelgeving voldoen. Zijn onze bedrijfsprocessen zoals we die ingeregeld hebben aan de maat? Als je praat over accountancy moet je zeggen: opzet, bestaan en werking. Dat zijn een paar moeilijke woorden, maar opzet is niet meer dan het vaststellen van een plan bijvoorbeeld privacybeleid. Het bestaan: het uitvoeren van het plan. De procesbescherming, de inrichting van de procedures, bijvoorbeeld een datalek procedure en de werking is: hoe werkt dat nu in de praktijk? Ik heb er een voorbeeld bij gepakt vanuit een heel ander kader. Bijvoorbeeld in het kader van brandveiligheid is het verplicht om rookmelders op te hangen. Dat is de opzet.

Bestaan is: zijn die dingen daadwerkelijk geplaatst? Zijn ze in elke ruimte? De werking is: doen ze het ook als er brand is? Die analogie zie je terug in zowel de AVG als WPG. Waar we nu tegenaan lopen in het kader van doen is dat we niet altijd de documenten hebben die daarbij horen. Op zich is dat om te constateren dat we het wel doen, maar we hebben niet goed beschreven. Dat moet wel gebeuren, want je moet daar verantwoording over kunnen af te leggen. Om te voldoen aan de AVG/WPG moeten alle processen op de juiste wijze vorm worden gegeven. Dan denk ik aan aspecten van contractmanagement, de vereisten waar ik voor sta, informatie en financiële verantwoording, wettelijke kaders et cetera. Dat hoort allemaal in die werkprocessen thuis. Om dat allemaal goed op te pakken, daarvoor zijn wij vanavond hier, is een organisatiebreed bedrijfsvoerings traject nodig, waar mijn collega straks nader op in gaat zoomen hoe dat vorm gegeven wordt. Wat ook nodig zou zijn, is externe ondersteuning. Zowel in het kader van expertise als capaciteit. Betekent dit een ontlasting van de medewerkers? Nee. Als wij hiermee slagen gaan maken, zal het een extra belasting betekenen voor de medewerkers, want zij moeten de informatie leveren zoals zij in de praktijk werken. Het betreft de gehele organisatie: bestuur, management, medewerkers. Die dienen er bewust naar te handelen.

Ook hier hebben we ondersteuning voor nodig. Nogmaals, het betreft de totale organisatie, niemand uitgezonderd. Ik zeg dit op voorhand: dit is geen appeltje-eitje. Dat doe je niet even met een busje mensen ervoor en het is geregeld. Nee,

het is een langdurig traject. De gemeente Kerkrade kent heel veel takenprocessen en zeker persoonsgegevensverwerkingen dus het is geen appeltje-eitje. Hoe gaan we dat nu doen? In het kader van de vorige sheet houden wij die lijn vast van eerste, tweede en derde lijn. De eerste lijn is de uitvoering handelingszeker op privacy en kan deze toepassen. Dat betekent ook dat de processen waar zij mee werken ingericht zijn in het kader van privacy. Om die mensen te ondersteunen hebben we een tweede lijn nodig, die is ingericht en ook levert wat voor ondersteuning nodig is. De derde lijn: het toezicht op privacy is zodanig gepositioneerd dat de functionaris gegevensverwerking de taken onafhankelijk en adequaat kan uitvoeren. Er zal inhuur plaatsvinden van externe ondersteuning om de noodzakelijke capaciteit, kennis en kunde aan te kunnen vullen en te kunnen leveren. Dat geldt zowel voor de AVG als WPG. Bij de WPG zit een verplichte audit in. Wij zijn momenteel met het bedrijf de externe auditor Deloitte gestart, met de WPG audit om in ieder geval daar een auditrapport over te krijgen. Daarbij komt een plan van eventuele herstelacties die noodzakelijk zijn. Het AVG-compliancy traject complete traject wordt in de markt weggezet als een Europese aanbesteding. De reden is puur omdat wij denken dat het boven de aanbestedingsgrens uitkomt. We willen dat op voorhand goed inregelen.

Niet achteraf bedenken: het gaat meer kosten, we moeten weer terug en alsnog een Europese aanbesteding gaan doen. Privacy-formatie en dan met name de tweede en derde lijn. Wij als Kerkrade, de derde lijn, hebben een functionaris gegevensbescherming. We zijn bezig met het inrichten van de tweede lijn. Uitlopend op het bedrijfsvoeringtraject is in 2022 al in de begroting formatie vrijgemaakt voor privacy offers zoals ze officieel heten aan te vullen. Op dit moment kan ik melden dat er naast mijzelf als privacy officer per 1 augustus een nieuwe collega is begonnen en per 1 januari aanstaande kan de volgende collega starten. Dat betekent dat we nu zover met de formatie op orde zijn in het kader van de tweede lijn. Wat we daarbij doen is omdat die mensen nieuw zijn in de organisatie, ze hebben wel ervaring met privacy, laten we ze deelnemen met het traject waar we mee bezig zijn, zodat als straks de externe inhuur weg is, wij dat naadloos kunnen overnemen. Wij dat eigenstandig kunnen doen. Financieel: duidelijk is dat het veel geld gaat kosten en een langdurig traject is. Ik had al aangegeven: het is geen appeltje-eitje. Alleen voor de WPG-audit met gedicteerde aanbeveling kost tussen de 70 en 120000 euro. De marge die daarin is opgenomen, is omdat we destijds niet helemaal inzichtelijk hadden waar we tegenaan zouden lopen.

Daarom zijn we gestart met de WPG-audit met eerst inventariseren: waar staan we nu en wat moeten we daarin verwachten? Vervolgens zullen daar reparaties uitkomen die waarschijnlijk extra handjes gaat kosten om dat te realiseren. De financiering daarvan wordt meegenomen in de begrotingscyclus zodat die via een ander traject, via het college naar de raad komt. Dat zit er nog aan te komen. Wat willen we uiteindelijk als resultaat? Een voldoende niveau drie. De werkzaamheden worden organisatie breed volgens vastgestelde werkwijzen uitgevoerd en voldoet aan de mate. Niet alleen in opzet en bestaan, maar ook daadwerkelijk in de praktijk. Tot slot: uiteindelijk is het doel een gemeente die kan aantonen AVG- en WVG compliant te werken. Het levert meteen inzicht op in onze bedrijfsprocessen en informatie die kan worden gebruikt voor informatiemanagement, informatiebeveiliging en documentaire informatievoorziening. Dat zijn allemaal hele mooie nevenproducten die vanuit privacy kan worden gebruikt. Tot slot: onze bedrijfsvoering aan de maat. Dan wil ik afsluiten. Nu komen wel vragen, had ik begrepen. Meneer Otten. Ik heb een vraag. U zei net dat burgers kunnen navragen wat er in hun dossier wordt opgeslagen. Is het dossier zo beveiligd dat naderhand bekeken kan worden wie in het dossier heeft gezeten? Ja, als je praat over informatiebeveiliging.

Op systemen zit een login dus daar moet op gecontroleerd worden. Ja. Dus je kunt achteraf laten nakijken wie in jouw dossier gezeten heeft en dat is beveiligd. Ik moet er wel een opmerking bij maken. Als je kijkt naar de wetgeving en de eisen die ze daaraan stellen, is niet zo dat meteen alle ICT-leveranciers dit soort functionaliteiten hebben ingebouwd. In ons documentaire informatiesysteem zit een login. Op het moment dat er iets aan de hand is, iets gelekt of weet ik wat, en je wilt als inwoner navragen wie in jouw dossier heeft gezeten, kan dat door de gemeente aangeleverd worden? Als het relevant is tenminste. Ja. Dank je wel. Ik heb zelf ook nog wat vragen. Een vraag met betrekking tot het uitwisselen van gegevens. Je ziet dat alles heel strikt geregeld wordt en ook bijgehouden wordt. Goe zit het met het uitwisselen van gegevens? Je merkt wel eens dat als links geweten had, wat er rechts gebeurd was dan was het probleem niet veroorzaakt. In die zin van: in het kader van de Privacywet mogen maar heel weinig gegevens gedeeld worden, terwijl als je de gegevens zou kunnen delen het veel beter voor de cliënt was geweest, maar ook voor de organisatie. Is dat nu nog strikter geworden dan voorheen of valt dat mee? Het valt mee en het valt tegen. Laat ik het zo zeggen.

Ja, er wordt steeds veel meer gelet op: mag ik dat met jou delen? Als het al deelt, dan praat je meestal over verwerkingsovereenkomsten of gegevens leveringsovereenkomsten tussen die organisaties. Daar staat ook precies in wat je dan deelt. Dat is ook weer van belang voor de rechten van de persoon, als die opvraagt: wie heeft er nu allemaal in mijn gegevens gekeken? Dat moet wel goed vastliggen. Wij hebben daar een gemeentelijke register van verwerkingen voor waar al informatie in vast ligt. Als je praat over met name domeinoverstijgende gegevensuitwisseling zitten daar ook reparaties aan te komen in de wet. Ik heb niet de volledige namen, maar bijvoorbeeld de wet Wams gaat regelen dat tussen bijvoorbeeld Wmo Participatiewet

en Jeugd bij problematische gevallen die gegevensdeling beter tot stand kan komen. Daar zitten dan ook weer voorwaarden aan vast. Voorzitter, een vraagje: hoe lang worden die gegevens bewaard of blijf je altijd met dat rugzakje rondlopen? Of wordt er op een gegeven moment een keer gezegd: "Daar gaan dingen uit, want die zijn nu niet meer relevant." Nee, niet. Wij hebben de gemeentelijke vernietigingslijst en dat is gekoppeld aan de Archiefwet. Daar zitten termijnen op en binnen die termijnen wordt dat vernietigd. In principe, als mensen erom verzoeken wordt kan dat vernietigd worden. Behalve als er wettelijke termijnen opzetten die dat voorkomen. Dank je wel. Dank voor de presentatie. Twee vragen: in het kader van de veiligheid en de privacy, huurt de gemeente wel eens officiële hackers in die de boel moeten proberen te hafken om te kijken: wat is veilig, wat niet? Dat hoor je wel eens bij grote bedrijven. Het is openbaar, dus ik kan geen bedrijfsgegevens delen. Je mag ervan uitgaan dat er testen worden uitgevoerd. Prima. Vraag twee: u gaf aan bij de analyse dat er meer werk c.q. belasting bij komt voor de medewerkers. Het gaat niet zo worden zoals we vaker bij de politie zeggen: die zitten meer aan de administratie dan dat ze op het werkvloer zitten om boeven te vangen. Dat de medewerkers hier meer moeten invullen in plaats dat ze kunnen werken. Dat we daar naartoe gaan.

Nee, dat is niet de bedoeling. Zoals Rein-Aart al aangaf: het moet geen doel op zichzelf zijn. Er moet wel zodanig gehandeld worden dat wij voldoen aan wet- en regelgeving. De bedrijfsvoering en de processen zijn zodanig inricht dat dat soort zaken automatisch gaan. Dat het ingeregeld is en er op voorhand al maatregelen getroffen zijn, zodat de medewerkers volgens de procedure hun werk kunnen doen. Het moet uiteraard niet leiden tot een bureaucratische rompslomp die zo zijn doel voorbij gaat schieten. Dat moet niet gebeuren. Voorzitter, over de financiën. Ik weet niet of u dat weet, of dat ik dat aan wethouder Paas moet vragen: bij de WPG-audit, zo stond het in de nota van toelichting, zou zijn afgeweken van het aanbestedingsbeleid? Dat is een vraag voor de wethouder. Ik kan hem benoemen, want ik ben degene die de nota heeft opgesteld. Dat kan wel, maar u bent niet verantwoordelijk om dadelijk te horen te krijgen dat wij een vervelende vraag stellen, vraag ik het aan de wethouder. Bij de WPG-audit, staat dat er is afgeweken van het aanbestedingsbeleid. Zo staat in de nota van toelichting.

Dat vraag ik aan de wethouder Paas: kan toegelicht waarom en waarom dit niet toen in juli 2022 is gemeld aan de raad? Dat is een praktische vraag voor u: wanneer is die verplichte audit gestart met Deloitte? Er zijn er twee of heb ik dat niet goed begrepen? De audit wordt eerst voorbereid en dan komt er iemand koekeloeren of je het allemaal goed hebt gedaan. Die gaat dat auditrapport bekijken en controleren. Is dat eenzelfde soort proces? Waar staan we in dit proces op dit moment? Dat is denk ik een vraag aan u. Dan kom ik daarna wel weer terug. Waar zijn we? Waar staan we nu? Wij hebben gekozen voor drie fasen om de audit uit te voeren. Eerst hebben we een inventarisatiefase gedaan: wat is er allemaal? Hoe zit het nu in elkaar in de gemeente Kerkrade? De tweede fase is de werkelijke uitvoering van de audit: wat constateren wij nu? Met de auditor vindt nog een derde fase plaats en dat is een hercontrole op de verbeteringen. Zo is het traject opgezet. Dan begrijp ik het denk ik niet, want in de nota van toelichting van juli staat dat er wordt afgeweken van het aanbestedingsbeleid. Dat er besloten wordt om 120.000 euro uit te geven aan Deloitte. Dat die de opdracht krijgt om: af te wijken van de [onhoorbaar 00:55:24] en de opdracht voor de WPG-audit één op één te gunnen aan Deloitte. Dat staat er.

Normaliter bij dat bedrag moeten vier partijen uitgenodigd worden om een opdracht te doen. De voorstel aan het college is om dat nu niet te doen, maar gelet op kennis en kunde van Deloitte en van onze organisatie, om dat meteen aan hun te gunnen. Het verzoeken aan het college was om in dat kader af te zien van de opdracht. Dat is getoetst door de medewerkers van inkoop en aanbestedingen. In de nota staat bij het kopje rechtmatigheid dat afdeling inkoop en aanbesteding is geconsulteerd en dat het voorstel zoals het er ligt, past binnen de inkoop en aanbesteding van de gemeente Kerkrade. Wethouder, dat laatste betwijfel ik aangezien er staat: afgeweken wordt van het aanbestedingsbeleid wat wij zelf hanteren. Daarom dacht ik: wacht even, wij hebben aanbestedingsbeleid en dat hebben we met de raad vastgesteld. Als daarvan afgeweken wordt, lijkt het mij dat u naar de raad komt om dat op z'n minst te melden dat daarvan afgeweken wordt en dat toe te lichten. Daarbij heb ik ook de vraag aan de wethouder: daar kan ik me wel wat bij voorstellen dat er erg veel kennis en kunde is bij Deloitte omdat ze al heel lang hier bij ons binnen zijn. Anderzijds weten we ook dat Deloitte niet de goedkoopste partner is waar je opdrachten aangeeft. Ik zou wel graag willen horen wat daar dan de afweging is van de wethouder.

Er waren in ieder geval praktische overwegingen om te handelen zoals wij gehandeld hebben. Als u zegt: er zijn misschien accountantsbureaus die goedkoper zijn, dat zou best kunnen. Als je met een accountantsbureau hele goede ervaringen hebt en het gaat bijvoorbeeld om een bedrag, stel dat een ander 20.000 euro goedkoper zou zijn voor die opdracht. Als college maak je dan de afweging: ga je voor die 20.000 euro het risico lopen dat je een accountant binnenhaalt waar je mogelijk niet zo'n goede ervaring mee hebt als die van Deloitte. As je een goede accountant hebt, waar je op kunt bouwen, waar je elk moment van de dag een beroep kunt doen, dat is zo belangrijk voor de organisatie. Ik kijk naar Rein-Aart. U was er vorige week ook. Hoe Rein-Aart de commissie heeft meegenomen over de begroting. Het zijn allemaal zaken, dat kan ik u in alle eerlijkheid zeggen: dat zijn dingen daar krijgen we geen factuur voor. Het is echt zo dat Rein-Aart dat doet als een stukje serviceverlening naar de gemeente Kerkrade toe. In

dat kader denk ik: moet je dan het risico lopen en met een andere accountant in zee gaan, waar je die goede ervaringen niet mee hebt? Het college heeft daar in ieder geval niet voor gekozen. Nogmaals, het waren praktische overwegen om te handelen zoals we gehandeld hebben. Als wij afwijken, want dat zei u nog, van de procedure zoals die er ligt: het is en blijft uitvoering en uitvoering is van het college. Voorzitter, het gaat om uitvoering van vastgesteld beleid door de raad. Als daarvan afgeweken wordt, komt u keurig netjes terug naar de raad om te vragen of dat oké is. Ik ben het helemaal met uw analyse eens, meneer Paas. Er ontbreekt één essentieel ding en dat is dat u geen offertes hebt gevraagd van anderen. Zodat u niet kunt zeggen dat het eventueel 20.000 euro goedkoper is, want dat weet u eenvoudigweg niet. U heeft het niet gedaan. Dat is de vraag. Ik wil het wel toelichten waarom ik hier op hamer: in de nota van toelichting staat dat we het beleid niet op orde hadden. We staan hier vanavond, en natuurlijk doen we heel veel goed en we zijn doeners en heel pragmatisch. Daar zul je ons als SP niet zo snel over horen.

We zijn niet van de bureaucratische rompslomp, maar als geconstateerd wordt dat er fouten worden gemaakt en we lopen achter en er moeten reparaties plaatsvinden, dan vind ik en ik vind dat u daar een antwoord op moet geven, meneer Paas, dat u naar de raad moet komen om de raad daarvan melding te doen. Vervolgens kunt u aan de raad uitleggen hoe u dat gaat oplossen. Dan kunt u aan de raad vragen of we het daarmee eens zijn of tenminste een zienswijze ophalen. De vraag is: waarom is dat niet gebeurd? Die vraag is nu gesteld. Ik weet niet of die beantwoord wordt, want dit is wel een politieke vraag. We hebben hier een informatieavond en u heeft een vraag gesteld. Wat is hier politiek aan? Wilt u dat uitleggen, want ik zie het niet. U gaat nu een debat aan. Ik vraag aan meneer Paas waarom hij iets niet gedaan heeft? Meneer Paas heeft net toch een uitleg gegeven waarom dat besluit genomen is. Dat is helder, dat hoort bij die info. Daar heb ik toch nog een aanvullende vraag op gesteld, omdat meneer Paas niet heeft uitgelegd waarom hij geen offerte heeft opgehaald. Dat wil ik nog wel weten. Waar u nu op doelt is zuiver politiek, een politieke vraag. Waarom heeft, als een wethouder hier in een informatiesessie verantwoording moet afleggen, waarom hij wel of iets niet gedaan heeft, of het college wel iets niet gedaan heeft? Is dat een politieke vraag? Daar gaat het vanavond niet over.

Die moet u op een ander moment stellen. Niet in ieder geval in deze zaal. Ik beantwoord hem niet, want het hoort niet. Dat zijn de afspraken die we gemaakt hebben. Dit is een informatieavond. Dan moet u niet vragen: waarom heeft u het wel of niet gedaan? Of het college dat wel of niet gedaan? Duidelijk wethouder. Een duidelijk antwoord. Als we naar het plaatje kijken waar de gemeenteraad staat, ontbreekt de gemeenteraad. Ik weet niet welke dia dat is. Misschien klopt dat wel, dat plaatje daar ga ik vanuit, maar ik mis dat. Kunt u aangeven waar volgens u de raad staat? De gezamenlijke verantwoordelijkheid, die dia waarin u uitlegt: college, burgemeester, wethouders, directie, afdelingshoofden, medewerker. Ik mis daar de raad, tenzij u zegt: dat is logisch, want de raad hoort daar inderdaad niet bij. Dan hoor ik dat graag. Begrijpt u mijn vraag? Dat is pagina vier. Waar staat volgens u in dit plaatje de raad? Ik kan het ook aan de wethouder vragen. Ik heb de raad daar niet bijgezet omdat u raad, als je kijkt naar de vuurtoren, u heeft daar altijd een rol in. Laat ik dat voor opzetten. Wat ik hier neer heb willen zetten is: wie is hier nu een directe verantwoordelijke in? Ik moet helaas zeggen: dat is toch college, het directieteam, afdelingshoofd en de medewerkers.

Bent u het met ons eens dat wij uiteindelijk wel als toezichthouder moeten kijken of al die wetten waar wij aan moeten voldoen, die net genoemd zijn door de meneer van Deloitte, dat zijn allerlei wet- en regelgeving. Die zijn heel lastig en complex. Dat hebben we net allemaal gehoord. We lopen daarmee achter op een bepaalde manier, dan is het toch aan de raad om daarop toe te zien. Klopt dat als ik dat zo zeg of klopt dat niet? Dat zeg ik net dat u metaforisch in die vuurtoren zit en ook blijft zitten. Van daaruit uw rol doet. Alleen wat ik in deze dia heb neergezet is een directe pinpoint verantwoordelijke. Dat begrijp ik. Dan is dat woordje verantwoordelijkheid in die zin voor mij een beetje misleidend, omdat wij daar natuurlijk wel bij horen. In de zin van dat het onze verantwoordelijkheid is als raad om te kijken vanuit die vuurtorenfunctie of het allemaal conform wet- en regelgeving et cetera is. Wethouder Weijers. Bedoeld wordt verantwoordelijkheid met betrekking tot de uitvoering. Uiteraard hebben jullie een controlerende en kaderstellende taak en die blijft bij de raad. Mevrouw Laumann had nog een vraag. Ik heb iets anders gehoord. U zei tussen 70 en 120.000 dat zit er nog aan te komen. Dan moet ik toch vragen: staat dat nu in de begroting van 2024 al aangegeven? Dat ben ik even kwijt.

Nee, op het moment dat wij die opdracht gegund hebben, geldt het alleen maar als er ook dekking is voor dat verhaal. Die 70 of 120.000 zit in 2023. Ik begrijp het niet goed, want u zegt: "Het is wel uitgevoerd tot nu toe, maar niet beschreven." Als ik het goed heb beluisterd heb. Wat u gedaan heeft, het proces moet nu beschreven worden, want het is niet beschreven. Tot nu toe is het toch ook uitgevoerd en heb je toch een beschrijving van iets, of vergis ik me? In de praktijk doen de mensen hun werk. Dat kunnen mondelinge procedures zijn van collega's wat is afgesproken. Op moment dat jij gaat toetsen of iets compliant is, moet jij de documenten hebben. Die documenten moeten wel beschreven zijn en dat is dus niet altijd zo. Dat wil niet zeggen dat het verwerkingsniveau fout gaat, maar we hebben dat document niet die je wel nodig hebt. Ik ben zelf verpleegkundige geweest en altijd en alles moet beschreven worden. Je moet het wel kunnen controleren en dat kun je niet als het niet beschreven is. Ik geef het woord aan de griffie want die

had een aanvulling op een opmerking van jullie. Er is in het voortraject uitvoerig gecommuniceerd over dit onderwerp, dus vandaar dat ik die regels weet. Ik vind het belangrijk om te duiden op die goede juridische context waar dit over gaat. Dat gaat over die afwijking ten opzichte van het aanbestedingsbeleid. Er ligt een nota van het aanbestedingsbeleid en het college heeft daar een afwijkingsbevoegdheid in 3.6. Die afwijkingsbevoegdheid in artikel 3.6 van het aanbestedingsbeleid daar neemt het college zelfstandig een collegebesluit en een gemotiveerd besluit. Afwijking van dit aanbestedingsbeleid zijn slechts mogelijk en toegestaan op basis van een deugdelijk gemotiveerd besluit van het college van burgemeester en wethouders, van de gemeente. Voor zover één en ander op basis van de geldende wet- en regelgeving mogelijk is. Die deugdelijke formulering ontbreekt helaas in de nota van toelichting. Neem me niet kwalijk dat ik daar vragen over stel. Die mening mag u toegedaan zijn. Volgens mij is er uitleg aan gegeven dat er een rechtmatigheidscontrole is geweest met een inkoopadvies en of dat verder dan deugdelijk genoeg is. Dat is een interpretatie, denk ik. Als ik die check uitvoer ligt er wel iets onder en ik vind wel dat ik daar tijdens de informatieavond op zou moeten wijzen. Vooral de bevoegdheid hoe dat zit, want er is wel een juridische uitleg van die bepaling.

Daar hebben wij het in het voortraject over gehad. Vandaar dat ik het wist en nu kan duiden. Gaan wij door naar de Ouderen Partij , de heer Van der Sleen. Geen vragen? De heer Hoofs, CDA. Voorzitter, ik wil vooropstellen dat ik geen waardeoordeel heb. Ik heb twee vragen die in het verlengde van elkaar liggen. Ik weet ook niet of de heer Kalfics die kan beantwoorden. Is de regelgeving zodanig aangepast dat we er nu meer aandacht voor hebben, of hadden we er minder aandacht voor en zijn we nu met een inhaalslag bezig? De tweede die daar in het verlengde van zit: zijn we door toezichthouders aangesproken dat zaken niet goed zijn, of was het eigen initiatief dat we er nu zo mee bezig zijn? Zal ik met de laatste vraag als eerste beginnen? Nee, we zijn niet aangesproken door de Autoriteit Persoonsgegevens. Wij hebben zelf aangegeven: wij moeten de basis op orde hebben in onze bedrijfsvoering. Dat vinden wij belangrijk. Daarvoor ben i bij het college geweest en dat was unaniem: wij moeten zorgen dat wij regelgeving voor de burgers van de gemeente Kerkrade goed hebben ingeregeld. Dat mogen ze van ons verwachten. Uw eerste vraag? Is de wet- en regelgeving aangescherpt? Of was he zo dat we het zelf bedacht hadden? Dat heeft u al aangegeven en ik ben heel blij om te horen dat we zelf het initiatief hebben genomen en we niet van buitenaf de vraag hebben gekregen.

Privacywetgeving komt niet uit de vallen. Voorheen was er de Wet Bescherming Persoonsgegevens, maar met invoering van de AVG zijn er veel striktere eisen gesteld. Ik moet erbij zeggen dat het kaderstellend is. Wat ik in de regio merk met alle collega's waar ik mee praat, is dat de impact op je bedrijfsvoering best groot is door die wetgeving. Het vergt nogal wat om dat goed aan de maat te krijgen. De heer Pauwels. Dank, Voorzitter. Ik heb een vraag. Stel, er is gelekt door een medewerker. Dan komt er wellicht een boete. Wie betaalt de boete? Komen deze kosten ten behoeve van de gemeente of medewerker? Het college is verwerkingsverantwoordelijk. Als de AP een boete zou opleggen dan is die voor de gemeente en niet voor de medewerker. Dan heb ik nog een aanvullende vraag: waar gaat dat geld heen? Gaat het naar een landelijke organisatie of gaat het naar degene bij wie gelekt is? Nee, dat gaat naar de Autoriteit Persoonsgegevens. Of dat weer terugvloeit in de staatskas weet ik niet. Voorzitter, ik heb nog een vraag. In de nota van toelichting staat dat er in de afgelopen periode verschillende dossiers hebben aangetoond dat de privacy beter moet worden geborgd in de organisatie.

Ik zou heel graag weten, ik begrijp dat u dat hier niet kunt noemen, maar misschien kan de wethouder die wel ter inzage leggen bij de griffie welke dossiers dat betreft, dat we erachter zijn gekomen dat we het niet op orde hebben. Ik wil misschien de wethouder wel een uitspraak ontlokken over hoe het nu zit: hebben we het nu al die tijd wat gedaan, maar hebben we ons aan bepaalde weten toch niet helemaal gehouden, waardoor nu deze hersteloperatie moet plaatsvinden. Zo heb ik het althans begrepen. Dan zou ik het op prijs stellen dat de wethouder iets zegt over hoe het kan, dat we ons al die tijd dan niet aan die wet hebben gehouden. Hoe erg is dat? Mevrouw Wevers: er wordt zojuist gezegd dat het heel veel manuren kost om alles op orde te krijgen. Ik wil ervoor waken dat we die organisatie nog meer belasten met allerlei zaken. Ze zijn toch nu bezig met een bepaald proces? Ja. Precies één van de dingen die in het proces de hele tijd aan de orde is, is dat wij doen, doen, doen en vergeten terug te kijken. Dat hebben we al op meerdere dossiers geconstateerd. Wij willen de hele tijd maar vooruitkijken en vooruitkijken. Vanavond gaat het erover dat we leren stilstaan, terugkijken en leren van fouten. Dat we in kaart brengen hoe we dat doen. Althans zo begrijp ik waar we hiermee bezig zijn. Dan gaat het niet aan om nu weer vooruit te gaan kijken.

Ik zou heel graag het antwoord willen krijgen van de wethouder. U krijgt nu een antwoord van de wethouder. We gaan hier niet over debatteren. Voorzitter, dank u wel. Volgens mij is het precies hetgeen wat we aan doen zijn. We hebben gezegd: "Oké, het was niet op orde, het is nog niet volledig op orde, maar we zijn er alles aan het doen om het op orde te brengen." Vandaar ook de presentaties die gegeven worden. Er volgt zo nog een presentatie. Dan denk ik dat een deel van uw vraag nog meer beantwoord wordt, want daarin zitten heel elementen in: hoe staat het ervoor en hoe gaan we ermee om? Wat gaan we nu doen? Dat er werk aan de winkel is, is helder. Dat heeft de heer Van der Vugt volgens mij helder gezegd. Dan kun je daar op twee manieren mee omgaan: je kunt het passief laten lopen. Daar hebben wij

nadrukkelijk niet voor gekozen. We hebben dit volledig omarmd, mede op verzoek van jullie als raad. Jullie hebben heel nadrukkelijk twee jaar geleden daar iets over gezegd via de financiële commissie. Dan denk ik: dan kunnen we heel erg gaan blijven hangen in wat er allemaal het verleden was, maar wij willen vooral kijken naar: waar staan we nu en hoe kunnen we stappen zetten die nodig zijn om die voldoende te halen? Nadrukkelijk te gaan voor een voldoende. We gaan niet voor een ruim voldoende, nee we gaan voor een voldoende, omdat je het wel praktisch moet houden. Anders krijg je het verhaal dat we zo meteen te veel in processen zitten, enzovoort. Dan is het niet meer werkbaar en dan kunnen we niet de resultaten boeken die nu geboekt worden. Volgens mij willen we dat met z'n allen. Dat als eerste reactie. Ik denk dat het goed is om verder mee te nemen en misschien dat er daarna nog vragen of opmerkingen zijn. Dan kunnen we het daar zeker over hebben. Dank u wel. Ik vraag de heer Bakker om te starten met de derde presentatie. Hartelijk dank voor de heldere presentatie. Goed. Fijn dat ik u mag meenemen in waar wij mee bezig zijn om inderdaad te gaan zorgen voor een toekomstbestendige bedrijfsvoering. De heer Van Vught is begonnen met een stukje inleiding.

Ron heeft ingezoomd op het gebied van privacy en ik mag u meenemen in: waar zijn we al mee bezig en waar gaan we de komende tijd nog mee aan de slag? Er werd al door Rein-Aart aan gerefereerd: hij heeft als externe accountant op een gegeven moment de opdracht gekregen om die pijlstok in de ambtelijke organisatie te steken hoe het met de bedrijfsvoering ervoor staat. Er heeft een aantal interviews plaatsgevonden met een aantal werknemers binnen de organisatie, directieleden en volgens mij zelfs collegeleden om te praten over: hoe staan we daarvoor? Rein-Aart heeft op 6 april 2022 in de zaal hier beneden een presentatie gegeven aan die mensen die toen zijn geïnterviewd. Hij heeft zijn bevindingen met ons gedeeld. Wat wel fijn was te bemerken is dat al die bevindingen van Rein-Aart herkenning opriepen. Daar vond een hele mooie discussie over plaats onder elkaar en uiteindelijk kwamen we gezamenlijk tot de conclusie dat we inderdaad heel veel dingen goed doen. Ik zou hier met het schaamrood op de kaken staan als dat niet zo was. We doen heel veel dingen goed voor deze hele mooie stad. Er zijn altijd dingen zoals in elke organisatie die beter kunnen. Dat was een gezamenlijke conclusie. We hebben toen besloten om met een selecte groep aan de slag te gaan met een duidelijke doelstelling. Die staat hier geformuleerd.

Die heeft ReinAart ons meegegeven en hij heeft nadrukkelijk zeven concrete adviezen gegeven die wij, zoals het er staat, echt omarmd hebben met z'n allen. Zeven adviezen, ik kan ze opnoemen maar ze stonden op de sheet dus ik denk dat het misschien overbodig is. Terug naar de tijdlijn en naar de samenstelling. Zoals gezegd: 6 april 2022 was de presentatie van het onderzoek dat door Deloitte, door Rein-Aart concreet was uitgevoerd. Iedereen kon zich daarin vinden en omarmde dat. Iedereen was enthousiast om daar vanuit de betrokkenheid voor de organisatie, want die betrokkenheid wil ik toch benoemen, is bij u als raad, eerst bij het college, maar is zeer zeker elke dag weer te zien binnen ons ambtelijk apparaat. Mensen werken met hart en ziel voor deze mooie gemeente. Snel daarna, op 25 mei, zaten we al als zogenaamde ontwikkelgroep bedrijfsvoering bij elkaar in een best wel stevig overleg, omdat we allemaal bevlogen zijn om het beste voor deze stad te realiseren. Daar werden best wel wat kritische noten gekraakt onder elkaar: dat moet beter en daar moeten we meer aandacht aan schenken. Die overleggen hebben veelvuldig plaatsgevonden met die groep. Dan is het zo dat zoiets op een gegeven moment toch wel een jaar duurt.

Soms denken we wel eens: waarom moet dat zolang duren? Dat heeft ermee te maken dat we praten over een onderwerp wat, zoals Rein-Aart al is aangegeven in de eerste presentatie, veel omvattend is. Het gaat om heel veel onderwerpen, het gaat over financiën, het gaat over privacy, het gaat om juridische aspecten, het gaat over datagedreven werken, het gaat over informatiebeveiliging. Altijd is er die link met al die producten die we als gemeente elke dag afleveren. Rein-Aart maakte vandaag een link met bijvoorbeeld de bijstand, maar ook de Wmo jeugdzorg om het over het domein te hebben waar ik zelf werkzaam voor ben. Bij de collega's van stad leggen we wegen aan, leggen we kunstwerken aan, maar ook bij de collega's van bestuur. Er wordt elke dag aan heel veel producten hard gewerkt die op een of andere manier allemaal een link hebben met het onderwerp bedrijfsvoering. Wat ik wil benoemen, zeker voor ongeduldige mensen, doeners zoals we allemaal zijn, duurde dat de traject inderdaad best lang, omdat je daar fatsoenlijk over wilt discussiëren. Op 25 mei 2022 zijn we begonnen en dan ben je al heel snel in 2023 dat je samen tot de conclusie komt dat we dit niet alleen kunnen. Daar kom ik nog op terug. Zo zijn wij in juli 2023 een Europese aanbesteding gestart omdat we hulp en begeleiding bij dat traject hebben.

Het gaat dan wel heel vaak om bedragen die inderdaad de aanbestedingsgrenzen overschrijden. We hebben toen besloten, wetende dat het waarschijnlijk een langdurig traject gaat worden, om een Europese aanbesteding te starten. Ik kan met veel vreugde en enthousiasme zeggen dat we een partij hebben gevonden waar ik als ontwikkelgroep het volledige vertrouwen in heb. Ik heb begrepen dat ik de naam nog niet mag noemen, omdat simpelweg volgende week dinsdag pas de officiële definitieve gunning is. U zult zo snel mogelijk geïnformeerd worden over wie die partij is. Nogmaals, het is een intensief traject geweest. Wel een heel mooi en een heel leuk traject, omdat je discussies voert over zaken waar we elke dag van denken: doe normaal, het is ons werk. Wij zijn vaak nuchter. We zeggen: we hebben een studie afgemaakt met z'n allen zoals we achter zitten, en het werk wat we doen is niet zo bijzonder. Ik denk dat die bescheidenheid en die